26 AVRIL 2024. - Loi établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique(NOTE : Consultation des versions antérieures à partir du 17-05-2024 et mise à jour au 19-01-2026)

Article 30. § 1er. Les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d'autres services.

§ 2. Les mesures visées au paragraphe 1er garantissent, pour les réseaux et les systèmes d'information, un niveau de sécurité adapté au risque existant, en tenant compte de l'état des connaissances et, s'il y a lieu, des normes européennes et internationales applicables, ainsi que du coût de mise en oeuvre. Lors de l'évaluation de la proportionnalité de ces mesures, il convient de tenir dûment compte du degré d'exposition de l'entité aux risques, de la taille de l'entité et de la probabilité de survenance d'incidents et de leur gravité, y compris leurs conséquences sociétales et économiques.

§ 3. Les mesures visées au paragraphe 1er sont fondées sur une approche "tous risques" qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique contre les incidents, et elles portent au moins sur:

1° les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information;

2° la gestion des incidents;

3° la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises;

4° la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs;

5° la sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris le traitement et la divulgation des vulnérabilités;

6° des politiques et des procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité;

7° les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité;

8° des politiques et des procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement;

9° la sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifs;

10° l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d'urgence au sein de l'entité, selon les besoins;

11° une politique de divulgation coordonnée des vulnérabilités.

§ 4. Lorsque les entités essentielles et importantes examinent lesquelles des mesures visées au paragraphe 3, 4°, sont appropriées, elles tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé.

Ces mesures doivent être appropriées au regard des résultats des évaluations coordonnées au niveau de l'Union européenne des risques pour la sécurité des chaînes d'approvisionnement critiques.

§ 5. Chaque entité essentielle et importante effectue une analyse des risques fondée sur une approche "tous risques" qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique contre les incidents et élabore, sur la base de cette analyse, une P.S.I. reprenant au moins les aspects visés au paragraphe 3.

§ 6. Lorsqu'une entité essentielle ou importante constate qu'elle ne se conforme pas aux mesures visées au paragraphe 3, elle prend, sans retard injustifié, toutes les mesures correctives nécessaires appropriées et proportionnées.

Article 31. § 1er. Les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité que ces entités prennent afin de se conformer à l'article 30, supervisent leur mise en oeuvre et sont responsables de la violation dudit article par ces entités.

Cet article est sans préjudice des règles en matière de responsabilité applicables aux institutions publiques, ainsi que de responsabilité des agents de la fonction publique et des responsables élus ou nommés.

§ 2. Les membres des organes de direction des entités essentielles et importantes suivent une formation pour que leurs connaissances et compétences soient suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l'entité.

Article 32. L'entité essentielle ou importante est responsable de l'analyse des risques effectuée ainsi que du choix et de la mise en oeuvre des mesures visées à l'article 30, § 1er.

Article 33. Après consultation de l'autorité nationale de cybersécurité, de l'éventuelle autorité sectorielle concernée et des entités fédérées concernées, le Roi peut, par arrêté délibéré en Conseil des ministres, imposer des mesures supplémentaires de gestion des risques en matière de cybersécurité appropriées et proportionnées.

CHAPITRE 2. - Notification d'incidents

Section 1re. - Notification obligatoire

Article 34. § 1er. Les entités essentielles et importantes notifient tout incident significatif sans retard injustifié au CSIRT national, selon les modalités établies dans un protocole conclu entre lui et le NCCN. Ces entités signalent, entre autres, toute information permettant au CSIRT national de déterminer si l'incident a un impact transfrontière.

Le cas échéant, les entités concernées notifient, sans retard injustifié, aux destinataires de leurs services les incidents significatifs susceptibles de nuire à la fourniture des services relatifs aux secteurs ou sous-secteurs repris à l'annexe I et II.

Le CSIRT national communique immédiatement les notifications visées à l'alinéa 1er aux éventuelles autorités sectorielles compétentes. Les notifications des entités essentielles sont également transmises au NCCN.

§ 2. Le cas échéant, les entités concernées communiquent, sans retard injustifié, aux destinataires de leurs services qui sont potentiellement affectés par une cybermenace importante toutes les mesures ou corrections que ces destinataires peuvent appliquer en réponse à cette menace. Le cas échéant, les entités informent également ces destinataires de la cybermenace importante elle-même.

§ 3. Après consultation de l'autorité nationale de cybersécurité, des autorités sectorielles, du NCCN et des entités fédérées, le Roi peut déterminer, par arrêté délibéré en Conseil des ministres, des seuils précis de notification en fonction du degré d'impact ou d'urgence de l'incident.

§ 4. Le simple fait de notifier un incident n'accroît pas la responsabilité de l'entité qui est à l'origine de la notification.

Article 35. § 1er. Aux fins de la notification visée à l'article 34, § 1er, alinéa 1er, les entités concernées soumettent au CSIRT national:

1° sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l'incident significatif, une alerte précoce qui, le cas échéant, indique si l'on suspecte que l'incident significatif a été causé par des actes illicites ou malveillants ou s'il pourrait avoir un impact transfrontière;

2° sans retard injustifié et en tout état de cause dans les septante-deux heures après avoir eu connaissance de l'incident significatif, une notification d'incident qui, le cas échéant, met à jour les informations visées au 1° et fournit une évaluation initiale de l'incident significatif, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu'ils sont disponibles;

3° à la demande du CSIRT national ou de l'éventuelle autorité sectorielle concernée, un rapport intermédiaire sur les mises à jour pertinentes de la situation;

4° un rapport final au plus tard un mois après la présentation de la notification d'incident visée au 2°, comprenant les éléments suivants:

5° en cas d'incident en cours au moment de la présentation du rapport final visé au 4°, les entités concernées fournissent à ce moment-là un rapport d'avancement puis un rapport final dans un délai d'un mois à compter du traitement définitif de l'incident.

§ 2. Par dérogation au paragraphe 1er, 2°, un prestataire de services de confiance notifie au CSIRT national les incidents significatifs qui ont un impact sur la fourniture de ses services de confiance, sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l'incident significatif.

§ 3. Le CSIRT national communique, immédiatement, les notifications visées aux paragraphe s 1er et 2 aux éventuelles autorités sectorielles compétentes. Les notifications des entités essentielles sont également transmises au NCCN.

