Comment CyberFundamentals transforme-t-il la cybersécurité en preuves compréhensibles ?

Une PME peut avoir un antivirus, des sauvegardes et un prestataire attentif, puis rester incapable de répondre à une question simple d’un client : « comment prouvez-vous que vos accès sont maîtrisés ? » Le problème n’est pas forcément l’absence de sécurité ; c’est l’absence d’un langage commun entre direction, informatique, assureur et donneur d’ordre. Le référentiel CyberFundamentals — CyFun — apporte ce langage sous forme de mesures graduées et vérifiables. Cette lecture explique comment choisir entre les niveaux Small, Basic, Important et Essential, construire une évaluation d’écarts et convertir les mesures en plan d’action. Elle montre aussi pourquoi CyFun 2025 peut ouvrir une première mission rapide chez les PME et leurs fournisseurs, sans le présenter comme une certification automatique. Pour getfishnet, la force du marché tient à une promesse simple : faire passer l’entreprise de « nous pensons être protégés » à « voici ce que nous savons démontrer ».

CyberFundamentals 2025 est le référentiel du Centre pour la Cybersécurité Belgique qui organise des mesures concrètes selon plusieurs niveaux d’assurance. Il s’aligne sur des standards internationaux et sur l’environnement NIS2, afin d’aider les organisations à protéger leurs données, réduire les attaques courantes et démontrer leur résilience.

Le CCB a lancé CyFun 2025 en octobre 2025. Une directive du CCB invite les organisations belges, privées comme publiques, à utiliser ce cadre. Le choix du niveau ne doit pas partir d’un objectif commercial flatteur, mais de l’exposition, des services, des exigences contractuelles et des obligations applicables.

Le niveau CyFun doit être choisi à partir des menaces, de l’impact d’une interruption, de la sensibilité des données et des exigences de clients ou autorités. Une petite entreprise peut nécessiter un niveau élevé si elle soutient un service critique ; une grande organisation peut commencer par un périmètre Basic limité.

Une évaluation CyFun utile sélectionne le périmètre, rassemble les preuves, teste les contrôles et classe chaque écart selon son effet. Elle ne se contente pas de cocher des déclarations. Le livrable indique le responsable, la correction, le délai et la preuve attendue pour fermer chaque action.

L’évaluateur demande des éléments concrets : configuration d’authentification, liste d’accès, journaux, résultats de restauration, inventaire, procédure d’incident et contrats. Une politique écrite ne compense pas un contrôle absent. À l’inverse, un contrôle technique efficace mais non attribué risque de disparaître lors d’un changement d’équipe.

Le premier mandat peut porter sur un service, un site ou un niveau. Cette limite permet une livraison rapide et évite de promettre la transformation complète d’une organisation avant de connaître les écarts.

La restitution doit aussi séparer trois horizons. Les corrections immédiates ferment une exposition évidente : compte dormant, sauvegarde jamais restaurée ou accès sans double authentification. Les décisions de trimestre demandent un budget, une migration ou une négociation fournisseur. Les transformations longues concernent l’architecture, les compétences et la continuité. Ce découpage donne à la direction une vue praticable sans masquer les dépendances.

Le prix d’une première mission devient alors lisible. Il dépend du périmètre, du niveau visé, du volume d’actifs et du degré de vérification, pas d’un nombre abstrait de mesures. Une offre crédible annonce les entretiens, l’échantillonnage, les preuves attendues, le format du registre et les limites. Elle précise également qui corrigera les écarts : l’équipe interne, le prestataire existant ou un spécialiste distinct.

Les preuves CyFun peuvent rassurer un client, soutenir un appel d’offres ou préparer un questionnaire fournisseur, mais elles doivent rester précises. L’entreprise explique le périmètre, le niveau et la date de l’évaluation. Elle n’affirme pas être « sécurisée » au-delà de ce qui a réellement été testé.

Un acheteur doit pouvoir distinguer une auto-évaluation, une évaluation accompagnée et une assurance formelle. La communication doit citer la méthode sans transformer le logo du référentiel en garantie universelle.

Cette nuance n’affaiblit pas la vente ; elle la rend plus solide. Un dossier daté, borné et relié à des preuves répond mieux à un service achats qu’un slogan général. Il permet aussi de préparer un renouvellement : les actions ouvertes, les changements de périmètre et les nouvelles exigences deviennent des motifs concrets de revue, au lieu d’un abonnement reconduit par habitude.

Les meilleurs signaux sont un questionnaire client, un renouvellement d’assurance, un appel d’offres, un incident ou une exigence NIS2 transmise par la chaîne d’approvisionnement. Ils créent une date et un décideur. Une campagne générique sur la peur cyber produit moins de qualification qu’une preuve demandée.

La recherche web capte les entreprises qui explorent le référentiel. Les courriels et appels peuvent cibler un secteur exposé avec un angle concret. Les partenariats avec assureurs, cabinets IT, fédérations et donneurs d’ordre ouvrent des cohortes. Un atelier collectif explique les niveaux ; le diagnostic individuel qualifie ensuite le périmètre.

La séquence de contact gagne à partir de la situation vécue. Un sous-traitant qui vient de recevoir un questionnaire n’a pas besoin d’une campagne anxiogène : il veut savoir quelles réponses peuvent être prouvées, lesquelles nécessitent une action et quel délai annoncer. Un dirigeant après incident attend d’abord un périmètre de remise sous contrôle. Un assureur ou un donneur d’ordre recherche, lui, une méthode comparable entre plusieurs organisations. Le même référentiel produit donc des portes d’entrée différentes.

Le maintien CyFun vérifie les contrôles qui changent : accès, actifs, sauvegardes, incidents, fournisseurs et responsables. Il programme les réévaluations selon le risque et les exigences clients. Il doit réduire les écarts et transmettre la compétence, pas rendre le client dépendant d’un abonnement opaque.

CyFun devient un axe d’acquisition si vous disposez d’une capacité d’évaluation et de remédiation, d’un bassin accessible et de signaux de preuve identifiables. Le test getfishnet confronte gratuitement ces conditions à vos difficultés commerciales et aux synergies possibles avec votre offre actuelle.

Nous pouvons construire une stratégie sur mesure par secteur, niveau, canal et partenaire. Si le référentiel n’offre pas la meilleure porte d’entrée, nous cherchons un autre déclencheur cyber plus rapide ou plus différenciant.

Sources d’autorité citées : Centre pour la Cybersécurité Belgique ; CyFun 2025 ; ENISA ; NIST. Les références datées sont conservées dans le registre privé.