NIS2 Belgique : périmètre
Entités essentielles et importantes : relevez-vous de NIS2 ?
En Belgique, la loi du 26 avril 2024 transpose la directive NIS2. Cette page explique comment déterminer si votre organisation est une entité essentielle ou une entité importante, selon le secteur, la taille et les règles du Centre pour la Cybersécurité Belgique (CCB).
La loi est en vigueur
Contrairement à certains pays voisins, les obligations belges s'appliquent déjà : la loi est entrée en vigueur le 18 octobre 2024. Les entités essentielles et importantes s'enregistrent auprès du CCB sur Safeonweb@Work.
Entités essentielles et entités importantes
Au sens de la loi du 26 avril 2024. La distinction détermine surtout l'intensité de la supervision par le CCB.
Entités essentielles (art. 9)
Les grandes entités des secteurs hautement critiques de l'annexe I : énergie, transport, santé, eau potable, infrastructure numérique. S'y ajoutent les prestataires de services de confiance qualifiés, les fournisseurs de services DNS et les entités de l'administration publique qui dépendent de l'État fédéral. Supervision ex ante (a priori) par le CCB. Évaluation périodique de la conformité (art. 39) ; selon le calendrier du CCB, certification au niveau Essential au plus tard le 18 avril 2027 pour celles qui doivent atteindre ce niveau (ISO 27001 est l'alternative reconnue).
Entités importantes (art. 10)
Les entités des secteurs des annexes I et II qui ne sont pas des entités essentielles et qui dépassent le seuil de la micro ou petite entreprise (poste, déchets, chimie, denrées alimentaires, fabrication, fournisseurs numériques). Supervision ex post (a posteriori), à la suite d'un incident ou d'un indice. CyFun est volontaire.
Critère de taille et cas particuliers
- Seuil du périmètre (art. 3 de la loi) : à partir de 50 travailleurs, OU lorsque le chiffre d'affaires annuel et le total du bilan dépassent tous deux 10 millions d'euros (recommandation 2003/361/CE : un chiffre d'affaires supérieur à 10 millions d'euros ne suffit pas à lui seul). Sous ce seuil, une organisation est en règle générale hors du champ de NIS2.
- Quelle que soit la taille : certains fournisseurs relèvent de NIS2 indépendamment de leur taille : les fournisseurs de réseaux et de services de communications électroniques publics, les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS (directive, art. 2, paragraphe 2, point a)). Les fournisseurs de services d'informatique en nuage et de centres de données suivent le critère de taille.
- Enregistrement auprès du CCB (art. 13 et 14 de la loi) : les entités s'identifient elles-mêmes sur la plateforme Safeonweb@Work. Le délai est de cinq mois après l'identification, ou de deux mois pour les fournisseurs de services DNS, d'informatique en nuage, de réseaux de diffusion de contenu, de services gérés, de places de marché en ligne, de moteurs de recherche et de réseaux sociaux.
- ISO 27001 comme alternative : une entité certifiée ISO/IEC 27001:2022 par un CAB agréé n'a pas besoin de passer à CyFun. L'arrêté royal du 9 juin 2024 reconnaît les deux cadres.
- Administration publique : les entités de l'administration publique qui dépendent de l'État fédéral sont des entités essentielles (art. 9, 4°, de la loi). Une entité de l'administration publique de niveau régional relève de la loi lorsqu'elle est identifiée en application de l'art. 11, § 2.
Calendrier, obligations et amendes
- 18 octobre 2024 : entrée en vigueur de la loi et de l'arrêté royal, et début effectif des obligations NIS2.
- 18 avril 2026 : première échéance, désormais passée, de l'évaluation de la conformité des entités essentielles, selon le calendrier du CCB et la voie choisie. Voie CyFun : une vérification au niveau Basic ou Important par un CAB accrédité et autorisé ; voie ISO/IEC 27001 : le périmètre, la déclaration d'applicabilité et le dernier audit interne remis au CCB ; voie de l'inspection : la remise de l'auto-évaluation CyFun Basic ou Important (ou des documents ISO).
