CyFun-begeleiding in België: naar verificatie of certificering
Haal tijdig het CyFun®-niveau dat het CCB verwacht. We bakenen uw NIS2-verplichtingen af, dichten de gaps op de CyFun®-kernmaatregelen en bereiden het bewijs voor dat uw conformiteitsbeoordelingsinstantie zal controleren, onder leiding van een ISO 27001 Lead Implementer.
CyberFundamentals (CyFun®) is het cybersecurityraamwerk van het Centrum voor Cybersecurity België (CCB) en de ruggengraat van de conformiteitsbeoordeling onder de Belgische NIS2-wet van 26 april 2024 en het koninklijk besluit van 9 juni 2024. Het telt drie cumulatieve zekerheidsniveaus: Basic, Important en Essential. Basic en Important worden geverifieerd, Essential wordt gecertificeerd, telkens door een conformiteitsbeoordelingsinstantie (CAB) die door BELAC geaccrediteerd en door het CCB erkend is; een positief resultaat geeft u een vermoeden van conformiteit met de NIS2-beveiligingsmaatregelen. Essentiële entiteiten moeten een regelmatige conformiteitsbeoordeling ondergaan: volgens het CCB moeten ze tegen 18 april 2027 conformiteit op Essential-niveau aantonen, of een remediëringsplan met een verificatie op Important-niveau indienen om Essential te halen tegen 18 april 2028. Belangrijke entiteiten hebben geen formaliteit te vervullen maar moeten de maatregelen wel toepassen, en een vrijwillige verificatie is de eenvoudigste manier om dat aan te tonen. ICTLAB bereidt u voor op die beoordeling; wij beoordelen of certificeren u niet, zodat de audit van de CAB onafhankelijk blijft. We bepalen uw entiteitscategorie en uw CyFun®-niveau, meten uw maturiteit op de kernmaatregelen (gescoord op beleid en op implementatie), stellen de remediëringsroadmap op, schrijven het beleid en de procedures, bouwen het bewijsdossier en voeren een interne pre-audit uit vóór het bezoek van de CAB. CyFun® 2023 en CyFun® 2025 bestaan naast elkaar tot 18 april 2027, dus we helpen u ook de juiste versie te kiezen. Hebt u al ISO 27001, of plant u het? Dan mappen we CyFun® op uw verklaring van toepasselijkheid, zodat één programma beide dient.
Wat we leveren
Scoping & keuze van het CyFun-niveau
Bevestiging van uw NIS2-categorie (essentiële of belangrijke entiteit), de scope van de beoordeling (de hele organisatie, of een gedocumenteerde IT/OT-scheiding) en het CyFun®-niveau, op basis van uw risicoanalyse en de selectietool van het CCB. Doorlooptijd: 1 tot 2 weken.
Gapanalyse op de kernmaatregelen
Een begeleide CyFun®-zelfevaluatie van elke vereiste van uw niveau, gescoord op beleid en implementatie, met bijzondere aandacht voor de kernmaatregelen zoals back-ups, multifactorauthenticatie en patchbeheer. Doorlooptijd: 2 tot 4 weken.
Remediëringsroadmap
Een geprioriteerd plan dat eerst de kernmaatregelen aanpakt, met verantwoordelijken, inschatting van de inspanning en mijlpalen die aansluiten op de CCB-data. Het kan ook dienen als het remediëringsplan dat de overgangsaanpak van het CCB van essentiële entiteiten vraagt. Geleverd samen met het gaprapport.
Beleid, procedures & technische maatregelen
De documenten die CyFun® verwacht (beveiligingsbeleid, toegangsbeheer, back-ups, kwetsbaarheidsbeheer, incidentrespons met melding aan het CCB, leveranciersbeveiliging) en concrete ondersteuning bij de technische maatregelen. Indicatieve doorlooptijd: 2 tot 9 maanden, afhankelijk van niveau en vertrekpunt.
Bewijsdossier
Een gestructureerd bewijsdossier per vereiste en per kernmaatregel (documenten, schermafbeeldingen, logs, registraties), gekoppeld aan uw zelfevaluatie zodat de CAB het efficiënt kan controleren. Opgebouwd tijdens de remediëring.
Interne pre-audit & begeleiding tijdens de CAB-beoordeling
Een proefbeoordeling zoals de CAB ze zal uitvoeren, daarna begeleiding vóór en tijdens de verificatie- of certificeringsaudit, opvolging van de bevindingen en de aanvraag van het CyFun®-label in het Safeonweb@work-portaal. Doorlooptijd: pre-audit 1 tot 2 weken vóór het bezoek van de CAB.
