Beveiligingsregels en normen begrijpen
Kies een regel of norm: doel, betrokken organisaties en relevante acties of documenten. De tekst en tekening leggen dezelfde punten uit.
NIS2
Richtlijn en nationale wet · NIS2 — Richtlijn (EU) 2022/2555
Cyberbeveiligingsplichten voor gedekte organisaties, waaronder bestuur, risicomaatregelen en significante incidenten.
Voor wie
- Gedekte essentiële en belangrijke entiteiten; sector, grootte en uitzonderingen tellen.
- Leveranciers kunnen contracteisen krijgen zonder daardoor op zich rechtstreeks gedekt te zijn.
Belangrijkste eisen
- Wijs bestuursverantwoordelijkheid toe en pas evenredige maatregelen toe.
- Meld een significant incident zonder onnodig uitstel: vroege waarschuwing doorgaans binnen 24 uur na kennisname en melding binnen 72 uur, met uitzonderingen.
- Bewaar bewijs en bereid vereiste registratie, melding en herstel voor.
Datums: Belgische omzetting sinds 18 oktober 2024. Controleer sectorregels en incidentvoorwaarden.
Gevolgen: Overheden kunnen maatregelen controleren en sancties toepassen volgens de nationale regels.
Tekening
Verwant onderwerp: Cyberbeveiligingsregels voor organisaties (NIS2) →Officiële bron ↗
GDPR
Verordening · AVG — Verordening (EU) 2016/679
Regels voor het gebruiken en beschermen van informatie over herkenbare personen.
Voor wie
- De verantwoordelijke kiest doelen en middelen; verwerkers handelen in diens opdracht.
- Systemen kunnen gegevens over klanten, personeel en bezoekers bevatten.
Belangrijkste eisen
- Documenteer doelen, beperk toegang en bepaal noodzakelijke bewaring.
- Pas maatregelen volgens het risico toe en test herstel.
- Meld datalekken waar vereist; de 72 uur loopt vanaf kennisname, met de risico-uitzondering van artikel 33. Communicatie bij hoog risico voor personen is een aparte plicht.
Datums: Van toepassing sinds 25 mei 2018. Beoordeel elke verwerking en elk datalek.
Gevolgen: De autoriteit kan correcties en boetes opleggen; getroffen personen kunnen recht op vergoeding hebben.
Tekening
Verwant onderwerp: Persoonsgegevens beschermen →Officiële bron ↗
DORA
Verordening · DORA — Verordening (EU) 2022/2554
Digitale operationele weerbaarheid voor gedekte financiële entiteiten.
Voor wie
- Betrokken financiële entiteiten, zoals banken, verzekeraars en betalingsinstellingen.
- Technologieleveranciers hebben contractplichten; aangewezen kritieke aanbieders kennen ook apart toezicht.
Belangrijkste eisen
- Beheer risico’s van informatie- en communicatietechnologie (ICT) en leg rollen vast.
- Classificeer en meld relevante incidenten en test weerbaarheid.
- Beheer leverancierscontracten, dienstregisters en uitstapafspraken.
Datums: Van toepassing sinds 17 januari 2025. Eisen hangen af van entiteit en relevante bepalingen.
Gevolgen: Financiële toezichthouders handhaven de regels. Kritiek toezicht verschilt van gewone contractplichten.
Tekening
Verwant onderwerp: Digitale weerbaarheid in de financiële sector →Officiële bron ↗
CyberFundamentals
Beveiligingskader · CyberFundamentals — Centrum voor Cybersecurity België
Praktisch kader voor het kiezen en beoordelen van cyberbeveiligingsmaatregelen.
Voor wie
- Organisaties die een gestructureerde basis of zekerheidsniveau zoeken.
- Het niveau hangt af van risico en scope, niet alleen van bedrijfsgrootte.
Belangrijkste eisen
- Gebruik de CCB-selectiemethode om een geschikt niveau te kiezen.
- Beoordeel controles, documenteer tekorten en plan verbeteringen.
- Volg de passende verificatie of certificering als zekerheid nodig is.
Datums: Controleer het actuele CCB-kader, zekerheidsstelsel en selectietools voor de beoordeling.
Gevolgen: Een label vervangt niet alle verplichtingen; scope en zekerheid moeten bij het beoogde gebruik passen.
