26 AVRIL 2024. - Loi établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique(NOTE : Consultation des versions antérieures à partir du 17-05-2024 et mise à jour au 19-01-2026)

TITRE 1er. - Définitions et dispositions générales

CHAPITRE 1er. - Objet et champ d'application

Section 1re. - Objet

Article 1er. La présente loi règle une matière visée à l'article 74 de la Constitution.

Article 2. La présente loi vise notamment à transposer la directive européenne (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148. Cette directive est dénommée ci-après la "directive NIS2".

Section 2. - Champ d'application

Article 3. § 1er. Dans les limites de l'article 4 et sans préjudice de l'article 6, la présente loi s'applique aux entités publiques ou privées d'un type visé à l'annexe I ou II et qui constituent:

1° une entreprise moyenne en vertu de l'article 2 de l'annexe de la recommandation n° 2003/361/CE; ou

2° une entreprise qui dépasse les plafonds prévus au paragraphe 1er du même article de cette annexe.

L'article 3, § 4, de l'annexe de la recommandation n° 2003/361/CE ne s'applique pas aux fins de la présente loi.

§ 2. Dans le cadre de l'application de l'article 6, paragraphe 2, de l'annexe de la recommandation n° 2003/361/CE, l'autorité nationale de cybersécurité tient compte du degré d'indépendance dont jouit une entité à l'égard de ses partenaires et de ses entreprises liées, en particulier en ce qui concerne les réseaux et les systèmes d'information qu'elle utilise pour fournir ses services et en ce qui concerne les services qu'elle fournit.

Sur base de l'alinéa 1er, l'autorité nationale de cybersécurité considère qu'une telle entité ne constitue pas une entreprise moyenne en vertu de l'article 2 de l'annexe de la recommandation n° 2003/361/CE, ou ne dépasse pas les plafonds applicables à une entreprise moyenne prévus au paragraphe 1 dudit article, si, après prise en compte du degré d'indépendance de ladite entité, celle-ci n'aurait pas été considérée comme constituant une entreprise moyenne ou dépassant lesdits plafonds si seules ses propres données avaient été prises en compte.

Le Roi peut déterminer les critères sur base desquels le degré d'indépendance dont jouit une entité à l'égard de ses partenaires et de ses entreprises liées est évalué.

§ 3. Sans préjudice de l'article 6, la présente loi s'applique également aux entités d'un type visé à l'annexe I ou II, quelle que soit leur taille, dans un des cas suivants:

1° les services sont fournis par:

2° l'entité est identifiée comme une entité essentielle ou importante conformément au chapitre 4 du présent titre;

3° l'entité est une entité de l'administration publique:

§ 4. Sans préjudice de l'article 6, quelle que soit leur taille, la présente loi s'applique aux entités identifiées comme [¹ entités critiques au sens de la loi du 19 décembre 2025 relative à la résilience des entités critiques ]¹.

§ 5. Quelle que soit leur taille, la présente loi s'applique aux entités fournissant des services d'enregistrement de noms de domaine.

§ 6. Après consultation des éventuelles autorités sectorielles concernées et de l'autorité nationale de cybersécurité, le Roi peut, par arrêté délibéré en Conseil des ministres, ajouter d'autres secteurs et/ou sous-secteurs à l'annexe I ou II ou élargir les secteurs et/ou sous-secteurs existants.

---

(1)2025-12-19/94, art. 65, 002; En vigueur : 19-01-2026>

Article 4. § 1er. La présente loi s'applique aux entités visées à l'article 3 qui sont établies en Belgique et qui fournissent leurs services ou exercent leurs activités au sein de l'Union européenne.

§ 2. Par exception au paragraphe 1er, la présente loi s'applique:

1° aux fournisseurs de réseaux de communications électroniques publics ou aux fournisseurs de services de communications électroniques accessibles au public, lorsqu'ils fournissent ces services en Belgique;

2° aux fournisseurs de services DNS, registres de noms de domaine de premier niveau, entités fournissant des services d'enregistrement de noms de domaine, fournisseurs de services d'informatique en nuage, fournisseurs de services de centres de données, fournisseurs de réseaux de diffusion de contenu, fournisseurs de services gérés, fournisseurs de services de sécurité gérés, ainsi qu'aux fournisseurs de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux, lorsqu'ils ont leur établissement principal en Belgique, conformément aux paragraphes 4 et 5.

§ 3. Si une entité visée au paragraphe 2, 2°, n'est pas établie dans l'Union européenne mais y fournit des services, elle désigne un représentant dans l'Union. Le représentant est établi dans l'un des Etats membres où les services sont fournis.

§ 4. Pour l'application de la présente loi, les entités visées au paragraphe 2, 2°, ont leur établissement principal en Belgique lorsqu'elles y prennent principalement les décisions liées aux mesures de gestion des risques de cybersécurité.

Si l'endroit où ces décisions sont prises ne peut être déterminé ou ne se trouve pas dans l'Union européenne, les entités visées au paragraphe 2, 2°, sont réputées avoir leur établissement principal en Belgique lorsqu'elles y conduisent leurs opérations de cybersécurité.

Si l'endroit où sont conduites ces opérations ne peut être déterminé, les entités visées au paragraphe 2, 2°, sont réputées avoir leur établissement principal en Belgique lorsque s'y trouve leur établissement avec le plus grand nombre d'employés.

§ 5. Les entités visées au paragraphe 2, 2°, sont réputées avoir leur établissement principal en Belgique, pour l'application de la présente loi, lorsqu'elles ne sont pas établies dans l'Union européenne mais qu'elles fournissent leurs services dans l'Union et que leur représentant dans l'Union européenne est établi en Belgique.

§ 6. La désignation d'un représentant par une entité visée au paragraphe 2, 2°, est sans préjudice d'actions en justice qui pourraient être intentées contre l'entité elle-même.

Article 5. § 1er. La présente loi ne porte pas préjudice à l'application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ni aux dispositions légales et réglementaires qui complètent ou précisent ledit règlement ni à la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

§ 2. La présente loi est sans préjudice de la loi du 11 décembre 1998 relative à la classification, aux habilitations de sécurité, attestations de sécurité, avis de sécurité et au service public réglementé et ne s'applique pas aux systèmes de communication et d'information approuvés pour utiliser des informations classifiées sous forme électronique conformément à la loi précitée.

§ 3. La présente loi est sans préjudice des règles applicables aux documents nucléaires, au sens de la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire.

§ 4. Sous réserve des articles 8 et 38 ainsi que du titre 2, la présente loi ne s'applique pas:

1° aux services de renseignement et de sécurité visés à l'article 2 de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité;

2° à l'Organe de coordination pour l'analyse de la menace créé par l'article 5 de la loi du 10 juillet 2006 relative à l'analyse de la menace;

3° au Ministère de la Défense visé à l'article 1er de l'arrêté royal du 2 décembre 2018 déterminant la structure générale du Ministère de la Défense et fixant les attributions de certaines autorités;

4° aux services de police et à l'inspection générale visés à l'article 2, 2° et 3°, de la loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux;

5° aux autorités judiciaires, entendues comme les organes du pouvoir judiciaire, le ministère public inclus;

6° au Service public fédéral Justice créé par l'arrêté royal du 23 mai 2001 portant création du Service Public Fédéral Justice, lorsqu'il gère des banques de données pour les autorités judiciaires visés au 5°;

7° aux réseaux et systèmes d'information des missions diplomatiques et consulaires belges dans des pays tiers à l'Union européenne;

8° aux établissements de classe I au sens de l'article 3.1 de l'arrêté royal du 20 juillet 2001 portant règlement général de la protection de la population, des travailleurs et de l'environnement contre le danger des rayonnements ionisants.

Par dérogation à l'alinéa 1er, 8°, la présente loi est applicable aux éléments d'une installation nucléaire destinée à la production industrielle d'électricité et qui servent au transport de l'électricité.

§ 5. Les dispositions du titre 3, du titre 4 et du titre 5 ne s'appliquent pas:

1° au NCCN;

2° à l'autorité nationale de cybersécurité visée à l'article 16.

§ 6. Les paragraphes 4 et 5 ne s'appliquent pas lorsqu'une de ces entités agit en tant que prestataire de services de confiance.

Article 6. § 1er. Lorsqu'un instrument juridique sectoriel de l'Union européenne impose aux entités qui entrent dans le champ d'application de la présente loi d'adopter des mesures de gestion des risques en matière de cybersécurité ou de notifier des incidents significatifs et lorsque ces exigences ont un effet au moins équivalent à celui des obligations prévues par la présente loi, les dispositions pertinentes de la présente loi ne sont pas applicables à ces entités.

