7 AVRIL 2019. - Loi établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique(NOTE : Consultation des versions antérieures à partir du 31-12-2021 et mise à jour au 17-05-2024)

§ 3. Le contrevenant peut former opposition à la contrainte devant le juge des saisies.

L'opposition est motivée à peine de nullité. Elle est formée au moyen d'une citation à l'autorité sectorielle par exploit d'huissier dans les quinze jours à partir de la signification de la contrainte.

Les dispositions du chapitre VIII de la première partie du Code judiciaire sont applicables à ce délai, y compris les prorogations prévues à l'article 50, alinéa 2, et l'article 55 de ce Code.

L'exercice de l'opposition à la contrainte suspend l'exécution de la contrainte, ainsi que la prescription des créances contenues dans la contrainte, jusqu'à ce qu'il ait été statué sur son bien-fondé. Les saisies déjà pratiquées antérieurement conservent leur caractère conservatoire.

§ 4. L'autorité sectorielle peut faire pratiquer la saisie conservatoire et exécuter la contrainte en usant des voies d'exécution prévues à la cinquième partie du Code judiciaire.

Les paiements partiels effectués en suite de la signification d'une contrainte ne font pas obstacle à la continuation des poursuites.

§ 5. Les frais de signification de la contrainte de même que les frais de l'exécution ou des mesures conservatoires sont à charge du contrevenant.

Ils sont déterminés suivant les règles établies pour les actes accomplis par les huissiers de justice en matière civile et commerciale.

Article 59. L'autorité sectorielle ne peut imposer d'amende administrative à l'échéance d'un délai de trois ans, à compter du jour où le fait a été commis.

Le paiement selon la procédure administrative éteint également la possibilité d'engager des poursuites pénales pour les faits visés.

TITRE 5. - CSIRT

CHAPITRE 1er. - Le CSIRT national

Section 1re. - Tâches du CSIRT national

Article 60. Les tâches du CSIRT national sont au moins les suivantes :

Après avis du CSIRT national, le Roi peut lui confier des tâches supplémentaires.

Section 2. - Obligations du CSIRT national

Article 61. Les obligations du CSIRT national sont au moins les suivantes :

Article 62. [¹ § 1er. Dans le cadre de l'exercice de ses compétences, le CSIRT national prend toutes les mesures adéquates afin de réaliser les objectifs définis aux articles 60 et 61. Ces mesures doivent être proportionnelles à ces objectifs, et respecter les principes d'objectivité, de transparence et de non-discrimination.

§ 2. Lorsque cela s'avère strictement nécessaire à la réalisation de ses tâches énumérées à l'article 60, alinéa 1er, a) à e), le CSIRT national peut obtenir d'un opérateur visé à l'article 2, 11°, de la loi du 13 juin 2005 relative aux communications électroniques, des données d'identification visées à l'article 2, alinéa 1er, 5°, de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges ou des métadonnées de communications électroniques au sens de l'article 2, 93°, de la loi précitée du 13 juin 2005 conservées par celui-ci.

Les finalités poursuivies par les tâches précitées sont:

• la prévention de menaces graves contre la sécurité publique;

• l'examen de défaillances de la sécurité des réseaux ou de services de communications électroniques ou des systèmes d'information;

• la prévention, la recherche et la détection des infractions commises en ligne ou par le biais d'un réseau ou service de communications électroniques, en ce compris des faits qui relèvent de la criminalité grave.

Lorsque le CSIRT national adresse à un opérateur une demande de données d'identification visées à l'article 2, alinéa 1er, 5°, de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges, cette demande est autorisée par le supérieur hiérarchique.

Lorsque le CSIRT national adresse à un opérateur une demande de métadonnées de communications électroniques au sens de l'article 2, 93°, de la loi du 13 juin 2005 relative aux communications électroniques autres que celles visées à l'alinéa 3, cette demande fait l'objet d'un contrôle préalable par l'Autorité de protection des données.

En cas de situation urgente dûment justifiée, le CSIRT national peut se passer du contrôle préalable visé à l'alinéa 4 et solliciter directement les données. Cette demande est envoyée sans délai à l'autorité visée à l'alinéa 4 pour permettre un contrôle ultérieur.

Lorsqu'à la suite du contrôle visé à l'alinéa 5, l'Autorité de protection des données refuse de confirmer la validité de la demande de métadonnées de communications électroniques visée à l'alinéa 4, le CSIRT national le notifie sans délai à l'opérateur concerné et supprime les métadonnées reçues.

Le directeur du CSIRT national désigne expressément les personnes habilitées à traiter ces données de communications électroniques.

Le CSIRT national informe, dans la mesure du possible, les personnes physiques concernées de l'accès à leurs données de communications électroniques lorsque cela n'est plus susceptible de compromettre le bon déroulement de ses tâches ou d'une enquête en cours et lorsque ces personnes peuvent être identifiées.

§ 3. Pour atteindre ces objectifs, le CSIRT national est autorisé à détenir, à divulguer à une autre personne, à diffuser ou à faire usage de toutes les informations disponibles, même si celles-ci sont issues d'un accès non autorisé à un système informatique par un tiers.

