Quel niveau CyberFundamentals votre client doit-il atteindre ?

L’outil de sélection CyFun du CCB attribue un score selon le secteur et la taille [2]. Chacun des 18 secteurs NIS2 a un score de risque publié ; l’outil ajuste ce score à la taille de l’entreprise (petite, moyenne ou grande, selon la recommandation 2003/361/CE) et le compare à trois tranches : sous 100 c’est Basic, 100 à 199 c’est Important, 200 ou plus c’est Essential.

Ne choisir aucun secteur est une réponse valable : c’est exactement ce que le CCB conseille lui-même à qui n’est pas sûr, et le résultat est Basic, le niveau de départ sur lequel construire.

Ce n’est pas la même question que de savoir si NIS2 s’applique à votre client, ni si la loi en fait une entité essentielle ou importante. Une petite entité importante peut tout de même aboutir à CyFun Basic comme point de départ. Le test de champ NIS2 gratuit répond à la question de champ légal en cinq questions.

La vue complète des trois niveaux se trouve sur la page des niveaux.

Les entités essentielles n’ont pas le choix à terme : un certificat au niveau Essential est requis avant le 18 avril 2027, délivré par un organisme d’évaluation accrédité. Une entreprise peut démarrer avec une vérification au niveau Important plus un plan pour atteindre Essential avant le 18 avril 2028, ou justifier un niveau inférieur par sa propre analyse de risques et démontrer avant le 18 avril 2027 qu’elle l’atteint (arrêté royal du 9 juin 2024, art. 6-7) [3].

Les entités importantes sont supervisées de manière réactive, après un incident, et non auditées à l’avance. Une évaluation CyFun volontaire reste possible, et si elle a lieu, elle doit vérifier au moins le niveau Important (arrêté royal, art. 11) [3], même si le propre score de risque de l’entreprise indique Basic.

Hors NIS2, ou sur Basic par choix : aucun audit n’est obligatoire. Basic et Important sont des voies de vérification ; seul Essential est une certification complète.