Lorsqu'un instrument juridique sectoriel de l'Union européenne visé à l'alinéa 1er ne couvre pas l'ensemble des entités d'un secteur spécifique entrant dans le champ d'application de la présente loi, les dispositions pertinentes de la présente loi s'appliquent aux entités non couvertes par cet instrument juridique sectoriel de l'Union européenne.

§ 2. Les exigences visées au paragraphe 1er, alinéa 1er, sont considérées comme ayant un effet équivalent aux obligations de la présente loi lorsque:

1° les mesures de gestion des risques en matière de cybersécurité ont un effet au moins équivalent à celui des mesures visées à l'article 30; ou

2° l'instrument juridique sectoriel de l'Union européenne prévoit un accès immédiat, s'il y a lieu automatique et direct, aux notifications d'incidents pour le CSIRT national et lorsque les exigences relatives à la notification des incidents significatifs sont au moins équivalentes aux obligations visées aux articles 34 à 37.

§ 3. Les dispositions des titres 3 à 5 ne s'appliquent pas aux entités relevant des secteurs bancaire et infrastructures des marchés financiers au sens de l'annexe I qui tombent dans le champ d'application du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) n° 2016/1011, en ce compris l'activité de dépositaire central de titres exercée par la Banque Nationale de Belgique.

§ 4. Les dispositions du titre 3, chapitre 1er, du titre 4 et du titre 5 ne s'appliquent pas:

1° à la Banque Nationale de Belgique, exception faite de son activité de dépositaire central de titres à laquelle s'applique le paragraphe 3;

2° aux établissements financiers soumis à la supervision de la Banque Nationale de Belgique en vertu des articles 8 et 12bis de la loi du 22 février 1998 fixant le statut organique de la Banque Nationale de Belgique qui ne relèvent pas du paragraphe 3.

Article 7. Le Roi peut, par arrêté délibéré en Conseil des ministres:

1° préciser les instruments juridiques sectoriels équivalents visés à l'article 6, § 1er, alinéa 1er;

2° définir des règles particulières relatives à la coordination de l'échange d'informations, en ce compris des exigences relatives à la notification des incidents significatifs, entre les entités visées à l'article 6, § § 3 et 4, l'autorité sectorielle concernée, l'autorité nationale de cybersécurité et l'autorité chargée de la gestion des risques cyber.

CHAPITRE 2. - Définitions

Article 8. Pour l'application de la présente loi, il faut entendre par:

1° "réseau et système d'information":

2° "sécurité des réseaux et des systèmes d'information": la capacité des réseaux et des systèmes d'information de résister, à un niveau de confiance donné, à tout événement susceptible de compromettre la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données stockées, transmises ou faisant l'objet d'un traitement, ou des services que ces réseaux et systèmes d'information offrent ou rendent accessibles;

3° "cybersécurité": la cybersécurité au sens de l'article 2, 1), du règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l'ENISA (Agence de l'Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l'information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité), ci-après le "règlement sur la cybersécurité";

4° "stratégie nationale en matière de cybersécurité": le cadre cohérent fournissant des objectifs et des priorités stratégiques dans le domaine de la cybersécurité et de la gouvernance en vue de les réaliser en Belgique;

5° "incident": un événement compromettant la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données stockées, transmises ou faisant l'objet d'un traitement, ou des services que les réseaux et systèmes d'information offrent ou rendent accessibles;

6° "incident évité": un événement qui aurait pu compromettre la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données stockées, transmises ou faisant l'objet d'un traitement, ou des services que les réseaux et systèmes d'information offrent ou rendent accessibles, mais dont la réalisation a pu être empêchée ou ne s'est pas produite;

7° "incident de cybersécurité majeur": un incident qui provoque des perturbations dépassant les capacités de réaction du seul Etat membre de l'Union européenne concerné ou qui a un impact significatif sur au moins deux Etats membres de l'Union européenne;

8° "traitement des incidents": toutes les actions et procédures visant à prévenir, détecter, analyser et contenir un incident ou à y répondre et à y remédier;

9° "risque": le potentiel de perte ou de perturbation à la suite d'un incident, à exprimer comme la combinaison de l'ampleur d'une telle perte ou d'une telle perturbation et de la probabilité qu'un tel incident se produise;

10° "cybermenace": une cybermenace visée à l'article 2, point 8), du règlement sur la cybersécurité;

11° "cybermenace importante": une cybermenace qui, compte tenu de ses caractéristiques techniques, peut être considérée comme susceptible d'avoir un impact grave sur les réseaux et les systèmes d'information d'une entité ou les utilisateurs des services de l'entité, en causant un dommage matériel, corporel ou moral considérable;

12° "produit TIC": un produit TIC au sens de l'article 2, 12), du règlement sur la cybersécurité;

13° "service TIC": un service TIC au sens de l'article 2, 13), du règlement sur la cybersécurité;

14° "processus TIC": un processus TIC au sens de l'article 2, 14), du règlement sur la cybersécurité;

15° "vulnérabilité": une faiblesse, susceptibilité ou faille de produits TIC ou de services TIC qui peut être exploitée par une cybermenace;

16° "norme": une norme au sens de l'article 2, 1), du règlement (UE) n° 1025/2012 du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision n° 1673/2006/CE du Parlement européen et du Conseil ci-après le "règlement (UE) n°1025/2012";

17° "point d'échange internet": une structure de réseau qui permet l'interconnexion de plus de deux réseaux indépendants (systèmes autonomes), essentiellement aux fins de faciliter l'échange de trafic internet, qui n'assure l'interconnexion que pour des systèmes autonomes et qui n'exige pas que le trafic internet passant entre une paire quelconque de systèmes autonomes participants transite par un système autonome tiers, pas plus qu'il ne modifie ou n'altère par ailleurs un tel trafic;

18° "système de nom de domaine" ou "DNS": un système hiérarchique et distribué d'affectation de noms qui permet l'identification des services et des ressources internet, ce qui rend possible l'utilisation de services de routage et de connectivité internet par les dispositifs des utilisateurs finaux pour accéder à ces services et ressources;

19° "fournisseur de services DNS": une entité qui fournit:

20° "registre de noms de domaine de premier niveau": une entité à laquelle un domaine de premier niveau spécifique a été délégué et qui est responsable de l'administration du domaine de premier niveau, y compris de l'enregistrement des noms de domaine relevant du domaine de premier niveau et du fonctionnement technique du domaine de premier niveau, notamment l'exploitation de ses serveurs de noms, la maintenance de ses bases de données et la distribution des fichiers de zone du domaine de premier niveau sur les serveurs de noms, que ces opérations soient effectuées par l'entité elle-même ou qu'elles soient sous-traitées, mais à l'exclusion des situations où les noms de domaine de premier niveau sont utilisés par un registre uniquement pour son propre usage;

21° "entité fournissant des services d'enregistrement de noms de domaine": un bureau d'enregistrement ou un agent agissant pour le compte de bureaux d'enregistrement, tel qu'un fournisseur ou revendeur de services d'anonymisation ou d'enregistrement fiduciaire;

22° "service numérique": un service au sens de l'article 1er, paragraphe 1er, point b), de la directive (UE) 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 prévoyant une procédure d'information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l'information;

23° "service de confiance": un service de confiance au sens de l'article 3, 16, du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE, ci-après le "règlement eIDAS";

24° "prestataire de services de confiance": un prestataire de services de confiance au sens de l'article 3, 19, du règlement eIDAS;

25° "service de confiance qualifié": un service de confiance qualifié au sens de l'article 3, 17, du règlement eIDAS;

26° "prestataire de services de confiance qualifiés": un prestataire de services de confiance qualifié au sens de l'article 3, 20, du règlement eIDAS;

27° "place de marché en ligne": une place de marché en ligne au sens de l'article I.8, 41°, du Code de droit économique;

28° "moteur de recherche en ligne": un moteur de recherche en ligne au sens de l'article 2, 5), du règlement (UE) 2019/1150 du Parlement européen et du Conseil du 20 juin 2019 promouvant l'équité et la transparence pour les entreprises utilisatrices de services d'intermédiation en ligne;

29° "service d'informatique en nuage": un service numérique qui permet l'administration à la demande et l'accès large à distance à un ensemble modulable et variable de ressources informatiques pouvant être partagées, y compris lorsque ces ressources sont réparties à différents endroits;

30° "service de centre de données": un service qui englobe les structures, ou groupes de structures, dédiées à l'hébergement, l'interconnexion et l'exploitation centralisées des équipements informatiques et de réseau fournissant des services de stockage, de traitement et de transport des données, ainsi que l'ensemble des installations et infrastructures de distribution d'électricité et de contrôle environnemental;