§ 4. Dans l'accomplissement de ses missions, le CSIRT national use de la prudence que l'on est en droit d'attendre d'une autorité publique, en veillant toujours en priorité à ne pas perturber le fonctionnement du système informatique et en prenant toutes précautions raisonnables afin qu'aucun dommage matériel ne soit causé au système informatique.

Les fonctionnaires dirigeants du CSIRT national veillent, par l'adoption de procédures internes, au respect des conditions visées au présent article.]¹

---

(1)2022-07-20/14, art. 42, 003; En vigueur : 18-08-2022>

CHAPITRE 2. - Le CSIRT sectoriel

Section 1re. - Tâches du CSIRT sectoriel

Article 63. Les tâches d'un CSIRT sectoriel sont, en collaboration avec le CSIRT national, au moins les suivantes :

Après avis du CSIRT sectoriel, le Roi peut lui confier des tâches supplémentaires.

Section 1re. - Tâches du CSIRT sectoriel

Article 64. Les obligations d'un CSIRT sectoriel sont les suivantes :

Section 2. - Obligations d'un CSIRT sectoriel

CHAPITRE 1er. - Principes relatifs au traitement, base légale et finalités

Article 65. § 1er. Conformément à l'article 5.1.c) du Règlement UE 2016/679, lors du traitement de données à caractère personnel dans le cadre de l'exécution de la présente loi, le responsable de traitement veille à limiter le traitement au minimum nécessaire et de manière proportionnée à la finalité poursuivie.

§ 2. Dans le respect de ce principe, les données personnelles traitées peuvent être des données de tout type en rapport avec la sécurité des réseaux et systèmes d'information, à savoir le cas échéant des informations nominatives, des données concernant les collaborateurs d'une organisation ou des personnes extérieures, des données ou des identifiants de connexion, [¹ des données de communications électroniques,]¹ des données de géolocalisation, des données d'identification ou d'authentification, le cas échéant au moyen de dispositifs sécurisés.

§ 3. Les principaux traitements de données personnelles dans le cadre de la présente loi peuvent être regroupés comme suit :

• l'échange général d'informations entre les opérateurs de services essentiels et les fournisseurs de services numériques, d'une part, et les autorités visées à l'article 7, d'autre part ;

• le traitement d'informations spécifiques entre les entités visées au premier tiret dans le cadre des notifications d'incidents ou d'autres échanges ponctuels ;

• le traitement par les services d'inspection conformément au titre 4 ;

• le traitement par les cours et tribunaux ou les autorités sectorielles dans le cadre de la mise en oeuvre de la loi et particulièrement de la recherche, la poursuite et la répression d'infractions ;

• les échanges et autres traitements d'informations par le CSIRT national et par le CSIRT sectoriel pour leurs missions visées respectivement aux articles 60 à 62 et 63 et 64.

---

(1)2022-07-20/14, art. 43, 003; En vigueur : 18-08-2022>

Article 66. § 1er. Chaque fois que possible, les données traitées sont pseudonymisées ou agrégées de façon à diminuer le risque d'une utilisation de données personnelles incompatible avec le Règlement UE 2016/679 ou les lois et règlements qui le complètent ou le précisent.

§ 2. Les catégories particulières de données au sens des articles 9 et 10 du Règlement UE 2016/679 sont traitées dans le respect dudit règlement et des lois et règlements qui le complètent ou le précisent.

§ 3. Le responsable du traitement peut être soit l'une des autorités visées à l'article 7, soit les opérateurs de services essentiels ou les fournisseurs de services numériques, soit les autorités policières ou judiciaires.

§ 4. Les destinataires de données personnelles peuvent être toutes les personnes impliquées dans l'exécution des dispositions de la loi, dans la mesure nécessaire pour les échanges d'informations prévus par la loi.

Article 67. Conformément aux articles 6.1, c), et 6.1, e), du Règlement UE 2016/679, les traitements visés à l'article 65, § 3, doivent demeurer nécessaires au respect d'une obligation légale du responsable du traitement ou à l'exécution d'une mission d'intérêt public dont ce dernier est investi. Ces traitements doivent être nécessaires au regard de ces seules bases juridiques et demeurer limités à ce qui est nécessaire pour y satisfaire.

Article 68. § 1er. Les traitements visés à l'article 65, § 3, doivent être limités à et demeurer compatibles avec les finalités déterminées par le responsable du traitement.

§ 2. Ces finalités peuvent notamment être la recherche d'un niveau accru de protection des réseaux et systèmes d'information, le renforcement des politiques de prévention et de sécurité, la prévention des incidents de sécurité, la continuité des services essentiels ou des services numériques visés par la présente loi, le contrôle des opérateurs de services essentiels et fournisseurs de services numériques, la coopération sur les plan national et international, l'évaluation de la mise en oeuvre de la loi, la préparation, l'organisation, la gestion et le suivi d'enquêtes ou de poursuites, ainsi que les autres missions dévolues par la loi aux différentes autorités concernés.

§ 3. Il appartient à chaque responsable du traitement de déterminer pour ce qui le concerne les finalités ou sous-finalités pertinentes, les catégories de données et de personnes concernées, les destinataires ou catégories de destinataires de données, les durées de conservation ainsi que les autres caractéristiques éventuelles du traitement ainsi que les règles et pratiques de mise en conformité à la réglementation applicable.

