NIS2 a 2 ans en Belgique : où en êtes-vous ?

Le 18 octobre 2024, la loi NIS2 entrait en vigueur en Belgique. Deux ans plus tard, certaines organisations ont bien avancé, d’autres n’ont pas encore vraiment démarré. Et pour les entités essentielles, une étape décisive approche : le 18 avril 2027. Alors, où en êtes-vous ?

Le calendrier des entités essentielles

Les entités essentielles doivent faire évaluer périodiquement leur conformité. Dans un courrier du 11 août 2026 (réf. NCCA/JK/INS/2026-002), le service d’inspection du CCB a précisé la marche à suivre :

• 18 avril 2026 : un parcours de conformité doit être engagé (CyFun®, certification ISO 27001 ou inspection par le CCB) ;
• 18 avril 2027 : l’entité démontre le niveau CyFun® « Essential », ou un niveau inférieur si son analyse de risques le justifie (article 7 de l’arrêté royal NIS2). À défaut, elle remet au service d’inspection un plan de remédiation, au plus tard à cette même date ;
• 18 avril 2028 : les entités sous plan de remédiation doivent avoir atteint le niveau « Essential ».

Attention : ce délai jusqu’en 2028 n’est pas un report automatique. Le plan de remédiation comprend de préférence une attestation CyFun® ou une certification ISO 27001 couvrant le niveau « Important » (ou, en cas d’inspection, les preuves de mise en œuvre de ces mesures), ainsi qu’une description complète des mesures prévues pour atteindre « Essential ». Le CCB rappelle que cette approche ne modifie en rien les obligations légales.

Pourquoi cette approche ? Le CCB l’explique notamment par les nouvelles menaces liées à l’intelligence artificielle de pointe : elles rendent d’autant plus importante la mise en œuvre aboutie des mesures fondamentales. Pour avril 2027, le service d’inspection concentrera donc ses contrôles en priorité sur les mesures du niveau « Important ».

Faites le point en 7 questions

Ces questions valent pour toutes les organisations concernées, essentielles comme importantes. Si vous répondez « pas encore » à l’une d’elles, c’est votre prochaine priorité.

1. Êtes-vous enregistré auprès du CCB ? Si ce n’est pas le cas, c’est la priorité absolue : vérifiez votre statut, essentiel ou important, et enregistrez-vous.
2. Votre direction est-elle impliquée et formée ? Elle doit approuver les mesures de gestion des risques, en superviser la mise en œuvre, et ses membres doivent suivre une formation.
3. Un pilote est-il désigné ? Un responsable identifié, qui rend compte à la direction : RSSI interne, ou RSSI as a Service quelques jours par mois.
4. Connaissez-vous vos actifs critiques et vos fournisseurs ? Services essentiels, systèmes et données qui les portent, prestataires dont vous dépendez.
5. Votre analyse de risques est-elle à jour ? Menée avec ISO/IEC 27005 ou EBIOS Risk Manager, elle doit être revue au moins une fois par an et à chaque changement important.
6. Pourriez-vous notifier un incident en 24 heures ? Alerte précoce sous 24 heures, notification sous 72 heures, rapport final dans le mois : une procédure écrite et un exercice font toute la différence.
7. Votre feuille de route est-elle engagée ? Un référentiel (CyFun® ou ISO 27001), des actions priorisées et un suivi régulier par la direction.

Pas prêt pour avril 2027 ? Préparez votre plan de remédiation

Si votre organisation est une entité essentielle et n’atteindra pas en avril 2027 le niveau « Essential », ni un niveau inférieur justifié par son analyse de risques, l’enjeu des prochains mois est double :

• Démontrer le niveau « Important » : mesurez vos écarts par rapport à ce niveau et comblez-les en priorité, idéalement jusqu’à l’attestation CyFun® ou la certification ISO 27001.
• Construire un plan d’actions complet jusqu’en avril 2028 : des mesures concrètes, chiffrées, planifiées et validées par la direction, plutôt qu’une liste d’intentions.

Votre analyse de risques justifie un niveau inférieur à « Essential » ? Documentez-la soigneusement : c’est elle qui vous dispensera du plan de remédiation, à condition de démontrer en avril 2027 votre conformité au niveau choisi.

Six mois, c’est court. Une analyse d’écarts réalisée maintenant vous donne une base factuelle pour décider et prioriser.

Et les entités importantes ?

Elles ne sont pas soumises à cette évaluation obligatoire de la conformité, mais restent tenues de mettre en œuvre les mesures de gestion des risques et de notifier leurs incidents. Le CCB peut les contrôler a posteriori, par exemple après un incident. Faire le point sur les 7 questions ci-dessus reste donc tout aussi utile.

En résumé

Deux ans après l’entrée en vigueur de la loi, NIS2 n’est plus un sujet d’anticipation en Belgique : c’est un sujet d’exécution. Pour les entités essentielles, avril 2027 se prépare maintenant. Si vous avez répondu « pas encore » à plusieurs questions, je vous propose un premier échange de 30 minutes pour faire le point, sans engagement.

Vous êtes une organisation française ? Lisez plutôt NIS2 en France : 7 actions pour anticiper la loi.