← Toutes les ressources

NIS2 Belgique : cabinets comptables et fiduciaires concernes ?

Publié le 27 octobre 2026 · 8 min de lecture · CyberNovaLabs.io

La comptabilite n'est ni a l'annexe I ni a l'annexe II de la loi belge du 26 avril 2024. Mais une fiduciaire qui gere l'informatique de ses clients peut devenir un fournisseur de services TIC geres, et tous les cabinets subissent la chaine d'approvisionnement de leurs clients assujettis.

La reponse courte

Non, dans la grande majorite des cas : un cabinet comptable ou une fiduciaire en Belgique n'entre pas dans le champ de NIS2 du seul fait qu'il tient des comptabilites. Les activites comptables, fiscales et de conseil ne figurent ni a l'annexe I ni a l'annexe II de la loi belge du 26 avril 2024 qui transpose la directive NIS2, et le Centre pour la Cybersecurite Belgique (CCB) ne les traite pas comme un secteur regule^[1]. Vous n'avez donc, en principe, ni enregistrement a faire sur Safeonweb@work, ni certification CyberFundamentals a passer.

Il reste trois raisons de ne pas fermer cette page. D'abord, un cabinet peut basculer dans le champ par une activite annexe : s'il gere l'informatique de ses clients, il peut repondre a la definition du fournisseur de services TIC geres (MSP) de l'annexe I^[1]. Ensuite, vos clients industriels, hospitaliers, logistiques ou energetiques sont concernes, et la securite de leur chaine d'approvisionnement est une obligation legale pour eux : ils vous feront signer des engagements^[4]. Enfin, vous detenez des mandats fiscaux, des acces eStox et, depuis le 1^er janvier 2026, des flux de facturation electronique structuree^[5][6][7]. Hors NIS2, cela reste le plus beau trousseau de cles de l'economie belge.

Etes-vous concerne ? Les six questions a vous poser

Repondez par oui ou non. Un seul oui aux questions 1 a 3 justifie une analyse serieuse ; les questions 4 a 6 ne declenchent pas NIS2 mais fixent votre niveau d'exigence reel.

• 1. Installez-vous, administrez-vous ou maintenez-vous, pour vos clients, des serveurs, des postes de travail, un reseau, un hebergement ou une application metier, sur place ou a distance ?
• 2. Revendez-vous un logiciel comptable ou une suite bureautique en y ajoutant l'exploitation, la supervision ou le support de premier niveau ?
• 3. Votre groupe compte-t-il 50 salaries ou plus, ou un chiffre d'affaires et un total de bilan superieurs a 10 millions d'euros ? Ce seuil ne cree pas l'assujettissement a lui seul, mais il conditionne le classement en entite importante ou essentielle une fois le secteur etabli^[4].
• 4. Avez-vous recu, ces douze derniers mois, un questionnaire de securite ou une clause de cybersecurite d'un client assujetti ?
• 5. Vos collaborateurs detiennent-ils des mandats actifs dans MyMinfin pour le compte des clients^[7] ?
• 6. Echangez-vous des factures electroniques structurees pour le compte de vos clients depuis le 1^er janvier 2026^[5] ?

Ce que la loi belge du 26 avril 2024 exige, et de qui

Si l'une de vos activites tombe dans le champ, voici le calendrier belge, qui n'est pas celui des autres pays. Le CCB est a la fois l'autorite nationale de cybersecurite et l'autorite de controle, avec l'appui des autorites sectorielles^[1].

Obligation	Echeance	Qui
Enregistrement sur le portail Safeonweb@work	18 mars 2025, soit cinq mois apres l'entree en vigueur de la loi[1]	Entites essentielles et importantes
Verification CyberFundamentals de niveau Basic ou Important par un organisme d'evaluation de la conformite accredite	18 avril 2026[1][2]	Entites essentielles
Certification CyberFundamentals de niveau Essential	18 avril 2027 (douze mois de plus)[1][2]	Entites essentielles dont le risque l'exige
Alerte precoce d'un incident significatif au CCB	24 heures[3]	Toutes les entites assujetties
Notification d'incident	72 heures[3]	Toutes les entites assujetties
Rapport final	1 mois apres la notification[3]	Toutes les entites assujetties

Le cadre CyberFundamentals (CyFun) du CCB distingue trois niveaux de garantie, Basic, Important et Essential, le niveau applicable se determinant par l'evaluation des risques de l'entite^[1]. Cote sanctions, la directive plafonne les amendes administratives a 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entite essentielle, et a 7 millions d'euros ou 1,4 % pour une entite importante, le montant le plus eleve etant retenu^[4].

Le piege belge : quand une fiduciaire devient un fournisseur de services TIC geres

C'est la seule porte d'entree realiste vers NIS2 pour un cabinet comptable belge, et elle est large. L'annexe I vise la gestion des services TIC (B2B), et le CCB definit le fournisseur de services geres comme une entite qui installe, gere, exploite ou entretient des produits, reseaux, infrastructures ou applications TIC, par assistance ou administration active, sur place ou a distance^[1].

