Mise en conformité NIS2 pour PME

Deux critères cumulatifs. Le secteur : 18 secteurs concernés (énergie, transport, banque, santé, eau, espace, alimentation, logistique, industrie manufacturière, prestataires numériques, gestion des déchets, poste, recherche, administration publique, etc.). La taille : plus de 50 employés ou 10 M€ de CA. Si les deux sont remplis, vous êtes concerné et l'enregistrement via Safeonweb@Work est obligatoire. Le CCB publie un test d'auto-évaluation en ligne.

Entité essentielle : organisation de grande taille (>250 employés ou CA >50 M€) dans un secteur très critique (énergie, banque, santé, transport, eau, prestataires TIC). Obligations renforcées, sanctions jusqu'à 10 M€. Entité importante : organisation de taille moyenne (50-250 employés ou CA 10-50 M€) dans un secteur listé. Obligations proportionnées, sanctions jusqu'à 7 M€. La plupart des PME sont "importantes".

Ordre de grandeur pour une PME de 80-150 personnes : 25 000 € à 80 000 € sur 6-12 mois, selon la maturité de départ. Ce budget couvre l'audit, la rédaction des politiques, la formation COMEX, l'accompagnement opérationnel, et les premiers tests. Les investissements techniques (MFA, sauvegardes, EDR) viennent en complément et dépendent de l'existant.

Le CCB contrôle à distance (questionnaire + documents) ou sur site. Depuis 2026, il est en phase de contrôle actif : l'échéance de conformité du 18 avril 2026 est passée pour les entités essentielles. L'approche reste proportionnée : si un écart est constaté, une mise en demeure avec délai de remédiation est généralement prononcée (typiquement 3 à 6 mois) avant sanction. Les amendes sont réservées aux manquements graves ou répétés, et aux défauts de notification d'incident.

Non, mais les deux se complètent. RGPD protège les données personnelles (notification à l'APD sous 72h). NIS2 protège la continuité des services numériques (notification au CCB sous 24h). Un même incident peut déclencher les deux. Une PME mature unifie sa gouvernance : DPO et RSSI travaillent ensemble, les procédures sont communes, les tableaux de bord sont croisés.

Oui. En Belgique, ISO/IEC 27001 est même l'une des trois voies officielles de démonstration de conformité, avec la certification CyFun et l'inspection directe du CCB. Si vous êtes déjà certifié ISO 27001, vous avez l'essentiel. Il reste quelques briques spécifiques (notification 24h, formation des dirigeants, enregistrement Safeonweb@Work) pour boucler le dossier. Inversement, NIS2 est une bonne porte d'entrée pour viser ISO 27001 ensuite.

CyberFundamentals (CyFun) est le référentiel du CCB, décliné en trois niveaux : Basic, Important et Essential. Le niveau attendu dépend de votre classification : une entité importante vise généralement le niveau Important, une entité essentielle le niveau Essential. La certification CyFun est l'une des trois voies officielles de conformité NIS2 en Belgique, pensée pour être plus accessible qu'ISO 27001 pour une PME. L'échéance de certification des entités essentielles était fixée au 18 avril 2026.

Oui. NIS2 art. 20 est explicite : les organes de direction sont personnellement redevables des mesures de gestion des risques. En cas de manquement grave, les sanctions peuvent inclure des amendes personnelles ET des interdictions temporaires d'exercer des fonctions dirigeantes. C'est l'un des changements majeurs par rapport à NIS1. La formation est obligatoire ET protectrice.

Pour une PME partant de zéro (pas de politique, pas de procédures) : 9 à 12 mois avec un accompagnement structuré. Pour une PME déjà mature (MFA, sauvegardes, politiques de base) : 4 à 6 mois. L'essentiel n'est pas la vitesse mais la solidité. Cela dit, l'échéance d'avril 2026 étant passée pour les entités essentielles, chaque mois d'attente augmente l'exposition en cas de contrôle.