CyFun vs ISO 27001 — Quel référentiel cybersécurité choisir ?
Comparatif décisionnel pour PME belges et européennes — par Matthieu Roland — 1 mai 2026
Vous hésitez entre CyFun (CCB) et ISO/IEC 27001:2022 pour structurer votre démarche cybersécurité ? Cet article vous donne une matrice de décision claire selon votre contexte (NIS2 ou non, PME ou grande entreprise, marché belge ou international, budget et délai).
Verdict express en 3 questions
- Êtes-vous une entité essentielle ou importante NIS2 en Belgique ? → CyFun obligatoire/recommandé (référentiel officiel CCB, 100% aligné NIS2)
- Avez-vous des clients/marchés internationaux exigeant une certification reconnue mondialement ? → ISO 27001 indispensable
- Les deux à la fois ? → Implémenter ISO 27001 puis ajouter CyFun (couverture NIS2 et reconnaissance internationale)
Tableau comparatif détaillé
| Critère | CyFun 2.0 (CCB) | ISO/IEC 27001:2022 |
|---|---|---|
| Émetteur | Centre pour la Cybersécurité Belgique (CCB) | ISO + IEC (international) |
| Type | Référentiel + niveaux d'assurance | Norme certifiable |
| Niveaux | 4 (Small / Basic / Important / Essential) | 1 (binaire : certifié ou non) |
| Nombre de mesures | ~34 (Small) à ~138 (Essential) | 93 contrôles Annexe A + clauses 4-10 |
| Couverture NIS2 | Conçu pour NIS2 belge : les 11 mesures de l'article 30 y sont adressées directement | Large sur les mesures techniques et organisationnelles, mais ne couvre pas les obligations proprement belges : délais de notification 24 h / 72 h / 1 mois au CCB, enregistrement au CCB, vérification CyFun |
| Reconnaissance géographique | Belgique + UE (reconnaissance mutuelle NIS2) | Mondiale |
| Mode de validation | Auto-évaluation (Small/Basic) ou audit CAB (Important/Essential) | Audit obligatoire par organisme accrédité |
| Coût première année (PME) | 0 € (Small auto-éval) à 15-30 k€ (Essential audit) | 25 000 € à 80 000 € |
| Coût annuel récurrent | 0 € (Basic) à 3-8 k€ (Essential surveillance) | 5 000 € à 15 000 € (audit surveillance) |
| Durée de mise en œuvre | 1-3 mois (Basic) à 6-9 mois (Essential) | 9 à 18 mois |
| Recertification | 3 ans + maintenance annuelle | 3 ans + audits surveillance annuels |
| Adapté à | Entités belges sous champ NIS2, PME pragmatiques | Organisations matures, marchés internationaux |
| Difficulté de mise en œuvre | Progressive : faible au niveau Basic, élevée au niveau Essential | Élevée dès le départ : le SMSI complet est exigé quel que soit le périmètre |
Matrice de décision selon votre profil
| Profil | NIS2 ? | Marchés Int. | Recommandation |
|---|---|---|---|
| TPE belge (<10 ETP) | Non | Non | CyFun Small (gratuit, auto-éval) |
| PME belge (50-249 ETP) hors NIS2 | Non | Non | CyFun Basic (auto-éval ou CAB léger) |
| PME belge entité importante NIS2 | Oui (importante) | Non | CyFun Important (audit CAB) |
| PME belge entité essentielle NIS2 | Oui (essentielle) | Non | CyFun Essential (audit CAB renforcé) |
| PME belge avec clients internationaux | Variable | Oui | ISO 27001 + CyFun équivalent (combinaison) |
| ETI / Grande entreprise | Oui (essentielle) | Oui | ISO 27001 + CyFun Essential (obligatoire) |
| Filiale belge groupe étranger déjà ISO 27001 | Oui | — | Étendre ISO 27001 + ajouter CyFun gap NIS2 |
| Société belge B2C uniquement | Variable | Non | CyFun selon classification NIS2 |
Détail des coûts pour PME belge (50-250 ETP)
CyFun Important (entité importante NIS2)
- Gap analysis : 3 000 - 8 000 €
- Accompagnement implémentation : 8 000 - 25 000 €
- Audit CAB initial : 6 000 - 12 000 €
- Total année 1 : 17 000 - 45 000 €
- Récurrent : 3 000 - 6 000 € / an (audit annuel + maintenance)
ISO/IEC 27001:2022
- Gap analysis : 5 000 - 15 000 €
- Accompagnement implémentation : 10 000 - 40 000 €
- Audit certification (Stage 1 + Stage 2) : 8 000 - 20 000 €
- Documentation et outils : 2 000 - 5 000 €
- Total année 1 : 25 000 - 80 000 €
- Récurrent : 5 000 - 15 000 € / an (audits de surveillance)
Fourchettes indicatives pour la Belgique — les coûts varient selon la maturité initiale, le périmètre certifié et le niveau de support externe.
