Base de connaissances · NIS2
Votre entreprise relève-t-elle de NIS2 ? Aide à la décision pour les PME belges
L'applicabilité de la loi belge NIS2 dépend de quatre éléments : le lieu de votre établissement, votre activité, votre taille et l'existence éventuelle d'une exception. Cette page les passe en revue dans l'ordre, avec les cas limites où les PME se trompent le plus souvent.
Le cadre
Loi du 26 avril 2024, supervision par le CCBCe n'est pas le secteur seul qui décide, mais la combinaison de quatre facteurs
La loi du 26 avril 2024 transpose la directive européenne NIS2 en droit belge et son application est contrôlée par le Centre pour la Cybersécurité Belgique (CCB). Les listes de secteurs reprennent celles de la directive : l'annexe I pour les secteurs hautement critiques et l'annexe II pour les autres secteurs critiques. Le contenu des obligations et le déroulement du contrôle sont expliqués sur la page NIS2 et sur la page consacrée au calendrier. Ici, il n'y a qu'une seule question : êtes-vous concerné et, si oui, en tant qu'entité essentielle ou importante ?
Aide à la décision
Cinq étapes pour établir votre situation
- 1Vérifiez votre établissement : la loi s'applique aux entités établies en Belgique qui fournissent dans l'UE un service figurant dans les annexes. Pour les fournisseurs de communications électroniques publiques, ce qui compte est qu'ils fournissent des services en Belgique. Pour le cloud, les centres de données, le DNS, les services gérés et les plateformes en ligne, ce qui compte est le lieu de l'établissement principal, c'est-à-dire l'endroit où se prennent en grande partie les décisions relatives aux cyberrisques.
- 2Recherchez votre activité à l'annexe I ou II. Regardez ce que vous proposez réellement. Selon le CCB, un code NACE seul n'est pas une base valable. Si votre entreprise est active dans plusieurs secteurs, les obligations les plus strictes s'appliquent à l'ensemble de l'entité, et pas seulement à cette activité.
- 3Déterminez votre taille selon les règles du bloc suivant, en tenant compte de votre groupe.
- 4Vérifiez les exceptions qui s'appliquent quelle que soit la taille : voir le tableau. Le CCB peut aussi désigner lui-même une entité, par exemple si vous êtes le seul fournisseur d'un service essentiel.
- 5Notez votre résultat et confirmez-le avec le test de périmètre officiel du CCB. Une note documentée de ce test est utile si quelqu'un demande plus tard pourquoi vous vous êtes enregistré ou non.
Les secteurs
Votre activité figure-t-elle à l'annexe I ou à l'annexe II ?
La loi belge reprend les secteurs de la directive européenne. Lisez la description, pas seulement le nom du secteur : dans chaque secteur, seuls les types d'entités énumérés sont concernés.
| Annexe | Secteur | Qui est concerné |
|---|---|---|
| I | Énergie | Électricité (notamment fournisseurs, gestionnaires de réseau, producteurs et exploitants de points de recharge), chauffage et refroidissement urbains, pétrole, gaz naturel, hydrogène |
| I | Transports | Air, rail, eau et route : notamment compagnies aériennes, aéroports, entreprises ferroviaires, compagnies de navigation, gestionnaires de ports et exploitants de systèmes de transport intelligents |
| I | Secteur bancaire et infrastructures des marchés financiers | Établissements de crédit, exploitants de plates-formes de négociation, contreparties centrales |
| I | Santé | Prestataires de soins de santé, laboratoires de référence de l'UE, recherche et développement de médicaments, fabrication de produits pharmaceutiques de base et de dispositifs médicaux critiques |
| I | Eau potable et eaux usées | Fournisseurs et distributeurs d'eau potable (à l'exception des distributeurs pour lesquels l'eau potable est une partie non essentielle de la distribution d'autres produits) et entreprises qui collectent, évacuent ou traitent les eaux usées, sauf si cette activité n'est pas essentielle pour elles |
| I | Infrastructures numériques | Points d'échange internet, fournisseurs de services DNS, registres de noms de domaine de premier niveau, cloud, centres de données, réseaux de diffusion de contenu, services de confiance, communications électroniques publiques |
