NIS2 en Belgique : ce qu'exige la loi du 26 avril 2024, qui est concerné et les échéances du CCB

La Belgique a transposé NIS2 par la loi du 26 avril 2024, qui s’applique depuis le 18 octobre 2024. Le Centre pour la Cybersécurité Belgique (CCB) est l’autorité nationale de cybersécurité et le CSIRT national. Les entités essentielles devaient présenter une première étape d’évaluation de la conformité au plus tard le 18 avril 2026 ; la deuxième échéance est le 18 avril 2027.

Ce guide couvre la loi et son arrêté royal, le champ d’application, l’enregistrement sur Safeonweb@work, les onze mesures et les obligations de la direction, la notification des incidents au CCB, les échéances de l’évaluation de la conformité, le niveau CyberFundamentals requis, les autorités sectorielles, les amendes, ce que la loi laisse ouvert et une liste de contrôle.

Obligation	Règle belge	Directive NIS2	État au 24 septembre 2026
Champ d’application : secteur et taille	Loi, art. 3	Art. 2 et 3	S’applique depuis le 18 octobre 2024
Identification par le CCB, quelle que soit la taille	Loi, art. 11	Art. 2, par. 2	Au cas par cas, avec l’entité
Enregistrement sur Safeonweb@work	Loi, art. 13 et 14	Art. 3, par. 4, et art. 27	Délais écoulés ; modifications dans les deux semaines (données de l’art. 14 : trois mois)
Onze mesures de gestion des risques	Loi, art. 30, § 3	Art. 21, par. 2 (dix mesures)	S’applique dès maintenant
Analyse des risques	Loi, art. 30, § 5	Art. 21, par. 1, et art. 21, par. 2, point a)	Détermine votre niveau CyberFundamentals
Approbation, supervision et formation par les organes de direction	Loi, art. 31	Art. 20	S’applique dès maintenant
Notification des incidents au CCB : 24 heures, 72 heures, un mois	Loi, art. 34 et 35	Art. 23	S’applique dès maintenant
Évaluation périodique de la conformité, entités essentielles	Loi, art. 39 à 42 ; AR, art. 5 à 10, 22 et 23	Art. 32	Première étape due au 18 avril 2026 (échéance passée) ; deuxième échéance le 18 avril 2027
Évaluation volontaire de la conformité, entités importantes	Loi, art. 41 ; AR, art. 5, § 2	Art. 33	Facultative
Inspection ex post, entités importantes	Loi, art. 48	Art. 33	Après un incident ou un indice de non-conformité
Mesures et amendes administratives	Loi, art. 58 à 62 (amendes : art. 59)	Art. 32 à 34	Jusqu’à 10 millions d’euros ou 2 % (essentielles), 7 millions d’euros ou 1,4 % (importantes)

AR désigne l’arrêté royal du 9 juin 2024.

Qu’est-ce que la loi NIS2 en Belgique ?

Son intitulé complet est la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique. Elle a été publiée au Moniteur belge le 17 mai 2024 (page 63179, NUMAC 2024202344). Elle transpose la directive (UE) 2022/2555 et a abrogé la loi du 7 avril 2019, qui transposait NIS1 (art. 97). Elle est entrée en vigueur le 18 octobre 2024 (art. 98), le jour où NIS2 est devenue applicable dans toute l’UE. La loi du 19 décembre 2025 sur les entités critiques l’a modifiée à partir du 19 janvier 2026, par exemple pour les autorités sectorielles (art. 15, § 2) et pour les habilitations de sécurité des évaluateurs des entités critiques et de l’administration publique (art. 40, § 1er).

Un arrêté royal du 9 juin 2024, publié au Moniteur belge le 24 juin 2024, exécute la loi. Il désigne le CCB comme autorité nationale de cybersécurité (art. 3, § 1er), désigne les autorités sectorielles (art. 3, § 2) et fixe le cadre de l’évaluation de la conformité, ses niveaux et les délais transitoires (art. 4 à 23). Le CCB est aussi le point de contact unique avec les autres États membres et l’UE.

Trois choix belges se distinguent. La loi énumère onze mesures minimales, et non dix. Les entités essentielles doivent se soumettre à une évaluation périodique de la conformité. Et une évaluation réussie emporte une présomption de conformité (art. 42).

Qui est concerné par NIS2 en Belgique ?

Deux conditions, comme dans la directive. L’entité fournit un service visé à l’annexe I ou à l’annexe II de la loi, et elle est au moins une entreprise moyenne au sens de la recommandation 2003/361/CE de la Commission.

