Sanctions NIS2 en Belgique — Amendes administratives

Une amende n'est pas la première étape

L'article 55 donne à l'autorité compétente une gamme de mesures correctrices qu'elle emploie avant, ou à la place, d'une amende. Dans la pratique d'une inspection, c'est ce qui arrive le plus souvent : on constate un écart, on fixe un délai, on revient.

1. Avertissement écrit — l'écart est constaté et notifié.
2. Injonction de mise en conformité dans un délai déterminé.
3. Mesures techniques ou organisationnelles imposées — l'autorité prescrit ce qui doit être mis en place, et non plus seulement le résultat attendu.
4. Suspension temporaire de certaines activités.
5. Suspension ou retrait d'une autorisation ou d'une certification.

Ces mesures sont modulées selon la nature, la gravité et la durée de la non-conformité, son caractère intentionnel ou négligent, les mesures d'atténuation prises, les antécédents de l'entité et sa coopération.

Plafond des amendes administratives

L'article 56 §1 vise cinq manquements : non-respect des mesures de gestion des risques (article 30), non-respect des obligations de notification (articles 34 et 35), non-coopération avec l'autorité, fourniture d'informations incorrectes ou incomplètes, et non-respect d'une injonction antérieure.

Les amendes doivent être « effectives, proportionnées et dissuasives » (article 56 §4). Les modalités de calcul et d'application sont déterminées par le Roi (article 56 §5).

Les onze critères de fixation du montant (article 57)

Ils dessinent en creux ce qu'il faut être en mesure de produire le jour où un manquement est constaté. Les points 3, 4, 6, 9 et 10 sont ceux sur lesquels un dossier de conformité tenu à jour pèse directement.

1. Nature, gravité et durée de l'infraction.
2. Caractère intentionnel ou négligent.
3. Mesures prises pour atténuer le dommage subi.
4. Degré de responsabilité, compte tenu des mesures techniques et organisationnelles en place.
5. Infractions pertinentes commises précédemment.
6. Degré de coopération avec l'autorité compétente.
7. Catégories de données à caractère personnel affectées.
8. Manière dont l'autorité a eu connaissance de l'infraction — une auto-déclaration ne pèse pas comme une découverte en inspection.
9. Respect des mesures ordonnées précédemment.
10. Application de codes de conduite ou de mécanismes de certification — une certification CyFun ou ISO 27001 est un facteur pris en compte.
11. Tout autre facteur aggravant ou atténuant.

Publication de la décision (article 58)

L'autorité peut publier sur son site l'amende infligée et le nom de l'entité. La publication intervient après que la décision est devenue définitive, pour une durée déterminée. Elle peut y renoncer si la publication cause un préjudice disproportionné, compromet une enquête en cours, ou si l'entité a remédié au manquement de manière exemplaire.

C'est, pour beaucoup d'organisations, la sanction qui coûte le plus cher — et la seule sur laquelle le comportement après le constat pèse directement.

Sanctions pénales (articles 59 et 60)

Indépendantes des sanctions administratives, elles visent des comportements intentionnels :

• fourniture intentionnelle d'informations fausses ou trompeuses ;
• obstruction intentionnelle aux inspections ;
• divulgation non autorisée d'informations confidentielles ;
• non-notification délibérée d'un incident significatif.

Les personnes morales sont pénalement responsables des infractions commises pour leur compte par leurs organes ou préposés (article 60). Poursuite pénale et sanction administrative peuvent se cumuler, dans le respect du principe ne bis in idem.

Responsabilité des organes de direction (article 32)

C'est ce qui distingue NIS2 d'un cadre de sécurité volontaire. L'organe de direction doit :

• approuver les mesures de gestion des risques ;
• superviser leur mise en œuvre ;
• suivre une formation appropriée, et proposer une formation analogue aux collaborateurs.

Sa responsabilité peut être engagée en cas de manquement. Concrètement : la trace écrite de l'approbation des mesures par le conseil, et celle de la formation suivie, sont deux pièces qu'une inspection demande et que peu d'organisations ont sous la main.

Droit d'être entendu et voies de recours (articles 61 et 62)

Avant toute décision imposant une amende ou une mesure contraignante, l'entité a le droit d'être informée des griefs, d'accéder au dossier, de présenter ses observations par écrit et d'être entendue si elle le demande.

Ce qui réduit réellement l'exposition

1. S'enregistrer auprès du CCB — l'enregistrement ouvre le dossier, il ne vaut pas conformité.
2. Mettre en œuvre les 11 mesures de l'article 30, et en conserver la trace au fur et à mesure.
3. Savoir notifier sous 24 h / 72 h / 1 mois — et l'avoir déjà exercé une fois à blanc.
4. Faire approuver les mesures par l'organe de direction, par écrit et à date.
5. Tenir les preuves prêtes plutôt que de les reconstituer sous délai.

Sources

• Loi du 26 avril 2024, articles 55 à 62 — mesures correctrices, amendes, publication, sanctions pénales, recours.
• Article 32 — obligations et responsabilité des organes de direction.
• Texte officiel sur eJustice.

Faire évaluer votre exposition