NIS2 en Belgique : guide de conformité étape par étape

Un parcours pratique dans la loi NIS2 belge : confirmer le périmètre, s'enregistrer auprès du CCB, choisir un niveau CyFun ou ISO/IEC 27001, signaler les incidents et réussir l'évaluation de la conformité.

Réponse rapide : essayez le vérificateur de périmètre NIS2 gratuit, et découvrez ce que NIS2 signifie pour votre secteur dans l'aperçu de tous les 18 secteurs NIS2.

Ce guide s'adresse à la personne qui doit mettre en œuvre NIS2 au sein d'une organisation belge, qu'elle soit CISO, responsable informatique, responsable de la conformité ou vCISO externe. Il couvre l'ensemble du parcours : confirmer le périmètre, s'enregistrer auprès du CCB, choisir un niveau d'assurance, combler les lacunes et réussir une évaluation de la conformité. Vous terminerez avec un plan daté, des responsables et les preuves que chaque étape doit produire, ordonnées par ce qu'un superviseur demandera en premier.

Avant de commencer

Nommez un seul coordinateur NIS2 ayant un accès direct à l'organe de direction. Rassemblez les données de l'entité juridique (numéro d'entreprise, effectifs, chiffre d'affaires, bilan, liens de groupe) et une liste des services fournis en Belgique et ailleurs dans l'UE. Vous aurez également besoin d'une personne autorisée à se connecter à Safeonweb@Work au nom de l'entreprise. Enfin, inscrivez à l'agenda la date du premier briefing de la direction. En vertu de NIS2, l'organe de direction approuve et supervise les mesures de gestion des risques, de sorte que ses membres doivent être impliqués dès le départ.

Étape 1 : Confirmer le périmètre et la classification

En vertu de la loi belge, NIS2 couvre les entités d'un type énuméré aux annexes I ou II qui sont au moins de taille moyenne selon la recommandation 2003/361/CE de la Commission. Elle couvre également certaines entités indépendamment de leur taille, telles que les fournisseurs de services DNS, les registres de domaines de premier niveau, les prestataires de services de confiance qualifiés et les fournisseurs publics de services de communications électroniques^[4]. Les grandes entités de l'annexe I sont généralement essentielles. Les entités de taille moyenne de l'annexe I et toutes les entités de l'annexe II concernées sont généralement importantes. Le CCB propose un outil de test de périmètre sur Safeonweb@Work.^[3].

• Associez chaque service à un secteur et sous-secteur des annexes I ou II. Enregistrez la raison de cette association.
• Calculez la taille en utilisant l'effectif et les données financières. Incluez les entreprises liées et partenaires comme la recommandation l'exige.
• Vérifiez si une règle indépendante de la taille s'applique et si le CCB a identifié directement l'organisation.
• Enregistrez le résultat comme essentielle, importante ou hors périmètre, et faites-le approuver.

Étape 2 : S'enregistrer auprès du CCB sur Safeonweb@Work

L'enregistrement s'effectue via un formulaire en ligne sur Safeonweb@Work. Les entités de certains secteurs numériques devaient s'enregistrer avant le 18 décembre 2024. Toutes les autres entités essentielles et importantes, ainsi que les fournisseurs de services d'enregistrement DNS, devaient s'enregistrer avant le 18 mars 2025^[2]. Si vous ne vous êtes pas encore enregistré, faites-le maintenant.

• Enregistrez l'entité juridique, son ou ses secteur(s), les coordonnées, les plages d'adresses IP publiques et les États membres de l'UE où vous fournissez des services.
• Désignez au moins deux contacts afin que la communication en cas d'incident ne dépende pas d'une seule personne.
• Planifiez une vérification des données d'enregistrement tous les trimestres. Notifiez le CCB des modifications immédiatement. La directive autorise au maximum deux semaines^[4].

Étape 3 : Informer et former l'organe de direction

L'organe de direction doit approuver les mesures de gestion des risques en matière de cybersécurité et superviser leur mise en œuvre. Il peut être tenu responsable si l'entité manque à ses obligations. Ses membres doivent également suivre une formation afin de pouvoir identifier les risques et évaluer les pratiques en matière de cybersécurité^[2]. Le CCB considère la formation comme une étape initiale et encourage également la sensibilisation continue du personnel.^[3].

