NIS2 en Belgique : les échéances 2026-2027 pour votre entreprise

La directive NIS2 a été transposée en Belgique par la loi du 26 avril 2024, entrée en vigueur le 18 octobre 2024. Le Centre pour la Cybersécurité Belgique (CCB) en est l'autorité de contrôle. Les entités concernées devaient s'enregistrer sur Safeonweb@work au plus tard le 18 décembre 2024 (secteur numérique) ou le 18 mars 2025 (autres secteurs).

La prochaine étape est fixée au 18 avril 2027 pour les entités essentielles. Ce n'est plus un projet « pour plus tard ».

Qui est concerné ?

En règle générale, les moyennes et grandes entreprises actives dans un secteur listé par la loi : au moins 50 travailleurs, ou un chiffre d'affaires annuel et un total de bilan dépassant tous deux 10 millions d'euros. Les secteurs couvrent notamment l'énergie, les transports, la santé, l'eau, les infrastructures numériques, les services TIC gérés, la poste, la gestion des déchets, la chimie, l'alimentation, la recherche et certaines industries manufacturières (dispositifs médicaux, électronique, machines, véhicules…). Certaines entités sont visées quelle que soit leur taille, par exemple des fournisseurs de services DNS ou de services de confiance.

Mi-mars 2025, plus de 2 400 organisations des secteurs critiques s'étaient enregistrées auprès du CCB.

Une petite entreprise hors de ce périmètre n'est pas directement soumise à NIS2. Mais si vous êtes fournisseur d'une entité NIS2, par exemple un sous-traitant IT de 30 personnes qui travaille pour un acteur de l'énergie, attendez-vous à des clauses de cybersécurité dans vos contrats : la sécurité de la chaîne d'approvisionnement fait partie des obligations de vos clients.

Si vous n'êtes pas sûr, notre mini-audit gratuit vous aide à y voir clair en quelques minutes. Le CCB propose aussi un outil de vérification du périmètre sur Safeonweb@work.

Les 5 obligations clés

1. Gestion des risques et évaluation de conformité. Analyse de risques et mesures proportionnées : continuité d'activité, chiffrement, contrôle d'accès, gestion des vulnérabilités, MFA. Pour les entités essentielles, le CCB demandait au 18 avril 2026 une démarche engagée (vérification CyberFundamentals Basic ou Important, ou contrat avec un organisme d'évaluation). Au 18 avril 2027, elles doivent disposer d'une certification CyberFundamentals niveau Essential ou d'une certification ISO/IEC 27001, faute de quoi un plan de remédiation sera exigé, avec un niveau Essential atteint au plus tard le 18 avril 2028. Les entités importantes sont contrôlées a posteriori et peuvent opter volontairement pour ce régime.

2. Notification des incidents significatifs. Alerte précoce au CCB dans les 24 heures, notification dans les 72 heures, rapport final dans le mois. Préparez un plan de réponse maintenant, pas pendant la crise.

3. Gouvernance et formation de la direction. Les organes de direction approuvent les mesures de gestion des risques et en supervisent la mise en œuvre. La loi belge (article 31) impose aussi à leurs membres de suivre une formation en cybersécurité. Ce n'est plus « un truc pour l'IT ».

4. Hygiène de base et formation du personnel. Les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité figurent parmi les mesures minimales prévues par la directive. La direction doit veiller à ce qu'une formation similaire soit régulièrement proposée au personnel. Profils prioritaires : direction, finance, IT, RH.

5. Sécurité de la chaîne d'approvisionnement. Évaluez les pratiques de sécurité de vos fournisseurs et intégrez des clauses cyber dans vos contrats. Votre sécurité dépend aussi du maillon le plus faible de votre chaîne.

Pour aller plus loin, notre formation RGPD & NIS2 couvre ces obligations en détail, y compris la formation des dirigeants. Format lunch & learn, demi-journée ou conférence.

Passez à l'action

Pour une entité essentielle, avril 2027 approche vite : une certification se prépare sur plusieurs mois.

• Vérifiez votre situation avec notre mini-audit gratuit
• Formez votre direction et vos équipes avec notre formation RGPD & NIS2
• Besoin d'un accompagnement ? Contactez-nous pour un plan de mise en conformité