En 2023, la Vereniging van Vlaamse Steden en Gemeenten (VVSG) a publié un avis dans lequel elle plaide pour ne pas (encore) soumettre les administrations locales flamandes aux obligations de la directive NIS2 (Network and Information Security). Une stratégie claire pour la sécurité numérique et une offre d'appui annexe sont d'abord nécessaires. La VVSG avait espéré que la directive NIS2 puisse servir de levier pour élaborer des solutions de cybersécurité génériques et adaptatives pour toutes les administrations flamandes. Il semblait initialement que les administrations locales ne seraient pas concernées, comme la législation le prévoit par défaut. Il ressort pourtant aujourd'hui que certaines administrations locales sont soumises aux obligations NIS2. Il s'agit d'administrations qui fournissent des services critiques, mentionnés dans les annexes de la loi. L'un des secteurs concernés est le secteur public des déchets. Comprises dans le secteur de la gestion des déchets (Annexe II), les entités publiques de gestion des déchets (en l'espèce, des coopérations intercommunales concernant le traitement des déchets) doivent se conformer au niveau "important". Cependant, étant donné que 17 entités se chargent, outre leur activité primaire de gestion des déchets, de différents types de production d'énergie comme activité accessoire (par exemple en utilisant des panneaux photovoltaïques ou en récupérant de l'énergie lors du traitement des déchets), et en combinaison avec les larges définitions européennes de la directive NIS2, de nombreux membres sont compris dans le secteur de l'énergie. Indépendamment du fait que cette situation entraîne des obligations administratives supplémentaires pour de très nombreuses intercommunales de traitement des déchets pour l'enregistrement, elle fait aussi en sorte que six intercommunales de gestion des déchets (Ecowerf, IGEAN, ILva, IOK Afvalbeheer, IVAGO, IVBO) qui satisfont au plafond de plus de 250 équivalents temps plein (ETP) ou de plus de 50 millions d'euros de chiffre d'affaires ou de plus de 43 millions d'euros de total bilantaire (et qui sont donc considérées comme de grandes entités au lieu d'entités de taille moyenne), devront se conformer au niveau "essentiel" au lieu du niveau "important". Ce changement a de lourdes conséquences en matière de budget, de temps et de personnel. La vision de Interafval/VVSG est claire à cet égard: le secteur public de gestion des déchets n'est pas un producteur d'énergie. En Flandre, l'énergie produite par la combustion de déchets, entre autres, consiste plutôt en une chaleur résiduelle qu'en la transformation délibérée de déchets en énergie. En outre, l'énergie totale produite par le secteur public du traitement des déchets joue un rôle minime dans la production totale d'énergie en Belgique. D'après les chiffres du régulateur flamand du marché de l'électricité et du gaz (Vlaamse Regulator van de Elektriciteits- en Gasmarkt, VREG), le secteur public des déchets contribue à environ 0,45 % de la production totale d'électricité en Belgique. La partie injectée de manière externe représente environ 0,32 % de la production totale. 1. Comment le gouvernement fédéral évitera-t-il que des entités (dont des intercommunales de traitement des déchets, mais potentiellement aussi d'autres administrations et entreprises) soient injustement classées dans le secteur de l'énergie aux yeux de la législation NIS2, compte tenu de la nature secondaire et marginale de leur production d'énergie? 2. Le gouvernement est-il disposé à élaborer, en concertation avec la Flandre et les secteurs concernés, un cadre spécifique qui exclut explicitement le secteur public des déchets du secteur de l'énergie, de sorte que les intercommunales de traitement des déchets ne soient pas injustement soumises à des obligations plus strictes? 3. Le gouvernement dispose-t-il d'un aperçu d'autres secteurs pour lesquels les larges définitions européennes de la directive NIS2 peuvent également mener à une classification injustifiée? Quelles mesures sont-elles prises pour empêcher une telle situation? 4. Eu égard aux répercussions potentielles des larges définitions NIS2 sur d'autres secteurs, quelles mesures le pouvoir fédéral prend-il pour identifier et corriger de manière proactive toute erreur d'interprétation similaire dans d'autres secteurs
B010
1. La Belgique était tenue de transposer la directive européenne sur la sécurité des réseaux et des systèmes d'information pour octobre 2024. Notre pays sert d'exemple international pour son approche et la simplicité de sa solution. Le Centre pour la Cybersécurité Belgique (CCB) a développé le CyberFundamentals Framework en quatre niveaux afin de permettre à des entités plus petites et moins menacées de satisfaire à cette réglementation complexe de manière simple et efficace en termes de coûts. La loi NIS2 impose les obligations suivantes aux entités concernées: - s'enregistrer auprès du CCB; - notifier les incidents significatifs; - sensibiliser les collaborateurs et gestionnaires aux principales cybermenaces; - répondre à une norme de base minimale en matière de cybersécurité. Plus de 6.000 entreprises de notre pays se sont déjà enregistrées. La moitié d'entre elles ne sont pas des entités NIS2 et se sont enregistrées volontairement afin d'être intégrées dans le système d'alerte précoce EWS (Early Warning System) du CCB. Elles reçoivent ainsi beaucoup plus rapidement des alertes ciblées en cas de menace de cyberattaque ou de grave vulnérabilité. La classification des entités dans la réglementation NIS2 est réglée par les annexes I et II de la directive européenne. Les entités peuvent, à cet égard, relever de plusieurs secteurs, que l'activité concernée soit pour elles de nature essentielle ou non. La classification étant basée sur des définitions européennes, il est légalement impossible