26 AVRIL 2024. - Loi établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique(NOTE : Consultation des versions antérieures à partir du 17-05-2024 et mise à jour au 19-01-2026)

§ 3. A la demande de l'éventuelle autorité sectorielle concernée, l'autorité nationale de cybersécurité transmet les notifications reçues en vertu de l'article 34, § 1er, alinéa 1er, aux points de contact uniques des autres Etats membres touchés.

§ 4. L'autorité nationale de cybersécurité soumet tous les trois mois à l'ENISA un rapport de synthèse comprenant des données anonymisées et agrégées sur les incidents significatifs, les incidents, les cybermenaces et les incidents évités notifiés conformément à l'article 34, § 1er, alinéa 1er, et à l'article 38, § 1er.

§ 5. Le CSIRT national fournit aux autorités compétentes en vertu de la [¹ loi du 19 décembre 2025]¹ des informations sur les incidents significatifs, les incidents, les cybermenaces et les incidents évités notifiés conformément l'article 34, § 1er, alinéa 1er, et à l'article 38, § 1er, par les [¹ entités critiques au sens de la loi du 19 décembre 2025 ]¹.

---

(1)2025-12-19/94, art. 72, 002; En vigueur : 19-01-2026>

Section 2. - Notification volontaire

Article 38. § 1er. Outre les obligations de notification visées à l'article 34, peuvent être notifiés à titre volontaire au CSIRT national par:

1° les entités essentielles et importantes, les incidents, les cybermenaces et les incidents évités;

2° les entités autres que celles visées au 1°, indépendamment du fait qu'elles relèvent ou non du champ d'application de la présente loi, les incidents significatifs, les cybermenaces et les incidents évités.

§ 2. Les notifications volontaires visées au paragraphe 1er sont traitées de la même manière que les notifications obligatoires visées à la section 1re du présent chapitre.

Les notifications obligatoires peuvent néanmoins être traitées de manière prioritaire par rapport aux notifications volontaires.

Sans préjudice de la prévention et de la détection d'infractions pénales et des enquêtes et poursuites en la matière, un signalement volontaire n'a pas pour effet direct de lancer une inspection visée à l'article 44 ou d'imposer à l'entité ayant effectué la notification des obligations supplémentaires auxquelles elle n'aurait pas été soumise si elle n'avait pas transmis la notification.

TITRE 4. - Supervision et sanctions

CHAPITRE 1er. - Supervision

Section 1re. - Evaluation périodique de la conformité

Article 39. Les entités essentielles se soumettent à une évaluation périodique de la conformité de la mise en oeuvre des mesures de gestion des risques en matière de cybersécurité visées à l'article 30, sur base des modalités et des cadres de référence déterminés par le Roi:

1° Soit en choisissant une évaluation périodique de la conformité visée à l'article 40, sur base de l'un des cadres de référence déterminé par le Roi;

2° Soit en se soumettant à une inspection par l'autorité nationale de cybersécurité, sur base des modalités déterminées par le Roi.

Par dérogation à l'alinéa 1er, et à la demande de l'autorité sectorielle concernée, les inspections visées à l'alinéa 1er, 2°, sont effectuées de manière conjointe, sous la direction de l'autorité nationale de cybersécurité ou sont déléguées à l'éventuel service d'inspection concerné moyennant l'accord de l'autorité nationale de cybersécurité.

Lorsque le Roi détermine plusieurs cadres de référence, les entités essentielles choisissent le cadre de référence auquel ils se soumettent.

Article 40. § 1er. L'évaluation périodique de la conformité visée à l'article 39, alinéa 1er, 1°, est effectuée par un organisme d'évaluation de la conformité agréé par l'autorité nationale de cybersécurité selon les conditions fixées par le Roi.

Pour le contrôle des entités identifiées comme [¹ entités critiques au sens de la loi du 19 décembre 2025]¹ et des entités de l'administration publique, l'organisme d'évaluation de la conformité ainsi que les personnes physiques qui évaluent la conformité disposent d'une habilitation de sécurité.

§ 2. Le service d'inspection de l'autorité nationale de cybersécurité peut à tout moment vérifier le respect des conditions d'agrément visées au paragraphe 1er par les organismes d'évaluation de la conformité, conformément aux dispositions du présent chapitre.

---

(1)2025-12-19/94, art. 73, 002; En vigueur : 19-01-2026>

Article 41. Les entités importantes peuvent, de manière volontaire, se soumettre à une évaluation périodique de la conformité visée à l'article 39, alinéa 1er, 1°, de la mise en oeuvre des mesures de gestion des risques en matière de cybersécurité visées à l'article 30, § 3, sur base des modalités et des cadres de référence déterminés par le Roi.

Article 42. Les entités essentielles et importantes qui se soumettent à une évaluation périodique de la conformité visée à l'article 39, alinéa 1er, 1°, respectivement conformément à l'article 39 et 41 sont, jusqu'à preuve du contraire, présumées respecter les obligations visées à l'article 30.

Article 43. Une liste des organismes d'évaluation de la conformité agréés par l'autorité nationale de cybersécurité conformément à l'article 40 est disponible auprès de l'autorité nationale de cybersécurité, qui la tient à jour.

Section 2. - Dispositions générales relatives au service d'inspection

Article 44. § 1er. Le service d'inspection de l'autorité nationale de cybersécurité réalise des contrôles du respect par les entités essentielles et importantes des mesures de gestion des risques en matière de cybersécurité et des règles de notification des incidents.

Par dérogation à l'alinéa 1er, et à la demande de l'autorité sectorielle concernée, ces contrôles sont effectués de manière conjointe, sous la direction de l'autorité nationale de cybersécurité, ou sont délégués à l'éventuel service d'inspection concerné moyennant l'accord de l'autorité nationale de cybersécurité.

L'autorité sectorielle ou le service d'inspection sectoriel compétents, ou, lorsqu'aucun service d'inspection sectoriel n'a été désigné par la loi ou par le Roi, le service d'inspection de l'autorité nationale de cybersécurité peut réaliser des contrôles du respect par les entités essentielles et importantes des mesures de gestion des risques en matière de cybersécurité sectorielles ou sous-sectorielles supplémentaires visées à l'article 33.

§ 2. Au moment de formuler une demande d'informations ou de preuves, le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents mentionnent la finalité de la demande, les informations ou preuves précises demandées et le délai dans lequel celles-ci doivent être fournies.

Le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétent peuvent faire appel à des experts.

§ 3. Le service d'inspection de l'autorité nationale de cybersécurité ainsi que les éventuels autorités sectorielles et services d'inspection sectoriels peuvent fixer des priorités en ce qui concerne les tâches de supervision visées au présent titre selon une approche basée sur les risques.

§ 4. Lorsqu'ils traitent des incidents donnant lieu à des violations de données à caractère personnel telles que définies à l'article 4, point 12), du règlement (UE) 2016/679, le service d'inspection de l'autorité nationale de cybersécurité ainsi que les éventuels autorités sectorielles et services d'inspection sectoriels coopèrent étroitement avec les autorités de protection des données, sans préjudice de la compétence et des missions de ces dernières.

Article 45. § 1er. Le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents informent les autorités compétentes en vertu de la [¹ loi du 19 décembre 2025]¹ lorsqu'ils exercent leurs pouvoirs de supervision et d'exécution dans le but de garantir [¹ qu'une entité critique au sens de la loi du 19 décembre 2025]¹ respecte la présente loi. Le cas échéant, les autorités compétentes en vertu de la [¹ loi du 19 décembre 2025]¹ peuvent demander au service d'inspection de l'autorité nationale de cybersécurité et à l'éventuelle autorité sectorielle ou à l'éventuel service d'inspection sectoriel compétents d'exercer leurs pouvoirs de supervision et d'exécution à l'égard [¹ d'une entité critique au sens de la loi du 19 décembre 2025-1.

