« NIS2, ça ne concerne que les grandes entreprises. » C’est une idée reçue tenace. En Belgique, la directive européenne est transposée en droit national depuis 2024 et le Centre pour la Cybersécurité Belgique (CCB) a déjà posé plusieurs jalons de mise en conformité. Pour une PME, la bonne question n’est donc plus « est-ce pour moi ? », mais « où en suis-je, et que dois-je faire en priorité ? ».
NIS2 en bref : ce qui a changé
NIS2 élargit fortement le nombre de secteurs concernés (énergie, transport, santé, infrastructures numériques, services TIC, gestion des déchets, industrie, etc.) et distingue deux catégories : les entités « essentielles » et les entités « importantes ». Les exigences portent sur la gestion des risques de cybersécurité, la notification des incidents significatifs et la responsabilité de la direction.
Ma PME est-elle concernée ?
Trois critères entrent en jeu :
- Le secteur d’activité : votre activité figure-t-elle dans les annexes de la loi ?
- La taille : en règle générale, les moyennes et grandes entreprises des secteurs listés sont visées ; certaines entités le sont quelle que soit leur taille.
- Votre rôle dans la chaîne : même si vous n’êtes pas directement visé, un client soumis à NIS2 va vous demander des garanties de sécurité en tant que fournisseur.
Le CCB met à disposition sur Safeonweb@Work un outil permettant de vérifier si vous êtes concerné. C’est le point de départ le plus fiable.
Ce que le CCB attend concrètement
- S’enregistrer sur Safeonweb@Work.
- Notifier les incidents significatifs à l’autorité, une obligation qui s’applique depuis octobre 2024.
- Démontrer des mesures de gestion des risques, via le référentiel belge CyberFundamentals (CyFun®) ou la norme ISO/IEC 27001.
Pour les entités essentielles, le CCB a fixé un jalon d’avril 2026 (démarche de vérification CyFun® engagée ou périmètre ISO 27001 déposé), avec une démonstration complète attendue à l’horizon avril 2027. Vérifiez sur le site du CCB le calendrier qui s’applique précisément à votre catégorie.
CyberFundamentals : un cadre pensé pour les PME
CyFun® propose plusieurs niveaux (Small, Basic, Important, Essential). Le niveau Small offre une première évaluation accessible aux petites structures sans expertise technique poussée ; le niveau Basic regroupe les mesures standard que toute entreprise devrait appliquer. C’est un excellent fil rouge, même si vous n’êtes pas formellement obligé.
Cinq premières étapes pragmatiques
- Vérifier votre statut et vous enregistrer si nécessaire.
- Inventorier vos actifs : postes, serveurs, services cloud, comptes à privilèges.
- Réaliser une auto-évaluation CyFun® pour repérer les écarts.
- Prioriser : authentification forte, sauvegardes testées, mises à jour, formation du personnel.
- Préparer un processus d’incident : qui décide, qui prévient, dans quels délais.
La cybersécurité, un projet à piloter
Se mettre en conformité n’est pas un chantier technique isolé : c’est un projet transverse qui demande un sponsor, un planning, des responsables et un suivi. C’est exactement là qu’une approche de gestion de projet (PMO, méthodes Agiles) fait la différence. Découvrez comment nous accompagnons les PME sur notre pôle informatique, ou contactez-nous pour cadrer votre démarche.
Cet article est fourni à titre informatif et ne constitue pas un conseil juridique ou fiscal.