--- title: "Comprendre les règles et normes de sécurité" description: "Choisissez une règle ou une norme : son objectif, les organisations concernées et les actions ou documents utiles. Le texte et le dessin expliquent les mêmes points." url: https://www.alt-f1.be/fr/frameworks/ organization: ALT-F1 SRL, Brussels (VAT BE 0830.560.718) --- # Comprendre les règles et normes de sécurité Choisissez une règle ou une norme : son objectif, les organisations concernées et les actions ou documents utiles. Le texte et le dessin expliquent les mêmes points. ## NIS2 *NIS2 — Directive (UE) 2022/2555* Obligations de cybersécurité pour les organisations concernées : direction, mesures de risque et incidents significatifs. ### Qui est concerné - Entités essentielles ou importantes couvertes ; secteur, taille et exceptions comptent. - Un fournisseur peut avoir des exigences contractuelles sans être directement visé pour ce seul motif. ### Principales exigences - Attribuer les responsabilités et appliquer des mesures proportionnées. - Signaler sans retard un incident significatif : alerte précoce généralement sous 24 heures après prise de connaissance, notification sous 72 heures, avec exceptions. - Conserver les justificatifs et préparer reprise, enregistrement et notifications requis. **Dates:** Mise en œuvre belge depuis le 18 octobre 2024. Vérifier le secteur et les conditions de l’incident. **Conséquences:** Les autorités contrôlent les mesures et peuvent sanctionner selon les règles nationales applicables. **Services:** [Device Shield](https://www.alt-f1.be/fr/device-shield.md), [Web App Shield](https://www.alt-f1.be/fr/web-shield.md), [Workshops](https://www.alt-f1.be/fr/workshops.md) [Source officielle](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022L2555) ## GDPR *RGPD — Règlement (UE) 2016/679* Règles d’utilisation et de protection des informations sur des personnes identifiables. ### Qui est concerné - Le responsable choisit finalités et moyens ; le sous-traitant agit pour son compte. - Les systèmes peuvent contenir des informations sur clients, salariés et visiteurs. ### Principales exigences - Documenter les usages, limiter les accès et fixer une conservation nécessaire. - Appliquer des mesures adaptées au risque et tester la reprise. - Notifier les violations selon les conditions : le délai de 72 heures après connaissance comporte l’exception de risque de l’article 33. L’information des personnes à risque élevé est distincte. **Dates:** Applicable depuis le 25 mai 2018. Examiner chaque traitement et violation. **Conséquences:** L’autorité peut imposer des corrections et amendes ; les personnes touchées peuvent avoir droit à réparation. **Services:** [Sovereign Storage](https://www.alt-f1.be/fr/sovereign-storage.md), [Private AI](https://www.alt-f1.be/fr/private-ai.md), [Web App Shield](https://www.alt-f1.be/fr/web-shield.md) [Source officielle](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679) ## DORA *DORA — Règlement (UE) 2022/2554* Exigences de résilience numérique pour les entités financières couvertes. ### Qui est concerné - Entités financières concernées, dont banques, assureurs et établissements de paiement. - Les fournisseurs ont des obligations contractuelles ; les prestataires critiques désignés relèvent aussi d’une supervision distincte. ### Principales exigences - Gérer les risques des technologies de l’information et de la communication (TIC) et les responsabilités. - Qualifier et notifier les incidents pertinents, puis tester la résilience. - Gérer contrats fournisseurs, registres et modalités de sortie. **Dates:** Applicable depuis le 17 janvier 2025. Les exigences dépendent de l’entité et des dispositions pertinentes. **Conséquences:** Les superviseurs financiers appliquent les règles. La supervision critique se distingue des obligations contractuelles ordinaires. **Services:** [Web App Shield](https://www.alt-f1.be/fr/web-shield.md), [Device Shield](https://www.alt-f1.be/fr/device-shield.md) [Source officielle](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022R2554) ## CyberFundamentals *CyberFundamentals — Centre pour la Cybersécurité Belgique* Cadre pratique pour choisir et évaluer les mesures de cybersécurité. ### Qui est concerné - Organisations cherchant une base structurée ou un niveau d’assurance. - Le niveau dépend du risque et du périmètre, pas uniquement de la taille. ### Principales exigences - Utiliser la méthode du CCB