NIS2 in Belgien: CyFun, CCB und nationale Umsetzung

Belgien gehört zu den ersten EU-Mitgliedstaaten, die die NIS2-Richtlinie fristgerecht und vollständig in nationales Recht umgesetzt haben. Das belgische Cybersicherheitsgesetz vom 26. April 2024 schuf einen verbindlichen Rechtsrahmen für Netz- und Informationssicherheit – Monate bevor zahlreiche andere EU-Länder die Umsetzungsfrist verpassten. Für deutsche Unternehmen mit Tochtergesellschaften, Niederlassungen oder kritischen Lieferanten in Belgien entsteht daraus eine doppelte Compliance-Pflicht: Neben dem deutschen NIS2UmsuCG und der Aufsicht durch das BSI gelten die Anforderungen des belgischen Cybersicherheitsgesetzes, überwacht durch das Centre for Cybersecurity Belgium (CCB) und – je nach Sektor – durch sektorale Behörden. Dieser Leitfaden erklärt, wie Belgien NIS2 umgesetzt hat, welche Rolle das CCB und das CyFun-Framework spielen und was das konkret für deutsch-belgische Unternehmensstrukturen bedeutet. Den europäischen Rahmen beschreibt der Leitfaden zu den NIS2-Grundlagen.

Belgiens frühe NIS2-Umsetzung: Das Cybersicherheitsgesetz 2024

Belgien erlangte innerhalb der EU den Status eines Vorreiters bei der NIS2-Umsetzung: Das belgische Cybersicherheitsgesetz (Wet van 26 april 2024 / Loi du 26 avril 2024) wurde am 26. April 2024 verabschiedet, am 17. Mai 2024 im Belgischen Staatsblatt (Belgisch Staatsblad / Moniteur belge) veröffentlicht und trat am 18. Oktober 2024 in Kraft – pünktlich zum Anwendungsbeginn der Richtlinie. Während Deutschland sein Umsetzungsgesetz (NIS2UmsuCG) erst zum 6. Dezember 2025 in Kraft setzte und zahlreiche andere Mitgliedstaaten Vertragsverletzungsverfahren der Europäischen Kommission auf sich zogen, hatten belgische Unternehmen bereits Monate vor dem Stichtag Klarheit über ihre gesetzlichen Pflichten.

Das belgische Gesetz setzt sämtliche Kernelemente der NIS-2-Richtlinie (EU) 2022/2555 um und wird durch den Königlichen Erlass vom 9. Juni 2024 ergänzt, der unter anderem die sektoralen Behörden und die Konformitätsbewertung regelt. Im Einzelnen:

• Zweistufiges Einrichtungssystem: wesentliche Einrichtungen (essentiële entiteiten) und wichtige Einrichtungen (belangrijke entiteiten)
• Zehn Sicherheitsmaßnahmenkategorien nach Artikel 21 NIS2, darunter Risikoanalyse, Vorfallmanagement, Business Continuity, Lieferkettensicherheit und Kryptografie
• Dreistufige Meldepflichten: Frühwarnung (24 Stunden), Erstmeldung (72 Stunden), Abschlussbericht (1 Monat)
• Verantwortung der Unternehmensleitung nach Artikel 20 NIS2, einschließlich Schulungspflicht und Billigung der Sicherheitsmaßnahmen durch das Management
• Bußgeldrahmen (Art. 59): 500 Euro bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen; 500 Euro bis 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen (jeweils der höhere Betrag); im Wiederholungsfall innerhalb von drei Jahren verdoppelt sich die Geldbuße

Ein belgisches Spezifikum ist die Einbindung des vom CCB entwickelten CyberFundamentals-Frameworks (CyFun®) in die Konformitätsbewertung: Nach dem Königlichen Erlass (Koninklijk Besluit / Arrêté royal) vom 9. Juni 2024 können Einrichtungen ihre Konformität entweder über CyFun oder über eine ISO/IEC-27001-Zertifizierung nachweisen, deren Anwendungsbereich alle Netz- und Informationssysteme der Einrichtung umfasst. Liegt ein solcher Nachweis vor, wird vermutet, dass die Sicherheitspflichten erfüllt sind (Art. 42 des Gesetzes).

