NIS2 Belgique : CyFun

Conforme à NIS2 en Belgique, avec CyFun

En Belgique, la loi du 26 avril 2024 transpose la directive NIS2. Le Centre pour la Cybersécurité Belgique (CCB) propose CyFun, le cadre CyberFundamentals, pour démontrer que vous respectez les mesures de sécurité. Reglyze s'appuie sur l'IA pour vous amener vite à votre niveau CyFun, sans travailler à l'aveugle : une évaluation de vos écarts, les politiques correspondantes et des preuves prêtes pour la vérification ou la certification par un CAB.

Les obligations s'appliquent déjà

La loi est entrée en vigueur le 18 octobre 2024. Les entités essentielles et importantes s'enregistrent auprès du CCB sur atwork.safeonweb.be. Pour les entités essentielles, la première échéance de l'évaluation de la conformité est passée le 18 avril 2026 ; au plus tard le 18 avril 2027 suit la certification au niveau Essential pour celles qui doivent atteindre ce niveau.

Ce que NIS2 et CyFun signifient pour une organisation belge

Si vous relevez de NIS2, vous êtes une entité essentielle (art. 9 de la loi) ou une entité importante (art. 10 de la loi), selon votre secteur et votre taille. Vous devez prendre des mesures de sécurité appropriées, notifier les incidents significatifs au CCB et vous enregistrer. CyFun est le cadre pratique que le CCB propose pour structurer et démontrer ces mesures : il traduit les obligations légales en exigences concrètes, classées par fonction et par niveau d'assurance. Si vous êtes déjà certifié ISO/IEC 27001:2022 par un CAB agréé, l'arrêté royal du 9 juin 2024 reconnaît cette certification comme une alternative équivalente.

Les 6 fonctions CyFun en un coup d'œil

CyFun 2025 suit les six fonctions du NIST Cybersecurity Framework 2.0. Ensemble, elles comptent 22 catégories et 218 exigences.

GOUVERNER

Stratégie, politiques, rôles et responsabilités en cybersécurité, y compris la gestion des risques dans la chaîne d'approvisionnement. Ajoutée dans CyFun 2025.

IDENTIFIER

La connaissance des actifs, des données, des systèmes et des risques de l'organisation, comme base de décisions étayées.

PROTÉGER

Les mesures techniques et organisationnelles qui réduisent la probabilité d'un incident ou en limitent l'impact.

DÉTECTER

La détection à temps des événements de cybersécurité, par la surveillance et l'analyse des anomalies.

RÉPONDRE

Les actions face à un incident : le contenir, l'analyser, communiquer et en limiter les conséquences.

RÉTABLIR

La remise en service et les enseignements tirés de l'incident, pour renforcer la résilience.

Voir les 22 catégories et les 218 exigences

Les niveaux d'assurance en un coup d'œil

CyFun compte trois niveaux d'assurance, Basic, Important et Essential, précédés d'un niveau d'entrée, Small. Les niveaux d'assurance sont cumulatifs : chacun s'appuie sur le précédent. Basic comprend les exigences applicables à toutes les organisations, et le CCB conseille à toutes les organisations susceptibles de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 de se conformer au moins à ce niveau.

Small

Le niveau d'entrée, pour une évaluation initiale, destiné aux micro-organisations ou aux organisations disposant de connaissances techniques limitées. Ce n'est pas un niveau d'assurance : il ne donne pas de présomption de conformité.

Basic

Les exigences applicables à toutes les organisations. Le CCB conseille à toutes les organisations susceptibles de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 de se conformer au moins à ce niveau. Adapté aux entités importantes au profil de risque modéré.

Important

Un niveau renforcé pour les entités au profil de risque plus élevé. À faire vérifier par un CAB agréé.

Essential

Les exigences les plus élevées. Les entités essentielles qui doivent atteindre ce niveau le font certifier par un CAB agréé au plus tard le 18 avril 2027, selon le calendrier du CCB.

