Reglyze
NIS2 Belgique : CyFun

CyberFundamentals (CyFun) : démontrer votre conformité NIS2

CyFun est le cadre du Centre pour la Cybersécurité Belgique (CCB) pour démontrer que vous respectez les mesures NIS2 de l'art. 30 de la loi du 26 avril 2024. Il s'articule autour de six fonctions et de trois niveaux d'assurance, proportionnés à votre profil de risque, à votre taille et à votre secteur.

ISO 27001 compte aussi

L'arrêté royal du 9 juin 2024 reconnaît à la fois CyFun et ISO/IEC 27001:2022 comme cadres valables pour la conformité NIS2. Si vous êtes déjà certifié ISO 27001 par un CAB agréé, vous n'avez pas besoin de passer à CyFun.

Les 6 fonctions CyFun (NIST CSF 2.0)

CyFun 2025 suit les six fonctions du NIST Cybersecurity Framework 2.0. La fonction GOUVERNER a été ajoutée dans l'édition 2025.

GOUVERNER
GV
Stratégie, politiques, rôles et responsabilités en cybersécurité. La cybersécurité est traitée comme une priorité stratégique, et non comme une question purement technique. Cette fonction a été ajoutée dans CyFun 2025 (alignement sur le NIST CSF 2.0).
IDENTIFIER
ID
La connaissance des actifs, des données, des personnes, des systèmes et des risques de l'organisation, comme base de décisions étayées sur les risques de cybersécurité.
PROTÉGER
PR
Les mesures techniques et organisationnelles qui réduisent la probabilité d'un incident de cybersécurité ou en limitent l'impact : gestion des accès, sécurité des données, formation, gestion des configurations.
DÉTECTER
DE
La capacité à repérer à temps les événements de cybersécurité, par la surveillance et l'analyse des anomalies.
RÉPONDRE
RS
Les actions à mener lorsqu'un incident de cybersécurité survient : le contenir, communiquer et en limiter les conséquences.
RÉTABLIR
RC
La remise en service et les enseignements tirés de l'incident, pour améliorer la résilience à l'avenir.

Les 3 niveaux d'assurance

Les niveaux sont cumulatifs : chacun s'appuie sur le précédent. Ils sont précédés d'un niveau d'entrée, Small, pour une évaluation initiale, qui ne donne pas de présomption de conformité.

Basic
34 mesures, dont 13 mesures clés

Pour qui : PME et entités importantes au profil de risque modéré. Le CCB conseille à toutes les organisations susceptibles de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 de se conformer au moins à ce niveau. C'est aussi une première étape pour les entités essentielles, qui devaient présenter au 18 avril 2026 une vérification (voie CyFun) ou une auto-évaluation (voie de l'inspection) au niveau Basic ou Important.

Attestation : Une auto-évaluation, puis une vérification par un CAB agréé. Une fois cette évaluation de la conformité terminée, vous pouvez, si vous le souhaitez, demander votre label CyFun sur le portail Safeonweb@work.

Important
133 mesures (les 34 de Basic et 99 spécifiques), dont 22 mesures clés

Pour qui : Entités importantes au profil de risque élevé, et entités essentielles qui justifient le niveau Important sur la base d'une analyse de risques approfondie.

Attestation : Une auto-évaluation, puis une vérification par un CAB agréé (accrédité par BELAC et autorisé par le CCB), comme pour Basic. Seul le niveau Essential fait l'objet d'une certification. Couvre les dix mesures de l'article 21, paragraphe 2, de la directive NIS2.

Essential
218 mesures (les 133 d'Important et 85 spécifiques), dont 29 mesures clés

Pour qui : Entités essentielles (art. 9 de la loi) qui doivent atteindre ce niveau. Une entité essentielle peut, sur la base d'une analyse de risques approfondie, justifier le niveau Important.

Attestation : Certification par un CAB agréé, au plus tard le 18 avril 2027 selon le calendrier du CCB pour les entités essentielles qui doivent atteindre ce niveau. Contrôles plus poussés : SOC, EDR/XDR/SIEM, red teaming, audit indépendant annuel, gouvernance au niveau de la direction.

