NIS2 : mon cabinet médical ou ma PME est-il concerné ?

Les trois conditions du CCB

La loi du 26 avril 2024 transpose en Belgique la directive européenne NIS2. Elle s'applique depuis le 18 octobre 2024 et le CCB en est l'autorité. Selon le CCB, une organisation est en principe couverte si elle remplit trois conditions à la fois :

1. Elle fournit un service listé dans les annexes de la loi. La santé en fait partie, notamment les prestataires de soins de santé.
2. Elle atteint la taille d'une moyenne entreprise : au moins 50 travailleurs à temps plein, ou un chiffre d'affaires annuel et un total de bilan annuel supérieurs à 10 millions d'euros.
3. Elle est établie en Belgique.

Le résumé en une minute se trouve sur notre page NIS2, en clair. Pour trancher votre cas, le CCB met à disposition un outil gratuit, le « NIS2 Scope Test Tool », sur Safeonweb@Work. Les trois cas ci-dessous sont ceux où un petit cabinet ou une petite PME se croit à tort hors du sujet.

Votre cabinet fait partie d'un groupe ? C'est la taille du groupe qui compte

Le seuil de 50 travailleurs ou de 10 millions d'euros ne se mesure pas toujours société par société. Le CCB le rappelle : quand une organisation fait partie d'un groupe (« entreprises partenaires » ou « entreprises liées »), on consolide les chiffres des différentes sociétés du groupe.

Un groupe de cliniques ou de centres peut donc dépasser les seuils alors que chaque site, seul, reste petit. Le calcul exact suit la recommandation européenne 2003/361/CE sur la taille des entreprises : faites-le avec votre comptable, sur vos chiffres réels, avant de conclure que NIS2 ne vous concerne pas.

Le CCB peut-il désigner un petit cabinet ?

Oui, quelle que soit sa taille. L'article 11 de la loi permet au CCB d'identifier une organisation comme entité essentielle ou importante dans quatre cas :

• elle est le seul prestataire en Belgique d'un service essentiel ;
• une panne chez elle pourrait avoir un impact important sur la sécurité publique ou la santé publique ;
• une panne chez elle pourrait créer un risque systémique important ;
• elle est critique au niveau national ou régional pour son secteur ou pour d'autres secteurs qui en dépendent.

Cette désignation ne tombe pas par surprise : selon le CCB, elle se fait en concertation avec l'organisation concernée et, le cas échéant, avec l'autorité de son secteur. Un cabinet ou un centre qui offre un service rare dans sa région a intérêt à le savoir.

Votre client est un hôpital ? Il peut vous imposer des mesures

Les organisations soumises à NIS2, comme un hôpital ou un grand laboratoire, doivent sécuriser leur chaîne d'approvisionnement, y compris leurs relations avec leurs fournisseurs directs et leurs prestataires. Elles peuvent donc inscrire des exigences de sécurité dans le contrat qui vous lie à elles, même si vous êtes trop petit pour être visé vous-même.

Le CCB conseille à toute organisation qui pourrait se trouver dans cette chaîne d'appliquer au moins le niveau Basic du référentiel CyberFundamentals (CyFun®), et précise qu'une entité NIS2 pourrait imposer un niveau CyFun® à ses fournisseurs directs. Si vous recevez une telle demande, faites-vous préciser par écrit le niveau attendu et la preuve demandée.

Ce que contient le niveau de base, mesure par mesure et pour une petite équipe, nous le détaillons dans Une PME de 10 personnes a-t-elle besoin d'une entreprise de cybersécurité ?

Votre structure est visée : les échéances au 26 octobre 2026

Depuis le 18 octobre 2024, une entité visée doit prendre les mesures minimales de sécurité (la loi en liste 11), notifier ses incidents significatifs et accepter le contrôle du CCB. Sa direction approuve ces mesures, en supervise la mise en œuvre, en est responsable et suit une formation à la cybersécurité. Le reste du calendrier :

Pour un incident significatif, le délai est court : une alerte précoce au CCB dans les 24 heures, une notification dans les 72 heures, un rapport final au plus tard un mois après la notification.

Entité essentielle ou importante : contrôles et amendes

Les deux catégories ont les mêmes obligations. La différence est dans le contrôle : une entité essentielle est contrôlée à l'avance et passe des évaluations régulières obligatoires ; une entité importante n'est en principe contrôlée qu'après coup, à la suite d'un incident ou d'indices qu'elle ne respecte pas la loi.

Les amendes vont jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, et jusqu'à 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu.

Ce que DeepIT met en place, que vous soyez visé ou non

Chez les cabinets et les PME que nous gérons, nous posons le même socle : Microsoft Defender sur chaque poste, géré et surveillé par nous ; un code de confirmation en plus du mot de passe sur les comptes Microsoft 365 ; une sauvegarde hors de vos locaux ; les réglages de messagerie qui empêchent un fraudeur d'écrire en votre nom (SPF, DKIM, DMARC) ; et une intervention quand quelque chose cloche. Le RGPD vous oblige de toute façon à protéger les données personnelles que vous traitez (pour un cabinet, celles de ses patients).

Nous pouvons passer le test du CCB avec vous et lire le résultat, y compris pour un groupe. Ce socle n'est pas une certification : DeepIT n'est pas un organisme d'évaluation de la conformité, et seul un organisme agréé peut vérifier ou certifier un niveau CyFun®. Pour les cabinets, voir aussi notre page informatique médicale.

Savoir si NIS2 vous concerne→