NIS2 : votre PME est-elle concernée ? Le guide clair

En Belgique, NIS2 n'est plus une directive européenne lointaine : c'est une loi fédérale en vigueur depuis le 18 octobre 2024, avec un régulateur désigné, un calendrier daté et un barème de sanctions écrit noir sur blanc. Beaucoup de dirigeants de PME wallonnes pensent que ce texte ne vise « que les grandes entreprises ou les hôpitaux ». C'est en partie faux — et surtout, la question « suis-je concerné ? » a une réponse déterminée par des critères précis. Cet article vous donne la méthode de qualification exacte, avec les articles de loi correspondants.

Les textes qui vous concernent réellement

• La directive (UE) 2022/2555 du 14 décembre 2022, dite NIS2, est le texte européen d'origine. Elle ne s'applique pas directement à vous : c'est sa transposition belge qui vous oblige.
• La loi du 26 avril 2024 « établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique » est le texte qui compte. Publiée au Moniteur belge du 17 mai 2024 (page 63179), elle est entrée en vigueur le 18 octobre 2024. Elle a été modifiée par la loi du 19 décembre 2025 (publiée le 19 janvier 2026), qui l'articule avec la loi belge relative à la résilience des entités critiques.
• L'arrêté royal du 9 juin 2024 l'exécute. Publié au Moniteur belge du 24 juin 2024 (page 78183), en vigueur depuis le 4 juillet 2024, il fixe les cadres de référence d'évaluation de la conformité et le calendrier.

L'autorité nationale de cybersécurité désignée est le Centre pour la Cybersécurité Belgique (CCB). C'est lui qui identifie, supervise, inspecte et sanctionne.

Étape 1 : votre type d'entité figure-t-il en annexe I ou II ?

La loi ne s'applique qu'aux entités « d'un type visé à l'annexe I ou II » (article 3, § 1er). C'est la première porte, et beaucoup d'entreprises s'arrêtent ici.

Annexe I — secteurs hautement critiques (11 secteurs) : énergie (électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène) ; transports (aériens, ferroviaires, par eau, routiers) ; secteur bancaire ; infrastructures des marchés financiers ; santé ; eau potable ; eaux usées ; infrastructure numérique ; gestion des services TIC interentreprises ; administration publique ; espace.

Annexe II — autres secteurs critiques (7 secteurs) : services postaux et d'expédition ; gestion des déchets ; fabrication, production et distribution de produits chimiques ; production, transformation et distribution des denrées alimentaires ; fabrication ; fournisseurs numériques ; recherche.

Attention à un piège de lecture : les annexes ne listent pas des « secteurs » au sens large, mais des types d'entités définis par renvoi à d'autres textes. Deux exemples issus du texte lui-même. Dans la fabrication (annexe II, point 5), sont visées les entreprises exerçant une activité relevant des divisions 26 (informatique, électronique, optique), 27 (équipements électriques), 28 (machines et équipements n.c.a.), 29 (véhicules automobiles, remorques) et 30 (autres matériels de transport) de la NACE Rév. 2, ainsi que les fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro. Dans l'agroalimentaire (annexe II, point 4), seules sont visées les entreprises alimentaires « qui exercent des activités de distribution en gros ainsi que de production et de transformation industrielles » : une boulangerie de quartier n'est pas dans le champ, un industriel qui transforme et distribue en gros, oui.

Notez au passage l'annexe I, point 9 : la gestion des services TIC interentreprises vise les fournisseurs de services gérés (MSP) et les fournisseurs de services de sécurité gérés (MSSP). C'est le point d'entrée le plus fréquent pour les PME informatiques.

Si aucun type d'entité des annexes ne correspond à votre activité, passez directement à la section sur la sous-traitance : vous n'êtes pas dans le champ direct, mais vous pouvez être concerné indirectement.

