L'environnement de cybersécurité belge est façonné par un mélange de lois nationales et de réglementations de l'Union européenne. Le pays abrite des secteurs d'infrastructures critiques, des institutions financières et des fournisseurs de services numériques qui doivent répondre à des normes de sécurité rigoureuses. Des lois locales telles que la loi NIS2 et les principes fondamentaux du cyberespace complètent les règles de l'UE afin de répondre à des défis nationaux spécifiques.

La conformité aux lois belges et européennes sur la cybersécurité est essentielle pour protéger les données sensibles, maintenir la confiance et respecter les obligations légales. Cet article couvre les principaux cadres pertinents pour les entreprises belges, y compris les lois locales telles que la loi NIS2 et les CyberFundamentals, les règlements de l'UE tels que CRA et GDPR, et les normes mondiales largement adoptées telles que ISO/IEC 27001.

Contenu connexe : La cybersécurité en Belgique - Cadres, réglementations, conseillers

Qu'est-ce que la loi NIS2 (Belgique) ?

La loi belge NIS2 met en œuvre la directive européenne NIS2 au niveau local, avec quelques adaptations nationales. Destinée à améliorer la cybersécurité des infrastructures critiques et des services essentiels, elle met l'accent sur l'amélioration de la gestion des risques, le signalement des incidents et l'attribution de rôles de gouvernance clairs au sein des organisations.

Il s'aligne étroitement sur la directive NIS2 de l'UE, mais comprend des dispositions spécifiques reflétant la stratégie nationale de cybersécurité de la Belgique. Contrairement au GDPR, qui protège les données personnelles, la loi NIS2 vise la sécurité opérationnelle des réseaux et des systèmes. La norme ISO 27001 fournit un cadre volontaire pour la gestion de la sécurité de l'information, tandis que la loi NIS2 est obligatoire pour des secteurs définis.

Lire la description complète de la loi NIS2 ici :
‍Lirel'article

Qui doit se conformer à la loi NIS2 (Belgique) ? 

La loi s'applique à deux groupes principaux :

• Entités essentielles: opérateurs dans des secteurs tels que l'énergie, les transports, la santé, la banque et l'eau potable.
• Entités importantes: infrastructure numérique, services postaux, produits chimiques et autres secteurs essentiels à la société et à l'économie.

Les PME peuvent également tomber sous le coup de la loi si elles sont considérées comme ayant une importance systémique dans leur secteur. La conformité est basée sur la taille de l'entreprise, l'importance sectorielle et l'impact transfrontalier.

Le Centre fédéral belge de cybersécurité (CCB) veille à l'application de la loi, en imposant notamment des amendes et des restrictions opérationnelles. Par exemple, un fournisseur d'infrastructures critiques qui ne signale pas un cyberincident dans les délais impartis s'expose à des amendes substantielles.

Quelles sont les principales exigences de la loi NIS2 (Belgique) ?

La loi est structurée en plusieurs obligations, notamment :

• Gouvernance: désignation d'un membre du conseil d'administration responsable de la cybersécurité.
• Gestion des risques: mise en œuvre de mesures techniques et organisationnelles appropriées (par exemple, contrôle d'accès, segmentation du réseau).
• Rapport d'incident: informer le CCB dans les 24 heures d'un incident important.
• Continuité des activités: politiques de sauvegarde, de réponse aux crises et de reprise après sinistre.
• Sécurité de la chaîne d'approvisionnement: évaluez les risques dans votre réseau de fournisseurs.
• Contrôle régulier de la conformité: audits et actions correctives.

Ces exigences sont obligatoires et ne permettent pas de s'y soustraire en fonction du niveau de risque. La Belgique peut également exiger des portails de déclaration sectoriels et des contrôles supplémentaires.

Loi NIS2 (Belgique) : meilleures pratiques et défis communs

Les organisations mettent en œuvre des politiques de cybersécurité documentées, des évaluations régulières des risques et des plans d'intervention en cas d'incident.

Les entreprises belges sont souvent confrontées aux défis suivants

• Interpréter le chevauchement entre les obligations du NIS2 et celles du GDPR (en particulier en ce qui concerne le signalement des violations).
• Adapter les processus internes à des délais d'établissement de rapports serrés (par exemple, 24 heures).
• Manque d'expertise interne pour mettre en place une gouvernance et une documentation de la sécurité à partir de zéro.

