← Toutes les ressources

NIS2 Belgique : industrie et production, qui est concerné ?

Publié le 14 octobre 2026 · 7 min de lecture · CyberNovaLabs.io

La plupart des usines belges ne sont pas dans le champ de NIS2, et celles qui le sont le découvrent par un code NACE, pas par leur taille. Les six catégories de l'annexe II, les dates belges déjà échues, les montants d'amende et l'aide flamande que peu d'industriels demandent.

La réponse courte

Sur NIS2 Belgique industrie, tout se joue sur une liste fermée de six codes NACE, pas sur votre chiffre d'affaires. Si votre activité principale est la fabrication de produits informatiques, électroniques et optiques, d'équipements électriques, de machines, de véhicules automobiles, d'autres matériels de transport ou de dispositifs médicaux, et que vous atteignez 50 équivalents temps plein ou 10 millions d'euros de chiffre d'affaires ou de total de bilan, vous êtes une entité importante au sens de la loi du 26 avril 2024^[2][3].

Si vous fabriquez des produits métalliques, du plastique, du textile, du papier ou du mobilier, le secteur « fabrication » de l'annexe II ne vous vise pas. Dites-le clairement à votre conseil, puis passez à la vraie question : vos clients concernés, eux, vous demanderont des garanties contractuelles, parce que la loi leur impose de sécuriser leur chaîne d'approvisionnement.

Troisième point, le moins confortable : les échéances belges sont derrière nous. L'enregistrement sur Safeonweb@work était dû le 18 mars 2025^[1][5], et le niveau CyberFundamentals Basic devait être vérifié par un organisme d'évaluation de la conformité accrédité au plus tard le 18 avril 2026^[2]. Au 14 octobre 2026, cela fait 179 jours. Un retard ne s'efface pas : il se documente, se chiffre et se rattrape dans un ordre précis.

Les six codes NACE qui décident

La Belgique a été le premier État membre à transposer intégralement NIS2^[1]. Son annexe II ne parle pas d'industrie en général : elle énumère des catégories de produits, que le Centre pour la Cybersécurité Belgique (CCB) rattache aux divisions suivantes de la NACE Rév. 2^[2][3].

Deux nuances comptent. D'abord, l'agroalimentaire et la chimie sont bien visés par NIS2, mais par leurs propres secteurs de l'annexe II, avec leurs propres définitions : ne les traitez pas comme de la fabrication^[3]. Ensuite, un fabricant de dispositifs médicaux jugés critiques en cas d'urgence de santé publique, au sens de l'article 22 du règlement (UE) 2022/123, relève de l'annexe I « santé » et sort de la catégorie fabrication de l'annexe II^[2].

Êtes-vous concerné ? Les quatre questions

1. Votre activité principale tombe-t-elle dans l'une des six catégories ci-dessus ? Vérifiez le code NACE déclaré à la BCE/KBO, pas celui que vous employez en interne.
2. Atteignez-vous le seuil de la moyenne entreprise ? Au moins 50 équivalents temps plein, ou plus de 10 millions d'euros de chiffre d'affaires ou de total de bilan^[2]. Comptez au niveau de l'entité juridique, pas du site de production.
3. Importante ou essentielle ? Pour l'annexe II, la réponse habituelle est « importante », même pour un grand groupe : la catégorie essentielle est d'abord celle des services de l'annexe I^[2]. Cela change les plafonds d'amende et la date de certification exigée.
4. Si la réponse est non, qui vous entraîne quand même ? Un client énergéticien, un hôpital, un opérateur de transport : leur obligation de sécuriser leurs fournisseurs devient votre questionnaire de sécurité à remplir.

Belgique : qui vous supervise, et avec quel référentiel

Le CCB est l'autorité nationale. L'enregistrement et le suivi passent par le portail Safeonweb@work^[5]. La particularité belge, celle qui surprend les industriels habitués au seul ISO 27001, tient à l'arrêté royal du 9 juin 2024 et au référentiel CyberFundamentals (CyFun) : la Belgique n'a pas seulement écrit des obligations, elle a imposé un niveau mesurable et sa vérification par un tiers accrédité^[2][8].

Pour un atelier d'usinage de 80 personnes, la différence est concrète. Il ne s'agit pas de rédiger une politique de sécurité, mais de présenter des preuves à un auditeur, sur les points précis où la production résiste : segmentation entre le réseau bureautique et les automates, comptes de maintenance partagés avec l'intégrateur, restauration testée d'un poste de supervision qui tourne depuis douze ans.

L'échéance du 18 avril 2026 est passée : dans quel ordre rattraper

Si vous découvrez le sujet aujourd'hui, ne commencez pas par l'audit. Enregistrez-vous d'abord : une entité non enregistrée est invisible pour le CCB, un enregistrement tardif se régularise, tandis qu'une absence d'enregistrement constatée au moment d'un incident se paie deux fois. L'écart CyFun vient ensuite, et seulement sur le niveau qui vous est demandé.