Das Centre for Cybersecurity Belgium (CCB) – nationale Behörde und Aufsicht

Das Centre for Cybersecurity Belgium (CCB, Centrum voor Cybersecurity België) ist die zentrale staatliche Cybersicherheitsbehörde Belgiens und ist im belgischen NIS2-System zugleich nationale Cybersicherheitsbehörde, zuständige Behörde, nationales CSIRT und zentrale Anlaufstelle (Art. 16 des Gesetzes) – und damit das belgische Gegenstück zum deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI). Für einzelne Sektoren wirken sektorale Behörden mit. Das CCB wurde durch Königlichen Erlass vom 10. Oktober 2014 errichtet, nahm Anfang 2015 seine Arbeit auf und untersteht dem Premierminister (Föderaler Öffentlicher Dienst Kanzlei des Premierministers).

Zu den Kernaufgaben des CCB gehören:

• Identifikation und Registrierung betroffener wesentlicher und wichtiger Einrichtungen in einem nationalen Register
• Aufsicht und Compliance-Prüfungen – proaktiv für wesentliche Einrichtungen (ex-ante), reaktiv für wichtige Einrichtungen (ex-post)
• Koordination mit sektorspezifischen Behörden, etwa dem Institut Belge des services postaux et des télécommunications (IBPT/BIPT) für digitale Infrastruktur und Postdienste, der Nationalbank (NBB) für den Finanzsektor oder der Agence fédérale de Contrôle nucléaire (AFCN/FANC) als sektoralem Inspektionsdienst für den nuklearen Bereich
• Entwicklung und Pflege des CyFun-Frameworks als einer der anerkannten Referenzrahmen für die Konformitätsbewertung NIS2-betroffener Einrichtungen
• Verhängung von Bußgeldern und aufsichtsrechtlicher Maßnahmen bei Verstößen gegen das Cybersicherheitsgesetz
• Strategische Cybersicherheitspolitik auf nationaler und europäischer Ebene (NIS Cooperation Group, CSIRT-Netzwerk, ENISA)

Belgiens geopolitische Lage – Sitz der EU-Institutionen in Brüssel, NATO-Hauptquartier und wichtiger Finanzplatz – verleiht dem CCB überproportionale Bedeutung im europäischen Cybersicherheitsgefüge. Das CCB ist aktives Mitglied der NIS Cooperation Group und der CSIRTs Network Group auf ENISA-Ebene. CyFun wird inzwischen auch außerhalb Belgiens aufgegriffen, etwa vom irischen NCSC.

Ein struktureller Unterschied zur deutschen Aufsichtsstruktur: In Deutschland ist die Regulierungszuständigkeit zwischen BSI (zentrale Cybersicherheitsbehörde) und sektorspezifischen Regulatoren wie der Bundesnetzagentur (BNetzA) oder der BaFin aufgeteilt. Auch in Belgien wirken sektorale Behörden mit, darunter die Nationalbank, das BIPT und mehrere Fachminister (u. a. für Energie, Verkehr, Gesundheit und Wirtschaft); Inspektionen kann der Inspektionsdienst des CCB gemeinsam mit einer Sektorbehörde durchführen oder an diese delegieren (Art. 44). Zentrale Anlaufstelle bleibt jedoch das CCB. Eine Liste der sektorspezifisch betroffenen Einrichtungstypen vermittelt der Leitfaden zum NIS2-Anwendungsbereich.

Das CyFun-Framework – Belgiens Implementierungsstandard für NIS2-Compliance

Das CyberFundamentals-Framework (CyFun®) wurde vom CCB entwickelt, um Einrichtungen eine strukturierte, praxistaugliche Methodik zur Umsetzung der Sicherheitsanforderungen an die Hand zu geben. Es übersetzt die Anforderungen des Artikel 21 NIS2 in konkrete, prüfbare Kontrollen, die gestuften Sicherheitsniveaus (Assurance Levels) zugeordnet sind. Derzeit existieren zwei Versionen: CyFun® 2023 basiert auf dem NIST Cybersecurity Framework 1.1, das im Oktober 2025 veröffentlichte CyFun® 2025 auf NIST CSF 2.0. Beide Versionen können bis 18. April 2027 parallel genutzt werden.

CyFun® 2023 gliedert sich in fünf Funktionsbereiche, die den NIST-CSF-Kernfunktionen entsprechen; CyFun® 2025 ergänzt als sechste Funktion „Steuern“ (Govern):

• Identifizieren (Identify): Governance, Risikomanagement, Asset-Inventar, Lieferkettenprozesse und regulatorische Anforderungen
• Schützen (Protect): Zugangskontrolle, Mitarbeiterschulungen, sichere Konfiguration, Datensicherheit und Kryptografie
• Erkennen (Detect): kontinuierliches Monitoring, Anomalieerkennung, Sicherheitsereignis-Protokollierung
• Reagieren (Respond): Incident-Response-Plan, Kommunikation mit Behörden, Eindammung und Analyse
• Wiederherstellen (Recover): Business Continuity, Wiederanlaufplanung und Lessons-Learned-Prozesse