Hoe we werken
Scope & niveau
Bevestig uw NIS2-categorie, bepaal de scope en kies het CyFun®-niveau en de versie (2023 of 2025), met een gedocumenteerde risicoverantwoording.
Gapanalyse
Voer de CyFun®-zelfevaluatie uit met uw teams en meet de maturiteit van beleid en implementatie voor elke vereiste en kernmaatregel.
Roadmap
Prioriteer de gaps, kernmaatregelen eerst, en plan het werk volgens de CCB-mijlpalen van 18 april 2027 en, indien nodig, 18 april 2028.
Remediëring & documentatie
Schrijf het beleid en de procedures, implementeer de technische maatregelen en verzamel gaandeweg het bewijs.
Interne pre-audit
Toets het bewijsdossier aan de vereisten van uw niveau en werk de laatste gaps weg voordat u de CAB vastlegt.
CAB-beoordeling & label
Begeleid u tijdens de verificatie of certificering door uw erkende CAB, sluit de bevindingen af en vraag het CyFun®-label aan.
Technologieën die we gebruiken
Veelgestelde vragen
Wat is CyFun en wie heeft het nodig?
CyFun® (CyberFundamentals) is het cybersecurityraamwerk van het Centrum voor Cybersecurity België (CCB). Het steunt op het NIST Cybersecurity Framework, ISO/IEC 27001 en 27002, de CIS Controls en IEC 62443, en het is gratis. Volgens de Belgische NIS2-wet van 26 april 2024 moeten essentiële entiteiten een regelmatige conformiteitsbeoordeling ondergaan, waarvoor CyFun® de referentieroute is. Belangrijke entiteiten kunnen een vrijwillige CyFun®-verificatie gebruiken om een vermoeden van conformiteit te krijgen, en leveranciers zetten het steeds vaker in om de beveiligingsvragenlijsten van hun klanten te beantwoorden.
Welk CyFun-niveau heb ik nodig: Basic, Important of Essential?
Het niveau volgt uit uw risicoanalyse, ondersteund door de CyFun®-selectietool van het CCB. Voor essentiële entiteiten verwacht het CCB maatregelen op het niveau Essential, tenzij een gedocumenteerde risicoanalyse een lager niveau verantwoordt: een keuze die de entiteit op eigen verantwoordelijkheid maakt (artikel 7 van het koninklijk besluit van 9 juni 2024) en die de inspectiedienst kan toetsen. Belangrijke entiteiten mikken doorgaans op Basic of Important, afhankelijk van hun risicoprofiel. De niveaus zijn cumulatief: Important bevat Basic, en Essential bevat beide.
Wat is het verschil tussen CyFun-verificatie en CyFun-certificering?
Verificatie geldt voor de niveaus Basic en Important: de CAB controleert uw zelfevaluatie en de kernmaatregelen en reikt een verificatieverklaring uit. Certificering geldt voor het niveau Essential: een grondigere audit, met bewijs van implementatie voor elke kernmaatregel, die tot een certificaat leidt. In beide gevallen moet de CAB geaccrediteerd zijn door BELAC (of een gelijkwaardige accreditatie-instelling) en erkend door het CCB; zodra de beoordeling afgerond is, kunt u een CyFun®-label aanvragen in het Safeonweb@work-portaal.
Wat zijn de deadlines van het CCB voor CyFun?
Voor essentiële entiteiten legde het CCB een eerste mijlpaal vast op 18 april 2026 (minstens een CyFun®-verificatieverklaring Basic of Important, intussen verstreken). Tegen 18 april 2027 moeten ze een CyFun® Essential-certificaat hebben wanneer Essential het toepasselijke niveau is. Volgens de overgangsaanpak die het CCB in augustus 2026 communiceerde, kan een entiteit die daar nog niet staat een remediëringsplan met een CyFun® Important-verificatie indienen en Essential halen tegen 18 april 2028. Entiteiten die een lager niveau verantwoord hebben, moeten tegen 18 april 2027 hun conformiteit met dat niveau aantonen. Entiteiten die later binnen het toepassingsgebied vielen, controleren best hun eigen tijdlijn bij het CCB.
Reikt ICTLAB het CyFun-certificaat of de verificatieverklaring uit?
