Tout entité essentielle ou importante au sens de la loi belge du 26 avril 2024 (transposition NIS2) doit s'enregistrer auprès du Centre pour la Cybersécurité Belgique (CCB) via le portail Safeonweb@Work. Ce guide détaille la procédure complète, les pièges classiques et les sanctions encourues en cas de défaut.
English readers: this article also covers the keywords « CCB registration NIS2 Belgium », « Safeonweb@Work registration » and « how to register NIS2 entity in Belgium ». The procedure is the same regardless of the language used by the entity.
1. Qui doit s'enregistrer ?
L'enregistrement est obligatoire pour toute organisation qui répond cumulativement aux 2 critères suivants :
Critère sectoriel
- Annexe I — 11 secteurs essentiels : énergie, transport, banque, infrastructures financières, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (B2B), administration publique, espace.
- Annexe II — 7 secteurs importants : services postaux, gestion des déchets, chimie, alimentation, fabrication, fournisseurs numériques, recherche.
Voir les 18 secteurs en détail →
Critère de taille (cumulatif)
- Grande entreprise : ≥ 250 ETP ou CA > 50 M€ et bilan > 43 M€ → entité essentielle par défaut si secteur Annexe I.
- Moyenne entreprise : 50–249 ETP ou CA 10–50 M€ → entité importante.
- Petite entreprise < 50 ETP et CA < 10 M€ → généralement hors champ, sauf cas particuliers (DNS, eIDAS qualifié, opérateur de services numériques critique, désignation directe par le CCB).
Cas particuliers automatiquement essentiels
- Fournisseurs de DNS et registres de TLD
- Fournisseurs de services de confiance qualifiés (eIDAS)
- Fournisseurs de réseaux ou de services de communication électronique publics
- Entités de l'administration publique désignées
- Toute entité désignée explicitement par le CCB
2. Délai pour s'enregistrer
- Entités existantes au 18/10/2024 : devaient s'enregistrer avant le 18 mars 2025 (5 mois après l'entrée en vigueur de la loi).
- Nouvelles entités ou entités atteignant les seuils après le 18/10/2024 : 5 mois à compter de la création ou du dépassement de seuil.
- Mises à jour : 14 jours en cas de changement (représentant légal, points de contact, fusion, etc.).
- Préparation — réunir : eID belge ou itsme du représentant légal, numéro BCE de l'entité, identité de 3 personnes pour les points de contact (général, sécurité, incident 24/7).
- Connexion — se rendre sur https://atwork.safeonweb.be/ et s'authentifier via eID ou itsme.
- Sélection de l'entité — sélectionner l'entité concernée par son numéro BCE (l'authentification eID expose les entreprises rattachées au représentant légal via la BCE).
- Profil de l'entité — renseigner : raison sociale, adresse du siège, secteur (Annexe I/II), nombre d'ETP, CA, État membre principal d'établissement, structure juridique.
- Désignation des points de contact — au minimum :
- Un point de contact général (souvent le DPO ou le legal/compliance manager)
- Un point de contact sécurité (le RSSI ou équivalent)
- Un point de contact incident 24/7 (numéro joignable en permanence — souvent une astreinte SOC)
- Validation et soumission — relire, valider et soumettre. Le CCB vérifie la classification proposée et délivre un identifiant CCB unique.
- Mises à jour — toute modification doit être saisie dans les 14 jours.
4. Après l'enregistrement
- Identifiant CCB : à conserver. Sera demandé pour chaque notification d'incident, audit ou communication officielle.
- Mise en conformité technique : implémenter les 11 mesures de l'article 30 (analyse des risques, gestion des incidents, MFA, cryptographie, etc.).
- Notification d'incidents : être prêt à notifier dans les délais 24h / 72h / 1 mois.
- Certification CyFun (recommandée) : viser le niveau CyFun Important ou Essential selon votre classification.
5. Sanctions en cas de non-enregistrement
Le défaut d'enregistrement est une violation de l'article 8 de la loi belge NIS2 et expose à des sanctions cumulables :
- Amende administrative : jusqu'à 10 M€ ou 2 % du CA mondial pour les essentielles, 7 M€ ou 1,4 % CA pour les importantes.
- Article 32 — responsabilité personnelle des membres du conseil d'administration.
- Suspension temporaire de la fonction de dirigeant pour les entités essentielles.
- Publication de la décision au Moniteur belge (effet réputationnel).
Toutes les sanctions NIS2 →
6. Besoin d'aide pour l'enregistrement ?
Cryptaguard accompagne les entités belges et étrangères dans :
- Le diagnostic de classification (essentielle / importante / hors champ)
- La désignation des points de contact (peut inclure RSSI à temps partagé)
- L'enregistrement effectif sur Safeonweb@Work
- La mise en place du dispositif post-enregistrement (politique sécurité, procédure incident, certification CyFun)
Demander un accompagnement →
7. Ressources officielles