Overheidsbeleid voor cyberveiligheid onder de loep van de Rekenhof

Temps de lecture: 7 min | 16 sep. 2026 à 04:00

In zijn verslag aan het federale parlement stelt het Rekenhof vast dat de nationale Cybersecuritystrategie 2.0 de ambitie heeft om de cyberveiligheid in België te versterken. Toch ontbreekt in de strategie een voldoende uitgewerkt implementatiekader. Daarnaast zijn de verantwoordelijkheden niet duidelijk afgebakend en wordt het behalen van de doelstellingen niet structureel opgevolgd.

Bovendien beschikt het Centrum voor Cybersecurity België (CCB) nog niet over alle nodige instrumenten om zijn rol ten volle te kunnen opnemen.

Het Rekenhof stipt ook aan dat het merendeel van de federale entiteiten er allicht niet in zal slagen om tijdig te voldoen aan de vereisten van de NIS2-wet. De deadline daarvoor is april 2027.

Nationale strategie, omzetting van de Europese regelgeving en uitvoering door de federale overheid

De toenemende digitalisering stelt de Belgische samenleving bloot aan een verhoogd risico op incidenten op het vlak van informatiebeveiliging. Dergelijke incidenten kunnen niet alleen individuele gebruikers treffen, maar ook de werking van organisaties, overheidsdiensten en kritieke infrastructuur ernstig in gevaar brengen. In die context is cyberveiligheid uitgegroeid tot een belangrijke uitdaging. Ze omvat alle organisatorische, technische en beleidsmaatregelen om digitale systemen, netwerken en gegevenste beschermen tegen cyberdreigingen.

De Europese Unie heeft al vroeg het belang van cyberveiligheid erkend als voorwaarde voor een goede werking van de interne markt. Zo verplichten de richtlijnen NIS1 (2016) en NIS2 (2022) de lidstaten ertoehun maturiteit op het vlak van cyberveiligheid te vergroten. De NIS2-richtlijn, die is omgezet in Belgischrecht, onderwerpt de meeste federale entiteiten aan strengere cyberveiligheidsvereisten.

In die context heeft België in mei 2021 de Cybersecuritystrategie 2.0 (2021-2025) aangenomen. Die nationale strategie moest van België tegen 2025 een van de minst kwetsbare landen in Europa op het vlakvan cyberveiligheid maken.In het kader van de NIS2-wet besliste de federale regering in 2024 ook werk te maken van een federalecyberveiligheidsstrategie, die specifiek gericht is op de federale entiteiten en hun informatiesystemen.Ze heeft tot doel om de uitgaven te rationaliseren en de uitvoering van de cyberveiligheidsprojecten beter te structureren.

Cyberveiligheid is van fundamenteel belang voor het overheidsoptreden en vereist gecoördineerde reacties en duidelijke governance, met name binnen de federale overheid.Het Rekenhof ging na hoe performant het overheidsbeleid voor cyberveiligheid is in België. Het onderzocht de context waarin de nationale strategie werd uitgewerkt en waarin ze wordt opgevolgd, de omzetting van de Europese regelgeving en de uitvoering ervan door de federale overheid. In dit verslagformuleert het Rekenhof aanbevelingen voor een betere beheersing en performantie.

CCB

Het Centrum voor Cybersecurity België (CCB) is de nationale cyberveiligheidsautoriteit. Sinds zijn oprichting in 2014 is het een centrale en betrouwbare speler geworden op het vlak van cyberveiligheid inBelgië, door zijn succesvolle projecten en doorgedreven communicatie. Het CCB is organisch gegroeid vanuit operationele activiteiten in verband met het beheer van cyberincidenten en -kwetsbaarheden.Diverse wetteksten hebben zijn opdrachten en bevoegdheden geleidelijk aan uitgebreid. Daardoor iseen strategische en juridische verduidelijking van zijn rol nu noodzakelijk.Hoewel het CCB er steeds in is geslaagd goed met zijn uitbreiding om te gaan, zou het instrumenten kunnen ontwikkelen om zijn groei volledig onder controle te houden, onder meer door een eigen strategie uit te werken die al zijn diensten en activiteiten omvat.

Als de groei in hetzelfde tempo doorgaat, zou het CCB geconfronteerd kunnen worden met bepaalde risico’s voor zijn interne processen en voorsommige ondersteunende functies.Het Rekenhof beveelt tot slot aan dat het CCB de standpunten van alle stakeholders op een gestructureerde manier in kaart brengt. Zo kan het zijn acties doeltreffender maken en garanderen dat het zijn wettelijke verplichtingen op een coherente manier uitvoert.

Cybersecuritystrategie 2.0 (2021-2025)

De Cybersecuritystrategie 2.0 getuigt van de beleidsambitie om de cyberveiligheid in België te versterken. Ze heeft het ook mogelijk gemaakt de cyberweerbaarheid te verhogen. De zes strategische doelstellingen sluiten aan bij internationale referentiekaders en weerspiegelen een brede consensus overde belangrijkste uitdagingen binnen het Belgische cyberlandschap. De uitvoering en aansturing van destrategische ambities maken echter geen deel uit van een samenhangend kader.

