Le 18 avril 2027 ou le 18 avril 2028 est-il la vraie échéance NIS2 pour les entités essentielles ?

Le 18 avril 2027 est l’échéance légale pour disposer d’une évaluation de conformité équivalente à CyFun Essential. Le 18 avril 2028 n’est pas une nouvelle échéance légale. C’est la date à laquelle une entité qui a déposé un plan de remédiation à la place (preuve d’équivalence Important plus mesures prévues) doit atteindre l’équivalence Essential, selon l’actualité du CCB d’août 2026.

Que se passe-t-il si une entreprise a manqué l’échéance d’enregistrement ?

Les échéances d’enregistrement (18 décembre 2024 pour les secteurs numériques, 18 mars 2025 pour tous les autres) sont passées, donc une entreprise non enregistrée sur Safeonweb@Work est en retard, pas en avance. L’obligation ne s’éteint pas. S’enregistrer maintenant est l’étape suivante, pas une occasion manquée.

Les entités importantes ont-elles une échéance d’évaluation de conformité ?

Aucune obligatoire. Les entités importantes sont supervisées de façon réactive, en général après un incident. Une évaluation de conformité CyFun volontaire reste possible et donne une présomption de conformité.

Depuis quand les incidents doivent-ils être notifiés ?

Depuis le 18 octobre 2024. Les entités concernées notifient les incidents significatifs au Centre pour la Cybersécurité Belgique (CCB) via notif.safeonweb.be.

D’où viennent ces dates ?

La loi belge NIS2 du 26 avril 2024, le guide de démarrage rapide NIS-2 du CCB, et la lettre du service d’inspection du CCB du 9 avril 2026 et l’actualité du CCB d’août 2026. Chaque ligne ci-dessus renvoie à sa propre source.

← Outils gratuits

OUTIL GRATUIT

Quelles échéances NIS2 en Belgique sont déjà passées, et lesquelles restent à venir ?

Sept dates composent jusqu’ici la chronologie belge NIS2 : la loi elle-même, l’obligation de notification d’incidents, deux échéances d’enregistrement par secteur, et trois dates d’évaluation de conformité pour les entités essentielles. Le tableau ci-dessous les trie à partir d’aujourd’hui en échéances passées et à venir, avec un filtre par type d’entité.

À venir

18 avril 2027Encore 163 jours
Entités essentielles : évaluation de conformité définitive requise
Les entités essentielles doivent disposer d’une évaluation équivalente à CyFun Essential (via CyFun, ISO/IEC 27001 ou inspection du CCB), ou justifier un niveau inférieur par leur propre analyse de risques (art. 7) et démontrer qu’elles l’atteignent, ou déposer à la place un plan de remédiation (voir la ligne 2028 ci-dessous).
Source: CCB, actualité « New communication for NIS2 essential entities » (août 2026)
18 avril 2028Encore 529 jours
Solution de repli par plan de remédiation : équivalence Essential requise
Une entité essentielle qui a déposé un plan de remédiation avant le 18 avril 2027 (preuve d’équivalence CyFun Important plus mesures prévues) doit atteindre l’équivalence Essential à cette date. Cela ne modifie pas l’échéance légale ci-dessus ; c’est ce qu’attend le service d’inspection des entités qui ont choisi un plan de remédiation.
Source: CCB, actualité « New communication for NIS2 essential entities » (août 2026)

Passées

26 avril 2024Il y a 924 jours
Entrée en vigueur de la loi belge NIS2
La loi transposant la directive UE NIS2 (UE) 2022/2555 en droit belge est publiée et entre en vigueur.
Source: Loi belge NIS2 du 26 avril 2024
18 octobre 2024Il y a 749 jours
Début de l’obligation de notifier les incidents significatifs au CCB
Les entités concernées doivent notifier les incidents significatifs au Centre pour la Cybersécurité Belgique (CCB), via notif.safeonweb.be.
Source: CCB, guide de démarrage rapide NIS-2
18 décembre 2024Il y a 688 jours
Échéance d’enregistrement : secteurs numériques
Les entités d’infrastructure numérique, de fournisseurs numériques et de gestion de services TIC doivent s’enregistrer sur Safeonweb@Work.
Source: CCB, guide de démarrage rapide NIS-2
18 mars 2025Il y a 598 jours
Échéance d’enregistrement : tous les autres secteurs concernés
Toute autre entité essentielle ou importante doit enregistrer son organisation sur le portail Safeonweb@Work.
Source: CCB, guide de démarrage rapide NIS-2
18 avril 2026Il y a 202 jours
Entités essentielles : niveau d’assurance Basic ou Important requis
Les entités essentielles doivent pouvoir démontrer une assurance CyFun Basic ou Important (certificat, accord signé avec un CAB, ou équivalent), selon la demande d’information du service d’inspection du CCB du 9 avril 2026 (NCCA/JK/INS-001).
Source: Service d’inspection du CCB, demande d’information du 9 avril 2026 (NCCA/JK/INS-001)

Par Tom Janssens · Fondateur, Easy Cyber Protection · Dernière revue 3 novembre 2026 · Comment nous écrivons

Quelles sont les échéances NIS2 belges, avec leurs sources ?

26 avril 2024: Entrée en vigueur de la loi belge NIS2

La loi transposant la directive UE NIS2 (UE) 2022/2555 en droit belge est publiée et entre en vigueur.