| I | Gestion des services TIC (interentreprises) | Fournisseurs de services gérés et de services de sécurité gérés. Les petits partenaires informatiques restent en général eux-mêmes en dehors de la loi, tandis que les prestataires de taille moyenne et grande y sont soumis. Les clients imposent toutefois souvent les mêmes mesures à leur partenaire informatique par contrat. |
| I | Administration publique | Entités de l'administration publique telles que la loi les délimite |
| I | Espace | Exploitants d'infrastructures terrestres soutenant la fourniture de services spatiaux |
| II | Services postaux et d'expédition | Fournisseurs de services postaux, y compris les services de courrier express |
| II | Gestion des déchets | Entreprises pour lesquelles la gestion des déchets est l'activité économique principale |
| II | Fabrication, production et distribution de produits chimiques | Fabrication, production et distribution de substances et de mélanges |
| II | Production, transformation et distribution des denrées alimentaires | Entreprises du secteur alimentaire actives dans la distribution en gros et dans la production et la transformation industrielles |
| II | Fabrication | Dispositifs médicaux, produits informatiques, électroniques et optiques, équipements électriques, machines, véhicules automobiles et remorques, autres matériels de transport |
| II | Fournisseurs numériques | Places de marché en ligne, moteurs de recherche en ligne, plateformes de réseaux sociaux |
| II | Recherche | Organismes de recherche |
Secteur et taille
Comment la combinaison détermine votre catégorie
Les entités essentielles et importantes se distinguent surtout par le contrôle et la charge de la preuve. Les obligations de fond en matière de gestion des risques et de notification des incidents sont les mêmes.
| Secteur | Grande | Moyenne | Petite ou micro |
|---|---|---|---|
| Activité de l'annexe I | Essentielle | Importante | Hors périmètre, sauf exception |
| Activité de l'annexe II | Importante | Importante | Hors périmètre, sauf exception |
| Prestataires de services de confiance qualifiés, fournisseurs de services DNS, registres de noms de domaine de premier niveau, fournisseurs de communications électroniques publiques | Essentielle | Essentielle | Essentielle |
| Prestataires de services de confiance non qualifiés | Essentielle | Importante | Importante |
| Opérateurs d'infrastructures critiques (loi du 1er juillet 2011) et services publics fédéraux | Essentielle | Essentielle | Essentielle |
Calculer la taille
Où les PME se trompent sur leur taille
Le CCB applique la définition européenne de la PME. Vous êtes une entreprise moyenne dès que vous comptez de 50 à 249 unités de travail par an (UTA), ou dès que votre chiffre d'affaires annuel et votre total du bilan dépassent tous deux 10 millions d'euros. Vous êtes une grande entreprise à partir de 250 unités de travail par an, ou lorsque votre chiffre d'affaires annuel dépasse 50 millions d'euros et que votre total du bilan dépasse 43 millions d'euros. Les chiffres du personnel et les chiffres financiers sont donc des critères alternatifs : un seul suffit pour vous placer dans une classe supérieure. Cela comporte cinq pièges.
Équivalents temps plein, pas le nombre de personnes
Le CCB compte en unités de travail par an (UTA) : une personne qui a travaillé à temps plein compte pour un. Le travail à temps partiel et saisonnier compte pour des fractions. Le nombre de noms sur votre liste du personnel et le nombre d'unités de travail par an peuvent donc différer fortement.
Chiffre d'affaires et total du bilan
Pour le critère financier, les deux chiffres doivent dépasser le seuil. Si seul votre chiffre d'affaires ou seul votre total du bilan le dépasse, votre classe ne change pas. Mais avec 50 unités de travail par an ou plus, vous êtes de toute façon au moins une entreprise moyenne, même avec un petit chiffre d'affaires.
Entreprises liées
Si vous détenez, ou si une autre personne détient, plus de 50 pour cent, vous comptez les données de cette entreprise à 100 pour cent. Les holdings familiales et les sociétés sœurs peuvent faire dépasser le seuil à une petite PME.
