Skip to main content

NIS2 et pouvoirs locaux : communes, CPAS, provinces

NIS2 en Belgique : communes, provinces, CPAS et intercommunales ne sont pas soumis d'office. Critères, obligations, CyFun et analyse à mener au cas par cas.

La loi belge qui transpose la directive européenne NIS2 renforce la cybersécurité de nombreuses organisations publiques et privées. Pour les pouvoirs locaux, une question revient souvent : notre commune est-elle concernée ? La réponse courte est pas automatiquement. Tout dépend des activités exercées, de la taille de l'entité et d'une éventuelle identification par le Centre pour la Cybersécurité Belgique (CCB).

Ce guide aide à poser l'analyse. Il ne remplace ni l'avis du CCB ni celui d'un juriste.

Le cadre belge

  • La loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, publiée au Moniteur belge le 17 mai 2024 et en vigueur depuis le 18 octobre 2024.
  • L'arrêté royal du 9 juin 2024 qui l'exécute, publié le 24 juin 2024. Il organise notamment l'évaluation de la conformité.
  • Le CCB, autorité nationale de cybersécurité. Il enregistre les entités, reçoit les notifications d'incidents par le CSIRT national et assure la supervision.

La loi distingue les entités essentielles et les entités importantes. Elles partagent les obligations de base ; la différence porte surtout sur l'intensité du contrôle et des sanctions.

Les pouvoirs locaux ne sont pas soumis d'office

Le secteur « administration publique » de l'annexe I vise les entités qui dépendent de l'État fédéral, et celles qui dépendent des entités fédérées lorsqu'elles ont été identifiées. Les travaux parlementaires précisent que les autorités locales n'en font pas partie. La FAQ du CCB, citée par l'Union des Villes et Communes de Wallonie (UVCW), va dans le même sens : les administrations publiques locales (communes, provinces, intercommunales, CPAS, régies) ne sont pas automatiquement soumises à la loi.

La loi apporte deux précisions utiles :

  • les zones de secours et le Service d'incendie et d'aide médicale urgente de la Région de Bruxelles-Capitale sont expressément visés ;
  • les services de police, dont les zones de police, sont exclus.

Trois voies d'entrée dans le champ

Un pouvoir local peut néanmoins être concerné de trois manières.

1. Une activité visée et une taille suffisante. La loi s'applique aux entités publiques ou privées qui exercent une activité des annexes I ou II et atteignent au moins la taille d'une entreprise moyenne au sens de la recommandation européenne 2003/361/CE (en règle générale, à partir de 50 personnes occupées ou au-delà de certains seuils financiers). Selon l'UVCW, l'effectif s'apprécie sur l'ensemble du personnel, enseignants compris. D'après son analyse et la FAQ du CCB, plusieurs activités peuvent concerner une commune ou un CPAS :

  • la distribution d'eau potable, la gestion des eaux usées ou des déchets, lorsqu'elles représentent une part essentielle de l'activité ;
  • l'exploitation de bornes de recharge, si l'entité les gère et les exploite elle-même ;
  • la production d'électricité, y compris par des panneaux solaires raccordés au réseau ;
  • les réseaux de chaleur ;
  • les soins de santé, par exemple une maison de repos gérée par un CPAS ;
  • l'exploitation d'un système de transport intelligent.

Dès qu'une activité visée est exercée et que la taille est atteinte, c'est toute l'entité qui entre dans le champ, pour l'ensemble de ses réseaux et systèmes d'information.

2. Une identification par le CCB. Quelle que soit sa taille, une entité peut être identifiée comme essentielle ou importante, par exemple si elle est le seul prestataire d'un service essentiel ou si une perturbation pouvait affecter fortement la sécurité ou la santé publiques. Selon l'UVCW, lors de la mise à jour de son analyse en 2026, aucun pouvoir local n'avait encore fait l'objet d'une telle identification.

3. Une identification comme entité critique au sens de la loi du 19 décembre 2025 relative à la résilience des entités critiques, qui rend aussi la loi NIS2 applicable.

