Estado de NIS 2 en Bélgica
Qué exige la directiva, cómo la transpone Bélgica y dónde se sitúa el CCB dentro del conjunto.
Visión general
La directiva NIS 2 es la capa de la UE. Obliga a cada Estado miembro, Bélgica incluida, con un único suelo de ciberseguridad para las entidades esenciales e importantes. Bélgica debe plasmar ese suelo en el derecho belga y ejecutar un régimen de supervisión bajo él.
Bélgica transpone NIS 2 mediante la Ley de 26 de abril de 2024 que establece un marco para la ciberseguridad de las redes y los sistemas de información de interés general para la seguridad pública. La ley se publicó en el Moniteur belge / Belgisch Staatsblad el 17 de mayo de 2024 y entró en vigor el 18 de octubre de 2024, junto con un Real Decreto que completa el detalle operativo. Bélgica es uno de los pocos Estados miembros que cumplió el plazo del 17 de octubre de 2024 de la directiva.
El Centro de Ciberseguridad de Bélgica (CCB) es la autoridad competente principal. CERT.be opera como un servicio dentro del CCB. El registro se realiza a través del portal Safeonweb@work. Las autoridades sectoriales permanecen involucradas donde existen: el Banco Nacional de Bélgica (NBB) para el sector financiero, donde DORA actúa como lex specialis, y el BIPT para la infraestructura digital (excepto los servicios de confianza) y los servicios postales.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad de ámbito europeo. Establece las obligaciones que cada Estado miembro debe transponer, incluidos los criterios de tamaño y sector para las entidades esenciales e importantes.
Ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Requisitos técnicos y metodológicos para los proveedores de DNS, los registros de TLD, los proveedores de nube, centros de datos y CDN, los proveedores de servicios (de seguridad) gestionados, los mercados en línea, los motores de búsqueda, las redes sociales y los prestadores de servicios de confianza. Directamente aplicable en Bélgica sin transposición nacional.
Transposición belga
Ley de 26 de abril de 2024 (ley NIS 2)
La transposición belga de NIS 2, publicada en el Moniteur belge el 17 de mayo de 2024 y en vigor desde el 18 de octubre de 2024. El Real Decreto de ejecución de 9 de junio de 2024 y la orientación del CCB completan el detalle operativo. La ley deroga la Ley de 7 de abril de 2019 (la transposición belga de NIS 1).
Ley de 26 de abril de 2024
Lleva las obligaciones de NIS 2 al derecho belga. Define las entidades esenciales e importantes, las potestades de supervisión del CCB, los deberes de notificación de incidentes y las sanciones. La mayor parte del detalle operativo se sitúa en el Real Decreto de 9 de junio de 2024 y en la orientación del CCB.
El CCB como supervisor, CERT.be como CSIRT
El Centro de Ciberseguridad de Bélgica ejerce la supervisión, las auditorías y las sanciones. CERT.be opera dentro del CCB como CSIRT nacional para el tratamiento de incidentes. Safeonweb@work es el portal de cara al público para el registro y la orientación.
Registro y notificación
Los proveedores de DNS, los registros de TLD, los servicios de registro de dominios, los proveedores de nube, centros de datos y CDN, los proveedores de servicios (de seguridad) gestionados, los mercados en línea, los motores de búsqueda y las redes sociales tenían que registrarse en Safeonweb@work a más tardar el 18 de diciembre de 2024. Todas las demás entidades esenciales e importantes tenían que registrarse a más tardar el 18 de marzo de 2025. Los incidentes significativos se notifican a través de notif.safeonweb.be con la cadencia de la directiva: alerta temprana de 24 h, notificación de 72 h e informe final de un mes.
El derecho local se aplica dentro de Bélgica
Las operaciones en territorio belga siguen la transposición belga. Un director gerente alemán que dirige una filial belga lee la Ley de 26 de abril de 2024 para esa filial, no el BSIG alemán. Las obligaciones de la directiva son las mismas; el procedimiento, el portal y las sanciones viven en el derecho belga.
Bélgica no puede quedar por debajo del suelo de la UE
La directiva es un instrumento de armonización mínima. Bélgica puede ir más allá, y en la práctica lo hace mediante el marco CyberFundamentals y el Real Decreto. No puede quedar por debajo de la directiva en los deberes de las entidades esenciales e importantes, en los plazos de notificación de incidentes ni en la responsabilidad del órgano de dirección.
