Certification CyFun Essential : préparer l'échéance du 18 avril 2027
Publié le 1 juillet 2026 — par Matthieu Roland
L'échéance est le 18 avril 2027, soit dans 7 mois. Selon le calendrier publié par le CCB, c'est à cette date que les entités essentielles doivent disposer d'une certification CyFun au niveau d'assurance requis — le niveau Essential pour la plupart d'entre elles.
Un parcours de certification bien mené demande environ neuf mois pour une organisation de maturité moyenne. Le rétroplanning ci-dessous est exprimé en mois avant l'échéance, pas en dates fixes : si vous démarrez plus tard, ce sont les chantiers de fond (étapes 4 et 5) qui se compriment, et c'est là que la marge se perd. La réservation de l'organisme de certification, elle, ne se comprime pas.
Ce que dit le calendrier du CCB
Le calendrier publié par le CCB pour les entités essentielles s'articule en deux jalons :
- 18 avril 2026 : les entités essentielles doivent pouvoir démontrer la mise en œuvre effective de leurs mesures de gestion des risques, typiquement via une vérification CyFun au niveau visé. Ce jalon est déjà derrière nous — les inspections du CCB peuvent s'appuyer dessus.
- 18 avril 2027 : certification CyFun au niveau d'assurance requis, c'est-à-dire Essential pour la plupart des entités essentielles.
Rappelons le cadre : la certification CyFun est l'une des trois voies offertes aux entités essentielles pour démontrer leur conformité à la loi du 26 avril 2024, aux côtés de la certification ISO 27001 et de l'inspection directe par le CCB. Le 18 avril 2027 est aussi la date de fin de coexistence entre CyFun 2023 et CyFun 2.0 : une démarche lancée aujourd'hui a donc tout intérêt à viser directement la version 2025.
Qui est concerné ?
Sont concernées au premier chef les entités essentielles au sens de la loi belge : les grandes organisations des 11 secteurs hautement critiques de l'annexe I — énergie, transport, banque et infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructure numérique, gestion de services TIC, administration publique et espace — ainsi que les cas particuliers désignés (DNS, prestataires de confiance qualifiés, etc.). Le point de départ de toute démarche reste l'enregistrement auprès du CCB, obligatoire depuis le 18 mars 2025, qui officialise votre classification.
Les entités importantes ne sont pas visées par ce jalon de certification : leur supervision est uniquement ex post. Elles peuvent néanmoins se soumettre volontairement au régime des essentielles — et donc viser une certification — pour bénéficier d'une présomption de conformité, un argument de plus en plus demandé par les donneurs d'ordre.
Les étapes vers la certification, avec des durées réalistes
Étape 1 — Self-assessment CyFun : 2 à 4 semaines
L'auto-évaluation sur la grille CyFun (via Safeonweb@Work) est le point de départ. Bien menée — avec preuves à l'appui, pas au doigt mouillé — elle demande 2 à 4 semaines et produit deux livrables : un score par exigence et une liste d'écarts. Nos outils en ligne permettent de préparer l'exercice.
Étape 2 — Remédiation : 6 à 12 mois selon la maturité
C'est la phase longue. Comptez, en ordre de grandeur constaté sur le terrain : 6 mois pour une organisation déjà structurée (politiques en place, MFA généralisé, sauvegardes testées), 9 à 12 mois pour une maturité moyenne, davantage si tout est à construire. Les chantiers les plus longs sont la gouvernance (fonction GOVERN de CyFun 2.0), la chaîne d'approvisionnement (avenants contractuels) et la journalisation/détection. Notre page coût de la conformité NIS2 aide à budgéter ; un RSSI externalisé permet de piloter sans recruter.
Étape 3 — Audit de certification par un CAB
La certification est délivrée par un CAB (Conformity Assessment Body) accrédité, non par le CCB lui-même. L'audit porte sur le dispositif documenté et son fonctionnement réel ; les non-conformités relevées doivent être traitées avant la délivrance du certificat. Prévoyez la réservation du CAB plusieurs mois à l'avance : à l'approche de l'échéance d'avril 2027, les agendas des auditeurs se remplissent. Le certificat s'inscrit ensuite dans un cycle : recertification tous les 3 ans et audit annuel de surveillance pour les niveaux Important et Essential.
Rétroplanning mois par mois depuis juillet 2026
Rétroplanning indicatif pour une entité essentielle de maturité moyenne qui démarre maintenant :
| Période | Jalon | Livrables clés |
|---|---|---|
| T−9 mois 1 | Cadrage et self-assessment | Périmètre, sponsor direction, self-assessment CyFun 2.0 documenté |
| T−8 mois 2 | Gap analysis et plan de remédiation | Liste d'écarts priorisée, budget, planning, choix de la version (2025 recommandé) |
| T−7 à T−6 mois 3-4 | Quick wins | Politiques approuvées, MFA, sauvegardes testées, formation des dirigeants (art. 32) |
| T−5 à T−3 mois 5-7 | Chantiers de fond | Gouvernance (GOVERN), supply chain, journalisation, gestion des incidents et notification |
| T−4 au plus tard point de non-retour | Réservation du CAB | Contrat signé avec l'organisme de certification, dates d'audit bloquées |
| T−2 mois 8 | Audit à blanc | Pré-audit interne ou externe, correction des derniers écarts |
| T−1 mois 9 | Audit de certification | Audit CAB, plan de traitement des non-conformités éventuelles |
| T échéance | Certification | Levée des non-conformités, délivrance du certificat avant le 18 avril 2027 |
Les risques si vous démarrez trop tard
- Goulet d'étranglement des CAB : plus l'échéance approche, plus les organismes accrédités sont sollicités ; démarrer tard, c'est risquer de ne pas trouver de créneau d'audit avant avril 2027.
