NIS2 Belgique : éditeurs de logiciels et prestataires IT, concernés ?
Un éditeur de logiciels n'est pas listé par la loi NIS2 belge. Un MSP, un MSSP, un hébergeur ou un SaaS, si. Voici comment trancher votre cas en dix minutes, avec les dates belges, le référentiel CyberFundamentals et ce qui vous atteint même hors champ.
La réponse courte
En Belgique, la loi du 26 avril 2024 transpose la directive NIS2 et s'applique depuis le 18 octobre 2024[5]. Pour savoir si NIS2 Belgique vous concerne, ne regardez pas votre code NACE : regardez le service que vous vendez. L'« édition de logiciels » ne figure ni à l'annexe I ni à l'annexe II de la loi. En revanche, trois profils très courants dans le secteur IT y tombent directement : les fournisseurs de services gérés (MSP) et de services de sécurité gérés (MSSP), rangés sous « gestion des services TIC (B2B) » à l'annexe I ; les fournisseurs d'informatique en nuage, de centres de données, de CDN et de DNS, également à l'annexe I ; les places de marché en ligne, moteurs de recherche et réseaux sociaux, à l'annexe II[1].
Autrement dit : si vous vendez une licence que le client installe et exploite lui-même, vous êtes probablement hors du champ NIS2. Si vous hébergez, supervisez, patchez ou administrez pour le compte du client, vous êtes très probablement dedans. Et « hors NIS2 » ne veut pas dire « sans obligation » : le Cyber Resilience Act et les questionnaires de sécurité de vos clients vous rattrapent, nous y venons.
Êtes-vous concerné ? Les critères à cocher
- Seuil de taille : au moins 50 travailleurs à temps plein, ou plus de 10 millions d'euros de chiffre d'affaires annuel, ou plus de 10 millions d'euros de total de bilan[1]. Les critères sont alternatifs : un seul suffit.
- Service géré : installez-vous, gérez-vous, exploitez-vous ou maintenez-vous des produits, réseaux, infrastructures ou applications TIC pour le compte de clients ? C'est la définition du service géré, et elle vous place dans « gestion des services TIC (B2B) »[1]. Vendre des heures d'informatique ne suffit pas ; prendre la main sur l'infrastructure du client, oui.
- SaaS : si votre logiciel est hébergé et exploité par vous, vous ne vendez pas une licence, vous fournissez un service d'informatique en nuage — annexe I, infrastructure numérique.
- Établissement : la loi belge vise l'entité établie en Belgique qui fournit dans l'Union un service des annexes I ou II[1].
- Sans seuil de taille : certaines catégories relèvent de NIS2 quelle que soit leur taille, notamment les fournisseurs de services DNS, les registres de noms de domaine de premier niveau et les prestataires de services de confiance[1].
Le statut essentiel ou important ne découle pas du seul seuil : il dépend du secteur et de la catégorie. En règle générale, les grandes entités de l'annexe I relèvent du régime essentiel ; les autres entités de l'annexe I et celles de l'annexe II sont importantes, sous réserve des exceptions légales[5].
Ce que la loi NIS2 exige en Belgique : les dates qui comptent
L'autorité nationale est le Centre pour la cybersécurité Belgique (CCB) : point de contact, CSIRT et autorité compétente, avec des autorités sectorielles selon l'activité[2]. L'enregistrement se fait sur son portail Safeonweb@work. Particularité qui vise directement notre secteur : le délai d'enregistrement de deux mois de l'article 13 a fait tomber les acteurs numériques avant tous les autres.