CHAPITRE 2. - Durée de conservation

Article 69. § 1er. Sans préjudice de la conservation nécessaire pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, visé à l'article 89 du Règlement UE 2016/679, les données à caractère personnel traitées en exécution de la loi, ne sont pas conservées par les autorités visées à l'article 7 plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées.

§ 2. Dans le respect du paragraphe 1er, le Roi peut fixer la durée maximale de conservation des mêmes données par arrêté délibéré en conseil des Ministres.

CHAPITRE 2. - Durée de conservation

Article 70. Tout opérateur de services essentiels, tout fournisseur de service numérique et toute autorité visée à l'article 7 de la loi qui traitent des données à caractère personnel, désignent un délégué à la protection des données.

CHAPITRE 3. - Délégué à la protection des données

Article 71. § 1er. En application des articles 23.1, a), b), c), d), e), h), du Règlement UE 2016/679, certaines obligations et droits prévus par ledit règlement sont limités ou exclus, conformément aux dispositions du présent chapitre. Ces limitations ou exclusions ne peuvent porter préjudice à l'essence des libertés et droits fondamentaux et doivent être appliquées dans la stricte mesure nécessaire au but poursuivi.

§ 2. Les articles 12 à 22 dudit règlement ne sont pas applicables au traitement de données à caractère personnel effectué par un opérateur de services essentiels, un fournisseur de service numérique ou une autorité visée à l'article 7, qui est effectué dans le respect de la présente loi et pour satisfaire aux obligations que celle-ci impose en matière de notifications d'incidents visées au chapitre 3 du titre 2 et au chapitre 3 du titre 3, ainsi que de contrôles visés au titre 4. L'exemption ne vaut que si et dans la mesure où ce traitement nécessaire pour les finalités définies ci-avant, notamment dans la mesure où l'application des droits prévus par le règlement précité nuirait aux besoins du contrôle, de l'enquête ou des actes préparatoires, ou risquerait de violer le secret de l'enquête pénale ou la sécurité des personnes.

§ 3. Le responsable du traitement susceptible de bénéficier de l'exemption prévue au paragraphe 2, est soit l'opérateur de services essentiels, soit le fournisseur de service numérique, soit l'autorité visée à l'article 7, chacun pour les données qu'il détient dans le cadre des missions visées au paragraphe 2.

§ 4. L'exemption vaut, sous réserve du principe de proportionnalité et le cas échéant de minimisation des données, pour toutes les catégories de données à caractère personnel, dans la mesure où le traitement de ces données n'est pas étranger aux finalités visées au paragraphe 2. Cette exemption vaut également pour les actes préparatoires ou pour les procédures visant à l'application éventuelle d'une sanction administrative.

§ 5. Les données à caractère personnel qui résultent de l'exemption visée au paragraphe 2 ne sont pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées, avec une durée maximale de conservation ne pouvant excéder la durée du délai de prescription des infractions éventuelles visées aux articles 51 et 52, conformément à la législation applicable.

§ 6. Le responsable du traitement qui ne se conforme pas à toutes les dispositions de la loi et en particulier de l'article 72, ne peut bénéficier de l'exemption.

§ 7. Chaque responsable du traitement est tenu en outre de préserver la confidentialité des données personnelles qui font l'objet de l'exemption, et de faire en sorte qu'elles ne soient accessibles qu'aux personnes qui en ont besoin pour l'exécution des dispositions de la présente loi. Chaque responsable du traitement concerné doit aussi adresser par écrit à l'Autorité de protection des données, au moins une fois par an, une liste des demandes d'exercice des droits visés aux articles 12 à 22 du règlement qui relèvent, selon ledit responsable, de l'exemption. Sans préjudice des dispositions de la présente loi, chaque responsable du traitement concerné est par ailleurs tenu de prendre toute autre mesure appropriée pour éviter toute forme d'abus, d'accès ou de transfert illicites des données à caractère personnel qui relèvent de l'exemption, à savoir notamment et sans limitation aucune les mesures prévues à l'article 32 du Règlement UE 2016/679.

Article 72. § 1er. Les personnes concernées peuvent adresser une demande concernant leurs droits prévus aux articles 12 à 22 du Règlement UE 2016/679, au délégué à la protection des données, lequel en accuse réception.

§ 2. Le délégué à la protection des données du responsable du traitement informe la personne concernée par écrit, dans les meilleurs délais, et en tout état de cause dans un délai d'un mois à compter de la réception de la demande, de tout refus ou de toute limitation de ses droits prévus aux articles 12 à 22 du Règlement UE 2016/679, ainsi que des motifs du refus ou de la limitation. Ces informations concernant le refus ou la limitation peuvent ne pas être fournies lorsque leur communication risque de compromettre l'une des finalités énoncées à l'article 71, § 2. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

§ 3. Le délégué à la protection des données du responsable du traitement informe la personne concernée des possibilités d'introduire une réclamation auprès de l'Autorité de protection des données et de former un recours juridictionnel.

Le délégué à la protection des données du responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision. Ces informations sont mises à la disposition de l'Autorité de protection des données.

