CCB (Centrum voor Cybersecurity België): Audit

Datum: 2026-04-03 Categorie: Veiligheid & Inlichtingen Status huidig: Federaal, opgericht onder de Eerste Minister (FOD Kanselarij); de Ministerraad keurde op 3 juli 2026 de overheveling naar de minister van Veiligheid en Binnenlandse Zaken goed Lijn: CCB (Centrum voor Cybersecurity België): Onder Eerste Minister

Fase 1: Diepteonderzoek

1A. Wat is het precies?

Officiële naam: Centrum voor Cybersecurity België (CCB) / Centre for Cybersecurity Belgium Juridische basis: Koninklijk Besluit van 10 oktober 2014 (BS 21 november 2014), gewijzigd bij KB van 16 februari 2022 (nationaal coördinatiecentrum onder Verordening 2021/887) en KB van 16 oktober 2022. De NIS2-richtlijn werd in Belgisch recht omgezet via de wet van 26 april 2024 (in werking sinds 18 oktober 2024), uitgevoerd door het KB van 9 juni 2024. Opgericht: 2014 (operationeel sinds 2015) Bestuursniveau: Federaal. Opgericht bij de FOD Kanselarij van de Eerste Minister en onder diens gezag geplaatst. Op 3 juli 2026 keurde de Ministerraad een ontwerp van koninklijk besluit goed dat het CCB onder de minister van Veiligheid en Binnenlandse Zaken plaatst en het aanwijst als nationale cyberhub. Locatie: Wetstraat 18, 1000 Brussel

Leiding:

• Directeur-generaal: Miguel De Bruycker (sinds 2015, mandaat in 2025 hernieuwd voor vijf jaar)
• Adjunct directeur-generaal: Phédra Clouner (idem)

Personeel: ~140 cybersecurity-experts (2025), gegroeid van 2 medewerkers bij de start in 2014

Budget: Niet publiek gedetailleerd. Het CCB publiceert geen eigen begroting of jaarrekening; zijn middelen zitten in de begroting van de FOD Kanselarij. Alleen al het contract voor dreigingsinformatie (threat intelligence feeds) is €35 miljoen waard over vier jaar (2025-2028), ongeveer €9 miljoen per jaar. Met ongeveer 140 medewerkers ligt het totale werkingsbudget naar ruwe eigen raming rond €20-30 miljoen per jaar; een officieel cijfer is niet gepubliceerd. Ter vergelijking: het Zwitserse BACS gaf in 2025 CHF 18,4 miljoen uit (ongeveer €20 miljoen) met 71 medewerkers.

Organisatiestructuur. 4 kernonderdelen:

1. CyTRIS (Cyber Threat Research & Intelligence Sharing): dreigingsanalyse en intelligence
2. CERT.be: het nationale Computer Emergency Response Team (CSIRT), 24/7 incidentrespons
3. NCCA (National Cybersecurity Certification Authority): certificering onder de EU Cybersecurity Act
4. NCC-BE (National Cybersecurity Coordination Centre Belgium): EU-coördinatie onder Verordening 2021/887

1B. Wat doet het in de praktijk?

Kerntaken:

• Uitvoeren van het nationaal cyberveiligheidsbeleid
• Coördinatie bij cyberincidenten en -crisissen (in samenwerking met NCCN)
• Toezicht op de NIS2-richtlijn: registratie en controle van essentiële en belangrijke entiteiten
• Beheer van Safeonweb (burgergericht) en Safeonweb@Work (bedrijfsgericht)
• Dreigingsanalyse en intelligence-sharing
• Cyberbeveiligingscertificering (NCCA)
• Ontwikkeling van het CyberFundamentals Framework als referentiekader
• Internationale vertegenwoordiging (ENISA, EU, NATO CCDCOE)

Prestaties 2024-2025 (operationele cijfers):

• Meer dan 9 miljoen verdachte berichten doorgestuurd naar suspicious@safeonweb.be in 2024, 9.929.354 in 2025
• 44% van de Belgen stuurt verdachte berichten door (enquête december 2024; 39% in 2023)
• 635 incidentmeldingen in 2025 (bijna +70% t.o.v. 2024)
• 556 daarvan cybergerelateerd (+58%)
• 105 ransomware-incidenten (109 in 2024)
• 144 account-compromitteringen
• 103 noodinterventies
• 32.005 gerichte "spear warnings" (bijna +43% t.o.v. 2024)
• ~4.000 entiteiten geregistreerd onder NIS2 (~1.500 essentieel + ~2.500 belangrijk, begin 2026)

Overlap met andere instellingen:

