CyFun ou ISO 27001 ? C’est la première question que se posent la plupart des organisations belges dès qu’elles savent qu’elles relèvent de NIS2. Les deux peuvent vous donner une présomption de conformité à la loi NIS2 belge, les deux sont évalués par un organisme indépendant et couvrent en grande partie le même terrain. Ils ne sont pourtant pas interchangeables : CyFun® est un cadre belge, gratuit et orienté mesures, avec trois niveaux d’assurance, tandis que l’ISO/IEC 27001 est une norme internationale de système de management, avec un cycle de certification. En bref : CyFun® est souvent la voie la plus rapide pour une PME belge qui doit surtout convaincre le CCB ; l’ISO 27001 se justifie quand des clients internationaux l’exigent ; et beaucoup d’organisations finissent par combiner les deux. Ce guide les compare point par point, avec les échéances telles que les publie le Centre pour la Cybersécurité Belgique (CCB).
À retenir
- CyFun® (CyberFundamentals) est le cadre du CCB, avec trois niveaux d’assurance : Basic, Important et Essential. Basic et Important sont vérifiés ; Essential est certifié.
- Selon la loi NIS2 du 26 avril 2024 et l’arrêté royal du 9 juin 2024, les entités essentielles doivent se soumettre à une évaluation régulière de la conformité : CyFun®, ISO/IEC 27001 ou inspection du CCB.
- Un certificat ISO 27001 ne compte que si son périmètre couvre toute l’organisation et si sa déclaration d’applicabilité équivaut au niveau CyFun® applicable.
- Date clé du CCB : au 18 avril 2027, les entités essentielles doivent démontrer une conformité de niveau Essential, ou remettre un plan de remédiation pour l’atteindre au 18 avril 2028.
- Les entités importantes n’ont aucune formalité à accomplir, mais doivent appliquer les mesures ; une vérification volontaire leur donne une présomption de conformité.
Qu’est-ce que CyFun (CyberFundamentals) ?
Le CyberFundamentals Framework (CyFun®) est un ensemble de mesures de cybersécurité concrètes publié par le CCB. Il s’appuie sur le NIST Cybersecurity Framework, l’ISO/IEC 27001 et 27002, les CIS Critical Security Controls et l’IEC 62443, et utilise des données anonymisées de cyberattaques réelles pour retenir les mesures qui comptent le plus. Le cadre et ses outils d’auto-évaluation sont gratuits.
Deux versions coexistent : CyFun® 2023 et CyFun® 2025, cette dernière alignée sur le NIST CSF 2.0 et sur NIS2, avec davantage de poids pour la chaîne d’approvisionnement, les technologies opérationnelles (OT) et la gouvernance au niveau de la direction. Selon le CCB, les entités peuvent choisir la version qu’elles appliquent jusqu’au 18 avril 2027 ; après la période de transition, seule la nouvelle version sera acceptée.
Chaque mesure est notée sur une échelle de maturité de 1 à 5, à la fois pour la politique (ce qui est écrit) et pour la mise en œuvre (ce qui est fait). Pour réussir, il faut atteindre le seuil de maturité global de son niveau et satisfaire chaque mesure clé, les contrôles incontournables comme les sauvegardes, l’authentification multifacteur ou la gestion des correctifs.
| Niveau CyFun® | Conçu contre | Évaluation de la conformité | Profil type |
|---|---|---|---|
| Basic | Les risques cyber connus et courants, avec des mesures généralement déjà disponibles | Vérification par un CAB autorisé (déclaration de vérification) | Petites entités importantes, fournisseurs à qui l’on demande un socle |
| Important | Les attaques ciblées d’acteurs aux compétences et moyens courants | Vérification par un CAB autorisé (déclaration de vérification) | La plupart des entités importantes, entités essentielles en trajectoire transitoire |
| Essential | Les attaques avancées d’acteurs aux compétences et moyens étendus | Certification par un CAB autorisé (certificat) | Entités essentielles, sauf niveau inférieur justifié par l’analyse de risques |
Les niveaux sont cumulatifs : Important inclut Basic, et Essential inclut les deux. Une fois l’évaluation de la conformité finalisée, vous pouvez demander un label CyFun® sur le portail Safeonweb@work.
Qu’est-ce que l’ISO 27001 ?
L’ISO/IEC 27001:2022 est la norme internationale du système de management de la sécurité de l’information (SMSI). Elle n’impose pas une liste fixe de mesures : elle exige de faire tourner un système de management (contexte, leadership, appréciation des risques, audit interne, revue de direction, amélioration continue) et de sélectionner, parmi les 93 mesures de l’annexe A, celles que vos risques requièrent, justifiées dans une déclaration d’applicabilité (DdA, ou SoA). La certification est délivrée par un organisme accrédité pour trois ans, avec des audits de surveillance au moins une fois par année civile et un audit de renouvellement avant l’échéance. Pour l’audit lui-même, consultez notre guide SMSI et audit ISO 27001.