Tekening
ISO/IEC 27001 · 27002
Normen · ISO/IEC 27001:2022 en ISO/IEC 27002:2022
27001 stelt eisen aan informatiebeveiligingsbeheer. 27002 geeft richtlijnen voor controles.
Voor wie
- Organisaties van elke grootte of sector met een beveiligingsmanagementsysteem.
- Leveranciers wier klanten of contracten onafhankelijke certificering eisen.
Belangrijkste eisen
- Beoordeel risico’s en motiveer controles in een toepasselijkheidsverklaring.
- Wijs rollen toe, beoordeel prestaties en verbeter het systeem.
- Certificering gaat over 27001 binnen een afgesproken scope; losse controles toepassen is geen certificering.
Datums: Edities 2022; controleer toepasselijke wijzigingen en certificeringsscope.
Gevolgen: Certificering is vrijwillig tenzij een contract of toepasselijke eis dit vraagt. Een onafhankelijke auditor beoordeelt het systeem.
Tekening
AI Act
Verordening · AI Act — Verordening (EU) 2024/1689
Risicogebaseerde plichten voor organisaties die AI aanbieden of gebruiken.
Voor wie
- Een aanbieder ontwikkelt of levert; een gebruiksverantwoordelijke gebruikt onder eigen gezag.
- Andere rollen, uitzonderingen en risicoklassen beïnvloeden de plichten.
Belangrijkste eisen
- Bepaal rol, bedoeld gebruik en risicoklasse.
- Zorg voor passende AI-geletterdheid bij betrokken medewerkers.
- Controleer verboden praktijken, transparantie en hoogrisico-eisen volgens de actuele regels.
Datums: Gefaseerde toepassing. Geletterdheid en verboden sinds 2 februari 2025; raadpleeg de actuele officiële planning voor andere plichten.
Gevolgen: Eisen en handhaving hangen van rol, systeem en inbreuk af. Lokale hosting neemt ze niet weg.
Tekening
Verwant onderwerp: Regels voor artificiële intelligentie op het werk →Officiële bron ↗
Cyber Resilience Act
Verordening · Cyber Resilience Act — Verordening (EU) 2024/2847
Cyberbeveiligingsplichten voor gedekte producten met digitale elementen.
Voor wie
- Fabrikanten van betrokken software of verbonden producten.
- Invoerders, distributeurs en opensourcestewards hebben eigen rollen en voorwaarden.
Belangrijkste eisen
- Ontwerp en onderhoud veilig tijdens de toepasselijke ondersteuningsperiode.
- Bewaar componenten- en kwetsbaarheidsgegevens; een inventarisplicht betekent niet op zich publicatie voor elke koper.
- Beoordeel conformiteit en meldplichten voor relevante actief uitgebuite fouten en ernstige incidenten.
Datums: Artikel 14-meldingen vanaf 11 september 2026; meeste productplichten vanaf 11 december 2027.
Gevolgen: Overheden kunnen correcties eisen en relevante sancties toepassen, zoals beperkingen voor niet-conforme producten.
Tekening
Verwant onderwerp: Beveiliging van digitale producten →Officiële bron ↗
Scope en plichten hangen af van organisatie, activiteit en actuele regels. Bronnen gecontroleerd op 9 november 2026; raadpleeg de officiële tekst voor uw beoordeling.
Beveiligingstabel → · Sovereign Stack →
Afkortingen die hier worden gebruikt: NIS2, GDPR, DORA, CRA, ISO, IEC
- NIS2 — Network and Information Systems Directive 2
- Een Europese richtlijn met cyberbeveiligingsvereisten voor organisaties die onder het toepassingsgebied vallen.
- GDPR — General Data Protection Regulation
- De Algemene verordening gegevensbescherming (AVG). GDPR is de Engelse afkorting en RGPD de Franse.
- DORA — Digital Operational Resilience Act
- Europese regels over digitale operationele weerbaarheid in de financiële sector.
- CRA — Cyber Resilience Act
- Europese cyberbeveiligingsregels voor producten met digitale elementen, waaronder bepaalde software en verbonden toestellen.
- ISO — International Organization for Standardization
- De Internationale Organisatie voor Standaardisatie. ISO is haar universele korte naam, geen vertaalde beginletters.
- IEC — International Electrotechnical Commission
- De internationale organisatie voor elektrotechnische normen; ze publiceert sommige normen samen met ISO.