CyFun definiert gestufte Sicherheitsniveaus; welches Niveau im NIS2-Kontext gefragt ist, regelt der Königliche Erlass vom 9. Juni 2024:

Sicherheitsniveau	Version	Rolle im NIS2-Kontext
Small	Nur CyFun® 2023	Einstiegsniveau für kleine Organisationen; für die NIS2-Konformitätsbewertung nicht vorgesehen
Basic	CyFun® 2023 und 2025	Verifizierung möglich, etwa wenn die Risikoanalyse einer wesentlichen Einrichtung ein niedrigeres Niveau rechtfertigt
Important	CyFun® 2023 und 2025	Verifizierung; Mindestniveau für wichtige Einrichtungen, die sich freiwillig bewerten lassen
Essential	CyFun® 2023 und 2025	Zertifizierung; Regelniveau für wesentliche Einrichtungen

Wesentliche Einrichtungen sind zu einer regelmäßigen Konformitätsbewertung verpflichtet (Art. 39 des Gesetzes). Zur Wahl stehen eine CyFun-Zertifizierung bzw. -Verifizierung durch eine von BELAC akkreditierte und vom CCB zugelassene Konformitätsbewertungsstelle, eine ISO/IEC-27001-Zertifizierung mit passendem Anwendungsbereich oder eine Inspektion durch den Inspektionsdienst des CCB. Wichtige Einrichtungen können sich freiwillig bewerten lassen (Art. 41). Die Fristen sind gestaffelt: 18 bzw. 30 Monate nach Inkrafttreten des Gesetzes oder nach der Identifizierung der Einrichtung – für bereits erfasste Einrichtungen also 18. April 2026 bzw. 18. April 2027.

Für deutsche Konzerne mit belgischen Tochtergesellschaften bedeutet das konkret: Die belgische Einheit kann ihre Konformität über CyFun oder über eine ISO/IEC-27001-Zertifizierung nachweisen, deren Anwendungsbereich alle Netz- und Informationssysteme der Einrichtung abdeckt. Wer bereits mit ISO 27001 oder BSI IT-Grundschutz arbeitet, kann viele Kontrollen übertragen; eine Lückenanalyse (Gap Analysis) gegen den gewählten Rahmen bleibt dennoch sinnvoll.

Betroffene Einrichtungen und Pflichten im Überblick

Das belgische NIS2-Recht folgt der europäischen Zweistufenstruktur und gilt für Einrichtungen, die in Belgien niedergelassen sind und die Größenschwellenwerte erfüllen: mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro. Einrichtungen mit mindestens 250 Mitarbeitern oder mit über 50 Millionen Euro Jahresumsatz und über 43 Millionen Euro Bilanzsumme in hochkritischen Sektoren werden in der Regel als wesentliche Einrichtungen eingestuft.

Merkmal	Wesentliche Einrichtung	Wichtige Einrichtung
Sektorzuordnung	Anhang I NIS2 (Energie, Gesundheit, Finanz, digitale Infrastruktur u. a.)	Anhang II NIS2 (Chemie, Lebensmittel, Fertigung, Post u. a.)
Aufsichtsmodus	Proaktiv (ex-ante) durch CCB	Reaktiv (ex-post) durch CCB
Konformitätsbewertung	Pflicht: CyFun (Regelniveau Essential), ISO/IEC 27001 oder CCB-Inspektion	Freiwillig (mindestens CyFun Important)
Bußgeldrahmen	500 EUR bis 10 Mio. EUR / 2 % Jahresumsatz	500 EUR bis 7 Mio. EUR / 1,4 % Jahresumsatz
Inspektionen	Auch ohne Anlass möglich	Bei Anhaltspunkten für Verstöße
Registrierungspflicht	Ja (beim CCB, über Safeonweb@Work)	Ja (beim CCB, über Safeonweb@Work)

Die Registrierung beim CCB erfolgt über die Plattform Safeonweb@Work. Die Frist betrug fünf Monate nach Inkrafttreten des Gesetzes – für die meisten Einrichtungen also bis 18. März 2025 –, für bestimmte digitale Anbieter (u. a. DNS-Diensteanbieter, Cloud- und Rechenzentrumsdienste, Managed Service Provider, Online-Marktplätze) zwei Monate, also bis 18. Dezember 2024 (Art. 13 und 14). Die sektoralen Zuständigkeiten legt der Königliche Erlass vom 9. Juni 2024 fest. Eine Ersteinschätzung, ob eine Einrichtung grundsätzlich in den NIS2-Anwendungsbereich fällt, ermöglicht der Leitfaden zum NIS2-Anwendungsbereich.

