Qu'est-ce que le référentiel CyberFundamentals et à quel niveau se situer ?

Réponse rapide

CyberFundamentals est le cadre de référence du Centre pour la Cybersécurité Belgique pour évaluer les mesures NIS2. L'arrêté royal du 9 juin 2024 lui impose au minimum trois niveaux d'assurance : basique, important et essentiel. Une entité essentielle vise l'essentiel, une entité importante au moins l'important.

Sommaire

Réponse rapide
Sommaire
Qu'est-ce que le référentiel CyberFundamentals ?
Basique, important, essentiel : que demande chaque niveau ?
Quand agir, et pourquoi le référentiel n'est pas obligatoire en soi
Comment choisir son niveau CyberFundamentals, et ce que cela coûte
Note de la rédaction
Sources et Références

Sommaire

Qu'est-ce que le référentiel CyberFundamentals ?
Basique, important, essentiel : que demande chaque niveau ?
Quand agir, et pourquoi le référentiel n'est pas obligatoire en soi
Comment choisir son niveau CyberFundamentals, et ce que cela coûte
Note de la rédaction

Qu'est-ce que le référentiel CyberFundamentals ?

C'est le cadre de référence que l'autorité nationale de cybersécurité élabore, tient à jour et met à la disposition du public pour évaluer les mesures minimales de gestion des risques imposées par NIS2 [2]. Cette autorité nationale, c'est le Centre pour la Cybersécurité Belgique (CCB), que désigne l'arrêté royal du 9 juin 2024 exécutant la loi NIS2 [2]. Le référentiel est construit en concertation avec les autorités sectorielles, les organismes accrédités et les organisations qui l'utilisent [2].

Le nom du référentiel figure, lui, dans le droit belge. L'arrêté royal du 9 juillet 2026 relatif à la cybersécurité nucléaire indique que le CyberFundamentals framework a été élaboré par le CCB et qu'il s'articule autour de cinq fonctions : identifier, protéger, détecter, répondre et rétablir [3]. Ces cinq fonctions sont celles du Cybersecurity Framework du NIST, qui en compte six depuis sa version 2.0 publiée le 26 février 2024, avec l'ajout de la gouvernance [6]. Le même arrêté cite d'ailleurs, à côté du référentiel belge, le cadre du NIST, ISO 27001 et 27002, IEC 62443 et les CIS Controls [3].

Basique, important, essentiel : que demande chaque niveau ?

L'arrêté royal exige que le référentiel contienne, de manière proportionnée, au minimum trois niveaux d'assurance : basique, important et essentiel [2]. Ce sont donc les trois niveaux que le droit belge reconnaît pour l'évaluation de la conformité NIS2, la formule « au minimum » laissant au CCB la liberté d'en publier d'autres.

L'arrêté royal du 9 juillet 2026, dont les règlements techniques renverront à ce même référentiel, décrit la gradation dans ce vocabulaire. Les mesures de base offrent un niveau de protection fiable grâce à des technologies et des processus généralement disponibles [3]. Les mesures importantes les renforcent pour réduire l'impact des cyber-risques connus et limiter celui d'attaques menées par des acteurs aux moyens et aux compétences limités [3]. Les mesures essentielles répondent aux exigences les plus élevées, avec des fonctions de sécurité avancées conçues pour résister à des attaques sophistiquées menées par des acteurs disposant de moyens et d'une expertise considérables [3].

Le niveau attendu dépend ensuite du statut de l'entité. Une entité essentielle qui retient ce référentiel obtient une certification au niveau essentiel [2]. Une entité importante qui s'y soumet volontairement obtient un avis de vérification au moins au niveau important, sur la base d'une auto-évaluation annuelle vérifiée par un organisme agréé [2].

Quand agir, et pourquoi le référentiel n'est pas obligatoire en soi

Les échéances courent depuis le 18 octobre 2024, date d'entrée en vigueur de la loi du 26 avril 2024 qui transpose NIS2 [1]. Les entités concernées disposaient de cinq mois pour s'enregistrer auprès du CCB [1]. Dix-huit mois après cette date, soit le 18 avril 2026, une entité essentielle ayant opté pour la certification devait déjà détenir une vérification au niveau basique ou important, selon son analyse des risques [2]. La certification proprement dite est due à trente mois, soit le 18 avril 2027 [2]. Quel que soit le choix, l'entité doit démontrer une amélioration continue [2].