Loi belge NIS2 du 26 avril 2024
18 octobre 2024: Début de l’obligation de notifier les incidents significatifs au CCB

Les entités concernées doivent notifier les incidents significatifs au Centre pour la Cybersécurité Belgique (CCB), via notif.safeonweb.be.

CCB, guide de démarrage rapide NIS-2
18 décembre 2024: Échéance d’enregistrement : secteurs numériques

Les entités d’infrastructure numérique, de fournisseurs numériques et de gestion de services TIC doivent s’enregistrer sur Safeonweb@Work.

CCB, guide de démarrage rapide NIS-2
18 mars 2025: Échéance d’enregistrement : tous les autres secteurs concernés

Toute autre entité essentielle ou importante doit enregistrer son organisation sur le portail Safeonweb@Work.

CCB, guide de démarrage rapide NIS-2
18 avril 2026: Entités essentielles : niveau d’assurance Basic ou Important requis

Les entités essentielles doivent pouvoir démontrer une assurance CyFun Basic ou Important (certificat, accord signé avec un CAB, ou équivalent), selon la demande d’information du service d’inspection du CCB du 9 avril 2026 (NCCA/JK/INS-001).

Service d’inspection du CCB, demande d’information du 9 avril 2026 (NCCA/JK/INS-001)
18 avril 2027: Entités essentielles : évaluation de conformité définitive requise

Les entités essentielles doivent disposer d’une évaluation équivalente à CyFun Essential (via CyFun, ISO/IEC 27001 ou inspection du CCB), ou justifier un niveau inférieur par leur propre analyse de risques (art. 7) et démontrer qu’elles l’atteignent, ou déposer à la place un plan de remédiation (voir la ligne 2028 ci-dessous).

CCB, actualité « New communication for NIS2 essential entities » (août 2026)
18 avril 2028: Solution de repli par plan de remédiation : équivalence Essential requise

Une entité essentielle qui a déposé un plan de remédiation avant le 18 avril 2027 (preuve d’équivalence CyFun Important plus mesures prévues) doit atteindre l’équivalence Essential à cette date. Cela ne modifie pas l’échéance légale ci-dessus ; c’est ce qu’attend le service d’inspection des entités qui ont choisi un plan de remédiation.

CCB, actualité « New communication for NIS2 essential entities » (août 2026)

Quelle échéance s’applique à une entreprise donnée ?

Une entité essentielle (grande, dans l’énergie, la santé, l’administration, les télécoms ou l’infrastructure numérique, ou de toute taille pour certains services d’infrastructure numérique et d’administration publique) est concernée par les trois dates 2026-2028 d’évaluation de conformité. Une entité importante a des obligations d’enregistrement et de notification d’incidents, mais aucune date obligatoire d’évaluation de conformité. La supervision est réactive, après un incident, et non auditée au préalable.

Vous ne savez pas laquelle des deux est votre entreprise ? Le test de champ NIS2 ci-dessous le détermine selon le secteur et la taille en deux minutes environ, pour que vous ne lisiez pas ces dates pour le mauvais type d’entité.

Vous ne savez pas quelles lignes s’appliquent ? Le test de champ NIS2 détermine d’abord si l’entreprise est essentielle, importante ou hors champ, et la note sur les devoirs du conseil couvre ce dont l’organe de direction répond en cours de route.

Questions fréquentes

Le 18 avril 2027 ou le 18 avril 2028 est-il la vraie échéance NIS2 pour les entités essentielles ?: Le 18 avril 2027 est l’échéance légale pour disposer d’une évaluation de conformité équivalente à CyFun Essential. Le 18 avril 2028 n’est pas une nouvelle échéance légale. C’est la date à laquelle une entité qui a déposé un plan de remédiation à la place (preuve d’équivalence Important plus mesures prévues) doit atteindre l’équivalence Essential, selon l’actualité du CCB d’août 2026.
Que se passe-t-il si une entreprise a manqué l’échéance d’enregistrement ?: Les échéances d’enregistrement (18 décembre 2024 pour les secteurs numériques, 18 mars 2025 pour tous les autres) sont passées, donc une entreprise non enregistrée sur Safeonweb@Work est en retard, pas en avance. L’obligation ne s’éteint pas. S’enregistrer maintenant est l’étape suivante, pas une occasion manquée.
Les entités importantes ont-elles une échéance d’évaluation de conformité ?: Aucune obligatoire. Les entités importantes sont supervisées de façon réactive, en général après un incident. Une évaluation de conformité CyFun volontaire reste possible et donne une présomption de conformité.
Depuis quand les incidents doivent-ils être notifiés ?: Depuis le 18 octobre 2024. Les entités concernées notifient les incidents significatifs au Centre pour la Cybersécurité Belgique (CCB) via notif.safeonweb.be.
D’où viennent ces dates ?: La loi belge NIS2 du 26 avril 2024, le guide de démarrage rapide NIS-2 du CCB, et la lettre du service d’inspection du CCB du 9 avril 2026 et l’actualité du CCB d’août 2026. Chaque ligne ci-dessus renvoie à sa propre source.

Autres outils gratuits

Échéances NIS2 expliquées · Directive NIS2 en Belgique

Utilisez ceci avec vos clients

#CYBERLEARN

Formez l’équipe: Direction

Voir la formation →