NIS2 : le 18 avril 2026 est passé — ce que la vérification change pour les PME belges

Le 18 avril 2026 était la première échéance belge de NIS2 assortie d'une conséquence concrète. Ce n'était pas une date d'enregistrement de plus : c'est le moment où les entités essentielles devaient être en mesure de prouver qu'elles appliquent les mesures de gestion des risques, et non plus seulement de déclarer qu'elles y travaillent.

Cette date est passée depuis presque quatre mois. Cet article fait le point sur ce qu'elle exigeait exactement, sur ce qui a réellement changé depuis, sur ce que les PME doivent en retenir — qu'elles soient dans le champ de la loi ou, bien plus souvent, concernées indirectement par leurs clients.

Un mot de méthode d'abord, parce que ce sujet est saturé de contenus commerciaux : je distingue systématiquement ce qui vient du CCB et des textes légaux de ce qui vient d'analyses privées, et je signale les chiffres que je n'ai pas pu vérifier auprès d'une source officielle.

Le cadre légal belge, en clair

Les dates de référence, sans lesquelles rien n'est lisible :

• 26 avril 2024 : adoption de la loi belge transposant la directive (UE) 2022/2555. La Belgique a été le premier État membre à transposer.
• 9 juin 2024 : arrêté royal d'exécution, qui désigne notamment le Centre pour la Cybersécurité Belgique (CCB) comme autorité compétente et fixe le cadre de référence pour l'évaluation périodique de conformité.
• 18 octobre 2024 : entrée en vigueur. Toutes les obligations de sécurité et de notification d'incident s'appliquent depuis cette date, pour les entités essentielles comme importantes. C'est le point le plus souvent mal compris : les échéances de 2026 et 2027 portent sur la preuve de conformité, pas sur le début des obligations.
• 18 mars 2025 : date limite d'enregistrement auprès du CCB via la plateforme Safeonweb@Work.
• 18 avril 2026 : première échéance de conformité pour les entités essentielles.
• 18 avril 2027 : échéance suivante, sur le niveau de certification atteint.

Deux catégories structurent tout le dispositif : les entités essentielles (celles dont l'interruption aurait de graves conséquences sociétales) et les entités importantes. Les obligations de fond sont largement les mêmes ; c'est le régime de contrôle qui diffère — ex ante pour les premières, ex post pour les secondes (CCB, la loi NIS2).

Où en est la Belgique

Les chiffres officiels les plus récents que j'aie pu retrouver sont ceux publiés par le CCB à l'occasion de la première année d'application : environ 1 500 entités essentielles et 2 500 entités importantes enregistrées, soit environ 4 000 organisations. Le CCB indiquait alors que 70 à 75 % d'entre elles avaient déjà entamé la mise en œuvre d'un cadre de cybersécurité — CyFun ou ISO 27001 (CCB, un an de NIS2 en Belgique).

Deux précautions sur ces chiffres. D'abord, ils datent de la première année et le périmètre continue d'évoluer, notamment parce que des organisations découvrent tardivement qu'elles entrent dans le champ. Ensuite, je n'ai pas trouvé de bilan chiffré publié par le CCB après l'échéance du 18 avril 2026 : combien d'attestations de vérification ont effectivement été reçues, combien d'entités sont en défaut, aucun décompte officiel n'est public à ma connaissance en août 2026. Si vous lisez un chiffre précis sur ce point quelque part, demandez sa source.

Ce qui devait être en place au 18 avril 2026

C'est ici que les résumés circulant en ligne sont souvent inexacts, y compris la version précédente de cet article. Il ne s'agissait pas d'envoyer une simple auto-évaluation au CCB.

Pour une entité essentielle qui a choisi la voie CyFun, l'exigence est d'obtenir — ou d'être activement en cours d'obtention — au minimum une attestation de vérification CyFun de niveau Basic ou Important, délivrée par un organisme d'évaluation de la conformité accrédité et autorisé par le CCB à intervenir dans un contexte NIS2 ; à défaut, de disposer d'un accord signé avec un tel organisme. En pratique : une auto-évaluation réalisée avec l'outil officiel du CCB, puis vérifiée par un tiers accrédité, puis transmise au CCB via Safeonweb@Work (CCB, échéance du 18 avril 2026).

