CyberFundamentals : comment prouver que votre PME est en règle avec NIS2 ?
En Belgique, la voie la plus simple est le cadre CyberFundamentals (CyFun) du Centre pour la Cybersécurité Belgique (CCB), gratuit et pensé pour les PME. On choisit un niveau (Basic, Important ou Essential), on s'auto-évalue, puis un organisme accrédité vérifie ou certifie le résultat. Une mise en œuvre validée de CyFun donne une présomption de conformité à NIS2. Pour les entités essentielles, une évaluation régulière est obligatoire et le calendrier court jusqu'au 18 avril 2027.
Le scénario en bref
Exemple, inventé pour illustrer. Une entreprise de distribution de 70 personnes apprend qu'elle tombe sous la loi NIS2. Le dirigeant a déjà un antivirus, des sauvegardes et la double authentification. Sa question est simple : « Comment je prouve, demain, que nous sommes en règle ? »
La réponse belge tient en un mot : CyberFundamentals, souvent abrégé CyFun. C'est une grille de mesures de sécurité, publiée gratuitement par le CCB, qui sert à la fois de feuille de route et de preuve. Voici comment elle fonctionne, sans jargon.
CyberFundamentals, c'est quoi ?
CyberFundamentals est un cadre de cybersécurité créé par le Centre pour la Cybersécurité Belgique (CCB), l'autorité nationale chargée de NIS2. Un « cadre », ici, c'est une liste structurée de mesures : qui a accès à quoi, comment on sauvegarde, comment on réagit à une attaque, et ainsi de suite.
Il ne part pas de zéro, et c'est ce qui le rend crédible :
- Des normes reconnues : il reprend des référentiels internationaux de sécurité, dont la norme ISO/IEC 27001 et le cadre américain NIST.
- Des attaques réelles : les mesures ont été choisies à partir de données d'attaques réussies. On protège d'abord contre ce qui arrive vraiment.
- Un cadre partagé : l'Irlande a d'ailleurs choisi ce même cadre. Elle en est devenue copropriétaire et prépare son adoption comme schéma national, selon son centre national de cybersécurité.
La loi belge NIS2 du 26 avril 2024 s'applique depuis le 18 octobre 2024. Son article 42 est clair : une entité qui fait évaluer ses mesures par un organisme agréé est présumée en règle, jusqu'à preuve du contraire. En cas de contrôle, la preuve est déjà là.
Les niveaux : du plus simple au plus exigeant
CyFun s'empile comme des marches. Chaque niveau reprend le précédent et ajoute des mesures. Le choix ne se fait pas au feeling : le CCB fournit un outil d'évaluation des risques qui indique le niveau adapté à votre activité.
| Niveau | Pour qui | Contre quoi il protège |
|---|---|---|
| Basic | Toute entreprise, et les fournisseurs d'une organisation NIS2 | Les attaques courantes, avec des outils et des méthodes largement disponibles |
| Important | Entités importantes au sens de NIS2, ou activité plus exposée | Les attaques ciblées menées par des pirates aux moyens ordinaires |
| Essential | Entités essentielles au sens de NIS2 | Les attaques avancées menées par des acteurs aux moyens importants |
Pour une PME qui n'est pas elle-même visée par NIS2, le niveau Basic est le bon point de départ : c'est le premier niveau, celui qui protège contre les attaques les plus courantes.
Auto-évaluation, vérification, certification : trois étapes
Le parcours suit toujours la même logique : vous mesurez vous-même où vous en êtes, vous corrigez, puis un tiers indépendant confirme. Ce tiers est un organisme d'évaluation de la conformité (souvent appelé CAB). Il doit être accrédité par un organisme national d'accréditation (en Belgique, BELAC), puis agréé par le CCB.
| Étape | Qui la fait | Ce que vous obtenez |
|---|---|---|
| Choix du niveau | Vous, avec l'outil d'évaluation des risques du CCB | Le niveau à viser |
| Auto-évaluation | Vous, avec votre prestataire informatique si besoin | Un score par mesure et la liste de ce qui manque |
| Vérification (Basic et Important) | Un organisme accrédité | Un rapport de vérification, qui confirme ou non votre niveau |
| Certification (Essential) | Un organisme accrédité | Un certificat CyFun Essential |
L'auto-évaluation est la partie la plus utile pour un dirigeant. Elle se fait mesure par mesure, avec deux notes de maturité : l'une pour ce qui est écrit (procédures, règles), l'autre pour ce qui est réellement appliqué. Le résultat devient votre plan de travail pour les mois qui suivent.
Et si vous avez déjà ISO 27001 ?
CyFun n'est pas la seule porte. Selon l'arrêté royal du 9 juin 2024, une entité essentielle peut aussi passer par une certification ISO/IEC 27001 (la norme internationale de gestion de la sécurité de l'information), ou choisir une inspection directe par le CCB sur la base d'une auto-évaluation. Pour une PME sans certification existante, CyFun reste en général la voie la plus accessible.