Article 36. § 1er. Le CSIRT national fournit, sans retard injustifié et si possible dans les vingt-quatre heures suivant la réception de l'alerte précoce visée à l'article 35, § 1er, 1°, une réponse à l'entité émettrice de la notification, y compris un retour d'information initial sur l'incident significatif et, à la demande de l'entité, des orientations ou des conseils opérationnels sur la mise en oeuvre d'éventuelles mesures d'atténuation.

§ 2. Le CSIRT national fournit un soutien technique supplémentaire si l'entité concernée le demande. Lorsqu'il y a lieu de suspecter que l'incident est de nature criminelle, le CSIRT national fournit également des orientations sur les modalités de notification de l'incident significatif aux autorités répressives.

Article 37. § 1er. Lorsque c'est approprié, et notamment si l'incident significatif concerne deux Etats membres ou plus, le CSIRT national informe sans retard injustifié les autres Etats membres touchés et l'ENISA de l'incident significatif. Sont alors partagées des informations du type de celles reçues conformément à l'article 35. Ce faisant, le CSIRT national doit, dans le respect du droit de l'Union européenne ou du droit national, préserver la sécurité et les intérêts commerciaux de l'entité ainsi que la confidentialité des informations communiquées.

§ 2. Lorsque la sensibilisation du public est nécessaire pour prévenir un incident significatif ou pour faire face à un incident significatif en cours, ou lorsque la divulgation de l'incident significatif est par ailleurs dans l'intérêt public, le CSIRT national peut, après avoir consulté l'entité concernée, le NCCN, l'éventuelle autorité sectorielle concernée et le ministre concerné, informer le public de l'incident significatif ou exiger de l'entité qu'elle le fasse.

§ 3. A la demande de l'éventuelle autorité sectorielle concernée, l'autorité nationale de cybersécurité transmet les notifications reçues en vertu de l'article 34, § 1er, alinéa 1er, aux points de contact uniques des autres Etats membres touchés.

§ 4. L'autorité nationale de cybersécurité soumet tous les trois mois à l'ENISA un rapport de synthèse comprenant des données anonymisées et agrégées sur les incidents significatifs, les incidents, les cybermenaces et les incidents évités notifiés conformément à l'article 34, § 1er, alinéa 1er, et à l'article 38, § 1er.

§ 5. Le CSIRT national fournit aux autorités compétentes en vertu de la [¹ loi du 19 décembre 2025]¹ des informations sur les incidents significatifs, les incidents, les cybermenaces et les incidents évités notifiés conformément l'article 34, § 1er, alinéa 1er, et à l'article 38, § 1er, par les [¹ entités critiques au sens de la loi du 19 décembre 2025 ]¹.

---

(1)2025-12-19/94, art. 72, 002; En vigueur : 19-01-2026>

Section 2. - Notification volontaire

Article 38. § 1er. Outre les obligations de notification visées à l'article 34, peuvent être notifiés à titre volontaire au CSIRT national par:

1° les entités essentielles et importantes, les incidents, les cybermenaces et les incidents évités;

2° les entités autres que celles visées au 1°, indépendamment du fait qu'elles relèvent ou non du champ d'application de la présente loi, les incidents significatifs, les cybermenaces et les incidents évités.

§ 2. Les notifications volontaires visées au paragraphe 1er sont traitées de la même manière que les notifications obligatoires visées à la section 1re du présent chapitre.

Les notifications obligatoires peuvent néanmoins être traitées de manière prioritaire par rapport aux notifications volontaires.

Sans préjudice de la prévention et de la détection d'infractions pénales et des enquêtes et poursuites en la matière, un signalement volontaire n'a pas pour effet direct de lancer une inspection visée à l'article 44 ou d'imposer à l'entité ayant effectué la notification des obligations supplémentaires auxquelles elle n'aurait pas été soumise si elle n'avait pas transmis la notification.

TITRE 4. - Supervision et sanctions

CHAPITRE 1er. - Supervision

Section 1re. - Evaluation périodique de la conformité

Article 39. Les entités essentielles se soumettent à une évaluation périodique de la conformité de la mise en oeuvre des mesures de gestion des risques en matière de cybersécurité visées à l'article 30, sur base des modalités et des cadres de référence déterminés par le Roi:

1° Soit en choisissant une évaluation périodique de la conformité visée à l'article 40, sur base de l'un des cadres de référence déterminé par le Roi;

2° Soit en se soumettant à une inspection par l'autorité nationale de cybersécurité, sur base des modalités déterminées par le Roi.

Par dérogation à l'alinéa 1er, et à la demande de l'autorité sectorielle concernée, les inspections visées à l'alinéa 1er, 2°, sont effectuées de manière conjointe, sous la direction de l'autorité nationale de cybersécurité ou sont déléguées à l'éventuel service d'inspection concerné moyennant l'accord de l'autorité nationale de cybersécurité.

Lorsque le Roi détermine plusieurs cadres de référence, les entités essentielles choisissent le cadre de référence auquel ils se soumettent.

Article 40. § 1er. L'évaluation périodique de la conformité visée à l'article 39, alinéa 1er, 1°, est effectuée par un organisme d'évaluation de la conformité agréé par l'autorité nationale de cybersécurité selon les conditions fixées par le Roi.

Pour le contrôle des entités identifiées comme [¹ entités critiques au sens de la loi du 19 décembre 2025]¹ et des entités de l'administration publique, l'organisme d'évaluation de la conformité ainsi que les personnes physiques qui évaluent la conformité disposent d'une habilitation de sécurité.

§ 2. Le service d'inspection de l'autorité nationale de cybersécurité peut à tout moment vérifier le respect des conditions d'agrément visées au paragraphe 1er par les organismes d'évaluation de la conformité, conformément aux dispositions du présent chapitre.

---

(1)2025-12-19/94, art. 73, 002; En vigueur : 19-01-2026>

Article 41. Les entités importantes peuvent, de manière volontaire, se soumettre à une évaluation périodique de la conformité visée à l'article 39, alinéa 1er, 1°, de la mise en oeuvre des mesures de gestion des risques en matière de cybersécurité visées à l'article 30, § 3, sur base des modalités et des cadres de référence déterminés par le Roi.

Article 42. Les entités essentielles et importantes qui se soumettent à une évaluation périodique de la conformité visée à l'article 39, alinéa 1er, 1°, respectivement conformément à l'article 39 et 41 sont, jusqu'à preuve du contraire, présumées respecter les obligations visées à l'article 30.

Article 43. Une liste des organismes d'évaluation de la conformité agréés par l'autorité nationale de cybersécurité conformément à l'article 40 est disponible auprès de l'autorité nationale de cybersécurité, qui la tient à jour.

