NIS2 désigne la directive (UE) 2022/2555 du 14 décembre 2022, que les États membres appliquent depuis le 18 octobre 2024. La Belgique l'a transposée par la loi du 26 avril 2024, en vigueur depuis cette même date, et l'arrêté royal du 9 juin 2024 désigne le Centre pour la Cybersécurité Belgique (CCB) comme autorité nationale de cybersécurité. La page NIS2 du CCB reste la référence officielle.
Qui est concerné par la loi NIS2 en Belgique
Une organisation est en principe concernée lorsqu'elle fournit dans l'Union européenne un service repris aux annexes I ou II de la loi, qu'elle dépasse les seuils d'une entreprise moyenne avec au moins 50 équivalents temps plein ou plus de 10 millions d'euros de chiffre d'affaires annuel et de total de bilan, et qu'elle est établie en Belgique. Les services visés couvrent 18 secteurs :
- Annexe I, secteurs hautement critiques : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC entre entreprises, administration publique et espace
- Annexe II, autres secteurs critiques : services postaux et d'expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication, fournisseurs numériques et recherche
Certaines entités sont visées quelle que soit leur taille, comme les fournisseurs de services DNS ou l'administration publique fédérale. Même hors du champ, vous pouvez être concerné par vos clients NIS2, qui doivent sécuriser leur chaîne d'approvisionnement, et le CCB conseille à leurs fournisseurs d'appliquer au moins CyFun® Basic.
Entité essentielle ou entité importante, une différence de contrôle
Les deux catégories ont les mêmes obligations de fond. Sont en principe essentielles les grandes entreprises des secteurs de l'annexe I, avec au moins 250 équivalents temps plein ou à la fois plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de total de bilan, ainsi que quelques catégories désignées par la loi, et les autres entités concernées sont importantes.
Les entités essentielles sont contrôlées ex ante et ex post avec des évaluations de conformité régulières et obligatoires, alors que les entités importantes le sont en principe ex post, après un incident ou sur indices de manquement. Le niveau CyFun® à viser découle de votre analyse de risques, comme l'explique notre article sur les niveaux CyFun® Basic, Important et Essential.
Le rôle du CCB, de l'enregistrement à l'inspection
Le CCB est à la fois l'autorité nationale de cybersécurité et le CSIRT national, et vous le retrouvez à chaque étape :
- il gère l'enregistrement sur Safeonweb@Work, attendu au plus tard le 18 mars 2025 ou dès le 18 décembre 2024 pour certains fournisseurs numériques, et toute modification doit lui être signalée dans les deux semaines
- il reçoit les notifications d'incidents significatifs
- son service d'inspection peut contrôler les entités sur place, par des audits ciblés ou des scans de sécurité et demander toute preuve utile
- il peut identifier une organisation comme entité essentielle ou importante, par exemple lorsqu'elle est le seul prestataire d'un service essentiel en Belgique
Ce que la loi vous demande de mettre en place
Les entités prennent des mesures techniques, opérationnelles et organisationnelles proportionnées à leurs risques, selon une approche « tous risques » qui couvre au moins onze domaines :
- politiques d'analyse des risques et de sécurité des systèmes d'information
- gestion des incidents
- continuité des activités et gestion de crise
- sécurité de la chaîne d'approvisionnement
- sécurité de l'acquisition, du développement et de la maintenance des systèmes
- évaluation de l'efficacité des mesures
- cyberhygiène et formation à la cybersécurité
- cryptographie et chiffrement
- sécurité des ressources humaines, contrôle d'accès et gestion des actifs
- authentification à plusieurs facteurs et communications sécurisées
- divulgation coordonnée des vulnérabilités
L'organe de direction approuve ces mesures, supervise leur mise en œuvre et répond des manquements de l'entité, et ses membres suivent une formation en cybersécurité. Tout incident significatif se notifie enfin au CCB avec une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification d'incident dans les 72 heures et un rapport final au plus tard un mois après cette notification.
Démontrer votre conformité et éviter les sanctions
Pour leur évaluation régulière, les entités essentielles choisissent entre CyFun® (certification Essential ou vérification Basic ou Important) et ISO/IEC 27001, avec dans les deux cas un organisme d'évaluation de la conformité (CAB) accrédité que le CCB a agréé, ou bien une inspection par le CCB. L'attestation obtenue leur donne une présomption de conformité, et les entités importantes peuvent suivre volontairement la même voie.
Après une première étape au 18 avril 2026, la prochaine échéance tombe le 18 avril 2027 pour la certification ISO/IEC 27001 ou, si vous visez ce niveau, la certification CyFun® Essential, et une communication du service d'inspection du CCB d'août 2026 admet une approche transitoire avec un plan pour atteindre le niveau Essential d'ici le 18 avril 2028.
Un manquement aux mesures de gestion des risques ou à la notification des incidents expose à une amende allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total pour une entité essentielle, et 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu et doublé en cas de récidive dans les trois ans.
Comment Sinplify vous aide à avancer
Sinplify structure et accélère votre démarche NIS2 en partant de ce que vous avez déjà, puisque notre IA européenne lit vos politiques, procédures et rapports d'audit, reconnaît les bonnes pratiques en place et prépare ce qui manque, chaque preuve comptant à la fois pour CyFun®, ISO 27001 et ReCyF. Vos collègues répondent à de courtes questions par e-mail sans compte, la notification d'incident au CCB arrive pré-remplie avec ses échéances de 24 heures, 72 heures et un mois, et un clic prépare votre dossier d'audit par référentiel.
L'évaluation reste celle d'un organisme accrédité ou du CCB, mais vous y arrivez avec un dossier prêt, alors découvrez la plateforme ou réservez une démo.