La présomption de conformité dans la loi NIS2 belge
La loi NIS2 belge du 26 avril 2024, en vigueur depuis le 18 octobre 2024, et son arrêté royal du 9 juin 2024 organisent l’évaluation de la conformité autour de CyFun®. Une présomption de conformité peut être obtenue par une vérification CyFun® (Basic et Important), une certification CyFun® (Essential) ou une certification ISO/IEC 27001, à condition que le CCB juge le périmètre et la déclaration d’applicabilité acceptables. Pour les entités essentielles, l’évaluation régulière de la conformité est obligatoire, selon l’une de trois voies : certification ou vérification CyFun® par un CAB autorisé, certification ISO/IEC 27001 par un CAB autorisé, ou évaluation par le service d’inspection du CCB. Les entités importantes peuvent y recourir volontairement ; elles n’ont aucune formalité administrative à accomplir, mais le CCB peut leur demander la preuve que les mesures sont en place, par exemple après un incident. Vous ne savez pas dans quelle catégorie vous tombez ? Commencez par les secteurs NIS2 en Belgique.
La voie ISO 27001 : deux conditions du CCB
- Périmètre : l’évaluation de la conformité porte sur l’organisation dans son ensemble, sauf si des environnements IT/OT sont physiquement et/ou techniquement séparés, de sorte que la partie exclue ne puisse pas influencer les risques de la partie couverte. La déclaration d’applicabilité suit le même périmètre.
- Équivalence : la déclaration d’applicabilité doit démontrer des mesures équivalentes au niveau CyFun® qui vous concerne. Le CCB compare votre DdA aux mesures CyFun® correspondantes, ce qui suppose en pratique une table de correspondance documentée.
Dans les deux voies, l’évaluateur doit être un organisme d’évaluation de la conformité accrédité (en Belgique par BELAC) et autorisé par le CCB ; le CCB publie la liste des CAB autorisés.
Les échéances des entités essentielles, telles que publiées par le CCB
| Date | Voie CyFun® | Voie ISO 27001 |
|---|---|---|
| 18 avril 2026 (passée) | Au minimum une déclaration de vérification CyFun® Basic ou Important d’un CAB autorisé | Périmètre de la future certification, déclaration d’applicabilité et dernier audit interne transmis au CCB |
| 18 avril 2027 | Certificat CyFun® Essential (lorsque Essential est le niveau applicable) | Certificat ISO 27001 avec une déclaration d’applicabilité équivalente à CyFun® Essential |
| 18 avril 2028 (approche transitoire) | Niveau Essential atteint, si un plan de remédiation avec une vérification CyFun® Important a été remis en 2027 | Équivalence Essential atteinte, si un plan de remédiation avec un certificat ISO et une DdA équivalente à Important a été remis en 2027 |
L’approche transitoire découle d’une communication du service d’inspection du CCB adressée aux entités essentielles en août 2026 ; elle ne modifie pas les délais légaux. Une entité dont l’analyse de risques justifie un niveau CyFun® inférieur (article 7 de l’arrêté royal) doit démontrer sa conformité à ce niveau au 18 avril 2027 et documenter cette justification. Les organisations entrées plus tard dans le champ d’application doivent vérifier leur propre calendrier auprès du CCB. Source : FAQ du CCB sur NIS2 et les CyberFundamentals.
CyFun vs ISO 27001 : le comparatif
| CyFun® | ISO/IEC 27001 | |
|---|---|---|
| Nature | Cadre de mesures de sécurité concrètes, par niveau de maturité | Norme de système de management (SMSI) et 93 mesures de l’annexe A choisies selon les risques |
| Éditeur | Centre pour la Cybersécurité Belgique (CCB) | ISO et IEC |
| Périmètre pour NIS2 | Toute l’organisation (seule exception : la séparation IT/OT) | Toute l’organisation, même règle, plus une DdA mise en correspondance avec CyFun® |
| Reconnaissance internationale | Conçu pour la Belgique, reconnaissance croissante à l’étranger, peu connu des clients étrangers | Mondiale ; la référence exigée par les clients et les appels d’offres |
| Effort | Plus léger : mesures prescriptives, outil d’auto-évaluation, niveaux progressifs | Plus lourd : méthode de risques, SMSI documenté, audit interne, revue de direction |
| Coût (ordre de grandeur) | Cadre gratuit ; vous payez la mise en œuvre et le CAB. En général le budget le plus léger | Norme payante, plus de jours de conseil, jours d’audit fixés selon l’effectif. En général le budget le plus lourd |
| Évaluation | Vérification (Basic, Important) ou certification (Essential) par un CAB autorisé par le CCB | Audit de certification en deux étapes par un organisme accrédité (autorisé par le CCB pour NIS2) |
| Renouvellement | Réévaluation périodique selon le schéma d’évaluation de la conformité CyFun® ; vérifiez le cycle avec votre CAB | Certificat de 3 ans, audits de surveillance au moins annuels, puis renouvellement |
| Présomption de conformité NIS2 | Directe, au niveau vérifié ou certifié | Uniquement si le CCB accepte le périmètre et la DdA |
Pour des budgets et des durées indicatifs côté ISO, lisez le coût d’une certification ISO 27001 en Belgique.
