NIS2 (Directive (UE) 2022/2555) ne prescrit pas d'outils. Elle prescrit des résultats, et elle prescrit des preuves. Presque toutes les difficultés concrètes viennent de ce second mot : les organisations ont fait le travail, et elles ne peuvent pas le montrer.
Suis-je concerné, et en tant que quoi ?
Deux questions, dans l'ordre. D'abord, votre secteur figure-t-il à l'annexe I (secteurs hautement critiques : énergie, transport, banque, infrastructures de marché financier, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC, administration publique, espace) ou à l'annexe II (autres secteurs critiques : services postaux et de courrier, gestion des déchets, produits chimiques, alimentation, fabrication, fournisseurs numériques, recherche) ? Ensuite, quelle est votre taille ?
Le test de taille utilise la définition standard de l'UE. Une grande entité compte 250 salariés ou plus, ou un chiffre d'affaires supérieur à 50 M€ et un total de bilan supérieur à 43 M€. Une entité moyenne compte au moins 50 salariés, ou un chiffre d'affaires et un total de bilan supérieurs à 10 M€.
| ANNEXE I | ANNEXE II | |
|---|---|---|
| Grande | Essentielle | Importante |
| Moyenne | Importante | Importante |
| Petite / micro | Hors périmètre, sauf exception | Hors périmètre, sauf exception |
Les exceptions comptent plus que le tableau. Certaines entités sont concernées quelle que soit leur taille : fournisseurs de service DNS, registres de noms de domaine de premier niveau, prestataires de services de confiance qualifiés, fournisseurs de réseaux de communications électroniques publics, certaines administrations publiques, et toute organisation qu'un État membre désigne parce qu'elle est le seul fournisseur d'un service critique. Si vous êtes petit et que l'un de ces cas vous décrit, vous êtes dedans.
La distinction essentielle/importante change la façon dont vous êtes supervisé, pas ce que vous devez faire. Les mesures sont les mêmes. Les entités essentielles font l'objet d'une supervision proactive : inspections et audits peuvent arriver sans préavis. Les entités importantes sont supervisées de façon réactive, après indice d'un problème.
Ce que NIS2 exige vraiment
- Article 20, les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, et peuvent être tenus personnellement responsables à défaut. Ils doivent aussi suivre une formation, et sont censés en proposer une similaire au personnel. Une telle supervision exige une vue à jour de la position de risque, pas une diapositive trimestrielle.
- Article 21, des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, sur une base tous risques, couvrant les dix domaines listés ci-dessous, plus une évaluation de leur efficacité réelle.
- Article 23, notification des incidents significatifs au CSIRT sur une horloge par étapes, ce qui suppose un processus d'incident défini et répété.
- Articles 32–33, inspections de supervision, audits de sécurité et demandes d'information. L'autorité peut exiger que vous démontriez la mise en œuvre, et ordonner un audit à vos frais.
Les dix mesures de l'article 21(2)
C'est la liste opérationnelle. Chaque transposition nationale s'appuie dessus, et chaque question d'audit renvoie à l'un de ces dix points.
- Politiques d'analyse des risques et de sécurité des systèmes d'information.
- Traitement des incidents.
- Continuité d'activité, dont gestion des sauvegardes, reprise après sinistre et gestion de crise.
- Sécurité de la chaîne d'approvisionnement, dont les aspects de sécurité de la relation avec chaque fournisseur et prestataire direct.
- Sécurité de l'acquisition, du développement et de la maintenance des systèmes, dont la gestion et la divulgation des vulnérabilités.
- Politiques et procédures pour évaluer l'efficacité des mesures de gestion des risques.
- Pratiques d'hygiène cyber de base et formation à la cybersécurité.
- Politiques d'usage de la cryptographie et, le cas échéant, du chiffrement.
- Sécurité des ressources humaines, politiques de contrôle d'accès et gestion des actifs.
- Authentification multifacteur ou continue, communications voix, vidéo et texte sécurisées, et communications d'urgence sécurisées, le cas échéant.
Le point quatre est là où la plupart des programmes sont les plus faibles, et là où les superviseurs se sont montrés les plus curieux. Il exige une vue de vos fournisseurs directs, de leur criticité pour vous, et de ce que vous avez réellement évalué pour chacun. Notre page sur la gestion des risques fournisseurs montre à quoi ce registre ressemble en pratique.
Le point six est celui qu'on saute. Avoir des mesures ne suffit pas ; il faut une façon documentée de juger si elles sont efficaces, et une trace de l'avoir fait.
