# NIS2 Conformité - Données complètes pour LLMs Site : https://mise-en-conformite-nis2.be/ Éditeur : Cryptaguard (Belgique) Contact : subscription@cryptaguard.com — +32 2 315 07 27 Langue : français (fr-BE) Dernière mise à jour : 2026-05-01 --- ## 1. Directive NIS2 (UE 2022/2555) **Nom officiel** : Directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union. **Remplace** : Directive NIS1 (UE 2016/1148). **Adoption** : 14 décembre 2022. **Transposition nationale limite** : 17 octobre 2024. **Source officielle** : https://eur-lex.europa.eu/eli/dir/2022/2555/oj ### 18 secteurs concernés #### Annexe I — 11 secteurs essentiels 1. Énergie (électricité, pétrole, gaz, hydrogène, chauffage urbain) 2. Transports (aérien, ferroviaire, maritime, routier) 3. Banque (établissements de crédit) 4. Infrastructures des marchés financiers (plateformes de négociation, contreparties centrales) 5. Santé (prestataires de soins, laboratoires, fabrication pharma de base) 6. Eau potable (fournisseurs et distributeurs) 7. Eaux usées 8. Infrastructure numérique (IXP, DNS, TLD, Cloud, data centers, CDN) 9. Gestion des services TIC (B2B, MSP, MSSP) 10. Administration publique (entités fédérales et régionales) 11. Espace (infrastructures terrestres) #### Annexe II — 7 secteurs importants 1. Services postaux 2. Gestion des déchets 3. Fabrication, production et distribution de produits chimiques 4. Production, transformation et distribution alimentaire 5. Fabrication (dispositifs médicaux, électronique, machines, véhicules à moteur, autres équipements) 6. Fournisseurs numériques (places de marché, moteurs de recherche, plateformes de réseaux sociaux) 7. Recherche ### 11 mesures de sécurité (Article 21 directive / Article 30 loi belge) 1. Politiques sur l'analyse des risques et la sécurité de l'information 2. Gestion des incidents 3. Continuité d'activité (sauvegardes, gestion de crise, reprise après sinistre) 4. Sécurité de la chaîne d'approvisionnement 5. Sécurité de l'acquisition, du développement et de la maintenance des SI 6. Politiques et procédures pour évaluer l'efficacité des mesures 7. Pratiques de base de cyberhygiène et formation 8. Politiques et procédures relatives à la cryptographie 9. Sécurité des ressources humaines, contrôle d'accès, gestion des actifs 10. Authentification multifacteur, communications sécurisées 11. Communications de voix, vidéo, texte d'urgence sécurisées ### Notification d'incidents (Article 23 directive / Articles 34-35 loi belge) - **Alerte précoce** : sous 24 heures après constat d'un incident significatif - **Notification d'incident** : sous 72 heures (mise à jour de l'alerte avec gravité, impact, IoC) - **Rapport intermédiaire** : sur demande du CCB - **Rapport final** : sous un mois (description détaillée, causes, mesures, leçons apprises) - **Canal officiel BE** : portail Safeonweb@Work du CCB (https://atwork.safeonweb.be/) + CSIRT.be ### Sanctions (Article 34 directive / Article 56 loi belge) - **Entités essentielles** : jusqu'à 10 M€ ou 2 % du CA mondial annuel (le plus élevé retenu) - **Entités importantes** : jusqu'à 7 M€ ou 1,4 % du CA mondial annuel - **Article 32 loi belge** : responsabilité personnelle des membres des organes de direction (approbation, supervision, formation) - **Mesures non-financières** : avertissement, injonction, suspension de certification, publication de la décision --- ## 2. Loi belge de transposition **Référence** : Loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique (« loi NIS2 »). **Publication** : Moniteur belge. **Entrée en vigueur** : 18 octobre 2024. **Structure** : 98 