Section 2. - Dispositions générales relatives au service d'inspection

Article 44. § 1er. Le service d'inspection de l'autorité nationale de cybersécurité réalise des contrôles du respect par les entités essentielles et importantes des mesures de gestion des risques en matière de cybersécurité et des règles de notification des incidents.

Par dérogation à l'alinéa 1er, et à la demande de l'autorité sectorielle concernée, ces contrôles sont effectués de manière conjointe, sous la direction de l'autorité nationale de cybersécurité, ou sont délégués à l'éventuel service d'inspection concerné moyennant l'accord de l'autorité nationale de cybersécurité.

L'autorité sectorielle ou le service d'inspection sectoriel compétents, ou, lorsqu'aucun service d'inspection sectoriel n'a été désigné par la loi ou par le Roi, le service d'inspection de l'autorité nationale de cybersécurité peut réaliser des contrôles du respect par les entités essentielles et importantes des mesures de gestion des risques en matière de cybersécurité sectorielles ou sous-sectorielles supplémentaires visées à l'article 33.

§ 2. Au moment de formuler une demande d'informations ou de preuves, le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents mentionnent la finalité de la demande, les informations ou preuves précises demandées et le délai dans lequel celles-ci doivent être fournies.

Le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétent peuvent faire appel à des experts.

§ 3. Le service d'inspection de l'autorité nationale de cybersécurité ainsi que les éventuels autorités sectorielles et services d'inspection sectoriels peuvent fixer des priorités en ce qui concerne les tâches de supervision visées au présent titre selon une approche basée sur les risques.

§ 4. Lorsqu'ils traitent des incidents donnant lieu à des violations de données à caractère personnel telles que définies à l'article 4, point 12), du règlement (UE) 2016/679, le service d'inspection de l'autorité nationale de cybersécurité ainsi que les éventuels autorités sectorielles et services d'inspection sectoriels coopèrent étroitement avec les autorités de protection des données, sans préjudice de la compétence et des missions de ces dernières.

Article 45. § 1er. Le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents informent les autorités compétentes en vertu de la [¹ loi du 19 décembre 2025]¹ lorsqu'ils exercent leurs pouvoirs de supervision et d'exécution dans le but de garantir [¹ qu'une entité critique au sens de la loi du 19 décembre 2025]¹ respecte la présente loi. Le cas échéant, les autorités compétentes en vertu de la [¹ loi du 19 décembre 2025]¹ peuvent demander au service d'inspection de l'autorité nationale de cybersécurité et à l'éventuelle autorité sectorielle ou à l'éventuel service d'inspection sectoriel compétents d'exercer leurs pouvoirs de supervision et d'exécution à l'égard [¹ d'une entité critique au sens de la loi du 19 décembre 2025-1.

§ 2. Le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents coopèrent avec les autorités compétentes pertinentes en vertu du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011. En particulier, le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents informent le forum de supervision institué en vertu de l'article 32, paragraphe 1, dudit règlement lorsqu'ils exercent leurs pouvoirs de supervision et d'exécution dans le but de garantir qu'une entité essentielle ou importante qui a été désignée comme étant un prestataire tiers critique de services TIC au titre de l'article 31 dudit règlement respecte la présente loi.

---

(1)2025-12-19/94, art. 74, 002; En vigueur : 19-01-2026>

Article 46. § 1er. Lorsque les réseaux et les systèmes d'information d'une entité sont situés en dehors du territoire belge, le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents, en concertation avec l'autorité nationale de cybersécurité, peuvent solliciter la coopération et l'assistance des autorités de contrôle compétentes d'autres Etats membres.

Dans le cadre de la sollicitation visée à l'alinéa 1er:

1° le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents peuvent demander aux autorités de contrôle compétentes d'autres Etats membres de prendre des mesures de supervision ou d'exécution;

2° le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents peuvent demander, de manière motivée, aux autorités de contrôle compétentes d'autres Etats membres une assistance mutuelle afin que les mesures de supervision ou d'exécution puissent être mises en oeuvre de manière effective, efficace et cohérente.

L'assistance mutuelle visée à l'alinéa 2, 2°, peut porter sur des demandes d'informations et des mesures de contrôle, y compris des demandes de procéder à des inspections sur place, à des contrôles à distance ou à des audits de sécurité ciblés.

§ 2. De manière proportionnée à leurs ressources et pour autant que cela rentre dans le cadre de leurs compétences, le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents coopèrent et apportent leur assistance aux autorités de contrôle compétentes en matière de cybersécurité d'autres Etats membres qui en font la demande, lorsque les réseaux et les systèmes d'information de l'entité concernée sont situés dans le territoire belge.

Dans le cadre de la demande visée à l'alinéa 1er:

1° l'autorité nationale de cybersécurité centralise les informations et consultations en ce qui concerne les mesures de supervision et d'exécution prises par elle-même, par l'éventuelle autorité sectorielle et par l'éventuel service d'inspection sectoriel compétents et les communique aux autorités de contrôle compétentes en matière de cybersécurité d'autres Etats membres;

2° ladite demande peut porter sur des mesures de supervision ou d'exécution;

3° ladite demande peut, de manière motivée, porter sur une assistance mutuelle afin que les mesures de supervision ou d'exécution puissent être mises en oeuvre de manière effective, efficace et cohérente.

L'assistance mutuelle visée à l'alinéa 2, 3°, peut porter sur des demandes d'informations et des mesures de contrôle, y compris des demandes de procéder à des inspections sur place, à des contrôles à distance ou à des audits de sécurité ciblés.

L'autorité à laquelle une demande d'assistance est adressée ne peut refuser cette demande que s'il est établi que ladite autorité n'est pas compétente pour fournir l'assistance demandée, que l'assistance demandée n'est pas proportionnée aux tâches de supervision de ladite autorité ou que la demande concerne des informations ou implique des activités dont la divulgation ou l'exercice seraient contraires aux intérêts essentiels de la sécurité nationale, la sécurité publique ou la défense de la Belgique. Avant de refuser une telle demande, ladite autorité consulte les autres autorités compétentes concernées ainsi que, à la demande de l'un des Etats membres concernés, la Commission européenne et l'ENISA.

§ 3. D'un commun accord, le service d'inspection de l'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents peuvent mener à bien des actions communes de supervision entre elles et/ou avec les autorités de contrôle compétentes d'autres Etats membres.

§ 4. Le présent article n'est pas applicable aux missions diplomatiques et consulaires.

