La directive européenne NIS2 a profondément élargi les obligations de cybersécurité des organisations en Europe. En Belgique, elle a été transposée par une loi adoptée en 2024, entrée en vigueur en octobre de la même année. Beaucoup de dirigeants de PME se demandent si elle les concerne. La réponse n'est pas toujours évidente : certaines PME sont directement visées, d'autres ne le sont pas mais en ressentent les effets à travers leurs clients. Cet article présente les grandes lignes de manière générale ; pour votre situation précise, référez-vous aux informations officielles du Centre for Cybersecurity Belgium (CCB) et, si nécessaire, à un conseil juridique.
NIS2 en quelques mots
NIS2 vise à renforcer le niveau de cybersécurité des organisations qui jouent un rôle important pour la société et l'économie. Elle succède à une première directive, plus limitée, et étend fortement le nombre de secteurs concernés. En Belgique, le CCB est l'autorité nationale de cybersécurité chargée de la mise en œuvre : il coordonne la supervision, reçoit les notifications d'incidents et publie des guides pratiques. Certaines autorités sectorielles interviennent également selon les domaines.
Votre organisation est-elle concernée ?
L'application de NIS2 dépend principalement de deux critères : le secteur d'activité et la taille. Les secteurs sont listés dans les annexes de la loi et incluent notamment l'énergie, les transports, la santé, l'eau, les infrastructures numériques, certains services TIC gérés, l'administration publique, mais aussi des secteurs comme les services postaux, la gestion des déchets, la fabrication de certains produits, l'industrie alimentaire ou la chimie.
En règle générale, les entreprises de taille moyenne et les grandes entreprises de ces secteurs sont concernées, selon les seuils européens relatifs au nombre de travailleurs, au chiffre d'affaires et au total du bilan. Il existe toutefois des exceptions où la taille ne joue pas, par exemple pour certains fournisseurs de services numériques ou lorsqu'une entité est le seul fournisseur d'un service essentiel. Les organisations visées sont classées en entités essentielles ou entités importantes, avec un niveau de supervision différent.
Le CCB met à disposition un outil et des informations pour aider les organisations à déterminer si elles entrent dans le champ d'application. Les entités concernées doivent s'enregistrer selon les modalités et délais fixés par les autorités.
Les principales obligations
Pour les organisations concernées, NIS2 impose notamment :
- des mesures de gestion des risques : politiques de sécurité, gestion des incidents, continuité des activités et sauvegardes, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités, contrôle des accès, authentification multifacteur, chiffrement, formation ;
- la notification des incidents significatifs selon un calendrier en plusieurs étapes : une alerte précoce dans les 24 heures, une notification plus complète dans les 72 heures, puis un rapport final dans un délai d'un mois ;
- la responsabilité de la direction : les organes de direction doivent approuver les mesures de cybersécurité, en superviser la mise en œuvre et suivre une formation ;
- la supervision par les autorités, plus ou moins poussée selon la catégorie de l'entité, avec des sanctions possibles en cas de manquement.
En Belgique, le cadre CyberFundamentals du CCB et la norme ISO/IEC 27001 jouent un rôle important pour démontrer la conformité. Vérifiez les modalités exactes sur le site du CCB.
Et si votre PME n'est pas directement visée ?
Même hors du champ d'application, NIS2 peut vous concerner indirectement. Les entités soumises doivent gérer les risques liés à leurs fournisseurs et prestataires. Concrètement, une PME qui travaille pour un hôpital, un fournisseur d'énergie ou une entreprise de transport peut recevoir des questionnaires de sécurité, des clauses contractuelles nouvelles ou des demandes de preuves : MFA activée, sauvegardes testées, procédure de gestion des incidents, sensibilisation du personnel.
Anticiper ces demandes est un véritable atout commercial. Une PME capable de répondre clairement à ces questions rassure ses clients et se distingue de ses concurrents.
Par où commencer ?
Quelle que soit votre situation, quelques étapes sont utiles :
- vérifier, à l'aide des ressources du CCB, si votre organisation entre dans le champ d'application ;
- identifier vos clients susceptibles d'être soumis à NIS2 et anticiper leurs attentes ;
- réaliser un état des lieux de votre sécurité, par exemple à l'aide des CyberFundamentals ;
- prioriser les mesures de base : MFA, sauvegardes, mises à jour, gestion des accès, sensibilisation ;
- préparer une procédure de gestion et de notification des incidents.
Un audit digital permet de dresser cet état des lieux et de définir un plan d'action réaliste. Les volets techniques, comme la sécurisation du réseau, s'intègrent ensuite progressivement.
NIS2 peut sembler intimidante, mais ses exigences reprennent en grande partie des bonnes pratiques de sécurité reconnues. Que vous soyez directement concerné ou non, s'en inspirer est une manière structurée de renforcer la résilience de votre entreprise.
