Questions fréquentes sur NIS2 et CyFun

Oui. La Belgique a transposé NIS2 tôt : la loi du 26 avril 2024 (publiée au Moniteur belge le 17 mai 2024) est entrée en vigueur le 18 octobre 2024. Les obligations de gestion des risques, de notification des incidents et d'enregistrement auprès du CCB s'appliquent donc déjà aux entités essentielles et importantes.

CyFun (CyberFundamentals) est le cadre de cybersécurité du Centre pour la Cybersécurité Belgique (CCB). Il est structuré selon les six fonctions du NIST CSF 2.0 et s'appuie sur ISO/IEC 27001:2022, IEC 62443 et les CIS Controls. L'arrêté royal du 9 juin 2024 reconnaît CyFun comme cadre permettant de démontrer la conformité aux mesures NIS2 de la loi du 26 avril 2024.

Vous relevez de NIS2 comme entité essentielle (art. 9 de la loi) ou entité importante (art. 10 de la loi), selon votre secteur (annexe I ou II) et votre taille. Le seuil se situe en règle générale à 50 travailleurs, ou à plus de 10 millions d'euros de chiffre d'affaires annuel ET de total du bilan (recommandation 2003/361/CE). Parmi les services numériques de l'art. 2, paragraphe 2, point a), de la directive, seuls les fournisseurs de réseaux et de services de communications électroniques publics, les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS en relèvent quelle que soit leur taille ; les fournisseurs de services d'informatique en nuage et de centres de données suivent le critère de taille. Sans critère de taille, l'administration publique centrale, les entités critiques, les bureaux d'enregistrement de noms de domaine et les entités désignées par un État membre en relèvent aussi (art. 2, paragraphe 2, points b) à f), et paragraphes 3 et 4).

Il existe trois niveaux d'assurance, Basic, Important et Essential, cumulatifs et précédés d'un niveau d'entrée, Small, qui ne donne pas de présomption de conformité. Une entité détermine le niveau qu'elle doit atteindre sur la base de son évaluation des risques. Basic comprend les exigences applicables à toutes les organisations, et le CCB conseille à toutes les organisations susceptibles de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 de se conformer au moins à ce niveau. Selon le calendrier du CCB, les entités essentielles qui doivent atteindre le niveau Essential le font certifier au plus tard le 18 avril 2027 ; une entité essentielle peut, sur la base d'une analyse de risques approfondie, justifier le niveau Important.

Deux dates du calendrier du CCB concernent les entités essentielles ; la loi laisse ces échéances au Roi (art. 75). Au 18 avril 2026, elles devaient présenter, selon la voie choisie, une vérification au niveau Basic ou Important par un CAB agréé (CyFun), les documents ISO (ISO 27001) ou l'auto-évaluation (inspection par le CCB). Au plus tard le 18 avril 2027 suit la certification au niveau Essential pour celles qui doivent atteindre ce niveau, la certification ISO 27001 ou un rapport d'avancement. La notification des incidents a ses propres délais : 24 heures, 72 heures et 1 mois.

À CERT.be, le CSIRT national géré par le CCB, via la plateforme atwork.safeonweb.be, avec une connexion par CSAM ou itsme. Vous transmettez une alerte précoce dans les 24 heures et une notification dans les 72 heures à compter du moment où vous prenez connaissance de l'incident significatif, puis un rapport final dans le mois qui suit la notification. Reglyze prépare le contenu, mais c'est vous qui le transmettez.

Oui. L'arrêté royal du 9 juin 2024 reconnaît expressément ISO/IEC 27001:2022 comme alternative équivalente pour démontrer la conformité. Si vous êtes déjà certifié ISO 27001 par un CAB agréé, vous n'avez pas besoin de passer à CyFun. C'est une particularité belge qui vous permet de réutiliser les mesures existantes.

Reglyze est une plateforme SaaS européenne aux prix publiés en euros. Vos données sont hébergées dans l'Union européenne (Hetzner, Allemagne), conformément au RGPD. Reglyze ne transmet jamais rien au CCB à votre place et n'envoie jamais lui-même de notification d'incident : vous gardez la main. La plateforme ne remplace pas un conseil juridique, mais elle accélère avec l'IA le travail vers votre niveau CyFun.