Financer sa conformité NIS2 : le chèque cybersécurité wallon (75 %)

La mise en conformité NIS2 a un coût : diagnostic, analyse d'écart, plan d'actions, remédiation technique, formation. Beaucoup de dirigeants de PME wallonnes découvrent tard qu'il existe un dispositif public conçu pour financer une partie de cette démarche : le chèque cybersécurité de la Région wallonne, qui fait partie du portefeuille des chèques-entreprises.

Ce dispositif est toujours actif : la fiche officielle de la Région wallonne était encore mise à jour le 23 juillet 2026. Voici ce qu'il couvre exactement, ce qu'il ne couvre pas, et les conditions à vérifier avant de signer quoi que ce soit.

Le chèque cybersécurité en bref

Le principe est simple : la Wallonie intervient à hauteur de 75 % des coûts HTVA des prestations de l'expert. Vous supportez les 25 % restants — la « quote-part » — plus la TVA et les éventuels frais non éligibles.

L'intervention est plafonnée : le chèque « Cybersécurité » est plafonné à 50 000 € HTVA par bénéficiaire sur une période de 3 ans.

L'objectif affiché par la Région : « être accompagné par un expert pour réaliser un audit ou un diagnostic de votre situation en matière de cybersécurité et mettre en place les actions nécessaires, le tout à moindre coût grâce à une prise en charge partielle par la Wallonie ».

Qui peut en bénéficier

Quatre conditions cumulatives, telles que formulées par la Région wallonne :

• vous êtes un indépendant ou une PME (personne morale ou physique) ;
• vous n'êtes pas une ASBL — les ASBL ne sont pas éligibles aux chèques-entreprises ;
• votre siège d'exploitation principal est situé en Wallonie ;
• votre activité principale ne relève pas d'un secteur exclu au titre du règlement de minimis : pêche, aquaculture, production primaire de produits agricoles.

La définition de la PME retenue par le dispositif est celle de l'Union européenne : « une entreprise qui occupe moins de 250 personnes et qui a un chiffre d'affaires annuel inférieur à 50 millions d'euros ou un total de bilan n'excédant pas 43 millions d'euros ». C'est une fourchette large, qui couvre la grande majorité des entreprises wallonnes.

Un « test PME » — un document fourni par la plateforme — sert précisément à faire valider ce statut lors de l'introduction du dossier.

Les plafonds à ne pas confondre

C'est la source de confusion la plus fréquente : il n'y a pas un plafond, mais quatre, et ils s'appliquent simultanément.

Plafond	Montant	Période
Chèque « Cybersécurité »	50 000 € HTVA par bénéficiaire	3 ans
Thématique « Numérique » (maturité numérique + cybersécurité)	70 000 € HTVA	3 ans
Tous chèques-entreprises confondus, toutes thématiques	100 000 € HTVA	par année civile
Règlement de minimis (aides publiques)	200 000 € — réduit à 100 000 € pour les entreprises de transport routier de personnes ou de marchandises	3 ans

Le plafond de minimis est le plus souvent oublié, parce qu'il ne concerne pas que les chèques : il agrège toutes les aides publiques reçues à ce titre. C'est pour cela que le dossier exige une déclaration relative aux aides de minimis recensant les aides perçues au cours des trois dernières années.

Ce que le chèque finance — et ce qu'il ne finance pas

Point capital, et souvent mal présenté : les prestations couvertes par ce chèque se limitent au conseil.

Selon la fiche officielle, vous pouvez utiliser le chèque « Cybersécurité » pour :

• réaliser un diagnostic, ce qui recouvre trois choses : évaluer les besoins en cybersécurité des données gérées par votre entreprise ; évaluer les critères par rapport à une labellisation, sur la base des processus de cybersécurité existants ; préparer un cahier des charges ;
• être accompagné pour mettre en œuvre un plan d'actions répondant aux besoins identifiés lors de l'audit.

Ne sont pas pris en charge : les frais de déplacement, la réalisation — c'est-à-dire les travaux de mise en œuvre technique eux-mêmes — et la TVA.

Conséquence concrète pour une démarche NIS2 : le chèque peut financer le diagnostic, l'analyse d'écart par rapport à un référentiel et l'accompagnement à la construction du plan d'actions. Il ne finance pas l'achat et le déploiement des solutions techniques, ni l'audit de vérification ou de certification lui-même — celui-ci relève d'un organisme d'évaluation de la conformité accrédité BELAC et agréé par le CCB, ce qui est une prestation de nature différente.