Article 47. § 1er. Les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents sont dotés d'une carte de légitimation dont le modèle est fixé par le Roi.

§ 2. Les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétent et les experts appelés à participer à l'inspection ne peuvent avoir un intérêt quelconque, direct ou indirect, dans les entreprises ou institutions qu'ils sont chargés de contrôler, susceptible de compromettre leur objectivité. Ils prêtent serment auprès du fonctionnaire dirigeant de leur service.

Les autorités visées à l'article 44, § 1er, prennent les mesures nécessaires afin d'assurer l'indépendance des membres de leur personnel et de prévenir, d'identifier et de résoudre efficacement les conflits d'intérêts lors de l'exécution de leurs tâches.

La notion de conflit d'intérêts vise au moins les situations dans lesquelles un membre du personnel des autorités visées à l'article 44, § 1er, a, directement ou indirectement, un intérêt financier, économique ou un autre intérêt personnel qui pourrait être perçu comme compromettant son impartialité et son indépendance dans le cadre de sa mission ou de ses fonctions.

§ 3. Les membres du personnel des autorités visées à l'article 44, § 1er, ne reçoivent ni ne cherchent pas, dans les limites de leurs attributions, de façon directe ou indirecte, d'instructions de personne tierce.

Il leur est interdit d'être présents lors d'une délibération ou décision sur les dossiers pour lesquels ils ont un intérêt personnel ou direct ou pour lesquels leurs parents ou alliés jusqu'au troisième degré ont un intérêt personnel ou direct.

Le Roi peut également désigner d'autres situations comme étant des conflits d'intérêts.

Section 3. - La supervision des entités par le service d'inspection

Article 48. § 1er. Sans préjudice des attributions des officiers de police judiciaire visées à l'article 8 du Code d'instruction criminelle, les membres assermentés du service d'inspection de l'autorité nationale de cybersécurité et les membres assermentés de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents disposent, dans l'exercice de leur mission de supervision, des compétences de contrôle suivantes, tant dans le cadre de démarches administratives que dans le cadre de la constatation de violations de la présente loi:

1° demander l'accès à et obtenir une copie de tout document ou toute information nécessaire à l'exercice de leur mission de supervision, notamment les preuves de la mise en oeuvre de politiques de cybersécurité, telles que les résultats des évaluations de la conformité ou des audits de sécurité ou les éléments de preuve sous-jacents correspondants;

2° procéder, sur place ou à distance, à tout examen, contrôle et audition, y compris des contrôles aléatoires effectués par des professionnels formés;

3° soumettre les entités essentielles à des audits de sécurité réguliers et ciblés réalisés par un organisme indépendant, basés sur des évaluations des risques effectuées par le service d'inspection concerné ou l'entité contrôlée, ou sur d'autres informations disponibles relatives aux risques;

4° requérir toutes les informations qu'ils estiment nécessaires à l'évaluation des mesures de gestion des risques en matière de cybersécurité adoptées par l'entité concernée, notamment les politiques de cybersécurité consignées par écrit, du respect de l'obligation de soumettre des informations à l'autorité nationale de cybersécurité ou à l'éventuelle autorité sectorielle conformément au titre 1er et de la mise en oeuvre de la présente loi;

5° réaliser un audit ad hoc, notamment lorsqu'il est justifié en raison d'un incident significatif ou d'une violation de la présente loi;

6° effectuer des scans de sécurité fondés sur des critères d'évaluation des risques objectifs, non discriminatoires, équitables et transparents, si nécessaire avec la coopération de l'entité concernée;

7° prendre l'identité des personnes qui se trouvent sur les lieux utilisés par l'entité et dont ils estiment l'audition nécessaire pour l'exercice de leur mission. A cet effet, ils peuvent exiger de ces personnes la présentation de documents officiels d'identification;

8° le cas échéant, demander l'assistance des services de la police fédérale ou locale dans le cadre de l'usage de la force;

9° solliciter des informations auprès des membres du personnel visés à l'article 9 de la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire, pour les besoins de l'exécution des dispositions de la présente loi;

10° pénétrer sans avertissement préalable, sur présentation de leur carte de légitimation, dans tous les lieux utilisés par l'entité; ils n'ont accès aux locaux habités que moyennant autorisation préalable délivrée par le juge d'instruction.

§ 2. Dans le cadre de l'inspection des entités importantes, les compétences de contrôle visées au paragraphe 1er s'effectuent de manière ex post, sur base d'éléments de preuve, d'indications ou d'informations selon lesquels une entité importante ne respecte pas la présente loi.

§ 3. Pour obtenir l'autorisation de pénétrer dans des locaux habités, les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents adressent une demande motivée au juge d'instruction. Cette demande contient au moins les données suivantes:

1° l'identification des espaces habités auxquels ils souhaitent avoir accès;

2° les manquements éventuels qui font l'objet du contrôle;

3° tous les documents et renseignements desquels il ressort que l'utilisation de ce moyen est nécessaire.

Le juge d'instruction décide dans un délai de quarante-huit heures maximum après réception de la demande. La décision du juge d'instruction est motivée. En l'absence de décision dans le délai prescrit, la visite des lieux est réputée être refusée. Le service d'inspection de l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents peut introduire un recours contre la décision de refus ou l'absence de décision devant la chambre des mises en accusation dans les quinze jours de la notification de la décision ou de l'expiration du délai.

Les visites sans autorisation de l'occupant dans des locaux habités se font entre cinq et vingt-et-une heures par au moins deux membres du service d'inspection agissant conjointement.

§ 4. Au début de toute audition, il est communiqué à la personne interrogée:

1° que ses déclarations peuvent être utilisées comme preuve en justice;

2° qu'elle peut demander que toutes les questions qui lui sont posées et les réponses qu'elle donne soient actées dans les termes utilisés;

3° qu'elle a le droit de garder le silence et de ne pas contribuer à sa propre incrimination.

Toute personne interrogée peut utiliser les documents en sa possession, sans que cela puisse entraîner le report de l'audition. Elle peut, lors de l'audition ou ultérieurement, exiger que ces documents soient joints à l'audition.

L'audition mentionne avec précision l'heure à laquelle elle a pris cours, est éventuellement interrompue et reprise, et prend fin. Elle mentionne l'identité des personnes qui interviennent lors de l'audition ou lors d'une partie de celle-ci.

A la fin de l'audition, la personne interrogée a le droit de relire celle-ci ou de demander que lecture lui en soit faite. Elle peut demander à ce que ses déclarations soient corrigées ou complétées.