§ 2. Le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents coopèrent avec les autorités compétentes pertinentes en vertu du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011. En particulier, le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents informent le forum de supervision institué en vertu de l'article 32, paragraphe 1, dudit règlement lorsqu'ils exercent leurs pouvoirs de supervision et d'exécution dans le but de garantir qu'une entité essentielle ou importante qui a été désignée comme étant un prestataire tiers critique de services TIC au titre de l'article 31 dudit règlement respecte la présente loi.

---

(1)2025-12-19/94, art. 74, 002; En vigueur : 19-01-2026>

Article 46. § 1er. Lorsque les réseaux et les systèmes d'information d'une entité sont situés en dehors du territoire belge, le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents, en concertation avec l'autorité nationale de cybersécurité, peuvent solliciter la coopération et l'assistance des autorités de contrôle compétentes d'autres Etats membres.

Dans le cadre de la sollicitation visée à l'alinéa 1er:

1° le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents peuvent demander aux autorités de contrôle compétentes d'autres Etats membres de prendre des mesures de supervision ou d'exécution;

2° le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents peuvent demander, de manière motivée, aux autorités de contrôle compétentes d'autres Etats membres une assistance mutuelle afin que les mesures de supervision ou d'exécution puissent être mises en oeuvre de manière effective, efficace et cohérente.

L'assistance mutuelle visée à l'alinéa 2, 2°, peut porter sur des demandes d'informations et des mesures de contrôle, y compris des demandes de procéder à des inspections sur place, à des contrôles à distance ou à des audits de sécurité ciblés.

§ 2. De manière proportionnée à leurs ressources et pour autant que cela rentre dans le cadre de leurs compétences, le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents coopèrent et apportent leur assistance aux autorités de contrôle compétentes en matière de cybersécurité d'autres Etats membres qui en font la demande, lorsque les réseaux et les systèmes d'information de l'entité concernée sont situés dans le territoire belge.

Dans le cadre de la demande visée à l'alinéa 1er:

1° l'autorité nationale de cybersécurité centralise les informations et consultations en ce qui concerne les mesures de supervision et d'exécution prises par elle-même, par l'éventuelle autorité sectorielle et par l'éventuel service d'inspection sectoriel compétents et les communique aux autorités de contrôle compétentes en matière de cybersécurité d'autres Etats membres;

2° ladite demande peut porter sur des mesures de supervision ou d'exécution;

3° ladite demande peut, de manière motivée, porter sur une assistance mutuelle afin que les mesures de supervision ou d'exécution puissent être mises en oeuvre de manière effective, efficace et cohérente.

L'assistance mutuelle visée à l'alinéa 2, 3°, peut porter sur des demandes d'informations et des mesures de contrôle, y compris des demandes de procéder à des inspections sur place, à des contrôles à distance ou à des audits de sécurité ciblés.

L'autorité à laquelle une demande d'assistance est adressée ne peut refuser cette demande que s'il est établi que ladite autorité n'est pas compétente pour fournir l'assistance demandée, que l'assistance demandée n'est pas proportionnée aux tâches de supervision de ladite autorité ou que la demande concerne des informations ou implique des activités dont la divulgation ou l'exercice seraient contraires aux intérêts essentiels de la sécurité nationale, la sécurité publique ou la défense de la Belgique. Avant de refuser une telle demande, ladite autorité consulte les autres autorités compétentes concernées ainsi que, à la demande de l'un des Etats membres concernés, la Commission européenne et l'ENISA.

§ 3. D'un commun accord, le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents peuvent mener à bien des actions communes de supervision entre elles et/ou avec les autorités de contrôle compétentes d'autres Etats membres.

§ 4. Le présent article n'est pas applicable aux missions diplomatiques et consulaires.

Article 47. § 1er. Les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents sont dotés d'une carte de légitimation dont le modèle est fixé par le Roi.

§ 2. Les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétent et les experts appelés à participer à l'inspection ne peuvent avoir un intérêt quelconque, direct ou indirect, dans les entreprises ou institutions qu'ils sont chargés de contrôler, susceptible de compromettre leur objectivité. Ils prêtent serment auprès du fonctionnaire dirigeant de leur service.

Les autorités visées à l'article 44, § 1er, prennent les mesures nécessaires afin d'assurer l'indépendance des membres de leur personnel et de prévenir, d'identifier et de résoudre efficacement les conflits d'intérêts lors de l'exécution de leurs tâches.

La notion de conflit d'intérêts vise au moins les situations dans lesquelles un membre du personnel des autorités visées à l'article 44, § 1er, a, directement ou indirectement, un intérêt financier, économique ou un autre intérêt personnel qui pourrait être perçu comme compromettant son impartialité et son indépendance dans le cadre de sa mission ou de ses fonctions.

§ 3. Les membres du personnel des autorités visées à l'article 44, § 1er, ne reçoivent ni ne cherchent pas, dans les limites de leurs attributions, de façon directe ou indirecte, d'instructions de personne tierce.

Il leur est interdit d'être présents lors d'une délibération ou décision sur les dossiers pour lesquels ils ont un intérêt personnel ou direct ou pour lesquels leurs parents ou alliés jusqu'au troisième degré ont un intérêt personnel ou direct.

Le Roi peut également désigner d'autres situations comme étant des conflits d'intérêts.

Section 3. - La supervision des entités par le service d'inspection

Article 48. § 1er. Sans préjudice des attributions des officiers de police judiciaire visées à l'article 8 du Code d'instruction criminelle, les membres assermentés du service d'inspection de l'autorité nationale de cybersécurité et les membres assermentés de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents disposent, dans l'exercice de leur mission de supervision, des compétences de contrôle suivantes, tant dans le cadre de démarches administratives que dans le cadre de la constatation de violations de la présente loi:

1° demander l'accès à et obtenir une copie de tout document ou toute information nécessaire à l'exercice de leur mission de supervision, notamment les preuves de la mise en oeuvre de politiques de cybersécurité, telles que les résultats des évaluations de la conformité ou des audits de sécurité ou les éléments de preuve sous-jacents correspondants;

2° procéder, sur place ou à distance, à tout examen, contrôle et audition, y compris des contrôles aléatoires effectués par des professionnels formés;

3° soumettre les entités essentielles à des audits de sécurité réguliers et ciblés réalisés par un organisme indépendant, basés sur des évaluations des risques effectuées par le service d'inspection concerné ou l'entité contrôlée, ou sur d'autres informations disponibles relatives aux risques;

4° requérir toutes les informations qu'ils estiment nécessaires à l'évaluation des mesures de gestion des risques en matière de cybersécurité adoptées par l'entité concernée, notamment les politiques de cybersécurité consignées par écrit, du respect de l'obligation de soumettre des informations à l'autorité nationale de cybersécurité ou à l'éventuelle autorité sectorielle conformément au titre 1er et de la mise en oeuvre de la présente loi;

5° réaliser un audit ad hoc, notamment lorsqu'il est justifié en raison d'un incident significatif ou d'une violation de la présente loi;

6° effectuer des scans de sécurité fondés sur des critères d'évaluation des risques objectifs, non discriminatoires, équitables et transparents, si nécessaire avec la coopération de l'entité concernée;

7° prendre l'identité des personnes qui se trouvent sur les lieux utilisés par l'entité et dont ils estiment l'audition nécessaire pour l'exercice de leur mission. A cet effet, ils peuvent exiger de ces personnes la présentation de documents officiels d'identification;

8° le cas échéant, demander l'assistance des services de la police fédérale ou locale dans le cadre de l'usage de la force;

9° solliciter des informations auprès des membres du personnel visés à l'article 9 de la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire, pour les besoins de l'exécution des dispositions de la présente loi;

10° pénétrer sans avertissement préalable, sur présentation de leur carte de légitimation, dans tous les lieux utilisés par l'entité; ils n'ont accès aux locaux habités que moyennant autorisation préalable délivrée par le juge d'instruction.

§ 2. Dans le cadre de l'inspection des entités importantes, les compétences de contrôle visées au paragraphe 1er s'effectuent de manière ex post, sur base d'éléments de preuve, d'indications ou d'informations selon lesquels une entité importante ne respecte pas la présente loi.

