GRATIS TOOL
Valt je bedrijf onder de Belgische NIS2-wet?
Kies je sectoren en bedrijfsgrootte. In ongeveer twee minuten zegt deze gratis tool of je volgens de Belgische NIS2-wet een essentiële of belangrijke entiteit bent, of buiten de directe scope valt. Je krijgt ook het CyberFundamentals-niveau (CyFun) om mee te starten en de klantsectoren die NIS2-eisen aan jou kunnen doorgeven.
Kies minstens één sector (of "Geen van bovenstaande") en de bedrijfsgrootte om een resultaat te zien.
Een ruwe, gratis inschatting op basis van 7-8 vragen. Het is geen juridisch advies en geen intake van 30 vragen met een review door een consultant. De echte scope kan afhangen van groepsstructuur, grensoverschrijdende activiteit en subclassificaties van sectoren waar deze check niet naar vraagt.
Controleer of registreer op Safeonweb@Work ↗
Logica: het NIS2 Scope Assessment-werkblad van het CCB [1].
Hoe werkt de NIS2-scopetest?
De Belgische NIS2-wet van 26 april 2024 [2] brengt een bedrijf binnen scope als twee dingen kloppen: het levert een dienst uit Bijlage I of Bijlage II van de wet, en het haalt een groottedrempel (ruwweg 50+ medewerkers, of meer dan €10M omzet en balanstotaal, de hele groep meegeteld). Sommige diensten (openbaar bestuur, telecom, DNS- en topleveldomeinregisters, vertrouwensdiensten) vallen op elke grootte binnen scope.
Deze tool volgt dezelfde logica als het NIS2 Scope Assessment-werkblad [1], het rekenblad dat het Centrum voor Cybersecurity België (CCB) publiceert om de scope te bepalen. Een tweede rekenblad van het CCB, de CyFun Selection Tool [5], geeft het bijbehorende CyberFundamentals-niveau (CyFun): Basic onder 100 risicopunten, Important 100-199, Essential 200 en hoger. De punten worden per sector berekend en geschaald naar bedrijfsgrootte.
Een vragenlijst van een klant, verzekeraar of toezichthouder is meestal het eerste teken dat de druk vanuit de toeleveringsketen er al is, wat de uitkomst voor de directe scope ook is.
Hoe ziet een resultaat er concreet uit?
Een ziekenhuis met 500 medewerkers selecteert "Gezondheidszorg" en "Groot": essentiële entiteit, CyFun Essential, 218 controles, met de deadline van 18 april 2027 voor de conformiteitsbeoordeling (en de terugvaloptie van 2028 bij een remediatieplan [3]). Een webbureau met 4 medewerkers, geen Bijlage I/II-sector en geen overheidsklanten valt buiten scope, met de opmerking dat een beveiligingsvragenlijst van een klant het eerste teken van een verandering zou zijn.
Een logistiek bedrijf van 90 mensen (middelgroot) heeft geen eigen Bijlage I/II-dienst, maar wel drie klanten in energie, gezondheidszorg en bankwezen. Het valt zelf buiten directe scope, en alle drie de klantsectoren staan in Bijlage I. De druk vanuit de keten is dus bijna zeker, niet theoretisch.
Is de scope na zeven vragen nog niet duidelijk? De pagina NIS2-richtlijn in België behandelt de volledige wettekst, en de NIS2-boetecalculator toont wat het kan kosten om binnen scope te vallen en niets te doen.
Veelgestelde vragen
- Hoe nauwkeurig is een resultaat op basis van 7-8 vragen?
- Het classificeert de duidelijke gevallen correct: een ziekenhuis met 500 medewerkers is essentieel, een consultancy met 4 medewerkers en geen Bijlage I/II-sector valt buiten scope. Groepsstructuur, grensoverschrijdende activiteit en subclassificaties van sectoren kunnen een grensgeval nog veranderen. Daarvoor heb je het volledige CCB-werkblad of een review door een consultant nodig, geen vijf extra vakjes.
- Gebruikt het resultaat artificiële intelligentie?
- Nee. Het resultaat komt uit vaste regels, overgenomen van het NIS2 Scope Assessment-werkblad [1] en de CyFun Selection Tool [5] van het CCB, en draait in de browser. Er verlaten geen gegevens de browser, tenzij je de PDF per e-mail aanvraagt.
- Mijn sector staat niet op de lijst. Ben ik veilig?
- Waarschijnlijk buiten directe NIS2-scope. Maar klanten in essentiële NIS2-sectoren (ziekenhuizen, banken, energie, overheid, telecom) moeten hun eigen leveranciers beoordelen. Wie aan zo’n sector verkoopt, krijgt dus vroeg of laat een beveiligingsvragenlijst. De stap over de toeleveringsketen hierboven toont welke van je klantsectoren die druk meebrengen.
- Wat gebeurt er als een bedrijf binnen scope valt?
- Registratie op Safeonweb@Work [4] (de deadlines waren 18 december 2024 voor digitale sectoren en 18 maart 2025 voor alle andere), maatregelen voor het beheer van cyberrisico’s, en melding van significante incidenten aan het CCB, een plicht sinds 18 oktober 2024 [2]. Essentiële entiteiten krijgen daarbovenop een conformiteitsbeoordeling, met deadline 18 april 2027.
- Is essentieel of belangrijk zijn hetzelfde als het CyFun-niveau?
- Nee, het zijn twee aparte vragen. De wet bepaalt of je essentieel of belangrijk bent op basis van sector en grootte. Het risicomodel van het CCB wijst apart een CyberFundamentals-niveau aan (Basic, Important of Essential), en een kleine belangrijke entiteit kan op CyFun Basic uitkomen als vertrekpunt. Dat is niet het niveau van een formele beoordeling.
Andere gratis tools
- NIS2-boetecalculator Kies wat de Belgische NIS2-wet van je bedrijf maakt en geef je groepsomzet in. Zie de hoogste boete die ze toelaat.
- Meldklok voor incidenten Geef in wanneer je een cyberincident ontdekte. Krijg elke Belgische NIS2-meldtermijn bij het CCB, plus de AVG 72-uurstermijn, tot op de minuut.
- NIS2-bestuursplicht-memo Wat het bestuursorgaan van een bedrijf zelf moet goedkeuren, opvolgen, volgen als opleiding en verantwoorden onder de Belgische NIS2-wet. Een memo van één pagina om af te drukken of te mailen, voor essentiële en belangrijke entiteiten.
2026-11-03
Berekend met de gratis tool op https://easycyberprotection.com/nl/learn/tools/nis2-scope-check/, door Easy Cyber Protection.