• VSSE en ADIV: inlichtingendiensten met eigen cyber-capaciteit. CCB is lid van het CCIV/CCRS (Coördinatiecomité Inlichtingen & Veiligheid)
• NCCN: crisiscoördinatie. CCB levert de technische cyberpoot
• FOD Economie: consumentenbescherming bij online fraude
• Federale Politie: FCCU (Federal Computer Crime Unit) voor opsporing
• Belgisch Instituut voor Postdiensten en Telecommunicatie (BIPT): telecombeveiliging
• Smals: ICT-infrastructuur overheid

Klant: Zowel burgers (via Safeonweb) als bedrijven (Safeonweb@Work, NIS2-toezicht) als overheden (CERT.be-diensten, crisisrespons)

Evaluaties: Geen specifieke Rekenhof-audit gevonden. België scoort 96,8 op 100 in de Global Cybersecurity Index 2024 van de ITU (hoogste categorie). In de National Cyber Security Index (NCSI) schommelt de score sterk: 94,17 en een vijfde plaats wereldwijd in 2025, 81,67 en een 37e plaats na de update van augustus 2026, vooral door een lage score op cyberbeveiligingsbeleid.

1C. Internationale vergelijking

Conclusie internationale vergelijking: België's CCB presteert goed voor zijn omvang. Met ~140 medewerkers is het groter dan het Zwitserse BACS (71), maar beduidend kleiner dan Duitsland (BSI: ongeveer 1.870) en Nederland (NCSC: ruim 500). De plaatsing onder de Eerste Minister is uitzonderlijk. De meeste landen plaatsen cybersecurity onder Defensie, Binnenlandse Zaken, een inlichtingendienst of een telecomautoriteit. Het voordeel van de Belgische constructie is de korte lijn naar de regering; het nadeel is beperkte institutionele zelfstandigheid.

1D. Knelpunten en kritiek

1. Schaalprobleem: ~140 medewerkers voor een land met 11,9 miljoen inwoners (2026) en duizenden NIS2-entiteiten is krap. Duitsland heeft ruim 13 keer zoveel personeel voor 7 keer zoveel inwoners. Nederland werkt met ruim 500 mensen voor 18,1 miljoen inwoners.

2. Budgettaire ondoorzichtigheid: Het CCB publiceert geen eigen begroting of jaarrekening. Het budget zit verborgen in de begroting van de FOD Kanselarij. Dat maakt parlementaire controle moeilijk.

3. Geen wettelijke onafhankelijkheid: Het CCB is geen autonome instelling of federaal agentschap, maar een dienst onder het rechtstreekse gezag van een minister (sinds de oprichting de Eerste Minister). Dit geeft politieke nabijheid, maar beperkt de operationele autonomie (benoemingen, budget, personeelsbeleid).

4. Overlap in het cyberecosysteem: Naast het CCB zijn ook VSSE, ADIV, FCCU (Federale Politie), BIPT, Smals en de regionale dienstenintegratoren actief op het vlak van cyberveiligheid. De coördinatie is verbeterd maar niet altijd helder.

5. NIS2-handhavingscapaciteit: Met 4.000 geregistreerde entiteiten en groeiende rapportageverplichtingen is de vraag of 140 medewerkers de toezichts- en handhavingsrol effectief kunnen invullen.

6. Snelheid van dreigingsevolutie: In 2023 werd een kwetsbaarheid gemiddeld al 5 dagen na bekendmaking misbruikt, tegenover 32 dagen in 2021-2022 (Google Mandiant). In de eerste helft van 2025 werd bijna een derde (32%) van de misbruikte kwetsbaarheden al op of vóór de dag van publicatie aangevallen (VulnCheck). Dit vereist 24/7-capaciteit die bij deze omvang onder druk staat.

Fase 2: Toetsing aan de 9 Principes

Synthese: 5× ✅, 4× ⚠️. Het CCB scoort goed op subsidiariteit, resultaatgerichtheid, digitaal-eerst en internationale aansluiting. De grootste verbeterpunten liggen bij transparantie (financieel), schaalgrootte (personeel/budget), eenvoud (overlap in cyberecosysteem) en financieringsmodel (geen eigen inkomstenbron).

Fase 3: HART-voorstel

3A. Classificatie

🟠 Hervormd Het CCB werkt goed en moet behouden blijven, maar verdient een versterking: meer onafhankelijkheid, meer middelen, meer transparantie, en een eigen financieringsbasis.

3B. Concreet voorstel

Wat verandert er:

1. Opwaardering tot autonoom federaal agentschap. Het CCB wordt een onafhankelijke federale instelling met eigen rechtspersoonlijkheid, eigen begroting en eigen jaarrekening. Vergelijkbaar met de FSMA (financiën) of het FANC (nucleair). Het rapporteert aan de Eerste Minister maar krijgt operationele autonomie.

2. Eigen financieringsbasis via NIS2-retributies. Naar het model van de FSMA (die zich financiert via bijdragen van de financiële sector) betalen NIS2-entiteiten een jaarlijkse retributie aan het CCB. Dit dekt de groeiende toezichtskosten zonder extra belastingdruk.

