Article 1er
La présente loi règle une matière visée à l'article 74 de la Constitution.
Loi du 26 avril 2024
Loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et systèmes d'information d'intérêt général pour la sécurité publique. Publiée le 17 mai 2024, en vigueur depuis le 18 octobre 2024.
Ce que cette page reproduit
La loi compte 98 articles. Cette page en reproduit 15 : ceux qui créent une obligation directe pour les entités. Les autres organisent les autorités, la coopération européenne et les procédures de recours.
Le texte qui fait foi est celui publié au Moniteur belge : Loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et systèmes d'information d'intérêt général pour la sécurité publique.
Titre Ier — définitions et dispositions générales
Qui est concerné, à partir de quel seuil, et avec quelles exclusions. Articles 1 à 14.
Article 2
La présente loi vise notamment à transposer la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive NIS2).
Article 3 — Champ d'application
§ 1er. La présente loi s'applique:
- Aux entités essentielles et importantes visées aux articles 9 et 10
- Aux prestataires de services de confiance qualifiés
- Aux registres de noms de domaine de premier niveau et aux entités fournissant des services d'enregistrement de noms de domaine
- Aux fournisseurs de services DNS
- Aux fournisseurs de services informatiques en nuage
- Aux fournisseurs de centres de données
- Aux fournisseurs de réseaux de diffusion de contenu
- Aux fournisseurs de services gérés
- Aux fournisseurs de services de sécurité gérés
- Aux fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux
Article 4 — Exclusions
Ne sont pas soumis à la présente loi:
- Les entités exerçant des activités dans le domaine de la défense nationale ou de la sécurité nationale
- Les entités chargées de la sécurité publique, de l'ordre public, de la défense et des activités de l'État dans les domaines du droit pénal
- Les parlements et les cours et tribunaux judiciaires
- Les entités publiques de radiodiffusion
- Certaines microentreprises et petites entreprises selon critères définis
Titre II — autorités compétentes et coopération nationale
Le CCB comme autorité nationale, le CSIRT, leurs pouvoirs. Articles 15 à 29.
Article 15 — Désignation des autorités
§ 2. Le Centre pour la Cybersécurité Belgique (CCB) assure la fonction d'autorité nationale compétente en matière de cybersécurité, sauf disposition contraire du Roi.
Titre III — mesures de gestion des risques et notification
Le cœur des obligations : l'article 30 et le régime de notification d'incident. Articles 30 à 40.
Article 30 — Obligation générale Article clé
§ 1er. Les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques menaçant la sécurité de leurs réseaux et systèmes d'information et pour prévenir ou réduire au minimum l'incidence des incidents sur les destinataires de leurs services et sur d'autres services.
§ 2. Ces mesures garantissent un niveau de sécurité adapté au risque existant, compte tenu de l'état des connaissances, des coûts de mise en œuvre, de la nature et du contexte de l'activité, des risques propres aux systèmes utilisés et des normes européennes et internationales applicables. C'est le fondement du principe de proportionnalité : une entité de 60 personnes n'est pas tenue au dispositif d'un opérateur d'infrastructure critique.
§ 3. Les mesures comportent au moins les 11 éléments suivants. Chacun renvoie aux contrôles ISO 27001:2022 et aux mesures CyFun qui le couvrent.
1° Analyse des risques et politiques de sécurité des systèmes d'information
Disposer d'une méthodologie d'analyse des risques documentée, d'un registre des risques tenu à jour et d'une politique de sécurité approuvée par la direction.
2° Gestion des incidents
Détecter, qualifier, traiter et capitaliser sur les incidents, avec les délais de notification réglementaires (24 h / 72 h / 1 mois).
3° Continuité des activités, sauvegardes, reprise après sinistre et gestion de crise
BIA, PCA/PRA testés, sauvegardes restaurables et hors ligne, cellule de crise entraînée.
4° Sécurité de la chaîne d'approvisionnement
Cartographie des fournisseurs critiques, exigences contractuelles de sécurité, surveillance dans la durée.
5° Sécurité de l'acquisition, du développement et de la maintenance, traitement des vulnérabilités
SDLC sécurisé, gestion des vulnérabilités et des correctifs, divulgation coordonnée.
6° Évaluation de l'efficacité des mesures de gestion des risques
Programme d'audit interne, indicateurs, revue de direction — c'est la mesure que les inspections du CCB regardent en premier.
7° Pratiques de cyber-hygiène et formation à la cybersécurité
Socle d'hygiène (mises à jour, moindre privilège, sauvegardes) et sensibilisation régulière, dirigeants inclus.
