NIS2 Belgique : le parcours vers le 18 avril 2027

Résumé pour la direction

• Le premier jalon de conformité du 18 avril 2026 est passé ; le CCB contrôle activement
• Pour le 18 avril 2027, les entités essentielles doivent démontrer le niveau Essential ou introduire un plan de remédiation
• Ce plan comprend la preuve du niveau Important et un plan pour atteindre Essential d’ici au 18 avril 2028
• Le CCB évoque explicitement les nouvelles menaces liées aux systèmes d’IA avancés
• Les entités importantes échappent à l’évaluation obligatoire, mais toutes les autres obligations s’appliquent depuis octobre 2024
• CyFun® 2025 ajoute Govern comme fonction et insiste davantage sur la chaîne d’approvisionnement et l’OT ; 2023 et 2025 coexistent jusqu’au 18 avril 2027
• Un label CyFun® n’équivaut pas à une conformité NIS2
• La Commission a proposé le 20 janvier 2026 des modifications ciblées de la directive ; elles ne sont pas encore en vigueur
• Notification et responsabilité de l’organe de direction sont des questions de gouvernance, pas d’informatique

NIS2 en Belgique : la première échéance est passée, la plus exigeante arrive

Le 18 avril 2026, les entités essentielles devaient démontrer pour la première fois où elles en étaient dans leur trajet NIS2. Ce jalon est derrière nous, le Centre pour la Cybersécurité Belgique exerce désormais une surveillance active, et le mois dernier son Service d’inspection a adressé une communication à toutes les entités essentielles au sujet de l’étape suivante : le 18 avril 2027.

L’écart entre ces deux dates dépasse la simple année. La première demandait une démarche : une auto-évaluation, un périmètre, un accord signé avec un organisme d’évaluation. La seconde exige un résultat.

La première échéance demandait une intention. La seconde demande un niveau.

Où en est la Belgique aujourd’hui ?

La Belgique a transposé NIS2 parmi les premiers États membres, par la loi du 26 avril 2024, entrée en vigueur le 18 octobre 2024, complétée par l’arrêté royal du 9 juin 2024. Depuis, le cadre s’est précisé étape par étape.

L’enregistrement via Safeonweb@Work est derrière nous. Le premier jalon de conformité pour les entités essentielles, fixé au 18 avril 2026, est passé : celles qui avaient opté pour CyFun® devaient présenter au minimum une vérification de niveau Basic ou Important ; celles qui avaient choisi l’ISO/IEC 27001, leur périmètre de certification, leur Déclaration d’applicabilité et leur dernier rapport d’audit interne ; celles qui avaient retenu la surveillance directe, une auto-évaluation accompagnée de pièces justificatives.

Depuis le 17 juillet 2026, les opérateurs d’infrastructures critiques sont en outre automatiquement classés comme entités essentielles. Le CCB est aujourd’hui en phase d’application.

Ce que demande concrètement la nouvelle communication du CCB

Le Service d’inspection du CCB a adressé une communication générale et une demande d’informations à l’ensemble des entités essentielles NIS2 belges, portant sur l’évaluation de conformité obligatoire à réaliser pour le 18 avril 2027.

L’essentiel : les entités essentielles qui ne pourront pas démontrer à cette date qu’elles ont mis en œuvre des mesures de cybersécurité équivalentes au niveau d’assurance CyFun® Essential devront introduire un plan de remédiation. Ce plan comporte deux volets :

• la preuve du respect de mesures au moins équivalentes au niveau Important
• une description motivée des mesures prévues pour atteindre le niveau Essential au plus tard le 18 avril 2028

Aucun plan de remédiation n’est exigé des entités qui peuvent démontrer, au 18 avril 2027, qu’elles satisfont au niveau Essential — ou à des mesures motivées correspondant à un niveau inférieur, sur la base de leur propre analyse de risques.

