Deux ans après l'échéance de NIS2, la plupart des États membres ont des lois nationales en vigueur et les autorités de supervision sont passées de la sensibilisation à la vérification. Voici où en sont les choses en octobre 2026, avec un regard plus attentif sur la Belgique.
Points clés
- À la mi-octobre 2026, les lois nationales NIS2 sont en vigueur dans la plupart des États membres ; la France, l'Irlande et l'Espagne finalisent toujours les leurs, et la Commission a engagé des procédures en manquement devant la Cour de justice.
- Les autorités de contrôle s'attendent désormais à ce que l'enregistrement soit exact et à jour, à un processus de signalement des incidents testé de 24 heures / 72 heures / un mois, et à des preuves que l'organe de direction approuve et supervise les mesures de risque de cybersécurité.
- En Belgique, les entités essentielles devaient terminer une première évaluation de la conformité avant le 18 avril 2026 et doivent atteindre leur niveau CyFun cible ou la certification ISO/IEC 27001 avant le 18 avril 2027.
La directive NIS2 (UE) 2022/2555 devait être transposée en droit national avant le 17 octobre 2024 [1]. Deux ans plus tard, la situation a considérablement changé. La plupart des États membres disposent désormais d'une loi nationale en vigueur, la Commission a intensifié les procédures d'infraction contre les retardataires restants, et les autorités de contrôle dans les pays précurseurs sont passées des campagnes de sensibilisation à la vérification. Cet article résume la situation au 18 octobre 2026 et ses implications pratiques, en mettant l'accent sur la Belgique.
Où en est la transposition en octobre 2026
La Commission a saisi la Cour
La Commission a adressé des lettres de mise en demeure aux États membres qui n'avaient pas notifié la transposition complète le 28 novembre 2024 et a suivi avec des avis motivés le 7 mai 2025. Le 8 juillet 2026, elle a renvoyé l'Irlande, l'Espagne, la France et les Pays-Bas à la Cour de justice de l'Union européenne, demandant à la Cour d'imposer une somme forfaitaire et des pénalités journalières jusqu'à ce que la transposition soit complète. [2].
Les lacunes restantes
Depuis ce renvoi, les Pays-Bas ont progressé : la Cyberbeveiligingswet et la loi transposant la directive relative à la résilience des entités critiques sont entrées en vigueur le 15 août 2026, l'enregistrement auprès du NCSC étant requis à partir de cette date. [3].
La France, l'Irlande et l'Espagne n'avaient toujours pas de loi nationale NIS2 en vigueur au moment de la rédaction :
- France : le projet de loi « Résilience » devait être débattu à l'Assemblée nationale le 7 octobre 2026, mais la session a de nouveau été reportée le 6 octobre, sans nouvelle date fixée. [4].
- Irlande et Espagne : les projets de loi sont toujours en cours dans le processus législatif national, selon des observateurs indépendants. [5].
La situation peut changer rapidement, vérifiez donc le journal officiel national ou l'autorité compétente avant de vous fier à un suivi quelconque. Les organisations opérant au-delà des frontières doivent noter que les règles de compétence de la directive signifient que certaines entités, par exemple de nombreux fournisseurs d'infrastructures numériques et de services TIC, relèvent de l'État membre de leur établissement principal. [1].
Les règles elles-mêmes sont en cours de révision
Le 20 janvier 2026, la Commission a proposé des amendements ciblés à NIS2 dans le cadre d'un ensemble plus large de mesures de cybersécurité. La proposition créerait notamment une catégorie « petite entreprise de taille moyenne » généralement traitée comme entité importante plutôt que comme entité essentielle, et ajouterait des champs de signalement spécifiques aux rançongiciels [6]. Par ailleurs, l'Omnibus numérique de novembre 2025 propose un point d'entrée unique pour la notification d'incidents au titre de NIS2, du RGPD, de DORA et d'eIDAS [7]. En octobre 2026, les deux sont toujours des propositions en cours de négociation. Les obligations nationales actuelles s'appliquent intégralement jusqu'à ce que tout amendement soit adopté et transposé.
La question que posent les autorités de contrôle n'est plus de savoir si vous connaissez NIS2, mais si vous pouvez démontrer son fonctionnement.
