Dans un terminal portuaire belge, un système de portiques automatisés est tombé en panne pendant une heure en raison d’un dysfonctionnement des caméras fournies par un prestataire. En l’espace de cette heure, une file d’environ 12 km de camions s’est formée sur le ring d’Anvers. Cet incident montre à quel point les activités peuvent être rapidement paralysées lorsque les contrôles opérationnels et de cybersécurité au sein de la chaîne d’approvisionnement sont insuffisants.
Table of Contents
Si votre organisation ou vos clients opèrent dans les secteurs de l’énergie, des soins de santé, de l’administration publique ou de l’industrie manufacturière, les nouvelles règles belges en matière de cybersécurité prévues par la directive NIS2 vous concernent probablement. Les entités directement visées par celles-ci doivent s’y conformer, et de nombreux fournisseurs se voient désormais tenus de respecter des normes similaires.
La semaine dernière, le Centre pour la Cybersécurité Belgique (CCB) a célébré la première année de mise en œuvre de la directive NIS2 et dévoilé les CyberFundamentals 2025 (CyFun 2025). Il s’agit d’un cadre national actualisé, conçu pour aider les entités à se conformer aux normes européennes en matière de cybersécurité de manière pratique et axée sur les risques. Près d’un millier de professionnels ont participé à l’événement pour discuter des progrès réalisés, des enseignements tirés et des perspectives pour 2026 et les années à venir.
Nous analysons ci-dessous les principales tendances observées au cours de cette première année d’application de la directive NIS2 et sur ce qu’elles impliquent pour les responsables de la cybersécurité en Belgique.
Une année de mise en œuvre de NIS2 en Belgique
Une progression régulière
Un an après l’entrée en vigueur de la directive NIS2, on estime que son déploiement en Belgique se déroule sans accroc et dans les temps.
À ce jour, environ 1 500 entités essentielles et 500 entités importantes se sont enregistrées auprès du CCB. Si certains secteurs restent peu représentés, la plupart des organisations concernées sont désormais correctement identifiées.
Environ 70 à 75 % de ces entités ont déjà commencé à mettre en œuvre un référentiel de cybersécurité, qu’il s’agisse de CyFun ou de la norme ISO 27001. En pratique, les entités essentielles tendent à privilégier cette dernière, qui offre davantage de latitude quant à la manière d’atteindre les objectifs. Les organisations de plus petite taille et celles du secteur public ont quant à elles tendance à préférer CyFun pour ses recommandations claires et détaillées, étape par étape.
Pour une comparaison détaillée des deux approches et déterminer laquelle convient le mieux à votre organisation, consultez l’article de blog de Cingulum consacré au choix entre ISO 27001 et CyFun 2025.
Évaluations de la conformité
La procédure d’accréditation des organismes d’évaluation de la conformité (OEC) devrait s’achever vers avril 2026, mais des audits sont déjà en cours. Plusieurs organismes agréés réalisent actuellement des évaluations, et les premières organisations se sont déjà vu décerner un label CyFun.
Si votre organisation n’a pas encore franchi le pas, les prochains mois constituent le moment idéal pour renforcer vos contrôles avant d’être soumis à une évaluation externe. D’ici 2027, le premier grand cycle d’audits battra son plein. Les entités qui auront anticipé bénéficieront donc d’un avantage certain et auront moins de mauvaises surprises.
Un changement de mentalité
Le résultat le plus marquant de cette première année est sans doute le climat de coopération qui s’est installé.
Le CCB a privilégié l’accompagnement et la sensibilisation plutôt que la répression, de sorte qu’aucune sanction n’a été prononcée à ce jour. Les entités sont encouragées à signaler rapidement les incidents et à considérer les inspections comme une occasion d’apprentissage.
Le secteur de la gestion des déchets en offre un bon exemple. Plusieurs exploitants de parcs à conteneurs ont, par l’intermédiaire de leur organisation faîtière, engagé un dialogue avec le CCB au sujet de leur niveau de classification. Ils avaient initialement été répertoriés comme entités essentielles parce qu’ils gèrent également de petites installations bioénergétiques et solaires, qui ne représentent pourtant qu’une fraction de leurs activités. Après avoir démontré l’impact critique limité de ces installations, ils ont pu s’accorder sur un niveau plus réaliste, à savoir « important », qu’ils mettent désormais activement en œuvre.
