Vérification CyFun® et NIS2

Qu’est-ce que le CyberFundamentals Framework ?

Le CyberFundamentals Framework, ou CyFun^®, est un référentiel développé par le Centre pour la Cybersécurité Belgique (CCB). Il comprend des mesures concrètes visant à protéger les données, à réduire les risques liés aux cyberattaques les plus courantes et à renforcer la cyber-résilience des organisations.

CyFun^® peut être utilisé aussi bien par les entités relevant de la législation belge NIS2 que par d’autres organisations souhaitant structurer et faire évaluer leurs mesures de cybersécurité.

Le framework prévoit plusieurs niveaux d’assurance afin que les mesures et la vérification puissent être adaptées au profil de risque, à l’impact potentiel et à l’exposition aux cybermenaces de l’organisation.

Champ d’application de la loi belge NIS2

Pour relever du champ d’application de la loi belge NIS2, une organisation doit notamment fournir en Belgique un service relevant de l’un des secteurs ou sous-secteurs repris aux annexes I et II de la loi. Les critères relatifs à la taille de l’organisation doivent également être pris en considération. En règle générale, la législation concerne les organisations qui emploient au moins 50 personnes en équivalents temps plein ou dont le chiffre d’affaires annuel ou le total du bilan annuel dépasse 10 millions d’euros. Des exceptions et des règles particulières peuvent toutefois s’appliquer.

L’outil de test du champ d’application NIS2 permet d’effectuer une première évaluation afin de déterminer si votre organisation est susceptible d’être considérée comme une entité essentielle ou importante.

À qui s’adresse CyFun® ?

Le CyberFundamentals Framework s’adresse aux organisations qui souhaitent sélectionner, mettre en œuvre et évaluer des mesures concrètes de cybersécurité. Il peut être utilisé aussi bien par des entités relevant de la législation NIS2 que par d’autres organisations souhaitant renforcer leur cyber-résilience.

• PME : organisations souhaitant mettre en œuvre des mesures de cybersécurité structurées et adaptées à leur profil de risque ;
• grandes entreprises : organisations souhaitant disposer d’un référentiel structuré pour renforcer leur cyber-résilience ;
• institutions publiques et semi-publiques : organisations souhaitant satisfaire à leurs obligations en matière de cybersécurité ;
• prestataires de services et fournisseurs : organisations souhaitant démontrer à leurs clients que leurs mesures de cybersécurité ont fait l’objet d’une évaluation indépendante.

En résumé, CyFun^® est pertinent pour toute organisation souhaitant renforcer sa cyber-résilience ou démontrer la mise en œuvre de mesures de cybersécurité reconnues.

CyFun® 2023 et CyFun® 2025

Une nouvelle version du CyberFundamentals Framework a été publiée en octobre 2025. CyFun^® 2023 et CyFun^® 2025 coexistent jusqu’au 18 avril 2027.

Durant cette période transitoire, les organisations peuvent choisir la version du référentiel qu’elles souhaitent appliquer, sous réserve des conditions applicables à leur situation.

Consultez les informations officielles concernant CyFun^® 2023 et CyFun^® 2025 sur Safeonweb@work.

Obligations des entités essentielles et importantes

La loi belge NIS2 impose plusieurs obligations aux entités concernées, notamment en matière de gestion des risques liés à la cybersécurité, de notification des incidents significatifs et de gouvernance.

1. Enregistrement
   Les entités relevant du champ d’application de la législation belge NIS2 doivent enregistrer leur organisation auprès du Centre pour la Cybersécurité Belgique (CCB).
2. Mesures de gestion des risques liés à la cybersécurité
   Les entités essentielles et importantes doivent mettre en œuvre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées afin de gérer les risques liés à la cybersécurité, de prévenir les incidents et d’en limiter les conséquences sur les services fournis.
3. Notification des incidents significatifs
   Les entités doivent notifier au CSIRT national, dont la mission est assurée en Belgique par le CCB, tout incident significatif affectant la fourniture de leurs services, conformément aux délais et modalités prévus par la législation.
4. Responsabilité des organes de direction
   Les organes de direction des entités NIS2 doivent approuver les mesures de gestion des risques liés à la cybersécurité, superviser leur mise en œuvre et suivre une formation appropriée. Ils peuvent être tenus responsables en cas de manquement aux obligations applicables.

Les entités essentielles doivent se soumettre à une évaluation régulière de la conformité. Selon les conditions applicables, cette évaluation peut être réalisée sur la base du CyberFundamentals Framework, d’une certification ISO/IEC 27001 ou d’une inspection effectuée par le service d’inspection du CCB.

Les entités importantes font en principe l’objet d’une supervision a posteriori. Elles peuvent néanmoins se soumettre volontairement à une évaluation régulière de la conformité selon le CyberFundamentals Framework. Lorsqu’elles satisfont aux conditions applicables, elles peuvent ainsi bénéficier d’une présomption de conformité.

Le CyberFundamentals Framework constitue un référentiel reconnu pour sélectionner, mettre en œuvre et évaluer des mesures concrètes de cybersécurité.

Supervision et sanctions

Le CCB a été désigné comme autorité nationale compétente en matière de cybersécurité et comme CSIRT national. En collaboration avec les autorités sectorielles compétentes, il veille au respect des obligations prévues par la législation belge NIS2.

Sanctions financières

En cas de non-respect des obligations applicables, les autorités compétentes peuvent imposer des sanctions administratives, notamment des amendes. La nature et le montant de ces sanctions dépendent notamment de la qualification de l’entité, de la gravité du manquement et des circonstances particulières.

Avertissements et mesures correctives

Les autorités compétentes peuvent également prendre des mesures d’exécution, telles que l’émission d’avertissements, l’injonction de mettre fin à un manquement ou l’obligation de mettre en œuvre des mesures correctives. Dans certaines situations et sous les conditions prévues par la loi, des mesures temporaires peuvent également être prises à l’égard des organes de direction d’une entité essentielle.