§ 3. Pour obtenir l'autorisation de pénétrer dans des locaux habités, les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents adressent une demande motivée au juge d'instruction. Cette demande contient au moins les données suivantes:

1° l'identification des espaces habités auxquels ils souhaitent avoir accès;

2° les manquements éventuels qui font l'objet du contrôle;

3° tous les documents et renseignements desquels il ressort que l'utilisation de ce moyen est nécessaire.

Le juge d'instruction décide dans un délai de quarante-huit heures maximum après réception de la demande. La décision du juge d'instruction est motivée. En l'absence de décision dans le délai prescrit, la visite des lieux est réputée être refusée. Le service d'inspection de l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents peut introduire un recours contre la décision de refus ou l'absence de décision devant la chambre des mises en accusation dans les quinze jours de la notification de la décision ou de l'expiration du délai.

Les visites sans autorisation de l'occupant dans des locaux habités se font entre cinq et vingt-et-une heures par au moins deux membres du service d'inspection agissant conjointement.

§ 4. Au début de toute audition, il est communiqué à la personne interrogée:

1° que ses déclarations peuvent être utilisées comme preuve en justice;

2° qu'elle peut demander que toutes les questions qui lui sont posées et les réponses qu'elle donne soient actées dans les termes utilisés;

3° qu'elle a le droit de garder le silence et de ne pas contribuer à sa propre incrimination.

Toute personne interrogée peut utiliser les documents en sa possession, sans que cela puisse entraîner le report de l'audition. Elle peut, lors de l'audition ou ultérieurement, exiger que ces documents soient joints à l'audition.

L'audition mentionne avec précision l'heure à laquelle elle a pris cours, est éventuellement interrompue et reprise, et prend fin. Elle mentionne l'identité des personnes qui interviennent lors de l'audition ou lors d'une partie de celle-ci.

A la fin de l'audition, la personne interrogée a le droit de relire celle-ci ou de demander que lecture lui en soit faite. Elle peut demander à ce que ses déclarations soient corrigées ou complétées.

Les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents qui interrogent une personne l'informent qu'elle peut demander une copie du texte de son audition. Cette copie lui est délivrée gratuitement.

§ 5. Les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents peuvent consulter tous les supports d'information et les données qu'ils contiennent. Ils peuvent se faire produire sur place le système informatique et les données qu'il contient dont ils ont besoin pour leurs examens et constatations, et en prendre ou en demander gratuitement des extraits, des duplicatas ou des copies, sous une forme lisible et intelligible qu'ils ont demandée.

S'il n'est pas possible de prendre des copies sur place, les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents peuvent saisir, contre récépissé contenant un inventaire, le système informatique et les données qu'il contient.

§ 6. Pour étendre les recherches dans un système informatique ou une partie de celui-ci, entamées sur la base du paragraphe 5, vers un système informatique ou une partie de celui-ci qui se trouve dans un autre lieu que celui où la recherche est effectuée, le service d'inspection de l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents peut solliciter l'intervention d'un juge d'instruction.

§ 7. Lorsque le service d'inspection de l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents prend connaissance, dans le cadre de la supervision ou de l'exécution, du fait que la violation commise par une entité essentielle ou importante à l'égard des obligations énoncées aux articles 30 et 34 à 37 peut donner lieu à une violation de données à caractère personnel au sens de l'article 4, point 12, du règlement (UE) 2016/679, devant être notifiée en vertu de l'article 33 dudit règlement, ils en informent sans retard injustifié les autorités de protection des données.

Lorsque l'autorité de protection des données compétente est établie dans un autre Etat membre que la Belgique, le service d'inspection de l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents informe l'autorité de protection des données compétente établie en Belgique de la violation potentielle de données à caractère personnel visée à l'alinéa 1er.

§ 8. Lors de l'exécution de leurs pouvoirs de contrôle visés au présent article, les membres assermentés des autorités visées à l'article 44, § 1er, veillent à ce que les moyens qu'ils utilisent soient appropriés et nécessaires pour ledit contrôle.

Article 49. § 1er. Après chaque inspection, les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents rédigent un rapport et en transmettent une copie à l'entité inspectée.

§ 2. L'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle se communiquent mutuellement leur rapports d'inspection.

Article 50. § 1er. L'entité supervisée apporte son entière collaboration aux membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents dans l'exercice de leurs fonctions et notamment pour informer ceux-ci au mieux de toutes les mesures de sécurité existantes.

Si nécessaire, l'entité met à disposition des membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents le matériel nécessaire de manière à ce qu'ils remplissent les consignes de sécurité lors des inspections.

§ 2. Les coûts des inspections ne sont pas mis à charge des entités.

Par dérogation à l'alinéa précédent, le Roi peut déterminer, par secteur ou sous-secteur, par arrêté délibéré en Conseil des ministres et après avis de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle concernée, des rétributions relatives aux prestations d'inspections. Il en fixe les modalités de calcul et de paiement.

§ 3. Le fait pour quiconque d'empêcher ou d'entraver volontairement l'exécution d'un contrôle effectué par les membres du service d'inspection de l'autorité nationale de cybersécurité ou de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents, de refuser de communiquer les informations qui lui sont demandées à l'occasion de ce contrôle, ou de communiquer sciemment des informations inexactes ou incomplètes est constaté dans un procès-verbal par les membres assermentés du service d'inspection de l'autorité nationale de cybersécurité ou de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents.

CHAPITRE 2. - Les mesures et amendes administratives

Section 1re. - Procédure

Article 51. § 1er. Lorsqu'un ou plusieurs manquements aux exigences imposées par la présente loi, ses arrêtés d'exécution ou les décisions administratives individuelles y afférentes sont observés, les faits peuvent être constatés dans un procès-verbal rédigé par les membres assermentés du service d'inspection de l'autorité nationale de cybersécurité, de l'éventuel service d'inspection sectoriel ou de l'éventuelle autorité sectorielle concernée, conformément à l'article 44, § 1er

Moyennant l'accord de l'autorité nationale de cybersécurité, l'autorité sectorielle peut imposer à une entité des mesures et amendes administratives visées à la section 2.

L'autorité nationale de cybersécurité informe l'autorité sectorielle concernée lorsqu'elle a l'intention d'imposer à une entité des mesures et amendes administratives visées aux articles 58 et 59.

Lorsque les autorités visées aux alinéas 1er et 2 prennent connaissance, dans le cadre de leur mission de supervision, du fait qu'un manquement visé à l'alinéa 1er ou 2, commis par une entité essentielle ou importante, peut donner lieu à une violation de données à caractère personnel au sens de l'article 4, point 12), du règlement (UE) 2016/679, devant être notifiée en vertu de l'article 33 dudit règlement, elles en informent sans retard injustifié les autorités de protection des données compétentes.

§ 2. Sur la base du procès-verbal visé au paragraphe 1er et, le cas échéant, des rapports pertinents visés à l'article 49, § 1er, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente peut rédiger un projet de décision contenant au moins les références du procès-verbal qui constate l'infraction et qui relate les faits à propos desquels la procédure est entamée et une ou plusieurs mesures ou amendes administratives visées à l'article 58 et/ou 59 envisagées ainsi que le délai endéans lequel l'entité concernée exécuterait les mesures administratives.

Le délai visé à l'alinéa 1er est déterminé en tenant compte des conditions de fonctionnement de l'entité et des mesures à mettre en oeuvre.

§ 3. L'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente envoie le projet de décision visé au paragraphe 2 à l'entité concernée en exposant, en détail, les motifs relatifs aux mesures et/ou amendes administratives envisagées et lui fait part de son droit, dans les trente jours de la réception de cette information, de formuler par écrit ses moyens de défense ou de solliciter d'être d'entendu. L'information est présumée reçue par le contrevenant le sixième jour suivant l'envoi du projet de décision précité.

Par exception à l'alinéa 1er, le projet de décision n'est pas envoyé au préalable à l'entité concernée dans des cas exceptionnels, dûment motivés, où cela entraverait une intervention immédiate pour prévenir un incident ou y répondre.

