NIS2 en Belgique : ce que les PME doivent savoir (sans panique)
La directive NIS2 est transposée en droit belge. Qui est concerné ? Quelles obligations concrètes ? Les PME sous 50 employés sont-elles visées ? Démêlons le vrai du faux.
NIS2 : de quoi parle-t-on ?
La directive européenne NIS2 (Network and Information Security 2) est entrée en vigueur en droit belge via la loi du 26 avril 2024. Elle impose des exigences de cybersécurité aux organisations qui fournissent des services essentiels ou importants à l'économie. En Belgique, le CCB (Centre for Cybersecurity Belgium) est l'autorité de supervision.
Les PME sont-elles directement concernées ?
La réponse courte : la plupart des PME belges classiques ne sont pas directement concernées par NIS2.
NIS2 cible les "entités essentielles" et "entités importantes" dans des secteurs spécifiques (énergie, transport, santé, eau, infrastructure numérique, administration publique, banque, marchés financiers…). Les seuils sont :
- Entités essentielles : secteurs critiques + plus de 250 employés OU plus de 50 M€ de chiffre d'affaires
- Entités importantes : secteurs critiques + 50 à 249 employés OU 10 à 50 M€ de CA
Une PME de commerce, consulting, immobilier ou artisanat de moins de 50 personnes n'est pas visée directement.
Mais les exigences peuvent vous atteindre indirectement
Si vous êtes fournisseur ou sous-traitant d'une entité NIS2, celle-ci est obligée de s'assurer que ses fournisseurs appliquent des mesures de cybersécurité adéquates. Elle peut donc vous demander de démontrer votre niveau de sécurité.
Concrètement : si vous fournissez des services à un hôpital, une commune, un opérateur télécom ou une banque, attendez-vous à des demandes de conformité dans les 12-24 prochains mois.
Les mesures NIS2 que les PME devraient appliquer de toute façon
Indépendamment de NIS2, les mesures imposées aux entités concernées sont de bonnes pratiques pour toute PME :
- MFA sur tous les accès
- Sauvegardes régulières et testées
- Gestion des mises à jour et des vulnérabilités
- Plan de réponse aux incidents
- Sensibilisation des employés
Ce que vous devez faire maintenant
- Vérifiez si vous êtes directement concerné : le CCB propose un outil d'auto-évaluation sur ccb.belgium.be
- Si vous êtes dans la chaîne d'approvisionnement d'entités NIS2 : anticipez les demandes en documentant votre sécurité actuelle
- Dans tous les cas : les bases (MFA, backup, patches) sont non négociables
Vous voulez mettre ces bonnes pratiques en place ?
Avony s'occupe de tout : déploiement, configuration et suivi. Contactez-nous pour un audit gratuit.
Prendre contact