§ 4. Le responsable du traitement concerné donne toutefois accès à la personne concernée à des informations limitées concernant le traitement de ses données à caractère personnel, pour autant que cette communication ne compromette pas la réalisation des objectifs de la présente loi et de manière telle que la personne concernée se trouve dans l'impossibilité de savoir si elle fait l'objet d'une enquête ou pas, et sans pouvoir en aucun cas rectifier, effacer, limiter, notifier, transmettre à un tiers des données personnelles, ni cesser toute forme de traitement desdites données qui soit nécessaire dans le cadre défini ci-avant.

§ 5. La mesure de refus ou de limitation des droits prévus aux articles 12 à 22 du Règlement UE 2016/679, doit être levée :

• pour les mesures justifiées par les obligations en matière de notification d'incidents, lors de la clôture du traitement d'un incident par les autorités visées à l'article 24 ou 34 ;

• pour les mesures justifiées par les obligations en vertu du titre 4, lors de la clôture du contrôle ou de l'enquête ou des actes préparatoires à ceux-ci effectués par le service d'inspection, ainsi que pendant la période durant laquelle l'autorité sectorielle traite les pièces provenant du service d'inspection en vue d'exercer des poursuites ;

• au plus tard un an à partir de la réception de la demande introduite en application des articles 12 à 22 du Règlement européen UE 2016/679, sauf si un contrôle ou une enquête sont en cours.

§ 6. Le responsable du traitement concerné lève également la mesure de refus ou de limitation des droits prévus aux articles 12 à 22 du Règlement UE 2016/679, dès qu'une telle mesure n'est plus nécessaire au respect d'une des finalités visées à l'article 68, § 2.

§ 7. Dans tous les cas d'application des paragraphes 5 et 6, le délégué à la protection des données informe par écrit la ou les personnes concernées de la levée de la mesure de refus ou de limitation.

CHAPITRE 5. - Limitations aux obligations de notification des violations de données à caractère personnel

Article 73. Le responsable du traitement concerné est dispensé de communiquer une violation de données à caractère personnel à une ou des personnes concernées bien déterminées, au sens de l'article 34 du Règlement UE 2016/679, moyennant l'autorisation de l'autorité visée à l'article 7, § 1er, pour autant que et dans la mesure où une telle notification individuelle risque de compromettre la réalisation des finalités visées à l'article 71, § 2.

CHAPITRE 5. - Limitations aux obligations de notification des violations de données à caractère personnel

CHAPITRE 1er. - Modifications de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques

Article 74. L'article 2 de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques est complété par un alinéa rédigé comme suit :

"La présente loi transpose partiellement la Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union.".

Article 75. A l'article 3 de la même loi, modifié par les lois du 25 avril 2014 et du 15 juillet 2018, les modifications suivantes sont apportées :

1° dans le 3°, les c) et d) sont remplacés par ce qui suit :

"c) pour le secteur des finances, à l'exception des opérateurs de plate-forme de négociation au sens de l'article 3, 6°, de la loi du 21 novembre 2017 relative aux infrastructures des marchés d'instruments financiers et portant transposition de la Directive 2014/65/UE : la Banque nationale de Belgique (BNB) ;

2° le 3° est complété par les e) à g) rédigés comme suit :

3° l'article est complété par les 13° à 17° rédigés comme suit :

• "13° "la loi du 7 avril 2019" : la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique ;

• 14° "sécurité des réseaux et systèmes d'information" : la sécurité des réseaux et systèmes d'information au sens de l'article 6, 8° et 9°, de la loi du 7 avril 2019 ;

• 15° "le secteur des infrastructures numériques" : le secteur visé au point 6 de l'annexe 1 de la loi du 7 avril 2019 ;

• 16° "le secteur de l'eau potable" : le secteur visé au point 5 de l'annexe 1 de la loi du 7 avril 2019 ;

• 17° "le secteur de la santé" : le secteur visé au point 4 de l'annexe 1 de la loi du 7 avril 2019.".

Article 76. Dans l'article 4 de la même loi, modifié par la loi du 15 juillet 2018, le paragraphe 4 est remplacé par ce qui suit :

" § 4. Le présent chapitre s'applique au secteur des finances, en ce compris aux opérateurs de plate-forme de négociation visés à l'article 3, 3°, d), au secteur des communications électroniques, au secteur des infrastructures numériques, au secteur de la santé et au secteur de l'eau potable, en ce qui concerne la sécurité et la protection des infrastructures critiques nationales.".

Article 77. L'article 5 de la même loi, modifié par la loi du 15 juillet 2018, est complété par le paragraphe 3 rédigé comme suit :

" § 3. Tout au long du processus d'identification visé à la présente section, l'autorité visée à l'article 7, § 1er, de la loi du 7 avril 2019 est associée aux concertations nationales et internationales menées par les autorités sectorielles et la DGCC, pour les aspects de l'identification des infrastructures critiques liés à la sécurité des réseaux et systèmes d'information.".

Article 78. A l'article 13 de la même loi, modifié par les lois du 25 avril 2014 et du 15 juillet 2018, les modifications suivantes sont apportées :

1° dans le paragraphe 5bis, les mots "à l'exception de celles exploitées par un opérateur de plate-forme de négociation" sont insérés entre les mots "du secteur des finances" et les mots", les mesures de sécurité".