| Échéance | Qui | Quoi |
|---|---|---|
| 18/12/2024 | Cloud, centres de données, DNS, CDN, services gérés et de sécurité gérés | Enregistrement sur Safeonweb@work, délai de deux mois (art. 13)[3] |
| 18/03/2025 | Les autres secteurs concernés | Enregistrement sur Safeonweb@work[3] |
| 18/04/2026 | Niveaux Basic, Important et Essential | Première vérification CyberFundamentals, au niveau Basic ou Important[5][6] |
| 18/04/2027 | Entités essentielles visant le niveau Essential | Certification CyFun Essential[5][6] |
| 11/09/2026 puis 11/12/2027 | Tout éditeur de logiciels, même hors NIS2 | Cyber Resilience Act : signalement des vulnérabilités activement exploitées, puis application générale[7] |
Le référentiel de référence du CCB est CyberFundamentals (CyFun). Il couvre la gestion des risques, les incidents, la continuité, la chaîne d'approvisionnement et la sécurité du développement et de la maintenance — ce dernier point est précisément votre métier si vous écrivez du code. Une certification CyFun ou ISO/IEC 27001 peut ouvrir une présomption de conformité[6]. Si vous êtes déjà certifié ISO 27001 pour répondre aux appels d'offres, vous avez fait l'essentiel du chemin.
Les amendes administratives de l'article 37 de la loi belge : au moins 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, au moins 7 000 000 EUR ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu[3].
Le cas de l'éditeur de logiciels hors champ
Vous éditez un logiciel installé chez le client, vous êtes moins de 50 et sous 10 millions d'euros ? Vous n'êtes probablement pas une entité NIS2. Trois obligations vous atteignent quand même.
① Par vos clients. Une entité NIS2 doit intégrer la sécurité de sa chaîne d'approvisionnement, y compris les risques liés à ses fournisseurs directs[2]. En pratique, cela descend chez vous sous forme d'exigences contractuelles et de questionnaires. Un hôpital belge soumis à NIS2 ne peut pas se permettre un fournisseur logiciel qui ne sait pas dire en combien de temps il publie un correctif : nous l'avons détaillé dans notre guide sur NIS2 pour la santé, les hôpitaux et les laboratoires en Belgique.
② Par le Cyber Resilience Act. Le règlement (UE) 2024/2847 vous qualifie de fabricant dès lors que vous mettez sur le marché, sous votre nom ou votre marque, un produit comportant des éléments numériques — que le logiciel soit vendu, monétisé autrement ou fourni gratuitement[7]. Entrée en vigueur le 10 décembre 2024, obligations de signalement à partir du 11 septembre 2026, application générale au 11 décembre 2027[7].
③ Par le RGPD, si votre logiciel traite des données personnelles pour le compte de vos clients : vous êtes sous-traitant, avec tout ce que cela implique de contrat et de notification.
Notifier un incident : 24 heures, 72 heures, un mois
Si vous êtes une entité NIS2, la notification au CCB est échelonnée : alerte précoce dans les 24 heures, notification d'incident dans les 72 heures, puis rapport final au plus tard un mois après la notification. Les deux premiers délais courent à partir de la prise de connaissance de l'incident ; si l'incident se poursuit, un rapport d'avancement est transmis et le rapport final suit dans le mois après traitement définitif[4].
Pour un MSP, la difficulté n'est pas le formulaire : c'est de savoir, un dimanche à 3 heures, quel client est touché et qui décide. Le délai de trois semaines observé lors d'une récente fuite chez un sous-traitant public montre où ça casse — nous l'avons analysé dans ce retour d'expérience sur le délai de 72 heures. Et quand la faille est dans un outil que vous hébergez vous-même, le compte à rebours commence pour vous : voyez la faille Atlassian sur Jira et Confluence auto-hébergés.
Les 5 premières actions
- Tranchez votre statut par écrit, service par service : licence sur site, SaaS, service géré, hébergement. Une même société peut avoir une activité dans le champ et une autre dehors. Gardez la note : c'est elle que vous opposerez au questionnaire d'un client ou à une question du CCB.
- Vérifiez votre enregistrement sur Safeonweb@work. Si vous relevez du cloud, du DNS ou des services gérés, votre échéance était le 18 décembre 2024[3] : un retard se corrige, il ne s'ignore pas.
- Positionnez-vous sur CyFun (Basic, Important, Essential) et calez la vérification avant le 18 avril 2026[6]. Si vous visez le niveau Essential, la certification est due au 18 avril 2027.
