#CyberLearn Mises à Jour
Restez informé des nouveaux guides et améliorations
20 août 2026
Une quatrieme voie si vous n'atteignez pas CyFun Essential en avril 2027
Le Service d'Inspection du CCB a precise ce que fait une entite essentielle qui ne peut pas presenter une evaluation de conformite equivalente Essential d'ici le 18 avril 2027: deposer un plan de remediation, avec la preuve de conformite au niveau equivalent CyFun Important plus les mesures prevues pour atteindre l'equivalent Essential d'ici le 18 avril 2028. L'echeance legale du 18 avril 2027 reste inchangee, et aucun plan n'est requis si vous etes deja equivalent Essential a cette date, ou si votre propre analyse de risques au titre de l'art. 7 de l'arrete royal NIS2 justifie un niveau inferieur et que vous demontrez a cette date que vous le respectez. Source: communication du Service d'Inspection du CCB, ref. NCCA/JK/INS/2026-002 du 11 aout 2026, publiee le 18 aout 2026. Integree comme quatrieme voie de remediation sur la page missed-deadline et repercutee sur les pages echeances, audit, certification et cout OEC. La raison vaut d'etre connue: aucun organisme n'est aujourd'hui autorise pour la certification CyFun Essential, ce niveau passe donc par ISO/IEC 27001 ou une inspection du CCB. EN/NL/FR.
Lire l'article13 août 2026
Télétravail : la passerelle d'entreprise par laquelle vous vous connectez est un appareil aussi
La page disait d'utiliser le VPN de l'entreprise mais ne disait rien de l'appareil qui, au sein de l'entreprise, accepte cette connexion. Ajout d'un dixième conseil sur la passerelle d'accès à distance : c'est l'un des rares appareils volontairement laissés ouverts sur internet, personne en télétravail ne peut le mettre à jour, et quelqu'un doit demander qui le fait. Ancré sur SonicWall SMA1000 (failles CVE-2026-15409 et CVE-2026-15410, exploitées à partir du 22 juin 2026, corrigées à la mi-juillet 2026, les deux failles signalées par la CISA comme utilisées dans des attaques par ransomware, et plus de 380 de ces appareils recensés comme accessibles depuis internet, même si certains ont peut-être déjà été sécurisés, selon BleepingComputer, 10 août 2026). Avec les trois questions à poser à votre prestataire informatique et une ligne de checklist en plus. EN/NL/FR.
Lire l'articleMots de passe : haché ne veut pas dire en sécurité
Nouvelle section qui explique sans jargon pourquoi un avis de fuite de données disant que votre mot de passe était "haché" ne veut pas dire que tout va bien. Le hachage est un brouillage à sens unique qui ne protège qu'un mot de passe déjà difficile à deviner ; les hackers emportent la liste et la travaillent hors ligne avec les mots de passe courants et déjà divulgués, sans surveillance et sans blocage. Ancré sur l'avis Drukland du 10 août 2026, portant sur des adresses email et des mots de passe hachés (ITdaily, 10 août 2026) plus des données de carte pour un petit groupe (Security.NL, 11 août 2026). Se termine là où il faut : changez-le, changez-le partout où vous l'aviez réutilisé, activez l'authentification à deux facteurs. EN/NL/FR.
Lire l'articleÉtude d'effort CyFun Basic : note d'août 2026 ajoutée, chiffres mesurés intacts
L'étude mesure une implémentation qui a été menée du 30 mars au 17 juin 2026, et deux éléments y sous-estiment aujourd'hui le produit : la ligne « rédiger politiques et procédures » de 64 actions manuelles, et la conclusion selon laquelle l'essentiel de l'effort réel se passe hors plateforme. Depuis août 2026, les procédures et politiques CyFun Basic sortent de la plateforme déjà rédigées en anglais, néerlandais et français. Les deux endroits portent désormais une note d'août 2026 précisant que la mesure est antérieure à ce changement. Les chiffres mesurés ne sont volontairement pas modifiés : c'est un relevé daté de ce qui s'est passé. EN/NL/FR.