Qu'est-ce que CyberFundamentals ?

CyberFundamentals est un cadre soutenu par le gouvernement belge, destiné aux petites et moyennes entreprises (PME), qui vise à mettre en place une hygiène de base en matière de cybersécurité. Il met l'accent sur des mesures de sécurité pratiques telles que des mots de passe forts, des mises à jour de logiciels et la sensibilisation des employés.

Il complète la loi NIS2, plus stricte, en couvrant les entreprises présentant un profil de risque moins élevé. Contrairement au GDPR qui met l'accent sur la confidentialité des données, CyberFundamentals se concentre sur les fondamentaux de la sécurité opérationnelle. La norme ISO 27001 est plus complète et plus formelle, tandis que la norme CyberFundamentals est conçue comme un point d'entrée accessible.

Qui doit se conformer aux cyberfondamentaux ?

Le cadre vise principalement les PME belges, en particulier celles qui opèrent dans des chaînes de valeur critiques ou qui servent des clients du secteur public. Dans certains secteurs (comme les soins de santé, les marchés publics ou les services publics), la conformité peut être imposée par la réglementation sectorielle ou les contrats avec les clients. Dans d'autres, elle est recommandée comme meilleure pratique.

La coalition belge pour la cybersécurité soutient la mise en œuvre, les autorités locales veillant au respect des règles. Les sanctions sont généralement plus légères, l'accent étant mis sur les conseils et les améliorations plutôt que sur les amendes.

Quelles sont les principales exigences des cyberfondamentaux ?

CyberFundamentals utilise une structure de type liste de contrôle divisée en trois niveaux : basique, intermédiaire et avancé. Chaque niveau s'appuie sur le précédent, avec des tâches pratiques telles que :

• De base: mots de passe forts, antivirus, mises à jour logicielles, accès limité à l'administrateur.
• Important: configuration du pare-feu, formation des employés, vérification des sauvegardes.
• Essentiel: accès à distance sécurisé, plan d'intervention en cas d'incident, surveillance des journaux.

Cette structure modulaire permet aux PME de commencer modestement et de se développer. Les contrôles sont obligatoires à chaque niveau, mais les organisations choisissent jusqu'où elles veulent aller.

Testez votre conformité avec notre évaluation gratuite ici.

Les meilleures pratiques et les défis courants des cyberfondamentaux

Les PME mettent souvent en œuvre des politiques de mots de passe, des sauvegardes régulières et des formations de sensibilisation à l'hameçonnage. Les défis à relever sont les ressources limitées et la compréhension des principes de base de la cybersécurité. Les PME belges confondent parfois les obligations qui se chevauchent avec le GDPR ou le NIS2.

En savoir plus : Qu'est-ce que CyberFundamentals ? 🇧🇪 Le cadre de cybersécurité de la Belgique

Qu'est-ce que le GDPR ?

Le règlement général sur la protection des données (RGPD) est un règlement de l'UE qui protège la confidentialité et la sécurité des données personnelles. Il s'applique à toutes les organisations qui traitent des données personnelles de résidents de l'UE, même si l'entreprise n'est pas située dans l'UE.

Contrairement à des cadres tels que NIS2 ou ISO 27001, le GDPR se concentre sur les droits à la vie privée, le traitement légal et la transparence plutôt que sur les seuls contrôles de sécurité technique. Toutefois, le règlement exige que les organisations mettent en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel, ce qui crée un chevauchement avec les pratiques de cybersécurité.

Qui doit se conformer au GDPR ? 

Toutes les organisations qui traitent des données personnelles de résidents de l'UE, quel que soit leur lieu d'implantation, doivent s'y conformer. L'autorité belge de protection des données (DPA) veille à l'application du GDPR en Belgique.

Les sanctions peuvent atteindre jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros.

Quelles sont les principales exigences du GDPR ?

