En Belgique, l'arrêté royal qui exécute la loi NIS2 du 26 avril 2024 cite deux référentiels pour démontrer votre conformité, le CyberFundamentals Framework (CyFun®) du Centre pour la Cybersécurité Belgique (CCB) et la norme ISO/IEC 27001, ce qui concerne toute organisation déjà certifiée ISO 27001 ou tentée de l'être.
ISO/IEC 27001:2022, la norme qui structure votre SMSI
ISO/IEC 27001 fixe les exigences d'un système de management de la sécurité de l'information (SMSI, ou ISMS en anglais) que vous établissez, maintenez et améliorez en continu. Sa version actuelle date d'octobre 2022 et ses clauses 4 à 10 suivent la structure commune aux normes de management de l'ISO, du contexte de l'organisation jusqu'à l'amélioration.
Son annexe A compte 93 mesures réparties en quatre thèmes (organisationnel, humain, physique et technologique) contre 114 dans la version de 2013. Vous retenez celles qui répondent à vos risques et justifiez ce choix dans la déclaration d'applicabilité (SoA), et la certification ISO 27001 reste volontaire et passe par un organisme de certification indépendant, jamais par l'ISO elle-même.
CyFun®, le cadre gratuit du CCB aligné sur NIS2
Publié gratuitement par le CCB, le CyberFundamentals Framework rassemble des mesures concrètes pour protéger vos données et réduire nettement le risque des cyberattaques les plus courantes. Il s'appuie notamment sur le NIST CSF, ISO/IEC 27001, les CIS Controls et IEC 62443, et sa version CyFun® 2025 s'aligne sur le NIST CSF 2.0 et sur NIS2.
Au-delà du niveau de départ Small, CyFun® propose trois niveaux d'assurance, Basic, Important et Essential, choisis selon votre analyse de risques et détaillés dans notre article sur les niveaux CyFun®. Leur mise en œuvre est validée par une vérification (Basic ou Important) ou une certification (Essential) délivrée par un organisme d'évaluation de la conformité accrédité par BELAC et agréé par le CCB, le CCB ne délivrant lui-même aucune certification.
Deux voies vers la même présomption de conformité
Les entités essentielles doivent passer une évaluation périodique de la conformité en choisissant entre CyFun®, une certification ISO/IEC 27001 et une inspection du CCB, et les entités importantes peuvent s'y soumettre volontairement. Une vérification ou une certification obtenue dans les bonnes conditions vous donne une présomption de conformité valable jusqu'à preuve du contraire, et pour la voie ISO le CCB fixe ses conditions dans sa FAQ NIS2 et une guidance de septembre 2026 :
- Le périmètre couvre toute l'entité et tous ses réseaux et systèmes d'information, sauf un environnement IT ou OT séparé physiquement ou techniquement, autonome et sans incidence sur les risques du périmètre, à condition de documenter cette séparation
- La déclaration d'applicabilité est étayée par des preuves et atteint un niveau équivalent au niveau CyFun® que vous avez retenu
- Le certificat est délivré par un organisme agréé par le CCB et accrédité par un signataire des accords de reconnaissance mutuelle de l'EA ou de l'IAF
- Le certificat d'une société mère ne suffit pas à lui seul à couvrir l'entité NIS2 concernée
Pour les entités essentielles visées dès l'entrée en vigueur de la loi, ce certificat est attendu au plus tard le 18 avril 2027, et il permet aussi d'obtenir un label CyFun® depuis l'onglet « Labels » de Safeonweb@Work.
Ce qui distingue vraiment les deux référentiels
Les deux voies mènent au même résultat juridique sans suivre la même logique :
- Approche : ISO 27001 part de votre analyse de risques pour choisir vos mesures dans l'annexe A alors que CyFun® fixe les mesures attendues à chaque niveau
- Périmètre : hors NIS2 vous déterminez vous-même celui de votre SMSI, alors que la voie NIS2 exige toute l'entité et peut obliger à élargir un certificat existant
- Validation : un organisme accrédité via l'EA ou l'IAF pour ISO 27001 ou par BELAC pour CyFun®, agréé par le CCB dans les deux cas
- Reconnaissance : plus de 70 000 certificats ISO 27001 dans 150 pays selon l'ISO Survey 2022, alors que CyFun® reste d'abord une référence belge
Choisir votre voie sans faire le travail deux fois
Si vous détenez déjà un certificat ISO 27001 ou si vos clients l'exigent, la voie ISO est souvent la plus naturelle à condition d'étendre le périmètre et de compléter la déclaration d'applicabilité jusqu'au niveau CyFun® visé, alors que CyFun® offre un chemin gratuit et directement lisible si vous partez de zéro avec un horizon surtout belge. Le CCB rappelle d'ailleurs qu'il ne vous impose pas CyFun® en plus d'ISO 27001 et qu'il attend un niveau de cybersécurité équivalent.
Pour éviter le double travail, le CCB publie avec CyFun® 2025 une table de correspondance qui relie les mesures CyFun® aux clauses d'ISO/IEC 27001:2022 et aux mesures d'ISO/IEC 27002:2022, et il recommande de s'en servir pour démontrer l'équivalence. Elle rattache par exemple l'exigence CyFun® PR.DS-11 sur les sauvegardes à la mesure 8.13 de l'annexe A, si bien qu'une procédure de sauvegarde testée et documentée une seule fois sert les deux référentiels. Cette table reste toutefois un guide et votre maturité se démontre avec vos propres documents.
Comment Sinplify vous aide à mener les deux de front
Sinplify structure et accélère cette démarche en partant de ce que vous avez déjà, puisque notre IA européenne lit vos politiques, procédures et rapports d'audit pour reconnaître les bonnes pratiques en place et prépare ce qui manque. Chaque preuve confirmée par votre équipe compte à la fois pour CyFun®, ISO 27001 et ReCyF, si bien que votre procédure de sauvegarde sert les deux référentiels et que chaque nouveau référentiel démarre avec des jauges déjà en partie remplies et son propre dossier.
Découvrez la plateforme ou réservez une démo pour voir Sinplify à l'œuvre sur vos propres documents.