NIS2 : les 10 questions qu'un dirigeant de PME doit poser à son responsable informatique

La loi belge NIS2, en vigueur depuis le 18 octobre 2024, impose des obligations de cybersécurité à des milliers d'entreprises, bien au-delà des secteurs critiques historiques, et rend leurs dirigeants personnellement responsables de la gestion des risques. Pour savoir où en est réellement votre entreprise, nul besoin d'être informaticien : dix questions posées à votre responsable informatique ou à votre prestataire suffisent à dresser le bilan. Les voici, avec ce qu'une bonne réponse doit contenir.

18 avril 2026
Cette échéance est déjà derrière nous : c'est la date à laquelle les entités essentielles devaient avoir soumis leur évaluation de conformité au CCB. L'inspection est passée de la théorie à la réalité opérationnelle. La question n'est plus « quand faudra-t-il s'y mettre ? », mais « où en sommes-nous ? ».

Votre entreprise est-elle concernée ?

Plus probablement que vous ne le pensez, et par deux chemins. Le chemin direct : la loi du 26 avril 2024 couvre dix-huit secteurs, des évidents (énergie, santé, transport) aux moins attendus (agroalimentaire, fabrication, services numériques, gestion des déchets, services postaux), généralement à partir de la taille de moyenne entreprise ; les entités sont classées « essentielles » ou « importantes » selon leur secteur et leur taille, avec des obligations et des sanctions graduées, et devaient s'enregistrer auprès du CCB pour le 18 mars 2025 (un enregistrement manqué se régularise : mieux vaut tard que contrôlé). Le chemin indirect, le plus sous-estimé : les fournisseurs d'entités NIS2 sont rattrapés par la chaîne d'approvisionnement, leurs clients régulés devant maîtriser les risques de leurs sous-traitants ; les questionnaires de sécurité qui arrivent chez des PME « non concernées » en sont le symptôme quotidien. Deux spécificités belges encore : le CCB propose un cadre de conformité national gradué, CyberFundamentals, que nous détaillons ci-dessous ; et la loi rend les organes d'administration responsables des décisions de cybersécurité, formation des dirigeants à l'appui. Traduction : le sujet ne se délègue pas intégralement à l'informatique, et c'est précisément pourquoi les dix questions qui suivent sont les vôtres.

CyberFundamentals : le chemin belge vers la conformité

La Belgique a fait un choix que peu d'États membres ont fait : plutôt que de renvoyer les entreprises vers des normes internationales lourdes, le CCB a bâti son propre cadre de référence, CyberFundamentals (ou CyFun), gratuit, aligné sur les grands référentiels internationaux et surtout gradué. Quatre niveaux d'assurance existent, dimensionnés selon le risque de l'organisation : Small (7 contrôles, le socle que toute entreprise, même hors champ NIS2, peut adopter demain), Basic (34 contrôles), Important (132) et Essential (217). Le niveau qui vous concerne découle d'une évaluation du risque proposée par le CCB lui-même ; les entités essentielles visent en principe le niveau Essential, les entités importantes un niveau intermédiaire, chacune pouvant démontrer sa conformité soit par CyFun, soit par une certification ISO 27001 équivalente. La mécanique est celle d'un escalier : auto-évaluation sur l'outil du CCB, plan de remédiation des écarts, puis, pour les niveaux supérieurs, vérification ou certification par un organisme d'évaluation agréé. Le calendrier est déjà engagé : l'auto-évaluation des entités essentielles devait être remise pour le 18 avril 2026, et leur certification au niveau Essential est attendue pour le 18 avril 2027, faute de quoi un plan de remédiation doit être fourni au service d'inspection à cette même date. Ce que ce cadre a de précieux pour un dirigeant : il traduit une loi abstraite en une liste finie de contrôles concrets, vérifiables, classés par priorité, et les dix questions qui suivent en sont, pour l'essentiel, la traduction en langage de comité de direction.

Qui peut entrer ? Les questions sur les identités et les accès

Question 1 : la double authentification est-elle activée partout, sans exception ? La bonne réponse est un oui sans astérisque : messagerie, accès à distance, applications cloud, et surtout les comptes à privilèges. Chaque exception (« sauf le compte de la comptabilité, ça bloquait ») est exactement le maillon qu'un attaquant cherchera.