Het CCB coördineert weliswaar de Cybersecuritystrategie 2.0, maar de uitvoering ervan vereist de betrokkenheid van talrijke overheidsactoren. Ook de federale administraties en veiligheidsdiensten hebben een rol te spelen, net als de sectorale overheden die toezien op de kritieke infrastructuren en de instellingen van de gefedereerde entiteiten die digitale diensten aanbieden en zorgen voor bewustmaking bij burgers en bedrijven.

Ondanks de centrale coördinerende rol die het CCB uitoefent, heeft het echter geen dwingende bevoegdheid. Bovendien volstaan de bestaande overlegstructuren niet als aansturingsinstrument.

De uitgaven voor cyberveiligheid zijn verdeeld over de kredieten van verschillende basisallocaties (personeelsbezoldiging, werkingskosten en IT-investeringen), zonder duidelijke link met de strategische doelstellingen. Die budgettaire verdeling bemoeilijkt de beoordeling van de uitgaven die daadwerkelijk aan cyberveiligheid worden besteed en belemmert een doelgerichte inzet van middelen. In het kader van de jaarlijkse rapportering aan de regering verklaarden acht federale instellingen die actief zijnop het vlak van veiligheid (het CCB, Defensie, de Federale Politie, het Openbaar Ministerie, de FOD Buitenlandse Zaken, de Veiligheid van de Staat, het OCAD en het Nationaal Crisiscentrum) dat ze in2021 in totaal 40,3 miljoen euro hebben uitgegeven aan cyberveiligheid. Voor 2025 raamden ze die uitgaven op 80,8 miljoen euro.

Tot slot bepaalt de strategie niet precies hoe de stakeholders moeten worden betrokken, noch welk evaluatiekader moeten worden gebruikt om de geboekte vooruitgang te meten.De Cybersecuritystrategie 2.0 is vandaag nog altijd van toepassing. Er wordt inmiddels wel gewerkt aaneen volgende strategie.

Federale cyberveiligheidsstrategie

De federale cyberveiligheidsstrategie past in de naleving van de NIS2-wet, die de federale entiteitenertoe verplicht strikte veiligheidscontroles in te voeren tegen 18 april 2027. Uit de audit blijkt echter dat de meeste federale entiteiten die aan de NIS2-wet onderworpen zijn, enkel basiscontroles toepassen,waarvan het niveau minder hoog is dan vereist. De federale administraties moeten dus aanzienlijke inspanningen leveren om het vereiste niveau te halen tegen april 2027.

Het CCB creëerde het CyberFundamentals Framework (CyFun), een referentiekader om de veiligheidscontroles voor te bereiden die de NIS2-wet oplegt. Het biedt de entiteiten de mogelijkheid om een certificering te halen op basis van controles met minder strenge vereisten, die aansluiten bij hun activiteiten.De FOD BOSA moet de federale cyberveiligheidsstrategie coördineren en de federale entiteiten ondersteunen, maar beschikt nog niet over de nodige capaciteit om dat te doen. Dat dreigt de naleving van deNIS2-deadline in gevaar te brengen.Wat de NIS2-wet betreft, zijn de rollen, verantwoordelijkheden en opdrachten van de verschillende cyberveiligheidsactoren op federaal niveau immers onvoldoende duidelijk gedefinieerd. Daarnaast vallen bepaalde entiteiten die een zeer hoog beveiligingsniveau vereisen, zoals Defensie, de GeïntegreerdePolitie, de gerechtelijke autoriteiten of de inlichtingen- en veiligheidsdiensten, niet onder de NIS2-wet.Die verschillen in het toezicht op overheidsentiteiten dreigen de Belgische veiligheidsarchitectuur te verzwakken.

Tot slot hebben de betrokken entiteiten hun controles niet geformaliseerd en testen ze hun herstelprocedures niet regelmatig. Bij een cyberaanval moeten ze nochtans snel en doeltreffend kunnen reageren onder druk. Ook voldoen de meeste huidige risicoanalyses niet aan de eisen van hetCyFun-referentiekader.

De entiteiten kunnen hun middelen bundelen om sommige van die tekortkomingen weg te werken enzo de naleving van de NIS2-wet te optimaliseren en te versnellen. De FOD BOSA is bovendien een CISOas-a-Service-cel (CISOaaS) aan het creëren om die bundeling van middelen te ondersteunen en synergiete bevorderen. De cel zal projecten moeten opvolgen, de entiteiten informeren over de NIS2-vereisten,investeringen coördineren om de uitgaven te optimaliseren en een expertisenetwerk onderhouden.

Tegensprekelijke procedure

Het Rekenhof heeft alle antwoorden verwerkt, en besteedde daarbij bijzondere aandacht aan de reacties van de eerste minister en van het CCB. De opmerkingen die het relevant achtte, heeft het in zijn verslag verwerkt. In dat opzicht is het Rekenhof van oordeel dat het noodzakelijk blijft om de strategischeaansturing te versterken, om prestatiegerichte indicatoren te ontwikkelen en om beter rekening te houden met de stakeholders. Het herinnert eraan dat de strengere eisen van de NIS2-wet ook al als goedepraktijken van toepassing waren op het moment dat de Cybersecuritystrategie 2.0 werd uitgetekend.