Pour une entité essentielle qui a choisi la voie ISO 27001, il s'agit de transmettre le périmètre du système de management, la déclaration d'applicabilité et le dernier audit interne.

Dans les deux cas, une déclaration d'applicabilité listant les mesures effectivement mises en œuvre, comparées à celles des niveaux CyFun, devait parvenir au CCB au plus tard le 18 avril 2026 (CCB).

Et pour les entités importantes ? C'est la nuance qui concerne le plus grand nombre de PME : aucune évaluation de conformité obligatoire à cette date. La démarche est volontaire et confère une présomption de conformité. Mais toutes les obligations de sécurité et de notification d'incident, elles, s'appliquent depuis le 18 octobre 2024. Ne pas devoir prouver n'est pas la même chose que ne pas devoir faire.

Les deux voies : CyFun ou ISO 27001

CyberFundamentals (CyFun) est le référentiel développé par le CCB. Il comporte quatre niveaux d'assurance : Small, Basic, Important et Essential, chacun correspondant à un profil de risque. L'outil d'auto-évaluation est gratuit et public. Les niveaux Basic et Important donnent lieu à une vérification par un organisme accrédité ; le niveau Essential relève d'une certification de système de management, plus lourde.

ISO/IEC 27001 est la voie classique pour les organisations qui disposent déjà d'un système de management de la sécurité de l'information certifié.

Dans les deux cas, l'évaluation est réalisée par des organismes accrédités par BELAC et autorisés par le CCB. Ni le CCB lui-même, ni un consultant, ni un prestataire informatique ne peuvent délivrer cette attestation : la liste des organismes habilités est publiée par le CCB (Conformity Assessment Bodies). C'est un point à vérifier avant de signer avec qui que ce soit.

Le CCB a par ailleurs publié une version actualisée du référentiel, CyFun 2025, présentée lors du bilan de la première année (CCB).

Ce qui vient ensuite : l'échéance d'avril 2027

L'échéance du 18 avril 2027 porte sur le niveau atteint, pas sur un simple rapport d'avancement. Pour les entités essentielles ayant choisi CyFun, il s'agit d'atteindre le niveau cible correspondant à leur profil de risque — le niveau Essential relevant d'une certification de système de management, avec audit initial en deux étapes, surveillance annuelle et recertification triennale (Cyberplan, Jimber).

Ces deux dernières sources sont des analyses privées, pas des textes officiels : je les cite parce que le CCB ne détaille pas publiquement ce calendrier avec le même niveau de granularité, et je vous invite à vérifier votre situation exacte auprès du CCB ou de votre organisme d'évaluation plutôt que de vous fier à un article de blog — y compris celui-ci.

À quoi ressemble concrètement une vérification

Pour une PME qui n'a jamais vécu d'audit de sécurité, voici l'ordre de grandeur, tel que le décrivent les organismes actifs sur le marché belge : une préparation interne longue (plusieurs mois), un cadrage avec l'organisme, une revue documentaire de quelques jours, une phase sur site, puis un rapport et une transmission au CCB. Une remédiation peut s'intercaler si des écarts sont constatés (Jimber).

Ce qui est demandé comme preuves ressemble, à peu de choses près, à ceci :

• une stratégie de cybersécurité validée par la direction, et une analyse de risques datée ;
• une déclaration d'applicabilité listant les mesures et leur niveau de maturité ;
• un inventaire des actifs à jour, incluant le cloud ;
• des schémas de segmentation réseau ;
• des preuves de gestion des accès : comptes à privilèges, authentification multifacteur, revues périodiques ;
• des journaux de détection et des procédures de réponse à incident ;
• des contrats fournisseurs comportant des clauses de sécurité et de notification ;
• des relevés d'analyse de vulnérabilités et de correctifs appliqués ;
• des preuves de restauration de sauvegarde testée ;
• des registres de participation aux formations de sensibilisation.

Le mot important dans cette liste est « preuves ». Une politique écrite qui n'est appliquée nulle part ne vaut rien en vérification, et c'est en général là que se situe l'écart réel.