31° "réseau de diffusion de contenu": un réseau de serveurs géographiquement répartis visant à assurer la haute disponibilité, l'accessibilité ou la fourniture rapide de contenu et de services numériques aux utilisateurs d'internet pour le compte de fournisseurs de contenu et de services;

32° "plateforme de services de réseaux sociaux": une plateforme qui permet aux utilisateurs finaux de se connecter, de partager, de découvrir et de communiquer entre eux sur plusieurs terminaux, notamment par conversations en ligne, publications, vidéos et recommandations;

33° "représentant": une personne physique ou morale établie dans l'Union européenne qui est expressément désignée pour agir pour le compte d'un fournisseur de services DNS, d'un registre de noms de domaine de premier niveau, d'une entité fournissant des services d'enregistrement de noms de domaine, d'un fournisseur d'informatique en nuage, d'un fournisseur de services de centre de données, d'un fournisseur de réseau de diffusion de contenu, d'un fournisseur de services gérés, d'un fournisseur de services de sécurité gérés ou d'un fournisseur de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux non établi dans l'Union européenne, qui peut être contactée par l'autorité nationale de cybersécurité à la place de l'entité elle-même concernant les obligations incombant à ladite entité en vertu de la présente loi;

34° "entité de l'administration publique": une autorité administrative visée à l'article 14, § 1er, alinéa 1er, des lois coordonnées sur le Conseil d'Etat qui satisfait aux critères suivants:

35° "réseau de communications électroniques public": un réseau public de communications électroniques au sens de l'article 2, 10°, de la loi du 13 juin 2005 relative aux communications électroniques;

36° "service de communications électroniques": un service de communications électroniques au sens de l'article 2, 5°, de la loi du 13 juin 2005 relative aux communications électroniques;

37° "entité": une personne physique ou morale constituée et reconnue comme telle en vertu du droit national de son lieu de constitution, et ayant, en son nom propre, la capacité d'être titulaire de droits et d'obligations;

38° "fournisseur de services gérés": une entité qui fournit des services liés à l'installation, à la gestion, à l'exploitation ou à l'entretien de produits, de réseaux, d'infrastructures ou d'applications TIC ou d'autres réseaux et systèmes d'information, par l'intermédiaire d'une assistance ou d'une administration active, soit dans les locaux des clients, soit à distance;

39° "fournisseur de services de sécurité gérés": un fournisseur de services gérés qui effectue ou fournit une assistance pour des activités liées à la gestion des risques en matière de cybersécurité;

40° "organisme de recherche": une entité dont l'objectif premier est de mener des activités de recherche appliquée ou de développement expérimental en vue d'exploiter les résultats de cette recherche à des fins commerciales, à l'exclusion des établissements d'enseignement;

41° "recommandation n° 2003/361/CE": la Recommandation de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises;

42° "loi du 13 juin 2005": la loi du 13 juin 2005 relative aux communications électroniques;

43° [¹ loi du 19 décembre 2025: la loi du 19 décembre 2025 relative à la résilience des entités critiques]¹;

44° "arrêté royal du 18 avril 1988": l'arrêté royal du 18 avril 1988 portant création du Centre gouvernemental de Coordination et de Crise;

45° "autorité nationale de cybersécurité": l'autorité visée à l'article 16;

46° "CSIRT national": le centre national de réponse aux incidents de sécurité informatique;

47° "ENISA": l'Agence de l'Union européenne pour la cybersécurité instituée par le règlement sur la cybersécurité;

48° "NCCN": le Centre institué par l'arrêté royal du 18 avril 1988;

49° "règlement (UE) 2016/679": le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données);

50° "autorité de protection des données": autorité de contrôle au sens de l'article 4, 21°, du règlement (UE) 2016/679;

51° "organisme national d'accréditation": l'organisme visé à l'article 2, point 11, du règlement (CE) n° 765/2008 du Parlement européen et du Conseil du 9 juillet 2008 fixant les prescriptions relatives à l'accréditation et à la surveillance du marché pour la commercialisation des produits et abrogeant le règlement (CEE) n° 339/93 du Conseil, ci-après le "règlement (CE) n° 765/2008";

52° "politique de sécurité des systèmes et réseaux d'information ("P.S.I.")": la politique consignée dans un document visé à l'article 30, reprenant les mesures de sécurité des réseaux et des systèmes d'information, à adopter par une entité essentielle ou importante;

53° "organisme d'évaluation de la conformité": l'organisme visé à l'article 2, point 13, du règlement (CE) n° 765/2008;

54° "autorité sectorielle": l'autorité visée à l'article 15, § 2;

55° "réseau des CSIRT": le réseau des CSIRT nationaux institué par l'article 15 de la directive NIS2;

56° "groupe de coopération": le groupe de coopération établi par l'article 14 de la directive NIS2;

57° "incident significatif": tout incident ayant un impact significatif sur la fourniture de l'un des services fournis dans les secteurs ou sous-secteurs repris à l'annexe I et II de la loi et qui:

1° a causé ou est susceptible de causer une perturbation opérationnelle grave de l'un des services fournis dans les secteurs ou sous-secteurs repris à l'annexe I et II ou des pertes financières pour l'entité concernée; ou

2° a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

58° "crise cyber": tout incident de cybersécurité qui, par sa nature ou ses conséquences:

1° menace les intérêts vitaux du pays ou les besoins essentiels de la population;

2° requiert des décisions urgentes;

3° demande une action coordonnée de plusieurs départements et organisations.

59° "Institut": l'Institut belge des services postaux et des télécommunications tel que visé à l'article 13 de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges.

---

(1)2025-12-19/94, art. 68, 002; En vigueur : 19-01-2026>

CHAPITRE 3. - Catégories d'entités

Article 9. Sont des entités essentielles:

1° les entités d'un type visé à l'annexe I qui excèdent les plafonds applicables aux moyennes entreprises prévus à l'article 2, paragraphe 1er, de l'annexe de la recommandation n° 2003/361/CE;

2° les prestataires de services de confiance qualifiés et les registres de noms de domaines de premier niveau ainsi que les fournisseurs de services DNS, quelle que soit leur taille;

3° les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public qui constituent au moins des moyennes entreprises, en vertu de l'article 2 de l'annexe de la recommandation n° 2003/361/CE;

4° les entités de l'administration publique qui dépendent de l'Etat fédéral;

5° les entités visées à l'article 3, § 4;

6° toute autre entité d'un type visé à l'annexe I ou II qui est identifiée comme entité essentielle conformément à l'article 11.

Article 10. Sont des entités importantes:

1° les entités d'un type visé à l'annexe I ou II qui ne sont pas qualifiées d'entités essentielles sur la base de l'article 9;

2° les entités identifiées comme entités importantes conformément à l'article 11.

CHAPITRE 4. - Identification

Article 11. § 1er. Sans préjudice de l'article 6, d'initiative ou sur proposition de l'éventuelle autorité sectorielle concernée, l'autorité nationale de cybersécurité identifie une entité comme entité essentielle ou importante, quelle que soit sa taille, dans les cas suivants:

1° l'entité est le seul prestataire, en Belgique, d'au moins un service essentiel au maintien d'activités sociétales ou économiques critiques, notamment dans l'un des secteurs ou sous-secteurs repris aux annexes I et II de la loi;

2° une perturbation du service fourni par l'entité pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique;

3° une perturbation du service fourni par l'entité pourrait induire un risque systémique important, en particulier pour les secteurs où une telle interruption pourrait avoir un impact transfrontière;

4° l'entité est critique en raison de son importance spécifique au niveau national ou régional pour le secteur ou le type de service en question, ou pour d'autres secteurs interdépendants, en Belgique.

§ 2. En ce qui concerne les entités qui dépendent des entités fédérées, l'autorité nationale de cybersécurité identifie les administrations publiques qui, à la suite d'une évaluation basée sur les risques, fournissent des services dont la perturbation pourrait avoir un impact important sur des activités sociétales ou économiques critiques.

§ 3. Dans le cadre de l'identification visée aux paragraphe s 1er et 2, l'autorité nationale de cybersécurité soumet préalablement un projet de décision à l'entité concernée et ensuite aux éventuelles entités fédérées concernées et autorités sectorielles, qui rendent un avis non publié endéans les soixante jours.

En l'absence d'un avis rendu dans le délai visé à l'alinéa 1er, il peut être passé outre à l'absence d'avis.

En cas d'avis défavorable d'une autorité sectorielle et si l'autorité nationale de cybersécurité souhaite maintenir son projet de décision, le projet de décision, accompagné de l'avis, est soumis au Comité stratégique du renseignement et de la sécurité, créé par l'arrêté royal du 22 décembre 2020 portant création du Conseil national de sécurité, du Comité stratégique du renseignement et de la sécurité et du Comité de coordination du renseignement et de la sécurité, qui rend un avis contraignant.