Étape 2 : le test de taille, avec les chiffres exacts

L'article 3, § 1er, de la loi renvoie à l'article 2 de l'annexe de la recommandation 2003/361/CE de la Commission européenne, qui dispose textuellement :

• la catégorie des PME est constituée des entreprises occupant moins de 250 personnes et dont le chiffre d'affaires annuel n'excède pas 50 millions d'euros ou dont le total du bilan annuel n'excède pas 43 millions d'euros ;
• une petite entreprise occupe moins de 50 personnes et son chiffre d'affaires annuel ou son total de bilan annuel n'excède pas 10 millions d'euros ;
• une microentreprise occupe moins de 10 personnes et son chiffre d'affaires ou son total de bilan n'excède pas 2 millions d'euros.

La loi belge vise les entités qui sont une « entreprise moyenne » au sens de cet article 2, ou qui en dépassent les plafonds. Traduit en règle utilisable :

Vous franchissez le seuil de taille si vous occupez au moins 50 personnes, ou si votre chiffre d'affaires annuel dépasse 10 millions d'euros et votre total de bilan dépasse 10 millions d'euros.

Le « et » est important : beaucoup de dirigeants retiennent « 10 millions » comme un seuil unique. Une entreprise de 30 personnes avec 12 millions de chiffre d'affaires mais 4 millions de total de bilan reste une petite entreprise, donc hors du seuil.

Deux précisions belges. Le calcul intègre les entreprises partenaires et liées (article 6 de l'annexe), mais l'article 3, § 2, de la loi permet au CCB de tenir compte du degré d'indépendance de l'entité vis-à-vis de son groupe : une filiale réellement autonome peut être appréciée sur ses seules données. Et l'article 3, § 4, de l'annexe — celui qui exclut du statut de PME les entreprises détenues à 25 % ou plus par des organismes publics — ne s'applique pas ici (article 3, § 1er, alinéa 2, de la loi).

Étape 3 : entité essentielle ou entité importante ?

C'est le point le plus souvent mal compris. La distinction ne se fait pas entre « annexe I = essentielle » et « annexe II = importante ». Elle se fait sur la combinaison type d'entité + taille, aux articles 9 et 10 de la loi.

Sont des entités essentielles (article 9) : les entités d'un type visé à l'annexe I qui excèdent les plafonds applicables aux moyennes entreprises (250 personnes ou plus, ou chiffre d'affaires supérieur à 50 millions d'euros et total de bilan supérieur à 43 millions) ; les prestataires de services de confiance qualifiés, registres de noms de domaine de premier niveau et fournisseurs de services DNS, quelle que soit leur taille ; les fournisseurs de réseaux ou services de communications électroniques publics constituant au moins des moyennes entreprises ; les entités de l'administration publique dépendant de l'État fédéral ; les entités identifiées comme entités critiques au sens de la loi du 19 décembre 2025 ; et toute entité de l'annexe I ou II identifiée comme essentielle par le CCB en vertu de l'article 11.

Sont des entités importantes (article 10) : toutes les entités d'un type visé à l'annexe I ou II qui ne sont pas qualifiées d'essentielles sur la base de l'article 9, ainsi que les entités identifiées comme importantes par le CCB.

Votre situation	Statut probable
Type d'entité annexe I, 50 à 249 personnes (sous les plafonds moyens)	Entité importante
Type d'entité annexe I, 250 personnes et plus (ou CA > 50 M€ et bilan > 43 M€)	Entité essentielle
Type d'entité annexe II, 50 personnes et plus, quelle que soit la taille au-delà	Entité importante
Registre TLD, fournisseur DNS, prestataire de services de confiance qualifié	Entité essentielle, quelle que soit la taille
Entité critique au sens de la loi du 19 décembre 2025	Entité essentielle, quelle que soit la taille
Type d'entité annexe I ou II, moins de 50 personnes et sous les seuils financiers	Hors champ direct, sauf identification par le CCB

Conséquence pratique : une PME wallonne de 50 à 249 personnes qui exerce une activité de l'annexe I — un prestataire de soins de santé, un distributeur d'eau, un fournisseur de services gérés — est une entité importante, pas une entité essentielle. Cela change le régime de supervision et le calendrier de mise en conformité qui lui est applicable.