Les outils de contrôle du CCB

L'amende n'est ni le premier ni le principal instrument. Le CCB dispose d'un éventail gradué :

• inspections sur site et contrôles à distance ;
• demandes d'évaluation de conformité par un organisme accrédité ;
• instructions contraignantes assorties de délais — c'est notamment l'outil privilégié vis-à-vis des administrations publiques ;
• suspension ou retrait d'une certification CyFun, ce qui peut disqualifier d'un marché public ;
• publication du nom de l'organisation et de la nature du manquement ;
• demande à un tribunal de suspendre temporairement les fonctions de direction en cas de manquement grave et répété ;
• transmission au parquet en cas de comportement pénalement répréhensible.

Pour une PME, l'ordre de gravité réel est presque inversé par rapport à l'intuition : le retrait d'une attestation et la publication du manquement pèsent plus lourd, commercialement, qu'une amende théorique.

Sanctions : ce qui est réellement en jeu

Les plafonds légaux sont inchangés depuis 2024 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour les entités essentielles, jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu (CCB, mesures administratives et amendes).

Maintenant, la question que tout le monde pose : des amendes ont-elles été infligées en Belgique ?

À ma connaissance, le CCB n'a publié aucune sanction individuelle à ce jour, ce qui reste cohérent avec l'approche coopérative adoptée depuis le début (Jimber).

Il faut ici être très explicite sur un point, parce qu'il touche directement à la qualité de l'information disponible sur ce sujet. Plusieurs « trackers d'application de NIS2 » circulent et affichent des tableaux d'amendes par pays — on y lit par exemple une amende belge de 185 000 euros contre un acteur de la santé. En allant vérifier, ce type de tableau précise lui-même agréger des chiffres rapportés et estimés, et indique que ses données doivent être considérées comme « indicatives et non comme un relevé juridique faisant autorité ». Aucune source officielle n'est citée pour le montant belge. Je ne reprends donc pas ce chiffre, et je vous suggère d'appliquer le même test à toute statistique d'application de NIS2 que vous croiserez : qui l'a publiée, sur la base de quoi, et l'autorité compétente l'a-t-elle confirmée ?

Le risque réel pour une PME, à ce stade, n'est pas l'amende spectaculaire. C'est la suspension d'une attestation, la publication d'un manquement, et surtout la perte de contrats auprès de clients eux-mêmes soumis à NIS2.

Notifier un incident : le compte à rebours 24h / 72h / 1 mois

C'est l'obligation la plus opérationnelle, celle qui se déclenche un dimanche soir. L'article 23(4) de la directive NIS2 fixe quatre jalons pour un incident important :

1. Alerte précoce : sans retard injustifié et en tout état de cause dans les 24 heures suivant la prise de connaissance de l'incident. Il s'agit d'un signalement bref, pas d'un rapport d'analyse.
2. Notification d'incident : dans les 72 heures, avec une première évaluation de la gravité, de l'impact et, si disponibles, des indicateurs de compromission.
3. Rapport intermédiaire : sur demande du CSIRT ou de l'autorité compétente.
4. Rapport final : au plus tard un mois après la notification d'incident, avec la description détaillée, le type de menace, les mesures prises et l'impact transfrontalier éventuel.

Trois remarques pratiques. Le compte à rebours démarre à la prise de connaissance, pas à la fin de l'enquête. Ces délais coexistent avec l'obligation RGPD de notifier une violation de données à l'Autorité de protection des données dans les 72 heures — deux régimes, deux destinataires. Et surtout : ces jalons sont intenables si personne ne sait, à froid, qui notifie, avec quel compte sur Safeonweb@Work et sur la base de quelles informations. C'est une répétition d'une demi-heure, pas un projet.

Le rôle indirect : vos clients vont vous le demander

C'est de loin le canal par lequel NIS2 touche le plus de PME belges.

