NIS2 en lokale besturen: gemeenten, OCMW's, provincies

De Belgische wet die de Europese NIS2-richtlijn omzet, verscherpt de cyberbeveiliging van heel wat publieke en private organisaties. Lokale besturen stellen vaak dezelfde vraag: valt onze gemeente eronder? Het korte antwoord is niet automatisch. Dat hangt af van de activiteiten, de omvang van de entiteit en een eventuele identificatie door het Centrum voor Cybersecurity België (CCB).

Deze gids helpt je de analyse te maken. Hij vervangt het advies van het CCB of van een jurist niet.

Het Belgische kader

De wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid, verschenen in het Belgisch Staatsblad op 17 mei 2024 en van kracht sinds 18 oktober 2024.
Het koninklijk besluit van 9 juni 2024 tot uitvoering van die wet, verschenen op 24 juni 2024. Het regelt onder meer de conformiteitsbeoordeling.
Het CCB, de nationale cyberbeveiligingsautoriteit. Het registreert de entiteiten, ontvangt via het nationale CSIRT de incidentmeldingen en houdt toezicht.

De wet maakt een onderscheid tussen essentiële en belangrijke entiteiten. Ze hebben dezelfde basisverplichtingen; het verschil zit vooral in de intensiteit van het toezicht en de sancties.

Lokale besturen vallen er niet automatisch onder

De sector "overheid" in bijlage I omvat de overheidsinstanties die van de federale Staat afhangen, en die van de deelgebieden zodra ze geïdentificeerd zijn. Volgens de parlementaire voorbereiding horen lokale overheden daar niet bij. De FAQ van het CCB, geciteerd door de Union des Villes et Communes de Wallonie (UVCW), bevestigt dat: lokale overheden (gemeenten, provincies, intergemeentelijke verenigingen, OCMW's, autonome gemeentebedrijven) zijn niet automatisch aan de wet onderworpen. Ook de VVSG wijst erop dat sommige lokale besturen wel onder de wet vallen.

Twee verduidelijkingen uit de wet zelf:

de hulpverleningszones en de Brusselse Hoofdstedelijke Dienst voor Brandweer en Dringende Medische Hulp vallen er uitdrukkelijk onder;
de politiediensten, waaronder de politiezones, zijn uitgesloten.

Drie manieren om onder NIS2 te vallen

Een lokaal bestuur kan toch onder de wet vallen, op drie manieren.

1. Een bedoelde activiteit en voldoende omvang. De wet geldt voor publieke of private entiteiten die een activiteit uit bijlage I of II uitoefenen en minstens de omvang van een middelgrote onderneming hebben volgens Europese aanbeveling 2003/361/EG (doorgaans vanaf 50 personeelsleden of boven bepaalde financiële drempels). Volgens de UVCW telt daarbij het volledige personeel mee, ook het onderwijzend personeel. Uit haar analyse en de FAQ van het CCB blijkt dat meerdere activiteiten een gemeente of OCMW kunnen betreffen:

drinkwaterdistributie, afvalwaterbeheer of afvalbeheer, als die een essentieel deel van de activiteit vormen;
de uitbating van laadpunten, als de entiteit ze zelf beheert en uitbaat;
elektriciteitsproductie, ook met zonnepanelen die op het net zijn aangesloten;
warmtenetten;
gezondheidszorg, bijvoorbeeld een woonzorgcentrum van een OCMW;
de uitbating van een intelligent vervoerssysteem.

Wie een bedoelde activiteit uitoefent en de omvang haalt, valt volledig onder de wet, voor al zijn netwerk- en informatiesystemen.

2. Een identificatie door het CCB. Ongeacht de omvang kan een entiteit als essentieel of belangrijk worden geïdentificeerd, bijvoorbeeld als ze de enige aanbieder is van een essentiële dienst of als een verstoring een grote impact kan hebben op de openbare veiligheid of de volksgezondheid. Volgens de UVCW was bij de actualisering van haar analyse in 2026 nog geen enkel lokaal bestuur op die manier geïdentificeerd.

3. Een identificatie als kritieke entiteit in de zin van de wet van 19 december 2025 betreffende de weerbaarheid van kritieke entiteiten, waardoor ook de NIS2-wet van toepassing wordt.

De UVCW merkt op dat intergemeentelijke verenigingen het vaakst betrokken zijn, door hun activiteiten en hun omvang.

