ECP vs Cyber Essentials (Royaume-Uni) : CyFun face au schéma de base NCSC

Non. Cyber Essentials est un schéma gouvernemental britannique appartenant au NCSC — il ne fait pas partie du cadre réglementaire de l'UE, et la voie de conformité NIS2 belge est CyFun, émis par le CCB. Une entité belge auditée par un organisme CAB belge est évaluée contre CyFun, pas contre Cyber Essentials. Les deux cadres se chevauchent dans certains contrôles techniques (patching, contrôle d'accès, protection malware) mais sont des régimes juridiques entièrement distincts avec une gouvernance, des organismes de certification et des effets juridiques différents.

Pas nativement. ECP implémente CyFun (le cadre belge du CCB). Les contrôles techniques sous-jacents se chevauchent — les cinq domaines CE sont présents dans CyFun Small et Basic — donc le travail ECP renforce la préparation technique pour la substance de CE. Mais ECP ne génère pas de preuves au format NCSC/IASME, ne se connecte pas aux organismes de certification autorisés par IASME et ne produit pas le format de documentation que les évaluateurs britanniques requièrent. Un client britannique utilisant ECP comme outil de conformité obtiendrait une bonne hygiène technique mais aurait besoin d'un processus d'évaluation CE/CE+ séparé pour une certification formelle.

Le Cyber Security and Resilience Bill britannique a été déposé au Parlement en novembre 2025 et est entré à la Chambre des Lords le 25 juin 2026. C'est l'équivalent domestique britannique de NIS2, élargissant le périmètre des réglementations NIS britanniques originales pour inclure les Managed Service Providers (~900+ MSPs britanniques) et les fournisseurs de centres de données, avec des obligations de sécurité renforcées et des exigences de notification d'incidents. La sanction royale est attendue fin 2026 avec une mise en œuvre progressive jusqu'à 2028. Ce projet de loi affecte les MSPs britanniques, pas les belges. Les MSPs belges relèvent de NIS2 de l'UE et du CCB/CyFun — pas du projet de loi britannique.

CE jouit d'une notoriété significative sur le marché britannique et est référencé dans les politiques d'achats de certaines multinationales dont le siège est au Royaume-Uni. Il est reconnu dans des contextes de chaîne d'approvisionnement en Australie et au Canada, où certaines organisations le citent aux côtés d'ISO 27001 comme référence acceptée. Au sein de l'UE, CE n'est pas une voie de conformité reconnue sous NIS2 — les États membres de l'UE ont chacun des cadres nationaux (CyFun en Belgique, ReCyF en France, ENS en Espagne, IT-Grundschutz en Allemagne) qui sont les voies évaluées. Si une entreprise belge remporte un marché public britannique, CE peut être requis en plus de — et non à la place de — CyFun.