Notifier un incident : 24 heures, 72 heures, un mois

Les délais courent dès que vous avez connaissance de l'incident significatif, et chaque étape doit être franchie sans retard injustifié^[4] :

• 24 heures : alerte précoce.
• 72 heures : notification d'incident, avec une première évaluation.
• Un mois après la notification : rapport final. Si l'incident est toujours en cours, vous transmettez un rapport d'avancement, puis le rapport final dans le mois qui suit la résolution^[4].

La notification passe par le formulaire en ligne notif.safeonweb.be^[4]. Pour une usine, 24 heures se consomment vite : une ligne arrêtée un vendredi soir mobilise d'abord la maintenance, et personne ne pense au compteur réglementaire. Écrivez la procédure sur la même feuille que les consignes d'arrêt d'urgence, et nommez la personne qui déclenche la nuit et le week-end.

Amendes et responsabilité des dirigeants

Pour une entité importante, l'amende administrative maximale atteint 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé s'appliquant^[2]. Pour une entité essentielle, le plafond passe à 10 millions d'euros ou 2 %^[2]. À 1,4 %, un industriel réalisant 60 millions d'euros est exposé à 840 000 euros : hypothèse de calcul, à remplacer par votre chiffre d'affaires consolidé réel.

Le point que les comités de direction sous-estiment : la loi fait approuver les mesures de gestion des risques par l'organe de direction et lui impose de se former^[2]. Déléguer au responsable informatique ne transfère pas cette obligation. Dans une PME industrielle familiale, cela veut dire une demi-journée bloquée dans l'agenda du gérant, pas seulement dans celui du technicien.

L'aide flamande que peu d'industriels demandent

La Flandre finance la mise en conformité par les cybersecurity verbetertrajecten de VLAIO. En 2026, l'aide couvre 50 % du prix du parcours pour les PME, et 35 % pour les entreprises non-PME soumises à NIS2^[6][7]. Les parcours sont facturés entre 7 100 et 11 900 euros hors TVA pour la formule START, 16 600 à 28 600 euros pour MEDIUM et 26 500 à 39 900 euros pour PLUS^[6]. L'aide porte sur l'accompagnement par un prestataire sélectionné, pas sur l'achat de matériel ou de licences^[6].

Pour la Wallonie et pour Bruxelles, nous ne publions pas de taux : les dispositifs 2026 n'étaient pas confirmés par une source officielle au moment d'écrire ces lignes. Demandez-les à votre guichet régional avant de signer un devis. L'écart entre 0 et 50 % change l'ordre dans lequel vous menez vos travaux.

Les 5 premières actions

1. Trancher le périmètre en une page. Code NACE de la BCE/KBO, effectif en équivalents temps plein, chiffre d'affaires, total de bilan, conclusion datée et signée. C'est la pièce que vous présenterez au CCB comme à un client.
2. Vous enregistrer sur Safeonweb@work si vous êtes dans le champ, même en retard, et conserver l'accusé.
3. Mesurer l'écart CyFun au niveau requis, en commençant par les trois points qui échouent presque toujours en production : séparation du réseau bureautique et du réseau des automates, inventaire des accès distants des intégrateurs, restauration réellement testée.
4. Afficher la procédure de notification et son délai de 24 heures à côté des consignes d'arrêt d'urgence.
5. Mettre la formation de l'organe de direction à l'ordre du jour du prochain conseil, et demander l'aide VLAIO avant d'engager la dépense si vous êtes en Flandre.

Chez CyberNovaLabs.io

Commencez par le test NIS2 gratuit : il vous dit en quelques minutes si les six catégories de l'annexe II vous visent, et à quel niveau. Les repères par secteur sont réunis sur la page NIS2 Belgique pour l'industrie, et le questionnaire de sécurité fournisseur sert quand c'est un client, et non la loi, qui vous met sous pression.

À lire ensuite : NIS2 Luxembourg pour l'industrie et la production si vous avez un site de l'autre côté de la frontière, et NIS2 Belgique pour les éditeurs de logiciels et prestataires IT pour savoir ce que vos fournisseurs informatiques doivent, eux, vous garantir.

La formation de l'organe de direction ne s'achète pas comme un audit. Notre formation IA en entreprise couvre la gouvernance des outils et la politique d'usage, c'est-à-dire la moitié « décision » du sujet ; la vérification CyFun reste le travail d'un organisme accrédité. Si vous préférez qu'on regarde votre périmètre avant d'engager une dépense, écrivez-nous et nous examinons votre cas précis. Prestations sur devis, sans engagement de durée.

→ Faire le point sur NIS2

Sources

1. CCB — Belgium sets the standard: first member state to fully implement NIS2
2. CCB — FAQ NIS2 en Belgique (v2.0.1, FR)
3. CCB — Annexes de la loi NIS2 du 26 avril 2024
4. CCB — Guide sur les notifications NIS2 (v1.3, FR)
5. CCB Safeonweb@work — The NIS2 Law
6. VLAIO — Cybersecurity verbetertrajecten
7. VLAIO — Krijg ook in 2026 VLAIO-steun om te investeren in cyberveiligheid
8. CCB — Adoption de l'arrêté royal NIS2

À lire aussi