NIS2 Belgique: checklist zero trust pour PME

La loi NIS2 belge s’applique depuis le 18 octobre 2024. Pour une entreprise de 50 à 500 personnes, le plus difficile est de transformer une liste d’obligations légales en travail qu’une équipe IT peut planifier et qu’un conseil d’administration peut approuver. Cet article explique qui est concerné, ce que la loi demande, comment fonctionne la voie belge des CyberFundamentals (CyFun) et où les pratiques zero trust aident à satisfaire des contrôles précis. Il se termine par une checklist.

Il s’agit d’informations générales, pas d’un avis juridique. Seuls les textes publiés au Moniteur belge font foi. Pour votre propre situation, utilisez les outils et les orientations du Centre pour la Cybersécurité Belgique (CCB) et, si nécessaire, consultez un avocat.

La loi NIS2 belge en bref

La loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique (la « loi NIS2 ») transpose la directive (UE) 2022/2555. Elle a été publiée au Moniteur belge le 17 mai 2024, et son article 98 fixe l’entrée en vigueur au 18 octobre 2024. Un arrêté royal du 9 juin 2024 l’exécute et désigne le CCB comme autorité nationale de cybersécurité.

Votre organisation est-elle concernée ?

Selon la page NIS2 du CCB sur Safeonweb@Work, une organisation est en principe concernée lorsque trois conditions sont remplies. Elle fournit un service repris à l’annexe I ou II de la loi. Elle est au moins une moyenne entreprise au sens de la recommandation 2003/361/CE de la Commission, c’est-à-dire au moins 50 équivalents temps plein, ou un chiffre d’affaires annuel et un total du bilan annuel tous deux supérieurs à 10 millions d’euros. Et elle est établie en Belgique.

L’annexe I reprend les secteurs hautement critiques: énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (interentreprises), administration publique et espace. L’annexe II couvre les services postaux et d’expédition, la gestion des déchets, les produits chimiques, les denrées alimentaires, plusieurs sous-secteurs de la fabrication (dispositifs médicaux, produits électroniques, équipements électriques, machines, véhicules et autres matériels de transport), les fournisseurs numériques et la recherche.

La taille se calcule au niveau du groupe lorsqu’une entreprise a des entreprises partenaires ou liées. Une filiale de 30 personnes d’un groupe plus grand peut donc être concernée, même si elle paraît petite à elle seule. Certaines entités sont concernées quelle que soit leur taille, comme les prestataires de services de confiance qualifiés et les fournisseurs de services DNS. Le CCB peut aussi identifier une organisation comme entité essentielle ou importante en vertu de l’article 11 de la loi.

En vertu des articles 9 et 10, les entités de l’annexe I qui dépassent les plafonds des moyennes entreprises (en pratique, les grandes entreprises) sont des entités essentielles. La plupart des autres entités concernées des annexes I et II sont des entités importantes. Le CCB précise que la différence porte surtout sur la rigueur de la supervision et des sanctions.

Le CCB propose un outil de test du champ d’application NIS2 à télécharger (un fichier Excel) et un guide de démarrage en sept étapes. Commencez par là si vous avez un doute.

Les entreprises hors du champ d’application peuvent quand même être touchées. Les entités NIS2 doivent gérer la sécurité de leur chaîne d’approvisionnement, et le CCB conseille aux organisations de la chaîne d’approvisionnement d’une entité NIS2 d’appliquer au moins CyFun Basic.

Ce que la loi exige

Enregistrement

Les entités s’enregistrent auprès du CCB via Safeonweb@Work. L’article 13 de la loi prévoit un délai de cinq mois à compter de l’entrée en vigueur, ce qui fixait l’échéance au 18 mars 2025. Certains fournisseurs numériques (notamment les fournisseurs de DNS, de services cloud, de centres de données et de services gérés) avaient jusqu’au 18 décembre 2024. Les entités identifiées plus tard disposent de cinq mois à compter de leur identification. Toute modification des données enregistrées doit être communiquée au CCB.

Mesures de gestion des risques

L’article 30 de la loi belge, qui transpose l’article 21 de la directive, impose des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche « tous risques ». La liste minimale comprend les politiques d’analyse des risques, la gestion des incidents, la continuité des activités et les sauvegardes, la sécurité de la chaîne d’approvisionnement, la sécurité de l’acquisition et de la maintenance, l’évaluation de l’efficacité, la cyberhygiène et la formation, la cryptographie, la sécurité des ressources humaines avec le contrôle d’accès et la gestion des actifs et, à l’article 21, paragraphe 2, point j), « l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue » le cas échéant.