2° dans le paragraphe 6, alinéa 1er, les mots "à l'exception des infrastructures critiques exploitées par un opérateur de plate-forme de négociation" sont insérés entre les mots "le secteur des finances" et les mots", les exercices".

Article 79. Dans l'article 14 de la même loi, modifié par la loi du 15 juillet 2018, le paragraphe 2 est complété par les mots "et, le cas échéant, l'autorité visée à l'article 7, § 1er, de la loi du 7 avril 2019, pour ce qui concerne la sécurité des réseaux et systèmes d'information.".

Article 80. Dans l'article 18 de la même loi, modifié par la loi du 15 juillet 2018, les mots "La DGCC, les services de police et l'OCAM" sont remplacés par les mots "La DGCC, les services de police, l'OCAM et, le cas échéant, l'autorité visée à l'article 7, § 1er, de la loi du 7 avril 2019 pour ce qui concerne la sécurité des réseaux et systèmes d'information".

Article 81. à l'article 19 de la même loi, les mots "L'exploitant, le point de contact pour la sécurité, l'autorité sectorielle, la DGCC, l'OCAM et les services de police" sont remplacés par les mots "L'exploitant, le point de contact pour la sécurité, l'autorité sectorielle, la DGCC, l'OCAM, les services de police et, le cas échéant, l'autorité visée à l'article 7, § 1er, de la loi du 7 avril 2019 pour ce qui concerne la sécurité des réseaux et systèmes d'information,".

Article 82. à l'article 22 de la même loi, remplacé par la loi du 15 juillet 2018, les mots "L'autorité sectorielle, la DGCC, l'OCAM et les services de police" sont remplacés par : "L'autorité sectorielle, la DGCC, l'OCAM, les services de police et l'autorité visée à l'article 7, § 1er, de la loi du 7 avril 2019,".

Article 83. A l'article 22bis de la même loi, inséré par la loi du 25 avril 2004, les modifications sont apportées :

1° dans l'alinéa 1er, les mots "à l'exception du sous-secteur des opérateurs de plate-forme de négociation" sont insérés entre les mots "le secteur des finances" et les mots ", la Banque nationale de Belgique".

2° l'article est complété par un alinéa rédigé comme suit :

"Pour les opérateurs de plate-forme de négociation, la FSMA communique au ministre des Finances un rapport relatif aux tâches qu'elle accomplit en vertu de la présente loi selon une périodicité appropriée n'excédant toutefois pas trois ans. La FSMA l'informe toutefois sans délai de toute menace concrète et imminente pesant sur une infrastructure critique relevant de son secteur.".

Article 84. A l'article 24 de la même loi, modifié par les lois du 25 avril 2014 et du 15 juillet 2018, les modifications suivantes sont apportées :

1° dans le paragraphe 2, alinéa 3, les mots "à l'exception du sous-secteur des opérateurs de plate-forme de négociation" sont insérés entre les mots "le secteur des finances" et les mots ", la Banque nationale de Belgique".

2° le paragraphe 2 est complété par un alinéa rédigé comme suit :

"L'Autorité des services et marchés financiers est désignée en tant que service d'inspection chargé de contrôler l'application des dispositions de la présente loi et de ses arrêtés d'exécution, pour les opérateurs de plate-forme de négociation au sens de l'article 3, 6°, de la loi du 21 novembre 2017 relative aux infrastructures des marchés d'instruments financiers et portant transposition de la Directive 2014/65/UE. Le présent article ne porte pas préjudice à la possibilité pour la FSMA, pour l'exécution des missions qui lui sont confiées par la présente loi de charger un prestataire externe spécialisé de l'exécution de tâches déterminées ou d'obtenir l'assistance d'un tel prestataire.".

CHAPITRE 2. - Modifications de la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire

Article 85. L'article 1er de la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire, modifié en dernier lieu par la loi du 13 décembre 2017, est complété comme suit :

• "la loi du 7 avril 2019" : la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique ;".

Article 86. Dans la section 1re du chapitre III de la même loi, il est inséré un article 15ter, rédigé comme suit :

"Art. 15ter. L'Agence est désignée comme service d'inspection, au sens de l'article 42 de la loi du 7 avril 2019 et est chargée du contrôle de l'application des dispositions de ladite loi et de ses arrêtés d'exécution par les opérateurs de services essentiels, identifiés en vertu de la loi susmentionnée, pour ce qui concerne les éléments d'une installation nucléaire destinée à la production industrielle d'électricité et qui servent au transport de l'électricité.

Le Roi fixe les modalités pratiques des inspections, après avis de l'Agence.".

CHAPITRE 3. - Modifications de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges

Article 87. L'article 1er/1 de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges, inséré par la loi du 10 juillet 2012, est complété par un alinéa rédigé comme suit :

"La présente loi transpose partiellement la Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union.".