Cette approche vaut pour les trois trajets possibles : certification ou vérification CyFun® par un organisme d’évaluation de la conformité agréé, certification ISO/IEC 27001 par un organisme agréé, ou évaluation de conformité par le Service d’inspection lui-même. Détail important : cette communication ne modifie ni les obligations légales ni les délais fixés par la loi NIS2 et son arrêté royal. Elle explicite ce que le Service d’inspection s’attend à voir.

La motivation est frappante. Le CCB évoque les nouvelles menaces liées à l’essor des systèmes d’intelligence artificielle avancés, et les questions que cela soulève en matière de gouvernance, d’analyse de risques, de sécurité de la chaîne d’approvisionnement, de monitoring et de réponse aux incidents. Autrement dit : le cadre bouge, et il bouge pour des raisons qui n’étaient pas sur la table l’an dernier.

Entité essentielle ou importante : cette qualification détermine tout

Pour beaucoup d’organisations, c’est encore la première vraie question.

Les entités essentielles — grandes organisations dans des secteurs comme l’énergie, les transports, les soins de santé et l’infrastructure numérique — relèvent d’une surveillance obligatoire et régulière, exercée a priori. Elles doivent démontrer activement leur conformité, selon le calendrier décrit plus haut.

Les entités importantes relèvent d’une surveillance a posteriori. Elles ne sont pas tenues de se soumettre à une évaluation de conformité, mais peuvent le faire volontairement, ce qui leur confère une présomption de conformité. Attention au piège : toutes les autres obligations — mesures de sécurité, notification des incidents, responsabilité de l’organe de direction — s’appliquent pleinement, et ce depuis le 18 octobre 2024.

Un doute sur votre classification ? Le CCB met à disposition un outil de test du périmètre via Safeonweb@Work. Consignez le résultat, avec le raisonnement qui le sous-tend. Ce document vous servira plus tard.

CyFun® ou ISO 27001 : que choisir, et quelle version ?

Environ trois quarts des entités enregistrées ont opté pour CyFun®, le référentiel développé par le CCB pour le contexte belge. L’ISO/IEC 27001 reste une alternative à part entière.

La différence tient au point de départ. CyFun® fonctionne par niveaux d’assurance successifs — Small, Basic, Important, Essential — et met l’accent sur des mesures concrètes et opérationnelles, avec un score mesurable par contrôle. L’ISO/IEC 27001 part de la construction d’un système de management de la sécurité de l’information complet, ce qui représente généralement un trajet plus vaste et plus long.

Le niveau Essential est d’une nature fondamentalement différente de Basic ou Important : il s’agit de la certification d’un système de management, avec audit documentaire, audit d’implémentation sur site, audits de surveillance annuels et recertification. Une organisation qui se situe aujourd’hui au niveau Basic et vise Essential pour avril 2027 n’a pas un problème administratif : elle a une planification de projet.

Depuis octobre 2025, un second choix s’y ajoute : quelle version de CyFun®.

Une auto-évaluation montre ce que vous comptez faire. Une certification montre ce que vous avez.

Qu’est-ce qui change dans CyFun® 2025 ?

Le CCB a lancé en octobre 2025 une nouvelle version du référentiel. Elle est alignée sur le NIST Cybersecurity Framework 2.0 et sur la réglementation européenne, NIS2 en tête, et plus de quatre-vingts experts et organisations ont contribué à la relecture du projet. Les principales évolutions de fond :

• La gouvernance devient une fonction à part entière. CyFun® 2023 suivait les cinq fonctions NIST Identify, Protect, Detect, Respond et Recover. CyFun® 2025 y ajoute Govern, et des mesures de gouvernance apparaissent à partir du niveau Important. Cela rejoint directement la responsabilité de l’organe de direction prévue par la loi NIS2.
• La chaîne d’approvisionnement occupe une place explicite dans les contrôles : fournisseurs et partenaires.
• La sécurité OT est traitée explicitement, ce qui change la donne pour les environnements industriels et de soins.
• Les contrôles sont formulés plus clairement, avec des explications plus développées sur leur interprétation et leur mise en œuvre.

