Base de connaissances · CyFun
Vérification et certification CyFun : comment se déroule l'évaluation et qui peut la réaliser ?
Un label CyFun ne vous est délivré ni par votre consultant ni par vous-même. Un organisme d'évaluation de la conformité accrédité doit contrôler votre auto-évaluation et vos preuves. Cette page explique la différence entre vérification et certification, qui peut réaliser l'évaluation, comment elle se déroule et où cela coince en pratique.
La différence
Basic et Important : vérification. Essential : certification.Vérifier et certifier, ce n'est pas la même chose
Aux niveaux Basic et Important, un organisme d'évaluation de la conformité accrédité contrôle si votre auto-évaluation est exacte. Le résultat est une déclaration de vérification, avec laquelle vous demandez ensuite le label. Au niveau Essential, il s'agit de certification : un cycle d'audit formel dont le résultat est un certificat. La règle empirique selon laquelle CyFun vérifie toujours et l'ISO certifie ne vaut donc pas pour Essential. Le niveau est lié au nombre de mesures : 34 exigences pour Basic, 133 pour Important et 218 pour Essential, chaque niveau étant une extension stricte du précédent. Ce que vous construisez au niveau Basic compte donc pleinement pour l'échelon suivant.
Qui peut évaluer
Seul un organisme disposant à la fois d'une accréditation et d'une autorisation peut le faire
Accréditation par BELAC
Un organisme d'évaluation CyFun doit être accrédité par BELAC, l'organisme belge d'accréditation.
Autorisation par le CCB
L'organisme doit en outre être autorisé par le Centre pour la Cybersécurité Belgique. Seule la combinaison compte.
Où se trouve la liste officielle
Le CCB publie la liste des organismes autorisés sur la page CyFun de Safeonweb@Work, sous outils et ressources. Consultez vous-même cette liste, car elle est mise à jour.
Le nombre est limité
Tous les organismes ne couvrent pas chaque niveau ni chaque édition du référentiel. Demandez tôt qui fait quoi, et réservez un créneau à temps, surtout si votre date dépend d'une échéance.
La voie ISO 27001
Un certificat ISO 27001 avec le bon périmètre et une déclaration d'applicabilité peut constituer une voie vers le label. Ce certificat doit provenir d'un organisme disposant d'une accréditation et d'une autorisation du CCB.
Pourquoi votre consultant ne peut pas le faire lui-même
Celui qui vous accompagne ne peut pas juger son propre travail. L'indépendance est la raison pour laquelle évaluation et accompagnement restent séparés. RGI accompagne et ne réalise elle-même ni vérification ni certification.
Le déroulement
De l'auto-évaluation au label en six étapes
Le CCB décrit quatre étapes. En pratique, deux étapes préparatoires s'y ajoutent.
- 1Vous définissez le périmètre : quelle organisation, quels processus et quels réseaux et systèmes d'information relèvent de l'évaluation.
- 2Vous choisissez le niveau avec l'outil de sélection CyFun du CCB, sur la base d'une analyse de risques.
- 3Vous réalisez l'auto-évaluation avec l'outil d'auto-évaluation du CCB et mettez en œuvre les mesures qui manquent encore.
- 4Vous choisissez un organisme d'évaluation autorisé et convenez du planning, de préférence bien avant votre échéance.
- 5L'organisme évalue votre auto-évaluation et la mise en œuvre, et délivre une déclaration de vérification (Basic, Important) ou un certificat (Essential).
- 6Vous demandez le label sur le portail Safeonweb@Work.
Liste de contrôle
Voici ce qui doit être prêt avant l'arrivée de l'évaluateur
Un périmètre délimité
Par écrit, avec tous les réseaux et systèmes d'information pertinents, et une liste des sites et des fournisseurs que vous incluez.
Une auto-évaluation complétée
Un score par mesure, avec une courte motivation. L'évaluateur part de votre propre jugement et vérifie s'il est exact.
Des preuves par mesure
Fichiers journaux, approbations, listes de formation, rapports de tests, contrôles de sauvegardes, procès-verbaux de réunions de l'organe de direction.
Des mesures clés documentées
Chaque niveau comporte des mesures clés qui comptent expressément. Sachez lesquelles elles sont et veillez à ce qu'elles soient en ordre.
Des responsables désignés
Pour chaque mesure, quelqu'un qui peut expliquer comment elle fonctionne et qui répond aux questions de l'évaluateur.
Confirmation de l'organe de direction
L'organe de direction approuve les mesures de gestion des risques et supervise leur mise en œuvre. Veillez à ce que cela soit visible.
Où cela coince
Quatre endroits où les évaluations prennent du retard
Le périmètre est trop étroit
Celui qui ne délimite que le bureau ou qu'une seule application laisse des systèmes pertinents hors de vue. L'évaluateur ne peut alors pas confirmer que le périmètre est suffisant.
Une politique sans preuve de mise en œuvre
Une belle politique ne suffit pas. Si l'évaluateur demande un exemple de la dernière revue des accès ou un rapport de test de la sauvegarde et que cela n'existe pas, la mesure n'est pas démontrée.
Mesures clés sous-estimées
Un score moyennement bon n'aide pas si une mesure clé reste en dessous du seuil minimal requis. Commencez donc par ces mesures.
Contact trop tardif avec un organisme
Les agendas des évaluateurs ne sont pas infinis. Celui qui ne commence à chercher que lorsque l'auto-évaluation est terminée attend plus longtemps que nécessaire.
Après l'évaluation
Le label n'est pas un aboutissement, mais il vous revient de vérifier sa validité
Après la déclaration ou le certificat, vous demandez le label sur Safeonweb@Work. La durée de validité d'une déclaration ou d'un certificat et le suivi exigé par l'organisme diffèrent selon le niveau et l'organisme, et dépendent du schéma d'évaluation en vigueur. Posez expressément la question à l'organisme avant de signer, et intégrez la maintenance dans votre budget. Tenez également compte du fait que le référentiel lui-même évolue : CyFun 2025 remplace l'édition 2023. Demandez à l'organisme quelle édition il évalue et jusqu'à quand. Une évaluation est un instantané d'un système qui continue de tourner, les preuves doivent donc continuer d'être complétées après le label.
Le calendrier
Ce que les dates de 2027 et 2028 signifient pour votre évaluation
Ceci vaut pour les entités essentielles. Les obligations légales n'ont pas changé. Ce qui change, c'est ce que le service d'inspection du CCB contrôle en priorité. L'ensemble de l'histoire figure sur la page consacrée aux échéances.
| Date | Ce qu'attend le service d'inspection | Ce que cela signifie pour l'évaluation |
|---|---|---|
| Jusqu'au 18 avril 2027 | Priorité à la vérification des mesures équivalentes à CyFun Important. Sans certificat au niveau Essential, un plan de remédiation suit. | Une vérification ou un certificat Important est le point charnière. Planifiez le créneau dès maintenant. |
| 18 avril 2028 | Date limite pour les mesures équivalentes à CyFun Essential, via une certification CyFun ou une certification ISO 27001 qui les couvre. | Essential exige une certification. Vérifiez à temps auprès de quel organisme cela est possible. |
Questions fréquentes
Réponses brèves
Pour aller plus loin
Sujets connexes
Savoir si vous êtes prêt pour l'évaluateur ?
Planifiez un entretien. Le premier entretien est gratuit. Nous passons ensemble en revue votre périmètre, votre auto-évaluation et vos preuves.