Par où commencer quand on veut améliorer la cybersécurité d'une PME ? Les conseils abondent, les produits aussi, et il est facile de se disperser. Les référentiels de sécurité existent précisément pour structurer cette démarche. En Belgique, le Centre for Cybersecurity Belgium (CCB) a développé les CyberFundamentals, un cadre pensé pour être accessible à des organisations de tailles et de maturités très différentes. Même si vous n'avez aucune obligation légale de l'appliquer, il constitue une excellente feuille de route.
Qu'est-ce que les CyberFundamentals ?
Les CyberFundamentals, souvent abrégés CyFun, sont un ensemble de mesures de cybersécurité organisées de manière progressive. Le cadre s'inspire de référentiels internationaux reconnus, notamment le NIST Cybersecurity Framework, et s'articule autour de grandes fonctions : identifier, protéger, détecter, réagir et rétablir. Il est publié gratuitement par le CCB, avec des documents explicatifs et des outils d'auto-évaluation.
Son intérêt principal est de proposer une approche par niveaux, plutôt qu'une liste unique et intimidante d'exigences.
Des niveaux adaptés au risque
Le cadre propose plusieurs niveaux d'assurance. Les intitulés et le détail peuvent évoluer avec les versions publiées par le CCB, mais la logique est la suivante :
- Small : un point de départ pour les très petites structures, avec des mesures de base essentielles ;
- Basic : un socle de mesures destiné à protéger contre les attaques courantes ;
- Important : un niveau plus complet pour les organisations davantage exposées ;
- Essential : le niveau le plus exigeant, pour les organisations confrontées à des menaces plus avancées.
Le CCB fournit un outil permettant d'évaluer le niveau adapté en fonction de votre profil de risque. Dans le cadre de NIS2, les CyberFundamentals sont l'un des référentiels utilisés en Belgique pour démontrer la conformité, aux côtés de la norme ISO/IEC 27001. Consultez le site du CCB pour connaître les modalités actuelles.
Les thèmes couverts
Sans entrer dans le détail de chaque exigence, les CyberFundamentals abordent des sujets que toute PME devrait maîtriser :
- l'inventaire du matériel, des logiciels et des données, car on ne protège bien que ce que l'on connaît ;
- la gestion des accès : comptes individuels, droits limités, authentification multifacteur ;
- la protection du réseau : pare-feu, segmentation, sécurisation du Wi-Fi ;
- les mises à jour et la gestion des vulnérabilités ;
- la protection contre les logiciels malveillants ;
- les sauvegardes et leur test ;
- la sensibilisation du personnel ;
- la détection et la gestion des incidents, avec une procédure de réaction.
Comment l'utiliser concrètement
Pour une PME, la démarche peut rester simple et progressive :
- téléchargez la documentation et l'outil d'auto-évaluation depuis le site du CCB ;
- déterminez le niveau qui correspond à votre profil, en commençant éventuellement par le plus accessible ;
- évaluez honnêtement votre situation pour chaque mesure : en place, partiellement, absente ;
- priorisez les écarts selon leur impact sur le risque et l'effort nécessaire ;
- établissez un plan d'action sur plusieurs mois, avec des responsables et des échéances ;
- réévaluez régulièrement, par exemple une fois par an.
L'auto-évaluation a aussi une vertu pédagogique : elle oblige à se poser des questions que l'on évite souvent. Qui a les droits administrateur ? Quand la dernière restauration a-t-elle été testée ? Que ferait-on si la messagerie était compromise ?
Un atout face aux clients et partenaires
De plus en plus d'entreprises interrogent leurs fournisseurs sur leur niveau de sécurité, en particulier lorsqu'elles sont elles-mêmes soumises à NIS2. Pouvoir indiquer que votre démarche s'appuie sur un référentiel reconnu en Belgique facilite les échanges et donne de la crédibilité à vos réponses. Une certification ou une vérification formelle peut être envisagée selon les besoins, mais même sans elle, le cadre structure votre travail.
Si vous souhaitez être accompagné, un audit digital peut s'appuyer sur ce type de référentiel pour dresser un état des lieux et proposer un plan d'action. La mise en œuvre de mesures comme la sensibilisation du personnel ou la sécurisation du réseau suit ensuite naturellement.
Les CyberFundamentals ont un grand mérite : ils transforment la cybersécurité en une suite d'étapes concrètes et mesurables. Pour une PME belge, c'est un point de départ sérieux, gratuit et adapté au contexte national.
