NIS2 en Belgique : ce qui change vraiment pour votre commune ou PME

« Cette NIS2, ça nous concerne aussi ? »

Si vous dirigez une PME ou siégez dans une administration communale, votre boîte mail a probablement débordé cette dernière année de webinaires NIS2, de listes de contrôle NIS2 et de fournisseurs qui ont soudain découvert le « NIS2-proof » comme argument de vente. Le ton est presque toujours le même : l'échéance approche, les amendes sont énormes, achetez maintenant.

Voici une réponse plus posée. La loi existe bel et bien, elle est en vigueur en Belgique depuis le 18 octobre 2024, et pour certaines organisations elle change beaucoup de choses. Mais pour la plupart des PME belges, elle change moins que ne le suggèrent les e-mails commerciaux, et les communes se trouvent dans une situation à part, rarement expliquée correctement. Voici les faits, sans discours commercial.

Une précision d'abord : nous sommes une entreprise IT et sécurité, pas un cabinet d'avocats. Pour une analyse juridique formelle de votre situation, l'autorité de référence est le Centre pour la Cybersécurité Belgique (CCB), et en cas de doute un avis juridique vaut la peine. Ce qui suit reflète l'état des lieux mi-2026, sur la base de la loi et des publications du CCB.

NIS2 en deux paragraphes

NIS2 est une directive européenne (2022/2555) qui impose un niveau minimal de cybersécurité aux organisations importantes pour la société ou l'économie. La Belgique l'a transposée par la loi du 26 avril 2024, entrée en vigueur le 18 octobre 2024. Notre pays a été parmi les premiers ; beaucoup de voisins en étaient encore à la rédaction.

L'autorité de contrôle est le CCB, qui est aussi le CSIRT national (l'équipe à laquelle vous notifiez les incidents). La loi tourne autour de trois choses : maîtriser vos risques par des mesures appropriées, notifier rapidement les incidents graves, et rendre la direction personnellement responsable des deux.

Qui est réellement concerné

C'est ici que la plupart des discours alarmistes déraillent. NIS2 ne s'applique pas à « toutes les entreprises ». Il y a deux filtres, et il faut passer les deux :

1. Le secteur. Votre activité doit figurer à l'annexe I ou II de la loi. On y trouve notamment l'énergie, les transports, les soins de santé, l'eau potable, les eaux usées, l'infrastructure numérique, la poste, la gestion des déchets, la chimie, l'alimentation, l'industrie et les fournisseurs numériques.
2. La taille. Vous comptez au moins 50 personnes, ou à la fois un chiffre d'affaires annuel et un total de bilan supérieurs à 10 millions d'euros.

Une brasserie de douze personnes ? Hors champ. Une fiduciaire de trente collaborateurs ? Hors champ. Un producteur alimentaire de quatre-vingts salariés ? Probablement concerné. Il existe des exceptions où de plus petites organisations sont tout de même désignées (certains services numériques, par exemple, ou des entités désignées explicitement par les autorités), donc vérifier reste prudent. Le CCB propose un test de champ d'application sur son site.

La loi distingue deux catégories. Les entités essentielles (les plus grandes organisations des secteurs les plus critiques) font l'objet d'une surveillance proactive et risquent des amendes jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Les entités importantes sont contrôlées a posteriori, avec des amendes jusqu'à 7 millions d'euros ou 1,4 %. Ce sont des maxima ; l'amende réellement infligée dépend de la gravité de l'infraction.

Et votre commune ?

C'est le point le plus souvent mal expliqué, alors disons-le précisément : les communes belges ne tombent pas automatiquement sous NIS2. Le législateur a repris les administrations fédérales et régionales comme secteur, mais pas les pouvoirs locaux comme catégorie.

Une commune n'est concernée que dans deux cas : soit elle exerce elle-même une activité critique des annexes (par exemple la gestion de l'eau potable ou des eaux usées en régie propre) et atteint le seuil de taille, soit elle est explicitement désignée comme entité. Pour la plupart des communes, ce n'est pas le cas aujourd'hui.

Faut-il pour autant souffler et ne rien faire ? Non, et c'est la politique officielle qui le dit. Le Gouvernement flamand impose à chaque organisme public flamand et à chaque pouvoir local hors NIS2 d'atteindre au moins le niveau CyberFundamentals Basic, ou l'ISO 27001, d'ici le 1er janvier 2030 ; les communes de Bruxelles et de Wallonie doivent vérifier auprès de leur propre région. L'hygiène numérique de base devient donc la norme pour chaque pouvoir local flamand, même sans étiquette NIS2. Le dossier des pouvoirs locaux évolue encore ; vérifiez l'état actuel auprès du CCB ou de l'association des villes et communes de votre région pour votre situation précise.