§ 4. Après que l'entité concernée a pu faire valoir ses moyens de défense, à la fin du délai visé au paragraphe 3, alinéa 1er, ou dans le cas visé au paragraphe 3, alinéa 2, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente maintient ou modifie le projet de décision visé au paragraphe 2, alinéa 1er ou y renonce, en tenant compte de la catégorie d'entité à laquelle appartient l'entité concernée, des moyens de défense de cette dernière et des éléments visés à l'article 54.

Article 52. § 1er. Lorsque les mesures d'exécution adoptées en vertu de l'article 58, 1° à 4°, et 6°, sont inefficaces, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente peut fixer un délai dans lequel une entité essentielle est invitée à prendre les mesures nécessaires pour pallier les insuffisances ou satisfaire à ses exigences.

§ 2. Lorsqu'une entité essentielle ne se conforme pas à la ou aux mesures contenues dans la décision visée à l'article 51, § 4, l'autorité qui a pris cette décision constate les faits dans un procès-verbal.

§ 3. Sur la base du procès-verbal visé au paragraphe 2, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente rédige un projet de décision contenant au moins une ou plusieurs mesures ou amendes administratives visées aux articles 59 et/ou 60 envisagées.

§ 4. L'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente envoie le projet de décision visé au paragraphe 3 à l'entité concernée en exposant, en détail, les motifs relatifs aux mesures et/ou amendes administratives envisagées et lui fait part de son droit, dans les trente jours de la réception de cette information, de formuler par écrit ses moyens de défense ou de solliciter d'être entendu. L'information est présumée reçue par le contrevenant le sixième jour suivant l'envoi du projet de décision précité.

Par exception à l'alinéa 1er, le projet de décision n'est pas envoyé au préalable à l'entité concernée dans des cas exceptionnels, dûment motivés, où cela entraverait une intervention immédiate pour prévenir un incident ou y répondre.

§ 5. Après que l'entité concernée ait pu faire valoir ses moyens de défense, à la fin du délai visé au paragraphe 4, alinéa 1er, ou dans le cas visé au paragraphe 4, alinéa 2, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente maintient ou modifie le projet de décision visé au paragraphe 3 ou y renonce en tenant compte des moyens de défense de l'entité concernée et des éléments visés à l'article 54.

Article 53. Les procès-verbaux rédigés par les membres assermentés du service d'inspection font foi jusqu'à preuve du contraire.

Article 54. § 1er. Lorsqu'elle prend toute mesure d'exécution dans le cadre des procédures visées aux articles 51 et 52, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente respecte les droits de la défense, tient compte des circonstances propres à chaque cas et, au minimum, tient dûment compte:

1° de la catégorie visée aux articles 9 et 10 à laquelle l'entité concernée appartient;

2° de la gravité de la violation et de l'importance des dispositions enfreintes, les faits suivants, entre autres, devant être considérés en tout état de cause comme graves:

3° de la durée de la violation;

4° de toute violation antérieure pertinente commise par l'entité concernée;

5° des dommages matériels, corporels ou moraux causés, y compris des pertes financières ou économiques, des effets sur d'autres services et du nombre d'utilisateurs touchés;

6° du fait que l'auteur de la violation a agi délibérément ou par négligence;

7° des mesures prises par l'entité pour prévenir ou atténuer les dommages matériels, corporels ou moraux;

8° de l'application de codes de conduite approuvés ou de mécanismes de certification approuvés;

9° du degré de coopération avec le service d'inspection de l'autorité nationale de cybersécurité ou avec l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents des personnes physiques ou morales tenues pour responsables.

§ 2. Lorsque les autorités de protection des données imposent une amende administrative en vertu de l'article 58, paragraphe 2, point i), du règlement (UE) 2016/679, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente n'impose pas d'amende administrative pour une violation découlant du même comportement que celui qui a fait l'objet d'une amende administrative au titre de l'article 58, paragraphe 2, point i), dudit règlement.

Article 55. § 1er. Les décisions visées aux articles 51 et 52 sont notifiées par envoi recommandé au contrevenant.

§ 2. Les amendes administratives imposées par une décision visée à l'article 51 ou 52 doivent être acquittées dans les soixante jours qui suivent la réception de l'envoi recommandé visé au paragraphe 1er.

Ce délai peut être augmenté en fonction du montant de l'amende administrative.

Le délai visé à l'alinéa 1er est réputé commencer au plus tard six jours après l'envoi recommandé visé au paragraphe 1er.

§ 3. Lorsqu'une décision visée à l'article 51 ou 52 impose une mesure administrative autre qu'une amende administrative, cette décision précise le délai endéans lequel la mesure doit être exécutée.

§ 4. L'autorité nationale de cybersécurité et, le cas échéant, l'éventuelle autorité sectorielle se communiquent mutuellement leur décision visée à l'article 51 ou 52.

Article 56. § 1er. Lorsque l'entité concernée reste en défaut de payer l'amende administrative dans le délai imparti, la décision d'infliger une amende administrative a force exécutoire et l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente peut décerner une contrainte.

La contrainte est décernée par un représentant légal de l'autorité nationale de cybersécurité ou de l'éventuelle autorité sectorielle compétente ou par un membre du personnel habilité à cette fin.

§ 2. La contrainte est signifiée au contrevenant par exploit d'huissier de justice. La signification contient un commandement de payer dans les quarante-huit heures, à peine d'exécution par voie de saisie, de même qu'une justification comptable des sommes exigées ainsi que copie de l'exécutoire.

§ 3. Le contrevenant peut former opposition à la contrainte devant le juge des saisies.

L'opposition est motivée à peine de nullité. Elle est formée au moyen d'une citation de l'autorité nationale de cybersécurité ou de l'éventuelle autorité sectorielle compétente signifiée par exploit d'huissier dans les quinze jours à partir de la signification de la contrainte.

Les dispositions du chapitre VIII de la première partie du Code judiciaire sont applicables à ce délai, y compris les prorogations prévues à l'article 50, alinéa 2, et à l'article 55 de ce Code.

L'exercice de l'opposition à la contrainte suspend l'exécution de celle-ci, ainsi que la prescription des créances contenues dans la contrainte, jusqu'à ce qu'il ait été statué sur son bien-fondé. Les saisies déjà pratiquées antérieurement conservent leur caractère conservatoire.

§ 4. L'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente peut faire pratiquer la saisie conservatoire et exécuter la contrainte en usant des voies d'exécution prévues à la cinquième partie du Code judiciaire.

Les paiements partiels effectués en suite de la signification d'une contrainte ne font pas obstacle à la continuation des poursuites.

§ 5. Les frais de signification de la contrainte de même que les frais de l'exécution ou des mesures conservatoires sont à charge du contrevenant.

Ils sont déterminés suivant les règles établies pour les actes accomplis par les huissiers de justice en matière civile et commerciale.

Article 57. Les faits sont prescrits trois ans après leur commission. La prescription n'est interrompue que par des actes d'enquête ou de poursuite par un service d'inspection. Ces actes font courir un nouveau délai d'égale durée, même à l'égard des personnes qui n'y sont pas impliquées.

Les mesures administratives ou les amendes administratives sont prescrites cinq ans à compter de la date à laquelle elles doivent être exécutées. Le délai de prescription est suspendu en cas d'un recours contre la décision administrative.

Section 2. - Mesures et amendes administratives

Article 58. Les mesures administratives suivantes peuvent être imposées aux entités sur la base de l'article 51:

1° émettre des avertissements concernant les violations de la présente loi par les entités concernées;

2° adopter des instructions contraignantes ou une injonction exigeant des entités concernées qu'elles remédient aux insuffisances constatées ou aux violations de la présente loi;

3° ordonner aux entités concernées de mettre un terme à un comportement qui viole la présente loi et de ne pas le réitérer;

4° ordonner aux entités concernées de garantir la conformité de leurs mesures de gestion des risques en matière de cybersécurité avec le titre 3 ou de respecter les obligations en matière de notification d'incidents énoncées au même titre, de manière spécifique et dans un délai déterminé;

5° ordonner aux entités concernées d'informer les personnes physiques ou morales à l'égard desquelles elles fournissent des services ou exercent des activités susceptibles d'être affectées par une cybermenace importante de la nature de la menace, ainsi que de toutes mesures préventives ou réparatrices que ces personnes physiques ou morales pourraient prendre en réponse à cette menace;

6° ordonner aux entités concernées de mettre en oeuvre les recommandations formulées à la suite d'un audit de sécurité dans un délai raisonnable;

7° ordonner aux entités concernées de rendre publics les aspects de violations de la présente loi de manière spécifique;

8° lorsque l'entité concernée est une entité essentielle, désigner, pour une période déterminée, un responsable du contrôle ayant des tâches bien définies pour superviser le respect, par les entités concernées, des mesures de gestion des risques en matière de cybersécurité et de notification d'incidents visées au titre 3.

