Pas un assouplissement, mais un encadrement

Le Service d’Inspection du Centre pour la Cybersécurité Belgique dévoile un « plan de remédiation » pour les nombreuses entités qui risquent de ne pas atteindre le niveau de sécurité exigé dans le délai imparti.

Les attaques se multipliant, le CCB réagit par une communication générale aux allures de « feuille de route » à l’intention des entités essentielles NIS2 belges concernant leur évaluation de conformité obligatoire prévue pour le 18 avril 2027.

D’ici le 18 avril 2027, les entités essentielles NIS2 qui ne seront pas en mesure de démontrer la mise en œuvre des mesures de cybersécurité requises par la loi NIS2, CyFun (consultable sur le site web du CCB), devront présenter un plan de mise en conformité.

Ce plan de mise en conformité doit inclure :

  • la preuve de la conformité aux mesures de cybersécurité NIS2 équivalentes au niveau d’assurance « Important » de CyFun ;
  • une description des mesures prévues pour atteindre un niveau d’assurance équivalent au niveau « Essential » de CyFun d’ici le 18 avril 2028 (cette approche s’applique aux trois voies d’évaluation de la conformité disponibles) ;
  • la certification ou vérification CyFun par un organisme d’évaluation de la conformité (CAB) agréé ;
  • la certification ISO/IEC 27001 par un organisme d’évaluation de la conformité (CAB) agréé ;
  • l’évaluation de la conformité directement par le service d’inspection du CCB.

Pas d’assouplissement du texte de loi

Cette communication, insiste le CCB, ne modifie en rien les obligations légales ni les délais fixés par la loi belge NIS2 et son arrêté royal.

Par ailleurs, aucun plan de mise en conformité n’est exigé des entités essentielles NIS2 qui peuvent démontrer, d’ici le 18 avril 2027, qu’elles respectent déjà les mesures de cybersécurité NIS2 équivalentes au niveau d’assurance « Essential » de CyFun ou des mesures de cybersécurité dûment vérifiées et équivalentes à un niveau d’assurance CyFun inférieur sur la base de leur analyse de risques.

Le CCB souligne que cette directive administrative ne constitue en aucun cas un assouplissement du texte de loi ou de ses délais d’opposabilité juridique. Cette communication vise avant tout à encadrer les démarches des opérateurs en retard de phase afin d’éviter les ruptures de conformité brutales.