Les entités essentielles et importantes doivent sécuriser leur chaîne d'approvisionnement — obligation explicite de l'article 21(2)(d). Elles le font en répercutant des exigences sur leurs fournisseurs et sous-traitants. Une PME informatique, un bureau d'études, un prestataire logistique ou un cabinet comptable travaillant pour un hôpital, une banque, une intercommunale ou un opérateur d'énergie se verra donc demander, de plus en plus systématiquement :

• un questionnaire de sécurité à remplir, parfois long ;
• des clauses contractuelles de notification d'incident avec des délais chiffrés ;
• des preuves sur la gestion des accès, l'authentification multifacteur, les sauvegardes ;
• l'identité de ses propres sous-traitants critiques ;
• parfois une attestation CyFun ou ISO 27001.

Deux conséquences. D'abord, ces demandes deviennent un critère de sélection commercial : deux fournisseurs équivalents, celui qui répond en trois jours avec des preuves gagne. Ensuite, il vaut mieux préparer ce dossier une fois, proprement, que de le réinventer à chaque appel d'offres.

Si vous n'avez pas encore commencé : par où

Manquer une échéance ne signifie pas être sanctionné le lendemain. Mais rester dans le flou est le pire scénario, parce qu'il vous prive de la capacité de répondre à un client, à un assureur ou à un régulateur. Voici l'ordre que je suivrais.

1. Clarifiez votre statut. Êtes-vous entité essentielle, importante, ou hors champ ? Le critère combine secteur d'activité et taille. Le CCB met à disposition un guide de démarrage et une FAQ pour trancher (NIS2 Quickstart Guide, FAQ NIS2 et CyberFundamentals). Écrivez la conclusion et la date : c'est déjà un document de conformité.
2. Vérifiez votre enregistrement sur Safeonweb@Work si vous êtes concerné.
3. Faites l'auto-évaluation CyFun Basic avec l'outil officiel. Gratuite, elle produit en une journée une photographie honnête de vos écarts.
4. Traitez d'abord les écarts à fort effet et faible coût : authentification multifacteur, sauvegardes isolées et testées, inventaire des actifs, correctifs sur les services exposés, suppression des comptes dormants.
5. Écrivez la procédure de notification d'incident — une page, avec les noms, les délais et le canal.
6. Cartographiez vos fournisseurs critiques, parce que c'est ce que vos clients vous demanderont, et parce que c'est aussi une exigence pour vous.
7. Si vous êtes entité essentielle, prenez contact avec un organisme d'évaluation accrédité pour cadrer le calendrier : le délai entre le premier contact et l'attestation se compte en mois, pas en semaines.

Une trajectoire documentée et datée, même incomplète, vaut mieux qu'un dossier parfait qui n'existe pas encore.

Ce que je retiens

Le 18 avril 2026 n'a pas produit de vague de sanctions, et il ne fallait pas s'y attendre. Ce qu'il a changé est plus discret et plus durable : le CCB dispose désormais d'une base documentaire déclarative sur laquelle appuyer un contrôle, et les organismes accrédités sont entrés dans les entreprises pour demander des preuves.

Pour une PME, la vraie bascule n'est pas juridique, elle est commerciale. La question « êtes-vous conforme ? » est en train de devenir une ligne de plus dans les appels d'offres et les questionnaires fournisseurs, au même titre que l'assurance responsabilité civile. Y répondre demande moins d'efforts qu'on ne le croit — mais cela demande d'avoir commencé.

Dernière remarque, dans l'esprit de ce blog : sur ce sujet, une bonne partie de ce qui se publie mélange des faits vérifiables et des chiffres d'ambiance. Le réflexe le plus utile que vous puissiez adopter est de demander la source. Y compris ici.

---

Sources

• La loi NIS2 | CCB Safeonweb@Work
• NIS2 : échéance du 18 avril 2026 — ce que les entités essentielles doivent avoir en place | CCB
• Un an de NIS2 en Belgique | CCB
• Organismes d'évaluation de la conformité (CAB) | CCB Safeonweb@Work
• NIS2 Quickstart Guide | CCB Safeonweb@Work
• FAQ NIS2 et CyberFundamentals | CCB Safeonweb@Work
• Mesures administratives et amendes sous NIS2 | CCB
• NIS2 conformity assessment: deadline April 18, 2026 | Cyberplan
• What CCB conformity assessments actually look like | Jimber
• NIS2 fines in Belgium: what enforcement actually looks like | Jimber
• Directive (UE) 2022/2555 (NIS2) | EUR-Lex