Lorsque l'entité concernée est une entité essentielle, les instructions contraignantes visées à l'alinéa 1er, 2°, concernent également les mesures nécessaires pour éviter un incident ou y remédier, ainsi que les délais pour mettre en oeuvre ces mesures et rendre compte de cette mise en oeuvre.

Article 59. Les amendes administratives suivantes peuvent être imposées aux entités sur la base de l'article 51 ou 52:

1° est puni d'une amende de 500 à 125.000 euros quiconque ne se conforme pas aux obligations d'information visées à l'article 12;

2° est punie d'une amende de 500 à 200.000 euros l'entité qui fait subir des conséquences négatives à une personne agissant pour son compte en raison de l'exécution, de bonne foi et dans le cadre de ses fonctions, des obligations découlant de la présente loi;

3° sans préjudice de l'article 48, § 4, alinéa 1er, 3°, est puni d'une amende de 500 à 200.000 euros quiconque ne se conforme pas aux obligations de contrôle visées au présent titre;

4° est punie d'une amende de 500 à 7.000.000 d'euros ou 1,4 pour cent du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité importante appartient, le montant le plus élevé étant retenu, l'entité importante qui ne se conforme pas aux obligations relatives aux mesures de gestion des risques en matière de cybersécurité et/ou de notification d'incidents visées au titre 3;

5° est punie d'une amende de 500 à 10.000.000 d'euros ou 2 pour cent du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité essentielle appartient, le montant le plus élevé étant retenu, l'entité essentielle qui ne se conforme pas aux obligations relatives aux mesures de gestion des risques en matière de cybersécurité et/ou de notification d'incidents visées au titre 3.

L'amende administrative est doublée en cas de récidive pour les mêmes faits dans un délai de trois ans.

Le concours de plusieurs manquements peut donner lieu à une amende administrative unique proportionnelle à la gravité de l'ensemble des faits.

Article 60. Si les mesures demandées ne sont pas prises dans le délai imparti, les mesures administratives suivantes peuvent être imposées aux entités essentielles sur la base de l'article 52:

1° demander à l'autorité nationale de cybersécurité de suspendre temporairement une certification ou une autorisation concernant tout ou partie des services pertinents fournis ou des activités pertinentes menées par l'entité concernée;

2° interdire temporairement à toute personne physique exerçant des responsabilités dirigeantes à un niveau de directeur général ou de représentant légal dans l'entité concernée d'exercer des responsabilités dirigeantes dans cette entité.

Les suspensions ou interdictions temporaires visées à l'alinéa 1er sont uniquement appliquées jusqu'à ce que l'entité concernée ait pris les mesures nécessaires pour remédier aux insuffisances ou se conformer aux exigences de l'autorité compétente à l'origine de l'application de ces mesures d'exécution.

Article 61. Toute personne physique responsable d'une entité essentielle ou importante ou agissant en qualité de représentant légal d'une entité essentielle ou importante sur la base du pouvoir de la représenter, de prendre des décisions en son nom ou d'exercer son contrôle a le pouvoir de veiller au respect, par l'entité, de la présente loi. Ces personnes sont responsables des manquements à leur devoir de veiller au respect de la présente loi.

Cet article est sans préjudice des règles en matière de responsabilité applicables aux institutions publiques, ainsi que de responsabilité des agents de la fonction publique et des responsables élus ou nommés.

TITRE 5. - Dispositions spécifiques au secteur de l'administration publique

Article 62. Les mesures et amendes administratives visées aux articles 59 et 60 ne s'appliquent pas aux entités faisant partie du secteur de l'administration publique.

Article 63. § 1er. Le Roi est habilité à désigner une autorité comme organisme d'évaluation de la conformité de tout ou partie des entités de l'administration publique.

§ 2. L'autorité visée au paragraphe 1er est agréée par l'autorité nationale de cybersécurité, selon les modalités fixées par le Roi, afin d'effectuer l'évaluation périodique de la conformité visée à l'article 39, alinéa 1er, 1°.

L'agréation visée à l'alinéa 1er porte sur un ou plusieurs des cadres de référence visés à l'article 39.

Article 64. Le service d'inspection de l'autorité nationale de cybersécurité ou, le cas échéant, le service d'inspection sectoriel désigné par le Roi pour le secteur de l'administration publique exerce ses tâches de supervision en jouissant d'une indépendance opérationnelle vis-à-vis des entités de l'administration publique supervisées.

Article 65. L'article 47 est applicable au service d'inspection visé à l'article 64.

TITRE 6. - Traitement des données à caractère personnel

CHAPITRE 1er. - Principes relatifs au traitement

Article 66. Les définitions du règlement (UE) 2016/679 sont d'application pour le présent titre.

Article 67. Les finalités pour lesquelles des traitements de données à caractère personnel sont effectués, sont les suivantes:

1° l'amélioration de la cybersécurité à travers la recherche d'un niveau accru de protection des réseaux et systèmes d'information, le renforcement des politiques de prévention et de sécurité, la prévention des incidents de sécurité et la défense contre les cybermenaces;

2° l'exécution des tâches de l'autorité nationale de cybersécurité, notamment l'identification des entités, l'information et la sensibilisation des utilisateurs des systèmes d'information et de communication, l'octroi de subventions, la coopération internationale entre l'autorité nationale de cybersécurité, des autorités compétentes des autres Etats membres, des forums internationaux de cybersécurité, l'ENISA et la Commission européenne;

3° la gestion des crises cyber et incidents de cybersécurité;

4° l'exécution des tâches du CSIRT national visées aux articles suivants:

5° la coopération, notamment l'échange d'informations entre l'autorité nationale de cybersécurité, les éventuelles autorités sectorielles, le NCCN et les autorités compétentes dans le cadre de la loi du 1er juillet 2011, ainsi que les autorités visées à l'article 25, § 2, dans le cadre de l'exécution de la présente loi et la [¹ loi du 19 décembre 2025]¹;

6° la coopération entre les entités essentielles et importantes et les autorités visées au titre 2, chapitre 1er;

7° le partage d'informations entre les autorités visées à l'article 25, § 5;

8° la continuité des services prestés par les entités importantes ou essentielles;

9° la notification d'incidents et d'incidents évités;

10° le contrôle et la supervision des entités essentielles et importantes, ainsi que la préparation, l'organisation, la gestion et le suivi de mesures et d'amendes administratives.