Meldepflichten und die Rolle von CERT.be

CERT.be (Computer Emergency Response Team Belgium) ist das operative Cyber-Notfallteam Belgiens und wird unter dem Dach des CCB betrieben. Als nationales CSIRT im Sinne von Artikel 10 NIS2 ist das CCB mit CERT.be erste Anlaufstelle für die Meldung erheblicher Sicherheitsvorfälle; gemeldet wird über die Plattform notif.safeonweb.be. Zusätzlich koordiniert CERT.be grenzüberschreitende Vorfälle mit europäischen CSIRT-Partnern über das ENISA-CSIRT-Netzwerk.

Die belgischen Meldepflichten folgen dem dreistufigen europäischen Modell:

• Frühwarnung (24 Stunden): Erstmeldung eines erheblichen Vorfalls an das nationale CSIRT (CCB/CERT.be); reicht aus, um die Frist zu wahren – vollständige technische Details sind noch nicht erforderlich
• Erstmeldung (72 Stunden): Aktualisierte Meldung mit verfügbaren Informationen zu Angriffsvektor, Schweregrad und Auswirkungen auf betroffene Dienste
• Abschlussbericht (spätestens 1 Monat nach der Meldung): Vollständiger Bericht mit Root-Cause-Analyse, Verlauf des Vorfalls und ergriffenen Gegenmaßnahmen

Ein erheblicher Vorfall liegt im belgischen Recht vor, wenn er die Verfügbarkeit, Integrität oder Vertraulichkeit der betroffenen Netz- und Informationssysteme erheblich beeinträchtigt und spezifische Schwellenwerte überschreitet – etwa die Anzahl betroffener Nutzer, die Dauer des Ausfalls oder wirtschaftliche Folgeschäden. CERT.be veröffentlicht darüber hinaus Schwachstellenwarnungen und Lageinformationen. Betrifft ein Vorfall zugleich eine deutsche NIS2-Einrichtung des Konzerns, kann für diese eine eigene Meldepflicht gegenüber dem BSI bestehen; die Information anderer betroffener Mitgliedstaaten übernimmt im Übrigen das nationale CSIRT bzw. die zuständige Behörde (Art. 23 Abs. 6 NIS2).

Was deutsche Unternehmen mit Belgien-Bezug beachten müssen

Für deutsche Unternehmensgruppen mit Präsenz in Belgien ergeben sich aus der belgischen NIS2-Umsetzung konkrete Handlungspflichten, die die deutschen NIS2UmsuCG-Pflichten ergänzen. Belgien hat NIS2 frühzeitig umgesetzt und die Aufsicht durch das CCB bereits aufgenommen – deutsche Muttergesellschaften können also nicht davon ausgehen, dass belgische Tochtergesellschaften noch in einer Umsetzungsphase sind.

Besonders relevant sind folgende Konstellationen:

• Belgische Tochtergesellschaften: Eine in Belgien registrierte Tochtergesellschaft, die die Schwellenwerte erfüllt und einem NIS2-Sektor angehört, ist beim CCB zu registrieren, hat die Sicherheitsmaßnahmen umzusetzen – nachweisbar etwa über CyFun oder ISO/IEC 27001 – und meldet erhebliche Vorfälle an das nationale CSIRT (CCB) – unabhängig davon, ob die Muttergesellschaft in Deutschland ihrerseits dem BSI-Regime unterliegt
• Lieferkette: Deutsche Unternehmen, die als kritische Lieferanten für belgische NIS2-Einrichtungen fungieren, können im Rahmen der Lieferkettensicherheitspflichten (Art. 21 Abs. 2 lit. d NIS2) indirekt Anforderungen ausgesetzt sein
• Digitale Dienstleister: DNS-Anbieter, Cloud-Provider oder Managed-Service-Provider unterliegen nach Art. 26 NIS2 grundsätzlich dem Mitgliedstaat ihrer Hauptniederlassung in der EU – bei Hauptniederlassung in Deutschland also dem deutschen Recht, auch wenn sie Dienste in Belgien erbringen; eine Prüfung im Einzelfall bleibt sinnvoll

Im Vergleich zum deutschen System bietet das belgische CyFun-Framework überwiegend Vorteile für die Implementierungsplanung: Die gestuften CyFun-Sicherheitsniveaus machen den Compliance-Weg transparenter als die abstrakte Formulierung der zehn Maßnahmenkategorien allein. Für Unternehmen, die in Deutschland bereits mit ISO 27001 oder BSI IT-Grundschutz arbeiten, bietet sich für die belgischen Einheiten ein Mapping auf CyFun oder eine ISO-27001-Zertifizierung mit passendem Anwendungsbereich an; die Registrierung beim CCB sollte sichergestellt sein, da die Registrierungsfristen bereits abgelaufen sind. Einen direkten Vergleich mit der deutschen Umsetzung bietet der Leitfaden zu NIS2 in Deutschland.