Le calendrier selon votre statut
Tout dépend de la catégorie dans laquelle la loi vous place. Les deux catégories ont les mêmes obligations de sécurité ; c'est le contrôle qui change.
| Votre statut | Ce que demande le CCB | Échéance |
|---|---|---|
| Entité essentielle | Première étape obligatoire : vérification CyFun Basic ou Important, ou dossier ISO 27001, ou auto-évaluation remise au CCB en cas d'inspection directe | 18 avril 2026 (passée) |
| Entité essentielle | Certification CyFun Essential (ou un niveau plus bas si l'analyse des risques le justifie), ou certification ISO 27001, ou état d'avancement remis au CCB en cas d'inspection directe | 18 avril 2027 |
| Entité importante | Pas d'évaluation périodique imposée ; contrôle après coup, sur la base d'indices de manquement | Mesures dues depuis le 18 octobre 2024 |
| Fournisseur d'une entité NIS2 | Ce que le client exige par contrat : la loi l'oblige à sécuriser sa chaîne d'approvisionnement | Selon le contrat |
Une entité importante n'est donc pas obligée de passer une vérification. Mais si le CCB la contrôle, elle devra montrer ce qu'elle a mis en place. Une vérification volontaire, au moins au niveau Important, est la façon la plus nette de le faire : elle donne la même présomption de conformité.
Ce que le label ne fait pas à votre place
Le label prouve que vos mesures de sécurité sont en place. Il ne couvre pas tout NIS2. Trois obligations restent à gérer à part :
- Notifier les incidents graves au CCB : une alerte précoce dans les 24 heures, une notification dans les 72 heures, un rapport final au plus tard un mois après.
- Impliquer la direction : elle approuve les mesures, en supervise la mise en œuvre, en est responsable et suit une formation à la cybersécurité.
- S'enregistrer auprès du CCB, si ce n'est pas encore fait.
Un label n'est pas non plus une protection en soi. Il photographie un état à un moment donné. Si les sauvegardes ne sont plus testées six mois plus tard, le label ne vous sauvera pas d'une attaque.
Vous n'êtes pas visé ? CyFun reste utile
Beaucoup de PME belges sont sous les seuils de NIS2 (en principe moins de 50 travailleurs à temps plein et un chiffre d'affaires ou un bilan sous les 10 millions d'euros). Trois raisons de regarder CyFun quand même :
- Vos clients vont vous le demander. La loi oblige les organisations NIS2 à sécuriser leurs relations avec leurs fournisseurs directs. Elles vous poseront des questions, voire exigeront un niveau CyFun. Avoir le niveau Basic en main évite de répondre dans l'urgence.
- C'est une liste de priorités gratuite. Les documents et les outils d'auto-évaluation sont publiés par le CCB, sans frais. Ils remplacent avantageusement une liste de bonnes pratiques trouvée au hasard.
- Votre assureur parle le même langage. Une grille reconnue facilite les questionnaires de sécurité, quels qu'ils soient : les mesures attendues se recoupent largement.
Les gestes à faire lundi matin
- Vérifier si NIS2 vous vise (secteur d'activité, effectif, chiffre d'affaires) pour savoir si vous êtes essentiel, important ou hors champ.
- Télécharger CyberFundamentals et l'outil d'évaluation des risques sur le site du CCB, puis noter le niveau qu'il vous indique.
- Bloquer deux demi-journées avec la personne qui gère votre informatique, interne ou externe, pour remplir l'auto-évaluation mesure par mesure.
- Classer les manques en trois colonnes : à faire ce mois-ci, ce trimestre, cette année. Commencer par la double authentification, les sauvegardes hors site et les mises à jour.
- Garder les preuves au fur et à mesure : captures, procédures écrites, comptes rendus de tests de restauration. Le vérificateur les demandera.
- Quand le score est atteint, demander un devis à deux organismes agréés pour la vérification.
Ce parcours prend du temps, mais chaque étape réduit déjà votre risque. Même sans aller jusqu'au label, une auto-évaluation honnête vaut mieux qu'aucune.
Préparer votre auto-évaluation→
Questions fréquentes
CyberFundamentals est-il payant ?
Non. Le cadre, ses documents et ses outils d'auto-évaluation sont publiés gratuitement par le CCB. Seule la vérification ou la certification par un organisme accrédité est payante, au tarif de l'organisme choisi.
Le label CyFun est-il obligatoire pour une PME ?
Non, pas en soi. L'évaluation de conformité régulière n'est obligatoire que pour les entités essentielles, qui peuvent aussi passer par ISO 27001 ou par une inspection du CCB. Pour une entité importante ou un fournisseur, c'est un moyen de preuve, pas une obligation légale, sauf si un client l'exige par contrat.
Quelle différence entre vérification et certification ?
La vérification concerne les niveaux Basic et Important : un organisme accrédité contrôle votre auto-évaluation et délivre un rapport de vérification. La certification concerne le niveau Essential : l'audit est plus poussé et aboutit à un certificat. Dans les deux cas, l'organisme doit être accrédité, puis agréé par le CCB.
Mon prestataire informatique peut-il me délivrer le label ?
Non. Seul un organisme d'évaluation de la conformité accrédité et agréé par le CCB peut vérifier ou certifier un niveau CyFun. Votre prestataire peut en revanche vous aider à faire l'auto-évaluation et à mettre en place les mesures qui manquent.
Avoir le label suffit-il pour être en règle avec NIS2 ?
Il donne une présomption de conformité pour les mesures de sécurité, ce qui est l'essentiel. Mais il ne remplace pas les autres obligations : l'enregistrement auprès du CCB, la notification des incidents graves dans les délais et l'implication de la direction.