ECP vs KSC (Pologne) : CyFun face au système national de cybersécurité polonais

Non. Le KSC est le cadre national polonais de conformité NIS2. La voie de conformité NIS2 belge est CyFun, émis par le CCB. Une entité belge auditée par un organisme CAB belge est évaluée contre CyFun, pas contre le KSC. Les deux cadres se chevauchent substantiellement — tous deux implémentent l'Art. 21 NIS2 — mais ne sont pas mutuellement reconnus entre pays. Une entité polonaise opérant en Belgique doit satisfaire les deux juridictions séparément.

Pas nativement aujourd'hui. ECP implémente CyFun (le cadre belge du CCB). Comme le KSC et CyFun dérivent tous deux de l'Art. 21 NIS2 et des influences NIST CSF 2.0, une entité polonaise utilisant ECP construirait de solides fondations — gouvernance, collecte de preuves, workflows d'incidents, registres fournisseurs — qui répondent directement aux exigences KSC. Mais ECP ne génère pas un package SMSI prêt pour le KSC. Le support KSC est sur la feuille de route produit dans le cadre du moteur multi-frameworks ; il n'est pas encore planifié.

Des modèles de livraison différents. Le KSC est une obligation législative — il fixe ce qui doit être fait mais ne fournit pas de plateforme guidée, de modèles de politiques ou de workflows structurés de collecte de preuves. La conformité nécessite d'embaucher des consultants ou un RSSI pour construire et gérer un SMSI de zéro, ce qui explique les estimations de marché de 20 000–60 000 € pour une entité polonaise de taille moyenne. ECP intègre la conformité CyFun dans une plateforme guidée avec des modèles de politiques, des workflows de collecte de preuves et un bundle d'audit structuré. Le MSP livre cela comme un service mensuel, pas un projet ponctuel.

Oui, en leur propre nom. Les MSPs et prestataires ICT polonais (managed service providers, managed security service providers, cloud computing, centres de données) relèvent du secteur "gestion de services ICT (B2B)" dans NIS2 — ce qui signifie qu'ils sont eux-mêmes classés comme entités importantes et doivent se conformer au KSC pour leurs propres opérations. Ils ne sont pas exemptés parce qu'ils servent des clients. Si vous êtes un MSP polonais avec 50+ employés ou un CA > 10 M€, vous avez vos propres obligations d'enregistrement KSC et de SMSI.

En grande partie oui. La loi polonaise nomme explicitement PN-EN ISO/IEC 27001 et ISO 22301 comme normes reconnues satisfaisant les exigences SMSI du KSC. Une entité disposant d'une certification ISO 27001 en cours de validité serait bien positionnée pour démontrer la conformité KSC, même si l'auditeur évaluera toujours les obligations spécifiques au KSC (exigences sectorielles, notification CSIRT, enregistrement). ISO 27001 ne remplace pas intégralement le KSC, mais couvre l'essentiel de la couche technique et de gouvernance. C'est un avantage réel du KSC par rapport à CyFun : les auditeurs CAB belges évaluent spécifiquement les contrôles CyFun ; un certificat ISO 27001 n'y est pas substitut, même si CyFun 2025 est aligné sur NIST CSF 2.0.