Vos 30 Premiers Jours: Enregistrement, Périmètre et Analyse de Risques

Plus d'organisations que vous ne le pensez ne savent pas répondre, parce que l'enregistrement est une déclaration réglementaire et non une tâche informatique, et que chaque partie a supposé que l'autre s'en chargeait.

• Demandez à qui gère vos déclarations réglementaires, pas à votre prestataire IT: l'obligation pèse sur l'entité
• Cherchez une confirmation d'enregistrement du CCB dans la boîte de celui qui l'a signée
• Si personne ne peut produire de confirmation, partez du principe que vous n'êtes pas enregistré
• Décidez maintenant qui porte cette déclaration désormais, nommément

L'article 13 paragraphe 1 énumère les informations à fournir. Les rassembler constitue l'essentiel du travail.

• Nom de l'entité et numéro d'entreprise (KBO/BCE)
• Adresse et coordonnées à jour, dont une adresse e-mail et un numéro de téléphone
• Vos plages d'adresses IP: c'est là que les gens butent et il faut généralement votre prestataire IT
• Votre secteur et sous-secteur selon l'annexe I ou l'annexe II de la loi
• La liste des États membres où vous fournissez des services relevant du périmètre

La loi ne nomme aucune plateforme. Elle dit que l'enregistrement suit les modalités pratiques déterminées par le CCB, et le CCB le fait via son portail Safeonweb@work.

• Suivez les instructions actuelles du CCB lui-même, pas un résumé de tiers, cette page comprise
• Enregistrez l'entité, pas le groupe, sauf indication contraire du CCB
• Utilisez une boîte partagée comme adresse de contact, pas une boîte personnelle
• Conservez la confirmation là où votre successeur la retrouvera

Votre classe découle de votre secteur et sous-secteur combinés à votre taille. Écrivez la réponse avec le raisonnement, car les deux vous seront demandés.

• Trouvez la ligne de l'annexe I ou II qui correspond à ce que vous faites réellement, pas à ce que dit votre code TVA
• Appliquez les seuils de taille à cette ligne
• Rédigez une page: la ligne retenue, l'effectif et le chiffre d'affaires appliqués, la conclusion
• Faites-la relire par quelqu'un qui n'a pas participé à sa rédaction

La taille n'est pas la seule porte d'entrée.

• Sous l'article 11, le CCB peut identifier une entité comme relevant du périmètre quelle que soit sa taille, par exemple comme fournisseur unique d'un service, en cas de risque systémique en cas de défaillance, ou en cas de criticité pour une région
• Sous l'article 12, vous devez fournir sur demande les informations nécessaires à cette identification
• Le CCB tient à jour sa liste d'entités et la révise au moins tous les deux ans
• Si le CCB vous a identifié, votre délai d'enregistrement court à partir de cette identification et non de l'échéance générale

Les dates figurent dans l'arrêté royal du 9 juin 2024, pas dans la loi elle-même.

• Entité essentielle: l'article 22 paragraphe 1 exigeait une première vérification par un organisme d'évaluation de la conformité autorisé par le CCB, au niveau CyberFundamentals basic ou important selon votre analyse de risques, pour le 18 avril 2026
• Entité essentielle: l'article 22 paragraphe 2 exige une certification au niveau essential pour le 18 avril 2027, ou une vérification par un CAB à un niveau inférieur si l'article 7 s'applique (l'analyse de risques le justifie)
• Entité essentielle sur la voie de l'inspection: l'article 23 impose une auto-évaluation à la même date du 18 avril 2026, et un état d'avancement pour le 18 avril 2027
• Entité importante: l'article 41 de la loi rend l'évaluation volontaire, et aucune date n'y est attachée
• Les deux classes: l'article 23 paragraphe 3 exige une amélioration continue, qui elle n'a aucune date de fin

Actifs, systèmes, données, et les processus métier qui en dépendent. C'est la partie que les gens abrègent, et c'est celle à laquelle tout le reste est mesuré.

• Listez les processus métier qui s'arrêtent si un système devient indisponible
• Reliez chaque processus aux systèmes, données et fournisseurs dont il dépend
• Incluez les logiciels: le contrôle CyberFundamentals Basic ID.RA-01.1 demande que menaces et vulnérabilités soient identifiées dans tous les actifs pertinents, logiciels compris
• Notez qui possède chaque actif, car un actif sans propriétaire ne recevra aucune décision plus tard

Le contrôle CyberFundamentals Basic ID.RA-05.1 le dit clairement: le risque est déterminé par les menaces, les vulnérabilités et l'impact sur les processus métier et les actifs.

• Évaluez tous les risques, selon l'article 30 paragraphe 5, pas seulement les cyber: incendie, dégât des eaux, défaillance d'un fournisseur clé et départ d'une personne clé comptent
• Utilisez une échelle que vous pouvez défendre à voix haute plutôt qu'une matrice empruntée que personne ne comprend
• Notez le raisonnement à côté du score, car c'est le raisonnement que lit un évaluateur
• Laissez le résultat, et non votre préférence, désigner le niveau CyberFundamentals

Une analyse de risques non approuvée est une analyse inachevée.

• L'article 31 paragraphe 1 confie l'approbation des mesures de gestion des risques à l'organe de direction, lui impose de superviser leur mise en oeuvre, et le rend responsable des manquements à cette obligation
• Dans une petite entreprise, c'est le gérant ou les associés, pas le prestataire IT
• Datez l'approbation et notez qui l'a donnée
• Le contrôle CyberFundamentals Basic GV.RM-03.1 demande une stratégie à l'échelle de l'organisation pour gérer le risque lié à l'information et à la cybersécurité, mise à jour en cas de changement

Parcourez les contrôles de votre niveau cible et marquez chacun comme fait, partiellement fait ou non commencé.

• Basic compte 34 contrôles, Important 133, Essential 218, de façon cumulative: chaque niveau contient celui du dessous
• Notez honnêtement: un contrôle qui fonctionne mais n'est pas documenté est partiellement fait, pas fait
• Pour une entité essentielle sur la voie de l'inspection, c'est un vrai livrable et non un exercice: l'article 23 paragraphe 1 de l'arrêté royal plaçait une auto-évaluation au niveau basic ou important à la date du 18 avril 2026
• Conservez au fur et à mesure les preuves que vous avez déjà, plutôt que de les chercher deux fois

Le contrôle CyberFundamentals Basic GV.PO-01.1 exige que les politiques et procédures de gestion de l'information et de la cybersécurité soient établies, documentées, examinées, approuvées, mises à jour en cas de changement, communiquées et appliquées.

• Mettez les réunions de revue à l'agenda maintenant, avec de vraies dates, pas "dans le courant de l'année"
• Faites en sorte que la personne qui approuvera le résultat soit dans la salle, et nommez-la dans l'invitation
• Une réunion par domaine de politique vaut mieux qu'une réunion couvrant tout, car la seconde déborde et se fait écourter
• Consignez pour chaque politique: la date de revue, l'approbateur et le résultat. C'est ce registre qui vous sera demandé

La liste d'écarts est le livrable de tout le mois, et c'est elle qui rend la suite estimable.

• Une ligne par écart, avec un responsable nommé et une date réaliste
• Séparez les écarts que votre prestataire IT comble de ceux que vous seul pouvez combler
• Mettez un coût approximatif en face de chacun, pour qu'on puisse décider de la liste au lieu de l'admirer
• Convenez du moment où vous la reverrez