- Remédiation bâclée : compresser 9 mois de chantiers en 3 mois produit des contrôles de façade, que l'audit — ou une inspection du CCB — mettra en évidence.
- Exposition en cas de contrôle : sans certification ni alternative, la démonstration de conformité passe par l'inspection, avec à la clé, en cas de manquement, les mesures et amendes détaillées sur notre page sanctions NIS2 — jusqu'à 10 M€ ou 2 % du CA mondial pour une entité essentielle.
- Responsabilité des dirigeants : l'article 32 rend les organes de direction personnellement responsables de l'approbation et de la supervision des mesures ; un retard assumé se plaide difficilement.
- Coûts majorés : l'urgence se paie — prestataires en flux tendu, arbitrages budgétaires défavorables, dette de conformité reportée sur le cycle de surveillance.
L'alternative ISO 27001
La certification ISO 27001 constitue la deuxième voie de démonstration reconnue pour les entités essentielles. Elle a du sens si votre organisation est internationale, si vos clients l'exigent déjà, ou si un SMSI est en place. CyFun garde l'avantage du contexte belge : référentiel du régulateur, self-assessment outillé via Safeonweb@Work, lecture directe par le CCB. Notre comparatif CyFun vs ISO 27001 détaille les critères de choix ; le mapping entre référentiels permet de réutiliser l'existant quel que soit le chemin retenu.
FAQ — Certification CyFun Essential
La certification CyFun Essential est-elle obligatoire ?
La certification CyFun est l'une des trois voies permettant à une entité essentielle de démontrer sa conformité NIS2, avec la certification ISO 27001 et l'inspection par le CCB. Selon le calendrier publié par le CCB, l'échéance du 18 avril 2027 correspond à une certification CyFun au niveau d'assurance requis — Essential pour la plupart des entités essentielles. Une entité peut préférer la voie ISO 27001 ou s'en remettre à l'inspection, mais la certification CyFun reste la voie la plus balisée en Belgique.
Combien de temps prend une certification CyFun Essential ?
En pratique : 2 à 4 semaines pour un self-assessment sérieux, 6 à 12 mois de remédiation selon la maturité de départ, puis l'audit de certification par un CAB avec le traitement des éventuelles non-conformités. Un parcours complet demande donc généralement 9 à 15 mois pour une organisation de maturité moyenne.
Qui délivre la certification CyFun ?
La certification est délivrée par un CAB (Conformity Assessment Body), un organisme d'évaluation de la conformité accrédité. Le CCB n'audite pas lui-même les entités dans ce cadre : il définit le référentiel et le schéma, les CAB réalisent les audits et délivrent les certificats.
Quelle est la durée de validité de la certification ?
Pour les niveaux Important et Essential, la recertification intervient tous les 3 ans, avec un audit annuel de surveillance entre deux cycles. La certification n'est donc pas un projet ponctuel mais l'entrée dans un cycle de maintien.
Que se passe-t-il si je ne suis pas certifié au 18 avril 2027 ?
Une entité essentielle sans certification ni alternative reconnue devra démontrer sa conformité par la voie la moins confortable : l'inspection par le CCB. En cas de manquement constaté, la loi prévoit des mesures correctrices et des amendes pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires mondial, ainsi que la responsabilité personnelle des dirigeants (article 32).
Faut-il se certifier sur CyFun 2023 ou CyFun 2.0 ?
Les deux versions coexistent jusqu'au 18 avril 2027 et le choix est libre jusqu'à cette date. Pour une démarche entamée en 2026, viser directement CyFun 2.0 est généralement le plus rationnel : c'est la version alignée sur le NIST CSF 2.0 qui restera la référence après la fin de la coexistence.
Sources officielles
- Centre pour la Cybersécurité Belgique (CCB) — calendrier de conformité et schéma CyFun
- Safeonweb@Work — self-assessment CyFun et enregistrement
- Loi du 26 avril 2024 (Justel) — texte officiel de la loi belge NIS2
- Directive (UE) 2022/2555 (NIS2) — EUR-Lex
- ENISA — agence européenne pour la cybersécurité
Neuf mois : le compte à rebours a commencé
Cryptaguard vous emmène du self-assessment à la certification : gap analysis, plan de remédiation, pilotage des chantiers, préparation de l'audit CAB. Découvrez nos services d'accompagnement CyFun et bloquez votre créneau de démarrage : les organismes de certification accrédités sont peu nombreux en Belgique, et leurs carnets se remplissent à mesure que l'échéance approche.