La Belgique, modèle européen selon l’ENISA. Une « source d’inspiration »

7380 entités enregistrées. C’est bien plus que les entités « importantes » et « essentielles » éligibles. Un beau succès que commente Phedra Clouner, à quelques jours avant le premier anniversaire.

18 octobre 2024, date de l’entrée en vigueur de la loi NIS2 en Belgique. Pour rappel, la Belgique a été le premier Etat membre de l’Union européenne à mettre complètement en oeuvre les nouvelles règles de la directive européenne en matière de cybersécurité. « Le but de cette avancée majeure est de renforcer considérablement le niveau de cyber- résilience d’un grand nombre d’organisations actives dans notre pays, explique Phedra Clouner, Deputy Director General, CCB (Centre for Cybersecuruity Belgium). A quelques jours de la date anniversaire, on peut parler de succès. A mi-septembre, on dénombrait quelque 7380 organisations enregistrées, dont 2475 entités dites « importantes » et 1472 dites « essentielles ».

Si la loi NIS2 s’applique à un champ d’entités élargi par rapport à la directive NIS1, concernant les services qui sont essentiels pour les activités socio-économiques ou la sécurité publique, le CCB ne s’attendait pas à enregistrer autant d’organisations. « Ce qui veut dire que NIS2 n’est pas considéré comme un fardeau, mais bien comme une opportunité stratégique majeure dans le sens où elle pousse à renforcer la cybersécurité et la résilience numérique », continue Phedra Clouner.

La Belgique, source d’inspiration

En mettant en place les mesures de sécurité exigées par la directive et, ensuite, par la loi, les entreprises peuvent réduire concrètement leurs risques cyber, améliorer leur maturité numérique, renforcer leur image de marque auprès de leurs clients et partenaires et, enfin, structurer leur gouvernance en matière de cybersécurité.  

« Le message NIS2 est bien passé. En Belgique, en particulier, on a compris que nous ne sommes pas là pour punir, mais pour aider ! Pour preuve, le recours à nos ressources Cyberfundamentals : des guides, des fact sheets, des webinairs… jusqu’au scanning de réseaux ! »

Mieux : le directeur général de l’ENISA, l’agence de l’Union européenne pour la cybersécurité, a loué la Belgique lors d’une audition à la commission spéciale résilience et cybersécurité : « La Belgique, a-t-il dit, est pour nous tous une source d’inspiration, et pas que dans la transposition de NIS2. Mes collègues et camarades du CCB sont particulièrement inspirants, innovants et pragmatiques dans un certain nombre de démarches qu’ils ont pu mener et cela bien avant la transposition de NIS2. Donc, on regarde de près ce qu’ils font et on se concerte assez régulièrement avec eux… » 

Une chance de se renforcer durablement 

Le CCB a fait le job. Et le marché a suivi. Un, NIS2 se traduit par un renforcement de l’image de marque et de la confiance : une meilleure cybersécurité et une conformité aux normes européennes renforcent la confiance des partenaires, clients et autres parties prenantes, améliorant ainsi la réputation de l’entreprise. Deux, c’est une opportunité de structurer la gouvernance : la directive encourage à structurer et à améliorer la gouvernance globale de la cybersécurité au sein des organisations, ce qui est essentiel pour une gestion proactive des risques. Trois, enfin, l’avantage concurrentiel : les entreprises qui adoptent une approche proactive de la conformité à NIS2 peuvent se démarquer de leurs concurrents, qui pourraient être en retard dans leur mise en œuvre.

Reste à savoir quel a été le poids de la responsabilisation individuelle des dirigeants. Le texte est clair : la direction est désormais responsable des décisions liées à la cybersécurité. « Une prise de conscience ? », questionne Phedra Clouner. De fait, les responsabilités ne se limitent plus au seul CISO. Les dirigeants doivent comprendre, piloter et assumer les choix stratégiques en matière de cybersécurité.

Toujours est-il, conclut Phedra Clouner, que « NIS2 offre un cadre pour améliorer sa posture de cybersécurité, tout en représentant aussi une chance pour les organisations de se renforcer durablement, de gagner en maturité et de consolider leur position sur le marché. »