Le GDPR fixe des obligations dans plusieurs domaines clés :

• Base légale: tout traitement de données doit avoir une justification légale claire (par exemple, consentement, contrat, obligation légale).
• Transparence: les entreprises doivent informer clairement les individus de la manière dont leurs données sont utilisées (via des avis de confidentialité).
• Droits de la personne concernée: les personnes ont des droits d'accès, de rectification, d'effacement et d'opposition au traitement.
• Mesures de sécurité: des protections techniques et organisationnelles appropriées sont exigées (mais ne sont pas normatives).
• Délégué à la protection des données (DPD) : obligatoire pour les autorités publiques ou les organisations qui traitent des données sensibles à grande échelle.
• Notification des violations : les violations de données à caractère personnel doivent être signalées à l'autorité de protection des données dans les 72 heures suivant leur découverte.

Le GDPR est structuré en 99 articles et 173 considérants, mais la conformité pratique se concentre généralement sur les obligations clés ci-dessus.

Meilleures pratiques et défis communs en matière de GDPR 

Les entreprises belges tiennent souvent un registre des activités de traitement (ROPA), effectuent des DPIA pour les traitements à haut risque et forment leur personnel au traitement des données. Beaucoup utilisent des modèles pour gérer les demandes des personnes concernées.

Les défis communs comprennent des bases juridiques peu claires, des retards dans le signalement des violations et une surveillance limitée des sous-traitants tiers. Il existe également une confusion entre les règles de confidentialité du GDPR et les obligations de cybersécurité du NIS2. Certains adoptent la norme ISO 27701 pour soutenir une gestion structurée de la protection de la vie privée.

Qu'est-ce que la loi sur la cyber-résilience ?

La loi sur la cyber-résilience est un règlement de l'UE qui fixe des exigences de sécurité pour les produits numériques et les appareils connectés vendus sur le marché de l'UE. Elle vise à combler la lacune actuelle, à savoir que de nombreux produits sont livrés avec peu ou pas de sécurité intégrée, ce qui expose les utilisateurs à des risques d'exploitation.

L'ARC s'applique à l'ensemble du cycle de vie des produits, du développement et de la conception à la maintenance et aux mises à jour. C'est l'une des premières réglementations européennes à imposer des obligations de sécurité directement aux fabricants, importateurs et distributeurs de produits. Contrairement au GDPR ou au NIS2, qui visent la cybersécurité au niveau de l'organisation ou du service, l'ARC se concentre spécifiquement sur la résilience au niveau du produit.

Qui doit se conformer à l'ARC ?

L'ARC s'applique à toute entité qui fabrique, importe ou distribue des produits numériques dans l'UE, quel que soit son lieu d'établissement. Il s'agit des entités suivantes

• Entreprises technologiques belges développant des appareils connectés ou des outils SaaS
• Les éditeurs de logiciels mondiaux proposant des applications téléchargeables dans l'UE
• Détaillants et distributeurs vendant des produits intelligents en Belgique

Les autorités nationales de surveillance du marché veillent à l'application de la réglementation et prévoient des sanctions en cas de non-respect. La non-conformité peut entraîner des amendes allant jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial, des rappels de produits ou des interdictions de vente.

Quelles sont les principales exigences de l'ARC ?

L'ARC définit des exigences de base en matière de cybersécurité :

• Développement sécurisé: les produits doivent être conçus de manière à minimiser les vulnérabilités exploitables.
• Paramètres de sécurité par défaut: configuration solide par défaut, sans modification de la part de l'utilisateur.
• Gestion des vulnérabilités: les fabricants doivent traiter les rapports et résoudre les problèmes rapidement.
• Support des mises à jour: les mises à jour de sécurité doivent être fournies pendant toute la durée de vie prévue du produit.
• Documentation de conformité: y compris une évaluation des risques et une déclaration de conformité.

Ces exigences s'appliquent avant la vente du produit (avant la mise sur le marché) et après son déploiement (après la mise sur le marché), garantissant ainsi une résilience à long terme.

Meilleures pratiques et défis communs de l'ARC

Les fabricants belges commencent à intégrer des pratiques de codage sécurisées dans leur cycle de développement logiciel (SDLC), à automatiser les analyses de vulnérabilité et à documenter rapidement les preuves de conformité. Nombre d'entre eux mettent également en place des équipes de réponse aux incidents liés à la sécurité des produits (PSIRT) afin de traiter efficacement les problèmes postérieurs à la mise sur le marché.