§ 4. L'autorité nationale de cybersécurité évalue et, le cas échéant, met à jour l'identification des entités essentielles et importantes au moins tous les deux ans, selon les modalités visées aux paragraphe s 1er à 3.

L'autorité nationale de cybersécurité adresse les identifications et actualisations des entités essentielles au NCCN et à l'éventuelle autorité sectorielle concernée.

L'autorité nationale de cybersécurité adresse les identifications et actualisations des entités importantes à l'éventuelle autorité sectorielle concernée.

§ 5. Dans les cas visés au paragraphe 1er, le Roi peut, par arrêté délibéré en Conseil des ministres, désigner comme entité essentielle ou importante une entité qui ne fait pas partie des secteurs visés en annexe.

Article 12. Dans le cadre de l'identification visée à l'article 11, l'entité concernée transmet toutes les informations utiles à son éventuelle identification, à la demande de l'autorité nationale de cybersécurité ou de l'autorité sectorielle.

CHAPITRE 5. - Enregistrement des entités

Article 13. § 1er. Dans les cinq mois suivant l'entrée en vigueur de la loi ou l'identification visée à l'article 11, les entités essentielles, les entités importantes et les entités fournissant des services d'enregistrement de noms de domaine s'enregistrent auprès de l'autorité nationale de cybersécurité selon les modalités pratiques fixées par cette autorité et lui communiquent les informations suivantes:

1° leur dénomination ainsi que leur numéro d'enregistrement auprès de la Banque-carrefour des entreprises (BCE) ou un enregistrement équivalent dans l'Union européenne;

2° leur adresse et leurs coordonnées actualisées, y compris leur adresse de courrier électronique, leurs plages d'IP et leur numéro de téléphone;

3° le cas échéant, le secteur et le sous-secteur concernés visés à l'annexe I ou II; et

4° le cas échéant, une liste des Etats membres dans lesquels elles fournissent des services relevant du champ d'application de la présente loi.

Le Roi peut compléter cette liste d'informations.

§ 2. Par dérogation au paragraphe 1er, alinéa 1er, lorsque l'entité visée au paragraphe précité communique déjà à l'autorité sectorielle concernée certaines des informations visées au paragraphe précité, en vertu d'une obligation légale, l'entité complète ces informations auprès de cette autorité sectorielle.

L'entité visée au paragraphe 1er, alinéa 1er, communique les informations dans les cinq mois suivant l'entrée en vigueur de la loi, selon les modalités pratiques fixées par l'autorité précitée.

§ 3. Les entités visées au paragraphe 1er, alinéa 1er, communiquent sans tarder toute modification des informations qu'elles ont communiquées conformément au paragraphe 1er, alinéa 1er, et paragraphe 2, alinéa 1er, et, en tout état de cause, dans un délai de deux semaines à compter de la date de la modification.

§ 4. L'autorité sectorielle concernée communique les informations collectées en vertu des paragraphe s 2 et 3 à l'autorité nationale de cybersécurité.

L'autorité nationale de cybersécurité prend les mesures nécessaires pour que les autorités sectorielles puissent consulter, pour les secteurs qui les concernent, les données communiquées.

Article 14. § 1er. Dans les deux mois suivant l'entrée en vigueur de la loi, les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les entités qui fournissent des services d'enregistrement de noms de domaine, les fournisseurs de services d'informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux communiquent à l'autorité nationale de cybersécurité, selon les modalités visées à l'article 13, § 1er, alinéa 1er, au moins les informations suivantes:

1° leur nom;

2° leur secteur, sous-secteur et type d'entité concernés, visés à l'annexe I ou II, le cas échéant;

3° l'adresse de leur établissement principal et de leurs autres établissements légaux dans l'Union ou, s'ils ne sont pas établis dans l'Union, de leur représentant désigné conformément à l'article 4, § 3;

4° leurs coordonnées actualisées, y compris les adresses de courrier électronique et les numéros de téléphone et, le cas échéant, celles de leur représentant désigné conformément à l'article 4, § 3;

5° les Etats membres dans lesquels ils fournissent leurs services relevant du champ d'application de la présente loi; et

6° leurs plages d'IP.

§ 2. Les entités visées au paragraphe 1er notifient à l'autorité nationale de cybersécurité toute modification des informations qu'elles ont communiquées en vertu du paragraphe 1er sans tarder et, en tout état de cause, dans un délai de trois mois à compter de la date de la modification.

§ 3. Par dérogation au paragraphe 1er, les données visées au même paragraphe , relatives aux prestataires de services de confiance qualifiés en Belgique, qui ont déjà été communiquées à l'organe de contrôle visé à l'article 17 du règlement eIDAS sont transmises par cet organe à l'autorité nationale de cybersécurité, selon les modalités fixées par le Roi.

TITRE 2. - Autorités compétentes et coopération au niveau national

CHAPITRE 1er. - Autorités compétentes

Section 1re. - Désignation des autorités compétentes

Article 15. § 1er. Le Roi désigne l'autorité nationale de cybersécurité.

§ 2. Après avis de l'autorité nationale de cybersécurité, le Roi peut, par arrêté délibéré en Conseil des ministres, désigner une autorité sectorielle et, le cas échéant, un service d'inspection sectoriel chargé, pour un secteur ou sous-secteur spécifique, de la supervision de la mise en oeuvre des mesures sectorielles ou sous-sectorielles supplémentaires de gestion des risques en matière de cybersécurité visées à l'article 33.

Dans le cadre de la désignation visée à l'alinéa 1er, le Roi tient compte de l'identité des autorités sectorielles et services d'inspection sectoriels désignées dans le cadre de la [¹ loi du 19 décembre 2025]¹.

Le Roi peut, par arrêté délibéré en Conseil des ministres, créer des autorités sectorielles, composées de représentants de l'Etat fédéral, des Communautés et des Régions, conformément aux modalités prévues à l'article 92ter de la loi spéciale du 8 août 1980 de réformes institutionnelles.

Par dérogation à l'alinéa 1er, la présente loi désigne elle-même les autorités sectorielles et les services d'inspection créés et régis par la loi.

---

(1)2025-12-19/94, art. 69, 002; En vigueur : 19-01-2026>

Section 2. - L'autorité nationale de cybersécurité

Article 16. L'autorité nationale de cybersécurité est chargée du suivi et de la coordination de la mise en oeuvre de la présente loi, de veiller à la mise en oeuvre de la présente loi par les entités essentielles et importantes ainsi que de la gestion des crises cyber et incidents de cybersécurité conformément à l'article 18.

A ce titre, l'autorité nationale de cybersécurité assure les tâches d'autorité compétente pour les entités essentielles et importantes, de CSIRT national, de point de contact national unique pour l'exécution de la présente loi et de représentation de la Belgique au sein du groupe de coopération, du réseau des CSIRT et du réseau européen pour la préparation et la gestion des crises cyber (EU-CyCLONe) visé à l'article 16 de la directive NIS2.

Sous-section 1re. - Tâches relatives au rôle d'autorité compétente chargée de la cybersécurité

Article 17. Les tâches de l'autorité nationale de cybersécurité sont les suivantes:

1° assurer la coordination entre les autorités compétentes dans le cadre de l'application de la présente loi, ainsi qu'entre les différents services et autorités concernés par la cybersécurité en Belgique;

2° superviser, coordonner et veiller à la mise en oeuvre de la stratégie nationale en matière de cybersécurité visée à l'article 28;

3° identifier des entités essentielles et importantes conformément à l'article 11;

4° superviser la mise en oeuvre de la loi par les entités essentielles et importantes conformément au titre 4;

5° assurer la coordination entre les autorités publiques et le secteur privé ou le monde scientifique;

6° formuler des propositions pour l'adaptation du cadre légal et réglementaire en matière de cybersécurité;

7° élaborer, diffuser et veiller à la mise en oeuvre des standards, directives et normes pour la cybersécurité des différents types de systèmes d'information;

8° coordonner la représentation belge aux forums internationaux sur la cybersécurité, le suivi des obligations internationales et la présentation du point de vue national en la matière;

9° servir de point de contact unique exerçant une fonction de liaison visant à assurer, dans le cadre de l'application de la présente loi, la coopération transfrontière des autorités belges avec les autorités compétentes des autres Etats membres de l'Union européenne et, le cas échéant, avec la Commission européenne et l'ENISA, ainsi qu'à garantir la coopération intersectorielle avec les autres autorités compétentes belges;

10° coordonner l'évaluation et la certification de la sécurité des systèmes d'information et de communication;

11° informer et sensibiliser les utilisateurs des systèmes d'information et de communication;

12° accorder des subventions pour des projets et activités relatifs à la cybersécurité, dans les limites de ses crédits budgétaires et selon les conditions établies par le Roi;

13° faciliter et encourager l'organisation de formations en matière de cybersécurité pour les membres du personnel des entités essentielles ou importantes;

14° établir une liste des entités essentielles et importantes ainsi que des entités fournissant des services d'enregistrement de noms de domaine. Par la suite, réexaminer cette liste et, le cas échéant, la mettre à jour régulièrement et au moins tous les deux ans.