8° Politiques et procédures de cryptographie et de chiffrement
Politique cryptographique, algorithmes et longueurs de clés approuvés, gestion du cycle de vie des clés.
9° Sécurité des ressources humaines, contrôle d'accès et gestion des actifs
Filtrage à l'embauche, départs, inventaire des actifs, revue périodique des droits.
10° Authentification à plusieurs facteurs ou authentification continue
MFA sur les accès distants, les comptes à privilèges et les applications critiques.
Article 32 — Responsabilité des organes de direction Article clé
§ 1er. Les membres des organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prises par ces entités, supervisent leur mise en œuvre et peuvent être tenus responsables des infractions à ces mesures.
§ 2. Les membres des organes de direction suivent une formation appropriée pour leur permettre de comprendre et d'évaluer les risques de cybersécurité.
Article 34 — Obligation de notification Article clé
§ 1er. Les entités essentielles et importantes notifient, sans retard injustifié, au CSIRT national ou à l'autorité compétente tout incident ayant un impact significatif sur la fourniture de leurs services.
Article 35 — Modalités de notification Article clé
La notification comporte au moins trois étapes:
1. Notification précoce (24 heures maximum)
- Identification de l'entité notifiante
- Date et heure estimées du début de l'incident
- Description préliminaire de la nature de l'incident
- Évaluation initiale de la gravité et de l'impact
2. Notification intermédiaire (72 heures)
- Mise à jour des informations
- Évaluation de la gravité et de l'impact
- Indicateurs de compromission (IP, etc.)
- Évaluation de la menace supposée
- Mesures d'atténuation prises ou en cours
3. Rapport final (1 mois)
- Description détaillée de l'incident
- Type de menace ou cause profonde
- Mesures d'atténuation appliquées
- Impact transfrontière éventuel
- Recommandations pour prévenir des incidents similaires
Titre IV — partage d'informations, sensibilisation, recherche
Les échanges volontaires d'informations sur les menaces. Articles 41 à 46.
Article 41 — Échange d'informations sur les cybermenaces
Les entités essentielles et importantes peuvent échanger entre elles des informations relatives aux cybermenaces (indicateurs de compromission, tactiques, techniques et procédures, alertes et recommandations de configuration), de manière bilatérale ou multilatérale, ou par l'intermédiaire de tiers de confiance. Le Roi peut encourager la création de communautés sectorielles ou intersectorielles de partage d'informations (ISAC).
Article 43 — Rapports de synthèse
L'autorité compétente publie annuellement un rapport de synthèse anonymisé : nombre et nature des incidents notifiés, tendances observées, principales menaces et vulnérabilités identifiées, et recommandations pour améliorer la cybersécurité.
Titre V — compétences juridictionnelles et coopération internationale
Quelle autorité est compétente pour une entité multi-pays. Articles 47 à 51.
Article 47 — Territorialité
La Belgique exerce sa compétence à l'égard des entités établies sur son territoire et des entités non établies en Belgique qui y offrent des services. Lorsqu'une entité opère dans plusieurs États membres, l'État membre d'établissement est compétent, sans préjudice du droit des autres États membres de prendre des mesures pour assurer le respect de la loi sur leur territoire.
Titre VI — contrôle, sanctions et voies de recours
Les pouvoirs d'inspection, les amendes, les recours. Articles 52 à 62.
Article 56 — Amendes administratives
Entités essentielles
10 000 000 EUR ou 2 % du chiffre d'affaires mondial
Le montant le plus élevé des deux est retenu.
Entités importantes
7 000 000 EUR ou 1,4 % du chiffre d'affaires mondial
Le montant le plus élevé des deux est retenu.
§ 1er. L'autorité compétente peut infliger des amendes administratives en cas de:
- Non-respect des mesures de gestion des risques (article 30)
- Non-respect des obligations de notification (articles 34-35)
- Non-coopération avec l'autorité compétente
- Fourniture d'informations incorrectes ou incomplètes
- Non-respect d'une injonction ou d'une mesure correctrice
Titre VII — protection des données et confidentialité
L'articulation avec le RGPD et le secret des affaires. Articles 63 à 65.
Article 63 — Protection des données à caractère personnel
Les traitements de données effectués dans le cadre de la loi respectent le RGPD (Règlement (UE) 2016/679) et la loi du 30 juillet 2018. Les autorités compétentes et le CSIRT mettent en œuvre les mesures techniques et organisationnelles appropriées ; les données ne sont conservées que pendant la durée nécessaire.
