NIS2 en Belgique : que devez-vous faire et par où commencer ?

Depuis octobre 2024, la loi NIS2 s'applique en Belgique. Pour de nombreuses organisations, cela signifie de nouvelles obligations en matière de cybersécurité, et une responsabilité personnelle pour leur organe de direction. Les questions que nous entendons le plus souvent restent les mêmes : sommes-nous concernés, que devons-nous faire exactement et par où commencer ?

Dans ce guide, nous expliquons ce que NIS2 implique et comment renforcer votre résilience étape par étape, sur la base des trajets que nous menons avec nos clients.

NIS2 est une directive européenne (UE 2022/2555) qui oblige les organisations des secteurs critiques à mettre leur cybersécurité en ordre. En Belgique, elle a été transposée dans la loi NIS2, entrée en vigueur le 18 octobre 2024. Le Centre pour la Cybersécurité Belgique (CCB) en assure la supervision.

La loi s'applique aux organisations de 18 secteurs, comme l'énergie, les transports, les soins de santé, l'eau potable, l'infrastructure numérique, l'alimentation, la chimie et l'industrie manufacturière. Vous êtes concerné à partir de 50 collaborateurs, ou à partir d'un chiffre d'affaires annuel et d'un total de bilan supérieurs à 10 millions d'euros. Selon votre secteur et votre taille, vous êtes une entité essentielle ou importante.

Même si vous n'êtes pas soumis à la loi, NIS2 peut vous concerner. Les organisations visées doivent aussi gérer les risques de leur chaîne d'approvisionnement et imposent donc des exigences à leurs fournisseurs et prestataires.

• Gestion des risques : vous prenez des mesures techniques et organisationnelles appropriées, comme la gestion des accès, les sauvegardes, le patching, le chiffrement et un plan de gestion des incidents.

• Notification des incidents : vous signalez un incident significatif au CCB par une alerte précoce dans les 24 heures. La notification d'incident suit dans les 72 heures, et le rapport final dans le mois.

• Responsabilité de l'organe de direction : il approuve les mesures, supervise leur mise en œuvre et suit lui-même une formation.

• Chaîne d'approvisionnement : vous évaluez la sécurité de vos fournisseurs et prestataires.

• Enregistrement : les entités essentielles et importantes devaient s'enregistrer via Safeonweb@work avant le 18 mars 2025.

Les entités essentielles devaient démontrer avant le 18 avril 2026 qu'elles mettent leur gestion des risques en ordre. Cela peut se faire via le cadre CyberFundamentals du CCB, via ISO 27001 ou via une inspection. La certification doit être finalisée d'ici avril 2027. Pour les entités importantes, cette évaluation de conformité est volontaire, et le CCB n'exerce qu'une supervision a posteriori, par exemple après un incident. Les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et davantage pour les infractions graves.

Beaucoup d'organisations savent que NIS2 existe, mais ne savent pas où elles en sont aujourd'hui. Les menaces n'apparaissent qu'une fois les dégâts faits. Des portables restent des mois sans mises à jour et les postes de télétravail échappent à toute visibilité. Un e-mail de phishing ou un mauvais clic suffit pour entrer, et la sécurité exige plus de spécialistes qu'une équipe interne ne peut en libérer.

Les six étapes ci-dessous vous aident à y mettre de la structure.

Vérifiez dans quel secteur vous êtes actif, quelle est la taille de votre organisation et si vous êtes une entité essentielle ou importante. Vérifiez si vous êtes enregistré auprès du CCB. Si vous travaillez pour des clients soumis à NIS2, demandez-leur quelles exigences ils vous imposent.

Un état des lieux montre où vous vous situez par rapport aux exigences. Avec le quickscan NIS2 de Xylos, vous voyez rapidement où se trouvent les plus grandes lacunes et quelles mesures demandent une attention prioritaire. Vient ensuite une feuille de route sécurité : ce que vous traitez et quand, avec quel budget.

Commencez par les mesures qui éliminent le plus de risques. Pensez à l'authentification multifacteur et à des accès gérés de façon réfléchie, à des portables gérés et à jour, et à des sauvegardes que vous avez réellement testées. Des outils comme Microsoft Intune, Defender et Entra ID garantissent que chaque appareil et chaque utilisateur respectent les mêmes règles.

Définissez aussi ce que vous ferez si les choses tournent mal. Une attaque par ransomware touche souvent aussi les sauvegardes : choisissez donc une solution protégée contre ce risque et qui vous permet de restaurer rapidement.

NIS2 exige que vous repériez et signaliez rapidement un incident. Cela n'est possible que si quelqu'un surveille votre environnement en continu. Un Security Operations Center (SOC) suit les alertes 24h/24 et 7j/7, les analyse et intervient. Ce service s'appelle aussi managed detection and response (MDR). Vous pouvez ainsi émettre une alerte précoce dans les 24 heures, avec les informations que demande le CCB.

Une grande partie des incidents commence par un clic. Un programme de sensibilisation avec des simulations de phishing réalistes apprend à vos collaborateurs à reconnaître les risques, et vous le répétez régulièrement. L'organe de direction est aussi concerné : NIS2 impose à ses membres de suivre eux-mêmes une formation, afin de pouvoir évaluer les risques et suivre les mesures.

NIS2 est un processus continu. Les menaces évoluent, votre environnement aussi. Évaluez régulièrement vos mesures, mettez à jour votre feuille de route et gardez votre documentation prête pour un audit ou une inspection.

• Le partenaire connaît-il la loi NIS2 belge et le cadre CyberFundamentals du CCB ?

• Le partenaire peut-il vous conseiller et aussi mettre en œuvre les mesures sur le plan technique ?

• Existe-t-il un SOC qui surveille votre environnement 24h/24 et 7j/7, et qui intervient en cas d'incident ?

• Comment le partenaire aide-t-il vos collaborateurs et votre direction à reconnaître les risques ?

• Le partenaire est-il lui-même certifié ISO 27001 ?

Xylos est une entreprise tech familiale belge dont le siège est à Anvers, forte de quarante ans d'expérience et de plus de 150 experts certifiés. Xylos est certifiée ISO 27001 et Microsoft Solutions Partner for Security.

Xylos aide les organisations à se conformer à NIS2 et à renforcer leur résilience. Avec Cyber Resilience, vous cartographiez vos risques grâce à des assessments, une feuille de route sécurité et un accompagnement NIS2 avec le quickscan NIS2 et Advisory. Secure Workplace protège chaque appareil, chaque collaborateur et chaque site. Applied Security combine le Microsoft Security Stack avec HPE, Palo Alto Networks et Cohesity pour la restauration après ransomware. Managed Security surveille votre environnement 24h/24 et 7j/7 avec notre SOC, en collaboration avec Eye Security. Le programme Cybersecurity Awareness fait de vos collaborateurs votre première ligne de défense.

Tout passe par une seule équipe, avec un point de contact fixe.

Vous voulez savoir où en est votre organisation ? Faites le quickscan NIS2 ou parlez à l'un de nos experts.