Les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents qui interrogent une personne l'informent qu'elle peut demander une copie du texte de son audition. Cette copie lui est délivrée gratuitement.

§ 5. Les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents peuvent consulter tous les supports d'information et les données qu'ils contiennent. Ils peuvent se faire produire sur place le système informatique et les données qu'il contient dont ils ont besoin pour leurs examens et constatations, et en prendre ou en demander gratuitement des extraits, des duplicatas ou des copies, sous une forme lisible et intelligible qu'ils ont demandée.

S'il n'est pas possible de prendre des copies sur place, les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents peuvent saisir, contre récépissé contenant un inventaire, le système informatique et les données qu'il contient.

§ 6. Pour étendre les recherches dans un système informatique ou une partie de celui-ci, entamées sur la base du paragraphe 5, vers un système informatique ou une partie de celui-ci qui se trouve dans un autre lieu que celui où la recherche est effectuée, le service d'inspection de l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents peut solliciter l'intervention d'un juge d'instruction.

§ 7. Lorsque le service d'inspection de l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents prend connaissance, dans le cadre de la supervision ou de l'exécution, du fait que la violation commise par une entité essentielle ou importante à l'égard des obligations énoncées aux articles 30 et 34 à 37 peut donner lieu à une violation de données à caractère personnel au sens de l'article 4, point 12, du règlement (UE) 2016/679, devant être notifiée en vertu de l'article 33 dudit règlement, ils en informent sans retard injustifié les autorités de protection des données.

Lorsque l'autorité de protection des données compétente est établie dans un autre Etat membre que la Belgique, le service d'inspection de l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents informe l'autorité de protection des données compétente établie en Belgique de la violation potentielle de données à caractère personnel visée à l'alinéa 1er.

§ 8. Lors de l'exécution de leurs pouvoirs de contrôle visés au présent article, les membres assermentés des autorités visées à l'article 44, § 1er, veillent à ce que les moyens qu'ils utilisent soient appropriés et nécessaires pour ledit contrôle.

Article 49. § 1er. Après chaque inspection, les membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents rédigent un rapport et en transmettent une copie à l'entité inspectée.

§ 2. L'autorité nationale de cybersécurité et l'éventuelle autorité sectorielle se communiquent mutuellement leur rapports d'inspection.

Article 50. § 1er. L'entité supervisée apporte son entière collaboration aux membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents dans l'exercice de leurs fonctions et notamment pour informer ceux-ci au mieux de toutes les mesures de sécurité existantes.

Si nécessaire, l'entité met à disposition des membres du service d'inspection de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents le matériel nécessaire de manière à ce qu'ils remplissent les consignes de sécurité lors des inspections.

§ 2. Les coûts des inspections ne sont pas mis à charge des entités.

Par dérogation à l'alinéa précédent, le Roi peut déterminer, par secteur ou sous-secteur, par arrêté délibéré en Conseil des ministres et après avis de l'autorité nationale de cybersécurité et de l'éventuelle autorité sectorielle concernée, des rétributions relatives aux prestations d'inspections. Il en fixe les modalités de calcul et de paiement.

§ 3. Le fait pour quiconque d'empêcher ou d'entraver volontairement l'exécution d'un contrôle effectué par les membres du service d'inspection de l'autorité nationale de cybersécurité ou de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents, de refuser de communiquer les informations qui lui sont demandées à l'occasion de ce contrôle, ou de communiquer sciemment des informations inexactes ou incomplètes est constaté dans un procès-verbal par les membres assermentés du service d'inspection de l'autorité nationale de cybersécurité ou de l'éventuelle autorité sectorielle ou de l'éventuel service d'inspection sectoriel compétents.

CHAPITRE 2. - Les mesures et amendes administratives

Section 1re. - Procédure

Article 51. § 1er. Lorsqu'un ou plusieurs manquements aux exigences imposées par la présente loi, ses arrêtés d'exécution ou les décisions administratives individuelles y afférentes sont observés, les faits peuvent être constatés dans un procès-verbal rédigé par les membres assermentés du service d'inspection de l'autorité nationale de cybersécurité, de l'éventuel service d'inspection sectoriel ou de l'éventuelle autorité sectorielle concernée, conformément à l'article 44, § 1er

Moyennant l'accord de l'autorité nationale de cybersécurité, l'autorité sectorielle peut imposer à une entité des mesures et amendes administratives visées à la section 2.

L'autorité nationale de cybersécurité informe l'autorité sectorielle concernée lorsqu'elle a l'intention d'imposer à une entité des mesures et amendes administratives visées aux articles 58 et 59.

Lorsque les autorités visées aux alinéas 1er et 2 prennent connaissance, dans le cadre de leur mission de supervision, du fait qu'un manquement visé à l'alinéa 1er ou 2, commis par une entité essentielle ou importante, peut donner lieu à une violation de données à caractère personnel au sens de l'article 4, point 12), du règlement (UE) 2016/679, devant être notifiée en vertu de l'article 33 dudit règlement, elles en informent sans retard injustifié les autorités de protection des données compétentes.

§ 2. Sur la base du procès-verbal visé au paragraphe 1er et, le cas échéant, des rapports pertinents visés à l'article 49, § 1er, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente peut rédiger un projet de décision contenant au moins les références du procès-verbal qui constate l'infraction et qui relate les faits à propos desquels la procédure est entamée et une ou plusieurs mesures ou amendes administratives visées à l'article 58 et/ou 59 envisagées ainsi que le délai endéans lequel l'entité concernée exécuterait les mesures administratives.

Le délai visé à l'alinéa 1er est déterminé en tenant compte des conditions de fonctionnement de l'entité et des mesures à mettre en oeuvre.

§ 3. L'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente envoie le projet de décision visé au paragraphe 2 à l'entité concernée en exposant, en détail, les motifs relatifs aux mesures et/ou amendes administratives envisagées et lui fait part de son droit, dans les trente jours de la réception de cette information, de formuler par écrit ses moyens de défense ou de solliciter d'être d'entendu. L'information est présumée reçue par le contrevenant le sixième jour suivant l'envoi du projet de décision précité.

Par exception à l'alinéa 1er, le projet de décision n'est pas envoyé au préalable à l'entité concernée dans des cas exceptionnels, dûment motivés, où cela entraverait une intervention immédiate pour prévenir un incident ou y répondre.