Ce référentiel n'est pourtant pas une obligation légale en soi. L'obligation, c'est l'article 30 de la loi, qui énumère onze domaines de mesures techniques, opérationnelles et organisationnelles [1]. CyberFundamentals n'est que l'une des deux voies que le Roi a désignées pour en prouver la mise en oeuvre, l'autre étant la norme NBN EN ISO/IEC 27001 [2]. Les entités qui se soumettent à l'évaluation périodique sont, jusqu'à preuve du contraire, présumées respecter l'article 30 [1]. C'est une présomption de conformité, pas un quitus.

Pour les entités importantes, la démarche reste volontaire [1]. Le niveau découle du statut, jamais l'inverse : le périmètre NIS2 qui commande le niveau CyberFundamentals se lit aux articles 9 à 11 de la loi. Au niveau européen, le considérant 80 de la directive SRI 2 invite les États membres, en l'absence de schémas européens de certification de cybersécurité appropriés, à promouvoir l'utilisation des normes européennes et internationales pertinentes [4].

Comment choisir son niveau CyberFundamentals, et ce que cela coûte

Trois critères tranchent, dans cet ordre : la qualification NIS2, l'exigence contractuelle d'un grand client, puis l'analyse des risques.

Le premier est mécanique. Pour une entité essentielle, le niveau essentiel s'impose, sauf dérogation motivée vers un niveau inférieur si l'analyse des risques la justifie ; cette dérogation relève de la seule responsabilité de l'entité et n'est pas évaluée par l'organisme agréé [2]. Pour une entité importante, le plancher est le niveau important [2].

Le deuxième vient de la chaîne d'approvisionnement. L'article 30 impose aux entités couvertes de tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité globale de ses produits et de ses pratiques de cybersécurité, procédures de développement sécurisé comprises [1]. Une PME hors périmètre peut donc se voir imposer un niveau par contrat, exactement comme un questionnaire ESG d'un grand client.

Le troisième laisse une marge. La proportionnalité des mesures s'apprécie au regard de l'état des connaissances, du coût de mise en oeuvre, du degré d'exposition, de la taille de l'entité et de la probabilité comme de la gravité des incidents [1]. C'est l'analyse des risques, et la politique de sécurité qui en découle, qui documentent le niveau retenu [1].

Côté effort, deux postes dominent. L'organisme d'évaluation doit d'abord détenir une accréditation délivrée par l'organisme national d'accréditation, et son agrément se limite aux référentiels couverts [2]. En Belgique, il s'agit de BELAC, unique organisme d'accréditation depuis le 1er août 2006 [5]. Ensuite, l'attestation de conformité et l'analyse des risques remontent au CCB par une plateforme sécurisée [2], et l'organe de direction approuve les mesures, en supervise la mise en oeuvre, en répond et suit une formation [1].

Un seul tarif est fixé par voie réglementaire, et il ne concerne pas la certification. L'inspection par le service du CCB, voie alternative ouverte aux entités essentielles, est facturée 150 euros l'heure, montant rattaché à l'indice des prix à la consommation de novembre 2023 et adapté chaque 1er janvier [2]. La durée des prestations est fixée par la méthodologie du référentiel [2]. Les entités du secteur de l'administration publique en sont exonérées [2]. Le prix d'une certification par un organisme accrédité, lui, relève du marché et n'est pas publié.

Reste un point de vigilance. La présomption vaut jusqu'à preuve du contraire [1] : une attestation ne fait pas écran à un contrôle, et le service d'inspection du CCB peut vérifier au maximum une fois par an les entités qui ont retenu cette voie [2]. Comme pour le calendrier de l'AI Act, l'échéance la plus proche n'est pas la plus lourde : c'est celle d'avril 2027 qui suppose un système de management réellement en place.

Note de la rédaction

Le contenu éditorial est séparé de toute relation commerciale : un contenu sponsorisé, un partenariat ou un placement est signalé comme tel. Aucun article ne constitue un conseil en investissement, juridique ou fiscal personnalisé, et le lecteur est invité à consulter un professionnel agréé avant toute décision.

Textes législatifs consultés dans la banque Justel du Moniteur belge le 14 septembre 2026. La cybersécurité des entités NIS2 relève du fédéral. Le contenu détaillé du référentiel et de ses niveaux est publié par le CCB.