En pratique, cela signifie 50 personnes ou plus, ou un chiffre d’affaires annuel et un total du bilan annuel qui dépassent tous deux 10 millions d’euros. Les effectifs se comptent en unités de travail par année, et les données des entreprises partenaires et liées s’y ajoutent. La Belgique assouplit cette règle : le CCB tient compte du degré d’indépendance de l’entité par rapport à ses entreprises partenaires et liées, notamment en ce qui concerne les réseaux et les systèmes d’information qu’elle utilise pour fournir ses services. Si, sur la base de ses propres données, elle n’est pas une entreprise moyenne, elle n’est pas traitée comme telle (art. 3, § 2). Une entreprise de 40 personnes avec 12 millions d’euros de chiffre d’affaires et un bilan de 6 millions d’euros reste une petite entreprise.

L’annexe I couvre les secteurs hautement critiques, comme l’énergie, les transports, le secteur bancaire, les infrastructures des marchés financiers, la santé, l’eau potable, les eaux usées, les infrastructures numériques, la gestion des services TIC, l’administration publique et l’espace. L’annexe II couvre d’autres secteurs critiques, comme la gestion des déchets, les produits chimiques, l’alimentation, la fabrication et les fournisseurs numériques. La recherche est également couverte.

Entité essentielle ou importante ?

Le CCB résume la répartition ainsi :

• Essentielles : les grandes entreprises (250 personnes ou plus, ou un chiffre d’affaires supérieur à 50 millions d’euros et un total du bilan supérieur à 43 millions d’euros) qui fournissent un service de l’annexe I ; et, quelle que soit leur taille, les prestataires de services de confiance qualifiés, les registres des noms de domaine de premier niveau, les fournisseurs de services DNS, les entités de l’administration publique qui dépendent de l’État et les entités identifiées comme critiques au niveau national au titre de la directive CER. Les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public sont des entités essentielles dès la taille moyenne.
• Importantes : les entités de l’annexe I de taille moyenne, et les entités de l’annexe II de taille moyenne ou grande.

Les obligations sont les mêmes. Selon les termes du CCB, la différence « tient essentiellement à la rigueur avec laquelle elles sont contrôlées et sanctionnées ». La comparaison entre entités essentielles et importantes présente cette distinction au niveau de l’UE.

Identification par le CCB

Le CCB peut aussi identifier une organisation comme entité essentielle ou importante, quelle que soit sa taille, dans quatre cas, en concertation avec l’entité et les autorités concernées (art. 11). Pour une entité identifiée ultérieurement, les délais de l’évaluation de la conformité courent à partir de la date de l’identification, et non du 18 octobre 2024 (AR, art. 22 et 23).

Compétence territoriale et fournisseurs

La loi s’applique aux entités établies en Belgique, avec les exceptions prévues par la directive pour les fournisseurs de communications électroniques et pour les fournisseurs de services DNS, d’informatique en nuage, de centres de données et d’autres services numériques similaires.

Si vous n’êtes pas concerné, mais que vous pouvez faire partie de la chaîne d’approvisionnement d’une entité NIS2, le CCB vous conseille de respecter au moins le niveau Basic de CyberFundamentals. En pratique, les clients répercutent leur obligation en matière de chaîne d’approvisionnement sur leurs fournisseurs, par des contrats et des questionnaires.

Vous ne savez pas où vous vous situez ? Le vérificateur de champ d’application NIS2 vous guide selon le secteur et la taille.

Comment s’enregistrer auprès du CCB sur Safeonweb@work ?

L’enregistrement se fait au moyen d’un formulaire sur Safeonweb@work, le portail du CCB destiné aux organisations. Les deux délais sont écoulés :

• 18 décembre 2024, deux mois après l’entrée en vigueur, pour les données que les fournisseurs numériques transmettent pour le registre de l’ENISA (art. 14, § 1er) : les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les entités qui fournissent des services d’enregistrement de noms de domaine, les fournisseurs de services d’informatique en nuage, de services de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux.
• 18 mars 2025, cinq mois après l’entrée en vigueur, pour l’enregistrement de toutes les entités essentielles et importantes et des entités fournissant des services d’enregistrement de noms de domaine (art. 13, § 1er).