Comparer les niveaux et les échéances

Le CCB et CERT.be

Le Centre pour la Cybersécurité Belgique (CCB) est l'autorité nationale pour NIS2. Il publie CyFun, supervise les entités essentielles et importantes et gère la plateforme atwork.safeonweb.be pour l'enregistrement et la notification. CERT.be, le CSIRT national géré par le CCB, reçoit les notifications d'incident, vous adresse une première réponse et, à votre demande, un soutien opérationnel. Reglyze ne notifie jamais à votre place et n'envoie jamais lui-même de notification : vous gardez la main et transmettez les informations sur le portail du CCB.

Tout sur NIS2 et CyFun en Belgique

Conformité CyFun

Comment CyFun démontre les mesures NIS2 : les six fonctions et les trois niveaux d'assurance.

Les mesures CyFun

Les six fonctions, les 22 catégories et les 218 exigences, présentées clairement.

Les niveaux d'assurance

Les trois niveaux d'assurance, le niveau d'entrée Small, l'échéance passée du 18 avril 2026 et celle du 18 avril 2027.

Suis-je concerné par NIS2 ?

Entité essentielle ou importante au sens de la loi du 26 avril 2024 : secteurs, critère de taille et amendes.

Notification d'incident au CCB

Notifier un incident significatif à CERT.be, le CSIRT national géré par le CCB : 24 heures, 72 heures et 1 mois.

Exercice tabletop

Tester votre réponse aux incidents avec un scénario tabletop, centré sur les fonctions RÉPONDRE et RÉTABLIR.

Pour les MSP

Une seule console pour gérer la conformité CyFun de tout un portefeuille de clients, avec des prix publiés.

Hébergement et souveraineté

Où se trouvent vos données (Hetzner, Allemagne), le RGPD et l'exigence CyFun sur la résilience de l'infrastructure.

Questions fréquentes

Les questions les plus posées sur NIS2, CyFun, les niveaux, les échéances et le CCB.

Questions fréquentes

NIS2 s'applique-t-elle déjà en Belgique ?

Oui. La Belgique a été l'un des premiers États membres à transposer NIS2 : la loi du 26 avril 2024 est entrée en vigueur le 18 octobre 2024. Les obligations de gestion des risques, de notification des incidents et d'enregistrement auprès du CCB s'appliquent donc déjà aux entités essentielles et importantes.

Qu'est-ce que CyFun et quel est son lien avec NIS2 ?

CyFun (CyberFundamentals) est le cadre de cybersécurité du Centre pour la Cybersécurité Belgique (CCB). Il est structuré selon les six fonctions du NIST CSF 2.0 et s'appuie sur ISO/IEC 27001:2022, IEC 62443 et les CIS Controls. L'arrêté royal du 9 juin 2024 reconnaît CyFun comme cadre permettant de démontrer la conformité aux mesures NIS2 de la loi du 26 avril 2024.

Quels sont les niveaux d'assurance ?

Le CCB distingue trois niveaux d'assurance, Basic, Important et Essential, précédés d'un niveau d'entrée, Small. Les niveaux d'assurance sont cumulatifs. Basic comprend les exigences applicables à toutes les organisations, et le CCB conseille à toutes les organisations susceptibles de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 de se conformer au moins à ce niveau. Selon le calendrier du CCB, les entités essentielles qui doivent atteindre le niveau Essential le font certifier au plus tard le 18 avril 2027 ; une entité essentielle peut, sur la base d'une analyse de risques approfondie, justifier le niveau Important.

Où notifier un incident ?

À CERT.be, le CSIRT national géré par le CCB, via la plateforme atwork.safeonweb.be, avec une connexion par CSAM ou itsme. Les délais sont une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans un délai d'un mois.

Toutes les questions fréquentes

Préparez votre niveau CyFun dès aujourd'hui

Reglyze évalue vos écarts par rapport aux fonctions CyFun, rédige avec l'IA les politiques correspondantes et documente les preuves, pour que vous soyez prêt pour la vérification ou la certification par un CAB. Prix publiés en euros, hébergement dans l'UE.

Reglyze est une plateforme SaaS de conformité NIS2 et ne remplace pas un conseil juridique. CyFun est un cadre du CCB. Source officielle : ccb.belgium.be (CCB).