Suis-je concerné ? Le test en 4 questions

Prenez une de vos factures : le numéro de TVA y figure, au format BE 0123.456.789. Le régime de la franchise (moins de 25 000 € de chiffre d'affaires) n'y échappe pas. Quelques régimes en sont dispensés — article 44 du Code TVA, forfait, faillite, assujetti non établi en Belgique : votre résultat vous les rappellera. Source : efacture.belgium.be, consulté le 19/09/2026.

Les personnes qui travaillent chez vous sous contrat de travail, temps partiel compris. Si personne n'est salarié chez vous, répondez « moins de 50 ». Si vous êtes proche de 50, le calcul légal est plus fin — une moyenne sur l'année civile précédente, selon les règles des élections sociales : votre comptable tranchera.

Voici les secteurs en entier : les 11 de l'annexe I et les 7 de l'annexe II de la directive (UE) 2022/2555. La loi belge du 26 avril 2024 qui la transpose reprend les mêmes — le Roi peut en ajouter par arrêté, il ne l'a pas fait à ce jour. Lisez la précision après chaque deux-points : c'est elle qui décide, pas le nom du secteur. Les cas particuliers belges (administration locale, zones de secours, intercommunales) se tranchent sur ccb.belgium.be.

Y figurer ne suffit pas : la taille de l'entreprise compte aussi (question précédente). À l'inverse, quelques activités sont visées quelle que soit la taille : services DNS, registres de noms de domaine de premier niveau, services de confiance, réseaux et services de communications électroniques publics. Le Centre pour la Cybersécurité Belgique peut aussi désigner une entreprise quelle que soit sa taille — par exemple si elle est la seule en Belgique à fournir un service essentiel.

Le piège à connaître : il suffit d'exercer l'une de ces activités, même à titre accessoire, pour que l'entreprise entière entre dans le champ — sauf là où la ligne dit elle-même le contraire (« à titre d'activité principale », « n'est pas visé à ce titre »). Autrement dit : ne répondez pas non parce que ce n'est pas votre métier principal. Source : FAQ NIS2 du Centre pour la Cybersécurité Belgique.

• Santé : prestataires de soins, laboratoires de référence de l'UE, recherche et fabrication de médicaments, dispositifs médicaux critiques
• Denrées alimentaires : production et transformation industrielles, distribution en gros — le commerce de détail n'est pas visé à ce titre
• Fabrication : dispositifs médicaux, informatique et électronique, équipements électriques, machines, véhicules, autres matériels de transport
• Transports : aérien, ferroviaire, par eau — et, pour le routier, les autorités routières chargées de la gestion du trafic et les opérateurs de systèmes de transport intelligents. Le transport routier de marchandises n'est pas visé à ce titre
• Gestion des déchets, à titre d'activité principale
• Gestion de services TIC pour des entreprises : infogérance, sécurité managée
• Infrastructure numérique : centres de données, cloud, services DNS, registres de noms de domaine de premier niveau, points d'échange internet, réseaux de diffusion de contenu, réseaux et services de communications électroniques publics, services de confiance
• Produits chimiques : fabrication de substances, distribution, production d'articles
• Fournisseurs numériques : places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux
• Services postaux et de courrier, services d'expédition compris
• Énergie : électricité — y compris stockage, agrégation et points de recharge —, gaz, pétrole, hydrogène, réseaux de chaleur et de froid
• Eau potable : fourniture et distribution
• Eaux usées : collecte, évacuation, traitement
• Recherche : organismes de recherche
• Banque : établissements de crédit
• Infrastructures des marchés financiers : plates-formes de négociation, contreparties centrales
• Administration publique : entités des gouvernements centraux et du niveau régional
• Espace : exploitants d'infrastructures terrestres soutenant des services spatiaux

Clients, prospects, fournisseurs, salariés, candidats. Une boîte mail professionnelle, un carnet d'adresses, un fichier Excel ou des fiches de paie comptent. C'est le cas de presque toutes les entreprises : ce n'est ni une faute ni un piège, cela veut simplement dire que le RGPD vous concerne, comme tout le monde.