Lire l'article11 août 2026
Auditeurs CyFun : corrigé à quatre organismes de vérification, aucun encore pour Essential
Nos pages indiquaient qu'il n'existait que deux organismes CyFun accrédités BELAC. La liste du CCB datée du 22 juillet 2026 en compte quatre, autorisés pour la vérification aux niveaux Basic et Important : Brand Compliance Belgie, CertUp, Vinçotte et What a Work SRL (Trust CHECK). Deux points que l'ancienne formulation omettait : ces quatre organismes font de la vérification, et aucun n'est encore accrédité pour certifier au niveau Essential. Les entités Essential atteignent donc la présomption de conformité via ISO 27001, pour laquelle 15 organismes de certification autorisés sont disponibles. Nous avons aussi abandonné la formulation « préparez-vous maintenant et vous serez audité en premier », qui reposait sur le chiffre de deux. EN/NL/FR.
Lire l'articlePérimètre élargi : CyFun est désormais le schéma national dans cinq pays
CyberFundamentals n'est plus propre à la Belgique. La Belgique, l'Irlande, la Roumanie, Malte et Chypre sont membres du CyFun Scheme Owner Group. Le NCSC irlandais déclare qu'il « adoptera CyFun comme schéma national d'évaluation et de certification », avec une certification attendue en 2027 et CyFun désigné méthode préférée pour le secteur de l'administration publique. La France reconnaît CyFun et étudie son adoption, mais utilise son propre cadre ReCyF. Nos guides de comparaison et NIS2 s'adressent maintenant aux PME et MSP des pays CyFun plutôt qu'à la seule Belgique, tandis que la section CyberFundamentals reste spécifique à la Belgique là où le sujet est le CCB et son cadre. EN/NL/FR.
Lire l'article23 juillet 2026
Configuration 2FA : section passkeys et MFA résistante au phishing
Ajout d'une section pour aller au-delà des codes d'application. Les codes d'application peuvent encore être hameçonnés ou soutirés en temps réel ; les passkeys, les clés matérielles FIDO2 et la connexion via l'appareil (Windows Hello) sont liées au vrai site et refusent de fonctionner sur un faux. Explique quand prioriser chaque option et l'angle NIS2/CyberFundamentals : une MFA résistante au phishing sur les comptes à privilèges transforme un mot de passe volé en impasse. EN/NL/FR.
Lire l'article16 juillet 2026
Gouvernance de l'IA fantôme pour PME, avec modèle de politique gratuit
Nouveau guide sur la gouvernance des outils IA que votre personnel utilise déjà : détecter l'IA fantôme (sondage plus signaux réseau), décider outil par outil (approuver, remplacer ou bloquer), et garder la liste vivante avec une revue trimestrielle et un responsable désigné. Inclut un modèle gratuit et modifiable de politique d'usage de l'IA, téléchargeable en anglais, néerlandais ou français et adaptable en une après-midi. EN/NL/FR.
Lire l'articleGestion des patchs : le Patch Tuesday record de juillet 2026 ajouté à la chronologie
La chronologie des volumes d'avis inclut désormais le 14 juillet 2026, le plus grand Patch Tuesday Microsoft jamais publié : 570 correctifs (569 selon le comptage CVE), 56 critiques, deux zero-days activement exploités (ADFS CVE-2026-56155, échéance KEV du 28 juillet ; SharePoint CVE-2026-56164, échéance KEV du 17 juillet) et le contournement BitLocker divulgué publiquement CVE-2026-50661. Il remplace les 206 de juin comme chiffre de référence. EN/NL/FR.
Lire l'articleIngénierie sociale : la vague belge de vishing via les logiciels financiers
Ajout de la variante de vishing de juillet 2026 signalée par le parquet du Limbourg : des appelants se font passer pour le support de la plateforme logicielle financière de l'entreprise elle-même et poussent le personnel financier à faire des virements ou à installer des outils d'accès à distance. Nouvel exemple concret plus la règle essentielle : le vrai support ne vous appelle jamais, n'installez jamais d'outil d'accès à distance pour un appelant, vérifiez par un autre canal sur un numéro que vous aviez déjà. EN/NL/FR.
