NIS2 n'est plus un projet : la directive européenne est en vigueur en Belgique depuis le 18 octobre 2024 via la loi du 26 avril 2024. Le sujet n'a pourtant rien d'évident pour une PME : entre les obligations techniques, la responsabilité personnelle du dirigeant et les délais légaux de signalement, où commencer ? Cette checklist regroupe en 12 étapes actionables, classées en 4 piliers, ce qu'une PME belge doit mettre en place pour se considérer raisonnablement en conformité.

1. NIS2 en 2 phrases : ce qu'il faut savoir

NIS2 (Network and Information Security Directive 2) remplace la directive NIS de 2016 et étend largement le périmètre des entreprises soumises à des obligations de cybersécurité. Elle impose une gouvernance cyber écrite, des mesures techniques minimales, un plan de réponse aux incidents, le signalement obligatoire des incidents significatifs et la sécurisation de la chaîne d'approvisionnement.

En Belgique, la transposition s'est faite par la loi du 26 avril 2024, entrée en application le 18 octobre 2024. L'autorité compétente est le Centre pour la Cybersécurité Belgique (CCB). Tout incident significatif doit lui être signalé selon trois jalons légaux : alerte précoce dans les 24 heures, rapport intermédiaire dans les 72 heures, rapport final dans le mois.

2. Êtes-vous concerné en 30 secondes

Trois critères cumulatifs déclenchent l'obligation :

Notre article dédié approfondit la grille de décision et les cas limites : NIS2 : comment savoir si ma PME belge est concernée.

3. La checklist NIS2 en 12 étapes actionables

Quatre piliers, trois étapes chacun. L'ordre proposé est progressif : on installe la gouvernance avant de déployer les contrôles techniques, on gère les incidents avant de tester le plan, on sécurise la supply chain avant de former la direction.

Pilier 1 — Gouvernance

Étape Action concrète Livrable attendu
1. Désigner un responsable cybersécurité Nommer un RSSI ou délégué cybersécurité, avec mandat écrit Lettre de mission signée par la direction
2. Cartographier les actifs IT critiques Inventorier postes, serveurs, applications, données sensibles, prestataires Registre des actifs daté et signé
3. Faire valider une politique de sécurité écrite Rédiger une PSSI (politique de sécurité du système d'information) et la faire signer par le dirigeant Document PSSI version 1.0 signé

Pilier 2 — Gestion des risques

Étape Action concrète Livrable attendu
4. Réaliser une analyse de risques formelle Évaluer probabilité et impact des menaces sur les actifs (méthodes EBIOS, ISO 27005 ou simplifiée NIS2) Matrice de risques cotée + décisions de traitement
5. Déployer les contrôles techniques minimaux MFA sur tous les comptes critiques, EDR sur les postes, patch management automatisé, backup quotidien testé Capture configuration + preuves de mise en œuvre
6. Documenter les mesures de protection Tenir un registre des mesures de sécurité avec date de mise en œuvre, responsable et preuve Registre des mesures actualisé

Pilier 3 — Gestion des incidents

Étape Action concrète Livrable attendu
7. Mettre en place un plan de réponse aux incidents Définir rôles, procédures de détection, confinement, éradication, récupération Plan de réponse écrit + diffusion équipe
8. Maîtriser le signalement obligatoire au CCB Connaître et tracer les délais légaux : 24 h alerte précoce, 72 h rapport intermédiaire, 1 mois rapport final Procédure de signalement écrite + contacts CCB pré-renseignés
9. Tester le plan de reprise Exercice annuel minimum : table-top ou simulation type ransomware Compte-rendu d'exercice + plan d'actions correctives

Pilier 4 — Supply chain et formation

Étape Action concrète Livrable attendu
10. Sécuriser la chaîne d'approvisionnement Inclure clauses cyber (article 28 RGPD, droit d'audit, sous-processeurs) dans les contrats fournisseurs critiques Liste fournisseurs avec clauses + DPA signés
11. Former les collaborateurs Sensibilisation phishing au minimum annuelle, exercices, hygiène cyber (mots de passe, MFA, USB) Attestations de formation + résultats tests phishing
12. Former la direction Formation cybersécurité spécifique pour les dirigeants — obligation NIS2 Attestation formation direction archivée
Ordre de bataille pratique

Commencez par les étapes 1, 2, 5 et 11. La gouvernance posée, les contrôles techniques de base et la sensibilisation des collaborateurs couvrent à eux seuls la majeure partie des risques quotidiens. Les autres étapes peuvent s'enchaîner ensuite sans précipitation.