Häufig gestellte Fragen

Hat Belgien NIS2 fristgerecht umgesetzt?

Ja. Belgien gehört zu den wenigen EU-Mitgliedstaaten, die NIS2 fristgerecht umgesetzt haben: Das Cybersicherheitsgesetz vom 26. April 2024 wurde am 17. Mai 2024 im Belgischen Staatsblatt veröffentlicht und trat am 18. Oktober 2024 in Kraft. Der Königliche Erlass vom 9. Juni 2024 regelt unter anderem die sektoralen Behörden und die Konformitätsbewertung.

Was ist das CyFun-Framework und ist es verbindlich?

CyFun® (CyberFundamentals) ist der vom CCB entwickelte Referenzrahmen für die Umsetzung der Sicherheitsanforderungen. Er basiert auf dem NIST Cybersecurity Framework (Version 2023 auf NIST CSF 1.1, Version 2025 auf NIST CSF 2.0) und ordnet die Kontrollen gestuften Sicherheitsniveaus zu (Basic, Important, Essential; in der Version 2023 zusätzlich Small). Verbindlich ist CyFun als solches nicht: Wesentliche Einrichtungen müssen sich zwar regelmäßig einer Konformitätsbewertung unterziehen, können dafür aber zwischen CyFun, einer ISO/IEC-27001-Zertifizierung mit passendem Anwendungsbereich und einer Inspektion durch das CCB wählen. Für wichtige Einrichtungen ist die Bewertung freiwillig.

Was sind die Aufgaben von CCB und CERT.be?

Das CCB ist die nationale Regulierungs- und Aufsichtsbehörde (vergleichbar dem deutschen BSI): Registrierung von Einrichtungen, Compliance-Prüfungen, Bußgeldverfolgung und strategische Cybersicherheitspolitik. CERT.be ist der operative Arm des CCB für technische Incident Response und erste Anlaufstelle für Vorfallmeldungen gemäß den dreistufigen NIS2-Meldepflichten. Das CCB untersteht dem Premierminister (Föderaler Öffentlicher Dienst Kanzlei des Premierministers); CERT.be ist seit dem 1. Januar 2017 Teil des CCB.

Müssen deutsche Unternehmen mit belgischen Tochtergesellschaften zweifach Compliance betreiben?

Im Grundsatz ja. Eine belgische Tochtergesellschaft, die NIS2-Kriterien erfüllt, unterliegt dem belgischen Cybersicherheitsgesetz und damit der Aufsicht des CCB – unabhängig von den Pflichten der deutschen Muttergesellschaft gegenüber dem BSI. Die materiellen Anforderungen (Sicherheitsmaßnahmen nach Art. 21 NIS2) sind inhaltlich deckungsgleich; der Unterschied liegt in den formalen Compliance-Mechanismen: CCB-Registrierung, Konformitätsnachweis (etwa über CyFun oder ISO 27001) und Meldung an das belgische nationale CSIRT statt an das BSI. Eine konsequente Konzern-Compliance-Struktur kann erhebliche Synergien heben, sofern sie die belgischen Spezifika – insbesondere die Konformitätsbewertung – explizit adressiert.

Quellen

1. Belgisch Staatsblad / Moniteur belge: Wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid, veröffentlicht am 17. Mai 2024
2. Belgisch Staatsblad / Moniteur belge: Arrêté royal du 9 juin 2024 exécutant la loi du 26 avril 2024
3. Centre for Cybersecurity Belgium (CCB): NIS2 – CyberFundamentals (CyFun®) Framework, Registrierung und Konformitätsbewertung, Safeonweb@Work; CyFun® 2023 und CyFun® 2025
4. Europäisches Parlament und Rat der EU: Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2), Dezember 2022
5. Belgisch Staatsblad / Moniteur belge: Arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique
6. Centre for Cybersecurity Belgium (CCB): NIS2 Notification Guide, Version 08.2025 – 1.3

Rechtshinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Aussagen zur NIS2-Compliance empfehlen wir die Konsultation eines qualifizierten Rechtsanwalts oder Datenschutzbeauftragten.