Belgique
BelgiqueNIS2 en Belgique : ce que la loi du 26 avril 2024 change pour votre informatique
La Belgique a transposé la directive NIS2 avant l’échéance européenne. Ce que la loi impose, ce que vérifie le CCB, et comment les mesures techniques se mettent en œuvre dans une PME.
À partir de 3 200 € le projet
La loi belge en bref
La loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, dite loi NIS2, transpose la directive (UE) 2022/2555. Publiée au Moniteur belge le 17 mai 2024, elle est entrée en vigueur le 18 octobre 2024 (article 98), dans le délai fixé par la directive.
Le Centre pour la Cybersécurité Belgique (CCB) est l'autorité nationale de cybersécurité et le CSIRT national, appuyé par des autorités sectorielles. La loi distingue deux catégories, les entités essentielles et les entités importantes, selon leur secteur (énergie, transport, santé, eau, infrastructures numériques, gestion des services informatiques, administrations, fabrication, alimentation, services postaux, entre autres) et, en règle générale, leur taille : les moyennes et grandes entreprises des secteurs listés, certaines entités l'étant quelle que soit leur taille.
Ce que la loi impose aux entités concernées
Enregistrement
Les entités essentielles et importantes devaient s'enregistrer auprès du CCB dans les cinq mois suivant l'entrée en vigueur de la loi (article 13). Une entité qui découvre aujourd'hui qu'elle est concernée doit donc le faire sans attendre.
Mesures de gestion des risques
La loi reprend la liste de la directive, qui couvre notamment :
l'analyse des risques et les politiques de sécurité des systèmes d'information ;
la gestion des incidents ;
la continuité des activités, les sauvegardes et la gestion de crise ;
la sécurité de la chaîne d'approvisionnement ;
la sécurité de l'acquisition, du développement et de la maintenance des systèmes ;
l'hygiène informatique de base et la formation à la cybersécurité ;
l'authentification multifacteur ;
la politique de divulgation coordonnée des vulnérabilités.
Responsabilité de la direction
Les membres des organes de direction approuvent ces mesures, en supervisent la mise en œuvre et suivent une formation pour pouvoir évaluer les risques et les pratiques de gestion de la cybersécurité (article 31).
Notification des incidents importants
Un incident important se signale au CSIRT national en trois temps : une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification d'incident dans les 72 heures avec une première évaluation, puis un rapport final un mois après la notification.
Sanctions
Les amendes administratives peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu ; elles sont doublées en cas de récidive pour les mêmes faits dans un délai de trois ans (article 59).
CyberFundamentals ou ISO/IEC 27001 : l’évaluation de conformité
L'arrêté royal du 9 juin 2024, en vigueur depuis le 4 juillet 2024, organise l'évaluation de conformité. Les entités essentielles s'appuient soit sur le cadre de référence établi par le CCB, publié sous le nom de CyberFundamentals, soit sur la norme ISO/IEC 27001. Le cadre du CCB comporte au moins trois niveaux d'assurance : basique, important et essentiel.
Lorsqu'une entité essentielle choisit la certification, l'arrêté fixe deux échéances à compter de l'entrée en vigueur de la loi ou de la date d'identification de l'entité (article 22) : dans les 18 mois, une vérification par un organisme d'évaluation de la conformité agréé au niveau basique ou important du cadre du CCB, selon son analyse des risques (ou, pour ISO/IEC 27001, la transmission du champ d'application et de la déclaration d'applicabilité) ; dans les 30 mois, la certification. Pour une entité concernée dès l'origine, ces échéances tombaient en avril 2026 et tombent en avril 2027. L'arrêté prévoit aussi, à la place, une supervision par le service d'inspection de l'autorité (article 23).
Les entités importantes relèvent d'un régime volontaire : elles peuvent faire vérifier leur conformité au niveau important du cadre, ou se faire certifier selon ISO/IEC 27001.
Hors du champ de la loi, vos clients vous y exposent
La plupart des PME belges ne sont ni essentielles ni importantes. Beaucoup le découvrent pourtant par leurs clients : une entité soumise à la loi doit gérer la sécurité de sa chaîne d'approvisionnement, et elle le répercute sur ses fournisseurs sous forme de questionnaires, de clauses contractuelles ou de demandes de preuves (authentification multifacteur, sauvegardes testées, gestion des comptes à privilèges).
Le cadre CyberFundamentals sert alors de langage commun. Répondre à ces demandes avec des constats vérifiables vaut mieux qu'une déclaration de principe, et c'est souvent l'occasion de corriger des fragilités anciennes.
Ce qu’un prestataire informatique peut prendre en charge
NIS2 est d'abord une affaire de gouvernance : la direction décide, approuve et répond des mesures. Beaucoup de ces mesures sont pourtant techniques, et c'est là que nous intervenons, à distance et sur des périmètres définis :
l'audit Active Directory traite la gestion des identités et des accès, souvent le point le plus critique : comptes à privilèges, authentification, délégations, configuration de l'annuaire ;
l'audit du système d'information dresse l'état des sauvegardes, du parc, de Microsoft 365 et des comptes, avec un rapport priorisé qui nourrit votre analyse de risques ;
la sensibilisation à la cybersécurité couvre l'hygiène informatique de base et la formation des équipes ;
la mise en place de Microsoft 365 et Intune pose la conformité des postes, le chiffrement BitLocker et l'accès conditionnel.
Ce que nous ne faisons pas : nous ne donnons pas de conseil juridique sur votre qualification d'entité, nous ne délivrons ni certification ni attestation de conformité, nous ne notifions pas les incidents à votre place et nous n'assurons pas d'astreinte. Un audit peut contribuer à une démarche NIS2 ; il ne constitue pas à lui seul une mise en conformité.
Pour situer votre besoin, le plus simple est d'en parler : contactez-nous avec votre secteur et la taille de votre organisation.
Questions fréquentes
Mon entreprise est-elle concernée par la loi NIS2 belge ?
Cela dépend de votre secteur et de votre taille : en règle générale, les moyennes et grandes entreprises des secteurs listés par la loi, et certaines entités quelle que soit leur taille. Le CCB publie des outils pour le vérifier ; la qualification juridique relève de votre conseil, pas de nous.
Quels sont les délais de notification d’un incident ?
Une alerte précoce au CSIRT national dans les 24 heures, une notification d’incident dans les 72 heures avec une première évaluation, puis un rapport final un mois après la notification.
SolidKern peut-il nous certifier CyberFundamentals ?
Non. La certification est délivrée par un organisme d’évaluation de la conformité agréé. Nous mettons en œuvre des mesures techniques (identités, authentification, postes, sauvegardes, sensibilisation) qui préparent cette évaluation.