NIS2 en Belgique: CCB, CyberFundamentals & Échéances

Oui. La Belgique a transposé NIS2 en droit national le 26 avril 2024. La loi confère au Centre pour la Cybersécurité Belgique (CCB) l'autorité sur l'enregistrement, la conformité et l'application. La Belgique a été l'un des premiers pays de l'UE à compléter la transposition.

CyberFundamentals (CyFun) est un cadre de cybersécurité à niveaux développé par le CCB. Il a 3 niveaux cumulatifs : Basic (34 contrôles), Important (133 contrôles) et Essential (218 contrôles). La Belgique l'a créé comme alternative pratique à ISO 27001. Trois quarts des entités enregistrées ont choisi un cadre, et selon le CCB la majorité a retenu CyFun.

La date limite était le 18 avril 2026 et elle est passée. À cette date, les entités essentielles sur la voie CyFun devaient disposer d'une vérification Basic ou Important par un organisme d'évaluation de la conformité autorisé par le CCB. Celles qui ont choisi la supervision par le service d'inspection du CCB ont transmis une auto-évaluation Basic ou Important. Celles sur la voie ISO 27001 ont transmis leur périmètre et leur déclaration d'applicabilité (arrêté royal du 9 juin 2024, art. 22 et 23). Une évaluation de conformité équivalente Essential est due pour le 18 avril 2027, et cette date limite est inchangée. Ces délais courent depuis l'entrée en vigueur de la loi ; pour une entité identifiée plus tard, ils courent depuis sa date d'identification (arrêté royal, art. 22 et 23). Il est demandé aux entités qui n'atteignent pas ce niveau à temps de déposer un plan de remédiation auprès du Service d'Inspection du CCB. Ce plan se compose de préférence de la preuve de conformité au niveau CyFun Important et les mesures prévues pour atteindre Essential pour le 18 avril 2028 (courrier du Service d'Inspection du CCB, réf. NCCA/JK/INS/2026-002, 11 août 2026). Une entité dont la propre analyse de risques justifie un niveau CyFun inférieur peut choisir ce niveau, sans approbation préalable du CCB mais sous sa responsabilité. Elle doit alors démontrer au 18 avril 2027 qu'elle respecte ce niveau (sur la voie CyFun, par une vérification d'un CAB). Les États membres devaient identifier les entités critiques au titre de la directive CER au plus tard le 17 juillet 2026 ; une entité identifiée comme critique est une entité essentielle au sens de NIS2 (art. 3(1)(f)).

Un an après l'entrée en vigueur de la loi, environ 1 500 entités essentielles et 2 500 importantes s'étaient enregistrées, soit environ 4 000 au total (CCB, novembre 2025). La Belgique a élargi la portée au-delà du minimum de l'UE, donc plus d'organisations sont concernées que dans la plupart des autres États membres.

Commencez par vous enregistrer sur Safeonweb@Work si ce n'est pas encore fait. Votre niveau CyFun découle de votre classe NIS2 et de votre propre analyse de risques : les entités essentielles visent Essential par défaut. Beaucoup débutent avec CyFun Basic (34 contrôles) et progressent. Documentez vos contrôles et rassemblez les preuves. Easy Cyber Protection vous aide à suivre votre progression et construire votre piste d'audit.