Question 2 : les comptes administrateurs sont-ils séparés et comptés ? Personne ne devrait administrer les systèmes avec le compte qui lit ses emails ; la bonne réponse énumère des comptes d'administration dédiés, nominatifs, en nombre connu et justifié.

Question 3 : que devient un compte quand quelqu'un part ? La bonne réponse décrit une procédure de départ écrite (désactivation immédiate, récupération des accès, revue des partages), pas une habitude orale ; les comptes dormants d'anciens collaborateurs sont l'une des portes d'entrée les plus banales qui soient.

Verrait-on une attaque ? Les questions sur la protection et la détection

Question 4 : qui regarde les alertes de sécurité, y compris le dimanche à 3 heures ? Un outil de détection moderne sur tous les postes et serveurs est le prérequis, mais l'outil sans les yeux ne suffit pas : la bonne réponse nomme qui analyse et réagit, en continu, ce que nous avons détaillé en expliquant la différence entre EDR et détection managée.

Question 5 : en combien de temps les correctifs de sécurité sont-ils appliqués ? La bonne réponse est un délai chiffré et différencié (les correctifs critiques en jours, pas en trimestres), appuyé sur un inventaire à jour de ce qui doit être maintenu ; « les mises à jour sont automatiques » n'est une réponse que pour les postes, pas pour les serveurs, équipements réseau et applications métier.

Question 6 : si un incident sérieux survenait ce soir, qui le notifierait au CCB, et dans quel délai ? La loi impose une alerte précoce dans les 24 heures et une notification dans les 72 heures pour les incidents significatifs : la bonne réponse montre que le circuit est prévu (qui qualifie l'incident, qui déclare, avec quelles informations), car ces délais ne se découvrent pas le jour J.

Survivrait-on ? Les questions sur les sauvegardes et la continuité

Question 7 : nos sauvegardes résisteraient-elles à un rançongiciel, et couvrent-elles aussi Microsoft 365 ? La bonne réponse parle de copies hors d'atteinte (hors site, hors ligne ou immuables), de rétention suffisante pour remonter avant une compromission ancienne, et inclut explicitement les données cloud, que trop d'entreprises croient sauvegardées d'office.

Question 8 : quand avons-nous testé une restauration pour la dernière fois, et en combien de temps redémarre-t-on ? Une sauvegarde ne vaut que restaurée : la bonne réponse cite un test documenté récent et un objectif de délai de reprise par système critique, arbitré avec la direction, car c'est une décision d'entreprise, pas un réglage technique.

Peut-on le prouver ? Les questions sur la gouvernance

Question 9 : sommes-nous enregistrés auprès du CCB, et quel niveau CyberFundamentals visons-nous ? La bonne réponse est factuelle : enregistrement fait (ou régularisé), niveau cible identifié en fonction de votre classification, auto-évaluation réalisée ou planifiée, et un plan d'écart daté.

Question 10 : si un inspecteur du CCB demandait demain les preuves, que pourrait-on lui montrer ? C'est la question qui départage la conformité réelle de la conformité déclarée : politiques écrites, journal des incidents, comptes rendus des tests de restauration, registres de formation (celle de la direction comprise, la loi l'exige), analyses de risques datées. Une mesure sans preuve est, aux yeux d'un régulateur, une mesure qui n'existe pas.

Posez ces dix questions lors de votre prochain comité, et notez les réponses : celles qui viennent avec des dates, des chiffres et des documents dessinent ce qui est déjà solide ; celles qui commencent par « en principe » ou « je suppose » dessinent votre plan d'action, dans l'ordre des sections ci-dessus, car il suit la logique d'une attaque réelle. Et si votre entreprise n'est pas directement visée par la loi, gardez la liste : vos clients régulés poseront tôt ou tard ces mêmes questions à leurs fournisseurs, et y répondre avant eux est un avantage commercial autant qu'une assurance. La cybersécurité réglementée n'est au fond que la formalisation de ce qu'un environnement numérique bien gouverné fait déjà. NIS2 ne demande rien d'exotique, elle demande que ce soit vrai, et prouvable.

Questions fréquentes