Comptages de premier niveau issus des livrets CyFun officiels du CCB. En incluant les sous-contrôles, le nombre de mesures est plus élevé.

CyFun, ISO 27001 et le calendrier

Le CCB recommande CyFun, mais l'arrêté royal du 9 juin 2024 reconnaît ISO/IEC 27001:2022 comme alternative équivalente : une organisation qui dispose déjà d'un SMSI certifié peut réutiliser une grande partie de ses mesures. Deux échéances du CCB concernent les entités essentielles, selon la voie choisie : au 18 avril 2026, une vérification au niveau Basic ou Important par un CAB (voie CyFun), les documents ISO (voie ISO 27001) ou l'auto-évaluation (voie de l'inspection) ; au plus tard le 18 avril 2027, la certification au niveau Essential pour celles qui doivent atteindre ce niveau, la certification ISO 27001 ou un rapport d'avancement. Les entités importantes peuvent se soumettre volontairement au même régime que les entités essentielles (art. 41) et bénéficient alors également de la présomption de conformité.

Questions fréquentes

Qu'est-ce que CyFun (CyberFundamentals) et qui le gère ?
CyFun (CyberFundamentals) est le cadre de cybersécurité du Centre pour la Cybersécurité Belgique (CCB). Il est structuré selon les six fonctions du NIST CSF 2.0 (GOUVERNER, IDENTIFIER, PROTÉGER, DÉTECTER, RÉPONDRE, RÉTABLIR) et en niveaux d'assurance. L'arrêté royal du 9 juin 2024 reconnaît CyFun comme cadre permettant de démontrer la conformité aux mesures de l'art. 30 de la loi du 26 avril 2024, la transposition belge de NIS2.
Quels niveaux CyFun existent et de quel niveau ai-je besoin ?
Il existe trois niveaux d'assurance, Basic, Important et Essential, précédés d'un niveau d'entrée, Small, qui ne donne pas de présomption de conformité. Une entité détermine le niveau qu'elle doit atteindre sur la base de son évaluation des risques. Basic comprend les exigences applicables à toutes les organisations, et le CCB conseille à toutes les organisations susceptibles de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 de se conformer au moins à ce niveau. Selon le calendrier du CCB, les entités essentielles qui doivent atteindre le niveau Essential le font certifier au plus tard le 18 avril 2027 ; une entité essentielle peut, sur la base d'une analyse de risques approfondie, justifier le niveau Important.
Puis-je utiliser ma certification ISO 27001 au lieu de CyFun ?
Oui. L'arrêté royal du 9 juin 2024 reconnaît expressément ISO/IEC 27001:2022 comme alternative équivalente à CyFun pour démontrer la conformité à l'art. 30. Une organisation belge certifiée ISO 27001 par un CAB agréé (accrédité par BELAC) n'a pas besoin de passer à CyFun. C'est une particularité belge.
Quelles sont les échéances CyFun pour les entités essentielles ?
Deux dates du calendrier du CCB, dont le contenu dépend de la voie choisie. Au 18 avril 2026, les entités essentielles devaient présenter une vérification au niveau Basic ou Important par un CAB accrédité et autorisé (voie CyFun), le périmètre, la déclaration d'applicabilité et le dernier audit interne (voie ISO/IEC 27001), ou l'auto-évaluation CyFun Basic ou Important (voie de l'inspection). Au plus tard le 18 avril 2027 suit la certification au niveau Essential pour celles qui doivent atteindre ce niveau, la certification ISO 27001, ou un rapport sur l'état d'avancement de la conformité. Les entités importantes peuvent se soumettre volontairement au même régime que les entités essentielles (art. 41) pour bénéficier de la présomption de conformité.

Atteindre votre niveau CyFun, sans travailler à l'aveugle

Reglyze évalue vos écarts par rapport aux fonctions CyFun, rédige avec l'IA les politiques correspondantes et documente les preuves, pour que vous soyez prêt pour la vérification ou la certification par un CAB. Prix publiés en euros, hébergement dans l'UE.

Reglyze est une plateforme SaaS de conformité NIS2 et ne remplace pas un conseil juridique. CyFun est un cadre du CCB. Source officielle : CCB, Safeonweb@Work.