Als je entiteit onder de wet valt

De belangrijkste verplichtingen zijn:

je registreren bij het CCB binnen vijf maanden na de inwerkingtreding van de wet of na de identificatie;
evenredige risicobeheersmaatregelen nemen volgens een "alle risico's"-benadering, die onder meer bedrijfscontinuïteit, back-ups, herstel en crisisbeheer omvat;
die maatregelen laten goedkeuren en opvolgen door het bestuursorgaan, waarvan de leden een opleiding volgen;
significante incidenten melden aan het nationale CSIRT: vroegtijdige waarschuwing binnen 24 uur, incidentmelding binnen 72 uur, eindverslag binnen een maand;
voor essentiële entiteiten: een conformiteitsbeoordeling volgens mijlpalen 18 en 30 maanden na de inwerkingtreding van de wet of na de identificatie. Voor belangrijke entiteiten is die periodieke beoordeling vrijwillig.

Voor sommige entiteiten, zoals woonzorgcentra, beschouwt de FAQ van het CCB, geciteerd door de UVCW, een lager zekerheidsniveau (bijvoorbeeld Basic) als evenredig.

CyberFundamentals (CyFun)

CyberFundamentals (CyFun) is het referentiekader van het CCB. Het KB van 9 juni 2024 bepaalt dat het minstens drie zekerheidsniveaus beschrijft: basis, belangrijk en essentieel (in CyFun: Basic, Important en Essential). Een essentiële entiteit kan CyFun of de norm ISO/IEC 27001 gebruiken om haar conformiteit aan te tonen.

Ook voor een gemeente die niet onder de wet valt, is CyFun een praktisch houvast. Je kunt starten met een zelfevaluatie op niveau Basic, de kernmaatregelen voorrang geven en de vooruitgang jaar na jaar opvolgen. De UVCW wijst er ook op dat een entiteit die zich buiten het toepassingsgebied acht, zich vrijwillig bij het CCB kan registreren om gebruik te maken van de gratis diensten, zonder daardoor onder de verplichtingen te vallen.

En de gewesten?

De gewesten kunnen eigen verwachtingen stellen aan lokale besturen.

Vlaanderen: de Vlaamse Regering keurde op 24 april 2026 een beleidsstrategie digitale veiligheid goed die ook voor lokale besturen geldt. Het Vlaams Centrum voor Digitale Veiligheid volgt die strategie op, is het regionale CSIRT en centrale aanspreekpunt bij cyberincidenten, en vertaalt de strategie in implementatierichtlijnen op basis van ISO/IEC 27001 en CyFun. Vlaamse en lokale entiteiten rapporteren jaarlijks over de uitvoering.
Wallonië: de UVCW vermeldt een Waals Cyber Response Team, opgericht door het Agence du Numérique samen met het CCB.
Brussel: we vonden geen officiële bron over eigen gewestelijke verplichtingen.

Ga in elk geval bij je gewest na wat voor je gemeente geldt.

Je eigen status bepalen

Het observatorium beweert nooit dat een gemeente onder NIS2 valt: elk lokaal bestuur bepaalt zelf zijn status. Een eenvoudige aanpak:

Lijst alle activiteiten op van gemeente, OCMW en autonome gemeentebedrijven, ook bijkomende activiteiten (zonnepanelen, laadpalen, woonzorgcentrum).
Vergelijk ze met bijlagen I en II van de wet.
Controleer het omvangcriterium voor elke juridische entiteit.
Gebruik de scopetest die het CCB aanbiedt.
Leg de analyse en de conclusie vast in een nota die de leiding goedkeurt.
Herbekijk die analyse elk jaar en bij elke nieuwe activiteit.
Twijfel je, vraag het dan aan het CCB of aan je vereniging van lokale besturen.

Of je gemeente nu onder de wet valt of niet, de continuïteit van haar dienstverlening hangt af van IT: de gids over bedrijfscontinuïteit behandelt het IT-herstelplan en de aanpak van cyberincidenten.

Meer lezen

ResiPlan helpt gemeenten, en de consultants die hen begeleiden, bij hun bedrijfsimpactanalyse, hun bedrijfscontinuïteits- en IT-herstelplannen, crisisbeheer en oefeningen, een incidentenregister en de CyFun-zelfevaluatie. Bekijk het aanbod voor gemeenten.