Une entité identifiée ultérieurement par le CCB dispose de cinq mois à compter de son identification (art. 13, § 1er). Si vous êtes concerné et ne vous êtes pas encore enregistré, faites-le maintenant. Les modifications doivent être communiquées « sans tarder » et, « en tout état de cause, dans un délai de deux semaines à compter de la date de la modification » (art. 13, § 3) ; pour les données de l’article 14 des fournisseurs numériques, dans un délai de trois mois (art. 14, § 2). Le CCB demande que les modifications soient signalées immédiatement. La liste des données, sous forme de fiche à conserver :

FICHE D'ENREGISTREMENT NIS2 (CCB, Safeonweb@work)

Toutes les entités essentielles et importantes (art. 13)
1. Dénomination et numéro BCE (ou enregistrement équivalent)
2. Adresse actualisée
3. Coordonnées : adresse e-mail, téléphone, plages d'IP
4. Secteur et sous-secteur (annexe I ou II de la loi)
5. États membres où vous fournissez des services relevant de la loi

Fournisseurs numériques, en plus (art. 14)
6. Secteur, sous-secteur et type d'entité
7. Adresse de l'établissement principal et des autres établissements dans l'UE
8. Représentant, si l'entité n'est pas établie dans l'UE
9. États membres où vous fournissez des services
10. Plages d'IP

Responsable : ____________   Dernière vérification : ____________
Modification communiquée au CCB le : ____________ (dans les 2 semaines)

Qu’exige la loi belge NIS2 ?

Onze mesures de gestion des risques (art. 30, § 3)

L’article 30, § 3, fixe les mesures minimales de gestion des risques en matière de cybersécurité, fondées sur une approche « tous risques ». Les dix premières reprennent l’article 21, paragraphe 2, de la directive. La Belgique en ajoute une onzième :

1. Analyse des risques et politiques de sécurité des systèmes d’information.
2. Gestion des incidents.
3. Continuité des activités, gestion des sauvegardes, reprise des activités et gestion des crises.
4. Sécurité de la chaîne d’approvisionnement.
5. Sécurité de l’acquisition, du développement et de la maintenance, y compris le traitement et la divulgation des vulnérabilités.
6. Politiques d’évaluation de l’efficacité des mesures.
7. Pratiques de base en matière de cyberhygiène et formation à la cybersécurité.
8. Cryptographie et, le cas échéant, chiffrement.
9. Sécurité des ressources humaines, contrôle d’accès et gestion des actifs.
10. Authentification à plusieurs facteurs ou authentification continue et communications sécurisées, selon les besoins.
11. Une politique de divulgation coordonnée des vulnérabilités.

En pratique, c’est la onzième que les équipes oublient. Elle exige un moyen publié permettant à des tiers de signaler une vulnérabilité, et un processus derrière : voir la divulgation des vulnérabilités sous NIS2.

Analyse des risques (art. 30, § 5)

En Belgique, l’analyse des risques prévue à l’article 30, § 5, n’est pas une formalité. Sur la voie CyberFundamentals, elle a déterminé le niveau auquel une entité essentielle devait être vérifiée au plus tard en avril 2026, et elle décide si l’entité peut ensuite rester en dessous du niveau Essential (AR, art. 7 et 22). Elle est aussi transmise au CCB avec l’attestation de conformité (AR, art. 9).

Organes de direction

En vertu de l’article 31, § 1er, les organes de direction « approuvent les mesures de gestion des risques en matière de cybersécurité que ces entités prennent afin de se conformer à l’article 30, supervisent leur mise en oeuvre et sont responsables de la violation dudit article par ces entités ». En vertu de l’article 31, § 2, leurs membres « suivent une formation pour que leurs connaissances et compétences soient suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité ».

S’appuyant sur l’exposé des motifs, le CCB interprète largement la notion de membre d’un organe de direction, en y incluant les personnes qui contrôlent l’entité. Dans une société belge, le contrôle se détermine selon les articles 1:14 à 1:18 du Code des sociétés et des associations. L’article 61 ajoute une responsabilité personnelle : toute personne physique responsable d’une entité essentielle ou importante, ou agissant en qualité de représentant légal de celle-ci, « a le pouvoir de veiller au respect, par l’entité, de la présente loi » et est responsable des manquements à ce devoir. Dans les entités essentielles qui n’agissent pas dans les délais, une interdiction temporaire d’exercer des fonctions de direction peut être demandée (art. 60).

Comment notifier un incident au CCB ?

