Si votre entreprise compte moins de 50 travailleurs en équivalents temps plein, et que votre chiffre d'affaires annuel ou votre total du bilan ne dépasse pas 10 millions d'euros, la loi belge NIS2 ne s'applique presque certainement pas directement à vous. Elle vise les organisations au moins de taille moyenne actives dans un des secteurs de ses deux annexes, plus une courte liste d'exceptions où la taille ne compte pas. Une petite entreprise rencontre plutôt NIS2 de façon indirecte : un client soumis à la loi doit se préoccuper de la sécurité de ses fournisseurs, et vous en faites peut-être partie.

Trois questions suffisent pour savoir si vous êtes concerné. Si un client vous a déjà envoyé un questionnaire de sécurité, la partie sur la chaîne d'approvisionnement, plus bas, est celle qui vous intéresse.

NIS2 en Belgique, c'est quoi ?

NIS2 est une directive européenne, la directive (UE) 2022/2555. La Belgique l'a transposée par la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, dite loi NIS2, et par un arrêté royal du 9 juin 2024. Selon le Centre pour la Cybersécurité Belgique (CCB), la loi est entrée en vigueur le 18 octobre 2024. Le CCB est l'autorité nationale de cybersécurité. C'est sur son site Safeonweb@Work que les entités s'enregistrent et que se trouvent la plupart des explications pratiques.

Suis-je concerné ? Trois questions

La page NIS2 du CCB le résume ainsi : en principe, vous êtes concerné si vous fournissez un service repris aux annexes I ou II de la loi, si vous êtes au moins une entreprise de taille moyenne et si vous êtes établi en Belgique.

1. Fournissez-vous un service des annexes I ou II ?

L'annexe I (« secteurs hautement critiques ») couvre l'énergie, les transports, le secteur bancaire, les infrastructures des marchés financiers, la santé, l'eau potable, les eaux usées, les infrastructures numériques, la gestion des services TIC (interentreprises), l'administration publique et l'espace. L'annexe II (« autres secteurs critiques ») couvre les services postaux et d'expédition, la gestion des déchets, les produits chimiques, la production, la transformation et la distribution des denrées alimentaires, la fabrication de certains produits (dispositifs médicaux, électronique, équipements électriques, machines, véhicules), les fournisseurs numériques et la recherche.

Deux de ces catégories paraissent plus larges qu'elles ne le sont :

Les « fournisseurs numériques », ce sont les places de marché en ligne, les moteurs de recherche en ligne et les plateformes de réseaux sociaux. Une boutique en ligne qui vend ses propres produits n'est pas une place de marché en ligne.
La « gestion des services TIC (interentreprises) » vise les fournisseurs de services gérés et de services de sécurité gérés. Une petite société informatique qui gère les systèmes de ses clients peut entrer dans la définition, mais reste en général sous le seuil de taille.

Chaque secteur est défini par renvoi à la législation européenne, et les détails comptent. Le CCB publie une matrice des définitions et un fichier Excel, le NIS2 Scope Test, qui vous guide pas à pas.

2. Êtes-vous au moins une entreprise moyenne ?

La règle de taille vient de la recommandation 2003/361/CE de la Commission, la définition européenne de la PME. Comme l'explique le CCB, on regarde d'abord l'effectif, en équivalents temps plein (ETP) :

Effectif (ETP)	Chiffre d'affaires annuel	Total du bilan	Taille
moins de 50	jusqu'à 10 millions €	jusqu'à 10 millions €	micro ou petite
de 50 à 249	jusqu'à 50 millions €	jusqu'à 43 millions €	moyenne
250 ou plus	plus de 50 millions €	plus de 43 millions €	grande

Pour les montants, vous pouvez retenir le plus bas des deux, chiffre d'affaires ou total du bilan. Concrètement, vous êtes au moins une entreprise moyenne si vous avez 50 ETP ou plus, ou si votre chiffre d'affaires et votre total du bilan dépassent tous deux 10 millions €. Les exemples du CCB lui-même : une entreprise de 35 ETP, avec 1 million € de chiffre d'affaires et un total du bilan de 50 millions €, est petite ; une entreprise de 80 ETP avec 1 million € de chiffre d'affaires est moyenne.