Lire l'article12 juillet 2026
CyFun Basic en chiffres : combien de documentation et de preuves il demande vraiment
Nouvel article de données mesurant une vraie implémentation CyFun Basic anonymisée : environ 38 documents (~7.000 mots, révisés près de 950 fois) et 123 preuves sur 11 types, reliées aux 34 contrôles par 294 liens, avec environ la moitié des preuves collectées automatiquement. L'essentiel : les produire n'est que la moitié du travail ; savoir ce qui est fait, ce qui manque et ce qui a vieilli est l'autre moitié, et c'est ce que la plateforme suit. EN/NL/FR.
Lire l'article9 juillet 2026
Réponse aux incidents : Fraudstop 078 170 170 ajouté aux contacts
Ajout du numéro d'urgence central belge pour la fraude en ligne, annoncé par le CCB le 23 juin 2026 et intégré à Card Stop : 078 170 170, joignable 24h/24. À appeler en cas de transaction non autorisée, de numéro de carte ou code de sécurité divulgué, ou d'une approbation itsme obtenue par manipulation ; les premières minutes déterminent si la banque peut encore bloquer ou récupérer les fonds. Ajouté comme contact plus encadré, EN/NL/FR.
Lire l'articlePhishing : la fraude en cours passe par Fraudstop 078 170 170
Ajout d'un renvoi à côté de la section de signalement Safeonweb : les messages suspects vont à verdacht@safeonweb.be, mais une fraude en cours se signale par un appel à Fraudstop au 078 170 170 (24h/24, intégré à Card Stop), car les premières minutes déterminent si la banque peut bloquer ou récupérer l'argent. EN/NL/FR.
Lire l'articleGestion des patchs : rafraîchissement CVE de juillet 2026 (ColdFusion, SharePoint, LiteLLM)
Exemples de zero-days rafraîchis : Adobe a corrigé 11 failles ColdFusion le 30 juin 2026, dont six notées CVSS 10.0, menées par la RCE d'upload non authentifié CVE-2026-48276 ; la faille sœur CVE-2026-48282 a été exploitée en 2 heures et ajoutée au catalogue CISA KEV le 7 juillet 2026 avec un délai de 3 jours. Ajout aussi de SharePoint CVE-2026-45659, activement exploitée (CISA KEV 1er juillet 2026), et de LiteLLM CVE-2026-42208, injection SQL pré-authentification (CVSS 9.3) dans un proxy IA populaire, exploitée en 36 heures avec un avis de correction immédiate du CCB. Les entrées Oracle WebLogic (2025) et SQL Server (mars 2026) ont été retirées. EN/NL/FR.
Lire l'articleUsage acceptable de l'IA : les chiffres KnowBe4 sur l'ampleur de l'IA fantôme
Ajout de l'enquête KnowBe4 auprès d'organisations néerlandaises (rapport « From Agentic Risk to Human Wins », juin 2026) : 50 % n'ont pas de règles claires sur l'usage de l'IA, 58 % font déjà tourner des agents IA autonomes, 27 % des collaborateurs utilisent des outils IA non approuvés quand les outils officiels manquent, et 81 % savent que les données collées peuvent être stockées ou détournées. Aucun chiffre belge n'a été publié. EN/NL/FR.
Lire l'articleMenaces IA : l'infrastructure IA fantôme comme surface d'attaque (LiteLLM)
Ajout d'un encadré sur l'outillage IA lui-même comme cible : LiteLLM CVE-2026-42208, injection SQL pré-authentification (CVSS 9.3) dans un proxy populaire qui route le trafic d'entreprise vers les modèles d'IA, exploitée en 36 heures et objet d'un avis de correction immédiate du CCB. La leçon : chaque outil IA a sa place dans l'inventaire logiciel et le calendrier de correctifs. EN/NL/FR.
Lire l'article2 juillet 2026
Télétravail : hygiène du WiFi public ajoutée comme conseil 9
Nouvelle section fondée sur le webinaire CCB « Votre Wi-Fi est-il une porte ouverte ? » (juin 2026) : évitez les hotspots ouverts, confirmez le nom exact du réseau auprès du personnel, méfiez-vous des hotspots « evil twin » (les faux réseaux d'aéroport en Australie, avril 2024, ont mené à une peine de plus de 7 ans en novembre 2025), supprimez le réseau après usage, et préférez le partage de connexion 4G/5G de votre téléphone. L'accroche : des chercheurs à proximité de 400 employés ont capturé 166 mots de passe en 40 minutes, sans être remarqués. Ajouté en EN/NL/FR.
