Comprendre les règles et normes de sécurité
Choisissez une règle ou une norme : son objectif, les organisations concernées et les actions ou documents utiles. Le texte et le dessin expliquent les mêmes points.
NIS2
Directive et droit national · NIS2 — Directive (UE) 2022/2555
Obligations de cybersécurité pour les organisations concernées : direction, mesures de risque et incidents significatifs.
Qui est concerné
- Entités essentielles ou importantes couvertes ; secteur, taille et exceptions comptent.
- Un fournisseur peut avoir des exigences contractuelles sans être directement visé pour ce seul motif.
Principales exigences
- Attribuer les responsabilités et appliquer des mesures proportionnées.
- Signaler sans retard un incident significatif : alerte précoce généralement sous 24 heures après prise de connaissance, notification sous 72 heures, avec exceptions.
- Conserver les justificatifs et préparer reprise, enregistrement et notifications requis.
Dates: Mise en œuvre belge depuis le 18 octobre 2024. Vérifier le secteur et les conditions de l’incident.
Conséquences: Les autorités contrôlent les mesures et peuvent sanctionner selon les règles nationales applicables.
Dessin
Sujet de sécurité lié: Règles de cybersécurité des organisations (NIS2) →Source officielle ↗
GDPR
Règlement · RGPD — Règlement (UE) 2016/679
Règles d’utilisation et de protection des informations sur des personnes identifiables.
Qui est concerné
- Le responsable choisit finalités et moyens ; le sous-traitant agit pour son compte.
- Les systèmes peuvent contenir des informations sur clients, salariés et visiteurs.
Principales exigences
- Documenter les usages, limiter les accès et fixer une conservation nécessaire.
- Appliquer des mesures adaptées au risque et tester la reprise.
- Notifier les violations selon les conditions : le délai de 72 heures après connaissance comporte l’exception de risque de l’article 33. L’information des personnes à risque élevé est distincte.
Dates: Applicable depuis le 25 mai 2018. Examiner chaque traitement et violation.
Conséquences: L’autorité peut imposer des corrections et amendes ; les personnes touchées peuvent avoir droit à réparation.
Dessin
Sujet de sécurité lié: Protéger les données personnelles →Source officielle ↗
DORA
Règlement · DORA — Règlement (UE) 2022/2554
Exigences de résilience numérique pour les entités financières couvertes.
Qui est concerné
- Entités financières concernées, dont banques, assureurs et établissements de paiement.
- Les fournisseurs ont des obligations contractuelles ; les prestataires critiques désignés relèvent aussi d’une supervision distincte.
Principales exigences
- Gérer les risques des technologies de l’information et de la communication (TIC) et les responsabilités.
- Qualifier et notifier les incidents pertinents, puis tester la résilience.
- Gérer contrats fournisseurs, registres et modalités de sortie.
Dates: Applicable depuis le 17 janvier 2025. Les exigences dépendent de l’entité et des dispositions pertinentes.
Conséquences: Les superviseurs financiers appliquent les règles. La supervision critique se distingue des obligations contractuelles ordinaires.
Dessin
Sujet de sécurité lié: Résilience numérique de la finance →Source officielle ↗
CyberFundamentals
Cadre de sécurité · CyberFundamentals — Centre pour la Cybersécurité Belgique
Cadre pratique pour choisir et évaluer les mesures de cybersécurité.
Qui est concerné
- Organisations cherchant une base structurée ou un niveau d’assurance.
- Le niveau dépend du risque et du périmètre, pas uniquement de la taille.
Principales exigences
- Utiliser la méthode du CCB pour choisir le niveau pertinent.
- Évaluer les contrôles, documenter les écarts et planifier les améliorations.
- Suivre le processus de vérification ou certification correspondant au besoin d’assurance.
Dates: Vérifier le cadre, le dispositif d’assurance et les outils de sélection actuels du CCB.
Conséquences: Un label ne remplace pas toutes les obligations ; son périmètre et son assurance doivent correspondre à l’usage prévu.