Article 88. Dans l'article 14, § 1er, alinéa 1er, de la même loi, modifié par les lois du 13 décembre 2010, 10 juillet 2012, 27 mars 2014, 18 avril 2017, 5 mai 2017 et 31 juillet 2017, les modifications suivantes sont apportées :

1° à l'alinéa 1er, les mots ", en ce qui concerne le secteur des infrastructures numériques au sens de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, en ce qui concerne les secteurs des communications électroniques et des infrastructures numériques au sens de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques," sont insérés entre les mots "équipement hertzien" et les mots "et en ce qui concerne" ;

2° le 3° est remplacé par ce qui suit :

"3° le contrôle du respect des normes suivantes et de leurs arrêtés d'exécution :

Pour l'application de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, l'Institut est désigné comme autorité sectorielle et service d'inspection pour le secteur des infrastructures numériques. Le Roi peut fixer les modalités pratiques des inspections pour ce secteur, après avis de l'Institut.".

Article 89. Dans l'article 24, alinéa 1er, de la même loi, modifié par les lois du 27 mars 2014 et du 26 janvier 2018, les mots ", ainsi qu' à la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques, pour ce qui concerne le secteur des communications électroniques et le secteur des infrastructures numériques, et à la loi 7 april 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, pour ce qui concerne le secteur des infrastructures numériques," sont insérés entre les mots "dans la région bilingue de Bruxelles-Capitale" et les mots "et à leurs arrêtés d'exécution".

CHAPITRE 4. - Modifications de la loi du 21 novembre 2017 relative aux infrastructures des marchés d'instruments financiers et portant transposition de la Directive 2014/65/UE

Article 90. L'article 71 de la loi du 21 novembre 2017 relative aux infrastructures des marchés d'instruments financiers et portant transposition de la Directive 2014/65/UE est complété par les mots "et du titre 2 de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique. Pour l'exécution des missions précitées concernant la loi du 7 avril 2019, la FSMA peut néanmoins charger un prestataire externe spécialisé de l'exécution de tâches déterminées de contrôle ou obtenir l'assistance d'un tel prestataire. ".

Article 91. L'article 79 de la même loi est complété par un paragraphe 4, rédigé comme suit :

" § 4. En cas de violation des dispositions applicables de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, la FSMA peut infliger les sanctions administratives prévues par l'article 52 de ladite loi.".

CHAPITRE 5. - Modification de la loi du 2 août 2002 relative à la surveillance du secteur financier et aux services financiers

Article 92. L'article 75, § 1er, 15°, de la loi du 2 août 2002 relative à la surveillance du secteur financier et aux services financiers, abrogé par la loi du 5 décembre 2017 portant des dispositions financières diverses, est rétabli dans la rédaction suivante :

"15° dans les limites du droit de l'Union européenne, les autorités visées à l'article 7 de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique pour les besoins de l'exécution des dispositions de cette loi et de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques ;".

CHAPITRE 5. - Modification de la loi du 2 août 2002 relative à la surveillance du secteur financier et aux services financiers

Article 93. L'article 36/1 de la loi du 22 février 1998 fixant le statut organique de la Banque Nationale de Belgique, inséré par l'arrêté royal du 3 mars 2011, est complété par le 28° rédigé comme suit :

"28° "la loi du 7 avril 2019" : la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique.".

Article 94. A l'article 36/14, § 1er, de la même loi, modifié en dernier lieu par la loi du 30 juillet 2018, les modifications suivantes sont apportées :

1° dans le 20° les mots "à l'autorité visée à l'article 7, § 1er, de la loi du 7 avril 2019"; sont insérés entre les mots "l'analyse de la menace" et "et aux service de police" ;

2° le paragraphe est complété par le 24° rédigé comme suit :

"24° dans les limites du droit de l'Union européenne, aux autorités visées à l'article 7 de la loi du 7 avril 2019 pour les besoins de l'exécution des dispositions de la loi du 7 avril 2019 et de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques.".

Article 95. Dans la même loi, il est inséré un chapitre IV/4, comportant l'article 36/47 rédigé comme suit :

"Chapitre IV/4. Surveillance par la Banque dans le cadre de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique.

Art. 36 /47. "Pour l'application de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, la Banque est désignée comme autorité sectorielle et service d'inspection pour les opérateurs du secteur des finances, à l'exception des opérateurs de plate-forme de négociation au sens de l'article 3, 6°, de la loi du 21 novembre 2017 relative aux infrastructures des marchés d'instruments financiers et portant transposition de la Directive 2014/65/UE.

Les articles 36/19 et 36/20 sont applicables.

La Commission des sanctions statue sur l'imposition des amendes administratives prévues à l'article 52 de la loi précitée du 7 avril 2019. Les articles 36/8 à 36/12/3 et l'article 36/21 sont applicables.

La Banque partage avec la BCE le plus vite possible les informations pertinentes sur les notifications d'incident qu'elle reçoit en vertu de la loi du 7 avril 2019.".

CHAPITRE 7. - Entrée en vigueur

Article 96. La présente loi entre en vigueur le jour de sa publication au Moniteur belge.

ANNEXES.

