NIS2: Êtes vous dans le champ d'application ?
La nouvelle loi belge sur la cybersécurité est entrée en vigueur.
Une présomption de conformité à NIS2 peut être obtenue par une vérification CyberFundamentals (niveaux d'assurance BASIC et IMPORTANT), une certification CyberFundamentals (niveau d'assurance ESSENTIAL) ou une certification ISO/IEC 27001 (à condition que le champ d'application et Statement of Applicability soient jugés acceptables par le CCB).
La conformité aux exigences des niveaux d'assurance respectifs du CyberFundamentals Framework sera évaluée conformément aux exigences énoncées dans le CyberFundamentals Conformity Assessment Scheme (CAS).
Les évaluations de la conformité dans un contexte NIS2 (via CyFun® ou ISO/IEC 27001) doivent être effectuées par un organisme d'évaluation de la conformité accrédité et agréé.
L'accréditation d'un organisme d'évaluation de la conformité se fait conformément au Règlement européen 765/2008 fixant les prescriptions relatives à l'accréditation et à la surveillance du marché, sauf disposition contraire de la législation belge. Les demandes d'accréditation peuvent être adressées à l'organisme national d'accréditation (BELAC pour la Belgique) selon la procédure applicable.
L’agrégation pour tous les organismes d'évaluation de la conformité opérant dans un contexte NIS2 est fournie par le CCB en tant qu'autorité nationale de certification de cybersécurité (NCCA). L'accréditation est l'une des exigences de l’agrégation.
En novembre 2025, une nouvelle version du « Schéma d’évaluation de la conformité au cadre de cybersécurité » (CyFun® CAS) et les « Clarifications relatives au schéma d’évaluation de la conformité au cadre de cybersécurité » ont été publiées. Le document « Transition vers le nouveau CAS et clarifications » explique les modalités de transition pour ces deux documents.
Image
Transition de CyFun® 2023 à CyFun® 2025
La nouvelle version du CyberFundamentals Framework a été publiée le 1er octobre 2025 par le Centre pour la cybersécurité Belgique (CCB). Un régime transitoire pour les organismes de vérification et de certification accrédités a été défini.
Points importants du règlement transitoire
· Les organismes de vérification et de certification (OV et OC) doivent avoir obtenu l'accréditation pour la vérification ou la certification selon CyFun® 2025 au plus tard le 18 avril 2027.
· CyFun®2023 et CyFun®2025 coexisteront jusqu'au 18 avril 2027 et les entités pourront jusqu'à cette date choisir la version de CyFun® qu'elles souhaitent appliquer.
· Les organismes de vérification et de certification (OV et OC) ont la possibilité d'effectuer des vérifications ou des certifications selon CyFun®2023 jusqu'au 18 avril 2027 au plus tard. Les déclarations de vérification et les certificats selon CyFun®2023 sont valables jusqu'au 18 avril 2028 au plus tard.
Le document ci-dessous décrit en détail le régime transitoire.