Beaucoup de PME et TPE belges pensent que NIS2 ne les concerne pas. C'est en partie faux. Même hors du champ direct, vous serez probablement affecté indirectement via la cascade des exigences que vos clients essentiels et importants vont vous imposer (article 30 §4 de la loi belge — sécurité de la chaîne d'approvisionnement).
Cet article répond à 3 questions :
- Suis-je dans le champ direct de NIS2 ? (test rapide)
- Si non, comment NIS2 m'affecte-t-elle indirectement ? (cascade supply chain)
- Comment me préparer à moindre coût ? (CyFun Small/Basic + dispositif minimum)
1. Test rapide : suis-je dans le champ direct ?
Critère sectoriel (Annexe I ou II)
Vérifiez si votre activité principale relève d'un des 18 secteurs concernés :
- Annexe I (essentielles) : énergie, transport, banque, infrastructures financières, santé, eau, infrastructure numérique, gestion services TIC B2B, administration publique, espace
- Annexe II (importantes) : services postaux, déchets, chimie, alimentation, fabrication, fournisseurs numériques (places marché, moteurs recherche, réseaux sociaux), recherche
Critère de taille
| Catégorie UE | Effectif | CA / Bilan | Statut NIS2 si secteur I/II |
|---|
| Microentreprise | < 10 ETP | ≤ 2 M€ | Hors champ (sauf cas particuliers) |
| Petite entreprise | < 50 ETP | ≤ 10 M€ | Hors champ (sauf cas particuliers) |
| Moyenne entreprise | 50-249 ETP | 10-50 M€ | Entité importante |
| Grande entreprise | ≥ 250 ETP | > 50 M€ et bilan > 43 M€ | Entité essentielle (si Annexe I) |
Cas particuliers (TPE quand même dans NIS2)
Même de très petite taille, vous êtes dans NIS2 si vous êtes :
- Fournisseur de DNS, registre de TLD
- Fournisseur de services de confiance qualifiés (eIDAS)
- Opérateur de réseau ou de service de communication électronique public
- Prestataire de services de cybersécurité gérés (MSSP) reconnu
- Entité désignée explicitement par le CCB comme essentielle
Verdict : si vous êtes dans le champ direct, suivez le guide d'enregistrement CCB et choisissez votre niveau CyFun. Sinon, lisez la suite.
2. La cascade supply chain : pourquoi NIS2 vous affecte quand même
L'article 30 §4 de la loi belge NIS2 impose aux entités essentielles et importantes de gérer les risques cybersécurité de leurs fournisseurs ICT. Concrètement, tous vos clients NIS2 vont vous demander des comptes.
Ce que vous allez recevoir
- Questionnaires sécurité de 50 à 200 questions (souvent calqués sur ISO 27001 / SOC 2 / SIG)
- Clauses contractuelles renforcées : notification incident sous 24h, droit d'audit annuel, certification minimum exigée, plan de sortie, assurance cyber, RGPD DPA
- Audits sur site pour les contrats critiques (data centers, hébergeurs, MSP)
- Demandes de preuves : politique sécurité écrite, inventaire actifs, procédure incident, dernier rapport pentest, certificats
Risques business si vous n'êtes pas prêt
- Perte de contrats : disqualification dès l'appel d'offres si questionnaire mal rempli
- Renégociation à votre désavantage : pénalités contractuelles élevées, baisse des prix
- Effet « écran » : vos clients essentiels migrent vers des concurrents plus matures sécurité
- Engagement de responsabilité en cas de breach impactant un client NIS2 (cascade des sanctions)
3. Préparation pragmatique pour PME hors champ
L'objectif : pouvoir répondre aux questionnaires clients et démontrer un dispositif crédible sans tomber dans la sur-ingénierie d'un projet ISO 27001 complet.
Plan en 3 étapes (3-6 mois, 5-15 k€)
Étape 1 — Évaluer votre situation (1 mois)
- Cartographie : actifs critiques, données sensibles, fournisseurs IT
- Self-assessment CyFun Small ou CyFun Basic (gratuit sur le portail CCB)
- Identification des gaps prioritaires
Étape 2 — Mettre en place le socle minimum (2-3 mois)
Les 13 mesures clés CyFun couvrent 80 % des questionnaires fournisseurs :
- MFA sur tous les accès distants et comptes privilégiés
- Sauvegardes 3-2-1 avec copie hors ligne (anti-ransomware)
- Patching critique sous 48 h
- Segmentation réseau de base (séparation VLAN, isolation invités)
- EDR / antivirus moderne sur tous les postes
- Comptes admin séparés et révoqués au départ
- Sensibilisation phishing annuelle
- Logs centralisés (au moins 6 mois de rétention)
- Plan de réponse à incident écrit (1 page suffit)
- Inventaire des actifs à jour
- Inventaire des fournisseurs critiques
- Chiffrement des données sensibles au repos et en transit
- Test annuel de restauration des sauvegardes
→ Détail des 13 Key Measures CyFun
Étape 3 — Documenter et préparer les audits clients (1 mois)
- Politique de sécurité (5-10 pages)
- Procédure de gestion des incidents (1-2 pages)
- Charte utilisateurs IT
- Réponses pré-rédigées aux 50 questions standard fournisseur (modèle SIG Lite)
- Désignation d'un point de contact sécurité (RSSI à temps partagé si pas de ressource interne)
Coût-bénéfice : un cas concret
PME belge fictive « ALPHA SARL », 80 ETP, prestataire IT pour clients industriels (fabrication, secteur Annexe II) :
- Sans préparation : 3 questionnaires reçus en 6 mois, 1 contrat perdu (CA annuel 240 k€) car incapable de prouver MFA + plan IR. Score réputationnel négatif.
- Avec préparation CyFun Basic + accompagnement : 12 k€ d'investissement, 3 contrats sécurisés (CA annuel cumulé 750 k€), 2 nouveaux contrats gagnés grâce à la maturité affichée.
- ROI : ~ 60× sur 12 mois.
Pour aller plus loin
Besoin d'aide pour la préparation PME ?
Cryptaguard accompagne les PME belges hors champ NIS2 mais soumises aux questionnaires clients : diagnostic CyFun Basic, mise en place du dispositif minimum, modèles de réponses aux questionnaires, RSSI à temps partagé.
Demander un devis →