Quelle loi transpose NIS 2 en Belgique et depuis quand s'applique-t-elle ?

La loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, en vigueur depuis le 18 octobre 2024 et complétée par l'arrêté royal du 9 juin 2024. L'autorité compétente est le CCB (Centre pour la Cybersécurité Belgique).

Qu'est-ce que CyFun et quel est son lien avec la loi ?

CyFun (le CyberFundamentals Framework du CCB) est le cadre de référence technique. Une vérification CyberFundamentals (niveaux d'assurance Basic et Important) ou une certification CyberFundamentals (niveau d'assurance Essential) par un CAB agréé donne une présomption de conformité aux mesures de gestion des risques de la loi (art. 42) ; le niveau d'entrée Small n'en donne pas.

Quelles sont les échéances pour les entités ?

Pour les entités essentielles, une vérification au niveau Basic ou Important par un organisme d'évaluation de la conformité agréé, ou, sur la voie de l'inspection, la remise de l'auto-évaluation au CCB, était requise au 18 avril 2026. La certification au niveau Essential suit au plus tard le 18 avril 2027 pour celles qui doivent atteindre ce niveau. Ces échéances sont celles du calendrier du CCB ; la loi les laisse au Roi (art. 75).

À qui et comment notifier un incident ?

Les incidents significatifs sont notifiés à CERT.be (le CSIRT national, service opérationnel du CCB) via le portail Safeonweb@Work : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un délai d'un mois.

← Retour à Reglyze

Transposée et applicable

NIS 2 en Belgique : CyberFundamentals Framework (CyFun)

Le référentiel national qui rend NIS 2 mesurable en Belgique, c'est le CyberFundamentals Framework (CyFun). CyFun (le CyberFundamentals Framework) est le cadre de référence technique du CCB. Il s'appuie sur le NIST CSF 2.0, ISO/IEC 27001:2022, IEC 62443 et les CIS Controls, et propose une approche progressive en trois niveaux d'assurance cumulatifs (Basic, Important, Essential), précédés d'un niveau d'entrée, Small. Une vérification CyberFundamentals (Basic, Important) ou une certification CyberFundamentals (Essential) par un CAB agréé donne une présomption de conformité aux mesures de gestion des risques de la loi.

Statut du référentiel : en vigueur, cadre de référence du CCB

L'essentiel en un coup d'œil

Loi de transposition

Loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique

En vigueur : 2024-10-18

Autorité compétente

Centre pour la Cybersécurité Belgique (CCB)

https://ccb.belgium.be/

Référentiel national

CyberFundamentals Framework (CyFun)

6 fonctions (GOUVERNER, IDENTIFIER, PROTÉGER, DÉTECTER, RÉPONDRE, RÉTABLIR) → 22 catégories → 218 exigences. Trois niveaux d'assurance cumulatifs (Basic, Important, Essential), précédés d'un niveau d'entrée, Small : le niveau visé détermine les exigences applicables. Le niveau d'assurance Basic comprend les exigences applicables à toutes les organisations.

Sanctions

entité essentielle : jusqu'à 10 M€ ou 2 % du CA mondial
entité importante : jusqu'à 7 M€ ou 1,4 % du CA mondial

Qui est concerné ?

entité essentielle

Grandes entités des secteurs hautement critiques. Supervision plus proactive ; plafond de sanction plus élevé. Évaluation périodique de la conformité obligatoire (art. 39) ; selon le calendrier du CCB, certification au niveau Essential au plus tard le 18 avril 2027 pour celles qui doivent atteindre ce niveau.

entité importante

Entités moyennes et entités des autres secteurs couverts. Supervision principalement réactive (après un incident ou un indice).

Régime antérieur : Loi du 7 avril 2019 (transposition de la directive NIS 1). La loi du 26 avril 2024 élargit le champ d'application par rapport à la loi NIS 1 du 7 avril 2019. Aucun nombre fixe d'entités concernées n'est publié ; l'identification passe par Safeonweb@Work.

Échéances clés

2024-10-18

Entrée en vigueur de la loi du 26 avril 2024 (transposition belge de NIS 2).

2026-04-18

Échéance passée : vérification ou auto-évaluation obligatoire au niveau Basic ou Important pour les entités essentielles concernées, selon la voie d'évaluation de la conformité choisie.

2027-04-18

Certification au niveau Essential pour les entités essentielles qui doivent atteindre ce niveau ; ISO/IEC 27001 est l'alternative reconnue.

Notification d'incident : 24 h (alerte précoce) / 72 h (notification) / 1 mois (rapport final), auprès de CERT.be (le CSIRT national, service opérationnel du CCB), via le portail Safeonweb@Work.

