Quelle est la fiabilité d’un résultat tiré de 7 à 8 questions ?

Il classe correctement les cas évidents : un hôpital de 500 employés est essentiel, un cabinet de conseil de 4 personnes sans secteur Annexe I/II est hors champ. La structure du groupe, les activités transfrontalières et les sous-classifications sectorielles peuvent encore changer un cas limite ; il faut alors le classeur complet du CCB ou l’avis d’un consultant, pas cinq cases de plus.

Le résultat utilise-t-il de l’intelligence artificielle ?

Non. Le résultat provient de règles fixes, reprises du classeur NIS2 Scope Assessment [1] et du CyFun Selection Tool [5] du CCB, et exécutées dans le navigateur. Aucune donnée ne quitte le navigateur, sauf si le PDF est demandé par e-mail.

Mon secteur n’est pas dans la liste. Suis-je tranquille ?

Probablement hors du périmètre NIS2 direct. Mais les clients des secteurs essentiels NIS2 (hôpitaux, banques, énergie, administration, télécoms) doivent évaluer leurs propres fournisseurs : vendre à l’un de ces secteurs signifie en général qu’un questionnaire de sécurité arrive tôt ou tard. L’étape sur la chaîne d’approvisionnement ci-dessus montre lesquels de vos secteurs clients portent cette pression.

Que se passe-t-il une fois qu’une entreprise est dans le périmètre ?

Enregistrement sur Safeonweb@Work [4] (les échéances étaient le 18 décembre 2024 pour les secteurs numériques et le 18 mars 2025 pour tous les autres), mesures de gestion des risques de cybersécurité, et notification des incidents significatifs au CCB, une obligation depuis le 18 octobre 2024 [2]. Les entités essentielles ajoutent une évaluation de conformité, due le 18 avril 2027.

Être essentielle ou importante, est-ce la même chose que le niveau CyFun ?

Non, ce sont deux questions distinctes. La loi décide si vous êtes essentielle ou importante selon le secteur et la taille. Le modèle de risque du CCB indique séparément un niveau CyberFundamentals (Basic, Important ou Essential), et une petite entité importante peut se retrouver sur CyFun Basic comme point de départ. Ce n’est pas le niveau d’une évaluation formelle.

Test de champ NIS2 : suis-je concerné en Belgique ?

Par Tom Janssens · Fondateur, Easy Cyber Protection · Dernière revue 3 novembre 2026 · Comment nous écrivons

Comment fonctionne le test de champ NIS2 ?

La loi belge NIS2 du 26 avril 2024 [2] place une entreprise dans le périmètre lorsque deux conditions sont réunies : elle fournit un service repris à l’Annexe I ou à l’Annexe II de la loi, et elle franchit un seuil de taille (environ 50+ employés, ou plus de 10 M€ de chiffre d’affaires et de bilan, tout le groupe compté). Certains services (administration publique, télécoms, registres DNS et de domaines de premier niveau, services de confiance) sont dans le périmètre quelle que soit la taille.

Cet outil suit la même logique que le classeur NIS2 Scope Assessment [1], le tableau que le Centre pour la Cybersécurité Belgique (CCB) publie pour déterminer le périmètre. Un second classeur du CCB, le CyFun Selection Tool [5], donne le niveau CyberFundamentals (CyFun) correspondant : Basic sous 100 points de risque, Important 100-199, Essential 200 et plus. Les points sont calculés par secteur et ajustés selon la taille de l’entreprise.

Un questionnaire reçu d’un client, d’un assureur ou d’un régulateur est souvent le premier signe que la pression de la chaîne d’approvisionnement est déjà là, quel que soit le résultat sur le périmètre direct.

À quoi ressemble un résultat concret ?

Un hôpital de 500 employés sélectionne « Santé » et « Grande » : entité essentielle, CyFun Essential, 218 contrôles, avec l’échéance du 18 avril 2027 pour l’évaluation de conformité (et l’échéance de repli de 2028 si un plan de remédiation est déposé [3]). Une agence web de 4 personnes, sans secteur Annexe I/II et sans client public, est hors champ, avec la remarque qu’un questionnaire de sécurité d’un client serait le premier signe d’un changement.

Une entreprise de logistique de 90 personnes (moyenne) n’a pas de service Annexe I/II propre, mais trois clients dans l’énergie, la santé et la banque. Elle est elle-même hors du périmètre direct, et les trois secteurs clients relèvent de l’Annexe I. La pression de la chaîne est donc presque certaine, pas théorique.

Périmètre pas encore clair après sept questions ? La page directive NIS2 en Belgique couvre le texte légal complet, et le calculateur d’amende NIS2 montre ce que coûte le fait d’être dans le périmètre sans agir.

Questions fréquentes

Quelle est la fiabilité d’un résultat tiré de 7 à 8 questions ?: Il classe correctement les cas évidents : un hôpital de 500 employés est essentiel, un cabinet de conseil de 4 personnes sans secteur Annexe I/II est hors champ. La structure du groupe, les activités transfrontalières et les sous-classifications sectorielles peuvent encore changer un cas limite ; il faut alors le classeur complet du CCB ou l’avis d’un consultant, pas cinq cases de plus.
Le résultat utilise-t-il de l’intelligence artificielle ?: Non. Le résultat provient de règles fixes, reprises du classeur NIS2 Scope Assessment [1] et du CyFun Selection Tool [5] du CCB, et exécutées dans le navigateur. Aucune donnée ne quitte le navigateur, sauf si le PDF est demandé par e-mail.
Mon secteur n’est pas dans la liste. Suis-je tranquille ?: Probablement hors du périmètre NIS2 direct. Mais les clients des secteurs essentiels NIS2 (hôpitaux, banques, énergie, administration, télécoms) doivent évaluer leurs propres fournisseurs : vendre à l’un de ces secteurs signifie en général qu’un questionnaire de sécurité arrive tôt ou tard. L’étape sur la chaîne d’approvisionnement ci-dessus montre lesquels de vos secteurs clients portent cette pression.
Que se passe-t-il une fois qu’une entreprise est dans le périmètre ?: Enregistrement sur Safeonweb@Work [4] (les échéances étaient le 18 décembre 2024 pour les secteurs numériques et le 18 mars 2025 pour tous les autres), mesures de gestion des risques de cybersécurité, et notification des incidents significatifs au CCB, une obligation depuis le 18 octobre 2024 [2]. Les entités essentielles ajoutent une évaluation de conformité, due le 18 avril 2027.
Être essentielle ou importante, est-ce la même chose que le niveau CyFun ?: Non, ce sont deux questions distinctes. La loi décide si vous êtes essentielle ou importante selon le secteur et la taille. Le modèle de risque du CCB indique séparément un niveau CyberFundamentals (Basic, Important ou Essential), et une petite entité importante peut se retrouver sur CyFun Basic comme point de départ. Ce n’est pas le niveau d’une évaluation formelle.

Autres outils gratuits

Qui doit se conformer à NIS2 · Guide pratique NIS2 pour les MSP

Utilisez ceci avec vos clients

La loi belge NIS2 s’applique-t-elle à votre entreprise ?

Comment fonctionne le test de champ NIS2 ?

À quoi ressemble un résultat concret ?

Questions fréquentes

Autres outils gratuits

Sources