Nee. Alleen een conformiteitsbeoordelingsinstantie die door BELAC geaccrediteerd en door het CCB erkend is, kan u verifiëren of certificeren; het CCB publiceert de lijst van erkende CAB's op Safeonweb@work. ICTLAB bereidt u voor: scoping, gapanalyse, remediëring, bewijsdossier en interne pre-audit, en daarna begeleiding tijdens de audit van de CAB. Net die scheiding tussen voorbereiding en beoordeling maakt het resultaat geloofwaardig voor het CCB, uw klanten en uw directie.
Hoelang duurt de CyFun-voorbereiding en wat kost ze?
Dat hangt af van uw niveau, omvang en vertrekpunt. Ter indicatie: een organisatie met een degelijke IT-hygiëne kan in ongeveer 2 tot 4 maanden klaar zijn voor een verificatie Basic of Important, terwijl een Essential-certificering doorgaans 6 tot 12 maanden remediëring vraagt. Het CyFun®-raamwerk en de tools zijn gratis; u betaalt het voorbereidende werk en de CAB, die haar beoordeling rechtstreeks factureert. ICTLAB maakt een offerte op aanvraag na een kort verkennend gesprek, en de gapanalyse geeft de betrouwbaarste raming van de resterende inspanning.
Kun je CyFun combineren met ISO 27001?
Ja, en vaak is dat de efficiëntste optie. ISO 27001 levert het managementsysteem (risicoproces, interne audit, managementreview, continue verbetering) en CyFun® de basis van maatregelen die het CCB erkent. Voor NIS2 telt een ISO 27001-certificaat alleen als de scope de hele organisatie dekt en de verklaring van toepasselijkheid gelijkwaardig is aan uw CyFun®-niveau. Door de CyFun®-eisen in de verklaring van toepasselijkheid op te nemen, dient één certificaat zowel uw internationale klanten als de Belgische toezichthouder, en het CCB kan een CyFun®-label uitreiken op basis van een ISO/IEC 27001:2022-certificaat.
Van onze blog
8 november 2026
Wat kost een ISO 27001-certificering in België?
Wat kost ISO 27001-certificering in België in 2026? Begeleiding, fase 1- en fase 2-audit, toezicht en interne inzet per bedrijfsgrootte. Raam nu uw budget.
8 november 2026
CyFun of ISO 27001? Wat kiezen voor NIS2 in België
CyFun of ISO 27001 voor NIS2 in België? Vergelijk niveaus, vermoeden van conformiteit, inspanning en de deadline van april 2027. Kies uw route.
5 november 2026
ISMS en ISO 27001-audit: wat de auditor controleert, stap voor stap
Hoe een ISMS wordt geaudit voor ISO 27001: verplichte documenten, fase 1 en 2, non-conformiteiten en de NIS2-route in België. Word audit-ready.
13 juni 2026
DORA vs NIS2: overlap, verschillen en welke van toepassing is
DORA en NIS2 reguleren beide cyberweerbaarheid, maar welke is op u van toepassing? Toepassingsgebied, de lex specialis-regel, de vijf DORA-pijlers, kerndata en een beslissingsgids voor Belgische entiteiten.
13 juni 2026
DORA ICT-derdenrisico: uw register van informatie opbouwen
De derdenregels van DORA (Art. 28 tot 30): wat het register van informatie moet bevatten, de verplichte contractclausules (Art. 30(2) vs 30(3)), kritieke of belangrijke functies en de rapportagedeadlines van 2025.
12 juni 2026
NIST CSF 2.0 voor Europese kmo’s: een praktische implementatiegids
Stapsgewijze gids voor NIST Cybersecurity Framework 2.0 voor Europese kmo’s: de zes functies (Govern, Identify, Protect, Detect, Respond, Recover), tiers, profielen en de link met NIS2 en ISO 27001.
Gerelateerde diensten
NIS2-compliance
Navigeer NIS2 met vertrouwen. We helpen Belgische organisaties hun verplichtingen te begrijpen, compliance-gaps te dichten en de beveiligingscapaciteiten op te bouwen die de richtlijn vereist.
ISO 27001-certificering
Word certificeringsklaar zonder de overhead. We bouwen een passend ISO/IEC 27001:2022-ISMS: risicogebaseerd, auditklaar, geïntegreerd met uw NIS2-, AVG- en DORA-verplichtingen en begeleid door een ISO 27001 Lead Implementer.
Beveiligingsaudit
Uitgebreide evaluatie van uw beveiligingspositie tegen industrienormen. Onze audits identificeren gaps en bieden bruikbare remediatieplannen.
Klaar om te beginnen?
Laten we bespreken hoe we u kunnen helpen uw doelen te bereiken.
Neem contact op