Le calendrier est le point à retenir. CyFun® 2023 et CyFun® 2025 coexistent jusqu’au 18 avril 2027 ; jusqu’à cette date, vous choisissez vous-même la version sur laquelle porte votre vérification ou votre certification. Les déclarations et certificats fondés sur CyFun® 2023 restent valables jusqu’au 18 avril 2028 au plus tard. Ensuite, seul CyFun® 2025 sera accepté.

C’est la même date que le jalon de conformité évoqué plus haut. Le 18 avril 2027, deux questions se rejoignent donc : avez-vous atteint votre niveau cible, et sur quelle version du référentiel vous faites-vous évaluer ?

Enfin, une nuance qui pose souvent problème en pratique : détenir un label CyFun® ne signifie pas automatiquement être conforme à NIS2. Des obligations telles que les délais de notification de 24 heures, 72 heures et un mois doivent de toute façon figurer dans vos propres procédures.

La notification est une question de gouvernance, pas de technique

Les délais sont connus : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans le mois.

Ce qui coince en pratique, c’est rarement la technique. C’est de savoir qui, dans ces 24 premières heures, a le mandat de constater qu’il s’agit d’un incident à notifier — et de trancher un samedi soir, avec des informations incomplètes, pendant que l’équipe cherche encore à comprendre ce qui s’est passé.

Il en va de même pour la responsabilité de l’organe de direction. Celui-ci doit approuver les mesures de cybersécurité et suivre la formation requise, et il en porte personnellement la responsabilité. Ce n’est pas une formalité à cocher en séance. C’est la raison pour laquelle un trajet NIS2 commence dans la salle du conseil, pas dans la salle des serveurs.

Pourquoi ce travail est à la fois juridique et technique

Les dix mesures issues de la directive se lisent comme une liste technique : analyse de risques, gestion des incidents, continuité et sauvegardes, chaîne d’approvisionnement, développement sécurisé, mesure de l’efficacité, cyberhygiène et formation, cryptographie, gestion des accès, authentification multifacteur.

Mais chaque mesure soulève une question juridique. Quel niveau est approprié à nos risques, et comment défendons-nous ce choix ? Qu’imposons-nous contractuellement à nos fournisseurs, et que faisons-nous s’ils refusent ? Que signifie « développement sécurisé » pour un logiciel que nous achetons au lieu de le construire ?

À l’inverse, l’analyse juridique bloque sans représentation technique. Vous ne pouvez pas déterminer un niveau approprié sans savoir quels systèmes tournent et comment ils sont reliés entre eux.

C’est pourquoi cette formation réunit deux formateurs dans la même salle : un juriste spécialisé en droit de la cybersécurité et un expert de terrain qui mène des implémentations. Question juridique, réponse technique, et inversement.

Et pendant ce temps, le cadre européen bouge aussi

Pendant que la Belgique applique sa loi, la directive elle-même est réexaminée.

Le 20 janvier 2026, la Commission européenne a publié une proposition visant à modifier de manière ciblée la directive NIS2, accompagnée d’une proposition de révision du Cybersecurity Act. Cette proposition — COM(2026) 13, procédure 2026/0012(COD) — entend clarifier le champ d’application, simplifier les règles de compétence, rationaliser la collecte de données sur les rançongiciels et renforcer la surveillance transfrontalière, avec un rôle de coordination élargi pour l’ENISA. L’obligation de désigner un représentant dans l’Union serait également étendue à toute entité essentielle ou importante non établie dans l’Union mais y offrant des services. Selon la Commission, le texte faciliterait la mise en conformité de quelque 28 700 entreprises.

Par ailleurs, le paquet Digital Omnibus touche à la notification des incidents : un point de déclaration européen unique pour les notifications relevant des articles 23 et 30, l’ENISA assurant la gestion technique du portail et transmettant la notification aux autorités nationales compétentes. Les seuils, les délais et les destinataires restent inchangés.

Ces deux textes sont des propositions. Ils suivent la procédure législative ordinaire et ne sont pas encore en vigueur. Mais celui qui construit aujourd’hui un plan d’implémentation a tout intérêt à savoir que le champ d’application et le circuit de notification peuvent encore évoluer.

