La directive NIS2, transposée en Belgique par la loi du 26 avril 2024, élargit considérablement le champ des entités soumises à des obligations de cybersécurité. Beaucoup de PME sont désormais concernées sans le savoir. Trois questions pour se situer.
Question 1 : votre secteur figure-t-il dans les annexes ?
NIS2 vise deux catégories : les secteurs hautement critiques (énergie, transport, banque, santé, eau, infrastructures numériques, administration publique, aérospatial) et les secteurs critiques (services postaux, gestion des déchets, produits chimiques, alimentation, fabrication, fournisseurs numériques, recherche).
Les "fournisseurs numériques" incluent les places de marché en ligne, les moteurs de recherche, les plateformes de réseaux sociaux, les services de cloud computing, les data centers, les CDN — et surtout les fournisseurs de services managés et les fournisseurs de services de sécurité gérés. Beaucoup de PME IT tombent dans cette catégorie.
Question 2 : atteignez-vous les seuils de taille ?
Sauf exception sectorielle, seules les entités de taille moyenne (50-249 salariés et > 10 M€ de chiffre d'affaires ou > 43 M€ de bilan) et grandes sont concernées.
Mais attention : les fournisseurs de services managés et certaines infrastructures critiques (fournisseurs DNS, registres de noms de domaine) sont soumis quelle que soit leur taille. Une PME IT de 12 personnes qui offre du MSP (Managed Service Provider) est concernée.
Question 3 : êtes-vous fournisseur d'une entité concernée ?
C'est le point le plus mal compris : NIS2 impose aux entités concernées de maîtriser leur chaîne d'approvisionnement. En pratique, cela signifie qu'elles vont exiger de leurs fournisseurs de nouvelles clauses contractuelles, des certifications, parfois des audits.
Autrement dit, vous pouvez ne pas être directement soumis à NIS2 tout en étant contractuellement obligé de vous y conformer parce que votre client, lui, l'est. Nous voyons cet effet cascade se déployer depuis fin 2024, notamment dans les secteurs de l'IT, du transport et de l'énergie.
Les obligations principales
Pour les entités directement concernées :
Enregistrement auprès du CCB (Centre pour la Cybersécurité Belgique) dans les délais légaux — cette obligation est en cours de déploiement, avec des vagues d'enregistrement sectorielles.
Mesures de gestion des risques cyber : politique de sécurité, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, formation. Le référentiel s'appuie largement sur les principes de l'ISO 27001 et de l'ANSSI.
Notification des incidents significatifs au CCB dans les 24 heures pour l'alerte précoce, puis rapport complet sous 72 heures.
Responsabilité des organes de direction : les dirigeants sont personnellement responsables de la mise en œuvre des mesures. Ils doivent également suivre une formation régulière.
Les sanctions
Amendes administratives jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial (le plus élevé) pour les entités essentielles, jusqu'à 7 M€ ou 1,4 % pour les entités importantes. En cas de manquement grave et persistant, suspension possible du dirigeant de ses fonctions.
Ce qu'il faut faire, dans quel ordre
D'abord : la qualification. Êtes-vous concerné directement, indirectement, ou pas du tout ? Cette étape prend en général un entretien de 45 minutes avec analyse sectorielle. Nous la menons dans le cadre de l'audit d'entrée.
Ensuite, si concerné : un plan de mise en conformité pragmatique, priorisé sur les mesures à impact élevé et coût maîtrisé (politique de sécurité, gestion des incidents, formation dirigeants). Un plan réaliste s'étale sur 6 à 12 mois — la conformité NIS2 n'est pas un projet éclair.
Si non concerné directement mais dans la chaîne d'approvisionnement : anticiper les exigences contractuelles à venir, en amont de leur imposition. C'est un argument commercial autant qu'une contrainte.