Sous-section 2. - Tâches relatives au rôle de gestion des crises cyber

Article 18. Sans préjudice des articles 8 et 9 de la loi du 15 mai 2007 relative à la sécurité civile et de leurs arrêtés d'exécution et sans préjudice des compétences du NCCN, les tâches de l'autorité nationale de cybersécurité relatives au rôle de gestion des crises cyber sont les suivantes:

1° en collaboration avec le NCCN, recenser les capacités, les moyens et les procédures qui peuvent être déployés en cas de crise cyber;

2° superviser, en collaboration avec le NCCN, la rédaction, l'actualisation et l'opérationnalisation du plan national de réaction aux crises cyber et incidents de cybersécurité visé à l'article 29;

3° assurer le rôle de coordinateur dans la gestion des crises cyber et incidents de cybersécurité, le cas échéant conformément au plan visé au 2°.

Sous-section 3. - Tâches et obligations relatives au rôle de CSIRT national

Article 19. § 1er. Les tâches du CSIRT national sont les suivantes:

1° surveiller et analyser les cybermenaces, les vulnérabilités et les incidents au niveau national et, sur demande, apporter une assistance aux entités essentielles et importantes concernées pour surveiller en temps réel ou quasi réel leurs réseaux et systèmes d'information;

2° activer le mécanisme d'alerte précoce, la diffusion de messages d'alerte, les annonces et la diffusion d'informations sur les cybermenaces, les vulnérabilités et les incidents auprès des entités essentielles et importantes concernées ainsi qu'auprès des autorités compétentes et des autres parties prenantes concernées, si possible en temps quasi réel;

3° réagir aux incidents et apporter une assistance aux entités essentielles et importantes concernées, le cas échéant;

4° rassembler et analyser des données forensiques, et assurer une analyse dynamique des risques et incidents et une appréciation de la situation en matière de cybersécurité;

5° réaliser, à la demande d'une entité essentielle ou importante, un scan proactif des réseaux et des systèmes d'information de l'entité concernée afin de détecter les vulnérabilités susceptibles d'avoir un impact important;

6° participer au réseau des CSIRT, coopérer de manière effective, efficace et sécurisée au sein de ce réseau et apporter une assistance mutuelle en fonction de ses capacités et de ses compétences aux autres membres du réseau des CSIRT à leur demande;

7° le cas échéant, agir en qualité de coordinateur aux fins du processus de divulgation coordonnée des vulnérabilités en vertu de l'article 22;

8° contribuer au déploiement d'outils sécurisés de partage d'informations;

9° procéder à un scan proactif et non intrusif des réseaux et systèmes d'information accessibles au public lorsque ce scan est effectué dans le but de détecter les réseaux et systèmes d'information vulnérables ou configurés de façon peu sûre et d'informer les entités concernées et qu'il n'a pas d'effet négatif sur le fonctionnement des services des entités;

10° détecter, observer et analyser des problèmes de sécurité informatique;

11° établir des relations de coopération avec les acteurs concernés du secteur privé, en vue d'atteindre les objectifs de la présente loi;

12° faciliter la coopération visée au 11° en encourageant l'adoption et l'utilisation de pratiques, de systèmes de classification et de taxonomies communs ou normalisés en ce qui concerne:

13° coopérer et, le cas échéant, échanger des informations pertinentes conformément à l'article 27 avec les communautés visées au même article;

14° participer aux évaluations par les pairs organisées conformément à l'article 19 de la directive NIS2.

Après avis du CSIRT national, le Roi peut, par arrêté délibéré en Conseil des ministres, lui confier des tâches supplémentaires.

§ 2. Lorsqu'il exécute les tâches visées au paragraphe 1er, le CSIRT national peut donner la priorité à certaines tâches sur la base d'une approche basée sur les risques.

Article 20. Les obligations du CSIRT national sont les suivantes:

1° disposer d'une infrastructure de communication et d'information adaptée, sécurisée et résiliente lui permettant d'échanger des informations avec les entités essentielles et importantes et les autres parties prenantes;

2° veiller à un niveau élevé de disponibilité de ses canaux de communication en évitant les points uniques de défaillance et disposer de plusieurs moyens pour être contacté et contacter autrui à tout moment; spécifier clairement les canaux de communication et les faire connaître aux partenaires et collaborateurs;

3° disposer de locaux et de systèmes d'information se trouvant sur des sites sécurisés;

4° être doté d'un système approprié de gestion et de routage des demandes afin, notamment, de faciliter les transferts effectifs et efficaces;

5° garantir la confidentialité et la fiabilité de ses opérations;

6° être doté des effectifs adéquats afin de pouvoir garantir une disponibilité permanente de ses services et veiller à ce que son personnel reçoive une formation appropriée;

7° être doté de systèmes redondants et d'un espace de travail de secours pour assurer la continuité de ses services.

Article 21. § 1er. Dans le cadre de l'exercice de ses compétences, le CSIRT national prend toutes les mesures adéquates afin de réaliser les objectifs définis aux articles 19 et 20. Ces mesures doivent être proportionnelles à ces objectifs, et respecter les principes d'objectivité, de transparence et de non-discrimination.

§ 2. Lorsque cela s'avère strictement nécessaire à la réalisation de ses tâches énumérées à l'article 19, § 1er, 1° à 5°, le CSIRT national peut obtenir d'un opérateur visé à l'article 2, 11°, de la loi du 13 juin 2005, des données d'identification visées à l'article 2, alinéa 1er, 5°, de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges ou des métadonnées de communications électroniques au sens de l'article 2, 93°, de la loi précitée du 13 juin 2005 conservées par celui-ci.

Sans porter atteinte aux, ou sans s'immiscer dans les compétences des personnes exerçant la police judiciaire ni des autorités judiciaires, les finalités poursuivies par les tâches précitées sont:

1° sans finalité à caractère pénal, la prévention, la recherche et la détection des infractions commises en ligne ou par le biais d'un réseau ou service de communications électroniques, en ce compris des faits qui relèvent de la criminalité grave;

2° la prévention de menaces graves contre la sécurité publique;

3° l'examen de défaillances de la sécurité des réseaux ou de services de communications électroniques ou des systèmes d'information.

Le CSIRT national peut déterminer le délai endéans lequel l'opérateur répond à sa demande, en fonction de l'urgence de celle-ci.

§ 3. Lorsque le CSIRT national adresse à un opérateur une demande de données d'identification visées à l'article 2, alinéa 1er, 5°, de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges, cette demande est autorisée par le supérieur hiérarchique.

§ 4. Lorsque le CSIRT national adresse à un opérateur une demande de métadonnées de communications électroniques au sens de l'article 2, 93°, de la loi du 13 juin 2005 autres que celles visées au paragraphe 3, cette demande fait l'objet d'un contrôle préalable par l'autorité de protection des données.

En cas de situation urgente dûment justifiée, le CSIRT national peut se passer du contrôle préalable visé à l'alinéa 1er et solliciter directement les données. Cette demande est envoyée sans délai à l'autorité visée à l'alinéa 1er pour permettre un contrôle ultérieur.

Lorsqu'à la suite du contrôle visé à l'alinéa 2, l'autorité de protection des données refuse de confirmer la validité de la demande de métadonnées de communications électroniques visée à l'alinéa 1er, le CSIRT national le notifie sans délai à l'opérateur concerné et supprime les métadonnées reçues.

§ 5. Le directeur général du CSIRT national désigne expressément les personnes habilitées à traiter les données de communications électroniques visées au présent article.

§ 6. Le CSIRT national informe, dans la mesure du possible, les personnes physiques concernées de l'accès à leurs données de communications électroniques lorsque cela n'est plus susceptible de compromettre le bon déroulement de ses tâches ou d'une enquête en cours et lorsque ces personnes peuvent être identifiées.

§ 7. Sans préjudice des articles 28quinquies, § 1er, et 57, § 1er, du Code d'instruction criminelle, pour atteindre ces objectifs, le CSIRT national est autorisé à détenir, à divulguer, à diffuser ou à faire usage de toutes les informations disponibles, même si celles-ci sont issues d'un accès non autorisé à un système informatique par un tiers.

