Savoir exactement ce qui vous concerne. Rien de plus.

Si votre entreprise compte ≥50 employés dans un secteur critique (IT, santé, énergie, finance, eau…), vous êtes soumis à la cybersécurité réglementée. Concrètement : plan de risque documenté, point de contact désigné auprès du CCB, sauvegardes testées, formation du personnel. Si vous êtes victime d'un incident significatif : 24h pour alerter le CCB, 72h pour le rapport complet.

Vous utilisez des outils IA dans votre activité (ChatGPT, Copilot, recrutement algorithmique, scoring crédit…) ? Certains usages sont classés "haut risque" (décisions RH, crédit, sécurité). Dans ce cas : registre des systèmes IA, documentation technique, supervision humaine obligatoire. Les IA génératives (GPAI) ont des obligations de transparence et de signalisation.

À partir du 1er janvier 2026, les factures B2B entre entreprises belges assujetties à la TVA devront être envoyées au format électronique via le réseau Peppol (hub national HERMES géré par le SPF Finances). Fini les PDF par email comme preuve suffisante. Votre logiciel comptable doit être compatible ou vous devrez passer par un Access Point agréé.

Vous traitez des données de clients, prospects ou employés ? Vous devez documenter pourquoi vous les collectez, combien de temps vous les gardez et comment vous les protégez. Si vous faites appel à un prestataire externe (cloud, CRM, RH), un contrat de sous-traitance conforme est obligatoire. Fuite de données → 72h pour déclarer à l'APD.

Votre client est un grand groupe (≥500 employés) ? Il est désormais légalement obligé de rapporter l'impact ESG de sa chaîne d'approvisionnement. En pratique : il va vous envoyer des questionnaires sur votre empreinte carbone, vos pratiques RH et votre gouvernance. Si vous ne répondez pas, vous risquez de perdre le contrat. Anticipez maintenant — les premières demandes arrivent en 2025-2026.

Avocats, comptables, notaires, agents immobiliers, conseillers financiers — vous devez identifier vos clients avant toute mission (vérification d'identité, consultation du registre UBO pour les sociétés), surveiller les opérations suspectes et déclarer au CTIF (Cellule de traitement du renseignement financier). Les contrôles de la FSMA et de la BNB s'intensifient depuis 2023.

Dès la transposition belge (avant le 07/06/2026), chaque offre d'emploi devra mentionner la fourchette salariale — et vous ne pourrez plus demander l'historique salarial d'un candidat. Pour les entreprises de ≥250 employés : rapport annuel sur les écarts de rémunération hommes/femmes à partir de 2027. Si l'écart dépasse 5% sans justification, un plan d'action correctif est obligatoire.

Vous développez ou commercialisez un logiciel, une application, un objet connecté ou un appareil avec interface numérique ? Vous devez garantir sa sécurité à la mise sur le marché (pas de vulnérabilités connues, authentification forte, chiffrement) et assurer des mises à jour de sécurité pendant 5 ans minimum. Si une faille est découverte après commercialisation : déclaration à l'ENISA dans les 24h.

Banques, assurances, PSP, fintechs — depuis le 17/01/2025, votre résilience informatique est encadrée comme vos ratios financiers. Concrètement : plan de gestion des risques ICT documenté et testé, notification d'incident majeur à la NBB/FSMA dans les 4h, rapport complet à 24h, tests de résilience avancés (TLPT) tous les 3 ans, et registre de tous vos prestataires informatiques critiques.

Vous vendez un produit connecté (IoT, machine industrielle, véhicule, appareil médical) ou un service SaaS qui génère des données d'usage ? Votre client a le droit légal d'accéder à toutes ces données en temps réel — et de vous demander de les transférer à un concurrent dans les 30 jours. Les clauses contractuelles qui empêchent cela sont nulles de plein droit depuis le 12/09/2025.

Votre client emploie ≥1000 personnes (ou sera en première vague avec ≥5000) ? Il devra légalement auditer ses fournisseurs sur les droits humains, conditions de travail et impact environnemental. Des questionnaires de due diligence vont arriver. Si vous ne pouvez pas démontrer votre conformité sur ces critères, vous risquez d'être exclu de la chaîne d'approvisionnement — sans même une sanction directe sur vous.

Vous opérez dans l'énergie, le transport, l'eau, la santé, les services numériques ou l'alimentation ? Si le SPF Intérieur vous désigne comme "entité critique", vous devez établir un plan de résilience couvrant les risques naturels, les cyberattaques, le terrorisme et le sabotage — et le tester régulièrement. Un incident affectant vos services critiques doit être notifié dans les 24h.

Si un client vous paie en retard, vous avez automatiquement droit à des intérêts légaux (taux BCE + 8% semestriel) ET à une indemnité forfaitaire de 40€ — sans l'avoir stipulé dans le contrat. Les clauses "pay when paid" ou délais de paiement dépassant 60 jours sont nulles de plein droit. Une révision européenne en cours (Règlement 2023) vise à imposer un délai maximum de 30 jours sans dérogation possible.