Deadline NIS2 Belge Manquée? Vos Options

Ce que le 18 Avril 2026 Exigeait Réellement

La loi belge de transposition NIS2 du 26 avril 2024 fixe deux deadlines qui comptent pour le cadre CyberFundamentals géré par le Centre pour la Cybersécurité Belgique (CCB) :

• 1
  18 avril 2026 — Auto-évaluation de conformité. Les entités importantes doivent soumettre une auto-évaluation CyFun au niveau BASIC minimum (34 contrôles). Soumis via le portail CCB Safeonweb @work.
• 2
  18 avril 2027 — Certification complète. Les entités essentielles doivent passer un audit Conformity Assessment Body (CAB) au niveau IMPORTANT (133 contrôles) ou ESSENTIAL (218 contrôles). Le CAB doit être accrédité par BELAC, l'organisme belge d'accréditation.

Pas certain si votre organisation est classifiee comme importante ou essentielle ? Commencez par qui doit se conformer à NIS2.

Ce qui Change Réellement Si Vous n'avez pas Soumis

Une deadline passée déplace votre position de "sur la bonne voie" vers "en remédiation". Trois choses spécifiques changent :

Trois Voies de Remédiation

Choisissez la voie qui correspond à votre classification NIS2 et à la position d'audit que vos grands clients professionnels demandent réellement. Les trois sont acceptees par le CCB.

Comment Soumettre une Auto-évaluation CyFun BASIC Tardive

Les étapes mecaniques que le portail CCB Safeonweb @work attend, dans l'ordre :

1. 1

   Enregistrez votre organisation sur Safeonweb @work

   Utilisez itsme ou eID pour vous authentifier en tant que représentant légal. Le CCB recoupe l'enregistrement avec les données de la Banque-Carrefour des Entreprises (BCE/KBO).

2. 2

   Confirmez votre classification NIS2

   Importante ou essentielle. Le portail parcourt le test de taille et de secteur qui mappe vers les Annexes I et II de NIS2.

3. 3

   Téléchargez la workbook CyberFundamentals

   Fichier Excel maintenu par le CCB. Chaque contrôle à une colonne de preuves que le CCB attend remplie avec une référence (nom de document, capture d'écran, chemin de log).

4. 4

   Notez chaque contrôle honnêtement

   La notation de maturité CyFun utilise une rubrique 1-5 par contrôle. Les auditeurs et le CCB perdent patience avec les auto-evaluations qui notent chaque contrôle a 5. Une baseline de 2-3 avec un plan d'amélioration documenté se lit comme plus credible qu'un mur de vert.

5. 5

   Téléchargez la workbook et joignez une feuille de route de remédiation

   Pour une soumission tardive, la feuille de route est le document qui transforme "deadline manquée" en "en remédiation active". Dates cibles par contrôle, propriétaire par contrôle, et références de preuves pour ce qui est déjà en place.

Pas le temps de partir d'un classeur vide? Notre vérification de périmètre instantanée à l'écran détermine périmètre et niveau CyFun en deux minutes, sans adresse e-mail. Vous voulez ensuite une liste priorisée des contrôles BASIC (30/90/180 jours) à utiliser directement dans le portail Safeonweb @work comme point de départ tardif? Le rapport écrit est à 395€ forfait, livré en 48 heures.

Ce que le CCB a Réellement Dit sur l'Application

Le Centre pour la Cybersécurité Belgique publie sa position d'application via des directives formelles, des rapports annuels et le portail Safeonweb @work — pas via des fuites d'application. Deux signaux sont visibles dans le matériel public CCB :

• Les notifications d'incidents augmentent rapidement. Le CCB a enregistré 635 notifications d'incidents obligatoires dans les catégories pertinentes NIS2 en 2025 — une hausse d'environ 70% en glissement annuel selon le rapport d'activité annuel CCB 2025. Cela signale une bande passante d'attention chez le régulateur, pas une boîte de réception silencieuse.
• Position remédiation-d'abord. Les directives publiées par le CCB sur le processus d'accréditation BELAC et le cadre CyberFundamentals cadrent systématiquement l'application comme une escalade structurée : notification → ordre de remédiation → amende administrative. C'est le même schéma que l'Autorité belge de protection des données (APD) utilise pour le RGPD.

Les deux signaux pointent dans la même direction : le coût d'une soumission tardive documentée est inferieur au coût d'un refus documenté. Le but est d'être dans les registres comme remediant avant que quelqu'un ne demande.