CyFun ou ISO 27001 : que choisir ?
La bonne réponse dépend moins du référentiel que de qui doit faire confiance à votre sécurité. Quatre profils fréquents :
1. PME, entité importante, clientèle belge
Commencez par CyFun® Basic ou Important. Vous n’avez aucune formalité à accomplir, mais vous devez appliquer les mesures et pouvoir le prouver. Une vérification CyFun® vous donne une présomption de conformité, un label à montrer à vos clients et une liste d’actions claire et prescriptive, sans la charge d’un SMSI complet. Vous pourrez toujours ajouter l’ISO 27001 plus tard, sur les mêmes fondations.
2. Entité essentielle
Choisissez la voie que vos preuves soutiennent déjà. Si vous détenez un certificat ISO 27001 couvrant toute l’organisation, ou en êtes proche, complétez la déclaration d’applicabilité par une correspondance CyFun® Essential. Sinon, la voie CyFun® (vérification Important maintenant, certification Essential ensuite) est généralement la plus directe pour tenir le jalon du 18 avril 2027 ou l’objectif transitoire de 2028. Dans tous les cas, documentez l’analyse de risques qui justifie votre niveau.
3. Multinationale ou groupe avec des entités belges
L’ISO 27001 comme langage commun, CyFun® comme couche belge. Un SMSI de groupe est plus simple à faire tourner d’un pays à l’autre et il est reconnu par tous les régulateurs et clients. Pour les entités NIS2 belges, vérifiez que le périmètre du certificat les couvre réellement dans leur ensemble et ajoutez la correspondance CyFun® à la déclaration d’applicabilité. Le CCB a publié sur le site CyFun® des lignes directrices pour les entités faisant partie d’une organisation plus large.
4. Fournisseur sollicité par ses clients
NIS2 rend vos clients responsables de la sécurité de leur chaîne d’approvisionnement : questionnaires et clauses contractuelles arrivent donc chez des fournisseurs qui ne sont pas eux-mêmes des entités NIS2. Si vos clients sont belges, un label CyFun® Basic ou Important est une réponse proportionnée. S’ils sont internationaux ou demandent nommément « ISO 27001 », certifiez-vous. Posez la question avant d’investir : beaucoup de services achats acceptent l’un ou l’autre.
Comment combiner CyFun et ISO 27001
Les deux sont complémentaires : l’ISO 27001 vous dit comment piloter la sécurité, CyFun® vous dit quelles mesures le régulateur belge attend. Une approche combinée évite de mener deux programmes en parallèle.
- Un seul périmètre : définissez le périmètre du SMSI comme l’organisation entière (ou documentez la séparation IT/OT), pour qu’il soit valable à la fois pour NIS2 et pour l’ISO.
- Une seule analyse de risques : utilisez-la pour déterminer votre niveau CyFun® avec l’outil de sélection du CCB et pour piloter le traitement des risques ISO.
- Une seule DdA, mise en correspondance : utilisez la table de correspondance CyFun® du CCB pour relier chaque exigence CyFun® de votre niveau aux mesures de l’annexe A, et ajoutez les mesures clés CyFun® que l’annexe A ne couvre pas explicitement.
- Une seule base de preuves : réalisez l’auto-évaluation CyFun® dans le cadre de votre audit interne, pour que les scores de maturité et les preuves ISO proviennent des mêmes enregistrements.
- Un certificat, deux usages : certifiez le SMSI, transmettez le périmètre et la DdA au CCB et, si c’est utile, demandez un label CyFun® sur la base de votre certificat ISO/IEC 27001:2022, avec des preuves pour chaque mesure clé.
Pour la correspondance complète entre NIS2 et l’ISO 27001, lisez NIS2 et ISO 27001 en Belgique ; pour savoir où vous en êtes, commencez par une analyse des écarts ISO 27001.