Attention si votre société fait partie d'un groupe. La recommandation additionne alors les chiffres des entreprises partenaires et liées. Une petite filiale belge d'un groupe plus important peut ainsi être moyenne ou grande sur le papier, même si l'article 3, § 2, de la loi belge permet au CCB de tenir compte du degré d'indépendance de cette filiale par rapport au groupe, notamment pour ses systèmes et les services qu'elle fournit. Pour ce calcul, la page NIS2 du CCB renvoie au guide de l'utilisateur de la Commission sur la définition des PME.

3. Une exception s'applique-t-elle, quelle que soit la taille ?

Certaines entités sont concernées quelle que soit leur taille. Le CCB cite :

les prestataires de services de confiance, qualifiés ou non ;
les fournisseurs de services DNS et les registres de noms de domaine de premier niveau ;
les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public ;
les entités désignées comme entités critiques en vertu de la législation belge sur la résilience des entités critiques ;
les entités de l'administration publique qui dépendent de l'État fédéral.

Les entités qui fournissent des services d'enregistrement de noms de domaine, comme les registrars, doivent s'enregistrer même si elles sont petites, mais c'est la seule obligation que cette exception leur impose.

Par ailleurs, l'article 11 de la loi permet au CCB d'identifier une organisation comme essentielle ou importante quelle que soit sa taille, par exemple si elle est le seul prestataire en Belgique d'un service essentiel au maintien d'activités sociétales ou économiques critiques. Cela se fait en concertation avec l'organisation. Si cela ne vous est pas arrivé, cela ne vous concerne pas.

Vérification rapide

Mon entreprise fournit un service des annexes I ou II (vérifié dans les définitions, pas seulement d'après le nom du secteur).
Nous avons 50 ETP ou plus, ou notre chiffre d'affaires et notre total du bilan dépassent tous deux 10 millions €.
J'ai tenu compte des sociétés du groupe quand les règles PME l'exigent.
Nous sommes prestataire de services de confiance, fournisseur DNS, registre de TLD ou fournisseur de communications électroniques publiques.
Le CCB nous a contactés pour nous identifier comme entité essentielle ou importante.

Si vous avez coché les deux premières cases ensemble, ou l'une des deux dernières, lisez la partie suivante et faites le scope test du CCB. Si vous n'avez rien coché, vous n'êtes très probablement pas une entité NIS2, et c'est la partie d'après qui vous concerne.

Si vous êtes concerné

Une entité soumise à la loi est soit « essentielle », soit « importante ». Selon le CCB, la différence tient surtout à la rigueur de la supervision et des sanctions : les entités essentielles passent des évaluations de conformité régulières, les entités importantes sont en principe contrôlées a posteriori, par exemple après un incident.

Les principales obligations de la loi :

L'enregistrement auprès du CCB sur Safeonweb@Work. Selon l'article 13, les entités disposaient de cinq mois après l'entrée en vigueur, soit jusqu'au 18 mars 2025 selon le CCB. Les fournisseurs du secteur numérique, comme les services d'informatique en nuage ou de centres de données, avaient jusqu'au 18 décembre 2024. Si vous découvrez seulement maintenant que vous êtes concerné, contactez le CCB plutôt que d'attendre.
Des mesures de gestion des risques (article 30) : onze domaines minimaux, de l'analyse des risques et la gestion des incidents aux sauvegardes, à la sécurité de la chaîne d'approvisionnement, à l'authentification multifacteur et au chiffrement. Le CCB recommande de les mettre en œuvre avec son cadre CyberFundamentals (CyFun).
La notification des incidents significatifs au CCB (article 35) : une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification d'incident dans les 72 heures, et un rapport final au plus tard un mois après cette notification.
La responsabilité de la direction (article 31) : l'organe de direction approuve les mesures, supervise leur mise en œuvre et peut être tenu responsable des manquements, et ses membres suivent une formation en cybersécurité.