Parmi les défis à relever, citons l'adaptation des produits plus anciens qui n'ont pas été conçus dans un souci de sécurité, la budgétisation de l'assistance à la mise à jour du cycle de vie et la compréhension des chevauchements entre l'ARC et d'autres lois telles que la directive sur les équipements radio ou les règles existantes en matière de marquage CE.

Qu'est-ce que DORA ?

La loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act - DORA) est un règlement de l'UE qui porte sur la gestion des risques liés aux technologies de l'information et de la communication (TIC) dans le secteur financier.

La loi DORA a été introduite pour combler les lacunes entre la supervision financière existante et la cybersécurité, en unifiant les règles pour les banques, les assureurs, les entreprises d'investissement et les fournisseurs tiers de technologies de l'information et de la communication (TIC). Il complète les réglementations sectorielles (comme les lignes directrices de l'ABE et de la BCE) en introduisant un cadre horizontal de cybersécurité pour les services financiers. Contrairement à la norme ISO 27001, qui est volontaire, DORA est juridiquement contraignante dans toute l'UE, y compris en Belgique.

Qui doit se conformer à la loi DORA ?

La loi DORA s'applique à un large éventail d'entités du secteur financier, notamment

• Banques, établissements de crédit et sociétés de paiement
• Sociétés d'assurance et de réassurance
• Entreprises d'investissement, prestataires de services liés aux crypto-actifs
• Fournisseurs de services TIC critiques (CTPP)

Si une entreprise est réglementée par la législation financière de l'UE, elle est très probablement couverte par la loi DORA. Cela inclut les entreprises belges supervisées par la FSMA (Financial Services and Markets Authority) ou la Banque nationale de Belgique (BNB).

La mise en œuvre débutera en janvier 2025 et les autorités de contrôle auront le pouvoir d'imposer des mesures correctives, des amendes administratives, voire de suspendre des services tiers essentiels.

Quelles sont les principales exigences de DORA ?

Le DORA fixe des règles obligatoires dans cinq domaines clés :

1. Gestion des risques liés aux TIC: maintenir des politiques, des contrôles et une gouvernance pour gérer les cyberrisques de bout en bout.
2. Signalement des incidents : classer les incidents liés aux TIC et signaler les plus importants aux autorités de réglementation dans des délais très courts.
3. Tests de résilience opérationnelle numérique: effectuer des tests de pénétration périodiques et des tests basés sur des scénarios.
4. Gestion des risques liés aux tiers: évaluer, surveiller et contrôler contractuellement les fournisseurs de services TIC.
5. Partage d'informations: encourager le partage de renseignements fiables sur les menaces entre les entités réglementées.

Ces règles sont détaillées dans les 58 articles du règlement et dans les normes techniques connexes des organismes de surveillance de l'UE (ABE, AEMF, AEAPP).

Meilleures pratiques DORA et défis communs

Les organisations financières belges se préparent à la loi DORA en élargissant leurs cadres de gouvernance TIC, en mettant à jour les contrats avec les fournisseurs de cloud et de SaaS et en mettant en place des systèmes de classification des incidents alignés sur les seuils de la loi DORA. Beaucoup alignent leurs politiques internes sur les normes ISO 27001 ou NIST existantes, mais la loi DORA exige une approche plus granulaire des tests opérationnels et de la surveillance par des tiers.

Parmi les défis communs, citons la cartographie de toutes les dépendances des TIC (en particulier dans les chaînes de fournisseurs complexes), l'alignement du DORA sur les multiples réglementations européennes et nationales qui se chevauchent, et la préparation aux tests de résilience obligatoires, ce que de nombreuses entreprises n'ont jamais fait auparavant.

Qu'est-ce que la norme ISO 27001 ?

ISO/IEC 27001 est la principale norme internationale pour les systèmes de gestion de la sécurité de l'information (SGSI). Elle fournit une approche systématique de la gestion des données sensibles et des risques de sécurité.

Bien qu'elle ne soit pas légalement requise en Belgique ou dans l'UE, elle est largement adoptée dans tous les secteurs en tant que meilleure pratique reconnue pour la protection des données, la réduction des risques et l'instauration de la confiance.