• Organisez une session de formation pour les administrateurs sur les obligations NIS2, le profil de risque de l'organisation et la façon dont les incidents sont remontés.
• Convenez d'un point d'ordre du jour permanent sur la cybersécurité avec une fréquence fixe, au moins trimestrielle.
• Consigner l'approbation du programme NIS2, du budget et de la voie de conformité choisie.

Étape 4 : Choisir la voie de conformité et le niveau CyFun

En Belgique, une présomption de conformité découle de l'un de deux référentiels reconnus : CyberFundamentals (CyFun) ou ISO/IEC 27001. CyFun comporte trois niveaux d'assurance : BASIC, IMPORTANT et ESSENTIAL. L'outil de sélection CyFun du CCB, qui s'appuie sur une évaluation des risques, vous indique quel niveau convient^[3]. Le niveau ESSENTIAL est la cible normale pour les entités essentielles. Une entité essentielle qui souhaite travailler à un niveau inférieur doit pouvoir justifier ce choix, et les inspecteurs peuvent sanctionner un niveau qui est à tort trop bas^[2]. La voie ISO/IEC 27001 nécessite un périmètre et une déclaration d'applicabilité qui couvrent les services NIS2 et que le CCB accepte.

• Exécutez l'outil de sélection CyFun et enregistrez le résultat.
• Si vous disposez déjà de la certification ISO/IEC 27001, vérifiez que son périmètre couvre tous les services et sites concernés.
• Décidez quelle version de CyFun utiliser. CyFun 2025 a été publié le 29 octobre 2025, et CyFun 2023 reste disponible uniquement pour une période de transition.^[5].

Étape 5 : Réaliser une analyse des écarts et construire un plan par phases

L'approche suggérée par le CCB comprend trois étapes. Tout d'abord, évaluez votre maturité actuelle avec l'outil d'auto-évaluation CyFun. Ensuite, mettez en œuvre les mesures manquantes par phases qui correspondent aux délais d'examen. Enfin, mettez à jour l'auto-évaluation et collectez les preuves au fur et à mesure^[3]. Commencez par les mesures clés de CyFun, car les évaluateurs les examinent en premier.

• Évaluez chaque contrôle à votre niveau cible et identifiez les écarts dans les mesures clés.
• Regroupez les travaux de remédiation en phases trimestrielles, chacune avec un responsable, un budget et une date cible.
• Liez chaque contrôle au registre des risques afin de pouvoir justifier toute exclusion par une décision de risque enregistrée.

Étape 6 : Mettre en œuvre les mesures de l'article 21

L'article 21, paragraphe 2, de la Directive énumère dix domaines : analyse des risques et politiques de sécurité, gestion des incidents, continuité des activités et gestion de crise, sécurité de la chaîne d'approvisionnement, acquisition et développement sécurisés, y compris la gestion des vulnérabilités, évaluation de l'efficacité, hygiène de la cybersécurité et formation, cryptographie, sécurité des ressources humaines ainsi que contrôle d'accès et gestion des actifs, et authentification multifacteur avec communications sécurisées^[4]. CyFun et l'annexe A d'ISO/IEC 27001 couvrent tous deux ces domaines. La mise en œuvre correcte du référentiel choisi couvre donc l'article 21.

• Déployez l'authentification multifacteur sur l'accès à distance, les comptes privilégiés et la messagerie en premier, car ce sont des domaines à fort impact et rapides à prouver.
• Testez la restauration des sauvegardes et le plan de crise, et enregistrez les résultats.
• Demandez à vos fournisseurs clés au minimum CyFun BASIC ou un équivalent. C'est ce que le CCB recommande pour les chaînes d'approvisionnement.^[3].

Étape 7 : Mettre en place la notification des incidents au CCB

Depuis le 18 octobre 2024, les entités essentielles et les entités importantes doivent signaler les incidents importants au CCB^[3]. Un incident est important s'il a causé, ou pourrait causer, une perturbation opérationnelle grave ou une perte financière, ou s'il affecte d'autres personnes par des dommages matériels ou immatériels considérables. La notification suit la séquence de la Directive : une alerte précoce dans les 24 heures suivant la prise de connaissance, une notification d'incident dans les 72 heures, et un rapport final dans un délai d'un mois. Les prestataires de services de confiance ont une limite de 24 heures pour la notification^[4]. Dans certains cas, vous devez également informer les destinataires de vos services.