Les amendes de l'article 59 vont jusqu'à 7 millions € ou 1,4 % du chiffre d'affaires annuel mondial total pour les entités importantes, et jusqu'à 10 millions € ou 2 % pour les entités essentielles, le montant le plus élevé étant retenu. Elles sont doublées en cas de répétition des mêmes faits dans un délai de trois ans.

À ce stade, il vous faut les explications du CCB et, très probablement, un spécialiste. Nous ne sommes ni juristes ni auditeurs NIS2, et cet article n'évalue pas votre situation.

Pas concerné ? Pensez à la chaîne d'approvisionnement

L'article 30, § 3, 4°, de la loi belge, qui transpose l'article 21, paragraphe 2, point d), de la directive, oblige chaque entité NIS2 à gérer la sécurité de sa chaîne d'approvisionnement, « y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ».

Si vous fournissez un hôpital, un fournisseur d'énergie, un producteur alimentaire ou un fabricant de taille moyenne, vous pouvez donc recevoir un questionnaire, une nouvelle clause dans votre contrat ou une demande de montrer ce que vous faites en matière de sécurité. Le CCB le dit lui-même sur sa page NIS2 : une entité NIS2 peut imposer un niveau CyFun à ses fournisseurs directs, et le CCB conseille à toute organisation susceptible de faire partie d'une telle chaîne de respecter au moins le niveau CyFun Basic.

CyFun compte quatre niveaux. Small est un point de départ pour les micro-organisations ou celles qui ont peu de connaissances techniques, prévu pour une première auto-évaluation. Basic contient les mesures de sécurité standard pour toutes les entreprises et c'est le premier niveau qu'un organisme d'évaluation de la conformité vérifie. Important et Essential vont plus loin. Les outils (un outil de sélection et un tableur d'auto-évaluation) sont gratuits sur la page CyFun. Les versions 2023 et 2025 du cadre restent utilisables toutes les deux jusqu'au 18 avril 2027.

En Flandre, le kmo-portefeuille (le portefeuille PME flamand) permettait de financer des conseils en cybersécurité. Cette porte est fermée : selon VLAIO, le budget 2026 était épuisé le 15 octobre 2026 (en néerlandais), et le gouvernement flamand arrête le dispositif au 1er janvier 2027. Pour la cybersécurité, VLAIO renvoie désormais vers ses trajets d'amélioration en cybersécurité. Ce qui reste ouvert est expliqué dans notre article sur la fin du kmo-portefeuille.

Que demander à votre fournisseur de logiciel ou de site ?

Si c'est vous qui envoyez le questionnaire, ou si vous voulez simplement savoir où vous en êtes, voici les questions que nous poserions à tout fournisseur qui développe ou gère un logiciel pour vous :

À qui appartiennent le code, le nom de domaine et le compte d'hébergement, et pouvez-vous en obtenir le transfert par écrit ?
Qui a un accès administrateur au site, au serveur et à la base de données, cet accès est-il nominatif (pas d'identifiant partagé), et l'authentification multifacteur est-elle activée ?
À quelle fréquence le CMS, les extensions et les logiciels du serveur sont-ils mis à jour, et par qui ?
Où les données sont-elles hébergées, et est-ce dans l'UE ?

Un fournisseur qui répond par écrit aux quatre questions est plus facile à présenter à l'équipe sécurité d'un client.

Comment nous pouvons vous aider

Nous développons des sites et des applications web, donc ce sont quatre questions auxquelles nous devons nous-mêmes pouvoir répondre sur notre travail. La page création de site web et la page des prix indiquent ce qui est inclus, par exemple l'hébergement dans l'UE, les mises à jour et les sauvegardes dans le plan de maintenance mensuel. Nous ne proposons pas de services de conformité NIS2 ni d'audits. Ce que nous pouvons faire, c'est regarder gratuitement ce que votre site actuel montre au monde extérieur.