3. Verdubbeling van het personeelsbestand naar 250-300 medewerkers binnen vijf jaar. België kan niet met 140 medewerkers een land van 11,9 miljoen inwoners beveiligen terwijl het dreigingslandschap exponentieel groeit. Het Nederlandse NCSC (ruim 500 medewerkers, budget van ruim €23 miljoen in 2023 met een geplande stijging naar €42 miljoen) is de referentie.

4. Transparantieplicht: Jaarlijkse publicatie van een eigen jaarrekening, parlementaire hoorzitting, en een openbaar cyberveiligheidsrapport met duidelijke KPI's en benchmarking tegen EU-peers.

5. Stroomlijning cyberecosysteem: Formeel coördinatieprotocol tussen CCB, VSSE (cyber-inlichtingen), ADIV (militaire cyber), FCCU (opsporing), en BIPT (telecom). Een Belgisch model naar de Nederlandse Cyber Intel/Info Cel (CIIC), waarin informatie structureel gedeeld wordt.

6. Cyberbasis voor de hele overheid: zero trust als standaard voor alle overheidssystemen; een verplichte jaarlijkse security audit op alle bestuursniveaus, waarbij kleine gemeenten gedeelde diensten van het GovTech-agentschap gebruiken; één gedeeld Security Operations Center (SOC) in het gezamenlijke IT-bedrijf van de gemeenten en de deelstaten, gecoördineerd door het CCB; een cyberreserve van gespecialiseerde experts naar Ests model. Een data-embassy naar Ests voorbeeld wordt onderzocht.

Niveau: Federaal (behouden). Dit is een van de weinige domeinen waar federaal het enige juiste niveau is.

Internationaal model: Mix van het Zwitserse BACS (zelfstandig Bundesamt) en het Nederlandse NCSC (fusie tot één organisatie met fors verhoogd budget).

Geschatte financiële impact:

• Kost van de groei: 110 tot 160 extra medewerkers aan ongeveer €80.000 per persoon (loon en werkgeverslasten, maatstaf VSSE) plus werking en ICT = ongeveer €10-15 miljoen per jaar op kruissnelheid
• Retributies NIS2-entiteiten: ~2.500 belangrijke entiteiten × ongeveer €2.000 + ~1.500 essentiële × ongeveer €10.000 = ongeveer €20 miljoen per jaar; afhankelijk van de tarieven €10-25 miljoen per jaar
• Die retributies dekken de personeelsgroei, zodat de netto-kost voor de federale begroting ongeveer nul is
• ROI: elke euro in cybersecurity voorkomt een veelvoud aan schade (phishing alleen al kostte Belgische bankklanten ongeveer €49 miljoen in 2024)

Implementatiepad:

• Jaar 1-2: Wettelijk kader voor autonome status + retributiesysteem
• Jaar 2-3: Geleidelijke personeelsgroei, opbouw handhavingscapaciteit NIS2
• Jaar 4-5: Operationeel op volle capaciteit (250+ medewerkers), eerste eigen jaarrekening
• Vereist: een wet die het KB van 2014 vervangt, parlementaire goedkeuring, begrotingsaanpassing

Fase 4: Partijpunt (Website-klare tekst)

Deel A: Het partijpunt

CCB (Centrum voor Cybersecurity België): Hervormd Het CCB beschermt België tegen cyberaanvallen en doet dat goed, maar is te klein en te afhankelijk. We maken het een zelfstandig agentschap met eigen budget, gefinancierd door de bedrijven die het beschermt.

Deel B: De uitleg

Hoe het nu werkt

Het Centrum voor Cybersecurity België (CCB) is sinds 2014 de nationale autoriteit voor cyberveiligheid. Het werd opgericht onder de Eerste Minister en had in 2025 ongeveer 140 medewerkers. Het runt CERT.be (de nationale cyberwaakhond), beheert Safeonweb (waar burgers phishing melden), en houdt sinds oktober 2024 toezicht op ongeveer 4.000 bedrijven en organisaties onder de Europese NIS2-richtlijn. In 2025 kreeg Safeonweb bijna 10 miljoen verdachte berichten en ontving het CCB 635 incidentmeldingen.

Wat er mis gaat

Het CCB is te klein voor zijn groeiende takenpakket. Met ongeveer 140 medewerkers voor 11,9 miljoen Belgen en 4.000 NIS2-entiteiten zit het aan zijn limiet. Het Duitse BSI heeft ongeveer 1.870 medewerkers en een budget van €231 miljoen (2025), het Nederlandse NCSC ruim 500 medewerkers. België heeft daar een fractie van. Het budget is bovendien onzichtbaar: het zit verstopt in de begroting van de FOD Kanselarij, waardoor noch het parlement noch de burger kan zien wat cyberveiligheid kost. En het CCB heeft geen eigen rechtspersoonlijkheid. Het is een dienst, geen zelfstandig agentschap. Dat maakt het kwetsbaar voor politieke schommelingen in budget en benoemingen.