La consequence pratique est brutale : l'assujettissement s'apprecie sur l'activite, pas sur l'intitule de la societe. Un cabinet de 60 personnes qui a developpe un petit pole informatique pour ses clients peut se retrouver entite importante, avec enregistrement, mesures de gestion des risques et obligations de notification, pendant que son concurrent de 200 personnes, strictement comptable, reste hors champ.

Ce qui vous concerne meme hors NIS2

Rester hors champ ne veut pas dire rester tranquille. Quatre pressions tres belges s'exercent sur votre cabinet.

1. La chaine d'approvisionnement de vos clients assujettis. La directive impose aux entites essentielles et importantes de prendre en compte la securite de leur chaine d'approvisionnement et la qualite des pratiques de leurs fournisseurs directs^[4]. Votre client hospitalier ou industriel ne vous demande pas de passer CyFun : il vous demande de prouver ce que vous faites. C'est le meme mouvement que celui decrit dans notre guide NIS2 Belgique pour l'industrie et la production, vu de l'autre cote du contrat.

2. Les mandats fiscaux. L'ITAA documente un module de gestion des mandats par lequel le cabinet agit pour le compte de ses clients^[7]. Un compte collaborateur compromis n'expose pas un dossier : il expose un portefeuille.

3. eStox et le registre UBO. eStox, developpe par l'ITAA avec Fednot, est un registre electronique de titres relie au registre UBO : lorsque la fonction est activee et qu'un mandat valide est enregistre dans MyMinfin, certaines informations sont transmises automatiquement et la reconfirmation annuelle est geree depuis la plateforme^[6]. L'inscription au registre UBO reste l'obligation de l'entreprise, mais l'acces, lui, est chez vous.

4. La facturation electronique structuree. Depuis le 1^er janvier 2026, les entreprises belges assujetties a la TVA doivent echanger des factures electroniques structurees pour leurs transactions B2B concernees^[5]. L'obligation pese sur l'entreprise, pas sur son comptable, mais c'est bien le cabinet qui met en place les flux, et un flux de facturation est exactement ce qu'une fraude au virement cherche a detourner.

Ajoutez le RGPD, dont l'Autorite de protection des donnees reste l'autorite competente en Belgique, independamment de NIS2 : une fuite de donnees de paie ou de donnees clients se traite devant elle, pas devant le CCB.

Les 5 premieres actions

1. Tranchez la question MSP par ecrit. Listez les services informatiques que vous rendez a vos clients, comparez-les a la definition du CCB^[1] et consignez la conclusion, datee et signee par un associe. Cout : une demi-journee. C'est la piece que vous produirez en cas de controle.
2. Fermez les acces des partants le jour du depart. Mandats MyMinfin, eStox, logiciel comptable, messagerie, VPN : une seule liste, un seul responsable, une verification trimestrielle. La majorite des incidents de cabinet commence par un compte qui aurait du etre ferme.
3. Imposez l'authentification a deux facteurs sur la messagerie et sur l'acces distant. Sans exception pour les associes. C'est la mesure qui coupe le plus grand nombre d'attaques pour le budget le plus faible.
4. Ecrivez une procedure de rappel bancaire d'une page. Tout changement de numero de compte communique par e-mail, client ou fournisseur, se verifie par appel sortant vers un numero deja connu. Rien d'autre ne fait baisser la fraude a la facture.
5. Preparez une reponse type de deux pages aux questionnaires de securite. Sauvegardes et test de restauration date, chiffrement des postes, 2FA, gestion des acces, sous-traitants et hebergement, contact d'incident. Vous repondrez en vingt minutes au lieu de trois jours. Notre modele est detaille sur la page questionnaire de securite fournisseur.

Chez CyberNovaLabs.io

CyberNovaLabs.io travaille aux Pays-Bas, en Belgique, en France et au Luxembourg, et la reponse change a chaque frontiere : comparez avec notre guide NIS2 au Luxembourg pour les cabinets comptables et fiduciaires, ou avec notre page de synthese NIS2 en Belgique. Pour savoir en cinq minutes si votre activite informatique vous fait basculer dans le champ, utilisez notre test NIS2 gratuit.

Si votre cabinet cherche surtout a parler aux bons dirigeants plutot qu'a remplir des formulaires, notre offre de prise de rendez-vous B2B pour cabinets comptables et fiduciaires est sans engagement de duree, au rendez-vous ou au forfait, avec des criteres de qualification ecrits avant le lancement ; les tarifs sont sur devis.

Parlons de votre cabinet : demandez un echange de 20 minutes.

Sources

1. CCB - FAQ NIS2 en Belgique, version 2.0.1 (fevrier 2025)
2. CCB - NIS2: 18 April 2026 deadline, what essential entities must have in place
3. CCB - La notification des incidents NIS2
4. Directive (UE) 2022/2555 (NIS2) - champ d'application, mesures et sanctions (art. 2, 3, 21, 34)
5. SPF Finances - Facturation electronique (E-invoicing)
6. ITAA - eStox et le registre UBO (manuel)
7. ITAA - Manuel de gestion des mandats

À lire aussi