Couverture des 11 mesures NIS2 (article 30)
| Mesure NIS2 | CyFun 2.0 | ISO 27001:2022 |
|---|---|---|
| 1. Analyse des risques | GOV-03 | 5.1, 5.7, 5.31 |
| 2. Gestion des incidents (incl. notification 24h/72h) | INC-01 à INC-05 | ~ 5.24-5.28 (délais NIS2 à documenter en sus) |
| 3. Continuité d'activité | BCM-01 à BCM-04 | 5.29, 5.30, 8.13, 8.14 |
| 4. Supply chain (audit fournisseurs) | SUP-01 à SUP-04 | 5.19-5.23 |
| 5. Sécurité des SI (dev, maintenance) | DEV-01 à DEV-04 | 8.8, 8.9, 8.25-8.32 |
| 6. Évaluation efficacité (audits, pentests) | COM-02 | 5.35, 5.36, 8.29 |
| 7. Cyberhygiène / formation | HUM-01 | 6.3 |
| 8. Cryptographie | CRY-01 à CRY-04 | 5.14, 8.24 |
| 9. RH / contrôle accès / actifs | HUM, ACC, ASS | 5.9-5.18, 6.1-6.7 |
| 10. MFA | ACC-03 | 5.17, 8.5 |
| 11. Communications sécurisées (urgence) | COM-04 | ~ 5.14, 8.21, 8.22 (à étendre) |
Verdict : CyFun 2.0 couvre nativement les 11 mesures (100 %) car conçu spécifiquement pour NIS2 belge. ISO 27001:2022 couvre l'essentiel du socle technique et organisationnel, mais laisse de côté ce qui est propre au droit belge — à commencer par les délais de notification (24h/72h/1 mois) et l'enregistrement CCB, qui doivent être ajoutés en complément.
Quand combiner les deux ?
Pour une entité essentielle NIS2 ayant des marchés internationaux (ex : énergie, santé, finance, industrie exportatrice), la combinaison ISO 27001 + CyFun Essential est la meilleure stratégie :
- ISO 27001 d'abord (9-18 mois) : pose le SMSI international
- Puis CyFun Essential en surcouche (3-6 mois additionnels) : capitalise sur les contrôles déjà en place et comble ce qui est propre au NIS2 belge
- Coût additionnel CyFun : 5 000 - 12 000 € (gap analysis + audit CAB) au lieu d'un projet complet
Pour aller plus loin
- CyFun 2.0 — référentiel complet (55 mesures, 13 domaines)
- Niveaux CyFun : Small / Basic / Important / Essential en détail
- ISO 27001:2022 — 93 contrôles Annexe A
- Liste détaillée des 93 contrôles ISO 27001:2022
- ISO 27001:2013 vs 2022 — table de correspondance
- Mapping NIS2 ↔ ISO 27001 ↔ CyFun ↔ NIST CSF
- Matrice complète (CSV)
Besoin d'un diagnostic personnalisé ?
Cryptaguard réalise des diagnostics « CyFun ou ISO 27001 ? » : analyse de votre contexte (classification NIS2, maturité, marchés cibles, budget), recommandation argumentée et roadmap chiffrée 12-24 mois.