Le point qui bloque le plus souvent : le prestataire labellisé

C'est l'écueil numéro un. La Région wallonne le met en tête de ses « points d'attention » :

« L'expert à qui vous faites appel doit être un prestataire labellisé, c'est-à-dire une entreprise ou une personne qui a reçu l'autorisation de prester pour le dispositif. »

La Région précise vérifier « à la fois la viabilité économique et les domaines d'expertise » de ses prestataires. La liste des prestataires labellisés est publiée sur le portail Chèques-entreprises.

Deux conséquences pratiques :

1. La compétence technique ne suffit pas. Un excellent prestataire en cybersécurité qui n'a pas obtenu le label ne rend pas votre dossier éligible. C'est une démarche administrative distincte de son savoir-faire.
2. Vérifiez avant, pas après. Engager une prestation en comptant sur le chèque, puis découvrir que le prestataire n'est pas labellisé, est une erreur coûteuse et irrattrapable a posteriori.

Le « domaine d'expertise » du prestataire compte également : un prestataire labellisé pour une autre thématique n'est pas nécessairement autorisé à prester pour la thématique cybersécurité.

Un exemple chiffré

La Région wallonne publie elle-même cet exemple, qui vaut mieux qu'une explication.

Pour une facture de 1 000 € HTVA :

• la Wallonie prend en charge 750 € ;
• vous avez à votre charge 460 €, soit les 250 € de quote-part et le montant de la TVA (210 €).

Autrement dit : sur une prestation facturée 1 210 € TVA comprise, votre décaissement réel est de 460 €. Le taux d'intervention de 75 % porte bien sur le montant hors TVA, pas sur le total facturé — c'est une nuance que beaucoup d'entreprises découvrent au moment du paiement.

La procédure, étape par étape

1. Enregistrement sur la plateforme. Créez un compte « citoyen » sur la plateforme chèques-entreprises, ou validez le compte créé par votre prestataire. L'inscription et l'activation se font uniquement par authentification forte.
2. Introduction du dossier. S'il s'agit de votre premier dossier, c'est votre prestataire qui doit l'introduire pour vous. Ensuite, vous pouvez encoder la demande vous-même. La demande peut être complétée en français ou en allemand.
3. Les quatre documents requis, tous fournis par la plateforme : la convention de prestation entre vous et votre prestataire, la demande de chèque-entreprise, le test PME et la déclaration relative aux aides de minimis.
4. Analyse de la demande. L'administration dispose de 5 jours ouvrables pour vérifier que le dossier est complet et conforme.
5. Paiement de la quote-part. Une fois la demande validée, vous versez les 25 % à votre charge. Cette somme est conservée jusqu'à la clôture du dossier, puis versée au prestataire en fin de mission avec les 75 % régionaux.
6. Prestation. Elle peut commencer dès réception de la quote-part et doit être réalisée dans les 12 mois suivant la notification d'accord.
7. Clôture. Le prestataire dépose sa facture et un rapport de prestation. Vous avez 15 jours pour les valider — au-delà, ils sont validés automatiquement. L'administration dispose ensuite de 15 jours ouvrables pour vérifier le dossier, puis règle l'intégralité de la facture. Vous payez directement au prestataire la TVA et les éventuels frais non éligibles.
8. Contrôle. Votre dossier peut faire l'objet d'un contrôle a posteriori par échantillonnage.

Deux délais côté bénéficiaire méritent d'être notés dans votre agenda : vous avez 30 jours pour verser la quote-part, faute de quoi le dossier est classé non recevable ; et 30 jours pour répondre aux questions de l'administration sur votre dossier.

En cas de contestation, la Région indique les voies de recours : contacter l'équipe Chèques-Entreprises, saisir le Médiateur de la Wallonie et de la Fédération Wallonie-Bruxelles, ou introduire un recours devant le Conseil d'État — la requête en annulation devant être introduite dans les 60 jours à dater de la notification de la décision.

Les bases légales du dispositif

Le chèque cybersécurité n'est pas un programme discrétionnaire : il repose sur un socle réglementaire identifié.

• Le décret du 21 décembre 2016 portant octroi d'aides, au moyen d'un portefeuille intégré d'aides en Région wallonne, aux porteurs de projets et aux petites et moyennes entreprises.
• L'arrêté du Gouvernement wallon du 23 février 2017 portant exécution des chapitres 1er, 3 et 4 de ce décret.
• Les arrêtés ministériels d'exécution, dont celui consacré à la thématique « Numérique », qui est celle dont relève le chèque cybersécurité.

