Mise en conformité NIS2 pour PME

Deux critères cumulatifs. Le secteur : 18 secteurs concernés (énergie, transport, banque, santé, eau, espace, alimentation, logistique, industrie manufacturière, prestataires numériques, gestion des déchets, poste, recherche, administration publique, etc.). La taille : au moins 50 employés ou 10 millions d’euros de CA. Si les deux sont remplis, vous êtes concerné et l’enregistrement via Safeonweb@Work est obligatoire. Le CCB publie un test d’auto-évaluation en ligne.

Entité essentielle : organisation de grande taille (250 employés ou plus, ou plus de 50 millions d’euros de CA) dans un secteur très critique (énergie, banque, santé, transport, eau, prestataires TIC). Obligations renforcées, sanctions jusqu’à 10 millions d’euros. Entité importante : organisation de taille moyenne (50 à 250 employés ou CA de 10 à 50 millions d’euros) dans un secteur listé. Obligations proportionnées, sanctions jusqu’à 7 millions d’euros. La plupart des PME concernées sont des entités importantes.

Le coût dépend de la maturité de départ, du nombre de sites et de systèmes, du référentiel retenu (CyFun ou ISO 27001) et de la part du travail que votre équipe prend en charge. Pour une PME de 80 à 150 personnes, le projet s’étale sur 6 à 12 mois et couvre l’audit, la rédaction des politiques, la formation COMEX, l’accompagnement opérationnel et les premiers tests. Les investissements techniques (MFA, sauvegardes, EDR) viennent en complément et dépendent de l’existant. Nous établissons un devis écrit sous 48 h après un premier échange.

Le CCB contrôle à distance (questionnaire et documents) ou sur site. Depuis 2026, il est en phase de contrôle actif : l’échéance de conformité du 18 avril 2026 est passée pour les entités essentielles. L’approche reste proportionnée : si un écart est constaté, une mise en demeure assortie d’un délai de remédiation précède généralement toute sanction. Les amendes sont réservées aux manquements graves ou répétés, et aux défauts de notification d’incident.

Non, mais les deux se complètent. Le RGPD protège les données personnelles (notification à l’APD sous 72 h). NIS2 protège la continuité des services numériques (notification au CCB sous 24 h). Un même incident peut déclencher les deux. Une PME bien organisée les traite ensemble : DPO et RSSI travaillent avec des procédures et des tableaux de bord communs.

Oui. En Belgique, ISO/IEC 27001 est même l’une des trois voies officielles de démonstration de conformité, avec la certification CyFun et l’inspection directe du CCB. Si vous êtes déjà certifié ISO 27001, vous avez l’essentiel. Il reste quelques briques spécifiques (notification sous 24 h, formation des dirigeants, enregistrement Safeonweb@Work) pour boucler le dossier. Inversement, NIS2 est une bonne porte d’entrée pour viser ISO 27001 ensuite.

CyberFundamentals (CyFun) est le référentiel du CCB, décliné en trois niveaux : Basic, Important et Essential. Le niveau attendu dépend de votre classification : une entité importante vise généralement le niveau Important, une entité essentielle le niveau Essential. La certification CyFun est l’une des trois voies officielles de conformité NIS2 en Belgique, pensée pour être plus accessible qu’ISO 27001 pour une PME. L’échéance de certification des entités essentielles était fixée au 18 avril 2026.

Oui. L’art. 20 de NIS2 est explicite : les organes de direction sont personnellement responsables des mesures de gestion des risques. En cas de manquement grave, les sanctions peuvent inclure des amendes personnelles et des interdictions temporaires d’exercer des fonctions dirigeantes. C’est l’un des changements majeurs par rapport à NIS1. La formation, obligatoire, permet aussi au dirigeant de montrer qu’il a pris le sujet en main.

Pour une PME qui part de zéro (sans politique ni procédures) : 9 à 12 mois avec un accompagnement structuré. Pour une PME déjà mature (MFA, sauvegardes, politiques de base) : 4 à 6 mois. La solidité du dispositif compte plus que la vitesse. Cela dit, l’échéance d’avril 2026 étant passée pour les entités essentielles, chaque mois d’attente augmente l’exposition en cas de contrôle.