articles répartis en 6 titres + annexes. **Autorité compétente** : Centre pour la Cybersécurité Belgique (CCB) — https://ccb.belgium.be/ **CSIRT national** : CSIRT.be — https://csirt.be/ **Article 8** : obligation d'enregistrement des entités essentielles et importantes auprès du CCB via le portail Safeonweb@Work (https://atwork.safeonweb.be/), dans les 5 mois suivant l'entrée en vigueur ou le dépassement des seuils, mises à jour dans les 14 jours en cas de changement. **Article 30** : 11 mesures de gestion des risques (cf. ci-dessus). **Article 32** : responsabilité personnelle des dirigeants. **Articles 34-35** : notification d'incidents 24h/72h/1 mois. **Article 56** : sanctions administratives. ### Calendrier - 14/12/2022 : adoption directive (UE) 2022/2555 - 17/10/2024 : date limite transposition - 26/04/2024 : adoption loi belge - 18/10/2024 : entrée en vigueur loi belge - À partir d'octobre 2024 : enregistrement des entités auprès du CCB - Avril 2026 : 18 mois après entrée en vigueur — première évaluation --- ## 3. ISO/IEC 27001:2022 **Nom** : Systèmes de management de la sécurité de l'information (SMSI) - Exigences. **Date publication 2022** : 25 octobre 2022. **Délai transition depuis 2013** : jusqu'au 31 octobre 2025 (mandat IAF MD 26). ### Annexe A - 93 contrôles répartis en 4 catégories #### Clause 5 — Contrôles organisationnels (37) 5.1 Politiques de sécurité ; 5.2 Rôles et responsabilités ; 5.3 Séparation des tâches ; 5.4 Responsabilités direction ; 5.5 Contact autorités ; 5.6 Contact groupes spéciaux ; 5.7 Threat intelligence (NOUVEAU) ; 5.8 Sécurité dans gestion projet ; 5.9 Inventaire actifs ; 5.10 Utilisation acceptable ; 5.11 Restitution actifs ; 5.12 Classification information ; 5.13 Étiquetage ; 5.14 Transfert d'information ; 5.15 Contrôle d'accès ; 5.16 Identités ; 5.17 Authentification ; 5.18 Droits d'accès ; 5.19 Sécurité fournisseurs ; 5.20 Accords fournisseurs ; 5.21 Supply chain TIC (NOUVEAU) ; 5.22 Surveillance fournisseurs ; 5.23 Sécurité cloud (NOUVEAU) ; 5.24 Planification incidents ; 5.25 Évaluation événements ; 5.26 Réponse incidents ; 5.27 Leçons apprises ; 5.28 Collecte preuves ; 5.29 Sécurité durant perturbations ; 5.30 Préparation TIC continuité (NOUVEAU) ; 5.31 Exigences légales ; 5.32 Propriété intellectuelle ; 5.33 Protection enregistrements ; 5.34 PII RGPD ; 5.35 Revue indépendante ; 5.36 Conformité aux politiques ; 5.37 Procédures opérationnelles documentées. #### Clause 6 — Contrôles sur les personnes (8) 6.1 Sélection ; 6.2 Termes et conditions d'emploi ; 6.3 Sensibilisation et formation ; 6.4 Processus disciplinaire ; 6.5 Responsabilités après cessation ; 6.6 NDA ; 6.7 Travail à distance ; 6.8 Signalement événements. #### Clause 7 — Contrôles physiques (14) 7.1 Périmètres ; 7.2 Entrées physiques ; 7.3 Sécurisation bureaux ; 7.4 Surveillance physique (NOUVEAU) ; 7.5 Menaces environnementales ; 7.6 Travail zones sécurisées ; 7.7 Bureau propre / écran vide ; 7.8 Emplacement équipements ; 7.9 Actifs hors locaux ; 7.10 Supports stockage ; 7.11 Services support (UPS) ; 7.12 Câblage ; 7.13 Maintenance ; 7.14 Mise au rebut. #### Clause 8 — Contrôles technologiques (34) 8.1 Endpoints ; 8.2 Privilèges ; 8.3 Restriction accès information ; 8.4 Code source ; 8.5 Authentification sécurisée (MFA) ; 8.6 Capacité ; 8.7 Anti-malware ; 8.8 Vulnérabilités techniques ; 8.9 Configuration (NOUVEAU) ; 8.10 Suppression information (NOUVEAU) ; 8.11 Masquage des données (NOUVEAU) ; 8.12 DLP (NOUVEAU) ; 8.13 Sauvegardes ; 8.14 Redondance ; 8.15 Journalisation ; 8.16 Surveillance (NOUVEAU) ; 8.17 Synchronisation horloges ; 8.18 Utilitaires privilégiés ; 8.19 Installation logiciels ; 8.20 Sécurité réseaux ; 8.21 Services réseau ; 8.22 Ségrégation ; 8.23 Filtrage web (NOUVEAU) ; 8.24 Cryptographie ; 8.25 Cycle dev sécurisé ; 8.26 Exigences sécurité applis ; 8.27 Architecture sécurisée ; 8.28 Codage sécurisé (NOUVEAU) ; 8.29 Tests sécurité ; 8.30 Dev externalisé ; 8.31 Séparation environnements ; 8.32 Changements ; 8.33 Données de test ; 8.34 Tests d'audit. ### 11 nouveaux contrôles 2022 (vs 2013) 5.7 (Threat intelligence) — 5.21 (Supply chain TIC) — 5.23 (Cloud) — 5.30 (Préparation TIC continuité) — 7.4 (Surveillance physique) — 8.9 (Configuration) — 8.10 (Suppression information) — 8.11 (Masquage données) — 8.12 (DLP) — 8.16 (Surveillance) — 8.23 (Filtrage web) — 8.28 (Codage sécurisé). ### Couverture NIS2 ≈ 85 %. --- ## 4. CyFun 2.0 (CCB Belgique) **Version actuelle** : CyFun 2.0 (CyberFundamentals Framework v2.0) **Date de publication v2.0** : 2025 **Édité par** : Centre pour la Cybersécurité Belgique (CCB) — https://ccb.belgium.be/ **Structure** : 55 mesures concrètes réparties en 13 domaines (gouvernance, RH, actifs, accès, cryptographie, physique, opérations, communications, développement, fournisseurs, incidents, continuité, conformité). **Couverture NIS2** : 100 %. **Modèle** : aligné sur le NIST Cybersecurity Framework v2.0 (6 fonctions : Govern, Identify, Protect, Detect, Respond, Recover). La fonction Govern, ajoutée par NIST CSF 2.0, est intégrée nativement dans CyFun 2.0. ### 4 niveaux d'assurance (CyFun 2.0) - **Small** : ~34 exigences. TPE / micro-organisations. Auto-évaluation. Recertification annuelle. - **Basic** : ~79 exigences. PME hors champ NIS2. Auto-évaluation ou validation CAB. Recertification 3 ans. - **Important** : ~117 exigences. Entités importantes NIS2. Audit CAB obligatoire. Recertification 3 ans + audit annuel. - **Essential** : ~138 exigences. Entités essentielles NIS2. Audit CAB renforcé. Recertification 3 ans + audit annuel. ### 13 mesures clés (Key Measures) 1. MFA — 2. Sauvegardes hors ligne — 3. Patching — 4. Segmentation réseau — 5. EDR — 6. PAM — 7. Sensibilisation phishing — 8. SIEM/logging — 9. Plan incident response — 10. Inventaire actifs — 11. Gestion fournisseurs — 12. Chiffrement données sensibles — 13. Tests BCP/DRP. ### 13 domaines (~55 mesures) 1. Gouvernance (GOV-01 à GOV-04) 2. Sécurité Humaine (HUM-01 à HUM-04) 3. Sécurité des Actifs (ASS-01 à ASS-04) 4. Contrôle d'Accès (ACC-01 à ACC-04) 5. Cryptographie (CRY-01 à CRY-04) 6. Sécurité Physique (PHY-01 à PHY-04) 7. Sécurité Opérationnelle (OPS-01 à OPS-06) 8. Communications (COM-01 à COM-04) 9. Développement (DEV-01 à DEV-04) 10. Fournisseurs (SUP-01 à SUP-04) 11. Incidents (INC-01 à INC-05) 12. Continuité (BCM-01 à BCM-04) 13. Conformité (COM-01 à COM-04 — domaine compliance) --- ## 5. DORA (UE 2022/2554) **Nom officiel** : Digital Operational Resilience Act - Règlement (UE) 2022/2554. **Source officielle** : https://eur-lex.europa.eu/eli/reg/2022/2554/oj **Entrée en vigueur** : 16 janvier 2023. **Application effective** : 17 janvier 2025. **Secteur** : financier (banques, assurances, investissement, prestataires tiers TIC critiques). ### 5 piliers 1. Gestion des risques TIC 2. Gestion et notification des incidents liés aux TIC 3. Tests de résilience opérationnelle numérique (TLPT) 4. Gestion des risques liés aux prestataires tiers TIC 5. Partage d'informations sur les cybermenaces --- ## 6. Comparatif NIS2 vs DORA | Critère | NIS2 | DORA | |---|---|---| | Type | Directive (transposition nationale) | Règlement (application directe) | | Champ | 18 