Article N1. Annexe 1 à la loi du 7 avril 2019 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique

Types d'opérateurs de services essentiels visés à l'article 11, § 1er

Secteur	Sous-secteur	Type d'entités
1. Energie	a) Electricité	Entreprises d'électricité au sens de l'article 2, 15° ter de la loi du 29 avril 1999 relative à l'organisation du marché de l'électricité.
		Gestionnaires de réseau de distribution au sens de l'article 2, 11° de la loi du 29 avril 1999 relative à l'organisation du marché de l'électricité.
		Gestionnaires de réseau au sens de l'article 2, 8° de la loi du 29 avril 1999 relative à l'organisation du marché de l'électricité.
	b) Pétrole	Exploitants d'oléoducs.
		Exploitants d'installations de production, de raffinage, de traitement, de stockage et de transport de pétrole.
	c) Gaz	Entreprises de gaz naturel au sens de l'article 1, 5° bis de la loi du 12 avril 1965 relative au transport de produits gazeux et autres par canalisations.
		Gestionnaires de réseau de distribution au sens de l'article 1, 13° de la loi du 12 avril 1965 relative au transport de produits gazeux et autres par canalisations.
		Gestionnaires du réseau de transport de gaz naturel au sens de l'article 1, 31° de la loi du 12 avril 1965 relative au transport de produits gazeux et autres par canalisations.
		Gestionnaires de stockage au sens de l'article 1, 33° de la loi du 12 avril 1965 relative au transport de produits gazeux et autres par canalisations.
		Gestionnaires d'installation de GNL au sens de l'article 1, 35° de la loi du 12 avril 1965 relative au transport de produits gazeux et autres par canalisations.
		Exploitants d'installations de raffinage et de traitement de gaz naturel.
2. Transports	a) Transport aérien	Transporteurs aériens au sens de l'article 3, point 4), du règlement (CE) n° 300/2008 du Parlement européen et du Conseil du 11 mars 2008 relatif à l'instauration de règles communes dans le domaine de la sûreté de l'aviation civile et abrogeant le règlement (CE) n° 2320/2002.
		Entités gestionnaires d'aéroports au sens de l'article 2, point 2), de l'AR du 6 novembre 2010 réglementant l'accès au marché de l'assistance en escale à l'aéroport de Bruxelles-National, aéroports au sens de l'article 2, point 1), de la directive 2009/12/CE du Parlement européen et du Conseil, y compris les aéroports du réseau central énumérés à l'annexe II, section 2, du règlement (UE) n° 1315/2013 du Parlement européen et du Conseil, et entités exploitant les installations annexes se trouvant dans les aéroports.
		Services de navigation aérienne au sens de l'article 2, point 4), du règlement (CE) n° 549/2004 du Parlement européen et du Conseil du 10 mars 2004 fixant le cadre pour la réalisation du ciel unique européen (" règlement-cadre ").
		Le gestionnaire de réseau au sens de l'article 2, point 22), du règlement (UE) n° 677/2011 de la Commission du 7 juillet 2011 établissant les modalités d'exécution des fonctions de réseau de la gestion du trafic aérien et modifiant le règlement (UE) n° 691/2010.
	b) Transport ferroviaire	Gestionnaires de l'infrastructure au sens de l'article 3, 29° du Code ferroviaire.
		Entreprises ferroviaires au sens de l'article 3, 27° du Code ferroviaire.
	c) Transport par voie d'eau	Sociétés de transport terrestre, maritime et côtier de passagers et de fret au sens de l'annexe I du règlement (CE) n° 725/2004 du Parlement européen et du Conseil, à l'exclusion des navires exploités à titre individuel par ces sociétés.
		Entités gestionnaires des ports au sens de l'article 5 point 7) de la loi du 5 février 2007 relative à la sûreté maritime, y compris les installations portuaires au sens de l'article 2, point 11), du règlement (CE) n° 725/2004, ainsi que les entités exploitant des ateliers et des équipements à l'intérieur des ports.
		Exploitants de services de trafic maritime (STM) au sens de l'article 1er, point 12), de l'AR du 17 septembre 2005 transposant la directive 2002/59/CE du 27 juin 2002.
	d) Transport routier	Autorités routières au sens de l'article 2, point 12), du règlement délégué (UE) 2015/962 de la Commission du 18 décembre 2014 complétant la directive 2010/40/UE du Parlement européen et du Conseil en ce qui concerne la mise à disposition, dans l'ensemble de l'Union, de services d'informations en temps réel sur la circulation, chargées du contrôle de gestion du trafic.
		Exploitants de systèmes de transport intelligents au sens de l'article 3, point 1), de la loi du 17 août 2013 portant création du cadre pour le déploiement de systèmes de transport intelligents et modifiant la loi du 10 avril 1990 réglementant la sécurité privée et particulière (dénommée : " loi-cadre STI ").
3. Finances	a) Etablissements financiers	Etablissements de crédit au sens de l'article 4, point 1), du règlement (UE) n° 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement et modifiant le règlement (UE) n° 648/2012.
		Contreparties centrales au sens de l'article 2, point 1), du règlement (UE) n° 648/2012 du Parlement européen et du Conseil du 4 juillet 2012 sur les produits dérivés de gré à gré, les contreparties centrales et les référentiels centraux.
		Etablissements financiers (autres que les établissements de crédit et les contreparties centrales) soumis au contrôle de la Banque nationale de Belgique, en vertu des articles 8 et 12bis de la loi du 22 février 1998 fixant le statut organique de la Banque nationale de Belgique.
	b) Plates-formes de négociation financière	Opérateurs de plate-forme de négociation au sens de l'article 3, 6° de la loi du 21 novembre 2017 relative aux infrastructures des marchés d'instruments financiers et portant transposition de la Directive 2014/65/UE.
4. Santé	Etablissements de soins de santé (y compris les hôpitaux et les cliniques privées)	Prestataires de soins de santé au sens de l'article 3, point g), de la directive 2011/24/UE du Parlement européen et du Conseil du 9 mars 2011 relative à l'application des droits des patients en matière de soins de santé transfrontaliers.
5. Eau potable		Fournisseurs et distributeurs d'eaux destinées à la consommation humaine au sens de l'article 2, point 1) a), de la directive 98/83/CE du Conseil du 3 novembre 1998 relative à la qualité des eaux destinées à la consommation humaine, à l'exclusion des distributeurs pour lesquels la distribution d'eaux destinées à la consommation humaine ne constitue qu'une partie de leur activité générale de distribution d'autres produits et biens qui ne sont pas considérés comme des services essentiels.
6.Infrastructures numériques		IXP.
		Fournisseurs de services DNS.
		Registres de noms de domaines de haut niveau.