- 18 avril 2027 : voie CyFun : la certification au niveau Essential pour les entités essentielles qui doivent atteindre ce niveau (celles qui doivent atteindre Important peuvent passer d'abord par Basic, puis par Important) ; voie ISO/IEC 27001 : la certification ; voie de l'inspection : un rapport sur l'état d'avancement de la conformité. La loi laisse ces échéances au Roi (art. 75) ; une entité essentielle peut, sur la base d'une analyse de risques approfondie, justifier le niveau Important.
- Notification d'incident : 24 heures (alerte précoce) / 72 heures (notification) / 1 mois (rapport final), auprès de CERT.be, le CSIRT national géré par le CCB.
- Amendes (art. 59) : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles (art. 59, 5°) ; jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes (art. 59, 4°).
Questions fréquentes
La directive NIS2 est-elle transposée en Belgique ?
Oui. La Belgique a été l'un des premiers États membres : la loi du 26 avril 2024 (publiée au Moniteur belge le 17 mai 2024) est entrée en vigueur le 18 octobre 2024. L'arrêté royal du 9 juin 2024 désigne le Centre pour la Cybersécurité Belgique (CCB) comme autorité nationale et reconnaît CyFun et ISO 27001 comme cadres de conformité.
Quelle est la différence entre une entité essentielle et une entité importante ?
Les entités essentielles (art. 9 de la loi) sont les grandes entités des secteurs hautement critiques de l'annexe I, ainsi que les prestataires de services de confiance qualifiés, les fournisseurs de services DNS, les registres de noms de domaine de premier niveau et les entités de l'administration publique qui dépendent de l'État fédéral. Elles font l'objet d'une supervision ex ante (a priori). Les entités importantes (art. 10 de la loi) sont les autres entités des secteurs des annexes I et II qui dépassent le seuil de la micro ou petite entreprise. Elles font l'objet d'une supervision ex post (a posteriori).
Qu'est-ce que CyFun et est-ce obligatoire ?
CyFun (CyberFundamentals) est le cadre du CCB pour démontrer la conformité aux mesures de l'art. 30 de la loi. Les entités essentielles se soumettent à une évaluation périodique de la conformité, par un CAB agréé ou par une inspection du CCB (art. 39) ; selon le calendrier du CCB, la certification au niveau Essential est due au plus tard le 18 avril 2027 pour celles qui doivent atteindre ce niveau, et la certification ISO 27001 pour celles qui ont choisi ce cadre. Pour les entités importantes, une évaluation est volontaire (art. 41), mais elles bénéficient alors de la présomption de conformité. L'arrêté royal du 9 juin 2024 reconnaît ISO/IEC 27001:2022 comme alternative équivalente.
Quelles amendes la loi belge NIS2 prévoit-elle ?
La loi du 26 avril 2024 règle les mesures administratives à l'art. 58 et les amendes administratives à l'art. 59. Pour les entités essentielles, l'amende va de 500 euros à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu, et elle est doublée en cas de récidive pour les mêmes infractions dans un délai de trois ans (art. 59, 5°). Pour les entités importantes, elle va de 500 euros à 7 millions d'euros ou 1,4 % (art. 59, 4°). Le CCB peut aussi imposer des mesures d'exécution (art. 60) et rendre la décision publique (art. 61).
Sachez où vous en êtes, dès aujourd'hui
Reglyze vous aide à déterminer votre catégorie probable, à aligner vos mesures sur les fonctions CyFun et à préparer votre dossier. Prix publiés en euros, hébergement dans l'UE.
Reglyze est une plateforme SaaS de conformité NIS2 et ne remplace pas un conseil juridique qualifié. Source officielle : ccb.belgium.be (CCB).