CyFun (CyberFundamentals) : Basic, Important ou Essential — quel niveau pour votre PME ?

Une fois qu'une PME a compris qu'elle est concernée par NIS2 — directement ou via ses clients — la question suivante est toujours la même : « concrètement, je dois faire quoi ? ». La réponse belge s'appelle CyFun, pour CyberFundamentals, le référentiel développé par le Centre pour la Cybersécurité Belgique (CCB).

Cet article explique ce qu'est réellement CyFun, quelle version appliquer en 2026, comment sont structurés les niveaux, comment on est évalué, et surtout comment choisir un niveau cible défendable plutôt qu'un niveau choisi par prudence ou par peur.

CyFun, c'est quoi exactement — et ce que ce n'est pas

CyFun est un cadre de référence : un ensemble de contrôles de cybersécurité organisés par niveau d'assurance, avec une méthode de notation de la maturité et un schéma d'évaluation de la conformité associé. Le CCB le décrit comme « une approche claire, étape par étape, qui aide les organisations à protéger leurs données et à réduire significativement leur risque face aux cyberattaques les plus courantes ».

Ses exigences et ses lignes directrices sont complétées par les apports du NIST Cybersecurity Framework, d'ISO/IEC 27001 et ISO/IEC 27002, de la norme IEC 62443 (sécurité des systèmes industriels) et des CIS Critical Security Controls (via l'ETSI TR 103 305-1). Ce n'est donc pas une norme belge isolée : c'est une recomposition, dans un format accessible, de référentiels internationaux déjà éprouvés.

Ce que CyFun n'est pas : ce n'est pas une obligation légale en soi. La loi belge, elle, impose deux choses distinctes. D'une part, des mesures de gestion des risques (article 30 de la loi du 26 avril 2024) — obligatoires pour toutes les entités essentielles et importantes. D'autre part, une évaluation périodique de la conformité, obligatoire pour les entités essentielles (article 39) et volontaire pour les entités importantes (article 41). L'arrêté royal du 9 juin 2024 précise, à son article 5, que cette évaluation se fait sur la base de l'un des deux cadres de référence retenus : le référentiel élaboré par le CCB (c'est CyFun) ou la norme NBN EN ISO/IEC 27001.

CyFun est donc l'une des deux voies balisées, pas la loi elle-même. Mais c'est la voie conçue pour être praticable par une PME.

CyFun 2023 ou CyFun 2025 : quelle version appliquer aujourd'hui

C'est le point que la plupart des articles en ligne n'ont pas encore intégré, et il change la préparation d'un dossier.

Le CCB a publié CyFun 2025 le 1er octobre 2025. La version précédente, CyFun 2023, reste utilisable, mais pas indéfiniment. Le plan de transition publié par le CCB fixe les repères suivants :

• CyFun 2023 et CyFun 2025 coexistent jusqu'au 18 avril 2027 ; jusqu'à cette date, les entités choisissent librement la version qu'elles appliquent.
• Les organismes de vérification et de certification doivent être accrédités pour CyFun 2025 au plus tard le 18 avril 2027 ; ils peuvent réaliser des vérifications ou certifications selon CyFun 2023 jusqu'à cette même date au plus tard.
• Les attestations de vérification et les certificats délivrés selon CyFun 2023 restent valables jusqu'au 18 avril 2028 au plus tard.

Ce que CyFun 2025 apporte, d'après le CCB : un alignement sur le NIST Cybersecurity Framework 2.0 et sur la législation européenne pertinente (dont NIS2), une place accrue donnée à la sécurité de la chaîne d'approvisionnement et aux technologies opérationnelles (OT), une reformulation des contrôles pour améliorer leur auditabilité, l'ajout d'un objectif explicite à chaque contrôle, et l'introduction de « mesures de gouvernance » alignées sur les bonnes pratiques internationales de supervision de la cybersécurité au niveau du conseil d'administration. Plus de 80 experts et organisations ont participé à la relecture du premier projet en 2025.

Conseil pratique : si vous démarrez votre démarche en 2026, partez directement de CyFun 2025. Repartir de CyFun 2023 vous obligerait à une transposition avant avril 2027, et le CCB publie précisément un tableau de correspondance entre les deux versions pour ceux qui doivent faire cette migration.

Les niveaux : Small, Basic, Important, Essential

CyFun est construit autour de trois niveaux d'assurance — Basic, Important et Essential — auxquels s'ajoute, dans la version 2023, un niveau de départ appelé Small.