Ces textes évoluent : c'est aussi pour cela que les conditions doivent être vérifiées sur la fiche officielle au moment de la demande, et non sur un article de blog — y compris celui-ci.

Ce que vous pouvez faire gratuitement avant de dépenser un euro

Le chèque n'est pas le premier levier à actionner. Avant d'engager un budget, plusieurs ressources publiques permettent de situer votre organisation sans coût.

• Le référentiel CyFun du CCB, dans sa version courante CyFun 2025, est librement téléchargeable, tout comme les descriptions de cas d'usage par niveau de maturité et les modèles de politiques.
• Les outils d'auto-évaluation CyFun (fichiers Excel, un par niveau d'assurance) permettent de noter vos contrôles sur deux axes — maturité des politiques et maturité de la mise en œuvre — et de comparer vos résultats aux seuils cibles du schéma d'évaluation de la conformité.
• La liste des organismes d'évaluation de la conformité agréés en Belgique est publiée et tenue à jour, ce qui vous permet de savoir qui peut réellement délivrer une vérification ou une certification.
• Le portail Safeonweb@work du CCB permet d'enregistrer son organisation et, le cas échéant, de demander le label CyFun après le processus d'évaluation.

La séquence la plus économe consiste donc à faire d'abord une auto-évaluation gratuite pour établir une ligne de base honnête, puis à mobiliser le chèque sur ce qui demande réellement un regard extérieur.

Quatre erreurs fréquentes

1. Attendre un remboursement. Le mécanisme n'est pas un remboursement après coup : vous versez 25 % à l'avance sur le compte de l'administration, qui règle ensuite l'intégralité de la facture au prestataire. La trésorerie ne fonctionne pas comme on l'imagine souvent.
2. Croire que le chèque finance la remédiation technique. Les prestations « se limitent au conseil » ; la réalisation et les frais de déplacement sont exclus.
3. Oublier le compteur de minimis. Une entreprise ayant déjà bénéficié d'aides publiques peut se retrouver bloquée par le plafond de 200 000 € sur trois ans, indépendamment des plafonds propres aux chèques.
4. Confondre le label du prestataire et l'agrément d'un organisme de certification. Le « prestataire labellisé » est une notion propre au dispositif wallon des chèques-entreprises. L'« organisme d'évaluation de la conformité agréé » est une notion propre au cadre NIS2 fédéral, avec accréditation BELAC et agrément du CCB. Ce sont deux listes différentes, tenues par deux autorités différentes, pour deux finalités différentes.

Par où commencer

Dans cet ordre :

1. Qualifiez votre exposition réelle à NIS2 — directe, en tant qu'entité essentielle ou importante, ou indirecte, via les exigences contractuelles de vos clients.
2. Faites un premier point de situation gratuit avec les outils d'auto-évaluation CyFun du CCB. Vous saurez ce qui vous manque avant de payer quelqu'un pour vous le dire.
3. Vérifiez votre éligibilité au chèque cybersécurité : statut PME, siège d'exploitation principal en Wallonie, forme juridique, secteur, plafonds déjà consommés.
4. Vérifiez le label de votre prestataire sur le portail Chèques-entreprises, pour la thématique concernée, avant de signer une convention de prestation.
5. Cadrez la mission sur ce qui est éligible — diagnostic, analyse d'écart, cahier des charges, accompagnement du plan d'actions — et budgétez séparément la mise en œuvre technique, qui reste à votre charge.

C'est cette séquence, simple mais souvent négligée, qui évite de dépenser un budget au mauvais endroit — ou de découvrir après coup que le dossier n'était pas recevable.

---

Cet article est une synthèse pédagogique à jour au 3 août 2026, rédigée à partir des sources officielles citées ci-dessous. Les conditions du dispositif peuvent évoluer : vérifiez-les systématiquement sur la fiche officielle de la Région wallonne et sur le portail Chèques-entreprises au moment de votre demande. Ce contenu ne constitue ni un avis juridique, ni une prestation de conseil.

Sources

• Chèque « cybersécurité » — fiche officielle de la Région wallonne (mise à jour le 23/07/2026)
• Portail Chèques-entreprises — chèque Cybersécurité
• CyberFundamentals Framework 2025 — CCB (cyfun.eu)
• Organismes d'évaluation de la conformité (CAB) agréés en Belgique
• CyFun en Belgique — démarche en quatre étapes et portail Safeonweb@work
• Loi du 26 avril 2024 (transposition NIS2) — Justel