Ce que les autorités de contrôle attendent désormais
Un enregistrement exact et tenu à jour
Les États membres devaient établir leurs listes d'entités essentielles et d'entités importantes avant le 17 avril 2025 [1]. L'enregistrement n'est pas une tâche ponctuelle : les entités doivent notifier les modifications apportées à leurs informations enregistrées. Les autorités de contrôle utilisent les données d'enregistrement pour planifier les inspections, de sorte que les coordonnées obsolètes, les classifications sectorielles ou les listes d'États membres où les services sont fournis créent des frictions évitables.
Un processus de signalement d'incidents testé et échelonné
L'article 23 de NIS2 exige que les incidents significatifs soient signalés au CSIRT ou à l'autorité compétente par étapes. [1]:
| Étape | Délai | Contenu |
|---|---|---|
| Alerte précoce | Dans les 24 heures suivant la détection | Si l'incident est soupçonné d'être causé par des actes illégaux ou malveillants, et s'il pourrait avoir un impact transfrontalier. |
| Notification d'incident | Dans les 72 heures suivant la prise de connaissance | Mise à jour, évaluation initiale de la gravité et de l'impact, indicateurs de compromission le cas échéant. |
| Rapport final | Dans le mois suivant la notification de l'incident | Description détaillée, cause probable, mesures d'atténuation appliquées, impact transfrontalier. |
Un rapport intermédiaire peut être demandé à tout moment, et un rapport de progression est requis si l'incident est toujours en cours au terme du délai d'un mois. Pour l'infrastructure numérique et certains fournisseurs numériques, le règlement d'exécution (UE) 2024/2690 définit quand un incident est « important ». [11].
Les autorités de contrôle recherchent de plus en plus des preuves que le processus fonctionne : une évaluation documentée de l'importance, des décideurs nommés, une couverture en dehors des heures de bureau et des enregistrements d'exercices ou de notifications réelles. Le délai de 24 heures démarre à partir de la prise de conscience, de sorte que la transmission de l'équipe des opérations de sécurité à la personne qui dépose le rapport est souvent le point faible.
Responsabilité de l'organe de direction
L'article 20 exige que les organes de direction approuvent les mesures de gestion des risques en matière de cybersécurité, supervisent leur mise en œuvre et suivent une formation, et leur permet d'être tenus responsables des infractions [1]. L'article 32 ajoute que, pour les entités essentielles, les autorités peuvent dans certains cas interdire temporairement à une personne exerçant des fonctions de direction d'exercer ces fonctions [1]. Les autorités de contrôle recherchent donc des procès-verbaux attestant l'approbation des mesures de gestion des risques, un reporting régulier auprès du conseil d'administration et des registres de formation pour les membres du conseil.
Gestion des risques proportionnée et documentée
L'article 21 énumère dix domaines de mesures minimales, allant de l'analyse des risques et de la gestion des incidents à la sécurité de la chaîne d'approvisionnement, la cryptographie et l'authentification multifacteur [1]. En pratique, l'attente est une justification documentée et fondée sur les risques pour chaque mesure et des preuves qu'elle fonctionne, pas seulement une politique.
Le modèle belge : CCB et CyFun
La Belgique a été l'un des premiers États membres à transposer, par la loi du 26 avril 2024, en vigueur depuis le 18 octobre 2024. Le Centre pour la Cybersécurité Belgique (CCB) agit en tant qu'autorité nationale de cybersécurité et équipe CSIRT nationale. [8].
Principaux délais belges
- Enregistrement sur Safeonweb@Work : avant le 18 décembre 2024 pour certaines entités du secteur numérique et avant le 18 mars 2025 pour toutes les autres entités essentielles et importantes. [8].
- 18 avril 2026 : les entités essentielles devaient avoir complété leur première évaluation de la conformité obligatoire. [8].
- 18 avril 2027 : les entités essentielles qui ont choisi CyberFundamentals (CyFun) ou ISO/IEC 27001 doivent détenir la certification correspondante. [8].
Pour les entités identifiées ultérieurement par le CCB, ces délais courent à partir de la date de notification [8].
