Article 30 — les mesures de gestion des risques
Onze mesures techniques, opérationnelles et organisationnelles, proportionnées au risque et à la taille de l'entité. C'est l'article sur lequel se construit tout dossier de conformité.
Directive NIS2 et loi belge
Ce que la directive (UE) 2022/2555 et la loi du 26 avril 2024 exigent réellement : 18 secteurs, 11 mesures, trois délais de notification et deux régimes de supervision.
Ce que la directive impose, et ce que la loi belge en a fait
La directive (UE) 2022/2555 n'est pas applicable directement : ce qui vous oblige, c'est la loi du 26 avril 2024, entrée en vigueur le 18 octobre 2024. Elle reprend les exigences de la directive et les précise sur trois points qui comptent en pratique : l'autorité compétente (le CCB), les délais de notification, et le régime de sanctions.
Quatre articles portent l'essentiel des obligations. Le reste de la loi organise les autorités, la coopération et les recours.
Article 32 — la responsabilité des dirigeants
L'organe de direction approuve les mesures, supervise leur mise en œuvre et suit une formation. Sa responsabilité peut être engagée : c'est ce qui distingue NIS2 des cadres de sécurité volontaires.
Articles 34 et 35 — la notification d'incident
Trois échéances pour un incident significatif : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Les délais courent à partir du moment où vous avez connaissance de l'incident.
Article 56 — les amendes administratives
Jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante : le montant le plus élevé des deux est retenu.
Qui est concerné
Deux conditions doivent être réunies : appartenir à un secteur des annexes I ou II, et atteindre un seuil de taille. Le secteur détermine la catégorie, la taille détermine si vous entrez dans le champ.
Le seuil de taille, avant tout le reste
Sont visées les entités d'au moins 50 personnes ou dont le chiffre d'affaires annuel dépasse 10 M€. En dessous, une entité n'est concernée que si le CCB l'identifie nommément — parce qu'elle est le seul fournisseur d'un service critique, par exemple. Le cas des PME et TPE.
Annexe I — secteurs hautement critiques
Entités essentielles
Une entité de ces secteurs qui atteint le seuil de grande entreprise est essentielle de plein droit. Sous ce seuil, elle relève en principe des entités importantes.
- Énergie
- Électricité (production, transport, distribution) · Pétrole (production, raffinage, transport, distribution) · Gaz (production, raffinage, transport, distribution, stockage) · Hydrogène (production, transport, distribution)
- Transports
- Aérien (transporteurs, aéroports, contrôle du trafic) · Ferroviaire (entreprises ferroviaires, gestionnaires d'infrastructure) · Maritime (ports, compagnies maritimes, services de trafic) · Routier (pour le transport de marchandises dangereuses)
- Secteur bancaire
- Établissements de crédit
- Infrastructures des marchés financiers
- Opérateurs de plateformes de négociation · Contreparties centrales
- Santé
- Prestataires de soins de santé · Laboratoires de référence · Recherche et développement pharmaceutiques · Fabrication de produits pharmaceutiques · Fabrication de dispositifs médicaux
- Eau potable
- Fournisseurs et distributeurs d'eau potable
- Eaux usées
- Collecte et traitement des eaux résiduaires
- Infrastructure numérique
- Points d'échange Internet (IXP) · Fournisseurs de services DNS · Registres de noms de domaine de premier niveau (TLD) · Fournisseurs de services cloud · Fournisseurs de centres de données · Fournisseurs de réseaux de diffusion de contenu (CDN) · Prestataires de services de confiance · Opérateurs de réseaux de communications électroniques · Fournisseurs de services de communications électroniques
- Gestion des services TIC (B2B)
- Fournisseurs de services gérés (MSP) · Fournisseurs de services de sécurité gérés (MSSP)
- Administration publique
- Entités de l'administration publique de niveau fédéral · Entités de l'administration publique de niveau régional · Entités de l'administration publique de niveau communautaire
- Espace
- Opérateurs d'infrastructures terrestres spatiales
Annexe II — autres secteurs critiques
Entités importantes
Une entité de ces secteurs est importante dès qu'elle atteint le seuil de moyenne entreprise. Elle ne devient essentielle que si le CCB l'identifie comme telle au titre de l'article 11.
- Services postaux et d'expédition
- Prestataires de services postaux · Prestataires de services de courrier
- Gestion des déchets
- Gestion et traitement des déchets (hors microentreprises et petites entreprises)
- Fabrication, production et distribution de produits chimiques
- Substances chimiques · Produits chimiques dangereux
- Production, transformation et distribution de denrées alimentaires
- Commerce de gros et de détail de denrées alimentaires · Transformation et production alimentaire industrielle
- Fabrication
- Dispositifs médicaux et de diagnostic in vitro · Ordinateurs, produits électroniques et optiques · Équipements électriques · Machines et équipements n.c.a. · Véhicules automobiles, remorques et semi-remorques · Autres matériels de transport
- Fournisseurs numériques
- Places de marché en ligne · Moteurs de recherche en ligne · Plateformes de services de réseaux sociaux
- Recherche
- Organismes de recherche
11 + 7 = 18 secteurs, 50 sous-secteurs. Le détail secteur par secteur.