Lire l'article20 juin 2026
CyFun désormais cité dans la mise en correspondance NIS2 inter-cadres de l'UE
Quatre articles renvoient désormais au document de référence publié par le groupe de coopération NIS de l'UE le 17 juin 2026, lié au règlement d'exécution 2024/2690, qui met en correspondance les mesures de sécurité NIS2 entre cadres et place le CyberFundamentals belge aux côtés d'ISO/IEC 27001, IEC 62443 et NIST CSF 2.0. Ajouté à Qu'est-ce que CyberFundamentals, CyberFundamentals vs ISO 27001, Qu'est-ce que NIS2, et l'explication de la directive NIS2, EN/NL/FR.
Lire l'article12 juin 2026
Usage acceptable de l'IA au travail : une politique pratique pour les PME
Nouveau guide sur l'IA fantôme : ce qui se passe quand le personnel utilise des chatbots IA non approuvés avec des données de l'entreprise ou des clients, et comment prendre les devants en cinq étapes aboutissant à une politique d'une page. Couvre la classification des données, une liste d'outils approuvés, les obligations européennes d'étiquetage applicables à partir du 2 août 2026, et l'angle MSP : proposez la politique comme livrable qui s'appuie sur les contrôles de classification et de politique que vous gérez déjà.
Lire l'articleContenu généré par IA : les règles européennes d'étiquetage expliquées
Nouveau guide en langage clair sur l'article 50 du règlement européen sur l'IA : qui compte comme fournisseur ou déployeur, ce qui doit être étiqueté à partir du 2 août 2026, et ce que le code de bonnes pratiques de la Commission européenne du 10 juin 2026 ajoute comme voie volontaire à faible risque. Le jugement du tribunal régional de Munich du 28 mai 2026 (les AI Overviews sont le propre contenu de Google) pose le décor de la responsabilité : les mots de l'IA sont vos mots.
Lire l'articlePhishing : ClickFix, l'attaque qui vous demande de coller une commande
Ajout d'une section sur les leurres ClickFix : de fausses pages de vérification humaine ou de mise à jour qui vous poussent à coller une commande malveillante dans votre propre machine, avec la compromission de mars 2026 de la commune néerlandaise d'Epe (871 Go exfiltrés, enquête publiée le 5 juin 2026) comme étude de cas. La règle : aucune vérification légitime ne vous demande jamais de coller une commande.
Lire l'articleAuthentification à deux facteurs : quand la MFA elle-même est attaquée
Ajout d'une section sur les attaques contre l'authentification multifacteur : le phishing par proxy Tycoon 2FA (démantelé par Europol et Microsoft en mars 2026), l'ingénierie sociale par réinitialisation au helpdesk (attaques du retail britannique d'avril 2026), et la leçon d'Epe : les comptes d'urgence aussi ont besoin de la MFA. Défenses : MFA résistante au phishing, vérification stricte par rappel, aucun compte exempté de MFA.
Lire l'articleGestion des patchs : à quoi ressemble un mois réel
Ajout d'un bloc d'exemple concret : le Centre pour la Cybersécurité Belgique a publié un avis critique chaque jour ouvrable du 4 au 7 mai 2026, et la semaine du 9 juin 2026 a apporté un Patch Tuesday de 206 correctifs, une faille critique du serveur de sauvegarde Veeam et une faille Check Point VPN activement exploitée. La leçon : ce volume est normal, le patching exige donc un rythme hebdomadaire fixe plus une voie rapide de 48 heures pour les failles activement exploitées.
Lire l'articleSauvegarde : patchez d'abord votre logiciel de sauvegarde
Ajout d'une section sur le serveur de sauvegarde comme cible de patch prioritaire, avec Veeam CVE-2026-44963 (divulguée le 9 juin 2026, alerte CCB du 10 juin 2026, notée 9,4 sur 10) : tout utilisateur de domaine connecté pouvait exécuter du code sur un serveur de sauvegarde joint au domaine. Les gangs de ransomware détruisent d'abord les sauvegardes ; patchez sous 48 heures, envisagez le mode workgroup, gardez une copie hors ligne ou immuable.