§ 4. Après que l'entité concernée a pu faire valoir ses moyens de défense, à la fin du délai visé au paragraphe 3, alinéa 1er, ou dans le cas visé au paragraphe 3, alinéa 2, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente maintient ou modifie le projet de décision visé au paragraphe 2, alinéa 1er ou y renonce, en tenant compte de la catégorie d'entité à laquelle appartient l'entité concernée, des moyens de défense de cette dernière et des éléments visés à l'article 54.

Article 52. § 1er. Lorsque les mesures d'exécution adoptées en vertu de l'article 58, 1° à 4°, et 6°, sont inefficaces, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente peut fixer un délai dans lequel une entité essentielle est invitée à prendre les mesures nécessaires pour pallier les insuffisances ou satisfaire à ses exigences.

§ 2. Lorsqu'une entité essentielle ne se conforme pas à la ou aux mesures contenues dans la décision visée à l'article 51, § 4, l'autorité qui a pris cette décision constate les faits dans un procès-verbal.

§ 3. Sur la base du procès-verbal visé au paragraphe 2, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente rédige un projet de décision contenant au moins une ou plusieurs mesures ou amendes administratives visées aux articles 59 et/ou 60 envisagées.

§ 4. L'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente envoie le projet de décision visé au paragraphe 3 à l'entité concernée en exposant, en détail, les motifs relatifs aux mesures et/ou amendes administratives envisagées et lui fait part de son droit, dans les trente jours de la réception de cette information, de formuler par écrit ses moyens de défense ou de solliciter d'être entendu. L'information est présumée reçue par le contrevenant le sixième jour suivant l'envoi du projet de décision précité.

Par exception à l'alinéa 1er, le projet de décision n'est pas envoyé au préalable à l'entité concernée dans des cas exceptionnels, dûment motivés, où cela entraverait une intervention immédiate pour prévenir un incident ou y répondre.

§ 5. Après que l'entité concernée ait pu faire valoir ses moyens de défense, à la fin du délai visé au paragraphe 4, alinéa 1er, ou dans le cas visé au paragraphe 4, alinéa 2, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente maintient ou modifie le projet de décision visé au paragraphe 3 ou y renonce en tenant compte des moyens de défense de l'entité concernée et des éléments visés à l'article 54.

Article 53. Les procès-verbaux rédigés par les membres assermentés du service d'inspection font foi jusqu'à preuve du contraire.

Article 54. § 1er. Lorsqu'elle prend toute mesure d'exécution dans le cadre des procédures visées aux articles 51 et 52, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente respecte les droits de la défense, tient compte des circonstances propres à chaque cas et, au minimum, tient dûment compte:

1° de la catégorie visée aux articles 9 et 10 à laquelle l'entité concernée appartient;

2° de la gravité de la violation et de l'importance des dispositions enfreintes, les faits suivants, entre autres, devant être considérés en tout état de cause comme graves:

3° de la durée de la violation;

4° de toute violation antérieure pertinente commise par l'entité concernée;

5° des dommages matériels, corporels ou moraux causés, y compris des pertes financières ou économiques, des effets sur d'autres services et du nombre d'utilisateurs touchés;

6° du fait que l'auteur de la violation a agi délibérément ou par négligence;

7° des mesures prises par l'entité pour prévenir ou atténuer les dommages matériels, corporels ou moraux;

8° de l'application de codes de conduite approuvés ou de mécanismes de certification approuvés;

9° du degré de coopération avec le service d'inspection de l'autorité nationale de cybersécurité ou avec l'éventuelle autorité sectorielle ou l'éventuel service d'inspection sectoriel compétents des personnes physiques ou morales tenues pour responsables.

§ 2. Lorsque les autorités de protection des données imposent une amende administrative en vertu de l'article 58, paragraphe 2, point i), du règlement (UE) 2016/679, l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente n'impose pas d'amende administrative pour une violation découlant du même comportement que celui qui a fait l'objet d'une amende administrative au titre de l'article 58, paragraphe 2, point i), dudit règlement.

Article 55. § 1er. Les décisions visées aux articles 51 et 52 sont notifiées par envoi recommandé au contrevenant.

§ 2. Les amendes administratives imposées par une décision visée à l'article 51 ou 52 doivent être acquittées dans les soixante jours qui suivent la réception de l'envoi recommandé visé au paragraphe 1er.

Ce délai peut être augmenté en fonction du montant de l'amende administrative.

Le délai visé à l'alinéa 1er est réputé commencer au plus tard six jours après l'envoi recommandé visé au paragraphe 1er.

§ 3. Lorsqu'une décision visée à l'article 51 ou 52 impose une mesure administrative autre qu'une amende administrative, cette décision précise le délai endéans lequel la mesure doit être exécutée.

§ 4. L'autorité nationale de cybersécurité et, le cas échéant, l'éventuelle autorité sectorielle se communiquent mutuellement leur décision visée à l'article 51 ou 52.

Article 56. § 1er. Lorsque l'entité concernée reste en défaut de payer l'amende administrative dans le délai imparti, la décision d'infliger une amende administrative a force exécutoire et l'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente peut décerner une contrainte.

La contrainte est décernée par un représentant légal de l'autorité nationale de cybersécurité ou de l'éventuelle autorité sectorielle compétente ou par un membre du personnel habilité à cette fin.

§ 2. La contrainte est signifiée au contrevenant par exploit d'huissier de justice. La signification contient un commandement de payer dans les quarante-huit heures, à peine d'exécution par voie de saisie, de même qu'une justification comptable des sommes exigées ainsi que copie de l'exécutoire.

§ 3. Le contrevenant peut former opposition à la contrainte devant le juge des saisies.

L'opposition est motivée à peine de nullité. Elle est formée au moyen d'une citation de l'autorité nationale de cybersécurité ou de l'éventuelle autorité sectorielle compétente signifiée par exploit d'huissier dans les quinze jours à partir de la signification de la contrainte.

Les dispositions du chapitre VIII de la première partie du Code judiciaire sont applicables à ce délai, y compris les prorogations prévues à l'article 50, alinéa 2, et à l'article 55 de ce Code.

L'exercice de l'opposition à la contrainte suspend l'exécution de celle-ci, ainsi que la prescription des créances contenues dans la contrainte, jusqu'à ce qu'il ait été statué sur son bien-fondé. Les saisies déjà pratiquées antérieurement conservent leur caractère conservatoire.