Concerné ? Voici ce que vous devez faire concrètement

Quatre obligations forment le cœur de la loi :

1. S'enregistrer auprès du CCB. Cela se fait via le portail Safeonweb@work. L'échéance officielle était le 18 mars 2025, elle est donc passée. Si vous l'avez manquée, enregistrez-vous maintenant.
2. Prendre des mesures de sécurité appropriées. La loi énumère les domaines : analyse de risques, gestion des incidents, sauvegardes, contrôle des accès, sécurité de la chaîne d'approvisionnement, et formation. La Belgique a construit un cadre pratique pour cela, les CyberFundamentals (CyFun), avec les niveaux Basic, Important et Essential. Une vérification ou une certification CyFun par un organisme accrédité, ou une certification ISO 27001, vous confère une présomption de conformité. Les entités essentielles doivent en outre démontrer leur conformité. La première échéance pour les entités essentielles était le 18 avril 2026 (une vérification CyFun Basic ou Important, ou des documents ISO 27001 envoyés au CCB) ; la suivante est le 18 avril 2027 pour la certification CyFun visée. Vérifiez le calendrier exact pour votre catégorie auprès du CCB.
3. Notifier les incidents. En cas d'incident significatif, le rythme est strict : une alerte précoce dans les 24 heures, une notification plus complète dans les 72 heures, et un rapport final dans le mois. La notification passe par le point de contact du CCB (notif.safeonweb.be).
4. La direction porte la responsabilité. C'est peut-être le plus grand changement. L'organe de direction doit approuver les mesures, en surveiller l'exécution et suivre lui-même une formation. La direction ne peut donc plus déléguer entièrement la cybersécurité à « l'informaticien ». Le personnel doit lui aussi être formé régulièrement.

Hors champ ? NIS2 arrivera quand même sur votre bureau

Même qui échappe à la loi n'y échappe pas tout à fait en pratique, pour une raison simple : la chaîne d'approvisionnement. Les organisations soumises à NIS2 doivent évaluer la sécurité de leurs fournisseurs. Si votre PME livre un hôpital, un fournisseur d'énergie ou un grand producteur alimentaire, attendez-vous à des questionnaires et à des exigences contractuelles de sécurité. Qui peut y répondre sans improviser prend une longueur d'avance sur ses concurrents.

Et indépendamment de toute loi : les e-mails de phishing ne lisent pas les textes légaux. Les attaques qui touchent les PME et services communaux belges (fausses factures, boîtes mail compromises, fraude au président) ne font aucune différence entre concerné et hors champ. L'hygiène de base qu'impose NIS2 est simplement ce dont toute organisation a besoin aujourd'hui.

Où la formation entre en jeu

Remarquez ce qui figure dans cette liste d'obligations : la formation n'est pas un bonus mais une obligation légale pour qui est concerné, pour la direction comme pour le personnel. Le niveau de base des CyberFundamentals, vers lequel les administrations doivent de toute façon tendre, inclut lui aussi la sensibilisation.

C'est là que nous pouvons vous aider concrètement. Notre service de cybersensibilisation combine des simulations de phishing, des démonstrations de piratage en direct et de courtes formations adaptées à votre secteur. Pour le côté humain, lisez notre article sur l'employé fatigué, premier facteur de risque.

Pour une commune ou une PME qui travaille sur NIS2 ou les CyberFundamentals, un tel parcours règle déjà une partie du travail, avec des registres de formation que vous pouvez présenter.

La prochaine étape, honnêtement

Pas de panique, donc, et surtout pas d'achats précipités. Commencez par trois questions : mon activité figure-t-elle à l'annexe I ou II ? Est-ce que j'atteins le seuil de taille ? Et est-ce que je livre des clients qui sont concernés ? Les réponses déterminent si vous avez une obligation légale, une réalité commerciale, ou simplement une bonne raison de mettre les bases en ordre.

Pour un petit bureau qui veut surtout régler l'essentiel (des réseaux séparés, les réglages e-mail de votre domaine, un atelier pour le personnel), notre offre figure sur la page partenaire IT pour PME.

Vous voulez faire cet exercice ensemble, ou voir directement comment formations et simulations s'intègrent dans votre travail NIS2 ou CyFun ? Planifiez un entretien sans engagement ; nous vous dirons honnêtement ce dont vous avez besoin, et aussi ce dont vous n'avez pas besoin.