Comment ICTLAB vous aide à choisir et à réussir
La pratique conformité d’ICTLAB est dirigée par Caner Korkut, ISO 27001 Lead Implementer. Nous partons de la question réglementaire (entité essentielle ou importante, quel niveau CyFun®, quels clients), recommandons la voie la plus légère qui tienne la route, puis la construisons : analyse de risques, auto-évaluation CyFun®, SMSI et correspondance de la DdA, mesures techniques et préparation au passage du CAB. Découvrez notre accompagnement à la conformité NIS2 et notre accompagnement à la certification ISO 27001, ou planifiez un appel de cadrage de 30 minutes.
CyFun ou ISO 27001 : questions fréquentes
CyFun ou ISO 27001 est-il obligatoire pour NIS2 en Belgique ?
Pour les entités essentielles, une évaluation régulière de la conformité est obligatoire et le CCB accepte trois voies : la certification ou vérification CyFun® par un organisme d’évaluation de la conformité (CAB) autorisé, la certification ISO/IEC 27001 par un CAB autorisé, ou une évaluation par le service d’inspection du CCB. Les entités importantes n’ont aucune formalité administrative à accomplir, mais doivent appliquer les mesures de sécurité NIS2 ; une vérification CyFun® ou une certification ISO 27001 volontaire leur donne une présomption de conformité.
Quel niveau CyFun me faut-il : Basic, Important ou Essential ?
Le niveau découle de votre analyse de risques, appuyée par l’outil de sélection CyFun® du CCB. Pour les entités essentielles, le CCB attend des mesures équivalentes au niveau Essential, sauf si une analyse de risques documentée justifie un niveau inférieur : un choix que l’entité fait sous sa propre responsabilité (article 7 de l’arrêté royal du 9 juin 2024) et que le service d’inspection peut contrôler. Les entités importantes visent généralement Basic ou Important, selon leur profil de risque.
Un certificat ISO 27001 donne-t-il automatiquement la présomption de conformité NIS2 ?
Non. Le certificat doit être délivré par un CAB accrédité et autorisé par le CCB, son périmètre doit couvrir toute l’organisation (exclusions uniquement pour des environnements IT/OT physiquement ou techniquement séparés) et la déclaration d’applicabilité doit démontrer des mesures équivalentes au niveau CyFun® qui vous concerne. Un certificat limité à un produit ou à un site ne suffira généralement pas.
Que doit avoir une entité essentielle au 18 avril 2027 ?
Selon le CCB, soit un certificat CyFun® Essential, soit un certificat ISO 27001 avec une déclaration d’applicabilité équivalente au niveau CyFun® Essential. Les entités qui n’y sont pas encore peuvent suivre l’approche transitoire du CCB : remettre un plan de remédiation avec des preuves de niveau CyFun® Important et un plan pour atteindre Essential au 18 avril 2028. Les entités ayant justifié un niveau inférieur doivent démontrer leur conformité à ce niveau au 18 avril 2027.
Quelle différence entre une vérification et une certification CyFun ?
La vérification concerne les niveaux Basic et Important : le CAB contrôle votre auto-évaluation et les mesures clés, puis délivre une déclaration de vérification. La certification concerne le niveau Essential : un audit plus approfondi, avec des preuves de mise en œuvre pour chaque mesure clé, qui débouche sur un certificat. Dans les deux cas, le CAB doit être accrédité par BELAC (ou un organisme d’accréditation équivalent) et autorisé par le CCB.
Peut-on combiner CyFun et ISO 27001 ?
Oui, et c’est souvent l’option la plus efficace. L’ISO 27001 apporte le système de management (processus de risques, audit interne, revue de direction, amélioration continue) et CyFun® un socle de mesures reconnu par le CCB. En intégrant les exigences CyFun® dans votre déclaration d’applicabilité, un seul certificat sert à la fois vos clients internationaux et le régulateur NIS2 belge, et le CCB peut délivrer un label CyFun® sur la base d’un certificat ISO/IEC 27001:2022.
CyFun coûte-t-il moins cher que l’ISO 27001 ?
En général, oui. Le cadre CyFun® et ses outils d’auto-évaluation sont gratuits, et les niveaux Basic et Important sont vérifiés plutôt que certifiés. L’ISO 27001 ajoute le travail propre au système de management (SMSI documenté, audits internes, revues de direction) et un cycle de certification de trois ans avec des audits de surveillance annuels. Le coût réel dépend de votre taille, de votre périmètre et de votre maturité de départ ; une analyse des écarts donne l’estimation la plus fiable.
Information générale basée sur la loi NIS2 belge du 26 avril 2024, l’arrêté royal du 9 juin 2024, le cadre CyFun® et les FAQ et communications du CCB disponibles au 8 novembre 2026 ; ne constitue pas un conseil juridique. Le CCB peut actualiser ses lignes directrices et ses calendriers : vérifiez toujours la dernière version sur les sites du CCB et de Safeonweb@work.