---

(1)2025-12-19/94, art. 75, 002; En vigueur : 19-01-2026>

Article 68. Les catégories de données à caractère personnel traitées par les responsables de traitement sont les suivantes:

1° pour la finalité visée à l'article 67, 1°: les données d'identification, de connexion, de localisation et de communications électroniques au sens de l'article 2, 91°, de la loi du 13 juin 2005, des personnes concernées par les missions d'amélioration de la cybersécurité, de renforcement des politiques de prévention et de sécurité, de prévention des incidents de sécurité et de défense contre les cybermenaces visées à l'article 67, 1°;

2° pour la finalité visée à l'article 67, 2°: les données d'identification, de connexion, de localisation et de communications électroniques au sens de l'article 2, 91°, de la loi du 13 juin 2005, des personnes concernées par l'exécution des tâches de l'autorité nationale de cybersécurité;

3° pour la finalité visée à l'article 67, 3°: les données d'identification, de connexion, de localisation et de communications électroniques au sens de l'article 2, 91°, de la loi du 13 juin 2005, des personnes concernées par les crises cyber et incidents de cybersécurité;

4° pour la finalité visée à l'article 67, 4°: les données d'identification, de connexion, de localisation, de communications électroniques au sens de l'article 2, 91°, de la loi du 13 juin 2005 et des métadonnées de communications électroniques au sens de l'article 2, 93°, de la loi précitée du 13 juin 2005, des personnes concernées par l'exécution des tâches du CSIRT;

5° pour la finalité visée à l'article 67, 5°: les données d'identification des personnes concernées par la coopération dans le cadre de la [¹ loi du 19 décembre 2025"]¹

6° pour la finalité visée à l'article 67, 6°: les données d'identification des personnes concernées par la coopération;

7° pour la finalité visée à l'article 67, 7°: les données d'identification des personnes concernées par le partage d'informations;

8° pour la finalité visée à l'article 67, 8°: les données d'identification des personnes concernées par l'assurance d'une continuité des services;

9° pour la finalité visée à l'article 67, 9°: les données d'identification, de connexion, de localisation et de communications électroniques au sens de l'article 2, 91°, de la loi du 13 juin 2005, des personnes concernées par l'exercice de notification;

10° pour la finalité visée à l'article 67, 10°: les données à caractère personnel nécessaires et pertinentes à l'exercice des missions de contrôle, de supervision et de sanction, des personnes concernées par ces contrôles, cette supervision ou ces sanctions.

---

(1)2025-12-19/94, art. 76, 002; En vigueur : 19-01-2026>

Article 69. Les catégories de personnes dont les données à caractère personnel sont susceptibles de faire l'objet de traitement sont les suivantes:

1° les personnes participant directement aux missions confiées à l'autorité nationale de cybersécurité en vertu du titre 2;

2° les personnes visées par les obligations qui incombent aux entités essentielles et importantes en vertu du titre 3;

3° les personnes impliquées dans un incident;

4° les personnes directement impliquées dans les exercices de supervision, de contrôle et de sanction, visés au titre 4.

Article 70. Les entités suivantes sont responsables des traitements qu'elles effectuent pour la réalisation des finalités visées à l'article 67:

1° l'autorité nationale de cybersécurité;

2° le NCCN;

3° l'éventuelle autorité sectorielle;

4° l'éventuel service d'inspection sectoriel;

5° les entités essentielles et importantes;

6° les entités fournissant des services d'enregistrement de noms de domaine;

7° les autorités visées à l'article 23, § 1er, 6°.

CHAPITRE 2. - Durée de conservation

Article 71. Les données à caractère personnel traitées dans le cadre des traitements visés par la présente loi en vue de réaliser les finalités prévues à l'article 67, sont conservées, sans préjudice de recours éventuels, par le responsable du traitement cinq ans après la fin du dernier traitement effectué et dix ans maximum après le premier traitement effectué.

CHAPITRE 3. - Limitation des droits des personnes concernées

Article 72. § 1er. En application de l'article 23.1, points a) à e) et h), du règlement (UE) 2016/679, certaines obligations et droits prévus par ledit règlement sont limités ou exclus, conformément aux dispositions du présent chapitre. Ces limitations ou exclusions ne peuvent porter préjudice à l'essence des libertés et droits fondamentaux et doivent être appliquées dans la stricte mesure nécessaire au but poursuivi.

§ 2. Les articles 12 à 16, 18 et 19 dudit règlement ne sont pas applicables aux traitements de données à caractère personnel effectués par une autorité visée à l'article 15 pour la finalité visée à l'article 67, 10°, dans la mesure où l'exercice des droits consacrés par ces articles nuirait aux besoins du contrôle, de la supervision ou des actes préparatoires à celui-ci.

§ 3. L'exemption vaut pour les catégories de données à caractère personnel visées à l'article 68, 10°. Cette exemption vaut également pour les actes préparatoires ou pour les procédures visant à l'application éventuelle d'une sanction administrative.

§ 4. L'exemption ne s'applique que pendant la période au cours de laquelle la personne concernée fait l'objet d'un contrôle, d'une supervision ou d'actes préparatoires à ceux-ci, dans la mesure où l'exercice des droits faisant l'objet de la dérogation visée au présent article nuirait aux besoins du contrôle, de la supervision ou des actes préparatoires à ceux-ci et, en tous les cas, ne s'applique que jusqu'à un an après le début d'un contrôle, d'une supervision ou d'actes préparatoires à ceux-ci.

La durée des actes préparatoires, visés à l'alinéa 1er, pendant laquelle les articles visés au paragraphe 2 ne sont pas applicables, ne peut excéder un an à partir de la réception d'une demande relative à l'application d'un des droits consacrés par ces articles.

§ 5. Le responsable du traitement qui ne se conforme pas à toutes les dispositions du présent titre et en particulier de l'article 73, ne peut pas bénéficier de l'exemption.

Article 73. § 1er. Le responsable du traitement concerné donne accès à la personne concernée à des informations limitées concernant le traitement de ses données à caractère personnel, pour autant que cette communication ne compromette pas la réalisation des objectifs de la présente loi et de manière telle que la personne concernée se trouve dans l'impossibilité de savoir si elle fait l'objet d'une enquête ou pas, et sans pouvoir en aucun cas rectifier, effacer, limiter, notifier, transmettre à un tiers des données à caractère personnel, ni cesser toute forme de traitement desdites données qui soit nécessaire dans le cadre défini ci-avant.

§ 2. La mesure de refus ou de limitation des droits consacrés par les articles visés à l'article 72, § 2, doit être levée:

1° pour les mesures justifiées par les obligations en matière de notification d'incidents, lors de la clôture du traitement d'un incident par les autorités visées aux articles 34 et 38;

2° pour les mesures justifiées par les obligations en vertu du titre 4, lors de la clôture du contrôle, de la supervision ou des actes préparatoires à ceux-ci effectués par le service d'inspection, ainsi que pendant la période durant laquelle l'éventuelle autorité sectorielle traite les pièces provenant du service d'inspection en vue d'exercer des poursuites;

3° au plus tard un an à partir de la réception de la demande introduite en application des articles visés à l'article 72, § 2, sauf si un contrôle ou une supervision sont en cours.

§ 3. Le responsable du traitement concerné lève également la mesure de refus ou de limitation des droits consacrés par les articles visés à l'article 72, § 2, dès qu'une telle mesure n'est plus nécessaire au respect d'une des finalités visées à l'article 67.

§ 4. Dans tous les cas d'application des paragraphe s 2 et 3, le délégué à la protection des données informe par écrit la ou les personnes concernées de la levée de la mesure de refus ou de limitation.

CHAPITRE 4. - Limitations aux obligations de notification des violations de données à caractère personnel

Article 74. Le responsable du traitement concerné est dispensé de communiquer une violation de données à caractère personnel à une ou des personnes concernées bien déterminées, au sens de l'article 34 du règlement (UE) 2016/679, moyennant l'autorisation de l'autorité nationale de cybersécurité, pour autant que et dans la mesure où une telle notification individuelle risque de compromettre la réalisation des finalités visées à l'article 72, § 2.

TITRE 7. - Dispositions finales

CHAPITRE 1er. - Disposition transitoire

Section 1re. [¹ Disposition transitoire ]¹

---

(1)2025-12-19/94, art. 66, 002; En vigueur : 19-01-2026>

Article 75. Le Roi fixe les délais endéans lesquels les entités essentielles effectuent leurs premières évaluations périodiques de la conformité visées à l'article 39.

Section 2. [¹ Disposition interprétative des articles 8 et 38 ainsi que des dispositions du titre 2 ]¹

---

(1)2025-12-19/94, art. 1, 002; En vigueur : 19-01-2026>

Article 75.. 75. [¹ Les articles 8 et 38 ainsi que les dispositions du titre 2 sont interprétés en ce sens qu'ils sont applicables à toute personne physique ou morale présente ou établie en Belgique. ]¹

---

(1)2025-12-19/94, art. 67, 002; En vigueur : 19-01-2026>

CHAPITRE 2. - Dispositions modificatives

Section 1re. - Modifications de la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire

Article 76. Dans l'article 1er de la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire, modifié en dernier lieu par la loi du 7 février 2024, les mots "- "la loi du 7 avril 2019": la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique;" sont remplacés par les mots "- la loi NIS2: la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique;".