• Small (CyFun 2023 uniquement) — le CCB le décrit comme un « niveau de départ [qui] permet à une organisation de procéder à une évaluation initiale, à l'exclusion des aspects liés au développement interne d'applications », destiné « aux micro-organisations ou aux organisations disposant de connaissances techniques limitées ». Il n'apparaît pas parmi les niveaux de CyFun 2025, qui présente uniquement Basic, Important et Essential.
• Basic — « les mesures standard de sécurité de l'information pour toutes les entreprises. Celles-ci offrent une valeur de sécurité efficace grâce à des technologies et des processus généralement déjà disponibles. »
• Important — « conçu pour minimiser les risques de cyberattaques ciblées par des acteurs disposant de compétences et de ressources courantes, en plus des risques connus en matière de cybersécurité. »
• Essential — « va encore plus loin et est conçu pour faire face au risque de cyberattaques avancées par des acteurs disposant de compétences et de ressources étendues. »

La logique est cumulative : les contrôles d'un niveau supérieur s'ajoutent à ceux des niveaux inférieurs. L'outil d'auto-évaluation CyFun 2025 le matérialise par un filtre : une organisation qui vise Important commence par les contrôles Basic dans le même fichier, puis ajoute les contrôles Important, sans avoir à transférer ses scores d'un outil à l'autre.

Chaque niveau dispose également d'un ensemble de « mesures clés » (key measures) — les contrôles considérés comme prioritaires, dont le respect est repris explicitement dans le rapport de synthèse de l'outil d'auto-évaluation. Le CCB publie un document de synthèse de ces mesures clés pour les trois niveaux, avec une comparaison entre CyFun 2023 et CyFun 2025.

Les six fonctions de CyFun 2025

CyFun organise ses contrôles par fonction, sur le modèle du NIST CSF. Dans CyFun 2025, l'outil d'auto-évaluation comprend six fonctions, chacune sur un onglet distinct :

Gouverner — Identifier — Protéger — Détecter — Répondre — Rétablir.

La fonction Gouverner est l'apport structurant du NIST CSF 2.0 : elle porte sur la stratégie, les rôles et responsabilités, la politique, la supervision et la gestion des risques liés à la chaîne d'approvisionnement. Ce n'est pas un hasard si elle apparaît maintenant : l'article 31 de la loi belge fait de l'approbation et de la supervision des mesures par l'organe de direction une obligation légale, assortie d'une obligation de formation des dirigeants. Une organisation qui traite CyFun comme un chantier purement technique passera à côté de cette fonction — et à côté d'une exigence légale.

Sous chaque fonction, les contrôles sont regroupés en catégories et sous-catégories (par exemple ID.AM pour la gestion des actifs, ID.AM-01 pour une sous-catégorie précise).

Comment on est évalué : la mécanique de maturité

C'est ce qui distingue CyFun d'une simple checklist, et ce qui surprend souvent au premier essai.

Chaque contrôle est évalué selon deux axes :

• la maturité des politiques (policy maturity) : dans quelle mesure vos règles et procédures écrites répondent aux exigences du référentiel ;
• la maturité de la mise en œuvre (implementation maturity) : dans quelle mesure vos pratiques quotidiennes réelles sont conformes.

Pour chaque contrôle, on attribue une note de 1 à 5 sur chacun des deux axes. L'outil calcule ensuite une moyenne arithmétique par sous-catégorie, puis par catégorie, puis un niveau de maturité total moyenné sur l'ensemble des catégories, restitué sous forme de tableau et de graphique radar.

La conformité ne se juge pas sur cette moyenne globale mais sur des scores cibles — des seuils définis pour chaque niveau d'assurance dans le Conformity Assessment Scheme (CAS). Dans l'outil, une valeur en rouge signale que le seuil n'est pas atteint, une valeur en vert qu'il l'est.

Deux conséquences pratiques. D'abord, écrire une politique sans l'appliquer ne suffit pas, et l'inverse non plus : les deux axes sont notés séparément. Ensuite, l'outil ne doit pas être modifié pendant une vérification ou une certification : il intègre les exigences de la version précise du référentiel et du CAS avec lesquelles il est aligné.

Quel niveau viser selon votre statut

Le niveau n'est pas censé être choisi à l'intuition. La démarche officielle du CCB commence par une évaluation des risques destinée à déterminer votre niveau d'assurance, à l'aide de l'outil de sélection CyFun.

Ensuite, la réglementation belge fixe des attentes différentes selon votre statut.

