NIS2 Belgique : notification d'incident

Notifier un incident NIS2 au CCB : 24 h / 72 h / 1 mois

Sous NIS2, les entités essentielles et importantes notifient leurs incidents significatifs en trois étapes à CERT.be, le CSIRT national géré par le Centre pour la Cybersécurité Belgique (CCB) : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans un délai d'un mois.

L'obligation de notification s'applique

La loi du 26 avril 2024 est entrée en vigueur le 18 octobre 2024. L'obligation de notification s'applique déjà ; la notification passe par la plateforme Safeonweb@Work que le CCB désigne.

Qu'est-ce qu'un incident significatif ?

Un incident est significatif lorsqu'il cause ou peut causer une perturbation opérationnelle grave des services ou des pertes financières, ou lorsqu'il affecte d'autres personnes en causant des dommages considérables. Seuls les incidents significatifs déclenchent l'obligation de notification.

La notification en trois étapes

dans les 24 h

Alerte précoce (art. 35 de la loi)

Dans les 24 heures après avoir pris connaissance de l'incident significatif : une première alerte à CERT.be, le CSIRT national géré par le CCB, qui indique le cas échéant si l'incident pourrait avoir été causé par des actes illicites ou malveillants, ou s'il pourrait avoir un impact transfrontière.

dans les 72 h

Notification d'incident

Dans les 72 heures après la prise de connaissance : une notification qui met à jour l'alerte précoce et fournit une première évaluation de la gravité et de l'impact de l'incident, ainsi que les indicateurs de compromission lorsqu'ils sont disponibles.

dans le mois

Rapport final

Au plus tard un mois après la notification : un rapport détaillé décrivant la nature de la menace ou la cause profonde, les mesures d'atténuation appliquées et l'éventuel impact transfrontière. Si l'incident est toujours en cours, vous transmettez un rapport d'avancement, puis le rapport final dans le mois qui suit la fin du traitement de l'incident.

Les délais de 24 et 72 heures courent à partir du moment où vous prenez connaissance de l'incident ; le rapport final suit la notification. Tout est adressé à CERT.be, le CSIRT national géré par le CCB, via Safeonweb@Work.

Qui notifie, où, et ce qui suit

Qui : les entités essentielles et importantes au sens de NIS2.
Où : à CERT.be, le CSIRT national géré par le CCB, via la plateforme Safeonweb@Work que le CCB désigne (art. 34 de la loi).
Réponse du CSIRT : le CSIRT vous adresse, si possible dans les 24 heures suivant l'alerte précoce, une première réponse et, à votre demande, un soutien opérationnel (art. 36 de la loi).
En cas de manquement : le CCB peut imposer des mesures d'exécution (art. 60) et une amende administrative (jusqu'à 10 millions d'euros ou 2 % pour les entités essentielles, art. 59, 5° ; jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes, art. 59, 4°).

Questions fréquentes

Quels sont les délais de notification NIS2 en Belgique ?

La loi du 26 avril 2024 (art. 35) impose trois étapes auprès de CERT.be, le CSIRT national géré par le CCB : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans un délai d'un mois. Les délais de 24 et 72 heures courent à partir de la prise de connaissance de l'incident significatif ; le rapport final est dû un mois après la notification.

Où notifier un incident ?

À CERT.be, le CSIRT national géré par le CCB, via la plateforme Safeonweb@Work que le CCB désigne à cet effet (art. 34 de la loi). Le CSIRT vous adresse sans retard injustifié, si possible dans les 24 heures suivant l'alerte précoce, une première réponse et, à votre demande, un soutien opérationnel (art. 36).

Qu'est-ce qu'un incident significatif ?

Au sens de NIS2, un incident est significatif lorsqu'il cause ou peut causer une perturbation opérationnelle grave des services ou des pertes financières, ou lorsqu'il affecte ou peut affecter d'autres personnes en causant des dommages considérables. Seuls les incidents significatifs déclenchent l'obligation de notification.

Cette obligation s'applique-t-elle déjà ?

Oui. La loi du 26 avril 2024 est entrée en vigueur le 18 octobre 2024 : l'obligation de notification s'applique aux entités essentielles et importantes. Le CCB peut aussi décider d'informer le public lorsque c'est nécessaire pour prévenir ou traiter un incident, ou lorsque l'intérêt public l'exige (art. 37).

Avoir la notification prête avant le premier incident

Reglyze structure vos incidents selon le rythme 24 h / 72 h / 1 mois, conserve le contenu des notifications et documente la piste d'audit, pour que votre notification soit prête quand elle compte. Prix publiés en euros, hébergement dans l'UE.

Reglyze est une plateforme SaaS de conformité NIS2 et ne remplace pas un conseil juridique. Source officielle : ccb.belgium.be (CCB).