Concerné quelle que soit votre taille : les exceptions

L'article 3, §§ 3 à 5, de la loi énumère les cas où la taille ne joue aucun rôle : fournisseurs de réseaux ou services de communications électroniques accessibles au public ; prestataires de services de confiance ; registres de noms de domaine de premier niveau et fournisseurs de services DNS ; entités de l'administration publique fédérale, entités des entités fédérées identifiées par le CCB, zones de secours et SIAMU bruxellois ; entités critiques au sens de la loi du 19 décembre 2025 ; et entités fournissant des services d'enregistrement de noms de domaine (§ 5) — un registrar de six personnes est concerné.

S'ajoute l'identification discrétionnaire par le CCB (article 11, § 1er), possible quelle que soit la taille, dans quatre cas : vous êtes le seul prestataire en Belgique d'un service essentiel ; une perturbation de votre service pourrait avoir un impact important sur la sécurité, la sûreté ou la santé publiques ; elle pourrait induire un risque systémique important ; ou vous êtes critique en raison de votre importance spécifique au niveau national ou régional. Le CCB soumet d'abord un projet de décision à l'entité, et réévalue les identifications au moins tous les deux ans.

Quatre cas concrets de PME wallonnes

Bureau d'études techniques, 18 personnes, Namur, sous-traitant d'un gestionnaire de réseau de distribution d'électricité. Aucun type d'entité des annexes ne correspond, et il est sous les seuils de taille. Hors champ direct — mais il recevra des exigences de sécurité de son donneur d'ordre.

Entreprise agroalimentaire, 90 personnes, Hainaut, transformation industrielle et distribution en gros. Annexe II, point 4, et plus de 50 personnes : elle est dans le champ. Elle ne relève pas de l'annexe I et ne dépasse pas les plafonds des moyennes entreprises : entité importante.

Groupe de soins, 300 salariés, Brabant wallon, prestataire de soins de santé au sens de la directive 2011/24/UE. Annexe I, point 5, et plus de 250 personnes : entité essentielle.

Fournisseur de services gérés (MSP), 25 personnes, Liège, 4 millions d'euros de chiffre d'affaires. Son activité figure bien à l'annexe I, point 9, mais il n'atteint aucun seuil de taille et les MSP ne font pas partie des exceptions « quelle que soit la taille ». Hors champ direct, sauf identification par le CCB au titre de l'article 11 — hypothèse réaliste s'il opère les systèmes de nombreuses entités visées.

Le cas le plus fréquent : concerné par ricochet

C'est le point le moins compris et pourtant le plus important pour une PME wallonne de service ou de production. L'article 30, § 3, 4°, impose aux entités essentielles et importantes de traiter « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». L'article 30, § 4, précise ce qu'elles doivent regarder : « les vulnérabilités propres à chaque fournisseur et prestataire de services direct et la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé ».

Autrement dit : vos clients soumis à NIS2 ont une obligation légale de vous évaluer. En pratique, cela prend la forme de questionnaires de sécurité, de clauses contractuelles, d'exigences sur la gestion des accès, les sauvegardes, la procédure d'incident ou l'authentification multifacteur. Une PME informatique, un intégrateur, un prestataire de maintenance industrielle ou un cabinet comptable qui travaille pour un hôpital, une banque ou un opérateur d'infrastructure peut donc devoir démontrer un niveau de sécurité minimal sans être elle-même dans le champ de la loi.

Vos obligations si vous êtes dans le champ

S'enregistrer auprès du CCB. L'article 13 impose de s'enregistrer dans les cinq mois suivant l'entrée en vigueur de la loi ou votre identification par le CCB, en communiquant dénomination, numéro BCE, coordonnées, plages d'IP, secteur et sous-secteur. Pour la vague initiale, l'échéance était le 18 mars 2025. Toute modification doit être communiquée dans les deux semaines. Certains fournisseurs numériques (DNS, cloud, centres de données, CDN, MSP, MSSP, places de marché, moteurs de recherche, réseaux sociaux) relèvent d'un régime distinct à l'article 14.

