Cybersécurité
NIS2 en Belgique : la checklist pour savoir où vous en êtes.
Qui est concerné, quoi faire d’abord et dans quel ordre : dix points pour passer de « on devrait s’en occuper » à un plan daté, aligné sur la loi belge.
La directive NIS2 est transposée en Belgique par la loi du 26 avril 2024, en vigueur depuis le 18 octobre 2024. L’autorité compétente est le Centre pour la Cybersécurité Belgique (CCB). Le texte ne demande pas d’acheter des outils : il demande de gérer les risques, de le prouver, et de notifier les incidents. Voici l’ordre dans lequel nous traitons le sujet en mission.
1. Vérifier si vous êtes concerné
Deux critères se combinent : le secteur (énergie, santé, transport, numérique, eau, alimentaire, industrie manufacturière, services postaux…) et la taille (à partir de 50 personnes ou 10 millions d’euros de chiffre d’affaires, sauf exceptions). Les entités sont classées « essentielles » ou « importantes », avec des obligations de supervision différentes. Un sous-traitant d’une entité concernée peut aussi être entraîné par contrat.
2. S’enregistrer auprès du CCB
L’enregistrement se fait sur le portail Safeonweb@work. Le délai initial était le 18 mars 2025 ; si ce n’est pas fait, c’est la première action, avant tout projet technique.
3. Choisir un référentiel
Deux voies acceptées en Belgique : le cadre CyberFundamentals du CCB (niveaux Basic, Important, Essential) ou la norme ISO 27001. Le CyFun a l’avantage d’être gratuit, en français, et calibré par taille d’organisation.
4. Documenter une analyse de risques
Une analyse courte mais réelle : actifs critiques, menaces plausibles, impacts, mesures existantes. C’est le document que la direction signe et que l’auditeur ouvre en premier.
5. Mettre en place les mesures minimales
Authentification multifacteur partout, sauvegardes testées et hors ligne, gestion des correctifs, journalisation centralisée, séparation des comptes administrateur, chiffrement des postes. Ces six points couvrent la majorité des incidents courants.
6. Préparer la notification d’incident
Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Sans procédure écrite et sans contact désigné, ces délais ne tiennent pas un vendredi soir.
7. Regarder la chaîne d’approvisionnement
Quels fournisseurs ont accès à vos systèmes ? Avec quelles clauses ? NIS2 vous rend responsable de ce que vous déléguez.
8. Former la direction
La loi engage personnellement les organes de direction. Une demi-journée de sensibilisation, documentée, est une obligation et une protection.
9. Planifier l’évaluation de conformité
Auto-évaluation pour les entités importantes, certification ou inspection pour les essentielles. Fixez la date maintenant, le reste du plan se déduit à rebours.
10. Prévoir la revue annuelle
Risques, mesures, fournisseurs, formation : une revue par an, tracée. La conformité NIS2 est un cycle, pas un projet.