CyberFundamentals 2025 : Le cadre de référence belge de nouvelle génération
Objectif et structure
CyFun 2025 constitue le référentiel national officiel de cybersécurité en Belgique. Il a été élaboré par le CCB et est placé sous la supervision de l’Autorité nationale de certification de la cybersécurité (NCCA).
Il reste fondé sur son « principe d’équilibre », qui garantit la proportionnalité entre les risques et les mesures de sécurité et définit trois niveaux d’assurance. Ceux-ci ne doivent pas être confondus avec les catégories d’entités prévues par la directive NIS2, bien qu’ils portent les mêmes dénominations :
- Basique : les mesures standard de sécurité de l’information que toute organisation devrait avoir mises en place ;
- Important : des contrôles visant à minimiser le risque de cyberattaques ciblées mais courantes ;
- Essentiel : des capacités de détection et de réaction efficaces face aux attaques avancées et ciblées.
Le niveau d’assurance CyFun de chaque organisation est déterminé en fonction de son caractère critique et de sa taille, indépendamment de la classification en entité essentielle ou importante prévue par NIS2. Le recours aux mêmes termes pour désigner des réalités différentes prête souvent à confusion. Ainsi, une organisation peut être classée comme « essentielle » au titre de la directive NIS2, tout en ne devant satisfaire qu’au niveau d’assurance « important » prévu par CyFun. Alors que la directive NIS2 définit quelles organisations relèvent de la loi, CyFun définit jusqu’où elles doivent aller pour se conformer
Bien que les organisations puissent temporairement commencer à un niveau inférieur pour monter en maturité progressivement, elles sont légalement tenues d’atteindre le niveau imposé dans les délais impartis.
Cette structure par paliers traduit la notion abstraite de « sécurité fondée sur les risques » en obligations concrètes et mesurables. Elle fournit également aux entités une feuille de route pour renforcer leurs défenses au regard de leurs objectifs légaux et de leur exposition aux risques, les aidant ainsi à hiérarchiser leurs priorités au lieu d’aborder la cybersécurité selon une approche uniforme applicable à tous.
Les nouveautés de CyFun 2025
La nouvelle version modernise celle de 2023 et s’aligne entièrement sur le NIST Cybersecurity Framework 2.0 et sur la norme ISO 27001.
Parmi les principales améliorations, on peut citer :
- une attention accrue portée aux technologies opérationnelles (OT) et à la résilience de la chaîne d’approvisionnement ;
- une nouvelle catégorie « Gouvernance », qui hisse la cybersécurité au niveau du conseil d’administration ;
- des objectifs de contrôle plus clairs et vérifiables pour une meilleure supervision ;
- des recommendations actualisées et une lisibilité améliorée sur base des retours reçus ;
- un ensemble de contrôles largement remanié : environ un tiers des contrôles ont été révisés, de sorte que les organisations ayant mis en œuvre CyFun 2023 devraient réexaminer leurs correspondances et justificatifs.
Concrètement, CyFun 2025 s’apparente moins à une liste de contrôle de conformité qu’à un manuel de terrain. Il reflète la manière dont les équipes de sécurité devraient travailler : commencer par identifier ce qui doit réellement être protégé, puis mettre en place des défenses autour de ces éléments. Trop souvent, les organisations se précipitent pour installer des pare-feux et des antivirus sans avoir préalablement cerné leurs actifs, leurs processus et leurs flux de données. CyFun contribue à corriger ce déséquilibre en replaçant l’étape « identifier » au début du cycle, suivie des étapes « protéger », « détecter », « répondre » et « rétablir ».
CyFun 2025 compte désormais 218 contrôles au total :
- 34 de niveau Basique ;
- 99 de niveau Important ;
- 85 de niveau Essentiel.
Cette structure facilite l’intégration directe de CyFun dans les opérations quotidiennes, telles que le suivi des incidents, la formation du personnel ou la vérification de la sécurité des fournisseurs. Elle permet aux équipes de mesurer les progrès réels plutôt que de se contenter de cocher des cases.
Gestion des incidents: enseignements tirés de la première année
Entre octobre 2024 et septembre 2025, le CCB a reçu 279 notifications d’incidents de la part d’entités relevant de la directive NIS2 :
- 70 incidents significatifs ;
- 7 incidents en cours d’examen ;
- 202 incidents non significatifs.