Article 77. Dans le chapitre III, section 1re, de la même loi, l'article 15ter, inséré par la loi du 7 avril 2019, est remplacé par ce qui suit:

"Art. 15ter. L'Agence est désignée comme service d'inspection sectoriel, au sens de la loi NIS2, pour le secteur de l'énergie, en ce qui concerne les mesures supplémentaires de gestion des risques en matière de cybersécurité applicables aux éléments d'une installation nucléaire destinée à la production industrielle d'électricité et qui servent au transport de l'électricité.

Le Roi fixe les modalités pratiques des inspections, après avis de l'Agence."

Section 2. - Modifications de la loi du 22 février 1998 fixant le statut organique de la Banque Nationale de Belgique

Article 78. Dans l'article 36/1 de la loi du 22 février 1998 fixant le statut organique de la Banque Nationale de Belgique, modifié en dernier lieu par la loi du 20 décembre 2023, le 28° est remplacé par ce qui suit:

"28° "la loi NIS2": la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique;".

Article 79. A l'article 36/14 de la même loi, modifié en dernier lieu par la loi du 20 décembre 2023, les modifications suivantes sont apportées:

1° au paragraphe 1er, 20°, les mots "à l'autorité visée à l'article 7, § 1er, de la loi du 7 avril 2019" sont remplacés par les mots "à l'autorité nationale de cybersécurité visée à l'article 8, 45°, de la loi NIS2";

2° au même paragraphe , 20° /1, les mots "à l'autorité visée à l'article 7, § 1er, de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique - loi NIS" sont remplacés par les mots "à l'autorité nationale de cybersécurité visée à l'article 8, 45°, de la loi NIS2 et au CSIRT national visé à l'article 8, 46°, de la même loi";

3° au même paragraphe , 24°, les mots "aux autorités visées à l'article 7 de la loi du 7 avril 2019 pour les besoins de l'exécution des dispositions de la loi du 7 avril 2019" sont remplacés par les mots "aux autorités visées à l'article 15 de la loi NIS2 pour les besoins de l'exécution des dispositions de la loi NIS2".

Article 80. L'article 36/47 de la même loi, inséré par la loi du 7 avril 2019, est remplacé par ce qui suit:

"Art. 36/47. Pour l'application de la loi NIS2, la Banque est désignée comme autorité sectorielle et service d'inspection sectoriel pour les entités du secteur des finances, à l'exception des opérateurs de plate-forme de négociation au sens de l'article 3, 6°, de la loi du 21 novembre 2017 relative aux infrastructures des marchés d'instruments financiers et portant transposition de la directive 2014/65/UE.

Si elle le juge utile, la Banque partage le plus vite possible avec la BCE les informations pertinentes sur les notifications d'incident qu'elle reçoit en vertu de la loi NIS2 ou du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.".

Section 3. - Modification de la loi du 2 août 2002 relative à la surveillance du secteur financier et aux services financiers

Article 81. Dans l'article 75, § 1er, 15°, de la loi du 2 août 2002 relative à la surveillance du secteur financier et aux services financiers, modifié en dernier lieu par la loi du 20 juillet 2020, les mots "l'article 7 de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique" sont remplacés par les mots "l'article 15 de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique".

Section 4. - Modifications de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges

Article 82. A l'article 1er/1 de la loi du 17 janvier 2003 relative au statut du régulateur des secteurs des postes et des télécommunications belges, remplacé par la loi du 21 décembre 2021, le 1° est remplacé par ce qui suit:

"1° la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148;".

Article 83. A l'article 14 de la même loi, modifié en dernier lieu par la loi du 17 décembre 2023, les modifications suivantes sont apportées:

1° au paragraphe 1er, alinéa 1er, les mots "loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique" sont remplacés par les mots "loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique";

2° au même paragraphe , alinéa 1er, 3°, le h), est remplacé par ce qui suit:

"h) la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, pour ce qui concerne les tâches dévolues à l'autorité sectorielle et au service d'inspection sectoriel pour le secteur d'infrastructure numérique, à l'exception des prestataires de services de confiance au sens de l'article 8, 24°, de la même loi;";

3° au même paragraphe , l'alinéa 2 est remplacé par ce qui suit:

"Pour l'application de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, l'Institut est désigné comme autorité sectorielle au sens de l'article 8, 54°, de cette même loi et service d'inspection sectoriel au sens de l'article 44, § 1er, alinéa 2, de cette même loi pour le secteur d'infrastructure numérique, à l'exception des prestataires de services de confiance au sens de l'article 8, 24°, de cette même loi, et pour le secteur des services postaux et d'expédition.".

Section 5. - Modifications de la loi du 13 juin 2005 relative aux communications électroniques

Article 84. L'article 1er, alinéa 2, de la loi du 13 juin 2005 relative aux communications électroniques, modifié en dernier lieu par la loi du 21 décembre 2021, est complété par le 7° rédigé comme suit:

"7° la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148.".

Article 85. A l'article 2 de la même loi, modifié en dernier lieu par la loi du 20 juillet 2022, les modifications suivantes sont apportées:

1° le 48/1° est remplacé par ce qui suit:

"48/1° "registre de noms de domaine de premier niveau": une entité à laquelle un domaine de premier niveau spécifique a été délégué et qui est responsable de l'administration du domaine de premier niveau, y compris de l'enregistrement des noms de domaine relevant du domaine de premier niveau et du fonctionnement technique du domaine de premier niveau, notamment l'exploitation de ses serveurs de noms, la maintenance de ses bases de données et la distribution des fichiers de zone du domaine de premier niveau sur les serveurs de noms, que ces opérations soient effectuées par l'entité elle-même ou qu'elles soient sous-traitées, mais à l'exclusion des situations où les noms de domaine de premier niveau sont utilisés par un registre uniquement pour son propre usage;";

2° le 48/3° est inséré rédigé comme suit:

"48/3° "entité fournissant des services d'enregistrement de noms de domaine": un bureau d'enregistrement ou un agent agissant pour le compte de bureaux d'enregistrement, tel qu'un fournisseur ou revendeur de services d'anonymisation ou d'enregistrement fiduciaire;";

3° les 62/2° et 62/3° sont remplacés par ce qui suit:

"62/2° "réseau et système d'information":

62/3° "sécurité des réseaux et des systèmes d'information": la capacité des réseaux et des systèmes d'information de résister, à un niveau de confiance donné, à tout événement susceptible de compromettre la disponibilité, l'authenticité, l'intégrité ou la confidentialité de données stockées, transmises ou faisant l'objet d'un traitement, ou des services que ces réseaux et systèmes d'information offrent ou rendent accessibles;";

4° les 62/4° à 62/8° sont insérés rédigés comme suit:

"62/4° "incident de sécurité": un événement compromettant la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données stockées, transmises ou faisant l'objet d'un traitement, ou des services que les réseaux et systèmes d'information offrent ou rendent accessibles;

62/5° "cybersécurité": la cybersécurité visée à l'article 2, point 1), du règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l'ENISA (Agence de l'Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l'information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité);

62/6° "traitement des incidents": toutes les actions et procédures visant à prévenir, détecter, analyser et contenir un incident ou à y répondre et à y remédier;

62/7° "cybermenace": une cybermenace au sens de l'article 2, point 8), du règlement (UE) 2019/881;

62/8° "cybermenace importante": une cybermenace qui, compte tenu de ses caractéristiques techniques, peut être considérée comme susceptible d'avoir un impact grave sur les réseaux et les systèmes d'information d'une entité ou les utilisateurs des services de l'entité, en causant un dommage matériel, corporel ou moral considérable;";

5° l'article est complété par le 94°, rédigé comme suit:

"94° "fournisseur d'infrastructure numérique": une entité qui relève du secteur d'infrastructure numérique, à l'exception des prestataires de services de confiance, au sens de l'article 8, 24°, de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique.".