Mettre en place des mesures de gestion des risques. L'article 30, § 3, énumère onze domaines à couvrir au minimum : politiques d'analyse des risques et de sécurité des systèmes d'information ; gestion des incidents ; continuité des activités (sauvegardes, reprise, gestion de crise) ; sécurité de la chaîne d'approvisionnement ; sécurité de l'acquisition, du développement et de la maintenance, y compris le traitement des vulnérabilités ; évaluation de l'efficacité des mesures ; cyberhygiène de base et formation ; cryptographie et chiffrement ; sécurité des ressources humaines, contrôle d'accès et gestion des actifs ; authentification à plusieurs facteurs et communications sécurisées ; divulgation coordonnée des vulnérabilités. Le § 5 ajoute une obligation souvent oubliée : réaliser une analyse des risques « tous risques » et élaborer sur cette base une politique de sécurité de l'information (P.S.I.) reprenant au moins ces onze aspects.

Impliquer la direction. L'article 31 est explicite : l'organe de direction approuve les mesures, supervise leur mise en œuvre et est responsable de la violation de l'article 30. Ses membres doivent en outre suivre une formation leur permettant de déterminer les risques et d'évaluer les pratiques de gestion des risques. Ce n'est pas une bonne pratique : c'est une obligation légale.

Se soumettre à une évaluation périodique de conformité, si vous êtes une entité essentielle (article 39) ; les entités importantes peuvent le faire volontairement (article 41). Dans les deux cas, l'entité évaluée est présumée respecter l'article 30 jusqu'à preuve du contraire (article 42) — c'est l'intérêt concret de la démarche.

Notifier un incident : 24 heures, 72 heures, un mois

L'article 35 fixe la séquence. En cas d'incident significatif, vous devez soumettre au CSIRT national :

1. une alerte précoce dans les 24 heures, indiquant notamment si l'on suspecte un acte illicite ou malveillant, ou un impact transfrontière ;
2. une notification d'incident dans les 72 heures, avec une évaluation initiale de la gravité, de l'impact et des indicateurs de compromission disponibles ;
3. un rapport intermédiaire à la demande du CSIRT national ou de l'autorité sectorielle ;
4. un rapport final au plus tard un mois après la notification, décrivant l'incident, la cause profonde probable, les mesures d'atténuation et l'éventuel impact transfrontière ;
5. si l'incident est toujours en cours : un rapport d'avancement, puis un rapport final dans le mois suivant le traitement définitif.

Trois nuances utiles. Les prestataires de services de confiance doivent notifier dans les 24 heures et non 72 (article 35, § 2). Le CSIRT national doit vous répondre si possible dans les 24 heures suivant l'alerte précoce, avec un retour initial et, à votre demande, des conseils opérationnels (article 36) : la notification n'est pas à sens unique. Enfin, l'article 38 permet à n'importe quelle organisation, y compris hors du champ de la loi, de notifier volontairement un incident, une cybermenace ou un incident évité — sans que ce signalement ait « pour effet direct de lancer une inspection » ou de créer des obligations supplémentaires.

Supervision et sanctions : ce que la loi prévoit vraiment

Deux régimes de supervision. Les entités essentielles font l'objet d'un contrôle proactif. Pour les entités importantes, l'article 48, § 2, est clair : le contrôle s'exerce ex post, « sur base d'éléments de preuve, d'indications ou d'informations selon lesquels une entité importante ne respecte pas la présente loi ».

Les mesures administratives (article 58) viennent avant toute amende : avertissements, instructions contraignantes, injonction de remédier dans un délai déterminé, obligation d'informer les clients d'une cybermenace importante, obligation de mettre en œuvre les recommandations d'un audit, obligation de rendre publics certains aspects des manquements et — pour les seules entités essentielles — désignation d'un responsable du contrôle.

Les amendes administratives (article 59) :

Manquement	Fourchette
Non-respect des obligations d'information de l'article 12	500 € à 125 000 €
Représailles contre une personne agissant de bonne foi ; non-respect des obligations de contrôle	500 € à 200 000 €
Entité importante : mesures de gestion des risques et/ou notification d'incidents	500 € à 7 000 000 € ou 1,4 % du chiffre d'affaires annuel mondial total de l'exercice précédent — le montant le plus élevé étant retenu
Entité essentielle : mesures de gestion des risques et/ou notification d'incidents	500 € à 10 000 000 € ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent — le montant le plus élevé étant retenu

L'amende est doublée en cas de récidive pour les mêmes faits dans un délai de trois ans, doit être acquittée dans les soixante jours (article 55, § 2), et les faits sont prescrits trois ans après leur commission (article 57).

