Un référentiel belge conçu par le CCB sur des standards reconnus
CyFun® est le cadre de cybersécurité développé par le Centre pour la Cybersécurité Belgique (CCB), qui en reste propriétaire et le met gratuitement à disposition. Il s'appuie sur le NIST Cybersecurity Framework, ISO 27001, IEC 62443 et les CIS Controls et s'inspire de données anonymisées sur des cyberattaques réussies pour se concentrer sur ce qui protège vraiment.
La version CyFun® 2025, lancée en octobre 2025, s'aligne sur le NIST CSF 2.0 et sur NIS2 et organise ses exigences en six fonctions qui vont de la gouvernance à la reprise après incident. Elle coexiste avec CyFun® 2023 jusqu'au 18 avril 2027 et vous choisissez votre version d'ici là, le cadre et ses outils étant publiés sur la page CyberFundamentals du CCB.
Trois niveaux d'assurance qui s'empilent de Basic à Essential
Chaque niveau reprend tout le précédent et ajoute ses propres exigences, dont des mesures clés tirées des attaques les plus courantes qui doivent être en place quoi qu'il arrive.
- Basic réunit les mesures standard valables pour toute entreprise et ses 13 mesures clés couvrent notamment l'authentification multifacteur, le moindre privilège, le pare-feu, les sauvegardes, les correctifs et l'antivirus.
- Important vise aussi les attaques ciblées d'acteurs aux compétences et aux moyens courants et ajoute 9 mesures clés qui vont de l'accès à distance aux systèmes critiques jusqu'à la gestion des vulnérabilités et la notification des incidents significatifs aux autorités.
- Essential répond aux attaques avancées d'acteurs aux moyens étendus et ajoute 7 mesures clés centrées sur les contrats avec les fournisseurs, la maintenance, les supports amovibles et la cartographie des flux réseau.
Le seuil de maturité monte aussi puisque chaque mesure clé doit atteindre 2,5 sur 5 en Basic puis 3 sur 5 en Important et en Essential, qui exige en plus 3 sur 5 dans chaque catégorie. Le niveau de départ Small, pensé pour les micro-organisations, sert de première évaluation mais ne figure pas parmi les voies de présomption de conformité NIS2 décrites par le CCB.
Une analyse de risques qui détermine votre niveau
Votre niveau découle d'une analyse de risques et non de votre seul statut NIS2. Le CCB fournit pour cela le CyFun® Selection Tool, un fichier Excel par secteur NIS2 où vous estimez pour cinq types d'attaques, du sabotage au rançongiciel, l'impact sur votre organisation et la probabilité que chaque type d'attaquant passe à l'acte. Pondéré par votre taille et par le caractère ciblé des attaques, le total désigne Basic sous 100 points, Important de 100 à 199 et Essential à partir de 200.
Une entité essentielle peut aussi justifier un niveau inférieur, Important par exemple, si son analyse de risques le démontre. Ce choix se passe d'accord préalable du CCB mais doit être documenté, car le service d'inspection peut le contrôler et sanctionner un niveau mal choisi.
Une vérification ou une certification selon le niveau visé
En Belgique, la présomption de conformité NIS2 s'obtient par une vérification CyFun® pour Basic et Important, par une certification CyFun® pour Essential ou par une certification ISO 27001 dont le CCB juge acceptables le périmètre et la déclaration d'applicabilité. Les évaluations CyFun® sont menées par un organisme d'évaluation de la conformité (CAB) accrédité par BELAC et autorisé par le CCB, à partir de votre auto-évaluation et des preuves de mise en œuvre.
Le calendrier dépend de votre statut :
- Les entités essentielles qui ont choisi CyFun® devaient détenir une vérification Basic ou Important au plus tard le 18 avril 2026.
- Si leur analyse de risques aboutit à Essential, elles doivent être certifiées au plus tard le 18 avril 2027 ou, à défaut, présenter une vérification Important et un plan pour atteindre Essential d'ici le 18 avril 2028.
- Les entités importantes ne sont en principe contrôlées qu'a posteriori mais doivent appliquer les mesures de la loi et peuvent se faire évaluer volontairement pour bénéficier elles aussi de la présomption de conformité.
- Le CCB conseille aux fournisseurs d'entités NIS2 d'appliquer au minimum le niveau Basic, qu'un client NIS2 pourrait d'ailleurs leur imposer par contrat.
Nos conseils pour bien démarrer
- Faites l'analyse de risques en premier et conservez la justification du niveau retenu.
- Commencez par les 13 mesures clés de Basic qui comptent à tous les niveaux, puis avancez palier par palier.
- Évaluez chaque exigence sur sa documentation et sur son application au quotidien, car l'outil d'auto-évaluation note les deux séparément de 1 à 5 et un CAB attend des preuves pour chacune.
- Délimitez votre périmètre en sachant qu'il couvre toute l'organisation sauf environnements IT ou OT séparés physiquement ou techniquement.
- Retenez qu'une mesure clé ne peut jamais être exclue et que toute exception doit être motivée, documentée et approuvée par la direction.
- Contactez tôt un CAB de la liste publiée par le CCB pour caler votre calendrier.
Comment Sinplify vous aide à préparer votre niveau CyFun®
Sinplify, plateforme belge qui dispose d'un accord d'utilisation CyFun® avec le CCB, prend en charge Basic, Important et Essential. Chaque exigence y est écrite en langage clair et notre IA européenne lit vos documents pour reconnaître ce que vous faites déjà, puis prépare ce qui manque sans jamais vous présenter plus de trois actions à la fois. Chaque preuve confirmée compte aussi pour ISO 27001 et ReCyF et le dossier de votre niveau se produit en un clic.
Sinplify structure et accélère votre démarche et prépare votre dossier, la vérification ou la certification restant l'affaire d'un CAB autorisé. Découvrez la plateforme, lisez notre article sur ISO 27001 et CyFun® ou réservez une démo pour voir où vous en êtes.