Article N2. Annexe 2 à la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique

Types de services numériques

Article 62/1. [¹ § 1er. Sans préjudice de l'application de la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé, toute personne physique ou morale peut signaler au CSIRT national l'existence d'une potentielle vulnérabilité au sens de l'article 6, 34°.

De même, cette disposition est sans préjudice des dispositions légales sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur public.

Le signalement est effectué par écrit, selon la procédure détaillée sur le site internet du CSIRT national.

§ 2. Tout en respectant les conditions énumérées à l'article 62, le CSIRT national peut observer, étudier ou tester la sécurité d'un réseau et système d'information afin de déterminer l'existence d'une vulnérabilité potentielle ou de vérifier les méthodes utilisées par l'auteur de signalement. Lorsqu'il s'agit d'un opérateur de services essentiels ou d'un fournisseur de service numérique, le CSIRT national informe l'autorité sectorielle compétente qu'il envisage de prendre des mesures sur cette base, ainsi que des résultats qui en découlent.

§ 3. Le CSIRT national préserve l'exhaustivité, l'intégrité, le stockage durable et la confidentialité des informations transmises au travers du signalement, ainsi que de l'identité de la personne à l'origine de la transmission pour autant que cette personne le demande et respecte les conditions visées à l'article 62/2.

L'accès à ces informations est limité aux personnes habilités par le directeur du CSIRT national, sauf lorsque le partage de ces informations s'avère nécessaire à l'exécution des tâches énumérées à l'article 60.

§ 4. Le directeur du CSIRT national veille, par l'adoption de procédures internes, au respect des conditions visées au présent article.]¹

---

(1)2022-11-28/02, art. 49, 004; En vigueur : 15-02-2023>

Article 62/2. [¹ § 1er. Dans le cadre de la procédure visée à l'article 62/1, les auteurs de signalement ne commettent pas d'infraction pour les faits nécessaires au signalement, à condition:

1° qu'ils aient agi sans intention frauduleuse, ni dessein de nuire;

2° qu'ils aient informé l'organisation responsable du système, du processus ou du contrôle, dans les meilleurs délais et au moins au plus tard au moment du signalement au CSIRT national, de la découverte d'une potentielle vulnérabilité;

3° qu'ils n'aient pas agi au-delà de ce qui était nécessaire et proportionné pour vérifier l'existence d'une vulnérabilité;

4° qu'ils n'aient pas publiquement divulgué les informations relatives à la vulnérabilité découverte, sans l'accord du CSIRT national.

§ 2. Lorsque des personnes signalent des informations sur une potentielle vulnérabilité dont ils ont eu connaissance dans leur contexte professionnel, elles ne sont pas considérées comme ayant enfreint leur obligation de secret professionnel et n'encourent aucune responsabilité d'aucune sorte concernant la transmission d'informations nécessaires pour signaler une potentielle vulnérabilité au CSIRT national.

§ 3. Toute autre responsabilité éventuelle des auteurs de signalement découlant d'actes ou d'omissions qui ne sont pas nécessaires à l'accomplissement de la procédure visée à l'article 62/1 et ne respectent pas les conditions du paragraphe 1er continue d'être régie par le droit applicable.]¹

---

(1)2022-11-28/02, art. 50, 004; En vigueur : 15-02-2023>

CHAPITRE 2. - Le CSIRT sectoriel

TITRE 6. - Traitement des données à caractère personnel

CHAPITRE 1er. - Principes relatifs au traitement, base légale et finalités

CHAPITRE 4. - Limitation des droits des personnes concernées

TITRE 7. - Dispositions finales

CHAPITRE 1er. - Modifications de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques

CHAPITRE 2. - Modifications de la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire

CHAPITRE 3. - Modifications de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges

CHAPITRE 4. - Modifications de la loi du 21 novembre 2017 relative aux infrastructures des marchés d'instruments financiers et portant transposition de la Directive 2014/65/UE

CHAPITRE 6. - Modifications de la loi du 22 février 1998 fixant le statut organique de la Banque Nationale de Belgique

CHAPITRE 7. - Entrée en vigueur

ANNEXES.