- Écrivez votre processus de divulgation et de correctif : point de contact sécurité, délai cible de correction par criticité, canal d'information des clients. C'est exigé par CyFun au titre du développement sécurisé, par vos clients NIS2 au titre de la chaîne d'approvisionnement, et par le Cyber Resilience Act au titre du signalement.
- Répétez la notification à blanc : qui remplit le formulaire CCB, qui prévient les clients, qui parle. Un exercice de deux heures vaut mieux qu'une procédure de douze pages.
Chez CyberNovaLabs.io
Commencez par le test NIS2 gratuit : quelques questions, et vous savez si vous êtes dans le champ et à quel titre. Les repères propres à votre secteur sont réunis sur notre page NIS2 Belgique pour les services informatiques gérés, et le questionnaire de sécurité fournisseur vous donne les réponses que vos clients attendent. Si c'est votre produit qu'il faut mettre à niveau — journalisation, gestion des correctifs, cloisonnement des environnements clients — notre offre logiciel sur mesure intervient sur le code existant, sans tout réécrire. Tarifs sur devis, sans engagement de durée.
Demandez un échange de 20 minutes sur votre cas : nous repartons de vos contrats clients et de votre architecture, pas d'un questionnaire générique.
Sources
- CCB — NIS2 : champ d'application (scope)
- CCB — NIS2 : obligations
- CCB — FAQ NIS2 en Belgique (v2.0.1, FR)
- CCB — La notification des incidents NIS2
- CCB — Brochure « The NIS2 directive in Belgium »
- Safeonweb@work — FAQ NIS2 et CyberFundamentals
- Règlement (UE) 2024/2847 — Cyber Resilience Act
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Failles critiques PHP : votre site web est concerné (21/10/2026)
Deux vulnérabilités critiques dans PHP, le moteur sous la plupart des sites de PME, permettent une exécution de code à distance sans authentification. Les correctifs sont sortis le 21 octobre 2026. Ce qu'il faut vérifier cette semaine, et ce qui ne sera jamais corrigé.
Lire l'article →22 octobre 2026 · 9 min de lectureNIS2 Pays-Bas : éditeurs de logiciels et prestataires IT, concernés ?
Éditer un logiciel ne figure pas dans la loi néerlandaise. Gérer l'infrastructure d'un client, héberger, surveiller : si. Voici comment trancher votre cas en dix minutes, avec les dates néerlandaises, l'autorité compétente et la règle d'établissement principal qui décide qui vous contrôle.
Lire l'article →12 octobre 2026 · 7 min de lectureNIS2 Pays-Bas : santé et laboratoires sous la Cyberbeveiligingswet
Aux Pays-Bas, la question « sommes-nous concernés ? » se tranche plus vite que dans d'autres secteurs : un établissement de soins de 50 ETP est dans le champ, et il n'y a aucune période transitoire. Voici les seuils exacts, l'autorité qui contrôle, le CSIRT qui aide, et les cinq actions à mener cette semaine.
Lire l'article →11 octobre 2026 · 7 min de lectureNIS2 France : transport et logistique sont-ils concernés ?
Un transporteur routier n'est pas visé par NIS2 parce qu'il transporte des marchandises. Mais deux régimes l'obligent déjà aujourd'hui, et un troisième arrive par ses clients. Les textes, les dates et les chiffres, sans amende inventée.
Lire l'article →9 octobre 2026 · 7 min de lectureCNIL : injonction France Travail levee sans astreinte (08/10/2026)
Le 8 octobre 2026, la CNIL a leve son injonction contre France Travail sans appliquer l'astreinte de 5 000 euros par jour. Ce qui compte pour une PME n'est pas l'amende de 5 millions, mais les quatre mesures de securite que l'autorite a jugees obligatoires.
Lire l'article →9 octobre 2026 · 7 min de lectureCombien de rendez-vous B2B pour signer un client ?
Si un rendez-vous qualifie sur quatre signe, il vous faut quatre rendez-vous par client. Ce chiffre ne vaut rien chez vous : voici le modele a six etages, la formule inverse et les reperes de cout publics pour dimensionner votre prospection sans deviner.
Lire l'article →