Étape	Délai	Contenu
Alerte précoce	24 heures	Cause malveillante suspectée et impact transfrontalier possible
Notification d'incident	72 heures	Évaluation initiale, gravité, impact et indicateurs de compromission
Rapport intermédiaire	Sur demande	Mises à jour du statut
Rapport final	1 mois après la notification	Cause première, atténuation et impact transfrontalier

• Intégrez les critères de signification dans votre procédure de classification des incidents.
• Conservez l'accès à la plateforme du CCB et les coordonnées d'urgence dans le guide opérationnel d'incident.
• Menez un exercice de simulation qui respecte les délais de 24 heures et 72 heures.

Étape 8 : Réussir l'évaluation de la conformité

Les entités essentielles doivent se soumettre à une évaluation de la conformité régulière. Au 18 avril 2026, le CCB s'attendait à ce que chaque entité essentielle détienne, ou travaille activement à l'obtention d'une vérification CyFun BASIC ou IMPORTANT, ou dispose d'un accord signé avec un organisme accrédité. Par la voie ISO, l'entité devait soumettre son périmètre de certification, sa déclaration d'applicabilité et son dernier rapport d'audit interne. Une troisième option consistait à soumettre une auto-évaluation et à demander une inspection, ce que le CCB avertit peut mener directement à des mesures de surveillance. La certification finale au niveau choisi est attendue pour avril 2027^[1], que la page NIS2 du CCB fixe au 18 avril 2027^[2]. Les évaluations CyFun sont menées par des organismes d'évaluation de la conformité accrédités par BELAC et autorisés par le CCB.^[6].

• Réservez l'organisme d'évaluation rapidement, car la capacité est limitée avant avril 2027.
• Menez un audit interne et un examen de direction avant l'évaluation externe.
• Si vous avez manqué le 18 avril 2026, documentez la raison et le plan de récupération, et envoyez-les au CCB de manière proactive.

Étape 9 : Maintenir le programme en place

NIS2 est une obligation continue. Révisez l'évaluation des risques chaque année, relancez l'auto-évaluation CyFun après des changements majeurs et rendez compte régulièrement à l'organe de direction. Le modèle d'accompagnement comprend la liste de contrôle complète de la préparation, un suivi des délais et une feuille de rapport de gestion. Dans Secrato, chaque étape est mise en correspondance avec un contrôle CyFun ou ISO dans la Bibliothèque unifiée de contrôles, de sorte qu'un seul ensemble de preuves soutient la vérification, l'audit ISO et toute inspection du CCB.

Comment cela se connecte à d'autres référentiels

CyFun s'appuie sur le NIST Cybersecurity Framework et est aligné avec ISO/IEC 27001. Le travail effectué pour l'un se transfère donc à l'autre (voir CyFun et ISO/IEC 27001). Pour les entités financières, DORA s'applique comme lex specialis pour la gestion du risque lié aux TIC et la notification d'incidents. Les mesures relatives à la chaîne d'approvisionnement recoupent la diligence raisonnable du sous-traitant au sens du RGPD.

Questions fréquemment posées

Nous sommes une entité importante. Avons-nous besoin d'une vérification CyFun ?

Ce n'est pas obligatoire. Les entités importantes sont supervisées ex post, mais elles peuvent choisir la même évaluation de la conformité que les entités essentielles et obtenir une présomption de conformité^[2]. Après un incident, une déclaration de vérification facilite beaucoup la démonstration de votre conformité.

ISO/IEC 27001 est-il accepté à la place de CyFun ?

Oui, si le périmètre de certification et la déclaration d'applicabilité couvrent les services NIS2 et que le CCB les accepte. Utilisez un organisme de certification accrédité et autorisé à certifier selon les actes belges NIS2.^[1][6].

Quelles sont les amendes ?

La Directive fixe des amendes maximales d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes^[4]. En Belgique, les amendes sont doublées en cas de violations répétées dans un délai de trois ans.^[2].