Entreprises partenaires
En cas de participation de 25 à 50 pour cent, vous comptez une part proportionnelle. C'est ce que l'on oublie le plus souvent.
Le CCB examine l'indépendance
Dans les cas disproportionnés, le CCB peut reclasser une entité comme importante ou l'exclure. Compter sur une interprétation favorable n'est pas une stratégie, un dossier motivé en est une.
Hors de la loi, dans la chaîne
Contractuel, pas légalVous n'êtes pas concerné mais vous fournissez une entité NIS2 : les exigences vous parviennent par le contrat
Les obligations NIS2 ne s'appliquent pas directement à un fournisseur qui ne relève pas lui-même de la loi. Mais une entité NIS2 doit veiller à ce que ses fournisseurs et prestataires de services directs prennent des mesures similaires. Le CCB recommande d'imposer dans les contrats un label ou une certification, par exemple un niveau CyFun ou ISO 27001, et d'évaluer le risque lié au fournisseur pour choisir ce niveau. Le CCB indique lui-même que de nombreuses organisations seront touchées indirectement. Demandez donc explicitement à un client quel niveau et quel périmètre il attend, et ne signez pas une référence vague à la « conformité NIS2 » que vous ne pourriez pas tenir par la suite.
Si vous relevez de la loi
Premières étapes pour une entité essentielle ou importante
- 1Enregistrez-vous auprès du CCB via Safeonweb@Work, en indiquant notamment le nom, le numéro d'entreprise, l'adresse, les coordonnées, les plages d'adresses IP et le secteur. Les délais généraux d'enregistrement sont expirés. Celui qui relève de la loi plus tard bénéficie de délais à partir de ce moment. Vous signalez les modifications dans les deux semaines.
- 2Choisissez votre référentiel : CyFun ou ISO 27001 avec un périmètre couvrant tous les réseaux et systèmes d'information. Cela donne une présomption de conformité jusqu'à preuve du contraire. Le niveau CyFun qui convient est expliqué dans l'article sur les niveaux.
- 3Mettez en place le processus de gestion des incidents pour les incidents importants : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final au plus tard un mois après la notification, via notif.safeonweb.be. Cela ne remplace pas la notification RGPD à l'Autorité de protection des données.
- 4Impliquez l'organe de direction : il approuve les mesures de gestion des risques, supervise leur mise en œuvre et doit être formé. L'organe de direction peut être tenu responsable si l'entité enfreint les obligations de gestion des risques.
- 5Planifiez l'évaluation de la conformité selon votre catégorie. Les entités essentielles doivent en faire réaliser une régulièrement, les entités importantes peuvent le faire volontairement. Les dates pour les entités essentielles figurent sur la page consacrée au calendrier.
Doute et avenir
Proposition, pas encore en vigueurLa proposition européenne sur les small mid-caps ne change rien à votre réponse aujourd'hui
En janvier 2026, la Commission européenne a publié une proposition de modification ciblée de NIS2, comprenant notamment une nouvelle catégorie de small mid-caps. Il s'agit d'une proposition. Elle n'est ni approuvée, ni publiée, ni transposée en droit belge. Tant que ce n'est pas le cas, la loi s'applique telle qu'elle est aujourd'hui et vous décidez sur la base des seuils ci-dessus. Ne reportez donc pas vos investissements en attendant une modification qui peut encore changer ou ne jamais arriver. Si vous êtes proche d'un seuil, ou si la structure de votre groupe est complexe, effectuez le test de périmètre officiel du CCB sur Safeonweb@Work. Si le doute subsiste après le test, posez la question au CCB lui-même.
Questions fréquentes
Réponses brèves
Vous voulez savoir si NIS2 s'applique à vous ?
Lors d'un premier entretien de 30 minutes, nous passons en revue votre établissement, votre secteur et la structure de votre groupe, ainsi que ce que le résultat signifie pour votre entreprise. L'entretien est gratuit.