Base de connaissances · CyFun
CyFun Basic, Important ou Essential : de quel niveau avez-vous besoin ?
Votre niveau CyFun découle de votre analyse de risques et de votre catégorie NIS2. Le CCB ne l'attribue pas. Cet article explique ce que chaque niveau implique, comment déterminer le vôtre, quand un niveau inférieur peut se justifier et pourquoi le travail réalisé à un niveau inférieur n'est pas perdu.
Les niveaux
Chaque niveau couvre un profil d'attaque différentLe niveau dépend du type d'attaquant contre lequel vous voulez vous armer
Le CCB décrit quatre niveaux. Small est le niveau de départ pour les micro-organisations disposant de connaissances techniques limitées, destiné à une première évaluation. Basic contient les mesures standard pour toutes les entreprises. Important doit réduire le risque d'attaques ciblées menées par des acteurs disposant de compétences et de moyens courants. Essential vise les attaques sophistiquées menées par des acteurs disposant de compétences et de moyens étendus. Le CCB a appliqué les niveaux a posteriori à des données d'attaques historiques : selon cet exercice, Basic couvre 82 pour cent des attaques, Important 94 pour cent et Essential 100 pour cent. Il y a moins de publications sur Small. Demandez au CCB ou à l'organisme d'évaluation comment se déroule une éventuelle évaluation externe à ce niveau.
Comparaison
Trois niveaux côte à côte, selon CyFun 2025
Les nombres proviennent des données CyFun 2025, comme indiqué sur notre page CyFun.
| Niveau | Nombre de requirements | Évaluation | Profil type |
|---|---|---|---|
| Basic | 34 | Vérification par un organisme d'évaluation de la conformité accrédité, puis demande du label | Organisations hors NIS2 qui font un premier pas, fournisseurs auxquels un client demande un niveau de base, cas plus légers et sectoriels |
| Important | 133 | Vérification par un organisme d'évaluation de la conformité accrédité, puis demande du label | Entités importantes et entités essentielles en route vers Essential |
| Essential | 218 | Certification | Entités essentielles et organisations présentant le profil de risque le plus élevé |
Déterminer le niveau
Votre niveau découle de trois sources, dans cet ordre
- 1Commencez par votre catégorie NIS2. Les entités essentielles sont censées atteindre Essential, sauf si leur analyse de risques justifie un niveau inférieur. Pour les entités importantes, Important est l'orientation habituelle. Une règle stricte de correspondance un pour un ne figure pas dans les textes du CCB que nous avons consultés. Si vous ne connaissez pas encore votre catégorie, commencez par l'article sur le périmètre.
- 2Réalisez votre propre analyse de risques. Le CCB propose pour cela le CyFun Selection Tool comme première étape de son modèle en quatre étapes : analyse de risques, auto-évaluation avec le Self-Assessment Tool, évaluation par un organisme et demande du label.
- 3Confrontez vos clients à votre analyse. Les appels d'offres et les clients soumis à NIS2 peuvent imposer un niveau par contrat. Une telle exigence peut être plus élevée que ce que votre propre analyse requiert, et dans ce cas l'exigence l'emporte.
- 4Consignez le choix par écrit, avec le raisonnement. Celui qui doit défendre plus tard un niveau différent a besoin de cette justification.
Plus bas que prévu
Uniquement avec justificationUn niveau inférieur peut se justifier si votre analyse de risques le soutient
Une entité essentielle peut choisir un niveau CyFun inférieur si cela est objectivement justifié par sa propre analyse de risques. L'approbation du CCB n'est pas nécessaire pour cela. La justification reste documentée en interne et le service d'inspection peut la contester. Selon la communication du service d'inspection du CCB, aucun plan de remédiation n'est requis pour celui qui, sur la base de l'analyse de risques, peut justifier un niveau d'assurance inférieur et démontre qu'il satisfait à ce niveau d'ici le 18 avril 2027. Un niveau inférieur est donc un choix défendable, pas un raccourci. Cela ne fonctionne que si l'analyse est correcte, résiste à une inspection et n'a pas été rédigée principalement pour éviter du travail.
Niveau charnière
ImportantImportant est désormais le niveau où convergent de nombreux dossiers
Jusqu'au 18 avril 2027, le service d'inspection donne la priorité à la vérification des mesures équivalentes à CyFun Important, et Essential doit être atteint d'ici le 18 avril 2028. Important est ainsi le niveau auquel les entités essentielles sont d'abord évaluées et l'étape intermédiaire d'un plan de remédiation. Ce que cela signifie précisément par voie et par catégorie est expliqué sur la page consacrée au calendrier. Nous ne répétons pas ce contenu ici.
Structure
Les niveaux se construisent les uns sur les autres, le travail n'est donc pas perdu
Sous-ensembles stricts
Basic est un sous-ensemble strict d'Important, et Important d'Essential. Ce que vous construisez à un niveau inférieur compte intégralement à un niveau supérieur.
ISO 27001 comme porte d'entrée
Un certificat ISO 27001 avec le bon périmètre et la bonne déclaration d'applicabilité peut être utilisé pour obtenir le label. L'organisme d'évaluation contrôle le périmètre.
Choisissez d'abord l'objectif
Un niveau intermédiaire a du sens s'il s'intègre dans votre plan final. Si vous connaissez votre niveau cible, vous pouvez ordonner les mesures de sorte que chaque étape prépare la suivante.
Éditions
CyFun 2025 remplace l'édition 2023
La nouvelle édition comporte d'autres textes de requirements et une autre numérotation.
Ce qui a changé
Selon le CCB, l'édition 2025 s'aligne sur NIST CSF 2.0, sur les règles nationales et européennes et sur NIS2. Elle accorde plus d'attention à la chaîne d'approvisionnement et à l'OT, et les contrôles sont formulés plus clairement pour faciliter l'audit. L'édition compte six fonctions : GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND et RECOVER. GOVERN est nouvelle, avec des mesures de gouvernance à partir d'Important.
Période transitoire
Le CCB indique que les deux éditions restent encore disponibles pendant une période, après quoi seule la nouvelle sera acceptée. Nous n'avons pas trouvé de date de fin sur une page du CCB. Vérifiez-la auprès de votre organisme d'évaluation et démarrez tout nouveau parcours sur 2025.
Notation et mesures clés
Chaque niveau comporte des mesures clés qui pèsent plus lourd, et des seuils de conformité qui tiennent compte de la maturité. Les scores et nombres exacts figurent dans le Self-Assessment Tool du CCB, et c'est votre source de référence.
Évaluation
Un organisme reconnu évalue, nous pilotons le parcours
Pour une évaluation CyFun, vous travaillez avec un organisme d'évaluation de la conformité accrédité par BELAC et reconnu par le CCB. La liste figure sur Safeonweb@Work. L'auto-évaluation se fait dans un outil Excel avec diagrammes en toile d'araignée, ainsi que des mappings et des modèles de politiques issus de la toolbox CyFun. RGI accompagne en tant que chef de projet : définition du périmètre, analyse des écarts, planification et préparation de l'évaluation, avec votre partenaire informatique ou des spécialistes de notre réseau. RGI ne vérifie ni ne certifie elle-même.
Questions fréquentes
Réponses brèves
Quel niveau CyFun vous convient ?
Lors d'un premier entretien de 30 minutes, nous déterminons ensemble votre catégorie, votre niveau cible et l'ordre de vos étapes. L'entretien est gratuit.