NIS2 : les obligations de cybersécurité des entreprises en Belgique

Publication · 17 avril 2025

La loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, publiée au Moniteur belge du 17 mai 2024, transpose en droit belge la directive (UE) 2022/2555 (dite « NIS2 ») et abroge le régime issu de la loi du 7 avril 2019. Elle est complétée par l'arrêté royal du 9 juin 2024, qui précise les modalités de désignation des autorités, les procédures d'évaluation de la conformité et les référentiels applicables. Le dispositif est entré en application le 18 octobre 2024. Il relève le niveau d'exigence en matière de gestion des risques de cybersécurité et élargit sensiblement le nombre d'entités concernées par rapport au régime antérieur.

Le Centre pour la Cybersécurité Belgique (CCB) est désigné comme autorité nationale de cybersécurité et comme équipe nationale de réponse aux incidents (CSIRT), appuyé par des autorités sectorielles. Le CCB assure l'enregistrement des entités, la supervision, la réception des notifications d'incidents et l'orientation méthodologique. Il met à disposition la plateforme Safeonweb@Work pour les démarches administratives. Cette architecture centralisée vise à offrir aux entreprises un point de contact clair, tout en préservant les compétences des régulateurs sectoriels. Les entreprises devraient identifier sans tarder l'autorité sectorielle dont elles relèvent, car l'articulation des compétences peut varier selon le secteur d'activité et la nature des services fournis.

Le champ d'application repose sur une double logique : la nature de l'activité et la taille de l'entité. La loi vise en principe les entités moyennes et grandes actives dans les secteurs listés aux annexes I (secteurs hautement critiques) et II (autres secteurs critiques), selon les seuils de la recommandation 2003/361/CE de la Commission. Les entités sont réparties en entités « essentielles » et entités « importantes », cette qualification déterminant l'intensité des obligations et du régime de surveillance. L'appréciation tient compte des entreprises liées et partenaires. La qualification exacte d'une entreprise donnée doit être vérifiée au cas par cas, certains secteurs ou services pouvant être soumis indépendamment de tout critère de taille.

Sur le plan méthodologique, le CCB a développé le référentiel CyberFundamentals (CyFun®), qui propose un ensemble de mesures de sécurité graduées en fonction du niveau de risque. Ce référentiel constitue l'une des voies permettant de démontrer la conformité aux obligations de gestion des risques ; la norme ISO/IEC 27001 est également admise. L'arrêté royal du 9 juin 2024 encadre les procédures d'évaluation de la conformité et les conditions applicables aux organismes d'évaluation. Le recours à CyFun n'est pas une fin en soi : il doit être adapté au profil de risque réel de l'entité, et son niveau d'assurance doit être proportionné à la criticité des activités concernées. L'approche retenue doit être documentée.

Les entités essentielles et importantes étaient tenues de s'enregistrer auprès du CCB, via la plateforme Safeonweb@Work, dans un délai de cinq mois à compter de l'entrée en application, soit au plus tard le 18 mars 2025. Un calendrier spécifique, plus court, s'appliquait à certains fournisseurs du secteur numérique (notamment services DNS, registres de noms de domaine de premier niveau, informatique en nuage, centres de données, réseaux de diffusion de contenu, places de marché, moteurs de recherche et réseaux sociaux), dont l'échéance d'enregistrement était fixée au 18 décembre 2024. Les entreprises qui n'auraient pas encore procédé à leur enregistrement, ou qui franchiraient ultérieurement les seuils, devraient régulariser leur situation sans délai et documenter leur analyse d'assujettissement.

Le régime de notification des incidents significatifs est structuré en plusieurs étapes. L'entité concernée doit adresser au CSIRT national une alerte précoce sans retard injustifié et, en tout état de cause, dans les 24 heures de la prise de connaissance de l'incident, puis une notification d'incident dans les 72 heures (24 heures pour les prestataires de services de confiance), et enfin un rapport final au plus tard un mois après la notification d'incident. Un rapport intermédiaire peut être demandé par l'autorité, et un rapport d'avancement est prévu si l'incident se poursuit. Ces notifications ne se substituent pas, le cas échéant, à l'obligation de notifier une violation de données à caractère personnel à l'Autorité de protection des données.

Le non-respect des obligations peut donner lieu à des mesures administratives (avertissements, instructions contraignantes, voire suspension) et à des amendes. Selon les analyses de référence, celles-ci peuvent atteindre, pour les entités essentielles, 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu, et, pour les entités importantes, 7 millions d'euros ou 1,4 % du chiffre d'affaires ; ces montants doivent être vérifiés au regard du texte de la loi. La responsabilité des organes de direction est par ailleurs renforcée. La présente note est informative : la qualification d'une entité, l'étendue exacte de ses obligations et le régime de sanctions applicable doivent être appréciés au cas par cas, au regard des sources officielles du CCB et du texte légal.

Expertises liées

WhatsApp E-mail

Votre demande est étudiée sous 24 heures ouvrables.