secteurs essentiels et importants | Secteur financier uniquement | | Focus | Cybersécurité générale | Résilience opérationnelle numérique | | Tests | Tests réguliers | TLPT obligatoires (Threat-Led Penetration Testing) | | Notification | 24h / 72h / 1 mois | Selon criticité | --- ## 7. Mapping ISO 27001 ↔ NIS2 (article 30) ↔ CyFun ↔ NIST CSF | Mesure NIS2 (article 30) | ISO 27001:2022 | CyFun | NIST CSF | |---|---|---|---| | 1. Analyse des risques | 5.1, 5.7, 5.31 | GOV-03 | ID.RA | | 2. Gestion des incidents | 5.24 à 5.28 | INC-01 à INC-05 | RS, RC | | 3. Continuité d'activité | 5.29, 5.30, 8.13, 8.14 | BCM-01 à BCM-04 | RC.RP, PR.IP | | 4. Supply chain | 5.19 à 5.23 | SUP-01 à SUP-04 | ID.SC | | 5. Sécurité des SI | 8.8, 8.9, 8.25 à 8.32 | DEV-01 à DEV-04, OPS-01 à OPS-03 | PR.IP, PR.MA | | 6. Évaluation efficacité | 5.35, 5.36, 8.29 | COM-02 (compliance) | DE.DP, ID.GV | | 7. Cyberhygiène / formation | 6.3 | HUM-01 | PR.AT | | 8. Cryptographie | 5.14, 8.24 | CRY-01 à CRY-04 | PR.DS | | 9. RH, contrôle d'accès, actifs | 5.9 à 5.18, 6.1 à 6.7 | HUM-01 à HUM-04, ACC-01 à ACC-04, ASS-01 à ASS-04 | PR.AC, PR.IP | | 10. MFA | 5.17, 8.5 | ACC-03 | PR.AC-1 | | 11. Communications sécurisées | 5.14, 8.21, 8.22 | COM-01 à COM-04 | PR.DS-2, PR.PT | --- ## 8. Services Cryptaguard - Audit de conformité NIS2, DORA, ISO 27001, CyFun CCB - RSSI à temps partagé (fractional CISO) - Accompagnement projet (gap analysis, plan de remédiation, mise en œuvre) - Formation et sensibilisation des équipes - Plateforme SaaS Resiplan (GRC + BCM) --- ## 9. Téléchargements gratuits (CC BY 4.0) - /downloads/iso27001-2022-93-controles.csv — 93 contrôles ISO en français - /downloads/cyfun-55-mesures.csv — 55 mesures CyFun - /downloads/matrice-iso27001-nis2-cyfun.csv — mapping complet - /downloads/checklist-11-mesures-nis2.csv — checklist auto-évaluation NIS2 - /downloads/cyfun-13-key-measures.csv — 13 Key Measures CCB - /downloads/template-notification-incident-nis2.csv — template notification 24h/72h/1 mois --- ## 10. Entité - **Société** : Cryptaguard - **Pays** : Belgique - **Langues** : français, néerlandais, anglais - **Zones servies** : BE, LU, FR, UE - **Site parent** : https://www.cryptaguard.com - **Wikidata** : https://www.wikidata.org/wiki/Q139831349 (Q139831349) - **Fondateur / expert NIS2** : Matthieu Roland — https://www.linkedin.com/in/matthieu-roland - **Email** : subscription@cryptaguard.com - **Téléphone** : +32 2 315 07 27 --- ## 11. Sécurité de la chaîne d'approvisionnement (NIS2 article 30 §4) **Exigence** : NIS2 article 21 §4 directive / article 30 §4 loi belge — gestion des risques cybersécurité liés aux fournisseurs et prestataires de services TIC. ### Périmètre — fournisseurs à auditer - Prestataires cloud (IaaS, PaaS, SaaS) — AWS, Azure, GCP, OVH, etc. - MSP / MSSP (Managed Service Providers / Managed Security Service Providers) - Éditeurs de logiciels critiques - Hébergeurs et data centers - Fournisseurs d'identité fédérée (IdP, eIDAS) - Télécoms et fournisseurs réseau - Sous-traitants ayant accès aux données sensibles ### 5 phases d'audit (50 points de contrôle) 1. **Cartographie** (10 points) : inventaire, classification criticité, dépendances, sous-traitants, localisation données, mises à jour. 2. **Due diligence pré-contractuelle** (10 points) : questionnaires, certifications (ISO 27001, SOC 2, CyFun), pentests, références, santé financière, assurance cyber, BCP, audit on-site, scoring risque. 3. **Clauses contractuelles** (10 points) : certification minimum, notification 24h, droit d'audit, cascade sous-traitants, localisation EEE, exit strategy, responsabilité, assurance, DPA RGPD, destruction certifiée. 