d'exclure des entreprises d'un secteur. Des mesures ont cependant été prises dans le cadre de la transposition belge pour limiter l'impact des activités secondaires. Selon l'annexe II de la législation NIS2, les intercommunales de déchets relèvent du secteur "gestion des déchets". Lorsqu'une intercommunale de déchets possède également un pilier énergétique, il convient d'évaluer si cette entité relève du secteur de l'énergie. Tel est p. ex. le cas si elle est considérée comme "producteur" au sens de l'article 2, point 38, de la directive (UE) 2019/944. Un producteur y est défini comme "une personne physique ou morale qui produit de l'électricité". Par ailleurs, le secteur "réseaux de chaleur et de froid" peut également être pris en compte. Vu que le secteur de l'énergie figure dans l'annexe I, les intercommunales de déchets qui relèvent aussi du secteur de l'énergie et qui répondent à la définition de grande entreprise au sens de la Recommandation 2003/361/CE sont considérées comme une entité essentielle dans le cadre de la législation NIS2. Le motif est à chercher dans les définitions de l'annexe I de la loi NIS2. Eu égard à la formulation de la directive NIS2, il est légalement impossible de s'écarter des définitions de l'annexe I, ce qui signifie que tout "producteur" d'électricité relève du champ d'application de la législation NIS2 lorsqu'il s'agit au moins d'une entreprise moyenne. Pour éviter que des entités soient considérées à tort comme appartenant au secteur de l'énergie dans la législation NIS2, la transposition belge prévoit une approche basée sur les risques. Le CCB met, en effet, un outil à disposition pour évaluer les risques et mesures requises. Sur la base de cette analyse, l'on peut justifier l'application de mesures moins strictes si l'impact des activités énergétiques est marginal. Les organisations peuvent utiliser la plateforme Safeonweb@work du CCB pour accroître leur cyberrésilience de manière proportionnée et efficace. Ce soutien comporte entre autres des directives, du matériel de formation ainsi qu'un helpdesk pour toute question sur le respect de la législation NIS2. Le CCB offre, par ailleurs, des outils et méthodes d'évaluation permettant aux entités d'évaluer et d'améliorer leur cyberrésilience sur la base d'une approche proportionnée des risques. Vous trouverez plus d'informations à ce sujet via le lien suivant: Guide de démarrage rapide avec NIS2 - CCB Safeonweb. Au niveau européen, il a été convenu que les producteurs d'électricité, tels que les intercommunales de déchets ayant une activité énergétique limitée, ne sont pas considérés comme des "entités hautement critiques" au sein du sous-secteur de l'électricité. Cela signifie que ces entités peuvent être soumises à une supervision moins stricte. 2. Le CCB collabore étroitement avec les entités fédérées, dont la Flandre, pour coordonner la mise en oeuvre de la directive NIS2 en Belgique. Cette collaboration se concentre spécifiquement sur le champ d'application de la législation NIS2 et sur la communication relative aux obligations NIS2. Vu les obligations européennes, il n'est pas possible d'exclure totalement certaines activités supplémentaires de la législation NIS2. La directive prévoit, en effet, que les obligations NIS2 s'appliquent à l'entité dans son ensemble, et pas uniquement à des parties spécifiques de celle-ci. Bien qu'une exclusion totale ne soit pas possible, les intercommunales de déchets peuvent, après avoir effectué l'analyse des risques fournie de manière standard par le CCB, utiliser un niveau d'assurance moins élevé dans le cadre du CyberFundamentals Framework (CyFun®). Le niveau "élémentaire" contient 34 mesures de sécurité, dont seules sept sont des mesures clés. C'est le strict minimum auquel toute PME de notre pays devrait satisfaire. Grâce à cette approche, les intercommunales de déchets évitent de se voir imposer des obligations inutilement lourdes, tout en continuant à respecter les principes fondamentaux et la législation en matière de cybersécurité. 3. Dans d'autres secteurs, il existe aussi des entités qui relèvent des définitions contenues dans les annexes mais qui ont un impact sociétal et économique plutôt limité. Les entités susmentionnées sont également définies en conformité avec les définitions européennes transposées, vu qu'elles sont reprises dans la directive NIS2. Ces entités ont également la possibilité de répondre à leurs obligations en utilisant un niveau d'assurance moins élevé via le CyberFundamentals Framework (CyFun®). Les centres d'hébergement et de soins ainsi que les maisons de repos en sont un exemple dans le secteur "santé". Pour ces entités, le CCB a, en concertation avec les autorités fédérales et régionales, déjà clairement indiqué au secteur concerné que le niveau "élémentaire" des CyberFundamentals sera considéré comme proportionné. 4. Conscient de l'incidence potentielle des larges définitions NIS2 sur d'autres secteurs, le CCB a pris des mesures pour éviter et corriger les interprétations erronées. Comme déjà indiqué, il n'est pas possible d'adapter soi-même les définitions, car elles ont été établies par la législation européenne. Cependant, la transposition de la directive NIS2 dans la législation belge a permis d'appliquer les exigences en matière de cybersécurité de manière proportionnée. Cette application proportionnée permet de réduire et corriger l'impact des larges définitions NIS2 en Belgique. Le CCB a pris des mesures spécifiques pour faire en sorte que les entités des secteurs ayant un impact sociétal et économique limité ne se retrouvent pas injustement soumises à de lourdes obligations. Les entités peuvent ainsi démontrer qu'elles ont un profil de risque plus faible et sont donc autorisées à respecter un niveau d'assurance moins strict, mais toujours efficace, dans le cadre des CyberFundamentals (CyFun®).