20 JUILLET 2022. - Loi relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité(NOTE : Consultation des versions antérieures à partir du 05-08-2022 et mise à jour au 19-01-2026)

Article 43. Dans l'article 36/14, § 1er, de la loi du 22 février 1998 fixant le statut organique de la Banque Nationale de Belgique, inséré par l'arrêté royal du 3 mars 2011 et modifié en dernier lieu par la loi du 11 juillet 2021, il est inséré un 20°/2 rédigé comme suit :

" 20°/2 dans les limites du droit de l'Union européenne, à l'autorité visée à l'article 5, § 1er, de la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité, ou aux autorités désignées par le Roi en vertu de l'article 5, § 2, de la même loi; ".

Article 44. Dans le chapitre IV/4 de la même loi, inséré par la loi du 7 avril 2019 et modifié par la loi du 11 juillet 2021, il est inséré un article 36/48/1 rédigé comme suit: :

" Art. 36/48/1. A la demande de la Banque et en fonction de l'objet du schéma de certification de cybersécurité concerné, le Roi peut, à condition qu'elle dispose de l'expertise requise à ces fins, confier à la Banque, par arrêté délibéré en Conseil des ministres, en tout ou en partie, les missions visées aux chapitres 5 et 6, à l'exception des articles 21 et 22, de la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité. Dans cette hypothèse, le Roi sollicite l'avis et se concerte au préalable avec l'autorité visée à l'article 5, § 1er, de la loi précitée et la Banque. La Banque exerce ces missions de contrôle uniquement vis-à-vis des entités sur lesquelles elle exerce le contrôle en vertu des articles 8 et 12bis et des lois particulières qui régissent le contrôle des établissements financiers. ".

Section 4. - Modifications du Code de droit économique

Article 45. L'article I.20 du Code de droit économique, inséré par la loi du 17 juillet 2013 et modifié en dernier lieu par la loi du 8 mai 2022, est complété par un 12° rédigé comme suit: :

" 12° Règlement sur la cybersécurité: règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l'ENISA (Agence de l'Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l'information et des communications, et abrogeant le règlement (UE) n° 526/2013. "

Article 46. Dans le livre XV, titre 1er, chapitre 2, du même Code, inséré par la loi du 20 novembre 2013, il est inséré une section 10 intitulée " Section 10. Certification de cybersécurité ".

Article 47. Dans la section 10, insérée par l'article 46, il est inséré une sous-section 1re intitulée " Sous-section 1re. Certification de cybersécurité volontaire ".

Article 48. Dans la sous-section 1re, insérée par l'article 47, il est inséré un article XV.30/3, rédigé comme suit:

" Art. XV.30/3. En matière de certification de cybersécurité volontaire, le Roi peut, par arrêté délibéré en Conseil des ministres, confier certaines missions visées aux chapitres 5 et 6, à l'exception des articles 21 et 22, de la loi du 20 juillet 2022 relative à la certification de la cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité, à certains agents du SPF Economie, à condition que le SPF Economie dispose de l'expertise requise à ces fins. Dans cette hypothèse, le Roi sollicite l'avis et se concerte au préalable avec l'autorité visée à l'article 5, § 1er, de la loi précitée. Le SPF Economie exerce ces missions de contrôle uniquement sur les produits ou entités réglementés par le présent Code, ses arrêtés d'exécution ou les règlements de l'Union européenne relatifs aux matières qui, conformément aux livres VI, VII, IX et XII du présent Code, relèvent du pouvoir réglementaire du Roi. ".

Article 49. Dans la section 10, insérée par l'article 46, il est inséré une sous-section 2 intitulée " Sous-section 2. Certification de cybersécurité obligatoire ".

Article 50. Dans la sous-section 2, insérée par l'article 49, il est inséré un article XV.30/4, rédigé comme suit:

" Art. XV.30/4. § 1er. En matière de certification européenne de cybersécurité rendue obligatoire en vertu du droit de l'Union ou du droit national, après avis de l'autorité nationale de certification de cybersécurité, le Roi peut, par arrêté délibéré en Conseil des ministres, confier certaines missions en matière de contrôle relatives au règlement sur la cybersécurité ou relatives à la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité, à certains agents du SPF Economie, à condition que ce dernier dispose de l'expertise requise à ces fins.

§ 2. Les missions en matière de contrôle visées au paragraphe 1er, y compris la recherche, la constatation, la poursuite et la sanction des infractions, s'effectuent conformément aux dispositions du présent livre. ".

Article 51. Dans le livre XV, titre 3, chapitre 2, section 11/3, du même Code, insérée par la loi du 18 avril 2017, sont insérés les articles XV.125/4/1 et XV.125/4/2, rédigés comme suit: :

" Art. XV.125/4/1. Dans le cadre de la surveillance visée à l'article XV.30/4, sont punis d'une sanction de niveau 2 :

1° le titulaire d'un certificat de cybersécurité rendu obligatoire en vertu du droit de l'Union ou du droit national attestant du niveau d'assurance dit " élémentaire " qui ne se conforme pas aux obligations émanant du schéma de certification de cybersécurité correspondant;

2° quiconque ne coopère pas lors d'un contrôle en refusant de communiquer les informations qui lui sont demandées à l'occasion de ce contrôle ou ne coopère pas lors d'un contrôle de toute autre manière.

Article XV.125/4/2. Dans le cadre de la surveillance visée à l'article XV.30/4, sont punis d'une sanction de niveau 3 :

1° le titulaire d'un certificat de cybersécurité rendu obligatoire en vertu du droit de l'Union ou du droit national attestant du niveau d'assurance dit " substantiel " ou " élevé " qui ne se conforme pas aux obligations émanant du schéma de certification de cybersécurité correspondant;

2° quiconque communique sciemment des informations inexactes ou incomplètes ou se rend coupable de tout autre acte ou omission frauduleuse dans le cadre de l'exécution du Règlement sur la cybersécurité. ".

CHAPITRE 10. - Entrée en vigueur

Article 52. La présente loi entre en vigueur le jour de sa publication au Moniteur belge.