Le CCB lance un « plan de remédiation » pour les organisations en peine avec la conformité NIS2 (podcast)
Dans un contexte explosif, marqué par des attaques à répétition sur les infrastructures publiques, le service inspection du Centre pour la Cybersécurité Belgique dévoile un plan de remédiation pour les nombreuses entités qui risquent de ne pas atteindre le niveau de sécurité exigé dans le délai imparti. Et plutôt que de se retrouver face à une vague de non-conformité massive en 2027, l’autorité nationale a décidé de prendre les devants en resserrant les boulons avec une feuille de route justifiée par l'émergence de nouvelles menaces. Explications.
Face à une vague d’attaques contre les instances critiques en France comme en Belgique, le CCB sort du bois et rappelle l'urgence absolue de consolider le socle fondamental de la sécurité opérationnelle dans le pays. Dans une communication officielle adressée aux entités essentielles, l'autorité nationale introduit un « plan de remédiation » pour celles qui ne parviendraient pas à atteindre le niveau de conformité maximal d'ici avril 2027.
Loin d'être un assouplissement, cette "feuille de route" prend des allures de mise sous tutelle structurée, justifiée par l'émergence de nouvelles menaces, notamment celles liées à l'intelligence artificielle.
Il faut dire que la directive NIS2 représente un défi important pour des milliers d'organisations en Belgique. L'obligation de mettre en œuvre un ensemble robuste de mesures de cybersécurité et de le faire valider par un organisme tiers d'ici le 18 avril 2027 met une pression considérable sur les responsables de la sécurité.
Le compte à rebours réglementaire s'accélère pour les infrastructures critiques et les services d'intérêt public belges.
Rappelons que le niveau de référence fixé par la Belgique est ambitieux puisqu’il exige une conformité équivalente au niveau « Essentiel » du cadre CyberFundamentals (CyFun), le fameux référentiel développé par le CCB lui-même.
Le CCB est en effet conscient que de nombreuses entités, malgré leurs efforts, risquent de ne pas atteindre cette cible dans les temps. Et plutôt que de se retrouver face à une vague de non-conformité massive en 2027, l’organisme belge propose une voie alternative, mais non moins exigeante.
Un plan de remédiation en deux temps
La solution trouvée repose sur un « plan de remédiation » pour les entités essentielles qui anticiperaient leur incapacité à démontrer une conformité au niveau « Essentiel » en 2027. Elles devront dans ce cas s'engager sur un parcours en deux étapes.
Elles devront dans un premier temps prouver d’ici le 18 avril 2027, qu'elles atteignent un niveau de maturité intermédiaire, équivalent au niveau d'assurance « Important » du CyFun. Ce niveau moins élevé, garantit néanmoins que les mesures de cybersécurité les plus fondamentales sont en place et opérationnelles. C'est, en quelque sorte, le socle minimal non négociable.
Dans un second temps, les entités devront soumettre un plan détaillé décrivant les mesures qu'elle s'engage à mettre en œuvre pour combler l'écart et atteindre le niveau « Essentiel » final, avec comme nouvelle date butoir le 18 avril 2028. Cette approche donne donc une année supplémentaire, mais une année encadrée et sous la supervision active du service d'inspection.
L'autorité belge de cybersécurité adopte une approche réaliste pour que chaque acteur essentiel consolide sans délai ses défenses élémentaires face aux cyberattaques de nouvelle génération.
Le CCB justifie cette feuille de route par l'évolution du paysage de la menace, citant explicitement « les nouvelles menaces cyber liées à l'émergence des systèmes d'intelligence artificielle de pointe ».
Pour le régulateur, face à des attaques potentiellement plus sophistiquées, il est impératif de s'assurer que les fondations de la sécurité (gouvernance, gestion des risques, sécurité de la chaîne d'approvisionnement, surveillance) sont parfaitement solides avant de viser des niveaux de maturité plus complexes.
Une approche équilibrée, quel que soit le chemin de certification
La nouvelle directive s'applique de manière homogène aux trois voies de conformité possibles. Que l'entité opte pour une certification directe via le référentiel CyFun, pour une certification ISO/IEC 27001 (dont la correspondance avec les niveaux CyFun est établie par le CCB), ou pour une inspection menée par le CCB lui-même, la logique reste la même : atteindre le niveau « Important » de conformité NIS2.
L'autorité belge veille toutefois à garantir une stricte équité de traitement, quelle que soit la méthode d'évaluation retenue par l'organisation parmi les trois parcours légaux disponibles. Pour les entreprises ayant opté pour le cadre CyberFundamentals, l'absence de certificat de niveau « Essentiel » en avril 2027 imposera la fourniture d'un certificat valide de niveau « Important » délivré par un organisme d'évaluation de la conformité agréé, adossé au plan d'action visant le palier supérieur pour 2028.
Pour les structures engagées dans une démarche ISO/IEC 27001, la logique demeure rigoureusement identique. Le périmètre de la certification — qui doit impérativement englober l'intégralité des réseaux et systèmes d'information concernés — devra couvrir les exigences de sécurité équivalentes au niveau CyFun « Important » d'ici avril 2027. L'extension du périmètre aux exigences du niveau « Essentiel » devra ensuite être certifiée par l'organisme accrédité avant le 18 avril 2028.
Enfin, pour les entités faisant l'objet d'un contrôle direct par le service d'inspection du CCB, les auditeurs vérifieront en priorité la matérialité des contrôles du niveau « Important » en 2027, avant d'auditer l'achèvement complet des mesures du niveau « Essentiel » l'année suivante sur la base du plan de remédiation validé.
Le communiqué précise toutefois deux exceptions notables où aucun plan de remédiation ne sera exigé. D'une part, les entités qui parviendront à valider l'intégralité des critères du niveau « Essentiel » dès le 18 avril 2027 seront dispensées de toute démarche supplémentaire. D'autre part, les organisations qui démontrent, sur la base d'une analyse de risques rigoureuse et documentée, que la nature de leurs activités justifie l'application d'un niveau d'assurance inférieur, n'auront pas à fournir de plan de remédiation, sous réserve d'attester de leur pleine conformité à ce niveau alternatif dans le délai imparti de 2027.
Pour conclure, le CCB souligne que cette directive administrative ne constitue en aucun cas un assouplissement du texte de loi ou de ses délais d'opposabilité juridique. Cette communication vise avant tout à encadrer les démarches des opérateurs en retard de phase afin d'éviter les ruptures de conformité brutales.
SAVE THE DATE - October 15, 2026 Hi Site, Grimbergen (Brussels)
