1 JUILLET 2011. - Loi relative à la sécurité et la protection des infrastructures critiques (NOTE : art. 13/1 inséré dans le futur par L 2023-06-11/08, art. 2; En vigueur : 01-08-2024)(NOTE : Consultation des versions antérieures à partir du 07-05-2014 et mise à jour au 19-01-2026)

CHAPITRE 1er. - Dispositions générales

Article 1er. La présente loi règle une matière visée à l'article 78 de la Constitution.

Article 2. La présente loi transpose partiellement la Directive 2008/114/CE du Conseil du 8 décembre 2008 concernant le recensement et la désignation des infrastructures critiques européennes ainsi que l'évaluation de la nécessité d'améliorer leur protection.

La DGCC, telle que définie à l'article 3, 1°, est désignée comme point de contact national pour la protection des infrastructures critiques européennes, ci-après dénommé " point de contact EPCIP ", pour l'ensemble des secteurs et sous-secteurs, pour la Belgique dans ses relations avec la Commission européenne et les Etats membres de l'Union européenne.

[¹ La présente loi transpose partiellement la Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union.]¹

---

(1)2019-04-07/15, art. 74, 004; En vigueur : 03-05-2019>

Article 3. Pour l'application de la présente loi et de ses arrêtés d'exécution, l'on entend par :

1° " DGCC " : Direction générale Centre de Crise du Service public fédéral Intérieur, chargée de la protection spéciale des biens et des personnes et de la coordination nationale en matière d'ordre public;

2° " OCAM " : Organe de coordination pour l'analyse de la menace institué par la loi du 10 juillet 2006 relative à l'analyse de la menace;

3° " autorité sectorielle " :

[³ c) pour le secteur des finances, à l'exception des opérateurs de plate-forme de négociation au sens de l'article 3, 6°, de la loi du 21 novembre 2017 relative aux infrastructures des marchés d'instruments financiers et portant transposition de la Directive 2014/65/UE : la Banque nationale de Belgique (BNB) ;

[³ e) pour les secteurs des communications électroniques et des infrastructures numériques : l'Institut belge des services postaux et des télécommunications (I.B.P.T.) ;

4° " infrastructure critique " : installation, système ou partie de celui- ci, d'intérêt fédéral, qui est indispensable au maintien des fonctions vitales de la société, de la santé, de la sûreté, de la sécurité et du bien-être économique ou social des citoyens, et dont l'interruption du fonctionnement ou la destruction aurait une incidence significative du fait de la défaillance de ces fonctions;

5° " infrastructure critique nationale " : l'infrastructure critique située sur le territoire belge, dont l'interruption du fonctionnement ou la destruction aurait une incidence significative dans le pays;

6° " infrastructure critique européenne " : l'infrastructure critique nationale dont l'interruption du fonctionnement ou la destruction aurait une incidence significative sur deux Etats membres de l'Union européenne au moins [² ou l'infrastructure critique qui n'est pas située sur le territoire belge mais sur celui d'un autre Etat membre de l'Union européenne, dont l'interruption du fonctionnement ou la destruction aurait une incidence significative sur au moins deux Etats membres de l'Union européenne, dont la Belgique]²;

7° " autres points d'intérêt fédéral " : les lieux qui ne sont pas désignés comme infrastructure critique mais qui présentent un intérêt particulier pour l'ordre public, pour la protection spéciale des personnes et des biens, pour la gestion de situations d'urgence ou pour les intérêts militaires et qui [² font l'objet de mesures de protection prises par la DGCC]²;

8° " points d'intérêt local " : les lieux qui ne sont ni des infrastructures critiques, ni des autres points d'intérêt fédéral, mais qui présentent un intérêt particulier pour l'exécution des missions de police administrative au niveau local et qui [² font l'objet de mesures de protection prises par le bourgmestre]²;

9° " communications électroniques " : les communications électroniques visées par la loi du 13 juin 2005 relative aux communications électroniques;

10° " exploitant " : toute personne physique ou morale responsable des investissements relatifs à ou de la gestion quotidienne d'une infrastructure critique nationale ou européenne;

11° " services de police " : les services de police visés par la loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux;

12° [² "SICAD": service d'information et de communication de l'arrondissement, tel que visé par la loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux]²;