§ 8. Dans l'accomplissement de ses missions, le CSIRT national use de la prudence que l'on est en droit d'attendre d'une autorité publique, en veillant toujours en priorité à ne pas perturber le fonctionnement du système informatique et en prenant toutes précautions raisonnables afin qu'aucun dommage matériel ne soit causé au système informatique.

Le directeur général du CSIRT national veille, par l'adoption de procédures internes, au respect des conditions visées au présent article.

Article 22. § 1er. Dans son rôle de coordinateur aux fins de la divulgation coordonnée des vulnérabilités, le CSIRT national fait office d'intermédiaire de confiance en facilitant, si nécessaire, les interactions entre la personne physique ou morale qui signale une potentielle vulnérabilité et le fabricant ou le fournisseur des produits TIC ou des services TIC potentiellement vulnérables, à la demande de l'une des deux parties.

Dans ce cadre, les tâches du CSIRT national consistent notamment à:

1° identifier et contacter les entités concernées;

2° apporter une assistance aux personnes physiques ou morales signalant une vulnérabilité; et

3° négocier des délais de divulgation et gérer les vulnérabilités qui touchent plusieurs entités.

§ 2. Toute personne physique ou morale peut signaler, même de manière anonyme lorsqu'elle le demande, au CSIRT national l'existence d'une potentielle vulnérabilité.

Le signalement est effectué par écrit, selon la procédure détaillée sur le site internet du CSIRT national.

Ce signalement est sans préjudice de l'application de la loi du 28 novembre 2022 sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur privé ou des dispositions légales sur la protection des personnes qui signalent des violations au droit de l'Union ou au droit national constatées au sein d'une entité juridique du secteur public.

§ 3. Le CSIRT national veille à ce que des mesures de suivi diligentes soient prises en ce qui concerne la vulnérabilité signalée et veille à l'anonymat de la personne physique ou morale signalant la vulnérabilité, pour autant que cette personne le demande et respecte les conditions visées à l'article 23.

Le CSIRT national préserve l'exhaustivité, l'intégrité, le stockage durable et la confidentialité des informations transmises au travers du signalement.

L'accès à ces informations est limité aux personnes habilitées par le directeur général du CSIRT national, sauf lorsque le partage de ces informations s'avère nécessaire à l'exécution des tâches énumérées au présent article.

§ 4. Tout en respectant les conditions énumérées à l'article 21, § § 1er et 4, le CSIRT national peut observer, étudier ou tester la sécurité d'un réseau et système d'information afin de déterminer l'existence d'une vulnérabilité potentielle ou de vérifier les méthodes utilisées par l'auteur de signalement.

§ 5. Lorsque la vulnérabilité signalée est susceptible d'avoir un impact significatif sur des entités dans plusieurs Etats membres, le CSIRT national coopère, le cas échéant, avec les autres CSIRT désignés comme coordinateurs au sein du réseau des CSIRT.

§ 6. Le directeur général du CSIRT national veille, par l'adoption de procédures internes, au respect des conditions visées au présent article.

Article 23. § 1er. Dans le cadre de la procédure visée à l'article 22, les auteurs de signalement ne commettent pas d'infraction aux articles 314bis, 458, 550bis, 550ter du Code pénal et de l'article 145 de la loi du 13 juin 2005 à condition:

1° qu'ils aient agi sans intention frauduleuse, ni dessein de nuire;

2° qu'ils aient adressé une notification simplifiée qui reprend l'identification du système concerné et une description simple de la vulnérabilité potentielle, sans délai et au plus tard dans les vingt-quatre heures de la découverte d'une potentielle vulnérabilité, à l'organisation responsable du système et au CSIRT national;

3° qu'ils aient adressé une notification complète, sans délai et au plus tard dans les septante-deux heures de la découverte d'une potentielle vulnérabilité, à l'organisation responsable du système, le cas échéant dans le respect des modalités de signalement établis par cette organisation, et au CSIRT national, conformément à la procédure visée à l'article 22, § 2;

4° qu'ils n'aient pas agi au-delà de ce qui était nécessaire et proportionné pour vérifier l'existence d'une vulnérabilité et pour la rapporter;

5° qu'ils n'aient pas publiquement divulgué les informations relatives à la vulnérabilité découverte et aux systèmes vulnérables, sans l'accord du CSIRT national;

6° en ce qui concerne les réseaux et systèmes des organisations visées à l'article 5, § § 4 et 5, et des organes judiciaires ainsi que les informations traitées par eux ou pour leur compte, qu'ils aient, avant la commission de ces actes, conclu un accord écrit avec le service compétent sur les modalités et la méthodologie à utiliser dans le cadre de la recherche de potentielles vulnérabilités.

§ 2. Lorsque des personnes signalent des informations sur une potentielle vulnérabilité dont ils ont eu connaissance dans leur contexte professionnel, elles ne sont pas considérées comme ayant enfreint leur obligation de secret professionnel et n'encourent aucune responsabilité d'aucune sorte concernant la transmission d'informations nécessaires pour signaler une potentielle vulnérabilité au CSIRT national.

§ 3. Toute autre responsabilité éventuelle des auteurs de signalement découlant d'actes ou d'omissions qui ne sont pas nécessaires à l'accomplissement de la procédure visée à l'article 22 et ne respectent pas les conditions du paragraphe 1er continue d'être régie par le droit applicable.

Section 3. - Les éventuelles autorités sectorielles

Article 24. Sans préjudice des autres dispositions, l'autorité sectorielle peut:

1° organiser des exercices sectoriels, les coordonner ou y participer, pour ce qui concerne les mesures visées aux articles 30 et 33;

2° analyser et gérer les conséquences d'un incident pour le secteur;

3° participer aux travaux du groupe de coopération pour ce qui concerne les sujets qui touchent à ses compétences;

4° sensibiliser les entités relevant de son secteur.

CHAPITRE 2. - Coopération au niveau national

Article 25. § 1er. Les autorités visées au chapitre 1er du présent titre coopèrent les unes avec les autres afin de respecter les obligations énoncées dans la présente loi.

§ 2. En fonction des besoins nécessaires à l'exécution de la présente loi, les autorités visées au paragraphe 1er coopèrent également, au niveau national, avec le NCCN, les services administratifs de l'Etat, les autorités administratives, en ce compris les autorités nationales en vertu des règlements (CE) n° 300/2008 et n° 2018/1139, les organes de contrôle au titre du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE, la Banque Nationale de Belgique, l'Autorité des services et marchés financiers, l'Institut, les autorités compétentes en vertu de la [¹ loi du 19 décembre 2025]¹, les autorités judiciaires, les services de renseignement et de sécurité visés par la loi du 30 novembre 1998 organique des services de renseignement et de sécurité, les services de police visés par la loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux et avec les autorités de protection des données.

§ 3. Les entités essentielles et importantes et les autorités visées au chapitre 1er du présent titre collaborent en tout temps, par un échange adéquat d'informations concernant la sécurité des systèmes et réseaux d'informations.

§ 4. Les autorités visées au chapitre 1er du présent titre et les autorités compétentes dans le cadre de la [¹ loi du 19 décembre 2025" ]¹coopèrent et échangent régulièrement des informations sur le recensement des infrastructures critiques, les risques, les cybermenaces et les incidents, ainsi que sur les risques, menaces et incidents non cyber qui touchent les [¹ entités critiques au sens de la loi du 19 décembre 2025]¹ et sur les mesures prises pour faire face à ces risques, menaces et incidents.

§ 5. Les autorités visées au chapitre 1er du présent titre et les autorités compétentes en vertu du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE, du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 et de la loi du 13 juin 2005, échangent régulièrement des informations pertinentes, y compris en ce qui concerne les incidents et les cybermenaces concernés.

§ 6. L'autorité nationale de cybersécurité crée une plateforme de coordination et d'évaluation afin que les autorités visées à l'article 15 et le NCCN échangent de l'information et se coordonnent dans le cadre de l'exécution de la présente loi.

---

(1)2025-12-19/94, art. 70, 002; En vigueur : 19-01-2026>

CHAPITRE 3. - Confidentialité et échanges d'information

Article 26. § 1er. Le présent article ne porte pas préjudice à l'application de la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire, de la loi du 11 avril 1994 relative à la publicité de l'administration ou d'autres dispositions légales garantissant la confidentialité des informations liées aux intérêts essentiels de la sécurité publique nationale.

§ 2. Toute personne qui est appelée à prêter son concours professionnel à l'évaluation de la conformité ou à la supervision est tenue au secret. Celui qui viole ce secret est puni des peines prévues à l'article 458 du Code pénal.

