Reglyze
NIS2 Belgique : niveaux CyFun

Les niveaux d'assurance CyFun et les échéances

CyFun compte trois niveaux d'assurance cumulatifs, Basic, Important et Essential, précédés d'un niveau d'entrée, Small. Le niveau dont vous avez besoin dépend de votre profil de risque et de votre catégorie au sens de la loi du 26 avril 2024. Cette page indique qui a besoin de quel niveau, et pour quand.

Le CCB conseille au moins Basic dans la chaîne d'approvisionnement

Le niveau d'assurance Basic comprend les exigences applicables à toutes les organisations. Le CCB conseille à toutes les organisations susceptibles de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 de se conformer au moins à ce niveau. Selon le calendrier du CCB, les entités essentielles qui doivent atteindre le niveau Essential le font certifier au plus tard le 18 avril 2027.

Le niveau d'entrée et les trois niveaux d'assurance

Les niveaux d'assurance s'appuient les uns sur les autres. Pour chaque niveau : à qui il s'adresse, comment le démontrer et ce qu'il signifie pour NIS2.

Small
Niveau d'entrée

Pour qui : Les micro-organisations ou les organisations disposant de connaissances techniques limitées, pour une évaluation initiale.

Attestation : Aucune évaluation de la conformité. CyFun 2025 n'a pas de livret ni d'outil d'auto-évaluation propre à Small : ils existent pour Basic, Important et Essential.

Pour NIS2 : Pas de présomption de conformité : le CCB la rattache aux trois niveaux d'assurance et à l'ISO/IEC 27001. Small est le niveau d'entrée, pas un niveau d'assurance.

Basic
Pour toutes les organisations

Pour qui : PME et entités importantes au profil de risque modéré. Le CCB conseille à toutes les organisations susceptibles de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 de se conformer au moins à ce niveau. C'est aussi une première étape pour les entités essentielles, qui devaient présenter au 18 avril 2026 une vérification (voie CyFun) ou une auto-évaluation (voie de l'inspection) au niveau Basic ou Important.

Attestation : Une auto-évaluation, puis une vérification par un CAB agréé. Une fois cette évaluation de la conformité terminée, vous pouvez, si vous le souhaitez, demander votre label CyFun sur le portail Safeonweb@work.

Pour NIS2 : Une vérification au niveau Basic donne une présomption de conformité (art. 42) à l'entité qui, selon son évaluation des risques, doit atteindre Basic. Pour les entités essentielles, c'est aussi une première étape vers le niveau qu'elles doivent atteindre.

Important
Niveau renforcé

Pour qui : Entités importantes au profil de risque élevé, et entités essentielles qui justifient le niveau Important sur la base d'une analyse de risques approfondie.

Attestation : Une auto-évaluation, puis une vérification par un CAB agréé (accrédité par BELAC et autorisé par le CCB), comme pour Basic. Seul le niveau Essential fait l'objet d'une certification.

Pour NIS2 : Couvre les mesures de sécurité NIS2 ; une vérification à ce niveau donne une présomption de conformité (art. 42), y compris à une entité importante qui se soumet volontairement à l'évaluation (art. 41).

Essential
Le niveau le plus élevé

Pour qui : Entités essentielles (art. 9 de la loi) qui doivent atteindre ce niveau. Une entité essentielle peut, sur la base d'une analyse de risques approfondie, justifier le niveau Important.

Attestation : Certification par un CAB agréé. Contrôles plus poussés : surveillance (SOC), EDR/XDR/SIEM, red teaming, un audit indépendant annuel et une gouvernance au niveau de la direction.

Pour NIS2 : Selon le calendrier du CCB, à faire certifier au plus tard le 18 avril 2027 par les entités essentielles qui doivent atteindre ce niveau. ISO/IEC 27001:2022 est l'alternative reconnue.

