La transposition de la directive NIS2 en droit belge par la loi du 26 avril 2024, applicable depuis le 18 octobre 2024, a changé la donne pour les petites entreprises. Ce n’est plus un sujet de recommandations : la cybersécurité des PME belges s’inscrit désormais dans un cadre légal contraignant, avec des obligations de conformité graduées selon le profil de risque.
Cadre CyFun et obligations NIS2 pour les PME belges
Le Centre pour la Cybersécurité Belgique (CCB) structure la mise en conformité autour du référentiel CyFun à trois niveaux. Chaque niveau correspond à un degré de maturité : le premier couvre les mesures d’hygiène de base, le deuxième introduit des contrôles organisationnels plus poussés, le troisième vise les entités dont le profil de risque exige une gouvernance avancée.
A lire en complément : Python and list en pratique : exemples concrets et cas réels
Pour une petite entreprise, le niveau applicable dépend de son classement en tant qu’entité essentielle ou importante au sens de NIS2. Nous observons que beaucoup de dirigeants de PME sous-estiment ce point : même une structure de moins de 50 personnes peut tomber dans le champ d’application si elle opère dans un secteur couvert (énergie, transports, santé, infrastructure numérique, fournisseurs de services cloud).
L’erreur fréquente consiste à attendre une notification formelle. La loi belge impose aux organisations concernées de s’auto-identifier et de procéder à leur enregistrement. Ne pas le faire n’exonère pas de la conformité.
A lire également : L'intelligence artificielle optimise la gestion documentaire en entreprise
Exigences de cybersécurité imposées par la chaîne d’approvisionnement
La pression réglementaire directe n’est qu’une partie du problème. Les donneurs d’ordre imposent contractuellement leurs propres exigences de sécurité, y compris à des sous-traitants qui ne relèvent pas directement de NIS2. Ce mécanisme de cascade transforme la cybersécurité en critère de sélection commercial.
Concrètement, une PME qui fournit des services informatiques, de la maintenance industrielle ou du développement logiciel à une grande entreprise soumise à NIS2 se voit demander :
- Une politique de gestion des risques documentée, avec identification des actifs critiques et cartographie des flux de données
- Des preuves de tests d’intrusion ou d’audits de sécurité réalisés par un tiers, souvent sur base annuelle
- Un plan de réponse aux incidents incluant des délais de notification compatibles avec les obligations du donneur d’ordre (qui doit lui-même notifier le CCB dans les 24 heures)
- Des clauses de sous-traitance encadrant la sécurité des données tout au long de la chaîne
Ce phénomène de ruissellement réglementaire explique pourquoi des entreprises de cinq ou dix personnes se retrouvent à devoir structurer une gouvernance de sécurité qu’elles n’auraient jamais envisagée spontanément.
Financements publics : le chèque cybersécurité wallon et ses limites
La Wallonie propose un chèque cybersécurité destiné aux indépendants et PME. Ce dispositif finance un audit ou un diagnostic de sécurité, suivi d’actions de remédiation. Sur le papier, c’est un levier utile pour amorcer une démarche structurée sans mobiliser un budget conséquent.
En pratique, nous recommandons de ne pas considérer ce chèque comme une fin en soi. Un diagnostic ponctuel identifie les vulnérabilités à un instant donné, mais la sécurité des réseaux et des données exige un suivi continu. Le risque est de cocher une case sans mettre en place le cycle d’amélioration que NIS2 attend.
L’offre de soutien public s’étoffe, ce qui traduit une institutionnalisation du sujet. Mais aucun financement public ne remplace une organisation interne capable de maintenir le niveau de sécurité dans la durée. Le chèque couvre le démarrage, pas la maturité.
Tension sur les compétences en cybersécurité
Le secteur cyber belge connaît une croissance soutenue, portée par la demande des entreprises de toutes tailles. Cette dynamique se heurte à une pénurie persistante de profils spécialisés. Pour une PME, recruter un responsable sécurité de l’information à temps plein reste rarement viable financièrement.
Les alternatives passent par l’externalisation vers des fournisseurs de services managés (MSSP) ou par la mutualisation de compétences au sein de groupements sectoriels. Le choix du prestataire devient alors un acte de gouvernance : il faut vérifier ses certifications, sa couverture d’assurance, et surtout sa capacité à répondre aux incidents dans les délais imposés par le cadre réglementaire belge.
Conformité NIS2 en Belgique : par où commencer pour une petite entreprise
Le premier réflexe est de déterminer si l’organisation entre dans le champ d’application de NIS2. Les critères combinent la taille de l’entreprise, le secteur d’activité et la criticité des services fournis. Le site du CCB fournit un outil d’auto-évaluation.
Une fois le périmètre établi, la démarche suit une logique pragmatique :
- Réaliser une analyse de risque proportionnée, en se concentrant sur les actifs dont la compromission aurait un impact opérationnel ou réglementaire direct
- Mettre en place les mesures du niveau CyFun correspondant, en priorisant la gestion des accès, la sauvegarde et la détection d’incidents
- Documenter les processus pour pouvoir démontrer la conformité en cas de contrôle ou de demande d’un client
- Planifier des revues régulières, parce que le rapport entre menaces et défenses évolue constamment
La conformité n’est pas un projet ponctuel mais un processus continu. Les entités qui traitent le sujet comme une case à cocher s’exposent autant aux sanctions qu’aux incidents eux-mêmes.
Le rôle du rapport d’incident dans la gouvernance PME
NIS2 impose des délais stricts de notification au CCB. Pour une petite structure, cela signifie disposer d’un processus de détection et d’escalade fonctionnel avant qu’un incident ne survienne. Improviser une réponse à chaud, sans procédure documentée, expose à la fois à des dégâts opérationnels et à un manquement réglementaire.
La maturité de l’écosystème belge en cybersécurité progresse, mais elle reste inégale selon les secteurs et les régions. Les PME qui intègrent la sécurité de l’information dans leur stratégie, plutôt que de la traiter comme une contrainte technique isolée, se positionnent mieux face aux exigences de leurs clients et du régulateur. Le cadre existe, les outils de financement aussi. Ce qui manque le plus souvent, c’est la décision de structurer le sujet au niveau de la direction.