Les personnes dépositaires, par état ou par profession, des secrets qu'on leur confie sont autorisées à faire connaître ces secrets pour l'exécution de la présente loi.

Ces personnes obtiennent l'accord des autorités visées à l'article 5, § 4, lorsque ces autorités sont concernées par le secret.

§ 3. Les autorités visées au chapitre 1er du présent titre, les entités essentielles ou importantes, ou leurs sous-traitants, limitent l'accès aux informations dans le cadre de la présente loi aux personnes ayant besoin d'en connaître et d'y avoir accès pour l'exercice de leurs fonctions ou de leur mission en lien avec l'exécution de la présente loi.

§ 4. Les informations fournies aux autorités visées au chapitre 1er du présent titre par les entités essentielles ou importantes, peuvent être échangées avec des autorités de l'Union européenne, avec des autorités belges ou étrangères, lorsque cet échange est nécessaire à l'application de dispositions légales.

Les informations échangées se limitent à ce qui est pertinent et sont proportionnées à l'objectif de cet échange, notamment dans le respect du règlement (UE) 2016/679. Cet échange d'informations préserve la confidentialité des informations concernées et protège la sécurité et les intérêts commerciaux des entités essentielles ou importantes.

Article 27. § 1er. A titre volontaire, les entités relevant du champ d'application de la présente loi et, le cas échéant, les autres entités concernées ne relevant pas du champ d'application de la présente loi peuvent échanger, entre elles, au sein de communautés, des informations pertinentes en matière de cybersécurité, y compris des informations relatives aux cybermenaces, aux incidents évités, aux vulnérabilités, aux techniques et procédures, aux indicateurs de compromission, aux tactiques adverses, ainsi que des informations spécifiques sur les acteurs de la menace, des alertes de cybersécurité et des recommandations concernant la configuration des outils de cybersécurité pour détecter les cyberattaques, lorsque ce partage d'informations:

1° vise à prévenir et à détecter les incidents, à y réagir, à s'en rétablir ou à atténuer leur impact;

2° renforce le niveau de cybersécurité, notamment en sensibilisant aux cybermenaces, en limitant ou en empêchant leur capacité de se propager, en soutenant une série de capacités de défense, en remédiant aux vulnérabilités et en les révélant, en mettant en oeuvre des techniques de détection, d'endiguement et de prévention des menaces, des stratégies d'atténuation ou des étapes de réaction et de rétablissement, ou en encourageant la recherche collaborative en matière de cybermenaces entre les entités publiques et privées.

§ 2. L'échange d'informations visé au paragraphe 1er est mis en oeuvre au moyen d'accords de partage d'informations en matière de cybersécurité, compte tenu de la nature potentiellement sensible des informations partagées.

§ 3. L'autorité nationale de cybersécurité facilite la mise en place des accords de partage d'informations en matière de cybersécurité visés au paragraphe 2. Ces accords peuvent préciser les éléments opérationnels, y compris l'utilisation de plateformes TIC spécialisées et d'outils d'automatisation, le contenu et les conditions des accords de partage d'informations. L'autorité nationale de cybersécurité et les éventuelles autorités sectorielles peuvent imposer des conditions d'utilisation des informations qu'elles mettent à disposition des communautés visées au paragraphe 1er.

§ 4. Les entités essentielles et importantes notifient à l'autorité nationale de cybersécurité leur participation aux accords de partage d'informations en matière de cybersécurité visés au paragraphe 2, lorsqu'elles concluent de tels accords ou, le cas échéant, lorsqu'elles se retirent de ces accords, une fois que le retrait prend effet.

CHAPITRE 4. - Stratégie nationale en matière de cybersécurité

Article 28. § 1er. Les ministres réunis en Conseil adoptent la stratégie nationale en matière de cybersécurité et la mettent à jour au moins tous les cinq ans, sur la base d'indicateurs de performance, après avis du Conseil national de sécurité, des autorités visées à l'article 15, du NCCN et, le cas échéant, des autorités de protection des données.

Cette stratégie définit les objectifs stratégiques, les ressources nécessaires pour atteindre ces objectifs, ainsi que les mesures politiques et règlementaires appropriées, en vue de parvenir à un niveau élevé de cybersécurité et de le maintenir.

§ 2. La stratégie nationale en matière de cybersécurité comprend, entre autres:

1° les objectifs et les priorités de la stratégie nationale en matière de cybersécurité, couvrant en particulier les secteurs visés aux annexes I et II;

2° un cadre de gouvernance visant à atteindre les objectifs et les priorités visés au 1°, y compris les tâches et les responsabilités des autorités publiques et des autres acteurs concernés ainsi que les politiques visées au paragraphe 3;

3° un cadre de gouvernance précisant les rôles et les responsabilités des parties prenantes en Belgique, et sur lequel reposent la coopération et la coordination, en Belgique, entre les autorités visées au chapitre 1er du présent titre ainsi que la coopération et la coordination entre ces autorités et les autorités compétentes en vertu d'instruments juridiques sectoriels de l'Union européenne;

4° un mécanisme visant à identifier les actifs pertinents et une évaluation des risques en Belgique;

5° un inventaire des mesures garantissant la préparation, la réaction et la récupération des services après incident, y compris la coopération entre les secteurs public et privé;

6° une liste des différents acteurs et autorités concernés par la mise en oeuvre de la stratégie nationale en matière de cybersécurité;

7° un cadre politique visant une coordination renforcée entre les autorités visées au chapitre 1er du présent titre et les autorités compétentes en vertu de la [¹ loi du 19 décembre 2025]¹ aux fins du partage d'informations relatives aux risques, aux menaces et aux incidents dans les domaines cyber et non cyber et de l'exercice des tâches de supervision, le cas échéant;

8° un plan comprenant les mesures nécessaires en vue d'améliorer le niveau général de sensibilisation des citoyens à la cybersécurité;

9° un aperçu des programmes d'éducation, de sensibilisation et de formation en rapport avec la stratégie nationale en matière de cybersécurité;

10° un aperçu des plans de recherche et de développement en rapport avec la stratégie nationale en matière de cybersécurité.

§ 3. Des politiques, parties intégrantes de la stratégie nationale en matière de cybersécurité, sont adoptées et portent sur les éléments suivants:

1° la cybersécurité dans le cadre de la chaîne d'approvisionnement des produits et services TIC utilisés par des entités pour la fourniture de leurs services;

2° l'inclusion et la spécification d'exigences liées à la cybersécurité pour les produits et services TIC dans les marchés publics, y compris concernant la certification de cybersécurité, le chiffrement et l'utilisation de produits de cybersécurité en sources ouvertes;

3° la gestion des vulnérabilités, y compris la promotion et la facilitation de la divulgation coordonnée des vulnérabilités conformément à l'article 22;

4° le maintien de la disponibilité générale, de l'intégrité et de la confidentialité du noyau public de l'internet ouvert, y compris, le cas échéant, la cybersécurité des câbles de communication sous-marins;

5° la promotion du développement et de l'intégration de technologies avancées pertinentes visant à mettre en oeuvre des mesures de pointe dans la gestion des risques en matière de cybersécurité;

6° la promotion et le développement de l'éducation et de la formation en matière de cybersécurité, des compétences en matière de cybersécurité, des initiatives de sensibilisation et de recherche et de développement en matière de cybersécurité, ainsi que des orientations sur les bonnes pratiques de cyberhygiène et les contrôles, à l'intention des citoyens, des parties prenantes et des entités;

7° le soutien aux institutions universitaires et de recherche visant à développer, améliorer et promouvoir le déploiement des outils de cybersécurité et à sécuriser les infrastructures de réseau;

8° la mise en place de procédures pertinentes et d'outils de partage d'informations appropriés visant à soutenir le partage volontaire d'informations sur la cybersécurité entre les entités;

9° le renforcement des valeurs de cyberrésilience et de cyberhygiène des petites et moyennes entreprises, en particulier celles qui sont exclues du champ d'application de la présente loi, en fournissant des orientations et un soutien facilement accessibles pour répondre à leurs besoins spécifiques;

10° la promotion d'une cyberprotection active.

---

(1)2025-12-19/94, art. 71, 002; En vigueur : 19-01-2026>

CHAPITRE 5. - Le plan national de réaction aux crises cyber et incidents de cybersécurité

Article 29. § 1er. Le Roi établit, par arrêté délibéré en Conseil des ministres, un plan national de réaction aux crises cyber et incidents de cybersécurité. Ce plan constitue un plan national au sens de l'article 9, § 2, de la loi du 15 mai 2007 relative à la sécurité civile.