Les entités notifient tout incident significatif sans retard injustifié au CSIRT national, c’est-à-dire au CCB (art. 34, § 1er), selon la procédure de notification que le CCB met à la disposition des entités NIS2. Un incident est significatif lorsqu’il cause, ou peut causer, une perturbation opérationnelle grave ou des pertes financières pour l’entité, ou des dommages considérables à d’autres personnes. Les étapes (art. 35) :

1. Alerte précoce : sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance de l’incident significatif.
2. Notification d’incident : dans les 72 heures après en avoir eu connaissance. Les prestataires de services de confiance disposent de 24 heures (art. 35, § 2).
3. Rapport intermédiaire : à la demande du CSIRT national ou de l’autorité sectorielle.
4. Rapport final : au plus tard un mois après la présentation de la notification d’incident.
5. Rapport d’avancement : si l’incident est toujours en cours à ce moment-là, suivi d’un rapport final dans un délai d’un mois à compter du traitement définitif de l’incident.

Le cas échéant, les entités doivent aussi informer les destinataires de leurs services des incidents significatifs susceptibles d’affecter ces services. Le fonctionnement des délais est détaillé dans le calendrier de notification des incidents NIS2.

Quelles sont les échéances du CCB pour les entités essentielles ?

Les entités essentielles se soumettent à une évaluation périodique de la conformité (art. 39). Elles choisissent entre une évaluation par un organisme d’évaluation de la conformité agréé par le CCB, sur la base d’un cadre de référence déterminé par le Roi (art. 39, alinéa 1er, 1°, et art. 40), et une inspection par le CCB (art. 39, alinéa 1er, 2°). Deux cadres de référence sont admis : CyberFundamentals (CyFun) et la norme NBN EN ISO/IEC 27001. Quel que soit le cadre choisi, son périmètre doit couvrir l’ensemble des réseaux et des systèmes d’information de l’entité (AR, art. 5, § 1er).

L’arrêté royal a prévu une mise en place progressive : une première étape dans les 18 mois suivant l’entrée en vigueur, la conformité complète dans les 30 mois.

Voie	Au plus tard le 18 avril 2026 (18 mois, échéance passée)	Au plus tard le 18 avril 2027 (30 mois)
CyberFundamentals	Vérification au niveau Basic ou Important par un organisme agréé par le CCB, selon l’analyse des risques	Certification au niveau Essential, ou vérification à un niveau inférieur si l’analyse des risques le justifie
ISO/IEC 27001	Périmètre et déclaration d’applicabilité transmis au CCB	Certification par un organisme accrédité
Inspection par le CCB	Auto-évaluation au niveau Basic ou Important, ou politique de sécurité de l’information, périmètre et DdA	Rapport d’avancement sur la mise en conformité

La mise à jour du CCB du 16 avril 2026 a précisé ce qu’il acceptait pour la première échéance. Sur la voie CyFun, une vérification Basic ou Important obtenue ou en cours, ou un accord signé avec un organisme accrédité. Sur la voie ISO, le périmètre, la déclaration d’applicabilité et le dernier rapport d’audit interne. Sur la voie de l’inspection, une auto-évaluation accompagnée d’une demande d’inspection. Le CCB a averti que le fait de ne pas transmettre des informations complètes ou dans les délais peut entraîner des mesures administratives ou des sanctions financières.

Deux autres règles viennent de l’arrêté royal. L’inspection par le CCB a lieu au maximum une fois par an (AR, art. 10), et l’entité paie 150 EUR de l’heure, montant indexé ; les entités de l’administration publique sont en règle générale exemptées de cette rétribution (AR, art. 20). Et toutes les entités essentielles et importantes doivent démontrer une amélioration continue, quelle que soit la voie choisie (AR, art. 23, § 3).

La contrepartie est la sécurité juridique. Les entités essentielles et importantes qui se soumettent à une évaluation périodique de la conformité par un organisme agréé sont, « jusqu’à preuve du contraire, présumées respecter les obligations visées à l’article 30 » (art. 42).

Les entités importantes n’ont pas d’évaluation obligatoire. Elles peuvent, « de manière volontaire », se soumettre à une évaluation selon les mêmes cadres (art. 41) et font sinon l’objet d’une inspection ex post, après un incident ou sur la base d’indices de non-conformité (art. 48).

Quel niveau CyberFundamentals faut-il pour NIS2 ?