pour choisir le niveau pertinent. - Évaluer les contrôles, documenter les écarts et planifier les améliorations. - Suivre le processus de vérification ou certification correspondant au besoin d’assurance. **Dates:** Vérifier le cadre, le dispositif d’assurance et les outils de sélection actuels du CCB. **Conséquences:** Un label ne remplace pas toutes les obligations ; son périmètre et son assurance doivent correspondre à l’usage prévu. **Services:** [Device Shield](https://www.alt-f1.be/fr/device-shield.md), [Web App Shield](https://www.alt-f1.be/fr/web-shield.md), [Sovereign Storage](https://www.alt-f1.be/fr/sovereign-storage.md), [Workshops](https://www.alt-f1.be/fr/workshops.md) [Source officielle](https://atwork.safeonweb.be/tools-resources/cyberfundamentals-framework) ## ISO/IEC 27001 · 27002 *ISO/IEC 27001:2022 et ISO/IEC 27002:2022* 27001 définit la gestion de la sécurité de l’information. 27002 guide le choix des contrôles. ### Qui est concerné - Organisations de toute taille ou secteur mettant en place un système de management. - Fournisseurs dont les clients ou contrats demandent une certification indépendante. ### Principales exigences - Évaluer les risques et justifier les contrôles dans une déclaration d’applicabilité. - Attribuer les rôles, évaluer les résultats et améliorer le système. - La certification porte sur 27001 et un périmètre donné ; appliquer quelques contrôles ne constitue pas une certification. **Dates:** Éditions 2022 ; vérifier les amendements et le périmètre de certification. **Conséquences:** La certification est volontaire sauf exigence applicable ou contractuelle. Un auditeur indépendant évalue le système de management. **Services:** [Workshops](https://www.alt-f1.be/fr/workshops.md), [Custom Software](https://www.alt-f1.be/fr/custom-software.md), [Sovereign Code](https://www.alt-f1.be/fr/sovereign-code.md), [Sovereign Storage](https://www.alt-f1.be/fr/sovereign-storage.md) [Source officielle](https://www.iso.org/standard/27001) ## AI Act *AI Act — Règlement (UE) 2024/1689* Obligations selon le risque pour les organisations qui fournissent ou utilisent une IA. ### Qui est concerné - Le fournisseur développe ou met à disposition ; le déployeur utilise sous son autorité. - Les autres rôles, exceptions et catégories de risque modifient les obligations. ### Principales exigences - Identifier le rôle, l’usage prévu et la catégorie de risque. - Assurer une maîtrise de l’IA adaptée au personnel concerné. - Vérifier les pratiques interdites, la transparence et les règles à haut risque en vigueur. **Dates:** Application progressive. Maîtrise de l’IA et interdictions depuis le 2 février 2025 ; consulter le calendrier officiel actuel pour le reste. **Conséquences:** Exigences et sanctions dépendent du rôle, du système et du manquement. L’hébergement local ne les supprime pas. **Services:** [Private AI](https://www.alt-f1.be/fr/private-ai.md), [Workshops](https://www.alt-f1.be/fr/workshops.md) [Source officielle](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689) ## Cyber Resilience Act *Cyber Resilience Act — Règlement (UE) 2024/2847* Obligations de cybersécurité des produits numériques couverts. ### Qui est concerné - Fabricants de logiciels ou produits connectés concernés. - Importateurs, distributeurs et gestionnaires open source ont des rôles et conditions distincts. ### Principales exigences - Concevoir et maintenir le produit en sécurité pendant la période d’assistance applicable. - Conserver les composants et le traitement des failles ; l’inventaire n’impose pas à lui seul une publication à chaque acheteur. - Évaluer la conformité et les notifications de failles activement exploitées ou incidents graves concernés. **Dates:** Signalement de l’article 14 depuis le 11 septembre 2026 ; principales obligations produits au 11 décembre 2027. **Conséquences:** Les autorités peuvent exiger des corrections et appliquer les sanctions pertinentes, dont des restrictions de produits non conformes. **Services:** [Custom Software](https://www.alt-f1.be/fr/custom-software.md), [Sovereign Code](https://www.alt-f1.be/fr/sovereign-code.md), [Workshops](https://www.alt-f1.be/fr/workshops.md) [Source officielle](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R2847) Le périmètre et les obligations dépendent de l’organisation, de l’activité et des règles actuelles. Sources vérifiées le 9 novembre 2026 ; consultez le texte officiel pour votre examen.