§ 4. L'autorité nationale de cybersécurité ou l'éventuelle autorité sectorielle compétente peut faire pratiquer la saisie conservatoire et exécuter la contrainte en usant des voies d'exécution prévues à la cinquième partie du Code judiciaire.

Les paiements partiels effectués en suite de la signification d'une contrainte ne font pas obstacle à la continuation des poursuites.

§ 5. Les frais de signification de la contrainte de même que les frais de l'exécution ou des mesures conservatoires sont à charge du contrevenant.

Ils sont déterminés suivant les règles établies pour les actes accomplis par les huissiers de justice en matière civile et commerciale.

Article 57. Les faits sont prescrits trois ans après leur commission. La prescription n'est interrompue que par des actes d'enquête ou de poursuite par un service d'inspection. Ces actes font courir un nouveau délai d'égale durée, même à l'égard des personnes qui n'y sont pas impliquées.

Les mesures administratives ou les amendes administratives sont prescrites cinq ans à compter de la date à laquelle elles doivent être exécutées. Le délai de prescription est suspendu en cas d'un recours contre la décision administrative.

Section 2. - Mesures et amendes administratives

Article 58. Les mesures administratives suivantes peuvent être imposées aux entités sur la base de l'article 51:

1° émettre des avertissements concernant les violations de la présente loi par les entités concernées;

2° adopter des instructions contraignantes ou une injonction exigeant des entités concernées qu'elles remédient aux insuffisances constatées ou aux violations de la présente loi;

3° ordonner aux entités concernées de mettre un terme à un comportement qui viole la présente loi et de ne pas le réitérer;

4° ordonner aux entités concernées de garantir la conformité de leurs mesures de gestion des risques en matière de cybersécurité avec le titre 3 ou de respecter les obligations en matière de notification d'incidents énoncées au même titre, de manière spécifique et dans un délai déterminé;

5° ordonner aux entités concernées d'informer les personnes physiques ou morales à l'égard desquelles elles fournissent des services ou exercent des activités susceptibles d'être affectées par une cybermenace importante de la nature de la menace, ainsi que de toutes mesures préventives ou réparatrices que ces personnes physiques ou morales pourraient prendre en réponse à cette menace;

6° ordonner aux entités concernées de mettre en oeuvre les recommandations formulées à la suite d'un audit de sécurité dans un délai raisonnable;

7° ordonner aux entités concernées de rendre publics les aspects de violations de la présente loi de manière spécifique;

8° lorsque l'entité concernée est une entité essentielle, désigner, pour une période déterminée, un responsable du contrôle ayant des tâches bien définies pour superviser le respect, par les entités concernées, des mesures de gestion des risques en matière de cybersécurité et de notification d'incidents visées au titre 3.

Lorsque l'entité concernée est une entité essentielle, les instructions contraignantes visées à l'alinéa 1er, 2°, concernent également les mesures nécessaires pour éviter un incident ou y remédier, ainsi que les délais pour mettre en oeuvre ces mesures et rendre compte de cette mise en oeuvre.

Article 59. Les amendes administratives suivantes peuvent être imposées aux entités sur la base de l'article 51 ou 52:

1° est puni d'une amende de 500 à 125.000 euros quiconque ne se conforme pas aux obligations d'information visées à l'article 12;

2° est punie d'une amende de 500 à 200.000 euros l'entité qui fait subir des conséquences négatives à une personne agissant pour son compte en raison de l'exécution, de bonne foi et dans le cadre de ses fonctions, des obligations découlant de la présente loi;

3° sans préjudice de l'article 48, § 4, alinéa 1er, 3°, est puni d'une amende de 500 à 200.000 euros quiconque ne se conforme pas aux obligations de contrôle visées au présent titre;

4° est punie d'une amende de 500 à 7.000.000 d'euros ou 1,4 pour cent du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité importante appartient, le montant le plus élevé étant retenu, l'entité importante qui ne se conforme pas aux obligations relatives aux mesures de gestion des risques en matière de cybersécurité et/ou de notification d'incidents visées au titre 3;

5° est punie d'une amende de 500 à 10.000.000 d'euros ou 2 pour cent du chiffre d'affaires annuel mondial total de l'exercice précédent de l'entreprise à laquelle l'entité essentielle appartient, le montant le plus élevé étant retenu, l'entité essentielle qui ne se conforme pas aux obligations relatives aux mesures de gestion des risques en matière de cybersécurité et/ou de notification d'incidents visées au titre 3.

L'amende administrative est doublée en cas de récidive pour les mêmes faits dans un délai de trois ans.

Le concours de plusieurs manquements peut donner lieu à une amende administrative unique proportionnelle à la gravité de l'ensemble des faits.

Article 60. Si les mesures demandées ne sont pas prises dans le délai imparti, les mesures administratives suivantes peuvent être imposées aux entités essentielles sur la base de l'article 52:

1° demander à l'autorité nationale de cybersécurité de suspendre temporairement une certification ou une autorisation concernant tout ou partie des services pertinents fournis ou des activités pertinentes menées par l'entité concernée;

2° interdire temporairement à toute personne physique exerçant des responsabilités dirigeantes à un niveau de directeur général ou de représentant légal dans l'entité concernée d'exercer des responsabilités dirigeantes dans cette entité.

Les suspensions ou interdictions temporaires visées à l'alinéa 1er sont uniquement appliquées jusqu'à ce que l'entité concernée ait pris les mesures nécessaires pour remédier aux insuffisances ou se conformer aux exigences de l'autorité compétente à l'origine de l'application de ces mesures d'exécution.

Article 61. Toute personne physique responsable d'une entité essentielle ou importante ou agissant en qualité de représentant légal d'une entité essentielle ou importante sur la base du pouvoir de la représenter, de prendre des décisions en son nom ou d'exercer son contrôle a le pouvoir de veiller au respect, par l'entité, de la présente loi. Ces personnes sont responsables des manquements à leur devoir de veiller au respect de la présente loi.

Cet article est sans préjudice des règles en matière de responsabilité applicables aux institutions publiques, ainsi que de responsabilité des agents de la fonction publique et des responsables élus ou nommés.

TITRE 5. - Dispositions spécifiques au secteur de l'administration publique

Article 62. Les mesures et amendes administratives visées aux articles 59 et 60 ne s'appliquent pas aux entités faisant partie du secteur de l'administration publique.

Article 63. § 1er. Le Roi est habilité à désigner une autorité comme organisme d'évaluation de la conformité de tout ou partie des entités de l'administration publique.