CyberFundamentals est le cadre de référence du CCB. Il compte quatre niveaux : Small, pour une première évaluation par les micro-organisations ; Basic ; Important, contre les attaques ciblées d’acteurs aux compétences courantes ; et Essential, contre les attaques avancées d’acteurs disposant de moyens importants. Les niveaux Basic et Important font l’objet d’une vérification ; le niveau Essential, d’une certification. L’arrêté royal exige que le cadre de référence contienne au minimum trois niveaux d’assurance : « basique, important et essentiel » (AR, art. 4, § 2).

Votre situation	Niveau	Base
Entité essentielle, voie CyFun	Vérification Basic ou Important au plus tard le 18 avril 2026 ; certification Essential au plus tard le 18 avril 2027, ou vérification à un niveau inférieur si l’analyse des risques le justifie, sous la responsabilité de l’entité	AR, art. 6, 7 et 22
Entité importante	Aucun niveau obligatoire ; évaluation volontaire possible	Loi, art. 41
Fournisseur d’une entité NIS2, hors champ	Au moins Basic, comme le conseille le CCB	Recommandations du CCB
Micro-organisation qui débute	Small, comme première auto-évaluation	Recommandations du CCB

Si vous êtes déjà certifié ISO/IEC 27001 avec un périmètre approprié, le CCB vous permet d’obtenir un label CyFun en faisant vérifier le périmètre du certificat par votre organisme d’évaluation de la conformité. Le lien plus général entre les certificats, les schémas nationaux et NIS2 est expliqué dans NIS2 et la certification ISO 27001.

Qui contrôle votre secteur ?

Le CCB pilote le contrôle, gère le service d’inspection, reçoit les notifications d’incidents et s’occupe de l’enregistrement. L’arrêté royal, tel que publié en juin 2024, désigne à ses côtés des autorités sectorielles (AR, art. 3, § 2). Les ministres peuvent déléguer à un membre dirigeant du personnel de leur administration.

Secteur	Autorité sectorielle
Énergie	Ministre fédéral de l’Énergie
Transports, sauf transport par eau	Ministre fédéral des Transports
Transport par eau	Ministre fédéral de la Mobilité maritime
Santé : R&D de médicaments, produits pharmaceutiques de base, dispositifs médicaux critiques	Agence fédérale des médicaments et des produits de santé (AFMPS)
Santé : autres entités	Ministre fédéral de la Santé publique
Infrastructures numériques : prestataires de services de confiance uniquement	Ministre fédéral de l’Économie
Fournisseurs numériques	Ministre fédéral de l’Économie
Espace et recherche	Ministre fédéral de la Politique scientifique
Fabrication de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro	AFMPS

Les autorités sectorielles peuvent inspecter les entités de leur secteur sur les mesures propres à celui-ci, et des inspections conjointes ou déléguées avec le CCB sont possibles. Pour les incidents, le point d’entrée reste le CCB.

Quelles sont les amendes NIS2 en Belgique ?

Les mesures administratives figurent aux articles 58 et 60 de la loi ; les amendes, à l’article 59. Elles sont doublées en cas de récidive pour les mêmes faits dans un délai de trois ans :

Manquement	Amende (art. 59)
Obligations d’information visées à l’article 12	500 à 125 000 EUR
Conséquences négatives infligées à une personne agissant pour le compte de l’entité qui a exécuté de bonne foi les obligations découlant de la loi	500 à 200 000 EUR
Obligations de contrôle	500 à 200 000 EUR
Entités importantes : obligations relatives aux mesures de gestion des risques ou à la notification d’incidents	500 à 7 000 000 EUR ou 1,4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu
Entités essentielles : obligations relatives aux mesures de gestion des risques ou à la notification d’incidents	500 à 10 000 000 EUR ou 2 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu

Les deux plafonds les plus élevés correspondent aux minimums qu’exige la directive (art. 34). Outre les amendes, le CCB peut adresser des avertissements ou des instructions contraignantes, ordonner à une entité de mettre fin à un manquement ou de se mettre en conformité, et lui ordonner d’informer les parties concernées ou de rendre le manquement public. Trois mesures sont réservées aux entités essentielles : la désignation d’un responsable du contrôle et, lorsque l’entité n’agit pas dans les délais, la suspension temporaire d’une certification ou d’une autorisation et l’interdiction temporaire d’exercer des fonctions de direction, qui peuvent toutes deux être demandées (art. 60). Les mesures et amendes administratives visées aux articles 59 et 60 ne s’appliquent pas aux entités faisant partie du secteur de l’administration publique (art. 62). La situation au niveau de l’UE est présentée dans les amendes administratives NIS2.