L'UVCW relève que les intercommunales sont la catégorie de pouvoirs locaux la plus concernée, en raison de leurs activités et de leur taille.

Si votre entité est dans le champ

Les principales obligations sont :

  • s'enregistrer auprès du CCB dans les cinq mois suivant l'entrée en vigueur de la loi ou l'identification ;
  • prendre des mesures de gestion des risques proportionnées, selon une approche « tous risques » qui couvre notamment la continuité des activités, les sauvegardes, la reprise et la gestion de crise ;
  • faire approuver et superviser ces mesures par l'organe de direction, dont les membres suivent une formation ;
  • notifier les incidents significatifs au CSIRT national : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans le mois ;
  • pour les entités essentielles, faire évaluer leur conformité selon des étapes fixées 18 et 30 mois après l'entrée en vigueur de la loi ou après l'identification. Pour les entités importantes, cette évaluation périodique est volontaire.

Pour certaines entités, comme les maisons de repos, la FAQ du CCB citée par l'UVCW indique qu'un niveau d'assurance inférieur (par exemple Basic) est considéré comme proportionné.

CyberFundamentals (CyFun)

CyberFundamentals (CyFun) est le cadre de référence du CCB. L'arrêté royal du 9 juin 2024 prévoit qu'il comporte au moins trois niveaux d'assurance : Basic, Important et Essential. Une entité essentielle peut s'appuyer sur CyFun ou sur la norme ISO/IEC 27001 pour démontrer sa conformité.

Pour une commune qui n'est pas dans le champ, CyFun reste un repère pratique. On peut commencer par une auto-évaluation au niveau Basic, prioriser les mesures clés et suivre les progrès d'année en année. L'UVCW rappelle aussi qu'une entité qui s'estime hors champ peut s'enregistrer librement auprès du CCB pour bénéficier de ses services gratuits, sans être soumise aux obligations pour autant.

Et les Régions ?

Les Régions peuvent ajouter leurs propres attentes envers les pouvoirs locaux.

  • Flandre : le gouvernement flamand a approuvé le 24 avril 2026 une stratégie de sécurité numérique qui vise aussi les pouvoirs locaux. Le Vlaams Centrum voor Digitale Veiligheid en assure le suivi, sert de CSIRT régional et publie des lignes directrices fondées sur ISO/IEC 27001 et CyFun.
  • Wallonie : l'UVCW mentionne une Cyber Response Team wallonne, créée par l'Agence du Numérique avec le CCB.
  • Bruxelles : nous n'avons pas trouvé de source officielle sur des obligations régionales propres.

Dans tous les cas, vérifiez auprès de votre Région ce qui s'applique à votre commune.

Qualifier soi-même son statut

L'observatoire n'affirme jamais qu'une commune est soumise à NIS2 : c'est à chaque pouvoir local de qualifier sa situation. Une démarche simple :

  1. Lister les activités de la commune, du CPAS et des régies, y compris les activités accessoires (panneaux solaires, bornes de recharge, maison de repos).
  2. Les comparer aux annexes I et II de la loi.
  3. Vérifier le critère de taille pour chaque entité juridique.
  4. Utiliser l'outil de test du champ d'application proposé par le CCB.
  5. Consigner l'analyse et la conclusion dans une note validée par la direction.
  6. Revoir cette analyse chaque année et à chaque nouvelle activité.
  7. En cas de doute, interroger le CCB ou votre association de pouvoirs locaux.

Que la commune soit dans le champ ou non, la continuité de ses services dépend de son informatique : le guide de la continuité communale détaille le plan de reprise et la réponse à un incident cyber.

Pour aller plus loin

ResiPlan aide les communes, et les consultants qui les accompagnent, à mener leur analyse d'impact, à structurer leurs plans de continuité et de reprise informatique, à organiser la gestion de crise et les exercices, à tenir un registre des incidents et à réaliser l'auto-évaluation CyFun. Voir l'offre pour les communes.

Sources