[³ 13° "la loi du 7 avril 2019" : la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique ;

• 14° "sécurité des réseaux et systèmes d'information" : la sécurité des réseaux et systèmes d'information au sens de l'article 6, 8° et 9°, de la loi du 7 avril 2019 ;

• 15° "le secteur des infrastructures numériques" : le secteur visé au point 6 de l'annexe 1 de la loi du 7 avril 2019 ;

• 16° "le secteur de l'eau potable" : le secteur visé au point 5 de l'annexe 1 de la loi du 7 avril 2019 ;

• 17° "le secteur de la santé" : le secteur visé au point 4 de l'annexe 1 de la loi du 7 avril 2019.]³

---

(1)2014-04-25/09, art. 2, 002; En vigueur : 07-05-2014>

(2)2018-07-15/08, art. 41, 003; En vigueur : 05-10-2018>

(3)2019-04-07/15, art. 75, 004; En vigueur : 03-05-2019>

(4)2022-10-13/10, art. 28, 008; En vigueur : 01-01-2023>

CHAPITRE 2. - Sécurité et protection des infrastructures critiques

Section 1re. - Champ d'application

Article 4. § 1er. Le présent chapitre s'applique au secteur des transports et au secteur de l'énergie en ce qui concerne la sécurité et la protection des infrastructures critiques nationales et européennes.

Toutefois, il ne s'applique pas aux installations nucléaires visées par la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire, à l'exception des éléments d'une installation nucléaire destinée à la production industrielle d'électricité qui servent au transport de l'électricité.

[¹ L'article 8 et les articles 12 à 26 s'appliquent uniquement aux infrastructures critiques situées sur le territoire belge]¹

§ 2. Le secteur de l'Energie comporte les sous-secteurs suivants :

1° l'électricité, composée des infrastructures et installations permettant la production et le transport d'électricité, en vue de la fourniture d'électricité;

2° le pétrole, composé de la production pétrolière, du raffinage, du traitement, du stockage et du transport par oléoducs;

3° le gaz, composé de la production gazière, du raffinage, du traitement, du stockage, du transport par gazoducs et des terminaux de gaz naturel liquéfié.

Le secteur des Transports comporte les sous-secteurs suivants :

1° transport par route;

2° transport ferroviaire;

3° transport aérien;

4° navigation intérieure;

5° transport hauturier et transport maritime à courte distance et ports.

§ 3. Par dérogation au § 1er, alinéa 1er, le présent chapitre ne s'applique pas au sous-secteur du transport aérien.

Sans préjudice de l'article 2, alinéa 2, le Roi prend, par arrêté délibéré en Conseil des ministres, les mesures nécessaires, y compris l'abrogation, l'ajout, la modification ou le remplacement de dispositions légales, pour assurer la transposition de la Directive 2008/114/CE du Conseil du 8 décembre 2008 concernant le recensement et la désignation des infrastructures critiques européennes ainsi que l'évaluation de la nécessité d'améliorer leur protection en ce qui concerne le transport aérien.

§ 4. [² Le présent chapitre s'applique au secteur des finances, en ce compris aux opérateurs de plate-forme de négociation visés à l'article 3, 3°, d), au secteur des communications électroniques, au secteur des infrastructures numériques, au secteur de la santé et au secteur de l'eau potable, en ce qui concerne la sécurité et la protection des infrastructures critiques nationales.]²

---

(1)2018-07-15/08, art. 42, 003; En vigueur : 05-10-2018>

(2)2019-04-07/15, art. 76, 004; En vigueur : 03-05-2019>

Section 2. - Identification et désignation des infrastructures critiques

Article 5. § 1er. [¹ Afin d'identifier les infrastructures critiques relevant de sa compétence, l'autorité sectorielle se concerte au préalable avec la DGCC, et consulte, si elle l'estime utile, les représentants du secteur et les exploitants d'infrastructures critiques potentielles.

A cette même fin, l'autorité sectorielle procède à la consultation préalable des régions, pour les infrastructures critiques potentielles relevant de leurs compétences.]¹

§ 2. La procédure à suivre pour l'identification des infrastructures critiques nationales et européennes est déterminée à l'annexe.