Ce que le modèle belge laisse ouvert

La loi et l’arrêté royal fixent des voies et des dates. Ils ne disent pas ce qu’un évaluateur ou un inspecteur acceptera comme preuve, et c’est là que se situe le travail.

Le périmètre est le premier piège. En pratique, de nombreux certificats ISO/IEC 27001 couvrent un produit, un site ou un service. L’arrêté royal exige que le cadre choisi couvre l’ensemble des réseaux et des systèmes d’information de l’entité. Pour une entité essentielle dont le certificat a un périmètre étroit, le projet de 2027 est souvent une extension de périmètre, pas un nouveau cadre.

L’analyse des risques pèse plus lourd qu’il n’y paraît. Elle détermine le niveau CyFun et est transmise au CCB avec l’attestation. Une décision de rester en dessous du niveau Essential repose sur elle, et sur la seule entité. Un registre générique copié d’un modèle ne soutiendra pas cette décision lors d’une inspection.

L’amélioration continue exige une tendance. Démontrer une amélioration d’une année sur l’autre suppose de mesurer les mêmes choses dans le temps : couverture MFA, délais d’application des correctifs, tests de restauration, constats ouverts. Un instantané d’audit ponctuel ne peut pas montrer une direction.

Les données d’enregistrement vieillissent sans bruit. Les plages d’IP changent à chaque migration vers le cloud, et les contacts s’en vont. La loi laisse deux semaines pour communiquer une modification ; une approche raisonnable consiste donc à relier la fiche d’enregistrement à votre inventaire des actifs.

Combler ces écarts est avant tout une question de preuves. Les preuves se trouvent dans les fournisseurs d’identité, les outils de protection des postes de travail, les comptes cloud et les outils de tickets. Collectées à la main une fois par an, elles sont périmées dès leur arrivée. CloudSoul est une plateforme automatisée avec une expertise humaine dans la boucle : la plateforme collecte en continu les preuves des mesures depuis ces systèmes, et une personne examine les exceptions. La démarche d’ensemble est présentée sur la page conformité NIS2.

Liste de contrôle NIS2 Belgique

• Confirmez votre champ d’application et votre type d’entité au regard des annexes I et II et du critère de taille, en incluant les entreprises partenaires et liées.
• Vérifiez que votre enregistrement sur Safeonweb@work, vos contacts et vos plages d’IP sont à jour, et communiquez les modifications dans les deux semaines.
• Consignez l’approbation des mesures par l’organe de direction et la formation de ses membres.
• Rapprochez vos mesures de sécurité des onze mesures de l’article 30, § 3, y compris une politique de divulgation des vulnérabilités publiée.
• Testez le chemin vers le formulaire de notification du CCB au regard des délais de 24 heures et de 72 heures.
• Entités essentielles : confirmez votre voie, vérifiez que le périmètre de votre cadre couvre l’ensemble des réseaux et des systèmes d’information, et planifiez la certification avant le 18 avril 2027.
• Entités importantes : déterminez si une évaluation CyberFundamentals volontaire en vaut la peine pour vos clients.
• Revoyez l’analyse des risques au moins une fois par an ; elle détermine votre niveau CyberFundamentals.

Sources

• Loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique, Moniteur belge du 17 mai 2024, p. 63179, NUMAC 2024202344, texte consolidé tel que modifié par la loi du 19 décembre 2025, sur Justel (art. 3, 11 à 15, 30, 31, 34, 35, 39 à 42, 58 à 62, 97 et 98) ; présentation sur la page NIS2 du CCB.
• Arrêté royal du 9 juin 2024 exécutant la loi du 26 avril 2024, Moniteur belge du 24 juin 2024, NUMAC 2024005260, copie du Moniteur belge sur etaamb.
• Centre pour la Cybersécurité Belgique, NIS2 : champ d’application, obligations et contrôle et sanctions.
• Centre pour la Cybersécurité Belgique, « NIS2: 18 April 2026 deadline, what essential entities must have in place », mis à jour le 16 avril 2026, CCB.
• Safeonweb@work, The NIS2 law et La loi NIS2 (amendes, enregistrement, évaluation de la conformité), et CyberFundamentals Framework.
• Centre pour la Cybersécurité Belgique, signaler un incident.
• Commission européenne, Directive NIS2 : Belgique.
• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23, 27 et 32 à 34, EUR-Lex.
• Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises, EUR-Lex.

Questions fréquentes