Accompagnement CyFun en Belgique : vérification et certification

Qu'est-ce que CyFun et qui est concerné ?

CyFun® (CyberFundamentals) est le cadre de cybersécurité publié par le Centre pour la Cybersécurité Belgique (CCB). Il s'appuie sur le NIST Cybersecurity Framework, l'ISO/IEC 27001 et 27002, les CIS Controls et l'IEC 62443, et il est gratuit. En vertu de la loi NIS2 belge du 26 avril 2024, les entités essentielles doivent se soumettre à une évaluation régulière de la conformité, pour laquelle CyFun® est la voie de référence. Les entités importantes peuvent recourir à une vérification CyFun® volontaire pour obtenir une présomption de conformité, et les fournisseurs l'utilisent de plus en plus pour répondre aux questionnaires de sécurité de leurs clients.

• Secteurs NIS2 : qui est concerné en Belgique

Quel niveau CyFun me faut-il : Basic, Important ou Essential ?

Le niveau découle de votre analyse de risques, appuyée par l'outil de sélection CyFun® du CCB. Pour les entités essentielles, le CCB attend des mesures équivalentes au niveau Essential, sauf si une analyse de risques documentée justifie un niveau inférieur : un choix que l'entité fait sous sa propre responsabilité (article 7 de l'arrêté royal du 9 juin 2024) et que le service d'inspection peut contrôler. Les entités importantes visent généralement Basic ou Important, selon leur profil de risque. Les niveaux sont cumulatifs : Important inclut Basic, et Essential inclut les deux.

Quelle différence entre vérification et certification CyFun ?

La vérification concerne les niveaux Basic et Important : le CAB contrôle votre auto-évaluation et les mesures clés, puis délivre une déclaration de vérification. La certification concerne le niveau Essential : un audit plus approfondi, avec des preuves de mise en œuvre pour chaque mesure clé, qui débouche sur un certificat. Dans les deux cas, le CAB doit être accrédité par BELAC (ou un organisme d'accréditation équivalent) et autorisé par le CCB ; une fois l'évaluation finalisée, vous pouvez demander un label CyFun® dans le portail Safeonweb@work.

Quelles sont les échéances du CCB pour CyFun ?

Pour les entités essentielles, le CCB a fixé un premier jalon au 18 avril 2026 (au moins une déclaration de vérification CyFun® Basic ou Important, échéance aujourd'hui passée). Au 18 avril 2027, elles doivent détenir un certificat CyFun® Essential lorsque Essential est le niveau applicable. Selon l'approche transitoire communiquée par le CCB en août 2026, une entité qui n'y est pas encore peut remettre un plan de remédiation accompagné d'une vérification CyFun® Important et atteindre Essential au 18 avril 2028. Les entités ayant justifié un niveau inférieur doivent démontrer leur conformité à ce niveau au 18 avril 2027. Les entités entrées plus tard dans le champ d'application doivent vérifier leur propre calendrier auprès du CCB.

• CyFun ou ISO 27001 : échéances et voies comparées

ICTLAB délivre-t-il le certificat ou la déclaration de vérification CyFun ?

Non. Seul un organisme d'évaluation de la conformité accrédité par BELAC et autorisé par le CCB peut vous vérifier ou vous certifier ; le CCB publie la liste des CAB autorisés sur Safeonweb@work. ICTLAB vous prépare : cadrage, analyse des écarts, remédiation, dossier de preuves et pré-audit interne, puis accompagnement pendant l'audit du CAB. C'est cette séparation entre préparation et évaluation qui rend le résultat crédible pour le CCB, vos clients et votre direction.

Combien de temps dure la préparation CyFun et combien coûte-t-elle ?

Cela dépend de votre niveau, de votre taille et de votre maturité de départ. À titre indicatif, une organisation dotée d'une bonne hygiène informatique peut être prête pour une vérification Basic ou Important en 2 à 4 mois environ, tandis qu'une certification Essential demande généralement 6 à 12 mois de remédiation. Le cadre CyFun® et ses outils sont gratuits ; vous payez le travail de préparation et le CAB, qui facture directement son évaluation. ICTLAB établit un devis sur demande après un court appel de cadrage, et l'analyse des écarts donne l'estimation la plus fiable de l'effort restant.

Peut-on combiner CyFun et ISO 27001 ?

Oui, et c'est souvent l'option la plus efficace. L'ISO 27001 apporte le système de management (processus de risques, audit interne, revue de direction, amélioration continue) et CyFun® le socle de mesures reconnu par le CCB. Pour NIS2, un certificat ISO 27001 ne compte que si son périmètre couvre toute l'organisation et si sa déclaration d'applicabilité équivaut à votre niveau CyFun®. En intégrant les exigences CyFun® dans la déclaration d'applicabilité, un seul certificat sert vos clients internationaux et le régulateur belge, et le CCB peut délivrer un label CyFun® sur la base d'un certificat ISO/IEC 27001:2022.

• Notre accompagnement à la certification ISO 27001
• CyFun ou ISO 27001 : quelle voie pour votre organisation ?