[² § 3. Tout au long du processus d'identification visé à la présente section, l'autorité visée à l'article 7, § 1er, de la loi du 7 avril 2019 est associée aux concertations nationales et internationales menées par les autorités sectorielles et la DGCC, pour les aspects de l'identification des infrastructures critiques liés à la sécurité des réseaux et systèmes d'information.]²

---

(1)2018-07-15/08, art. 43, 003; En vigueur : 05-10-2018>

(2)2019-04-07/15, art. 77, 004; En vigueur : 03-05-2019>

Article 6. § 1er. L'autorité sectorielle établit des critères sectoriels auxquels doivent répondre les infrastructures critiques nationales eu égard aux caractéristiques particulières du secteur concerné, en concertation avec la DGCC et, le cas échéant, après consultation des régions concernées.

§ 2. L'autorité sectorielle établit des critères sectoriels auxquels doivent répondre les infrastructures critiques européennes eu égard aux caractéristiques particulières du secteur concerné, en concertation avec la DGCC et, le cas échéant, après consultation des régions concernées.

§ 3. Les critères intersectoriels auxquels doivent répondre les infrastructures critiques nationales et européennes sont :

1° le nombre potentiel de victimes, notamment le nombre de morts ou de blessés, ou

2° l'incidence potentielle économique, notamment l'ampleur des pertes économiques et/ou de la dégradation de produits ou de services, y compris l'incidence sur l'environnement, ou

3° l'incidence potentielle sur la population, notamment l'incidence sur la confiance de la population, les souffrances physiques et la perturbation de la vie quotidienne, y compris la disparition de services essentiels.

§ 4. L'autorité sectorielle établit les niveaux d'incidence ou les seuils applicables aux critères intersectoriels auxquels doivent répondre les infrastructures critiques nationales, en concertation avec la DGCC et, le cas échéant, après consultation des régions concernées.

Les niveaux d'incidence ou les seuils des critères intersectoriels sont fondés sur la gravité de l'impact de l'interruption du fonctionnement ou de la destruction d'une infrastructure donnée.

§ 5. L'autorité sectorielle établit au cas par cas les niveaux d'incidence ou les seuils applicables aux critères intersectoriels auxquels doivent répondre les infrastructures critiques européennes, en concertation avec la DGCC, avec les Etats membres concernés et, le cas échéant, après consultation des régions concernées.

Les niveaux d'incidence ou les seuils des critères intersectoriels sont fondés sur la gravité de l'impact de l'interruption du fonctionnement ou de la destruction d'une infrastructure donnée.

Article 7. § 1er. [¹ L'autorité sectorielle établit une liste des infrastructures critiques nationales potentielles identifiées et la communique à la DGCC et, le cas échéant, aux régions concernées.

Elle joint à cette liste les critères sectoriels et intersectoriels, les niveaux d'incidence ou les seuils qu'elle a établis en application de l'article 6 §§ 1er, 3, et 4 et en expose les motifs.

Elle procède ensuite à la désignation des infrastructures critiques nationales, après avis de la DGCC et, le cas échéant, après consultation des régions concernées.]¹

§ 2. [¹ L'autorité sectorielle établit une liste des infrastructures critiques européennes potentielles identifiées et la communique à la DGCC et, le cas échéant, aux régions concernées.

Elle joint à cette liste les critères sectoriels et intersectoriels, les niveaux d'incidence ou les seuils qu'elle a établis en application de l'article 6, §§ 2, 3, et 5 et en expose les motifs.

Le point de contact EPCIP est chargé, en collaboration avec l'autorité sectorielle et, le cas échéant, avec les régions concernées, de mener des discussions bilatérales ou multilatérales avec les Etats membres de l'Union européenne concernés, tant en ce qui concerne les infrastructures critiques européennes potentielles identifiées sur le territoire belge que celles identifiées par les autres Etats membres sur leur territoire.

Lorsqu'un accord est intervenu sur les infrastructures critiques européennes sur le territoire belge, l'autorité sectorielle procède à la désignation de ces infrastructures après avis de la DGCC et, le cas échéant, après consultation des régions concernées.]¹

[¹ § 3. Lorsqu'aucune infrastructure critique située sur le territoire belge n'a été identifiée au sein d'un secteur ou d'un sous-secteur, l'autorité sectorielle compétente expose dans une lettre à destination de la DGCC les raisons qui ont abouti à cette absence d'identification.