§ 2. Sans préjudice des éléments devant être contenus dans les plans nationaux, le plan national de réaction aux crises cyber et incidents de cybersécurité contient au moins les éléments suivants:

1° les objectifs des mesures et activités nationales de préparation;

2° les tâches et responsabilités des autorités de gestion des crises cyber;

3° les procédures de gestion des crises cyber, y compris leur intégration dans le cadre national général de gestion des crises et les canaux d'échange d'informations;

4° les mesures de préparation nationales, y compris des exercices et des activités de formation;

5° les parties prenantes et les infrastructures des secteurs public et privé concernées;

6° les procédures et arrangements nationaux entre les autorités et les organismes nationaux compétents visant à garantir la participation et le soutien effectifs de la Belgique à la gestion coordonnée des crises cyber et incidents de cybersécurité au niveau de l'Union européenne.

TITRE 3. - Mesures de gestion des risques en matière de cybersécurité et obligations d'information

CHAPITRE 1. - Mesures de gestion des risques en matière de cybersécurité

Article 30. § 1er. Les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d'autres services.

§ 2. Les mesures visées au paragraphe 1er garantissent, pour les réseaux et les systèmes d'information, un niveau de sécurité adapté au risque existant, en tenant compte de l'état des connaissances et, s'il y a lieu, des normes européennes et internationales applicables, ainsi que du coût de mise en oeuvre. Lors de l'évaluation de la proportionnalité de ces mesures, il convient de tenir dûment compte du degré d'exposition de l'entité aux risques, de la taille de l'entité et de la probabilité de survenance d'incidents et de leur gravité, y compris leurs conséquences sociétales et économiques.

§ 3. Les mesures visées au paragraphe 1er sont fondées sur une approche "tous risques" qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique contre les incidents, et elles portent au moins sur:

1° les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information;

2° la gestion des incidents;

3° la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises;

4° la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs;

5° la sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris le traitement et la divulgation des vulnérabilités;

6° des politiques et des procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité;

7° les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité;

8° des politiques et des procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement;

9° la sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifs;

10° l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d'urgence au sein de l'entité, selon les besoins;

11° une politique de divulgation coordonnée des vulnérabilités.

§ 4. Lorsque les entités essentielles et importantes examinent lesquelles des mesures visées au paragraphe 3, 4°, sont appropriées, elles tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé.

Ces mesures doivent être appropriées au regard des résultats des évaluations coordonnées au niveau de l'Union européenne des risques pour la sécurité des chaînes d'approvisionnement critiques.

§ 5. Chaque entité essentielle et importante effectue une analyse des risques fondée sur une approche "tous risques" qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique contre les incidents et élabore, sur la base de cette analyse, une P.S.I. reprenant au moins les aspects visés au paragraphe 3.

§ 6. Lorsqu'une entité essentielle ou importante constate qu'elle ne se conforme pas aux mesures visées au paragraphe 3, elle prend, sans retard injustifié, toutes les mesures correctives nécessaires appropriées et proportionnées.

Article 31. § 1er. Les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité que ces entités prennent afin de se conformer à l'article 30, supervisent leur mise en oeuvre et sont responsables de la violation dudit article par ces entités.

Cet article est sans préjudice des règles en matière de responsabilité applicables aux institutions publiques, ainsi que de responsabilité des agents de la fonction publique et des responsables élus ou nommés.

§ 2. Les membres des organes de direction des entités essentielles et importantes suivent une formation pour que leurs connaissances et compétences soient suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l'entité.

Article 32. L'entité essentielle ou importante est responsable de l'analyse des risques effectuée ainsi que du choix et de la mise en oeuvre des mesures visées à l'article 30, § 1er.

Article 33. Après consultation de l'autorité nationale de cybersécurité, de l'éventuelle autorité sectorielle concernée et des entités fédérées concernées, le Roi peut, par arrêté délibéré en Conseil des ministres, imposer des mesures supplémentaires de gestion des risques en matière de cybersécurité appropriées et proportionnées.

CHAPITRE 2. - Notification d'incidents

Section 1re. - Notification obligatoire

Article 34. § 1er. Les entités essentielles et importantes notifient tout incident significatif sans retard injustifié au CSIRT national, selon les modalités établies dans un protocole conclu entre lui et le NCCN. Ces entités signalent, entre autres, toute information permettant au CSIRT national de déterminer si l'incident a un impact transfrontière.

Le cas échéant, les entités concernées notifient, sans retard injustifié, aux destinataires de leurs services les incidents significatifs susceptibles de nuire à la fourniture des services relatifs aux secteurs ou sous-secteurs repris à l'annexe I et II.

Le CSIRT national communique immédiatement les notifications visées à l'alinéa 1er aux éventuelles autorités sectorielles compétentes. Les notifications des entités essentielles sont également transmises au NCCN.

§ 2. Le cas échéant, les entités concernées communiquent, sans retard injustifié, aux destinataires de leurs services qui sont potentiellement affectés par une cybermenace importante toutes les mesures ou corrections que ces destinataires peuvent appliquer en réponse à cette menace. Le cas échéant, les entités informent également ces destinataires de la cybermenace importante elle-même.

§ 3. Après consultation de l'autorité nationale de cybersécurité, des autorités sectorielles, du NCCN et des entités fédérées, le Roi peut déterminer, par arrêté délibéré en Conseil des ministres, des seuils précis de notification en fonction du degré d'impact ou d'urgence de l'incident.

§ 4. Le simple fait de notifier un incident n'accroît pas la responsabilité de l'entité qui est à l'origine de la notification.

Article 35. § 1er. Aux fins de la notification visée à l'article 34, § 1er, alinéa 1er, les entités concernées soumettent au CSIRT national:

1° sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l'incident significatif, une alerte précoce qui, le cas échéant, indique si l'on suspecte que l'incident significatif a été causé par des actes illicites ou malveillants ou s'il pourrait avoir un impact transfrontière;

2° sans retard injustifié et en tout état de cause dans les septante-deux heures après avoir eu connaissance de l'incident significatif, une notification d'incident qui, le cas échéant, met à jour les informations visées au 1° et fournit une évaluation initiale de l'incident significatif, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu'ils sont disponibles;

3° à la demande du CSIRT national ou de l'éventuelle autorité sectorielle concernée, un rapport intermédiaire sur les mises à jour pertinentes de la situation;

4° un rapport final au plus tard un mois après la présentation de la notification d'incident visée au 2°, comprenant les éléments suivants:

5° en cas d'incident en cours au moment de la présentation du rapport final visé au 4°, les entités concernées fournissent à ce moment-là un rapport d'avancement puis un rapport final dans un délai d'un mois à compter du traitement définitif de l'incident.

§ 2. Par dérogation au paragraphe 1er, 2°, un prestataire de services de confiance notifie au CSIRT national les incidents significatifs qui ont un impact sur la fourniture de ses services de confiance, sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l'incident significatif.

§ 3. Le CSIRT national communique, immédiatement, les notifications visées aux paragraphe s 1er et 2 aux éventuelles autorités sectorielles compétentes. Les notifications des entités essentielles sont également transmises au NCCN.

Article 36. § 1er. Le CSIRT national fournit, sans retard injustifié et si possible dans les vingt-quatre heures suivant la réception de l'alerte précoce visée à l'article 35, § 1er, 1°, une réponse à l'entité émettrice de la notification, y compris un retour d'information initial sur l'incident significatif et, à la demande de l'entité, des orientations ou des conseils opérationnels sur la mise en oeuvre d'éventuelles mesures d'atténuation.

§ 2. Le CSIRT national fournit un soutien technique supplémentaire si l'entité concernée le demande. Lorsqu'il y a lieu de suspecter que l'incident est de nature criminelle, le CSIRT national fournit également des orientations sur les modalités de notification de l'incident significatif aux autorités répressives.

Article 37. § 1er. Lorsque c'est approprié, et notamment si l'incident significatif concerne deux Etats membres ou plus, le CSIRT national informe sans retard injustifié les autres Etats membres touchés et l'ENISA de l'incident significatif. Sont alors partagées des informations du type de celles reçues conformément à l'article 35. Ce faisant, le CSIRT national doit, dans le respect du droit de l'Union européenne ou du droit national, préserver la sécurité et les intérêts commerciaux de l'entité ainsi que la confidentialité des informations communiquées.

§ 2. Lorsque la sensibilisation du public est nécessaire pour prévenir un incident significatif ou pour faire face à un incident significatif en cours, ou lorsque la divulgation de l'incident significatif est par ailleurs dans l'intérêt public, le CSIRT national peut, après avoir consulté l'entité concernée, le NCCN, l'éventuelle autorité sectorielle concernée et le ministre concerné, informer le public de l'incident significatif ou exiger de l'entité qu'elle le fasse.