Votre situation	Ce que prévoit le cadre belge
Entité essentielle ayant choisi la certification	Certification au niveau Essential (article 6 de l'AR du 9 juin 2024) ; un niveau inférieur reste possible, de manière motivée, si l'analyse des risques le justifie (article 7)
Entité essentielle ayant choisi l'inspection par le CCB	Transmission d'une auto-évaluation de niveau Basic ou Important, puis d'un état d'avancement (articles 23 de l'AR)
Entité importante se soumettant volontairement à une évaluation	Avis de vérification au moins au niveau Important (article 11 de l'AR), avec auto-évaluation annuelle vérifiée par un organisme agréé
PME hors champ direct, sous-traitante d'une entité visée	Aucun niveau imposé par la loi ; Basic est le repère le plus défendable face à un questionnaire client
Micro-organisation sans exigence externe	Small (CyFun 2023) comme point d'entrée, en gardant à l'esprit qu'il ne figure pas dans CyFun 2025

Autrement dit : pour une entité importante qui décide de faire vérifier sa conformité, la réglementation ne se contente pas de Basic — elle vise au moins Important. Et pour une entité essentielle qui choisit la voie de la certification, la cible est Essential, avec une dérogation motivée possible.

Vérification, certification, label : qui fait quoi

Le vocabulaire compte ici, parce que les trois mots ne désignent pas la même chose.

• Vérification : c'est le mode d'évaluation associé aux niveaux Basic et Important.
• Certification : c'est le mode associé au niveau Essential, ainsi qu'à la voie ISO/IEC 27001.
• Label CyFun : c'est une étape facultative, demandée après la clôture du processus d'évaluation avec l'organisme, via le portail Safeonweb@work du CCB.

Le CCB résume la règle de fond ainsi : « En Belgique, la présomption de conformité à NIS2 peut être obtenue par le biais de la vérification CyberFundamentals (niveaux d'assurance BASIC et IMPORTANT), de la certification CyberFundamentals (niveau d'assurance ESSENTIAL) ou de la certification ISO/IEC 27001 (à condition que le champ d'application et la déclaration d'applicabilité soient jugés acceptables par le CCB). » La loi elle-même consacre cette présomption : l'article 42 de la loi du 26 avril 2024 dispose que les entités qui se soumettent à l'évaluation périodique sont « jusqu'à preuve du contraire, présumées respecter les obligations visées à l'article 30 ».

Qui peut délivrer une vérification ou une certification ? Un organisme d'évaluation de la conformité (CAB) qui remplit deux conditions cumulatives : être accrédité par l'organisme national d'accréditation — BELAC pour la Belgique — conformément au règlement (UE) 765/2008, et être agréé par le CCB agissant comme autorité nationale de certification de cybersécurité (NCCA). L'accréditation est une condition de l'agrément, pas un substitut. Le CCB publie et tient à jour la liste des organismes agréés, téléchargeable depuis la page consacrée aux CAB en Belgique.

Et si vous ne passez par aucun organisme ? Une entité essentielle peut choisir de se soumettre directement à une inspection par le service d'inspection du CCB (article 39, alinéa 1er, 2° de la loi). Cette voie a un coût explicite : l'arrêté royal du 9 juin 2024 prévoit une rétribution calculée sur la durée des prestations, avec un taux horaire fixé à 150 euros, indexé annuellement au 1er janvier sur l'indice des prix à la consommation de novembre 2023 (article 20). Ce tarif ne s'applique pas aux entités du secteur de l'administration publique visées à l'annexe I, sous réserve des exceptions prévues.

Le calendrier légal qui donne le rythme

Les échéances qui circulent — 18 avril 2026, 18 avril 2027 — ne sortent pas de nulle part : elles découlent mécaniquement des articles 22 et 23 de l'arrêté royal du 9 juin 2024, qui comptent 18 mois et 30 mois à partir de l'entrée en vigueur de la loi (18 octobre 2024) ou de la date d'identification par le CCB.

À 18 mois (soit le 18 avril 2026 pour les entités déjà dans le champ à l'entrée en vigueur) :

• entité essentielle ayant choisi la voie de la certification : obtenir une vérification de niveau Basic ou Important délivrée par un organisme agréé, selon le résultat de son analyse des risques ; ou, si elle a choisi ISO/IEC 27001, transmettre le champ d'application et la déclaration d'applicabilité ;
• entité essentielle ayant choisi l'inspection par le CCB : transmettre une auto-évaluation de niveau Basic ou Important ; ou, en voie ISO, transmettre la politique de sécurité de l'information, le champ d'application et la déclaration d'applicabilité.