Article 86. Dans l'article 6, 4°, de la même loi, remplacé par la loi du 21 décembre 2021, les mots "réseaux et services" sont remplacés par les mots "réseaux et systèmes d'information".

Article 87. Dans l'article 105, § 2, 2°, de la même loi, remplacé par la loi du 17 février 2022, les mots "ou comme opérateur de services essentiels au sens de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique" sont abrogés.

Article 88. Dans la même loi, l'article 107/2, inséré par la loi du 21 décembre 2021, est remplacé par ce qui suit:

"Art. 107/2. § 1er. Sans préjudice des dispositions de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, les fournisseurs d'infrastructure numérique analysent les risques pour la sécurité de leurs réseaux et systèmes d'information. L'Institut peut fixer les modalités de cette analyse des risques.

§ 2. Sans préjudice du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, ci-après dénommé le RGPD et de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, ci-après dénommée la loi du 30 juillet 2018, les opérateurs veillent pour le moins à:

1° garantir que seules des personnes habilitées à agir à des fins légalement autorisées puissent avoir accès aux données à caractère personnel qu'ils traitent;

2° protéger les données à caractère personnel stockées ou transmises contre la destruction accidentelle ou illicite, la perte ou l'altération accidentelles et le stockage, le traitement, l'accès et la divulgation non autorisés ou illicites; et

3° assurer la mise en oeuvre d'une politique de sécurité relative au traitement des données à caractère personnel.

L'Institut est habilité à vérifier les mesures prises par ces opérateurs ainsi qu'à émettre des recommandations sur les meilleures pratiques concernant le degré de sécurité que ces mesures devraient permettre d'atteindre.

§ 3. Les opérateurs prennent toutes les mesures nécessaires, y compris préventives, pour assurer la disponibilité la plus complète possible des services de communications vocales et des services d'accès à l'internet en cas de défaillance exceptionnelle des réseaux ou de force majeure.

Le Roi, sur proposition de l'Institut ou d'initiative, sur avis de celui-ci, peut préciser ces mesures.

§ 4. Les opérateurs offrent gratuitement à leurs abonnés, compte tenu des possibilités techniques, les services sécurisés adéquats, afin de permettre aux utilisateurs finaux d'éviter toute forme de communication électronique non souhaitée.".

Article 89. Dans la même loi, l'article 107/3, inséré par la loi du 21 décembre 2021, est remplacé par ce qui suit:

Art. 107 /3.§ 1er. En cas de cybermenace importante, le fournisseur d'infrastructure numérique informe l'Institut de la cybermenace, de toute mesure de protection ou correctrice que ses utilisateurs peuvent prendre ainsi que des mesures qu'il a prises ou envisage de prendre.

L'Institut peut préciser les cas dans lesquels une information doit être notifiée ainsi que les modalités de cette communication.

§ 2. En cas de violation de données à caractère personnel, l'opérateur de services de communications électroniques avertit sans délai l'Autorité de protection des données, qui en avertit sans délai l'Institut.

Lorsque la violation de données à caractère personnel est de nature à affecter négativement les données à caractère personnel ou la vie privée d'un abonné ou d'un particulier, l'opérateur de services de communications électroniques avertit également sans délai l'abonné ou le particulier concerné de la violation.

L'Autorité de protection des données examine si l'opérateur se conforme à cette obligation et informe l'Institut lorsqu'elle estime que cela n'est pas le cas.

La notification d'une violation des données à caractère personnel à l'abonné ou au particulier concerné n'est pas nécessaire si l'opérateur de services de communications électroniques a prouvé, à la satisfaction de l'Institut, qu'il a mis en oeuvre les mesures de protection technologiques appropriées et que ces dernières ont été appliquées aux données concernées par ladite violation. De telles mesures de protection technologiques rendent les données incompréhensibles à toute personne qui n'est pas autorisée à y avoir accès.

Sans préjudice de l'obligation de l'opérateur de service de communications électroniques d'informer les abonnés et les particuliers concernés, si cet opérateur n'a pas déjà averti l'abonné ou le particulier de la violation de données à caractère personnel, l'Institut peut, à la demande de l'Autorité de protection des données, après avoir examiné les effets potentiellement négatifs de cette violation, exiger qu'il s'exécute.

La notification faite à l'abonné ou au particulier décrit au minimum la nature de la violation de données à caractère personnel et les points de contact auprès desquels des informations supplémentaires peuvent être obtenues et recommande des mesures à prendre pour atténuer les conséquences négatives possibles de la violation de données à caractère personnel.

La notification faite à l'Autorité de protection des données décrit en outre les conséquences de la violation de données à caractère personnel, et les mesures proposées ou prises par l'opérateur de services de communications électroniques pour y remédier.

§ 3. Sous réserve de mesures d'exécution techniques émanant de la Commission européenne conformément à l'article 4, point 5, de la directive 2002/58/CE, et après avis de l'Autorité de protection des données, l'Institut peut adopter des lignes directrices et, le cas échéant, édicter des instructions précisant les circonstances dans lesquelles les opérateurs de services de communications électroniques sont tenus de notifier la violation de données à caractère personnel.

Sous réserve de mesures techniques d'application émanant de la Commission européenne conformément à l'article 4, point 5, de la directive 2002/58/CE, et après avis de l'Institut, l'Autorité de protection des données peut adopter des lignes directrices et, le cas échéant, édicter des instructions précisant le format applicable à cette notification et sa procédure de transmission.

Les opérateurs de services de communications électroniques tiennent à jour un inventaire des violations de données à caractère personnel, notamment de leur contexte, de leurs effets et des mesures prises pour y remédier, de sorte que l'Autorité de protection des données et l'Institut puissent vérifier le respect des dispositions du paragraphe 2. Cet inventaire comprend uniquement les informations nécessaires à cette fin.".

Article 90. Dans la même loi, l'article 107/4, inséré par la loi du 21 décembre 2021, est remplacé par ce qui suit:

"Art. 107/4. § 1er. Le présent article s'applique sans préjudice des dispositions de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, notamment en ce qui concerne les pouvoirs de supervision accordés à l'autorité sectorielle ou au service d'inspection sectoriel.

§ 2. L'Institut peut donner des instructions contraignantes dans le cadre des articles 107/2, 107/3 ainsi que des articles 30 et 33 de la loi du 26 avril 2024 précitée à un fournisseur d'infrastructure numérique, y compris les mesures requises pour remédier à un incident de sécurité ou empêcher qu'un tel incident ne se produise lorsqu'une cybermenace importante a été identifiée, ainsi que les dates limites de mise en oeuvre de ces instructions.

§ 3. Dans le cadre de la supervision des articles 107/2 et 107/3 ainsi que des articles 30 et 33 de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, l'Institut peut soumettre le fournisseur d'infrastructure numérique à:

Les audits de sécurité ciblés visés à l'alinéa 1er, b), sont basés sur des évaluations des risques effectuées par l'Institut ou l'entité contrôlée, ou sur d'autres informations disponibles relatives aux risques.

Lorsque l'audit de sécurité visé à l'alinéa 1er, b), est effectué par un organisme indépendant, le fournisseur d'infrastructure numérique propose à l'Institut un ou plusieurs organismes pour accord. L'Institut donne son accord lorsque l'organisme indépendant est qualifié pour effectuer l'audit et est indépendant par rapport au fournisseur d'infrastructure numérique. A défaut d'accord de l'Institut dans le délai qu'il a fixé lors de la demande, l'Institut désigne lui-même l'organisme indépendant. Ce dernier communique à l'Institut le rapport complet et les résultats de cet audit. Les coûts de l'audit sont à la charge du fournisseur d'infrastructure numérique, sauf lorsque l'Institut en décide autrement dans des cas dûment motivés.

Lorsqu'il exerce ses pouvoirs en vertu du paragraphe 1, e), f) ou g), l'Institut précise la finalité de la demande et les informations exigées.

L'Institut peut fixer les modalités de la fourniture par le fournisseur d'infrastructure numérique des informations concernant l'analyse de risque.