Les 11 mesures de l'article 30
Chaque mesure renvoie au point correspondant de l'article 21 §2 de la directive, aux contrôles ISO 27001:2022 qui la couvrent et aux mesures CyFun équivalentes. Les identifiants sont cliquables : ils ouvrent la fiche dépliée.
Onze mesures, ou dix ?
La directive énumère dix points (a à j) ; la présentation belge scinde le point (j) en deux mesures — MFA d'une part, communications sécurisées d'autre part. D'où « 10 » dans la directive et « 11 » dans la loi : les deux chiffres sont justes.
Mesure 1
directive art. 21 §2, a
Analyse des risques et politiques de sécurité des systèmes d'information
Disposer d'une méthodologie d'analyse des risques documentée, d'un registre des risques tenu à jour et d'une politique de sécurité approuvée par la direction.
Mesure 2
directive art. 21 §2, b
Gestion des incidents
Détecter, qualifier, traiter et capitaliser sur les incidents, avec les délais de notification réglementaires (24 h / 72 h / 1 mois).
Mesure 3
directive art. 21 §2, c
Continuité des activités, sauvegardes, reprise après sinistre et gestion de crise
BIA, PCA/PRA testés, sauvegardes restaurables et hors ligne, cellule de crise entraînée.
Mesure 4
directive art. 21 §2, d
Sécurité de la chaîne d'approvisionnement
Cartographie des fournisseurs critiques, exigences contractuelles de sécurité, surveillance dans la durée.
Mesure 5
directive art. 21 §2, e
Sécurité de l'acquisition, du développement et de la maintenance, traitement des vulnérabilités
SDLC sécurisé, gestion des vulnérabilités et des correctifs, divulgation coordonnée.
Mesure 6
directive art. 21 §2, f
Évaluation de l'efficacité des mesures de gestion des risques
Programme d'audit interne, indicateurs, revue de direction — c'est la mesure que les inspections du CCB regardent en premier.
Mesure 7
directive art. 21 §2, g
Pratiques de cyber-hygiène et formation à la cybersécurité
Socle d'hygiène (mises à jour, moindre privilège, sauvegardes) et sensibilisation régulière, dirigeants inclus.
Mesure 8
directive art. 21 §2, h
Politiques et procédures de cryptographie et de chiffrement
Politique cryptographique, algorithmes et longueurs de clés approuvés, gestion du cycle de vie des clés.
Mesure 9
directive art. 21 §2, i
Sécurité des ressources humaines, contrôle d'accès et gestion des actifs
Filtrage à l'embauche, départs, inventaire des actifs, revue périodique des droits.
Mesure 10
directive art. 21 §2, j
Authentification à plusieurs facteurs ou authentification continue
MFA sur les accès distants, les comptes à privilèges et les applications critiques.
Mesure 11
directive art. 21 §2, j
Communications vocales, vidéo et textuelles sécurisées, et communications d'urgence
Canaux de communication protégés, y compris un moyen de secours utilisable si le SI principal est indisponible.
Voir ces correspondances sous forme de tableau · Télécharger la check-list (CSV)
Le calendrier
- 18 octobre 2024 — entrée en vigueur de la loi belge.
- 18 mars 2025 — échéance d'enregistrement auprès du CCB via Safeonweb@Work. L'enregistrement n'est pas la conformité : il ouvre le dossier.
- 18 avril 2026 — les entités essentielles doivent être en mesure de démontrer leurs mesures. La phase déclarative est terminée ; les contrôles portent désormais sur les preuves.
- 18 avril 2027 — certification ou vérification CyFun exigée des entités essentielles : dans 7 mois. Ce que cela implique de préparer.
Par où commencer
L'ordre qui fonctionne : établir d'abord où vous en êtes réellement sur les onze mesures, avant de choisir un référentiel. Le choix entre ISO 27001 et CyFun se décide à partir de cet écart, pas l'inverse.
- Vérifier votre catégorie et votre enregistrement auprès du CCB.
- Mesurer l'écart mesure par mesure — la gap analysis ISO 27001 couvre 60 des 93 contrôles rattachés à l'article 30.
- Choisir le référentiel de mise en œuvre — CyFun ou ISO 27001.
- Constituer les preuves au fur et à mesure, pas la veille du contrôle.
Approfondir la directive NIS2
Article 30 — les 11 mesures
Lecture détaillée mesure par mesure, avec ce qu'une inspection attend comme preuve.
Les 18 secteurs
Annexes I et II détaillées, seuils de taille et cas limites.
Notification 24 h / 72 h / 1 mois
Qui notifie, à qui, avec quel contenu à chaque échéance.
Sanctions
Amendes, mesures non financières et responsabilité des dirigeants.
NIS2 pour les PME et TPE
Les seuils, les exceptions, et ce qui s'applique par ricochet via la chaîne d'approvisionnement.
La loi du 26 avril 2024
Les articles clés dans leur structure d'origine, avec le lien vers le texte officiel.