À 30 mois (soit le 18 avril 2027) :

• voie certification : obtenir la certification au niveau Essential (article 6), sans préjudice de la dérogation motivée de l'article 7, ou la certification ISO/IEC 27001 ;
• voie inspection : transmettre un état d'avancement de la mise en conformité.

Et dans tous les cas, l'article 23, § 3, ajoute une exigence permanente : « Quel que soit le choix effectué, les entités essentielles et les entités importantes démontrent une amélioration continue. »

Le 18 avril 2027 est donc une double échéance : celle du niveau de conformité attendu, et celle de la fin de la coexistence entre CyFun 2023 et CyFun 2025.

La démarche en quatre étapes

Le CCB décrit un processus de mise en œuvre en quatre étapes, qu'une PME peut suivre telle quelle :

1. Évaluer les risques et déterminer le niveau d'assurance visé (Basic, Important ou Essential), avec l'outil de sélection CyFun.
2. Réaliser l'auto-évaluation avec l'outil Excel du niveau correspondant, qui note chaque contrôle sur les deux axes de maturité et compare les résultats aux seuils du CAS.
3. Faire vérifier ou certifier l'auto-évaluation et la mise en œuvre des mesures par un organisme d'évaluation de la conformité agréé.
4. Demander le label CyFun — étape facultative — sur le portail Safeonweb@work après clôture du processus avec l'organisme.

Les documents du référentiel, les descriptions de cas d'usage par niveau de maturité, les outils d'auto-évaluation et les modèles de politiques sont librement téléchargeables sur cyfun.eu. C'est le point de départ le moins coûteux qui existe.

Quatre erreurs qui coûtent cher

1. Viser Essential « par prudence ». Essential est conçu pour résister à des attaquants disposant de compétences et de ressources étendues. Le viser sans y être tenu, c'est s'épuiser sur des contrôles disproportionnés — alors que la loi et l'arrêté royal raisonnent en niveau justifié par l'analyse des risques.
2. Documenter sans mettre en œuvre. La double notation politique/implémentation rend cette stratégie inopérante : une politique parfaite non appliquée plafonne la moitié du score.
3. Démarrer sur CyFun 2023 en 2026. La coexistence s'arrête le 18 avril 2027 ; commencer sur la version sortante ajoute une migration inutile.
4. Confondre agrément et compétence. Un prestataire techniquement excellent n'est pas nécessairement un organisme d'évaluation de la conformité accrédité BELAC et agréé par le CCB. Seuls ces derniers peuvent délivrer une vérification ou une certification opposable. Vérifiez la liste officielle avant de vous engager.

Progresser sans se disperser

L'approche qui fonctionne sur le terrain est progressive, et elle tient en quatre mouvements.

Diagnostiquer honnêtement. Faites une première auto-évaluation Basic avec l'outil officiel, sans arrondir vos notes vers le haut. Un score bas au premier passage n'est pas un échec : c'est une ligne de base.

Choisir un niveau cible défendable. Écrivez le raisonnement : statut NIS2, analyse des risques, exigences contractuelles de vos clients, contraintes de budget et d'équipe. C'est exactement ce que la réglementation attend d'une entité essentielle qui invoque la dérogation de l'article 7 de l'arrêté royal.

Traiter d'abord les mesures clés. Elles sont identifiées comme telles dans le référentiel et remontent dans le rapport de synthèse de l'outil. Ce sont vos premiers écarts à combler.

Démontrer une amélioration continue. C'est une exigence explicite de l'article 23, § 3, de l'arrêté royal. Une trajectoire documentée, même imparfaite, vaut mieux qu'un niveau affiché mais non tenu.

---

Cet article est une synthèse pédagogique à jour au 3 août 2026, rédigée à partir des textes officiels et des publications du CCB citées ci-dessous. Il ne constitue ni un avis juridique, ni une prestation d'audit, de vérification ou de certification — ces dernières relèvent exclusivement d'organismes accrédités BELAC et agréés par le CCB.

Sources

• CyberFundamentals Framework 2025 — CCB (cyfun.eu)
• CyberFundamentals Framework 2023 — CCB (cyfun.eu)
• CyFun en Belgique : les quatre étapes et la présomption de conformité
• Organismes d'évaluation de la conformité (CAB) en Belgique — liste, agrément et plan de transition CyFun 2023 → 2025
• Loi du 26 avril 2024 (transposition NIS2) — Justel
• Arrêté royal du 9 juin 2024 exécutant la loi NIS2 — Justel