Titre VIII — dispositions diverses et finales
Stratégie nationale, registre des vulnérabilités, entrée en vigueur. Articles 66 à 98.
Article 66 — Stratégie nationale de cybersécurité
Le Roi établit et actualise régulièrement une stratégie nationale de cybersécurité définissant les objectifs stratégiques, le cadre de gouvernance, les mesures de détection et de réponse aux incidents, la gestion de crise, les mécanismes de coopération nationale et internationale, ainsi que les plans de formation et de sensibilisation.
Annexes I et II — les 18 secteurs
L'annexe détermine la catégorie par défaut. La taille de l'entité et, le cas échéant, une identification par le CCB au titre de l'article 11 peuvent la modifier.
Annexe I — secteurs hautement critiques
Entités essentielles
Une entité de ces secteurs qui atteint le seuil de grande entreprise est essentielle de plein droit. Sous ce seuil, elle relève en principe des entités importantes.
- Énergie
- Électricité (production, transport, distribution) · Pétrole (production, raffinage, transport, distribution) · Gaz (production, raffinage, transport, distribution, stockage) · Hydrogène (production, transport, distribution)
- Transports
- Aérien (transporteurs, aéroports, contrôle du trafic) · Ferroviaire (entreprises ferroviaires, gestionnaires d'infrastructure) · Maritime (ports, compagnies maritimes, services de trafic) · Routier (pour le transport de marchandises dangereuses)
- Secteur bancaire
- Établissements de crédit
- Infrastructures des marchés financiers
- Opérateurs de plateformes de négociation · Contreparties centrales
- Santé
- Prestataires de soins de santé · Laboratoires de référence · Recherche et développement pharmaceutiques · Fabrication de produits pharmaceutiques · Fabrication de dispositifs médicaux
- Eau potable
- Fournisseurs et distributeurs d'eau potable
- Eaux usées
- Collecte et traitement des eaux résiduaires
- Infrastructure numérique
- Points d'échange Internet (IXP) · Fournisseurs de services DNS · Registres de noms de domaine de premier niveau (TLD) · Fournisseurs de services cloud · Fournisseurs de centres de données · Fournisseurs de réseaux de diffusion de contenu (CDN) · Prestataires de services de confiance · Opérateurs de réseaux de communications électroniques · Fournisseurs de services de communications électroniques
- Gestion des services TIC (B2B)
- Fournisseurs de services gérés (MSP) · Fournisseurs de services de sécurité gérés (MSSP)
- Administration publique
- Entités de l'administration publique de niveau fédéral · Entités de l'administration publique de niveau régional · Entités de l'administration publique de niveau communautaire
- Espace
- Opérateurs d'infrastructures terrestres spatiales
Annexe II — autres secteurs critiques
Entités importantes
Une entité de ces secteurs est importante dès qu'elle atteint le seuil de moyenne entreprise. Elle ne devient essentielle que si le CCB l'identifie comme telle au titre de l'article 11.
- Services postaux et d'expédition
- Prestataires de services postaux · Prestataires de services de courrier
- Gestion des déchets
- Gestion et traitement des déchets (hors microentreprises et petites entreprises)
- Fabrication, production et distribution de produits chimiques
- Substances chimiques · Produits chimiques dangereux
- Production, transformation et distribution de denrées alimentaires
- Commerce de gros et de détail de denrées alimentaires · Transformation et production alimentaire industrielle
- Fabrication
- Dispositifs médicaux et de diagnostic in vitro · Ordinateurs, produits électroniques et optiques · Équipements électriques · Machines et équipements n.c.a. · Véhicules automobiles, remorques et semi-remorques · Autres matériels de transport
- Fournisseurs numériques
- Places de marché en ligne · Moteurs de recherche en ligne · Plateformes de services de réseaux sociaux
- Recherche
- Organismes de recherche
Cette page n'est pas un conseil juridique
Les articles sont reproduits pour permettre de s'y retrouver. La qualification d'une entité, l'appréciation de la proportionnalité des mesures et l'interprétation des délais relèvent d'une analyse au cas par cas, et le cas échéant d'un conseil juridique.
Aller plus loin
Article 30 en pratique
Mesure par mesure, ce qu'une inspection attend comme preuve.
Notifier un incident
Les articles 34 et 35 appliqués : qui, à qui, dans quel délai, avec quel contenu.
Inspections du CCB
Les pouvoirs des articles 52 à 54 et le déroulement d'un contrôle.
Sanctions
L'article 56 et les mesures non financières qui l'accompagnent.