Dessin
ISO/IEC 27001 · 27002
Normes · ISO/IEC 27001:2022 et ISO/IEC 27002:2022
27001 définit la gestion de la sécurité de l’information. 27002 guide le choix des contrôles.
Qui est concerné
- Organisations de toute taille ou secteur mettant en place un système de management.
- Fournisseurs dont les clients ou contrats demandent une certification indépendante.
Principales exigences
- Évaluer les risques et justifier les contrôles dans une déclaration d’applicabilité.
- Attribuer les rôles, évaluer les résultats et améliorer le système.
- La certification porte sur 27001 et un périmètre donné ; appliquer quelques contrôles ne constitue pas une certification.
Dates: Éditions 2022 ; vérifier les amendements et le périmètre de certification.
Conséquences: La certification est volontaire sauf exigence applicable ou contractuelle. Un auditeur indépendant évalue le système de management.
Dessin
AI Act
Règlement · AI Act — Règlement (UE) 2024/1689
Obligations selon le risque pour les organisations qui fournissent ou utilisent une IA.
Qui est concerné
- Le fournisseur développe ou met à disposition ; le déployeur utilise sous son autorité.
- Les autres rôles, exceptions et catégories de risque modifient les obligations.
Principales exigences
- Identifier le rôle, l’usage prévu et la catégorie de risque.
- Assurer une maîtrise de l’IA adaptée au personnel concerné.
- Vérifier les pratiques interdites, la transparence et les règles à haut risque en vigueur.
Dates: Application progressive. Maîtrise de l’IA et interdictions depuis le 2 février 2025 ; consulter le calendrier officiel actuel pour le reste.
Conséquences: Exigences et sanctions dépendent du rôle, du système et du manquement. L’hébergement local ne les supprime pas.
Dessin
Sujet de sécurité lié: Règles pour utiliser l’intelligence artificielle au travail →Source officielle ↗
Cyber Resilience Act
Règlement · Cyber Resilience Act — Règlement (UE) 2024/2847
Obligations de cybersécurité des produits numériques couverts.
Qui est concerné
- Fabricants de logiciels ou produits connectés concernés.
- Importateurs, distributeurs et gestionnaires open source ont des rôles et conditions distincts.
Principales exigences
- Concevoir et maintenir le produit en sécurité pendant la période d’assistance applicable.
- Conserver les composants et le traitement des failles ; l’inventaire n’impose pas à lui seul une publication à chaque acheteur.
- Évaluer la conformité et les notifications de failles activement exploitées ou incidents graves concernés.
Dates: Signalement de l’article 14 depuis le 11 septembre 2026 ; principales obligations produits au 11 décembre 2027.
Conséquences: Les autorités peuvent exiger des corrections et appliquer les sanctions pertinentes, dont des restrictions de produits non conformes.
Dessin
Sujet de sécurité lié: Sécurité des produits numériques →Source officielle ↗
Le périmètre et les obligations dépendent de l’organisation, de l’activité et des règles actuelles. Sources vérifiées le 9 novembre 2026 ; consultez le texte officiel pour votre examen.
Tableau de sécurité → · Sovereign Stack →
Les sigles utilisés ici: NIS2, GDPR, DORA, CRA, ISO, IEC
- NIS2 — Network and Information Systems Directive 2
- Une directive européenne sur la cybersécurité, avec des exigences pour les organisations qui entrent dans son champ.
- GDPR — General Data Protection Regulation
- Le Règlement général sur la protection des données (RGPD). GDPR est le sigle anglais et AVG le sigle néerlandais.
- DORA — Digital Operational Resilience Act
- Des règles européennes sur la résilience opérationnelle numérique du secteur financier.
- CRA — Cyber Resilience Act
- Des règles européennes de cybersécurité pour les produits comportant des éléments numériques, dont certains logiciels et appareils connectés.
- ISO — International Organization for Standardization
- L’Organisation internationale de normalisation. ISO est son nom court universel, pas des initiales traduites d’une langue.
- IEC — International Electrotechnical Commission
- L’organisation internationale de normalisation électrotechnique ; elle publie certaines normes avec l’ISO.