Vous voulez auditer où vous en êtes sur ces 12 étapes ?
Diagnostic IT et cyber offert, sans engagement. On vous remet un rapport clair avec les écarts et les priorités.
Demander mon diagnostic →

4. Sanctions et responsabilité du dirigeant

NIS2 prévoit deux régimes de sanctions distincts :

Au-delà des amendes, la directive engage la responsabilité personnelle du dirigeant. En cas d'incident grave avec preuve de négligence (absence de plan, absence de formation, absence de mesures techniques minimales), le dirigeant peut être frappé d'une interdiction temporaire d'exercer des fonctions de direction. C'est cette responsabilité personnelle qui rend la formation de la direction (étape 12) non négociable.

À retenir sur la responsabilité

Un dirigeant qui peut prouver avoir suivi la formation NIS2, avoir validé la politique de sécurité, et avoir alloué des moyens raisonnables, conserve sa capacité à invoquer la diligence en défense. Un dirigeant qui n'a rien fait perd cette protection.

5. Combien coûte la mise en conformité NIS2

Les coûts varient selon la taille et la maturité de l'entreprise. Voici les ordres de grandeur observés sur le marché belge 2026.

Taille PME Mise en place initiale (audit + plan + doc) Forfait IT + cyber récurrent
1-10 utilisateurs 2 500 - 6 000 € HTVA 25 - 50 € HTVA / utilisateur / mois
10-30 utilisateurs 5 000 - 12 000 € HTVA 50 - 80 € HTVA / utilisateur / mois
30-100 utilisateurs 10 000 - 25 000 € HTVA 50 - 120 € HTVA / utilisateur / mois (selon SLA)
100+ utilisateurs ou secteur régulé Sur mesure Hybride interne + externe

Détail des prix support IT et cyber par utilisateur : Tarif support IT PME Belgique 2026.

6. Aides régionales mobilisables

Plusieurs mécanismes publics belges co-financent les projets de mise en conformité NIS2.

7. Le rôle d'un partenaire IT dans une démarche NIS2

Un partenaire IT comme KA IT couvre les briques techniques de la checklist : étapes 2, 5, 6, 7, 8, 9 et 10 sur le périmètre infrastructure et cyber. La gouvernance (étapes 1, 3), l'analyse de risques (étape 4) et la formation direction (étape 12) sont en général portées en interne ou avec un consultant gouvernance.

Concrètement, les packs Business et Managed de KA IT (50 € et 80 € HTVA par utilisateur et par mois) intègrent les briques techniques de base : MFA, EDR, patch management, backup Microsoft 365, monitoring, gestion firewall. La documentation des mesures et la procédure de signalement CCB sont produites dans le cadre de la prestation. Détails sur la page packs et tarifs.

8. Questions fréquentes

Ma PME belge est-elle concernée par NIS2 ?

Vous êtes concerné si vous êtes une entité essentielle (250+ employés ou 50M€+ CA dans un secteur critique) ou une entité importante (50+ employés ou 10M€+ CA dans un secteur visé). Les sous-traitants des secteurs critiques sont concernés quelle que soit leur taille. Voir NIS2 : suis-je concerné.

Quelles sont les sanctions en cas de non-conformité ?

Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles. 7 millions ou 1,4 % du CA pour les entités importantes. Plus la responsabilité personnelle du dirigeant, qui peut entraîner une interdiction temporaire d'exercer.

Quel est le délai légal pour signaler un incident au CCB ?

Trois jalons légaux : alerte précoce dans les 24 heures suivant la détection, rapport intermédiaire dans les 72 heures, rapport final dans le mois. Délais définis par la loi du 26 avril 2024 transposant NIS2.

Combien coûte la mise en conformité NIS2 pour une PME de 15 personnes ?

Pour 15 utilisateurs, le coût indicatif de la mise en place initiale se situe entre 5 000 et 12 000 € HTVA (audit, plan, documentation), plus un forfait support IT et cyber récurrent entre 50 et 80 € HTVA / utilisateur / mois.

Un antivirus suffit-il pour être conforme ?

Non. NIS2 exige une approche globale : analyse de risques formelle, plan de réponse, formation du personnel et de la direction, signalement obligatoire, sécurité de la chaîne d'approvisionnement. L'antivirus n'est qu'une brique sur la dizaine attendues.

Quels sont les 4 piliers de la checklist ?

Pilier 1 gouvernance (étapes 1 à 3). Pilier 2 gestion des risques (4 à 6). Pilier 3 gestion des incidents (7 à 9). Pilier 4 supply chain et formation (10 à 12). Les 12 étapes couvrent l'essentiel des obligations NIS2 pour une PME.