Échéance NIS2 belge du 18 avril 2026 manquée ? Et maintenant

Ce que le 18 avril 2026 exigeait réellement

L'arrêté royal du 9 juin 2024, qui exécute la loi NIS2 belge, fixe les étapes. Elles diffèrent selon la classe d'entité :

• 1
  Entités essentielles, 18 avril 2026 ou 18 mois après l'identification : sur la voie de certification CyFun, une vérification Basic ou Important par un organisme d'évaluation de la conformité autorisé par le CCB, au niveau que soutient leur analyse de risques (art. 22 §1). Si elles ont choisi la supervision par le service d'inspection du CCB, une auto-évaluation Basic ou Important (art. 23 §1). Sur la voie ISO 27001, le périmètre et la déclaration d'applicabilité de la future certification.
• 2
  Entités importantes, 18 avril 2026 : aucune formalité administrative auprès du CCB (FAQ du CCB). Elles doivent toutefois mettre en œuvre toutes les mesures NIS2, et le CCB peut demander des preuves, par exemple après un incident. Une évaluation CyFun volontaire est une auto-évaluation vérifiée par un CAB au niveau Important ou supérieur (art. 11).

Si vous n'êtes pas sûr que votre organisation soit classée importante ou essentielle, commencez par qui doit se conformer à NIS2.

Ce qui suit pour une entité essentielle

Manquer l'étape d'avril 2026 ne déplace pas les dates suivantes. Trois faits tirés des sources :

Votre voie, et le plan de remédiation pour 2027

Les trois premiers blocs sont les voies fixées par l'arrêté royal. Restez sur la voie choisie pour votre évaluation régulière de la conformité. Le quatrième bloc est le plan de remédiation pour la date de 2027.

Comment préparer votre rattrapage

Quelle que soit votre voie, la même base s'applique :

1. 1

   Confirmez votre classe d'entité

   Essentielle ou importante dépend du secteur et de la taille (directive NIS2, art. 3). L'étape d'avril 2026 ne concernait que les entités essentielles.

2. 2

   Confirmez votre voie

   CyFun avec un organisme d'évaluation de la conformité, CyFun sous inspection du CCB, ou ISO 27001. La voie détermine ce que vous devez.

3. 3

   Menez l'analyse de risques

   L'arrêté royal y lie le niveau de votre première vérification (art. 22 §1), et c'est elle qui peut justifier un niveau inférieur à Essential (art. 7). Les entités essentielles la transmettent au CCB avec leur attestation de conformité (art. 9).

4. 4

   Complétez le workbook CyberFundamentals avec des preuves

   Notez chaque contrôle honnêtement et gardez une référence de preuve par contrôle. Un CAB ou le service d'inspection le lira, et un mur de notes maximales sans preuves n'aide personne.

5. 5

   Contactez le service d'inspection du CCB

   Les sources ne décrivent aucune procédure tardive pour l'étape d'avril 2026. Demandez au service d'inspection (inspection@ccb.belgium.be) comment régulariser votre situation, et gardez la réponse par écrit.

Pas le temps de partir d'un classeur vide? Notre vérification de périmètre instantanée à l'écran donne en deux minutes une estimation approximative du périmètre, de la classe d'entité et du niveau CyFun, sans adresse e-mail. Vous voulez ensuite une liste priorisée des contrôles BASIC (30/90/180 jours) comme point de départ de votre rattrapage? Le rapport écrit est à 395€ forfait, livré en 48 heures.

Ce que le CCB a dit

Deux points tirés des sources du CCB que nous avons lues :

• Priorité jusqu'en avril 2027. Le service d'inspection vérifiera en priorité, au 18 avril 2027, que les entités essentielles ont des mesures équivalentes à CyFun Important. Son courrier du 11 août 2026 cite les nouvelles menaces liées à l'IA avancée comme raison.
• Preuves sur demande. Pour les entités importantes, le CCB peut demander des preuves que les mesures sont mises en œuvre, par exemple après un incident (FAQ du CCB).

Notre lecture : aucun de ces points n'est un délai de grâce, et un rattrapage documenté est la position que vous pouvez montrer quand on vous la demande.