§ 4. Chaque autorité sectorielle procède au renouvellement du processus d'identification tel que décrit aux §§ 1er à 3, pour ce qui concerne les infrastructures critiques relevant de son secteur, au minimum une fois tous les cinq ans.]¹

---

(1)2018-07-15/08, art. 44, 003; En vigueur : 05-10-2018>

Article 8. [¹ L'autorité sectorielle notifie à l'exploitant la décision motivée de la désignation de son infrastructure comme infrastructure critique et communique une copie de cette décision avec mention de la date de notification à la DGCC.

La DGCC communique également à l'OCAM les informations utiles pour l'accomplissement de l'analyse de la menace visée à l'article 10, en ce compris la date à laquelle la notification a eu lieu.]¹

[¹ La DGCC informe le bourgmestre de la commune sur le territoire de laquelle se trouve l'infrastructure critique de cette désignation.

Dans les cas visés à l'article 13, § 7, la DGCC informe de cette désignation le gouverneur de la province sur le territoire de laquelle se situe l'infrastructure critique ou, lorsque cette dernière se situe sur le territoire de l'agglomération bruxelloise, l'autorité compétente en vertu de l'article 48 de la loi spéciale du 12 janvier 1989 relative aux Institutions bruxelloises.]¹

[² Dans le cadre de l'application de l'article 126/3 de la loi du 13 juin 2005 relative aux communications électroniques, après la désignation d'une infrastructure critique et au moins annuellement, la DGCC fournit au service désigné par le Roi, la commune dans laquelle l'infrastructure critique est située ou, le cas échéant, une liste des communes dans lesquelles les infrastructures critiques sont situées.]²

---

(1)2018-07-15/08, art. 45, 003; En vigueur : 05-10-2018>

(2)2022-07-20/14, art. 18, 007; En vigueur : 18-08-2022>

Article 9. L'autorité sectorielle assure le suivi permanent du processus d'identification et de désignation des infrastructures critiques, et le renouvelle en tout cas à première demande de la DGCC et dans le délai qu'elle fixe, notamment en fonction des obligations imposées par l'Union européenne.

Article 10. § 1er. [¹ Dans un délai de neuf mois à compter de la notification de la désignation d'une infrastructure comme infrastructure critique, l'OCAM effectue une analyse de la menace pour ladite infrastructure et pour le sous-secteur dont elle fait partie.

Cette analyse est renouvelée au minimum une fois tous les cinq ans.]¹

§ 2. L'analyse de la menace au sens du présent chapitre porte sur tout type de menace qui entre dans les compétences des services d'appui visés à l'article 2, 2°, de la loi du 10 juillet 2006 relative à l'analyse de la menace.

[¹ Conformément à l'article 8, 1°, de la loi du 10 juillet 2006 relative à l'analyse de la menace, l'analyse de la menace consiste en une évaluation stratégique commune. Sans préjudice de l'article 8 de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité, cette évaluation est communiquée à l'exploitant afin de lui permettre d'intégrer les conclusions de cette évaluation dans l'analyse des risques qu'il est tenu d'effectuer en vertu de l'article 13, § 3, 2°.]¹

---

(1)2018-07-15/08, art. 46, 003; En vigueur : 05-10-2018>

Article 11. § 1er. En fonction des obligations imposées par l'Union européenne, l'autorité sectorielle fait rapport écrit au point de contact EPCIP, à la demande de celui-ci, concernant les infrastructures critiques européennes relevant de son secteur et les types de risques rencontrés.

§ 2. [¹ ...]¹

---

(1)2018-07-15/08, art. 47, 003; En vigueur : 05-10-2018>

Section 3. Mesures internes de sécurité des infrastructures critiques

Article 12. § 1er. L'exploitant d'une infrastructure critique désigne un point de contact pour la sécurité et en communique les données de contact à l'autorité sectorielle dans un délai de six mois à dater de la notification de la désignation comme infrastructure critique, ainsi qu'après chaque mise à jour de ces données.

[¹ Le point de contact pour la sécurité exerce la fonction de point de contact vis-à-vis de l'autorité sectorielle, de la DGCC, du bourgmestre, des services de police et de tout autre autorité ou service public compétent pour toute question liée à la sécurité et la protection de l'infrastructure.]¹