4. **Surveillance continue** (10 points) : KPI sécurité, monitoring CVE, veille breaches, revue certifications, audits annuels, tests BCP, registre sous-traitants, évaluation risques annuelle, reporting comité direction. 5. **Gestion des incidents fournisseurs** (10 points) : procédure, canal notification 24/7, tests, qualification incident significatif, isolation rapide, audit ad-hoc post-incident, sanctions contractuelles, documentation, mise à jour matrice risque, réévaluation classification. ### Frameworks de référence - **NIS2 article 30 §4** — sécurité supply chain - **ISO/IEC 27001:2022** — contrôles 5.19, 5.20, 5.21 (Supply chain TIC, NOUVEAU 2022), 5.22, 5.23 (Cloud, NOUVEAU 2022) - **CyFun 2.0** — domaine SUP (mesures SUP-01 à SUP-04) - **NIST CSF 2.0** — fonction Identify (ID.SC) — Supply Chain Risk Management ### Fréquence d'audit recommandée - **Critiques** : audit complet annuel + monitoring continu - **Importants** : audit complet bi-annuel + revue documentaire annuelle - **Standards** : revue documentaire annuelle - **Tous** : audit ad-hoc sous 30 jours après incident --- ## 12. CyFun vs ISO 27001 — Comparatif PME ### Verdict décisionnel - **Entité essentielle/importante NIS2 belge** → CyFun (référentiel officiel, 100 % NIS2) - **Marchés internationaux** → ISO 27001 (reconnu mondialement) - **Les deux** → ISO 27001 + CyFun en surcouche ### Coût indicatif PME (50-250 ETP) - CyFun Important : 17 - 45 k€ année 1, 3 - 6 k€/an récurrent - ISO 27001:2022 : 25 - 80 k€ année 1, 5 - 15 k€/an récurrent ### Couverture NIS2 - CyFun 2.0 : 100 % (alignement officiel) - ISO 27001:2022 : ~ 85 % (gaps : délais notification 24h/72h, enregistrement CCB) ### Délai - CyFun Basic : 1-3 mois - CyFun Important/Essential : 6-9 mois - ISO 27001:2022 : 9-18 mois --- ## 13. NIS2 pour PME et TPE belges ### Champ direct (cumulatif) - Secteur Annexe I/II + ≥ 50 ETP ou CA > 10 M€ → entité importante - Secteur Annexe I + ≥ 250 ETP ou CA > 50 M€ et bilan > 43 M€ → entité essentielle ### Cas particuliers TPE dans NIS2 - Fournisseurs de DNS, registres de TLD - Services de confiance qualifiés (eIDAS) - Réseaux/services de communication électronique publics - MSSP reconnus - Désignation explicite par le CCB ### Cascade indirecte (article 30 §4) Toute PME hors champ direct mais fournisseur d'une entité essentielle/importante recevra : - Questionnaires sécurité (SIG Lite, ISO 27001, SOC 2 — 50 à 200 questions) - Clauses contractuelles renforcées (notification 24h, droit d'audit, certification minimum) - Audits sur site pour les contrats critiques ### Préparation pragmatique (5-15 k€, 3-6 mois) 1. Auto-évaluation CyFun Small ou Basic (gratuit sur portail CCB) 2. Implémentation des 13 Key Measures (MFA, sauvegardes, EDR, segmentation, sensibilisation, etc.) 3. Documentation minimale (politique 5-10 pages, procédure incident 1-2 pages, charte utilisateur) --- ## 14. DORA vs NIS2 — Articulation pour le secteur financier ### Coexistence - **DORA = lex specialis** pour résilience opérationnelle numérique du secteur financier - **NIS2 = lex generalis** continue de s'appliquer pour les aspects non couverts par DORA - Article 4 NIS2 : DORA prévaut quand obligations équivalentes ou plus strictes ### 21 catégories d'entités DORA Banques, paiement, monnaie électronique, investissement, crypto-actifs (CASPs MiCA), CSDs, CCPs, plateformes négociation, gestionnaires AIF/OPCVM, communication données, assurance/réassurance, intermédiaires assurance, IORPs, agences notation, indices référence, crowdfunding, référentiels