België mocht zich bij de invoering van NIS2 tot de beste leerlingen van de Europese klas rekenen. Met het Centrum voor Cybersecurity België (CCB) beschikt ons land over een sterke autoriteit die bovendien met een eigen raamwerk op de proppen kwam. Organisaties kregen duidelijke instructies, praktische ondersteuning en vooral tijdig een wettelijk kader. Terwijl onze buurlanden, Nederland voorop, nog worstelden met de omzetting van de Europese richtlijn, had de Belgische wetgeving de nodige cenakels al doorlopen. Aan zelfvertrouwen was dan ook geen gebrek.

Al snel stelde zich de hamvraag: welke methode kies je om aantoonbaar in regel te zijn? Aan de ene kant het internationaal gerenommeerde ISO/IEC 27001, met zijn managementsysteembenadering die au fond volledig in overeenstemming is met de geest van de wet. Een sterke focus op governance, het beoordelen en behandelen van informatiebeveiligingsrisico's en het continu verbeteren van de beveiliging. Een norm bovendien die in verschillende sectoren gemeengoed is, hetzij als voorwaarde van klanten om mee te kunnen dingen naar contracten, hetzij als harde eis bij overheidsopdrachten. Ook sectoren die tot voor kort nauwelijks met informatiebeveiliging in aanraking kwamen, konden zich er iets bij voorstellen. De onderliggende PDCA-cyclus is immers dezelfde als bij kwaliteitsmanagement (ISO 9001) of milieumanagement (ISO 14001).

Aan de andere kant het Belgische CyFun, met zijn vier niveaus, meer concrete vereisten en aandacht voor operationele technologie (OT), wat voor een cybersecuritystandaard niet vanzelfsprekend is. Kiezen is verliezen, en wie voor het ene traject opteerde, beklaagde zich dat soms al snel wanneer duidelijk werd hoe moeilijk de ingeslagen weg in de praktijk bleek.

De onduidelijkheid en het uitstel

Zoals wel vaker bij wetgeving zijn de grote lijnen vrij duidelijk en toepasbaar, maar loopt men vast op de interpretatie van twijfelgevallen. Wat met organisaties waarvan bepaalde bedrijfstakken tot het meest kritieke niveau behoren en andere niet? Wat als de IT volledig is uitbesteed aan een centrale, gecertificeerde deeldienst, terwijl de OT per fabriek wordt beheerd? Hoe omgaan met de uitzonderingen die bepalend zijn voor het vereiste zekerheidsniveau? Moeten die louter kwantitatief of ook kwalitatief worden beoordeeld? En wat met organisaties die balanceren op de grens van de vastgelegde criteria?

De aanloop naar april 2026 ging gepaard met een overvloed aan vragen richting de autoriteit, die onder de stijgende druk dan ook maar tegemoet kwam aan de essentiële organisaties die de oorspronkelijke deadline niet konden halen. Ze kregen prompt uitstel van executie. De certificerende instellingen hadden er wel oren naar: nog nooit konden ze zoveel offertes op één week tijd uitsturen.

De auditor is cruciaal

Het is ergens verwonderlijk dat in de uitdijende wereld van cybersecurity één beroepsgroep nog steeds ondervertegenwoordigd is: de auditor. Het aantal certificerende instellingen dat gemachtigd is om organisaties in het kader van NIS2 te beoordelen, is in ons land al niet talrijk. Ze kampen dan ook nog eens met een tekort aan gekwalificeerde auditoren. De beschikbare profielen hebben bovendien elk hun eigen expertise, waardoor een organisatie, hoe hard men ook probeert te harmoniseren, uiteindelijk toch enigszins afhankelijk blijft van wie haar op de rooster legt.

Daarenboven blijkt ook het CCB leergeld te hebben betaald. Haar CyFun raamwerk met maturiteitsniveaus bevat de nodige vrijheidsgraden waar een slimme consultant handig op kan inspelen. Soms volstaat het om een beleid aantoonbaar te documenteren en goed te keuren om een bepaald niveau te behalen, ook al laat de implementatie nog te wensen over. Een papieren tijger, zoals meer technisch ingestelde collega's het smalend noemen. Een andere veelgehoorde uitspraak: geslaagd voor ISO met de vingers in de neus, terwijl de achterdeur wagenwijd openstaat.

En toch dient het allemaal ergens voor, die regeldrift.