Entités essentielles NIS2 : ce que le CCB attend pour le 18 avril 2027

Ce qui a changé en août 2026

Jusqu’à l’été, beaucoup d’entités essentielles lisaient l’échéance d’avril 2027 comme une date à laquelle il fallait « être en ordre ». Le service d’inspection du CCB a envoyé en août 2026 une communication aux entités essentielles pour clarifier ce qu’il attend concrètement. Le CCB précise que ce courrier ne change ni les obligations ni les délais de la loi NIS2 belge. Il dit simplement ce qui sera regardé et ce qui sera accepté.

Trois points ressortent.

1. Le niveau visé est « Essential », pas « Important ». Le 18 avril 2026 il fallait montrer une vérification au niveau Basic ou Important. Le 18 avril 2027 la barre monte.
2. Trois voies sont acceptées pour le démontrer : la certification ou la vérification CyFun par un organisme accrédité, la certification ISO/IEC 27001 par un organisme accrédité, ou une évaluation menée par le service d’inspection du CCB lui-même.
3. Il existe une porte de sortie encadrée : le plan de remédiation. Elle n’est pas un report. Elle a ses propres conditions.

Les trois preuves acceptées

CyFun certification ou vérification. La vérification mesure votre alignement sur les exigences du cadre CyberFundamentals. La certification va plus loin et engage un organisme de certification accrédité. Les deux sont acceptées. Point d’attention : CyFun 2023 et CyFun 2025 coexistent jusqu’au 18 avril 2027. Les attestations basées sur CyFun 2023 restent valables au plus tard jusqu’au 18 avril 2028. Au-delà seule la version 2025 compte. Elle est plus proche du NIST CSF 2.0 et de NIS2, avec plus de poids sur la chaîne d’approvisionnement, l’OT et la gouvernance au niveau de la direction.

ISO/IEC 27001. Une certification délivrée par un organisme accrédité peut valoir preuve si son périmètre couvre les services NIS2 et si les mesures sont jugées équivalentes au niveau Essential. Une certification ISO 27001 limitée à un datacenter ou à une filiale ne couvre pas l’entité. Le périmètre est le premier point que l’inspection vérifiera.

L’évaluation par le service d’inspection. Pour les entités qui n’ont choisi ni CyFun ni ISO, le CCB peut mener lui-même l’évaluation. C’est la voie la moins prévisible. Vous ne choisissez ni le calendrier ni l’angle.

Le plan de remédiation

C’est la vraie nouveauté du courrier d’août. Une entité essentielle qui ne peut pas démontrer le niveau Essential au 18 avril 2027 doit remettre un plan de remédiation. Ce plan doit contenir deux choses :

• la preuve que des mesures au moins équivalentes au niveau CyFun « Important » sont déjà en place
• une description argumentée des mesures prévues pour atteindre « Essential » au plus tard le 18 avril 2028

Deux cas dispensent du plan : vous démontrez déjà le niveau Essential, ou votre analyse de risques justifie un niveau d’assurance plus bas. Ce second cas est à manier avec prudence. Il faut une analyse de risques documentée qui tient face à un inspecteur.

Ce qu’il faut retenir : le plan de remédiation est un engagement écrit avec une date. Il vous lie pour un an. Un plan vague ou irréaliste remis en avril 2027 devient un problème en avril 2028.

Six mois : ce qui est encore possible

Le calendrier est serré mais il est connu. Voici ce que nous constatons chez les entités essentielles que nous accompagnons.

Si vous avez un score CyFun suivi en continu, vous savez où vous en êtes. L’enjeu est de fermer les écarts restants et de planifier la vérification ou la certification. Les organismes accrédités auront un agenda chargé au premier trimestre 2027. Réservez maintenant.

Si vous avez fait une auto-évaluation en 2025 et rien depuis, commencez par la refaire. L’écart réel est souvent plus grand que celui en mémoire. Ensuite décidez : Essential atteignable pour avril ou plan de remédiation. Les deux se préparent dès maintenant.

Si vous partez de loin, ne visez pas Essential pour avril 2027. Visez un niveau Important démontrable et un plan de remédiation crédible. C’est ce que le CCB attend de vous dans ce cas, et c’est atteignable en six mois avec un pilotage sérieux.

Dans tous les cas, trois chantiers reviennent : un inventaire fiable des actifs et des fournisseurs, une gouvernance qui remonte jusqu’à la direction (c’est une exigence explicite de NIS2 et de CyFun 2025), et la capacité à notifier un incident au CCB en 24 heures, 72 heures et un mois.

Ce que risque une entité qui ne fait rien

L’inspection du CCB est une supervision ex ante pour les entités essentielles. Elle n’attend pas un incident pour contrôler. Une entité qui ne démontre rien en avril 2027 s’expose à des mesures correctrices et à des amendes administratives qui peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial. La loi prévoit aussi une responsabilité de la direction qui doit approuver les mesures et suivre une formation. Le risque financier est réel mais il n’est pas le seul. Un plan de remédiation remis sous pression en avril engage l’entité sur des mesures qu’elle n’a pas choisies.

Comment CSM accompagne les entités essentielles

Depuis 2015 nous accompagnons des organisations des secteurs de l’énergie, de la santé, des infrastructures critiques et du secteur public. Notre approche pour avril 2027 tient en quatre étapes : un état des lieux CyFun ou ISO 27001 en quelques semaines, un plan priorisé avec les écarts qui comptent pour l’inspection, un pilotage mensuel avec un score suivi en continu, et la préparation de la vérification ou de la certification avec l’organisme accrédité. Nous sommes nous-mêmes certifiés ISO/IEC 27001. Nous savons ce qu’un audit regarde.

Vous voulez savoir où vous en êtes à six mois de l’échéance ? Parlons-en.

Questions fréquentes

Qui est concerné par l’échéance du 18 avril 2027 ?

Les entités essentielles au sens de la loi NIS2 belge du 26 avril 2024. Depuis le 17 juillet 2026 les opérateurs d’infrastructures critiques sont automatiquement classés entités essentielles. Les entités importantes ne sont pas soumises à une évaluation de conformité obligatoire. Elles restent tenues par toutes les autres obligations depuis le 18 octobre 2024.

Une vérification CyFun suffit-elle ou faut-il une certification ?

Les deux sont acceptées par le CCB comme preuve au niveau Essential. La certification apporte une présomption de conformité plus solide. Le choix dépend de votre secteur, de vos clients et de votre tolérance au risque.

Peut-on encore choisir ISO 27001 en octobre 2026 ?

Pour avril 2027, seulement si une démarche ISO 27001 est déjà avancée. Une certification ISO 27001 complète en six mois en partant de zéro n’est pas réaliste. Dans ce cas la bonne stratégie est CyFun Important démontré plus un plan de remédiation.

Que se passe-t-il si nous ne remettons rien en avril 2027 ?

Le service d’inspection peut demander un plan de remédiation, imposer des mesures correctrices et infliger des amendes. L’absence totale de démarche est la situation la plus risquée.

Le plan de remédiation reporte-t-il l’échéance ?

Non. Le CCB le dit explicitement : rien ne change dans les obligations ni dans les dates. Le plan est une façon encadrée de démontrer le niveau Important maintenant et Essential pour avril 2028.

Sources

• CCB, communication du service d’inspection aux entités essentielles NIS2 (août 2026)
• Beltug (26 août 2026)
• Data Protection Institute, « NIS2 Belgium: the road to April 18 2027 »
• Transition CyberFundamentals 2023 → 2025