L'horloge de notification de l'article 23
Un incident est significatif lorsqu'il a causé ou est susceptible de causer une perturbation opérationnelle grave ou une perte financière, ou lorsqu'il a affecté ou est susceptible d'affecter autrui par un dommage matériel ou immatériel considérable. Notez les mots susceptible de : le seuil n'est pas le dommage réalisé, d'où la nécessité d'écrire l'évaluation plutôt que d'en débattre à 2h du matin.
| QUAND | QUOI |
|---|---|
| 24 heures | Alerte précoce au CSIRT. Indiquez si vous suspectez des actes illicites ou malveillants, et si un impact transfrontalier est possible. |
| 72 heures | Notification d'incident. Complétez l'alerte avec une évaluation initiale de la gravité, de l'impact et, si disponibles, des indicateurs de compromission. |
| Sur demande | Rapport intermédiaire, à chaque demande du CSIRT ou de l'autorité compétente. |
| 1 mois | Rapport final : description détaillée, type de menace et cause racine, mesures d'atténuation, impact transfrontalier. Si l'incident est toujours en cours, un rapport d'avancement, puis le rapport final dans le mois suivant sa clôture. |
L'horloge démarre quand vous prenez connaissance de l'incident, pas quand vous finissez de le diagnostiquer. En pratique, l'évaluation de significativité et le chemin d'escalade doivent être décidés à l'avance, sur papier, avec des noms.
Sanctions et responsabilité des dirigeants
Les entités essentielles encourent des amendes administratives jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Les entités importantes, jusqu'à 7 millions d'euros ou 1,4 %.
Le montant n'est pas ce qui change les conversations en conseil d'administration. Les autorités peuvent aussi suspendre une certification ou une autorisation couvrant une partie de vos services, et interdire temporairement à une personne nommée d'exercer des fonctions de direction dans une entité essentielle. Couplé à l'article 20, c'est la première fois que le droit européen de la cybersécurité atteint un administrateur personnellement, d'où la nécessité que l'approbation des mesures par le conseil soit un acte daté, acté et traçable, pas une supposition.
NIS2 en Belgique : le CCB et CyberFundamentals
Nous sommes basés à Bruxelles, c'est donc la transposition que nous connaissons le mieux, et l'une des plus avancées de l'Union. La Belgique a transposé NIS2 par la Loi du 26 avril 2024, en vigueur depuis le 18 octobre 2024, avec l'arrêté royal du 9 juin 2024 qui désigne le Centre pour la Cybersécurité Belgique comme autorité nationale et CSIRT.
Les entités concernées s'enregistrent via le portail Safeonweb@Work. Aux côtés d'ISO/IEC 27001, l'arrêté royal reconnaît le cadre du CCB, CyberFundamentals (CyFun®), comme voie de démonstration de conformité. CyFun est étagé, Small, Basic, Important et Essential, le socle de contrôles s'étoffant à chaque niveau, et il a été largement adopté précisément parce qu'il est plus proportionné qu'ISO 27001 pour un opérateur belge de taille moyenne.
Deux conséquences pratiques. D'abord, si vous êtes une entité essentielle, la conformité doit être démontrée selon le calendrier du CCB, pas affirmée, et une vérification au niveau Essential est un exercice de preuve, pas de politique. Ensuite, NIS2 se propage dans la chaîne d'approvisionnement : le CCB encourage les organisations fournissant des entités concernées à atteindre au moins le niveau Basic, ce qui amène des fournisseurs bien en deçà des seuils de taille à devoir prouver, à la demande de leurs clients.
Le calendrier belge a bougé plusieurs fois. Vérifiez les échéances d'enregistrement et d'évaluation de conformité en cours directement sur ccb.belgium.be avant de planifier dessus, et parlez-nous si vous voulez une analyse d'écart par rapport au niveau CyFun qui vous concerne.
De l'obligation à la preuve
Chaque obligation ci-dessus se ramène au même besoin pratique : un enregistrement maintenu de vos risques, leurs responsables, leur traitement et leur historique, plus une vue à jour des fournisseurs dont vous dépendez. C'est ce qu'un superviseur demande à voir. Voici le mapping que nous utilisons en mission.