Les échéances du CCB

18 octobre 2024
Entrée en vigueur
La loi du 26 avril 2024 et l'arrêté royal du 9 juin 2024 sont entrés en vigueur. Les obligations NIS2 s'appliquent depuis aux entités essentielles et importantes.
18 avril 2026
Première évaluation de la conformité (échéance passée)
Pour les entités essentielles, selon la voie choisie : une vérification au niveau Basic ou Important par un CAB accrédité et autorisé (voie CyFun) ; le périmètre, la déclaration d'applicabilité et le dernier audit interne remis au CCB (voie ISO/IEC 27001) ; la remise au CCB de l'auto-évaluation CyFun Basic ou Important, ou des documents ISO (voie de l'inspection).
18 avril 2027
Certification ou rapport d'avancement
Selon la voie : la certification au niveau Essential par un CAB agréé pour les entités essentielles qui doivent atteindre ce niveau (celles qui doivent atteindre Important peuvent passer d'abord par Basic, puis par Important) ; la certification ISO/IEC 27001 ; ou un rapport sur l'état d'avancement de la conformité (voie de l'inspection).

Dates du calendrier du CCB ; la loi laisse ces échéances au Roi (art. 75). Les entités importantes peuvent se soumettre volontairement au même régime que les entités essentielles (art. 41) pour bénéficier de la présomption de conformité.

Questions fréquentes

Combien de niveaux CyFun existe-t-il et comment s'articulent-ils ?
Le CCB distingue trois niveaux d'assurance, Basic, Important et Essential, précédés d'un niveau d'entrée, Small. Les niveaux d'assurance sont cumulatifs : chaque niveau supérieur reprend les exigences du précédent et en ajoute de nouvelles. Small sert à une évaluation initiale et ne donne pas de présomption de conformité.
De quel niveau mon organisation a-t-elle besoin ?
Une entité détermine, sur la base de son évaluation des risques, le niveau d'assurance qu'elle doit atteindre ; le CCB propose pour cela l'outil de sélection CyFun. Basic comprend les exigences applicables à toutes les organisations, et le CCB conseille à toutes les organisations susceptibles de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 de se conformer au moins à ce niveau. Les entités importantes au risque plus élevé visent Important. Selon le calendrier du CCB, les entités essentielles qui doivent atteindre le niveau Essential le font certifier au plus tard le 18 avril 2027 ; une entité essentielle peut, sur la base d'une analyse de risques approfondie, justifier le niveau Important. Votre catégorie dépend de votre secteur et de votre taille au sens de la loi du 26 avril 2024.
Quelles sont les échéances précises ?
Deux dates du calendrier du CCB concernent les entités essentielles, et ce qui est attendu dépend de la voie choisie. Au 18 avril 2026 : sur la voie CyFun, une vérification au niveau Basic ou Important par un CAB accrédité et autorisé ; sur la voie ISO/IEC 27001, le périmètre, la déclaration d'applicabilité et le dernier audit interne ; sur la voie de l'inspection, l'auto-évaluation CyFun Basic ou Important. Au plus tard le 18 avril 2027 : la certification au niveau Essential pour celles qui doivent atteindre ce niveau, la certification ISO/IEC 27001, ou un rapport sur l'état d'avancement de la conformité. La loi laisse ces échéances au Roi (art. 75). Les entités importantes peuvent se soumettre volontairement au même régime que les entités essentielles (art. 41) et bénéficient alors également de la présomption de conformité.
ISO 27001 peut-elle remplacer ma certification CyFun ?
Oui. L'arrêté royal du 9 juin 2024 reconnaît expressément ISO/IEC 27001:2022 comme alternative équivalente. Si vous êtes déjà certifié ISO 27001 par un CAB agréé, vous n'avez pas besoin de passer à CyFun pour démontrer votre conformité. C'est une particularité belge.

Le bon niveau, à temps

Reglyze détermine votre catégorie probable, aligne vos mesures sur le bon niveau CyFun et prépare votre dossier pour l'auto-évaluation, puis pour la vérification ou la certification par un CAB. Prix publiés en euros, hébergement dans l'UE.

Reglyze est une plateforme SaaS de conformité NIS2 et ne remplace pas un conseil juridique. CyFun est un cadre du CCB. Source officielle : CCB, Safeonweb@Work.