Qui devrait adopter la norme ISO 27001 ?

La norme ISO 27001 convient à toute organisation, quelle que soit sa taille ou son secteur, qui souhaite gérer la sécurité de l'information de manière systématique.

L'adoption est volontaire, mais les clients (en particulier dans le domaine du commerce interentreprises) exigent souvent la certification comme condition contractuelle ou de diligence raisonnable. La certification est délivrée par des organismes accrédités et est généralement valable trois ans, avec des audits de surveillance annuels.

Il n' y a pas de sanctions légales en cas de non certification, mais l'absence de pratiques de sécurité structurées peut accroître le risque de violation, la surveillance réglementaire ou les opportunités commerciales manquées.

Quelles sont les principales exigences de la norme ISO 27001 ? 

La norme exige que les organisations

• Établir le champ d'application du SMSI et l'engagement des dirigeants
• Identifier et traiter les risques par le biais d'une évaluation formelle des risques
• Définir les objectifs et les rôles en matière de sécurité
• Mettre en œuvre et maintenir les contrôles de l'annexe A (actualisés à 93 contrôles dans 4 thèmes)
• Mener des audits internes, des revues de direction et favoriser l'amélioration continue.

Les contrôles couvrent tout, de la gestion des accès et du cryptage à la sécurité physique et à l'évaluation des fournisseurs. La norme ISO 27001 ne dicte pas les contrôles à mettre en œuvre, mais attend des organisations qu'elles justifient leurs choix en fonction des risques.

Meilleures pratiques ISO 27001 et défis courants 

Les organisations qui cherchent à obtenir la norme ISO 27001 en Belgique commencent généralement par désigner un responsable interne ou externe du SMSI, par effectuer une analyse des lacunes et par définir une méthodologie simple en matière de risques. Elles établissent un ensemble de documents couvrant les politiques, les procédures, les inventaires des actifs et les registres des risques. Beaucoup utilisent des outils pour suivre la conformité, automatiser les révisions et soutenir les audits.

Les difficultés les plus courantes sont le manque de ressources, en particulier dans les PME, la difficulté d'attribuer la responsabilité des contrôles et le fait de ne pas intégrer le SMSI dans les processus quotidiens, ce qui peut faire de la certification un projet ponctuel plutôt qu'une pratique permanente.

FAQ : Conformité de la Belgique en matière de cybersécurité

Quelles sont les règles applicables aux entreprises étrangères opérant en Belgique ? 

Les entreprises étrangères qui traitent des données personnelles ou offrent des services numériques en Belgique doivent se conformer au GDPR et à la loi NIS2. Une présence locale ou le fait de cibler des clients belges déclenche des obligations.

La certification ISO 27001 peut-elle répondre aux besoins locaux en matière de conformité ?

La norme ISO 27001 s'aligne bien sur les exigences de la Belgique et de l'UE en matière de cybersécurité, mais ne remplace pas les lois obligatoires. Il existe des lacunes dans les règles spécifiques de signalement des incidents et de protection des données.

Quel est le meilleur point de départ pour la mise en conformité en Belgique ?

Commencez par recenser les lois applicables en fonction du secteur et des données traitées, puis procédez à une évaluation des risques afin de hiérarchiser les contrôles.

Quels sont les outils ou services utiles au niveau local ?

Les ressources nationales belges telles que le Centre fédéral de cybersécurité (CCB), les cabinets de conseil en cybersécurité et les plates-formes de soutien de l'UE aident à la mise en conformité. Cyberday offre une assistance pour la mise en œuvre de NIS2 au niveau local et européen.

Comment ces cadres interagissent-ils ?

Elles se complètent : Le GDPR traite de la confidentialité des données, le NIS2 et les lois nationales se concentrent sur la sécurité opérationnelle, tandis que l'ISO 27001 fournit une base de système de gestion. Établissez des priorités en fonction des mandats légaux et de l'impact sur l'entreprise.

Y a-t-il des changements à venir dont il faut être conscient ?

La Belgique met à jour sa loi NIS2 pour l'aligner sur la dernière directive de l'UE. Les dispositions de l'ARC s'appliqueront bientôt aux fabricants de produits numériques. Il est essentiel de rester informé de l'évolution de ces règles.