Deux nuances que les articles alarmistes omettent : la fourchette commence à 500 euros — les plafonds de 7 et 10 millions sont des maxima, appréciés au cas par cas ; et l'article 62 exclut explicitement les entités du secteur de l'administration publique des amendes des articles 59 et 60.

Les mesures les plus lourdes (article 60) ne visent que les entités essentielles, et seulement si les mesures demandées n'ont pas été prises dans le délai imparti : suspension temporaire d'une certification ou d'une autorisation portant sur tout ou partie des services, et interdiction temporaire, pour un dirigeant au niveau de directeur général ou de représentant légal, d'exercer des responsabilités dirigeantes dans l'entité — jusqu'à ce que l'entité ait remédié aux insuffisances. L'article 61 pose par ailleurs une responsabilité personnelle : toute personne physique responsable d'une entité essentielle ou importante « a le pouvoir de veiller au respect, par l'entité, de la présente loi » et est responsable des manquements à ce devoir.

Cinq erreurs fréquentes de qualification

1. Confondre « annexe I » et « entité essentielle ». Une PME de 120 personnes dans un secteur de l'annexe I est une entité importante, avec un régime de supervision ex post.
2. Lire « 10 millions » comme un seuil unique. Il faut dépasser 10 millions de chiffre d'affaires et 10 millions de total de bilan.
3. Ne compter que ses propres effectifs. Le calcul intègre les entreprises partenaires et liées.
4. Se fier à son seul code NACE. Les annexes visent des types d'entités définis par renvoi à des textes sectoriels ; un même code NACE peut couvrir des activités visées et non visées.
5. Attendre un courrier du CCB. L'enregistrement de l'article 13 est déclaratif : l'entité doit s'enregistrer elle-même. Seule l'identification de l'article 11 fait l'objet d'un projet de décision notifié.

Votre checklist des prochaines semaines

1. Écrivez votre qualification. Une page suffit : type d'entité au regard des annexes I et II, effectif consolidé, chiffre d'affaires, total de bilan, statut retenu et articles de loi invoqués. Datez-la et faites-la valider par votre direction.
2. Vérifiez votre enregistrement auprès du CCB si vous êtes dans le champ, ainsi que la fraîcheur des informations communiquées — l'article 13, § 3, impose une mise à jour dans les deux semaines.
3. Listez vos dix principaux clients et repérez ceux qui sont vraisemblablement des entités essentielles ou importantes : ce sont eux qui vous transmettront des exigences contractuelles.
4. Testez votre procédure d'incident contre l'horloge des 24 heures. Qui décide qu'un incident est « significatif » ? Qui notifie, avec quelles informations, si votre système d'information est indisponible ?
5. Faites une auto-évaluation gratuite avec les outils CyFun du CCB, librement téléchargeables sur cyfun.eu.
6. Planifiez la formation de votre organe de direction, exigée par l'article 31, § 2. C'est l'obligation la moins coûteuse et la plus souvent oubliée.

Ne partez pas du principe que « ça ne me concerne pas » sans l'avoir écrit noir sur blanc — ni du principe inverse que « c'est trop tard ». Dans les deux cas, la démarche est la même : qualifier, documenter, prioriser selon le risque réel.

---

Cet article est une synthèse pédagogique à jour au 3 août 2026, rédigée à partir des textes officiels cités ci-dessous. Il ne constitue ni un avis juridique, ni une prestation d'audit ou de certification. En cas de doute sur votre situation, référez-vous aux textes et rapprochez-vous du CCB ou d'un conseil qualifié.

Sources

• Loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique — Justel
• Arrêté royal du 9 juin 2024 exécutant la loi du 26 avril 2024 — Justel
• Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2) — EUR-Lex
• Recommandation 2003/361/CE concernant la définition des micro, petites et moyennes entreprises — EUR-Lex
• CyberFundamentals Framework — CCB (cyfun.eu)
• CyFun en Belgique — présomption de conformité NIS2