Notification des incidents

Les incidents significatifs sont notifiés au CSIRT national, c’est-à-dire le CCB. L’article 35 fixe les étapes: une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification d’incident dans les 72 heures, un rapport intermédiaire sur demande et un rapport final au plus tard un mois après la notification d’incident. Les notifications se font sur la plateforme de notification du CCB, et le CCB publie un guide de notification (en anglais).

Responsabilité de la direction

En vertu de l’article 31, l’organe de direction approuve les mesures de gestion des risques, supervise leur mise en œuvre et est responsable des manquements. Ses membres doivent suivre une formation pour pouvoir identifier les risques et évaluer les pratiques de cybersécurité. Le CCB mentionne des amendes administratives allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et jusqu’à 7 millions d’euros ou 1,4 % pour les entités importantes.

La voie de conformité: CyFun ou ISO/IEC 27001

Le cadre CyberFundamentals compte trois niveaux d’assurance: Basic, Important et Essential (basique, important et essentiel dans l’arrêté royal). CyFun 2025 est aligné sur le NIST CSF 2.0, d’où des références de contrôles du type PR.AA-03.2. CyFun 2023 et CyFun 2025 sont tous deux disponibles pendant une période de transition, après laquelle seule la version 2025 sera acceptée. Le CCB indique qu’une mise en œuvre validée de CyFun donne aux entités NIS2 une présomption de conformité. L’arrêté royal accepte aussi la norme ISO/IEC 27001, avec un champ d’application couvrant l’ensemble des réseaux et systèmes d’information de l’entité.

Les entités essentielles doivent se soumettre à une évaluation régulière de la conformité. Les entités importantes font en principe l’objet d’une supervision a posteriori, par exemple après un incident, mais peuvent opter volontairement pour le même régime. La FAQ du CCB précise que les entités importantes doivent malgré tout mettre en œuvre toutes les mesures de sécurité.

Échéances pour les entités essentielles

Ces dates découlent de l’article 22 de l’arrêté royal du 9 juin 2024 (18 et 30 mois après l’entrée en vigueur, ou après l’identification), selon la formulation de la ligne du temps NIS2 du CCB et de la FAQ NIS2 et CyFun:

Au 18 avril 2026, les entités sur la voie CyFun devaient disposer au minimum d’une vérification CyFun Basic ou Important par un organisme d’évaluation de la conformité accrédité et agréé par le CCB. Les entités sur la voie ISO/IEC 27001 devaient transmettre au CCB le champ d’application de leur certification, leur déclaration d’applicabilité et leur dernier audit interne.
Au 18 avril 2027, les entités CyFun doivent détenir une certification CyFun Essential, sauf si une analyse des risques documentée justifie un niveau inférieur en vertu de l’article 7 de l’arrêté royal. Les entités ISO/IEC 27001 doivent détenir leur certification, avec une déclaration d’applicabilité montrant des mesures équivalentes au niveau CyFun qui leur est applicable.
Les entités qui ont choisi plutôt l’inspection par le CCB transmettent une auto-évaluation (ou les documents ISO) au plus tard le 18 avril 2026 et un rapport d’avancement au plus tard le 18 avril 2027.

Le 11 août 2026, le service d’inspection du CCB a publié une communication (réf. NCCA/JK/INS/2026-002) sur ce qui se passe si une entité essentielle ne peut pas atteindre le niveau Essential au 18 avril 2027. Elle demande à ces entités de soumettre un plan de remédiation, de préférence avec des preuves de niveau CyFun Important et une description de la manière dont le niveau Essential sera atteint au 18 avril 2028. La communication précise qu’elle ne modifie pas les obligations légales. Elle relève aussi que l’utilisation d’IA avancée soulève de nouvelles questions en matière de gouvernance, d’analyse des risques, de sécurité de la chaîne d’approvisionnement, de surveillance et de réponse aux incidents.

La place du zero trust

Ni NIS2 ni CyFun n’exigent le « zero trust » en tant que tel. Dans une approche zero trust, chaque requête est authentifiée et autorisée séparément, l’accès est accordé par application, et rien n’est considéré comme fiable du seul fait qu’il se trouve sur le réseau interne. Plusieurs de ces pratiques correspondent à des contrôles concrets. Les références ci-dessous proviennent du mapping CyFun 2025 du CCB (fichier daté du 23 septembre 2026), qui relie chaque contrôle à la directive.