CCB
Centro de Ciberseguridad de Bélgica, la autoridad nacional de ciberseguridad que depende de la oficina del Primer Ministro. Autoridad competente principal para NIS 2: supervisión, auditorías, sanciones y el portal de registro Safeonweb@work. Publica el marco CyberFundamentals. Se presume que las entidades que se someten a una evaluación de conformidad periódica con respecto a CyberFundamentals o ISO/IEC 27001 cumplen las medidas de gestión de riesgos de NIS 2.
CERT.be
El Equipo Nacional de Respuesta a Incidentes de Seguridad Informática. Opera como un servicio dentro del CCB en lugar de como una agencia separada. Gestiona las notificaciones de incidentes, la coordinación técnica y la cooperación operativa con otros CSIRT de la UE.
ENISA
La agencia de ciberseguridad de la UE. Publica orientaciones, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es un supervisor de las entidades belgas; el CCB lo es.
Bélgica va en el mismo calendario que Alemania.
Bélgica cumplió el plazo del 17 de octubre de 2024. La Ley de 26 de abril de 2024 se publicó en el Moniteur belge el 17 de mayo de 2024 y entró en vigor el 18 de octubre de 2024, con plazos de registro que ya vencieron en diciembre de 2024 y marzo de 2025. Alemania transpuso más tarde: su nueva BSIG se aplica desde el 6 de diciembre de 2025. El calendario de una matriz alemana no dice nada sobre la filial belga. Su supervisor está activo, y un registro omitido está vencido.
Todavía no hay un portal de registro funcional.
Safeonweb@work está en marcha y operativo. Los proveedores de DNS, TLD, registro de dominios, nube, centros de datos, CDN, servicios (de seguridad) gestionados, mercados en línea, motores de búsqueda y redes sociales tenían que registrarse a más tardar el 18 de diciembre de 2024; todas las demás entidades esenciales e importantes a más tardar el 18 de marzo de 2025. El registro tardío es una brecha de conformidad sobre la que el CCB puede actuar, y los datos de registro deben mantenerse actualizados conforme al artículo 3(4) de la directiva.
Solo están dentro del ámbito los sectores que ya tenían un regulador de NIS 1.
NIS 2 amplía el perímetro mucho más allá de la lista de OES de NIS 1. Los nuevos sectores incluyen las administraciones públicas, la fabricación, la alimentación, los servicios postales y de mensajería, la gestión de residuos y las sustancias químicas, entre otros. El criterio de tamaño limita por defecto a las medianas y grandes empresas, pero las entidades pequeñas pueden quedar captadas cuando son proveedores únicos o cuando la ley las añade. La comprobación de aplicabilidad debe hacerse caso por caso.
Bélgica es ese raro país de la UE donde NIS 2 es operativo, no teórico. El CCB tiene personal, el portal de registro funciona, el Real Decreto está en vigor y el marco CyberFundamentals da a las entidades una vía de implementación concreta que, con una evaluación de conformidad periódica, conduce a una presunción de conformidad. Los operadores belgas que aún no se han registrado no van por delante de la curva, van por detrás de ella.
El movimiento práctico es el mismo que en todo el resto de la UE: confirmar el ámbito conforme a la directiva, registrarse en Safeonweb@work, establecer las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, riesgo de cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. El marco CyFun ayuda con los controles sustantivos, pero no sustituye a la documentación de las propias medidas de NIS 2.
- Directiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión
- Ley de 26 de abril de 2024 que establece un marco para la ciberseguridad de las redes y los sistemas de información de interés general para la seguridad pública: Moniteur belge / Belgisch Staatsblad, 17 de mayo de 2024
- Real Decreto de 9 de junio de 2024 de ejecución de la ley NIS 2: Moniteur belge / Belgisch Staatsblad
- Centro de Ciberseguridad de Bélgica (CCB): ccb.belgium.be
- Safeonweb@work: atwork.safeonweb.be (portal de registro de NIS 2)
- CERT.be: CSIRT nacional, operando dentro del CCB
- Marco CyberFundamentals (CyFun): CCB
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