Secteurs prioritaires

Administration publique, énergie, eau, transport et soins de santé

Les secteurs hautement critiques placent les grandes entités dans la catégorie essentielle, avec une supervision plus proactive et un plafond de sanction plus élevé. Le CCB exerce la supervision et CERT.be traite les incidents.

Télécommunications, infrastructure numérique et prestataires de services TIC

Les opérateurs télécoms, fournisseurs de cloud, centres de données et prestataires de services TIC gérés établis en Belgique relèvent de la loi, souvent dans la catégorie essentielle ou importante, et de plus en plus aussi indirectement, par les exigences de grands clients (sécurité de la chaîne d'approvisionnement, fonction CyFun GOUVERNER / GV.SC).

Chaîne d'approvisionnement et conformité CyFun

Les fournisseurs de services gérés (MSP) et les fournisseurs peuvent démontrer leur cybersécurité avec CyFun : le CCB conseille à toutes les organisations susceptibles de se trouver dans la chaîne d'approvisionnement d'une entité NIS2 de se conformer au moins aux mesures du niveau Basic, et une entité NIS2 pourrait imposer le respect d'un certain niveau CyFun à ses fournisseurs directs ou à ses prestataires de services.

Correspondance entre CyFun et NIS 2

CyFun, le référentiel national de NIS 2, mis en regard des exigences NIS 2 qu'il couvre (niveaux d'assurance). Lorsqu'il n'existe pas de correspondance NIS 2 directe, nous l'indiquons.

Niveau d'assurance (CyFun)	Exigence(s) NIS 2	Statut
Basicbasic	Art. 20(1) Art. 20(2) Art. 21(2)(a) Art. 21(2)(b) Art. 21(2)(c) Art. 21(2)(e) Art. 21(2)(g) Art. 21(2)(h) Art. 21(2)(i)	Couverture partielle
Importantimportant	Art. 20(1) Art. 20(2) Art. 21(2)(a) Art. 21(2)(b) Art. 21(2)(c) Art. 21(2)(d) Art. 21(2)(e) Art. 21(2)(f) Art. 21(2)(g) Art. 21(2)(h) Art. 21(2)(i) Art. 21(2)(j)	Couvert
Essentialessential	Art. 20(1) Art. 20(2) Art. 21(2)(a) Art. 21(2)(b) Art. 21(2)(c) Art. 21(2)(d) Art. 21(2)(e) Art. 21(2)(f) Art. 21(2)(g) Art. 21(2)(h) Art. 21(2)(i) Art. 21(2)(j)	Couvert

Correspondance établie à partir du référentiel CyFun publié par l'autorité. Reglyze la tient à jour au fil des évolutions de la source ; la plateforme en donne le détail mesure par mesure.

Questions fréquentes

Quelle loi transpose NIS 2 en Belgique et depuis quand s'applique-t-elle ?: La loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, en vigueur depuis le 18 octobre 2024 et complétée par l'arrêté royal du 9 juin 2024. L'autorité compétente est le CCB (Centre pour la Cybersécurité Belgique).
Qu'est-ce que CyFun et quel est son lien avec la loi ?: CyFun (le CyberFundamentals Framework du CCB) est le cadre de référence technique. Une vérification CyberFundamentals (niveaux d'assurance Basic et Important) ou une certification CyberFundamentals (niveau d'assurance Essential) par un CAB agréé donne une présomption de conformité aux mesures de gestion des risques de la loi (art. 42) ; le niveau d'entrée Small n'en donne pas.
Quelles sont les échéances pour les entités ?: Pour les entités essentielles, une vérification au niveau Basic ou Important par un organisme d'évaluation de la conformité agréé, ou, sur la voie de l'inspection, la remise de l'auto-évaluation au CCB, était requise au 18 avril 2026. La certification au niveau Essential suit au plus tard le 18 avril 2027 pour celles qui doivent atteindre ce niveau. Ces échéances sont celles du calendrier du CCB ; la loi les laisse au Roi (art. 75).
À qui et comment notifier un incident ?: Les incidents significatifs sont notifiés à CERT.be (le CSIRT national, service opérationnel du CCB) via le portail Safeonweb@Work : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un délai d'un mois.

Sources officielles

Dernière vérification : 2026-06-29 · prochaine re-vérification prévue après 2026-09-29.

Prêt à vous mettre en conformité NIS 2 en Belgique ?

Reglyze utilise l'IA pour vous rendre conforme simplement et rapidement : cadrage, évaluation des écarts et génération de politiques alignées sur le CyberFundamentals Framework (CyFun).