Deadline NIS2 Belge Manquée? Vos Options

Ce que le 18 Avril 2026 Exigeait Réellement

La loi belge de transposition NIS2 du 26 avril 2024 fixe deux deadlines qui comptent pour le cadre CyberFundamentals géré par le Centre pour la Cybersécurité Belgique (CCB) :

• 1
  18 avril 2026 : Auto-évaluation de conformité. Les entités importantes doivent soumettre une auto-évaluation CyFun au niveau BASIC minimum (34 contrôles). Soumis via le portail CCB Safeonweb @work.
• 2
  18 avril 2027 : Évaluation de conformité des entités essentielles. Les entités essentielles doivent disposer d'une évaluation de conformité de niveau équivalent CyFun Essential (218 contrôles), sauf si leur propre analyse de risques au titre de l'article 7 de l'arrêté royal NIS2 justifie un niveau d'assurance inférieur et qu'elles démontrent à la même date qu'elles respectent ce niveau inférieur. L'évaluation est effectuée par un Conformity Assessment Body (CAB) accrédité par BELAC, l'organisme belge d'accréditation, ou par le Service d'inspection du CCB. Sur la liste du CCB du 22 juillet 2026, aucun organisme n'est encore autorisé pour la certification CyFun au niveau Essential, donc l'équivalence Essential passe aujourd'hui par ISO 27001. Une entité essentielle qui n'y sera pas le 18 avril 2027 dépose à la place un plan de remédiation, voir la voie D ci-dessous. La date elle-même n'a pas bougé.

Pas certain si votre organisation est classifiee comme importante ou essentielle ? Commencez par qui doit se conformer à NIS2.

Ce qui Change Réellement Si Vous n'avez pas Soumis

Une deadline passée déplace votre position de "sur la bonne voie" vers "en remédiation". Trois choses spécifiques changent :

Quatre Voies de Remédiation

Choisissez la voie qui correspond à votre classification NIS2 et à la position d'audit que vos grands clients professionnels demandent réellement. Les quatre sont reconnues par le CCB ; la quatrième est celle que le Service d'inspection du CCB a lui-même nommée en août 2026.

Comment Soumettre une Auto-évaluation CyFun BASIC Tardive

Les étapes mecaniques que le portail CCB Safeonweb @work attend, dans l'ordre :

1. 1

   Enregistrez votre organisation sur Safeonweb @work

   Utilisez itsme ou eID pour vous authentifier en tant que représentant légal. Le CCB recoupe l'enregistrement avec les données de la Banque-Carrefour des Entreprises (BCE/KBO).

2. 2

   Confirmez votre classification NIS2

   Importante ou essentielle. Le portail parcourt le test de taille et de secteur qui mappe vers les Annexes I et II de NIS2.

3. 3

   Téléchargez la workbook CyberFundamentals

   Fichier Excel maintenu par le CCB. Chaque contrôle à une colonne de preuves que le CCB attend remplie avec une référence (nom de document, capture d'écran, chemin de log).

4. 4

   Notez chaque contrôle honnêtement

   La notation de maturité CyFun utilise une rubrique 1-5 par contrôle. Les auditeurs et le CCB perdent patience avec les auto-evaluations qui notent chaque contrôle a 5. Une baseline de 2-3 avec un plan d'amélioration documenté se lit comme plus credible qu'un mur de vert.

5. 5

   Téléchargez la workbook et joignez une feuille de route de remédiation

   Pour une soumission tardive, la feuille de route est le document qui transforme "deadline manquée" en "en remédiation active". Dates cibles par contrôle, propriétaire par contrôle, et références de preuves pour ce qui est déjà en place.

Pas le temps de partir d'un classeur vide? Notre vérification de périmètre instantanée à l'écran détermine périmètre et niveau CyFun en deux minutes, sans adresse e-mail. Vous voulez ensuite une liste priorisée des contrôles BASIC (30/90/180 jours) à utiliser directement dans le portail Safeonweb @work comme point de départ tardif? Le rapport écrit est à 395€ forfait, livré en 48 heures.

Ce que le CCB a Réellement Dit sur l'Application

Le Centre pour la Cybersécurité Belgique publie sa position d'application via des directives formelles, des rapports annuels et le portail Safeonweb @work, pas via des fuites d'application. Deux signaux sont visibles dans le matériel public CCB :

• Les notifications d'incidents augmentent rapidement. Le CCB a enregistré 635 notifications d'incidents obligatoires dans les catégories pertinentes NIS2 en 2025, une hausse d'environ 70% en glissement annuel selon le rapport d'activité annuel CCB 2025. Cela signale une bande passante d'attention chez le régulateur, pas une boîte de réception silencieuse.
• Position remédiation-d'abord. Les directives publiées par le CCB sur le processus d'accréditation BELAC et le cadre CyberFundamentals cadrent systématiquement l'application comme une escalade structurée : notification → ordre de remédiation → amende administrative. C'est le même schéma que l'Autorité belge de protection des données (APD) utilise pour le RGPD.

Les deux signaux pointent dans la même direction : le coût d'une soumission tardive documentée est inferieur au coût d'un refus documenté. Le but est d'être dans les registres comme remediant avant que quelqu'un ne demande.