Lire l'articleMenaces IA : la production de l'IA est désormais une question juridique
Ajout d'une section sur la décision du tribunal régional de Munich du 28 mai 2026 (affaire 26 O 869/26) : les AI Overviews sont le propre contenu de Google et le bouclier de responsabilité des moteurs de recherche ne s'applique pas, plus les obligations européennes d'étiquetage applicables à partir du 2 août 2026. Le revers pour les entreprises : les mots de l'IA sont vos mots. Liens ajoutés vers les nouveaux guides sur l'usage acceptable de l'IA et l'étiquetage du contenu IA.
Lire l'articlePourquoi l'IA seule n'atteint pas la conformité : la faille de l'IA fantôme
Ajout d'une section sur l'IA fantôme comme faille de conformité que personne n'avait délimitée : l'usage non approuvé de chatbots avec des données d'entreprise ou de clients, pourquoi un inventaire des outils IA réellement utilisés est la première étape et constitue lui-même une preuve, et les obligations d'étiquetage de l'article 50 à partir du 2 août 2026, impossibles à respecter pour une production IA dont on ignore l'existence.
Lire l'article4 juin 2026
Prix des Logiciels de Conformité NIS2 : ce que vous payez vraiment
Nouveau guide comparatif qui décompose les quatre modèles de prix des logiciels de conformité NIS2 (par organisation, par client MSP, GRC d'entreprise, conseil plus outillage), explique ce qui détermine le coût, et publie les niveaux MSP complets et les tranches par client d'Easy Cyber Protection à découvert. La plupart des plateformes cachent leurs prix derrière «contactez-nous»; cette page montre les chiffres et détaille le coût total de possession, y compris le temps interne et les frais d'audit CAB séparés.
Lire l'articleGestion des Patchs : zero-days Palo Alto et FreePBX de juin 2026 ajoutés
Deux exemples actuels ajoutés a la section Exemples Récents de Zero-Day : Palo Alto PAN-OS GlobalProtect CVE-2026-0257 (contournement d'authentification CVSS 7.8, activement exploite, avis CCB et échéance CISA du 1 juin 2026) et FreePBX CVE-2026-46376 (identifiants codes en dur CVSS 9.1, avis CCB du 1 juin 2026, corrige dans 16.0.45 / 17.0.7).
Lire l'article28 mai 2026
Comparatif antivirus : quand l'outil de sécurité devient la cible
Ajout d'un encadré dans la section EDR sur la vague de mai 2026 où le logiciel de sécurité lui-même a été attaqué : Trend Micro Apex One (CVE-2026-34926, au catalogue Known Exploited Vulnerabilities de CISA depuis le 21 mai 2026) a été détourné pour transformer le serveur de gestion en canal de diffusion de logiciels malveillants, et Microsoft a corrigé deux failles Defender donnant les pleins droits système (CVE-2026-41091) ou bloquant silencieusement les mises à jour de l'antivirus (CVE-2026-45498). La leçon : corrigez l'outil de sécurité lui-même, protégez sa console de gestion avec l'authentification multifacteur, et vérifiez que les mises à jour atteignent chaque appareil.
Lire l'articleSécurité des fournisseurs : cas belge de supply chain (intercommunale de déchets)
Ajout d'un cas belge de 2026 aux exemples de violations de supply chain : en mai 2026, les parcs à conteneurs de Beerse et Merksplas (exploités par l'intercommunale de déchets IOK en Campine) ont été mis hors service par une attaque contre un fournisseur IT externe, tandis que les propres systèmes d'IOK sont restés intacts. Une illustration locale concrète de la raison pour laquelle NIS2 traite la gestion du risque de supply chain comme une obligation explicite.