| OBLIGATION | CE QUE VOUS DEVEZ PRODUIRE | DANS SYNAPSERM |
|---|---|---|
| Art. 20, supervision du conseil | Une trace datée de l'approbation des mesures par le conseil, et une vue à jour de la position de risque approuvée. | Registre des risques scoré, piste d'approbation et dates de revue |
| Art. 21(2)(a), analyse de risque | Risques identifiés, scorés sur une échelle défendable, avec responsables nommés et décisions de traitement. | Moteur d'évaluation, échelles configurables |
| Art. 21(2)(d), chaîne d'appro. | Un inventaire fournisseurs hiérarchisé par criticité, avec ce que vous avez évalué et quand. | Registre des tiers et workflow de questionnaires |
| Art. 21(2)(f), efficacité | La preuve que vous avez testé si les mesures fonctionnent, et ce que vous en avez fait. | Mapping des contrôles avec résultats de tests et constats |
| Art. 23, notification | Un test de significativité défini, un chemin d'escalade avec des noms, et une trace de ce qui a été envoyé quand. | Registre d'incidents lié aux actifs et risques affectés |
| Art. 32–33, inspection | Tout ce qui précède, à la demande, dans une forme qu'un auditeur lit sans votre aide. | Historique immuable, rôle auditeur en lecture seule, export |
Le motif de la colonne du milieu, voilà le point. Rien d'exotique. Ce qui est difficile, c'est de le garder vrai dix-huit mois après le départ du consultant, le problème que SynapseRM a été conçu pour résoudre, nous l'avons d'abord bâti pour nos propres missions.
Questions fréquentes
Mon organisation est-elle une entité essentielle ou importante au sens de NIS2 ?
Cela dépend de votre secteur et de votre taille. Les grandes entités des secteurs hautement critiques de l'annexe I sont essentielles. Les entités moyennes de l'annexe I, ainsi que les entités moyennes et grandes des secteurs de l'annexe II, sont importantes. Certains types d'entités sont dans le périmètre quelle que soit leur taille : fournisseurs de service DNS, registres de noms de domaine de premier niveau, prestataires de services de confiance qualifiés, et certaines administrations publiques. Un État membre peut aussi désigner une entité comme essentielle lorsqu'elle est le seul fournisseur d'un service critique.
Quels sont les délais de notification d'un incident sous NIS2 ?
L'article 23 fixe une séquence par étapes : une alerte précoce au CSIRT dans les 24 heures suivant la prise de connaissance d'un incident significatif, une notification d'incident plus complète dans les 72 heures avec une évaluation initiale de la gravité et de l'impact, un rapport intermédiaire à chaque demande du CSIRT, et un rapport final dans le mois suivant la notification. Si l'incident est toujours en cours, vous soumettez un rapport d'avancement, puis le rapport final dans le mois suivant sa clôture.
Qu'est-ce qu'un incident significatif au sens de NIS2 ?
Un incident est significatif s'il a causé ou est susceptible de causer une perturbation opérationnelle grave de vos services ou une perte financière, ou s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant un dommage matériel ou immatériel considérable. Le seuil, c'est la capacité, pas seulement le dommage réalisé, d'où la nécessité de documenter l'évaluation plutôt que de l'improviser.
Quelles sont les sanctions en cas de non-conformité NIS2 ?
Les entités essentielles encourent des amendes administratives jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Les entités importantes, jusqu'à 7 millions d'euros ou 1,4 %. Au-delà des amendes, les autorités de contrôle peuvent suspendre une certification ou une autorisation et interdire temporairement à une personne d'exercer des fonctions de direction dans une entité essentielle.
La certification ISO 27001 me rend-elle conforme NIS2 ?
Non, mais elle couvre une grande partie du terrain. ISO 27001 vous donne le système de management, le processus de risque et la plupart des mesures de l'article 21. Ce qu'elle ne donne pas : le workflow de notification d'incident NIS2 avec ses délais de 24 et 72 heures, les obligations d'approbation et de formation de l'organe de direction (article 20), ni les obligations d'enregistrement. En Belgique, l'arrêté royal reconnaît à la fois ISO 27001 et CyberFundamentals comme cadres de référence.
Comment NIS2 s'applique-t-il en Belgique ?
La Belgique a transposé NIS2 par la Loi du 26 avril 2024, en vigueur depuis le 18 octobre 2024, accompagnée de l'arrêté royal du 9 juin 2024 qui désigne le Centre pour la Cybersécurité Belgique comme autorité nationale et CSIRT. Les entités concernées s'enregistrent via le portail Safeonweb@Work. Le CCB publie CyberFundamentals, un cadre national en quatre niveaux, que l'arrêté royal reconnaît aux côtés d'ISO 27001 comme voie de démonstration de conformité.
Aller plus loin
NIS2, DORA et ISO 27001, article par article.
Tiering fournisseurs et registre d'information DORA.
Un registre scoré, du niveau inhérent au résiduel.
Apportez un vrai fournisseur ou un vrai système. En 45 minutes, on le passe au mapping de l'article 21 et vous gardez le résultat.
Demander une démoCette page résume la Directive (UE) 2022/2555 et sa transposition belge à titre d'information générale. Ce n'est pas un avis juridique. Lorsqu'une transposition nationale diffère de la directive, le texte national prévaut.