CyFun en tant que référentiel de conformité
CyFun est le référentiel du CCB avec trois niveaux d'assurance : Basic, Important et Essential. Un outil de sélection aide les entités à déterminer le niveau approprié [9]. Les entités essentielles doivent faire l'objet d'une évaluation de la conformité régulière, et celles disposant d'une déclaration de conformité valide bénéficient d'une présomption de conformité [8]. Les entités importantes peuvent adhérer volontairement au même régime pour obtenir cette présomption. [9].
En pratique, les voies possibles sont une vérification CyFun (niveau Basic ou Important) ou une certification (niveau Essential) par un organisme d'évaluation de la conformité accrédité, une certification ISO/IEC 27001 avec documentation soumise au CCB, ou une inspection par le CCB [10]. Les rapports du marché indiquent que la capacité d'évaluation accréditée a été limitée, ce qui est une raison de planifier l'étape 2027 dès maintenant plutôt qu'au début 2027. [10].
Les incidents sont notifiés au CCB par sa plateforme de notification, la notification téléphonique étant réservée aux urgences [9].
Prochaines étapes pratiques
- Revalidez votre classification et votre enregistrement dans chaque État membre où vous opérez, en particulier là où les lois sont entrées en vigueur en 2025–2026.
- Effectuez un exercice de notification d'incident chronométré par rapport aux délais de 24 heures et 72 heures, y compris la décision d'importance.
- Documentez la surveillance du conseil d'administration : approbation des mesures, calendrier de rapports et formation complétée.
- Associez les contrôles une fois, réutilisez-les souvent. CyFun, ISO/IEC 27001 et les mesures de l'article 21 se chevauchent largement ; un ensemble de contrôles unique avec des preuves partagées évite les travaux en double.
- Entités essentielles belges : confirmez votre niveau cible 2027 et réservez votre organisme d'évaluation de la conformité dès maintenant.
Note de conclusion
Secrato aide les organisations à gérer des référentiels tels que NIS2, DORA et ISO/IEC 27001 sur une seule plateforme hébergée en UE, avec des contrôles partagés, des preuves et des pistes d'audit.
Sources
- Directive (UE) 2022/2555 (NIS2), EUR-Lex : https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Commission européenne, « La Commission renvoie l'Irlande, l'Espagne, la France et les Pays-Bas devant la Cour de justice pour non-transposition des règles en matière de cybersécurité », 8 juillet 2026 : https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules
- PIANOo, « Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht », 8 juillet 2026 : https://www.pianoo.nl/nl/actueel/nieuws/cyberbeveiligingswet-en-wet-weerbaarheid-kritieke-entiteiten-vanaf-15-augustus-2026
- Next, mise à jour du 6 octobre 2026 sur le report du projet de loi français de transposition de NIS2 : https://next.ink/brief-article/alleluia-la-transposition-de-nis2-est-enfin-a-lordre-du-jour-de-lassemblee-nationale/
- Suivi NIS2 UE (indépendant), examiné le 16 octobre 2026 : https://nisd2.eu/en/wiki/timelines-and-status/nis2-eu-tracker
- Freshfields, « EU cybersecurity package: Commission proposes targeted NIS2 amendments and a revised Cybersecurity Act », 27 janvier 2026 : https://www.freshfields.com/en/our-thinking/blogs/technology-quotient/eu-cybersecurity-package-commission-proposes-targeted-nis2-amendments-and-a-revi-102me35
- CCB, « The EU's new Digital Omnibus: harmonising cybersecurity, AI and data legislation across Europe » : https://ccb.belgium.be/news/eus-new-digital-omnibus-harmonising-cybersecurity-ai-and-data-legislation-across-europe
- CCB / Safeonweb@Work, « The NIS2 Law » : https://atwork.safeonweb.be/nis2
- CCB / Safeonweb@Work, « NIS 2 Quickstart Guide » : https://atwork.safeonweb.be/tools-resources/nis-2-quickstart-guide
- Cyberplan, « NIS2 évaluation de la conformité : échéance avril 2026 » : https://cyberplan.be/en/articles/nis2-conformity-assessment-deadline-april-18-2026-approaches/
- Règlement d'exécution (UE) 2024/2690, EUR-Lex : https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