Lire l'article27 mai 2026
Lien Done-For-You NIS2 Scope ajouté à 17 articles
Liens entrants contextuels vers le nouveau rapport Done-For-You NIS2 Scope & Baseline (395€ forfait, livraison en 48 heures, hors TVA) ajoutés dans le corps de 12 nouveaux articles NIS2 / CyberFundamentals / getting-started / industry / compare, en plus des 5 pages du cluster NIS2 déjà câblées. Les ancres varient par page (rapport NIS2 Scope & Baseline, évaluation de périmètre Done-For-You, rapport de périmètre à 395€, service de détermination de périmètre, détermination de périmètre écrite) pour éviter la sur-optimisation des ancres. Chaque lien se trouve à l'endroit où le lecteur est le plus enclin à se demander «en ai-je besoin pour ma propre entreprise?»: après le tableau des niveaux CyFun, après une checklist de périmètre de phase 1, ou après une analyse de classification sectorielle.
Lire l'article22 mai 2026
Pourquoi l'IA seule n'atteint pas la conformité NIS2 / CyFun complète
Nouveau guide pour les MSP et dirigeants de PME qui évaluent les vendeurs «conformité IA». Nomme ce que l'IA peut faire (mapping de contrôles, templates d'évidence, suivi réglementaire, structuration de dossier d'audit) et ce qu'elle ne peut pas (délimiter le périmètre, vérifier physiquement, faire les arbitrages, prendre la responsabilité). Inclut une checklist de signaux d'alerte pour repérer les vendeurs qui vendent une démo, et la bonne répartition des tâches entre IA, MSP et auditeur CAB.
Lire l'article14 mai 2026
ECP vs ReCyF (France) : CyFun vs le référentiel NIS2 français
Nouvelle comparaison en tête-à-tête avec le Référentiel Cyber France de l'ANSSI (ReCyF v2.5, mars 2026). Couvre le statut juridique (contraignant dès l'entrée en vigueur de la Loi Résilience, prévue au S2 2026), la structure (15 objectifs EI / 20 EE), le périmètre (10k-15k entités françaises) et le coût de mise en conformité (€100-200K en direct vs €100-400/mois via service MSP ECP). Tableau de fact-check citant 6 sources ANSSI / cyber.gouv.fr / SPAC Alliance / CCB.
Lire l'article7 mai 2026
Qu'est-ce que le ransomware ?
Cinquième cas d'attaque d'exfiltration ajouté : SafePay + ETTP (6 mai 2026). SafePay rejette explicitement le modèle ransomware-as-a-service, gère toutes ses opérations en interne et cible explicitement les PME, MSP et organisations disposant de grands réseaux de partenaires en aval aux États-Unis et en Europe occidentale (400+ victimes revendiquées depuis septembre 2024). ETTP est la quatrième victime belge nommée en cinq semaines : Fountain (DragonForce, s15), Anderlues (TheGentlemen, s17), Van Heyghen + ISoSL (APT73, s18), maintenant ETTP, faisant de « une victime belge nommée par semaine » un schéma 2026 documenté.
Lire l'articleGestion des patchs : protection contre les zero-days
Sixième cas zero-day ajouté : la vague de patchs CCB du 4-7 mai 2026. Le Centre pour la Cybersécurité Belgique a publié un avis critique « patcher immédiatement » chaque jour ouvrable pendant quatre jours consécutifs : MOVEit Automation CVE-2026-4670 (contournement d'authentification, CVSS 9.8, même famille de produits que Clop 2023), n8n critique, Apache HTTP Server multi-RCE, et Ivanti EPMM RCE authentifiée activement exploitée. Exemple concret pour la règle des 48 heures que l'article défend déjà.
Lire l'articleQu'est-ce que le CCB ?
Entrée 2025 ajoutée à la chronologie du CCB : 635 notifications d'incidents, en hausse de 70% en glissement annuel. 556 cyber-liées, 144 cas de compromission de comptes (catégorie principale), 105 ransomware. L'administration publique et la santé sont les secteurs les plus ciblés. Source : la propre publication 2025 des chiffres du CCB.
Lire l'articleRéponse aux incidents : playbook de récupération
Le cas Temse vs Anderlues « détection rapide gagne » étendu avec une vue d'ensemble belge : le CCB a enregistré 635 notifications d'incidents en 2025 (+70% en glissement annuel), 144 cas de compromission de comptes en tête de catégorie et 105 ransomware. Cadre la capacité de détection comme la seule variable qui infléchit la courbe de récupération à mesure que la ligne de base des menaces se déplace.
Lire l'articleVous cherchez quelque chose de plus ancien ?
Consultez les archives des mises à jour précédentes