§ 2. L'autorité visée au paragraphe 1er est agréée par l'autorité nationale de cybersécurité, selon les modalités fixées par le Roi, afin d'effectuer l'évaluation périodique de la conformité visée à l'article 39, alinéa 1er, 1°.

L'agréation visée à l'alinéa 1er porte sur un ou plusieurs des cadres de référence visés à l'article 39.

Article 64. Le service d'inspection de l'autorité nationale de cybersécurité ou, le cas échéant, le service d'inspection sectoriel désigné par le Roi pour le secteur de l'administration publique exerce ses tâches de supervision en jouissant d'une indépendance opérationnelle vis-à-vis des entités de l'administration publique supervisées.

Article 65. L'article 47 est applicable au service d'inspection visé à l'article 64.

TITRE 6. - Traitement des données à caractère personnel

CHAPITRE 1er. - Principes relatifs au traitement

Article 66. Les définitions du règlement (UE) 2016/679 sont d'application pour le présent titre.

Article 67. Les finalités pour lesquelles des traitements de données à caractère personnel sont effectués, sont les suivantes:

1° l'amélioration de la cybersécurité à travers la recherche d'un niveau accru de protection des réseaux et systèmes d'information, le renforcement des politiques de prévention et de sécurité, la prévention des incidents de sécurité et la défense contre les cybermenaces;

2° l'exécution des tâches de l'autorité nationale de cybersécurité, notamment l'identification des entités, l'information et la sensibilisation des utilisateurs des systèmes d'information et de communication, l'octroi de subventions, la coopération internationale entre l'autorité nationale de cybersécurité, des autorités compétentes des autres Etats membres, des forums internationaux de cybersécurité, l'ENISA et la Commission européenne;

3° la gestion des crises cyber et incidents de cybersécurité;

4° l'exécution des tâches du CSIRT national visées aux articles suivants:

5° la coopération, notamment l'échange d'informations entre l'autorité nationale de cybersécurité, les éventuelles autorités sectorielles, le NCCN et les autorités compétentes dans le cadre de la loi du 1er juillet 2011, ainsi que les autorités visées à l'article 25, § 2, dans le cadre de l'exécution de la présente loi et la [¹ loi du 19 décembre 2025]¹;

6° la coopération entre les entités essentielles et importantes et les autorités visées au titre 2, chapitre 1er;

7° le partage d'informations entre les autorités visées à l'article 25, § 5;

8° la continuité des services prestés par les entités importantes ou essentielles;

9° la notification d'incidents et d'incidents évités;

10° le contrôle et la supervision des entités essentielles et importantes, ainsi que la préparation, l'organisation, la gestion et le suivi de mesures et d'amendes administratives.

---

(1)2025-12-19/94, art. 75, 002; En vigueur : 19-01-2026>

Article 68. Les catégories de données à caractère personnel traitées par les responsables de traitement sont les suivantes:

1° pour la finalité visée à l'article 67, 1°: les données d'identification, de connexion, de localisation et de communications électroniques au sens de l'article 2, 91°, de la loi du 13 juin 2005, des personnes concernées par les missions d'amélioration de la cybersécurité, de renforcement des politiques de prévention et de sécurité, de prévention des incidents de sécurité et de défense contre les cybermenaces visées à l'article 67, 1°;

2° pour la finalité visée à l'article 67, 2°: les données d'identification, de connexion, de localisation et de communications électroniques au sens de l'article 2, 91°, de la loi du 13 juin 2005, des personnes concernées par l'exécution des tâches de l'autorité nationale de cybersécurité;

3° pour la finalité visée à l'article 67, 3°: les données d'identification, de connexion, de localisation et de communications électroniques au sens de l'article 2, 91°, de la loi du 13 juin 2005, des personnes concernées par les crises cyber et incidents de cybersécurité;

4° pour la finalité visée à l'article 67, 4°: les données d'identification, de connexion, de localisation, de communications électroniques au sens de l'article 2, 91°, de la loi du 13 juin 2005 et des métadonnées de communications électroniques au sens de l'article 2, 93°, de la loi précitée du 13 juin 2005, des personnes concernées par l'exécution des tâches du CSIRT;

5° pour la finalité visée à l'article 67, 5°: les données d'identification des personnes concernées par la coopération dans le cadre de la [¹ loi du 19 décembre 2025"]¹

6° pour la finalité visée à l'article 67, 6°: les données d'identification des personnes concernées par la coopération;

7° pour la finalité visée à l'article 67, 7°: les données d'identification des personnes concernées par le partage d'informations;

8° pour la finalité visée à l'article 67, 8°: les données d'identification des personnes concernées par l'assurance d'une continuité des services;

9° pour la finalité visée à l'article 67, 9°: les données d'identification, de connexion, de localisation et de communications électroniques au sens de l'article 2, 91°, de la loi du 13 juin 2005, des personnes concernées par l'exercice de notification;

10° pour la finalité visée à l'article 67, 10°: les données à caractère personnel nécessaires et pertinentes à l'exercice des missions de contrôle, de supervision et de sanction, des personnes concernées par ces contrôles, cette supervision ou ces sanctions.

---

(1)2025-12-19/94, art. 76, 002; En vigueur : 19-01-2026>

Article 69. Les catégories de personnes dont les données à caractère personnel sont susceptibles de faire l'objet de traitement sont les suivantes:

1° les personnes participant directement aux missions confiées à l'autorité nationale de cybersécurité en vertu du titre 2;

2° les personnes visées par les obligations qui incombent aux entités essentielles et importantes en vertu du titre 3;

3° les personnes impliquées dans un incident;

4° les personnes directement impliquées dans les exercices de supervision, de contrôle et de sanction, visés au titre 4.

Article 70. Les entités suivantes sont responsables des traitements qu'elles effectuent pour la réalisation des finalités visées à l'article 67:

1° l'autorité nationale de cybersécurité;

2° le NCCN;

3° l'éventuelle autorité sectorielle;

4° l'éventuel service d'inspection sectoriel;

5° les entités essentielles et importantes;

6° les entités fournissant des services d'enregistrement de noms de domaine;

7° les autorités visées à l'article 23, § 1er, 6°.

CHAPITRE 2. - Durée de conservation

Article 71. Les données à caractère personnel traitées dans le cadre des traitements visés par la présente loi en vue de réaliser les finalités prévues à l'article 67, sont conservées, sans préjudice de recours éventuels, par le responsable du traitement cinq ans après la fin du dernier traitement effectué et dix ans maximum après le premier traitement effectué.

CHAPITRE 3. - Limitation des droits des personnes concernées