Ondertussen groeit de dreiging exponentieel. In 2023 werd een kwetsbaarheid gemiddeld al 5 dagen na bekendmaking misbruikt. In de eerste helft van 2025 werd bijna een derde van de misbruikte kwetsbaarheden al op of vóór de dag van publicatie aangevallen. Phishing kostte Belgische burgers en bedrijven in 2024 ongeveer €49 miljoen. De 105 ransomware-incidenten van 2025 zijn slechts het topje van de ijsberg.

Hoe het elders werkt

Zwitserland maakte van zijn cybersecuritycentrum op 1 januari 2024 een zelfstandig Bundesamt (BACS) met eigen begroting (CHF 18,4 miljoen uitgaven en 71 medewerkers in 2025). Nederland plande voor zijn NCSC een budgetstijging van ruim €23 miljoen (2023) naar €42 miljoen en bracht drie cyberdiensten samen in één organisatie met ruim 500 medewerkers. Duitsland voorziet voor 2026 een recordbedrag van €379 miljoen voor het BSI. De trend is overal dezelfde: cyberveiligheid wordt opgewaardeerd tot een zelfstandige, goed gefinancierde overheidsfunctie.

Het Britse NCSC hoort bij inlichtingendienst GCHQ en Zweden bracht zijn NCSC in 2024 onder bij de signaleninlichtingendienst FRA: plaatsing dicht bij de inlichtingendiensten werkt, maar vraagt transparantiemechanismen. De Nederlandse Cyber Intel/Info Cel (CIIC), waar politie, AIVD, MIVD, Openbaar Ministerie en NCSC sinds 2020 structureel informatie delen, is een model voor betere samenwerking zonder overlap.

Wat HART voorstelt

1. Maak het CCB een autonoom federaal agentschap met eigen rechtspersoonlijkheid, eigen begroting en eigen jaarrekening. Het rapporteert aan de Eerste Minister maar beslist zelf over personeel, ICT-investeringen en operationeel beleid.

2. Financier het deels via retributies van NIS2-bedrijven. Wie cyberbescherming geniet, draagt bij. Net zoals de FSMA gefinancierd wordt door de financiële sector, betalen NIS2-entiteiten een jaarlijkse bijdrage aan het CCB. Geschat: €10-25 miljoen per jaar, afhankelijk van bedrijfsgrootte.

3. Groei naar 250-300 medewerkers binnen vijf jaar. Ongeveer 140 medewerkers volstaan niet voor de NIS2-handhaving, 24/7-crisisrespons en de exponentieel groeiende dreigingen. Die groei kost ongeveer €10-15 miljoen per jaar en wordt gedragen door de retributies.

4. Publiceer een jaarlijkse eigen jaarrekening en verschijn voor het parlement. Transparantie over wat cyberveiligheid kost en wat het oplevert.

5. Richt een Belgische Cyber Intel/Info Cel op: een structureel samenwerkingsverband tussen CCB, VSSE, ADIV, FCCU en BIPT, naar Nederlands model. Geen nieuwe instelling, maar een geformaliseerd overleg.

6. Leg een cyberbasis onder de hele overheid. Zero trust wordt de standaard voor alle overheidssystemen. Elk bestuursniveau krijgt een verplichte jaarlijkse security audit; kleine gemeenten doen dat via gedeelde diensten van het GovTech-agentschap. Gemeenten en deelstaten bundelen hun beveiliging in één gedeeld Security Operations Center (SOC) in hun gezamenlijke IT-bedrijf, gecoördineerd door het CCB. Een cyberreserve van gespecialiseerde experts springt bij grote incidenten bij, naar Ests model.

Wat het oplevert

• Operationele slagkracht: een CCB dat groot genoeg is om 4.000+ entiteiten te monitoren en 24/7 crisisrespons te garanderen.
• Financiële transparantie: de burger ziet wat cyberveiligheid kost, het parlement controleert de besteding.
• Lagere nettokost: retributies van NIS2-bedrijven dekken de kost van de groei. De federale begroting wordt ontlast.
• Betere coördinatie: geen overlap meer tussen 7 entiteiten, maar gestructureerd informatiedelen.
• Preventieve besparing: elke euro in cybersecurity voorkomt een veelvoud aan schade. Phishing alleen kostte Belgische burgers en bedrijven ongeveer €49 miljoen in 2024. Een sterker CCB kan dat terugdringen.

Fase 5: Bronnenlijst

Samenvatting

• Herzien: 2026-09-27 (factcheck: cijfers, bronnen, tijdloze formulering)