Une entreprise belge soumise à NIS2 doit pouvoir montrer qu'elle gère ses risques cyber de façon structurée : une analyse des risques, des politiques de sécurité, une procédure de gestion et de notification des incidents, un plan de continuité, un inventaire de ses actifs avec leurs responsables, et l'approbation de ces mesures par la direction. La directive (UE) 2022/2555 fixe ce cadre, la loi belge du 26 avril 2024 le transpose et le CCB en assure le suivi.
NIS2 concerne-t-elle votre entreprise ?
La taille seule ne suffit pas. C'est d'abord le secteur qui décide.
La directive vise les entités moyennes et grandes actives dans les secteurs listés dans ses annexes I et II : énergie, transport, banque, santé, eau, infrastructures numériques, fabrication de certains produits, alimentation, services postaux, entre autres. Elle les classe en entités essentielles et entités importantes, avec des régimes de supervision différents.
En Belgique, la loi du 26 avril 2024 transpose la directive. Elle est entrée en vigueur le 18 octobre 2024. Les entités concernées doivent s'enregistrer auprès du CCB. Pour certains secteurs, une autorité sectorielle intervient aussi, par exemple l'IBPT pour une partie des infrastructures numériques.
En pratique, une entreprise de plus de 1 000 personnes dans un secteur listé est presque toujours dans le champ. La vraie question devient alors : essentielle ou importante ? Le CCB publie des explications pour le vérifier.
Que faut-il documenter, concrètement ?
Beaucoup d'équipes voient NIS2 comme un exercice documentaire. Elles rédigent des politiques, les rangent sur SharePoint et considèrent le sujet comme clos. Ce n'est pas ce que le texte demande. Il demande des mesures de gestion des risques appliquées, et la documentation sert à prouver qu'elles le sont.
L'article 21 de la directive liste les mesures minimales. Pour chacune, il faut pouvoir montrer ce qui existe et qui en répond.
| Ce que la directive demande | Ce que vous devez pouvoir montrer | Où la gouvernance des données aide |
|---|---|---|
| Analyse des risques et politiques de sécurité (art. 21, § 2, a) | Une analyse des risques à jour et les politiques qui en découlent | Savoir quelles données sont critiques, et pour quels processus |
| Gestion des incidents et notification (art. 21, § 2, b et art. 23) | Une procédure, des rôles et un historique des incidents | Retrouver vite quels systèmes, données et rapports sont touchés |
| Continuité des activités (art. 21, § 2, c) | Sauvegardes, reprise après sinistre et gestion de crise | Identifier les sources dont dépendent les décisions quotidiennes |
| Sécurité de la chaîne d'approvisionnement (art. 21, § 2, d) | La liste des fournisseurs critiques et les exigences qui leur sont posées | Voir quelles données passent par quel fournisseur ou quelle plateforme |
| Contrôle d'accès et gestion des actifs (art. 21, § 2, i) | Un inventaire des actifs, leurs responsables et les règles d'accès | Un inventaire tenu à jour des sources, des jeux de données et de leurs propriétaires |
Les autres mesures de l'article 21 concernent notamment le développement et la maintenance sécurisés, l'évaluation de l'efficacité des mesures, l'hygiène cyber et la formation, la cryptographie et l'authentification multifacteur. Elles relèvent surtout de la sécurité informatique, moins de la gouvernance des données.
Qui est responsable au sein de l'entreprise ?
NIS2 ne laisse pas le sujet au seul responsable de la sécurité. L'article 20 de la directive demande aux organes de direction d'approuver les mesures de gestion des risques, d'en superviser la mise en œuvre et de suivre une formation. Ils peuvent être tenus responsables en cas de manquement. La loi belge reprend ce principe.
Pour la documentation, cela change une chose. Il ne suffit pas qu'une politique existe. Il faut une trace de qui l'a approuvée, quand, et qui la tient à jour.
Par exemple : votre politique de contrôle d'accès dit que chaque jeu de données sensible a un propriétaire qui valide les accès. Si personne ne sait qui est ce propriétaire pour la base clients, la politique existe sur papier, pas dans les faits.
Quels délais pour notifier un incident ?