En parallèle, l’ENISA continue de préciser le cadre et le groupe de coopération NIS publie des documents de référence sur les mesures de sécurité applicables aux entités relevant de NIS2. Ce ne sont pas des textes de loi, mais c’est ce que les autorités de contrôle regardent lorsqu’elles apprécient le caractère approprié de vos mesures.

Par où commencer ?

1. Confirmez votre classification — essentielle, importante ou hors périmètre — et consignez le raisonnement par écrit.
2. Vérifiez votre enregistrement via Safeonweb@Work. Un enregistrement tardif vaut mieux qu’une absence d’enregistrement constatée.
3. Fixez votre niveau cible et comparez-le à votre situation actuelle. L’écart constitue votre plan de projet, pas votre point d’action.
4. Choisissez votre version de CyFun®. Jusqu’au 18 avril 2027, vous pouvez encore opter pour 2023 ou 2025 ; ensuite, non. Évaluez s’il vaut mieux terminer un trajet en cours sur 2023 ou basculer immédiatement.
5. Formalisez le mandat de notification : qui décide dans les 24 heures, et qui remplace cette personne.
6. Inscrivez la responsabilité de l’organe de direction à son ordre du jour, obligation de formation comprise.
7. Documentez vos preuves mesure par mesure. Lors d’une évaluation, ce qui compte n’est pas ce que vous faites, mais ce que vous pouvez montrer.

Du texte de loi à un plan d’implémentation opérationnel, en deux jours

NIS2 Lead Implementer Belgique : Législation et Pratique part systématiquement du cadre juridique pour aller ensuite vers l’application pratique. La première journée est consacrée au cadre juridique : les concepts de base, une analyse approfondie des obligations NIS2, la transposition belge (enregistrement, mesures, formations, notification des incidents, évaluation de conformité, surveillance) et ce que cela implique pour vos procédures internes et vos contrats fournisseurs. La deuxième journée porte sur l’implémentation : des sessions pratiques avec le référentiel CyFun® sur des scénarios réalistes, et l’élaboration de stratégies et de plans d’action pour votre propre organisation.

La formation est assurée par Chris De Vuyst et Bernd Fiten : un juriste spécialisé en droit de la cybersécurité et un expert de terrain en cybersécurité, présents ensemble dans la salle.

Cette version de la formation a été actualisée avec la documentation la plus récente de l’ENISA et du groupe de coopération NIS sur la mise en œuvre de NIS2, avec la proposition de la Commission européenne visant à adapter le champ d’application de la directive, et avec des explications et exercices approfondis sur CyFun® 2025, la nouvelle version du référentiel recommandée par le CCB pour la mise en œuvre de la loi NIS2 belge.

12–13 novembre 2026 — Van der Valk Hôtel Nivelles-Sud, en français.
Également en néerlandais (20–21 octobre 2026, Anvers) et en anglais (14–15 décembre 2026, Diegem).
20 participants en moyenne, 24 maximum.
1 495 € HTVA, 1 195 € pour les institutions publiques, lunch, syllabus imprimé et matériel d’apprentissage numérique compris.
Aucune connaissance préalable requise.

Portefeuille PME possible sous le thème cybersécurité pour les entreprises disposant d’un siège d’exploitation en Flandre.

Découvrez le programme complet et inscrivez-vous dès aujourd’hui

Sources et pour aller plus loin

• Centre pour la Cybersécurité Belgique — communication aux entités essentielles NIS2
• Safeonweb@Work — enregistrement, test de périmètre et FAQ
• CyberFundamentals Framework 2025 — CCB, avec une comparaison des mesures clés entre CyFun® 2023 et 2025
• Proposition COM(2026) 13 modifiant la directive NIS2 — Commission européenne
• Directive (UE) 2022/2555 (NIS2) — EUR-Lex
• Loi du 26 avril 2024 (loi NIS2) — Justel

Questions fréquentes