Imposez la MFA sur chaque accès à distance. CyFun Basic PR.AA-03.2 exige la MFA pour l’accès réseau à distance, et le mapping le relie à l’article 21, paragraphe 2, point j). Une passerelle zero trust peut placer la MFA devant chaque application, y compris les anciennes qui ne la gèrent pas elles-mêmes.
Accordez l’accès par application, selon le moindre privilège. PR.AA-05.3 limite l’accès aux systèmes et aux informations nécessaires à la tâche, et PR.AA-05.4 interdit les privilèges d’administrateur pour le travail courant. Des politiques par application sont plus faciles à revoir que de larges groupes VPN.
Segmentez le réseau. PR.IR-01.2 demande une segmentation alignée sur les frontières de confiance et la criticité des actifs. Un VPN qui place un ordinateur portable sur tout le réseau du bureau complique les choses. Un accès accordé par application maintient chaque connexion à l’intérieur d’une seule frontière.
Gardez les interfaces de gestion hors d’internet. Les consoles du pare-feu, de l’hyperviseur et des sauvegardes doivent se trouver derrière un accès authentifié. Cela soutient PR.IR-01 et, au niveau Essential, PR.PS-01.3, qui demande de désactiver les ports et services inutiles.
Tenez un inventaire des actifs. ID.AM-01.1 et ID.AM-02.1 exigent des inventaires de l’infrastructure et des logiciels. Vous ne pouvez pas écrire de politiques d’accès pour des systèmes que vous n’avez pas répertoriés.
Journalisez les accès en pensant au délai de 24 heures. PR.PS-04.1 et DE.AE-03.1 exigent que les journaux soient conservés et examinés. Un journal d’accès central qui enregistre qui a atteint quel système, et quand, vous aide à décider en quelques heures si un incident est significatif.
Contrôlez l’accès des fournisseurs. Au niveau Important, ID.AM-08.11 exige que la maintenance à distance soit approuvée au préalable et journalisée, et GV.SC-07.1 couvre le risque fournisseur. Des sessions limitées dans le temps vers un seul hôte remplacent un port RDP ouvert en permanence ou un compte VPN partagé.
Traitez les comptes de service et les agents IA comme des identités. PR.AA-01.1 exige que les identités et les identifiants soient gérés pour les utilisateurs, les services et le matériel. Un agent IA qui appelle des systèmes internes est une identité de service: il lui faut un responsable, des autorisations limitées et une piste d’audit.

Une checklist pour les PME belges

Faites le test du champ d’application du CCB et consignez le résultat, y compris la taille au niveau du groupe et chaque service que vous fournissez (loi, articles 9 et 10).
Vérifiez votre enregistrement sur Safeonweb@Work et que les coordonnées sont à jour (article 13).
Choisissez votre cadre de référence (CyFun ou ISO/IEC 27001) et, pour CyFun, un niveau cible fondé sur une analyse des risques documentée (arrêté royal, articles 5 et 7).
Soumettez les mesures de gestion des risques à l’approbation du conseil d’administration et planifiez la formation de la direction (article 31).
Établissez ou mettez à jour l’inventaire du matériel, des logiciels et du cloud (ID.AM-01.1, ID.AM-02.1).
Imposez la MFA sur tous les accès à distance, en commençant par l’e-mail, les portails d’administration et le bureau à distance (PR.AA-03.2, directive, article 21, paragraphe 2, point j)).
Retirez les droits d’administrateur permanents des comptes quotidiens et revoyez les droits d’accès selon un cycle fixe (PR.AA-05.1, PR.AA-05.4).
Remplacez l’accès VPN à tout le réseau par un accès par application lorsque c’est possible, et segmentez les systèmes critiques (PR.IR-01.2).
Vérifiez qu’aucune interface de gestion n’est joignable depuis internet, et fermez les ports dont vous n’avez pas besoin (PR.IR-01, PR.PS-01.3).
Listez chaque fournisseur ayant un accès à distance, passez-les à des sessions nominatives, limitées dans le temps et journalisées, et documentez le risque (ID.AM-08.11, GV.SC-07.1, directive, article 21, paragraphe 2, point d)).
Listez les comptes de service, les clés API et les agents IA, donnez un responsable à chacun et limitez ce que chacun peut atteindre (PR.AA-01.1, PR.AA-05.3).
Centralisez les journaux d’accès et de sécurité, fixez une durée de conservation et examinez-les (PR.PS-04.1, DE.AE-03.1).
Rédigez un plan de réponse aux incidents qui désigne qui envoie l’alerte précoce dans les 24 heures et la notification dans les 72 heures sur la plateforme du CCB (RS.MA-01.1, loi, article 35).
Testez les sauvegardes et une restauration (PR.DS-11.1, RC.RP-01.1).
Si vous êtes une entité essentielle, vérifiez votre situation par rapport à l’échéance du 18 avril 2027 et à la communication du CCB d’août 2026 avant de planifier le prochain audit.

À propos de Flowplane

Flowplane est une passerelle zero trust européenne pour les personnes et les agents IA, ouverte à tous et gratuite pour commencer. Elle n’a encore aucune certification. Elle est conçue pour couvrir l’accès par application, la MFA et la journalisation des accès décrits ci-dessus.

NIS2 et zero trust: une checklist pratique pour les PME belges