Les secteurs les plus touchés ont été l’administration publique, l’infrastructure numérique, les services TIC et les soins de santé.
Les ransomwares demeure la principale menace, suivis des pannes opérationnelles et des incidents liés aux données. Il convient de noter que le caractère significatif d’un incident au sens de la directive NIS2 ne se limite pas aux cyberattaques : une panne chez un fournisseur ou une indisponibilité prolongée peuvent également être considérées comme significatives si des services essentiels sont affectés.
Ce qu’il faut retenir du suivi assuré par le CCB :
- Les risques liés aux tiers et à la chaîne d’approvisionnement doivent faire l’objet d’une gestion active. En vertu de la loi belge transposant la directive NIS2, les entités demeurent juridiquement responsables des incidents, même lorsque c’est un fournisseur qui maîtrise directement la mise en œuvre des mesures de sécurité. N’oubliez pas que les risques liés à la chaîne d’approvisionnement ne doivent pas être traités uniquement sur le plan technique : vos contrats avec vos fournisseurs méritent tout autant votre attention. En cas de problème, c’est en effet sur la base du contrat que les responsabilités seront appréciées.
- L’analyse des causes profondes (RCA) et des plans de remédiation clairs renforcent la confiance du régulateur.
- L’approche du CCB reste constructive et axée sur l’amélioration plutôt que répressive.
Quelques bonnes pratiques à l’intention des organisations :
- Tenir à jour la documentation relative à la réponse aux incidents ainsi que les procédures d’escalade ;
- Tester régulièrement les processus de reprise et de continuité ;
- Renforcer les mesures élémentaires de cybersécurité : sauvegardes, application des correctifs, authentification multifactorielle (MFA), surveillance ;
- Utiliser les outils de maturité et d’autoévaluation de CyFun pour guider la mise en œuvre, tout en les complétant par une validation interne ou des vérifications externes afin de s’assurer de la fiabilité des résultats. N’oubliez pas que la justesse des résultats de ces outils dépend de l’exactitude des données saisies ;
- Ne pas négliger vos contrats, en particulier ceux conclus avec les fournisseurs de systèmes critiques ! C’est une situation que nous rencontrons souvent en pratique : la collaboration avec le fournisseur dure depuis des années et se déroule sans heurts, mais personne ne sait si un contrat en bonne et due forme a réellement été conclu. Cela représente un risque significatif, non seulement au regard de NIS2, mais aussi en termes de continuité des activités.
Tendances et implications stratégiques
- La cybersécurité fait désormais partie des sujets abordés en conseil d’administration. La directive NIS2 et CyFun 2025 rendent les dirigeants responsables de la gestion des risques cyber.
- Les technologies opérationnelles (OT) rejoignent les technologies de l’information (IT). Le nouveau cadre couvre expressément les systèmes industriels, et étend ainsi la sécurité à des secteurs tels que l’énergie et les transports.
- La sécurité de la chaîne d’approvisionnement n’est pas négociable. L’évaluation continue des fournisseurs et des contrôles contractuels constituent désormais des exigences de base.
- Les cadres réglementaires convergent. CyFun 2025 s’aligne sur la norme ISO 27001 et le NIST CSF 2.0, ce qui permet de répondre à de multiples exigences au moyen d’une seule feuille de route.
- La certification devient un gage de confiance. Une certification précoce au titre de CyFun ou d’ISO renforce la crédibilité et la compétitivité dans le cadre d’appels d’offres.
- De la conformité à la résilience. Les entités qui s’appuient sur des cadres structurés font état d’incidents moins nombreux et moins graves, preuve tangible qu’une bonne cybersécurité porte ses fruits.
Dernière ligne droite
Alors que l’année 2025 touche à sa fin, les organisations entament la dernière ligne droite de leur préparation.
Avec des évaluations de la conformité déjà en cours et appelées à s’intensifier en 2026, les organisations qui agissent dès maintenant peuvent éviter les goulets d’étranglement et faire d’une certification précoce un atout.
CyFun 2025 suscite déjà l’intérêt à l’étranger : l’ANSSI en France et le NCSC en Irlande étudient les possibilités d’interopérabilité dans le cadre européen de certification de cybersécurité. Il s’agit là d’une étape prometteuse vers une reconnaissance transfrontalière.
