La directive européenne NIS2, entrée en vigueur pour assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, marque un tournant décisif pour la résilience de nos infrastructures et de nos services essentiels. Contrairement à la précédente directive, NIS2 élargit considérablement son champ d'application pour inclure de nouveaux secteurs, dont l'administration publique. Pour nos communes, qui gèrent quotidiennement des données sensibles de citoyens et assurent la continuité de services de proximité indispensables, cet impératif de sécurité est devenu une priorité absolue face à la recrudescence des cybermenaces. Toutefois, cette mise en conformité représente un défi technique, organisationnel et financier de taille. Elle impose l'adoption de mesures de gestion des risques rigoureuses et des obligations de signalement d'incidents qui nécessitent une expertise pointue. Or, la réalité de terrain montre que les ressources, tant humaines que budgétaires, dédiées à la sécurité informatique varient grandement d'une commune à l'autre. Il existe une crainte légitime que cette transposition n'entraîne une surcharge administrative disproportionnée pour les entités locales, parfois déjà sous tension. Le Centre pour la Cybersécurité Belgique, qui relève de votre autorité, joue un rôle central dans la coordination de cette transition. 1. Quel est l'état d'avancement actuel de l'implémentation de la directive NIS2 au sein des administrations communales belges? 2. Quelles sont les étapes concrètes restant à franchir pour assurer une conformité totale des pouvoirs locaux et quel est le calendrier envisagé pour la finalisation de ce processus? 3. Votre administration a-t-elle réalisé une évaluation précise de la charge de travail et des coûts que cette mise en oeuvre fait peser sur les entités locales?
B043
1. La directive NIS2, transposée en Belgique par la loi du 26 avril 2024, établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique (loi NIS2) est en principe applicable aux organisations qui fournissent un service visé dans les annexes I ou II de la loi, et qui dépassent les seuils de taille d'une entreprise moyenne. Les administrations communales et autres autorités publiques locales ne sont pas explicitement visées par le champ d'application de cette loi en tant qu'autorités publiques locales. Elles relèvent toutefois de la loi NIS2 lorsqu'elles fournissent des services autres que ceux d'une autorité publique locale, tels que notamment la distribution d'eau potable, la production d'électricité ou la gestion de maisons de repos. L'applicabilité de la directive NIS2 au niveau communal dépend donc des services concrets fournis par chaque entité. Les administrations communales qui rentrent dans le champ d'application la loi NIS2 et qui, dû à leur taille, sont qualifiées en tant qu'entités essentielles, disposent d'un délai endéans lequel elles sont obligées d'implémenter les mesures minimales de gestion de risques en matière de cybersécurité visée à l'article 30 de la loi NIS2. En effet, elles ont jusqu'au 18 avril 2026 pour implémenter au moins les mesures visées au niveau basic du CyberFundamentals (CyFun®) Framework, le référentiel national de mesures de cybersécurité créé par le Centre pour la Cybersécurité de Belgique (CCB), et obtenir une vérification de ce niveau par un organisme d'évaluation de la conformité (CAB) accrédité par l'Organisme belge d'Accréditation (BELAC) et agréé par le CCB. Ensuite, les entités essentielles ont jusqu'au 18 avril 2027 pour atteindre le niveau final du CyFun® Framework (important ou essential), en fonction de leur analyse de risque, et pour obtenir une vérification/certification de ce niveau par un CAB accrédité par BELAC et agréé par le CCB. Une représentation visuelle sous forme de ligne de temps est disponible sur le site web du CCB: https://atwork.safeonweb.be/fr/nis2. Les administrations communales qualifiées d'entités importantes ne sont, quant à elles, pas soumises à un délai spécifique. Néanmoins, elles doivent également mettre en place les mesures de cybersécurité appropriées, en fonction de leur propre analyse de risque, dans un délai raisonnable. En cas d'incident, le service d'inspection du CCB pourrait se prononcer sur des éventuels manquements dans l'implémentation de ces mesures. À côté des délais de conformité légaux, les régions peuvent également pousser les administrations communales à atteindre un certain niveau de maturité. Dans ce sens, le gouvernement flamand a décidé que toutes les administrations locales devaient atteindre le niveau CyFun® Basic en 2030 au plus tard. Cela est notamment décrit sur le site internet du Vlaams Centrum voor Digitale Veiligheid. Actuellement, les administrations communales concernées devraient ainsi être en train de mettre en place les mesures de cybersécurité adaptées à leur organisation. Une évaluation plus concrète de l'état d'avancement de ces différentes organisations pourra être faite en avril 2026. Sur base des activités qui tombent sous NIS2, 93 entités publiques liées aux entités régionales se sont enregistrées. 2. Voir la réponse au point 1. 3. À ce jour, le CCB ne dispose pas d'une évaluation spécifique et consolidée de la charge de travail ni des coûts que la mise en oeuvre de la loi NIS2 pourrait représenter pour les entités locales. Cette situation tient notamment au fait que les pouvoirs locaux, en tant que tels, ne sont pas directement visés par la loi NIS2. L'applicabilité de celle-ci dépend en effet des services effectivement fournis par l'entité concernée ainsi que de sa taille. Les administrations communales ne relèvent donc du champ d'application que dans la mesure où elles exercent certaines activités spécifiques couvertes par la loi. Dès lors, l'impact potentiel peut varier d'une entité à l'autre, ce qui ne permet pas, à ce stade, de dégager une estimation globale uniforme applicable à l'ensemble des entités locales. Cela étant dit, des éléments d'analyse indirects existent. Un projet mené par la KU Leuven a mis en évidence que l'état des actifs numériques, tant matériels (hardware) que logiciels (software), constitue un facteur déterminant dans l'estimation des coûts liés à la mise en conformité en matière de cybersécurité. Bien que cette étude ait porté uniquement sur des entités privées, rien n'indique que la situation serait fondamentalement différente pour les administrations communales, dans la mesure où les défis techniques et organisationnels sont comparables. Par ailleurs, étant donné que de nombreuses administrations communales présentent des processus organisationnels similaires, des initiatives de mutualisation ou de collaboration pourraient contribuer à limiter les coûts individuels liés à la mise en oeuvre des exigences en matière de cybersécurité.