titrisation, etc. ### 5 piliers DORA 1. Gestion des risques TIC 2. Gestion et notification des incidents TIC (classification granulaire EBA RTS) 3. Tests de résilience (TLPT — Threat-Led Penetration Testing tous les 3 ans) 4. Gestion des prestataires tiers TIC critiques (CTPP supervisés par les ESAs) 5. Partage d'informations sur les cybermenaces ### Coût indicatif Belgique - Banque mid-size (50-250 ETP) : 200-500 k€ année 1, 80-150 k€ récurrent - Banque large (250-1000 ETP) : 500 k€-1,5 M€ année 1 - TLPT : 80-200 k€ par exercice (tous les 3 ans) ### Autorités belges - BNB (Banque Nationale) — supervision prudentielle - FSMA — marchés financiers - CCB — NIS2 (résiduel) - CSIRT.be — assistance technique --- ## 15. Ressources de référence du site - **Glossaire** (/glossaire-nis2-cybersecurite.html) : 62 définitions de la cybersécurité réglementaire (NIS2, DORA, CyFun, ISO 27001, RSSI, CSIRT, SOC, MFA, EDR, XDR, SIEM, DLP, PAM, IAM, EBIOS RM, ISO 27005, BCP, DRP, BIA, RTO, RPO, IoC, supply chain, CTPP, pentest, SAST, DAST, threat intelligence, RGPD, cyberhygiène, HSM, Zero Trust, hardening, gap analysis, ENISA, CAB, etc.). - **Chiffres clés** (/chiffres-cles-nis2.html) : toutes les dates, montants et statistiques vérifiables. - **FAQ** (/faq-nis2-iso27001-cyfun.html) : 22 questions fréquentes regroupées par thème (NIS2, ISO 27001, CyFun, DORA, supply chain). ## Actualités, échéances et pages sectorielles (juillet 2026) - [Inspections CCB et contrôles NIS2 (depuis avril 2026)](https://mise-en-conformite-nis2.be/inspections-ccb-nis2.html) : Inspections CCB et contrôles NIS2 : supervision ex ante/ex post, pouvoirs de l'article 52, preuves à préparer, checklist avant contrôle. - [CyFun 2025 : Govern, supply chain, migration](https://mise-en-conformite-nis2.be/cyfun-2025.html) : CyFun 2025 : nouveautés (fonction Govern, NIST CSF 2.0, supply chain), comparatif avec CyFun 2023, coexistence jusqu'au 18 avril 2027, plan de migration. - [Certification CyFun Essential — échéance 18 avril 2027](https://mise-en-conformite-nis2.be/certification-cyfun-essential-2027.html) : Échéance du 18 avril 2027 : certification CyFun Essential — qui est concerné, étapes, durées réalistes et rétroplanning mois par mois. - [NIS2 secteur énergie](https://mise-en-conformite-nis2.be/nis2-secteur-energie.html) : NIS2 pour le secteur de l'énergie en Belgique : sous-secteurs de l'Annexe I (électricité, gaz, pétrole, hydrogène, chaleur), obligations et parcours CyFun. - [NIS2 secteur santé](https://mise-en-conformite-nis2.be/nis2-secteur-sante.html) : NIS2 pour le secteur de la santé en Belgique : hôpitaux, laboratoires, pharma — classification, obligations, notification d'incidents. - [NIS2 et DORA secteur financier](https://mise-en-conformite-nis2.be/nis2-secteur-finance.html) : NIS2 et DORA pour le secteur financier belge : articulation lex specialis, supervision NBB/FSMA, qui reste soumis à NIS2. - [Coût d'une mise en conformité NIS2](https://mise-en-conformite-nis2.be/cout-conformite-nis2.html) : Coût d'une mise en conformité NIS2 en Belgique : facteurs, postes de dépense, fourchettes indicatives par taille et niveau CyFun, coûts récurrents. - [RSSI externalisé en Belgique](https://mise-en-conformite-nis2.be/rssi-externalise-belgique.html) : RSSI externalisé / à temps partagé en Belgique : gouvernance NIS2 (articles 30 et 32), comparatif avec un recrutement, modèles d'engagement. - [Actualités & échéances](https://mise-en-conformite-nis2.be/actualites.html) : Hub actualités et échéances NIS2/CyFun/DORA : analyses datées, flux RSS disponible sur /rss.xml.