Certification NIS2: Parcours CyberFundamentals & ISO 27001
NIS2 ne cree pas de "certificat NIS2." La Belgique utilise le cadre CyberFundamentals (CyFun) comme parcours de conformité. Environ 25% des organisations enregistrées choisissent ISO 27001. Ce guide explique les deux parcours, ce que la certification signifie réellement, et comment devenir audit-ready.
La Certification NIS2 Est-elle Obligatoire?
Pas directement. NIS2 est une directive européenne. Elle ne délivre pas de certificats. Chaque État membre decide comment vérifier la conformité. En Belgique, le Centre pour la Cybersécurité Belgique (CCB) a choisi le cadre CyberFundamentals comme mecanisme de conformité principal. Les organisations peuvent aussi démontrer leur conformité via la certification ISO 27001.
Niveaux de Certification CyberFundamentals
CyFun a quatre niveaux. Votre niveau requis dépend de votre classification NIS2.
Small
Basic
Important
Essential
CyFun vs ISO 27001
| Aspect | CyberFundamentals | ISO 27001 |
|---|---|---|
| Coût du cadre | Gratuit | Achat de la norme requis |
| Accepte NIS2 belge | Oui (parcours principal) | Oui (parcours alternatif) |
| Audit requis | Niveaux Important & Essential | Toujours (pour certification) |
| Reconnaissance internationale | Belgique uniquement | Reconnu mondialement |
| Coût d'audit typique | Inferieur | Superieur |
| Maintenance | Reevaluation annuelle | Audits de surveillance annuels |
| Idéal pour | Organisations centrees Belgique | Organisations internationales |
ISO 27001 comme Alternative
Environ 25% des organisations enregistrées NIS2 en Belgique ont choisi ISO 27001 plutôt que CyberFundamentals. ISO 27001 est reconnu internationalement et peut être prefere si vous possedez déjà la certification ou opérez a l'international. Le CCB l'accepte comme équivalent pour la conformité NIS2.
- ✓ La certification ISO 27001 est généralement plus chère que les audits CyFun
- ✓ Elle nécessite des audits de surveillance annuels et une recertification triennale
- ✓ Si vous avez déjà ISO 27001, vous êtes peut-être déjà conforme
- ✓ ISO 27001 couvre un périmètre plus large que CyFun
Comment la Certification Fonctionne
Pour les niveaux CyFun Important et Essential, un Organisme d'Évaluation de la Conformité (CAB) réalisé l'audit. L'accréditation des CAB se conclut en avril 2026. Voici le processus:
- 1 Enregistrez-vous auprès du CCB et déterminez votre classification
- 2 Choisissez votre parcours: CyberFundamentals ou ISO 27001
- 3 Implémentez les contrôles requis et documentez les preuves
- 4 Pour l'auto-évaluation: soumettez votre évaluation au CCB
- 5 Pour les niveaux audit: engagez un CAB accrédité pour l'audit tiers
- 6 Recevez votre certification et maintenez-la annuellement
Certification vs Auto-évaluation
Toutes les organisations n'ont pas besoin d'un audit tiers complet. Les exigences dependent de votre classification NIS2:
Auto-évaluation
Qui: Entités importantes au niveau Basic
Deadline: Avril 2026
Quoi: Complétez le questionnaire d'auto-évaluation CyFun et soumettez-le au CCB
Audit tiers
Qui: Entités essentielles au niveau Important/Essential
Deadline: Avril 2027
Quoi: Engagez un CAB accrédité pour vérifier vos contrôles et preuves
Considérations de Coût
Devenir audit-ready ne doit pas être coûteux.
- ✓ Le cadre CyFun est entièrement gratuit
- ✓ L'auto-évaluation n'a aucun coût externe (seulement votre temps)
- ✓ Les audits CyFun tiers varient par taille d'organisation (généralement moins cher qu'ISO)
- ✓ La certification ISO 27001 coûte EUR 5.000-30.000+ selon le périmètre
- ✓ Le coût le plus important est le temps d'implémentation, pas l'audit
- ✓ Commencer au niveau Small/Basic maintient les coûts initiaux proches de zéro
Comment Easy Cyber Protection Aide
Nous rendons votre organisation audit-ready. Cela signifie que vous entrez dans votre évaluation ou audit avec confiance.
- ✓ Implémentation guidée des contrôles CyFun à votre niveau
- ✓ Collecte de preuves et modèles de documentation
- ✓ Analyse des lacunes montrant exactement ce qui manque
- ✓ Suivi de progression sur tous les contrôles requis
- ✓ Directives claires sur ce que les auditeurs attendent
Consultez aussi notre checklist de conformité NIS2 et les étapes d'implémentation pour vous lancer.
Devenez Audit-Ready
Easy Cyber Protection vous guide à travers chaque contrôle CyberFundamentals avec des exigences de preuves claires. Sachez exactement ou vous en êtes avant l'arrivee de l'auditeur.
Questions Fréquentes
Existe-t-il un certificat NIS2?
Non. NIS2 est une directive, pas un schéma de certification. En Belgique, vous démontrez la conformité NIS2 par la certification CyberFundamentals ou ISO 27001. Ce sont les preuves de conformité acceptees.
Qu'est-ce qu'un CAB et comment en trouver un?
Un CAB (Organisme d'Évaluation de la Conformité) est une organisation accreditee qui réalisé des audits tiers. BELAC accrédité les CABs en Belgique. Le processus d'accréditation se conclut en avril 2026. Le CCB publiera une liste des CABs accrédités.
Puis-je utiliser ISO 27001 au lieu de CyberFundamentals?
Oui. Le CCB accepte ISO 27001 comme parcours de conformité alternatif pour NIS2. Environ 25% des organisations enregistrées ont choisi cette option. Si vous avez déjà ISO 27001, vérifiez que votre périmètre couvre les services pertinents NIS2.
Que se passe-t-il si je rate la date limite d'avril 2026?
Les entités essentielles qui ne soumettent pas leur auto-évaluation avant le 18 avril 2026 risquent des mesures d'application par le CCB. Cela inclut des amendes potentielles. Commencez votre évaluation maintenant pour éviter la pression de dernière minute.
Combien de temps faut-il pour obtenir la certification CyFun?
Pour Small (auto-évaluation, référence), jours a semaines. Pour CyFun Basic (également auto-évaluation), 1 a 9 mois selon votre point de départ — organisations bien équipées 1-3 mois, avec écarts 4-6 mois, greenfield 6-9 mois ou plus. Pour Important et Essential, qui nécessitent un audit tiers CAB-accredite, le schéma réaliste est pluriannuel : le CCB exige Basic audité avant l'ouverture d'Important, et Important audité avant Essential. Année 1 c'est Basic, Année 2 c'est Important, Année 3+ c'est Essential. Chaque cycle d'audit fait surgir du travail de remédiation qui demande 2-3 mois avant l'ouverture du niveau suivant.