L'article 23 de la directive fixe trois étapes pour un incident significatif : une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification dans les 72 heures, puis un rapport final au plus tard un mois après la notification. En Belgique, la notification se fait auprès du CCB.
Ces délais sont courts. Ils supposent que vous sachiez rapidement quels systèmes sont touchés, quelles données ils contiennent et quels services en dépendent. C'est là qu'un inventaire à jour fait gagner des heures, et qu'un inventaire obsolète en fait perdre.
Comment le CCB aide-t-il à structurer la démarche ?
Le CCB propose le cadre CyberFundamentals (CyFun), avec plusieurs niveaux d'assurance. Les entités peuvent s'appuyer sur CyFun ou sur la norme ISO/IEC 27001 pour démontrer leur conformité.
Les deux cadres demandent un inventaire des actifs et une attribution claire des responsabilités. Si vous avez déjà commencé l'un d'eux, une grande partie de la documentation NIS2 existe probablement déjà en partie. Le travail consiste souvent à la relier, à la compléter et à la garder à jour.
Un cadre pratique : Inventorier, Attribuer, Évaluer, Tracer, Revoir
- Inventorier : listez les systèmes, les sources de données et les rapports qui soutiennent vos services critiques.
- Attribuer : donnez à chacun un responsable nommé, une personne et non une équipe.
- Évaluer : notez pour chaque actif son niveau de criticité et l'état de la qualité de ses données.
- Tracer : gardez une trace des décisions, des approbations et des incidents, avec leur date.
- Revoir : faites confirmer l'inventaire et les responsables à un rythme fixe, par exemple chaque trimestre.
Où dScribe intervient
dScribe n'est pas un outil de conformité NIS2 et ne rend aucune entreprise conforme. Il aide sur une partie précise du travail : montrer qui répond de vos données, et ce qui a changé.
Dans l'application dScribe, la piste d'audit vous montre le propriétaire de chacun de vos actifs de données. Elle garde aussi l'historique de qui a modifié quoi, et quand. Pour la documentation NIS2, c'est une trace concrète de l'attribution des responsabilités et de leur suivi dans le temps.
Par exemple, vous voyez en quelques clics qui est propriétaire de la base clients, et qui a modifié sa description le mois dernier. Ce sont les questions de la section sur les responsabilités : qui répond de l'actif, et qui tient l'information à jour.
dScribe lit uniquement les métadonnées. Vos données elles-mêmes ne quittent pas leur source. L'analyse des risques, les politiques de sécurité et l'avis juridique restent de votre ressort.
Conclusion
NIS2 n'est pas une affaire de classeurs. C'est une question de connaissance : ce que vous avez, ce qui est critique, et qui en répond. La documentation ne fait que le montrer. Si votre inventaire des actifs et de leurs responsables est déjà vivant, une grande partie du travail est faite. S'il dort dans un fichier oublié, c'est par là qu'il faut commencer.
Questions fréquentes
Mon entreprise est-elle concernée par NIS2 en Belgique ?
Cela dépend d'abord de votre secteur, puis de votre taille. Les entités moyennes et grandes des secteurs listés aux annexes I et II de la directive sont concernées. Le CCB publie des explications pour le vérifier.
NIS2 impose-t-elle un data catalog ?
Non. La directive ne cite aucun outil. Elle demande notamment une gestion des actifs et des politiques de contrôle d'accès, et un inventaire des données avec leurs responsables est une façon de documenter cette partie.
Quelle est la différence entre NIS2 et le RGPD ?
Le RGPD protège les données personnelles. NIS2 vise la sécurité des réseaux et des systèmes d'information qui soutiennent des services essentiels ou importants. Un même incident peut toutefois relever des deux textes, avec des notifications distinctes.
Qui doit approuver les mesures NIS2 dans l'entreprise ?
Les organes de direction, selon l'article 20 de la directive. Ils approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et suivent une formation. Il est utile de garder une trace datée de ces approbations.
Faut-il être certifié ISO 27001 pour NIS2 ?
La directive n'impose pas de certification en particulier. En Belgique, le CCB reconnaît plusieurs voies pour démontrer la conformité, dont CyberFundamentals et ISO/IEC 27001. Vérifiez avec votre conseiller juridique laquelle convient à votre situation.