2022033821 16 OCTOBRE 2022. - Arrêté royal portant exécution de la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité, et modifiant l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique

Cet article rappelle le Règlement européen et la loi qui sont mis en oeuvre par le présent arrêté royal.

Chapitre 2 - Définitions

L'article définit certains termes utiles pour le projet d'arrêté royal.

Chapitre 3 - Autorités compétentes

Cet article désigne le Centre pour la cybersécurité Belgique come autorité nationale de certification de cybersécurité. Il met en oeuvre l'article 58 du Règlement et a pour fondement légal l'article 5, § 1er de la loi.

Le CCB est désigné comme autorité nationale de certification de cybersécurité car il remplit déjà plusieurs missions dans le domaine de la cybersécurité. Le CCB, en vertu de l'article 3 de l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique, coordonne l'évaluation et la certification de la sécurité des systèmes d'information et de communication, ainsi que la représentation belge aux forums internationaux sur la cybersécurité, le suivi des obligations internationales et la présentation du point de vue national en la matière.

En vertu de l'article 60 de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique (" loi NIS "), le CCB assume également le rôle de centre national de réponse aux incidents de sécurité informatique (" CSIRT national ").

Conformément à l'article 58, § 5, du Règlement, le CCB doit disposer des moyens humains et budgétaires suffisants pour réaliser ces nouvelles tâches.

L'article 4 prévoit, en application de l'article 8, § 2 de la loi, que le CCB, dans le cadre de sa mission de représentation de la Belgique au sein du Groupe européen de certification de cybersécurité (ci-après, le " GECC "), se concerte avec, au minimum, les autorités reprises à l'annexe 1re du projet d'arrêté royal.

Le GECC a pour mission, entre autres, de conseiller et d'assister la Commission européenne dans la mise en oeuvre du cadre de certification de cybersécurité du Règlement ainsi que l'ENISA dans la préparation des schémas candidats de certification de cybersécurité, d'examiner les évolutions dans le domaine de la certification de cybersécurité et de faciliter la coopération entre les autorités nationales de certification de cybersécurité.

Cette concertation permet de s'assurer que le CCB puisse remplir adéquatement sa mission de représentation de la Belgique au sein du GECC.

Chapitre 4 - Carte de légitimation

L'article 5 prévoit que les membres assermentés du service d'inspection sont dotés d'une carte de légitimation. Le modèle de cette carte est repris à l'annexe 2 du projet d'arrêté royal. Cet article a pour fondement légal l'article 15, § 1er de la loi.

L'article 6 précise la forme et la dimension de la carte de légitimation.

Chapitre 5 - Modification de l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique

Le modèle de la carte de légitimation est présenté dans l'annexe II.

L'article 7 du projet, qui décrit le contenu de ladite carte, est par conséquent inutile et sera omis.

ANNEXES

Les annexes doivent porter in fine la mention " Vu pour être annexé à notre arrêté du ... " et être revêtues des mêmes date et signature que celles figurant sur le texte auquel elles se rapportent.(2)

Le greffier,

Béatrice Drapier

Le Président,

Pierre Vandernoot

Note

(1) Principes de technique législative - Guide de rédaction des textes législatifs et réglementaires, www.raadvst-consetat.be, onglet " Technique législative ", recommandations nos 29 et 30.

(2) Principes de technique législative - Guide de rédaction des textes législatifs et réglementaires, www.raadvst.be, onglet " Technique législative ", recommandation n° 172 et formule F 4 8 1.

Dans le même arrêté, à l'exception de l'article 3ter, le mot " directeur " est chaque fois remplacé par le mot " directeur général ".

Dans le même arrêté, les mots " directeur adjoint " sont chaque fois remplacés par les mots " directeur général adjoint ".

CHAPITRE 6. - Disposition finale

L'article 10 désigne le Premier Ministre comme étant chargé de l'exécution du présent arrêté.

Annexe 1. Liste des autorités avec lesquelles la concertation est organisée

Cette annexe liste les autorités avec lesquelles le CCB, en tant qu'autorité de certification de cybersécurité, doit au minimum se concerter dans le cadre de sa mission de représentation au sein du GECC.

Annexe 2. Carte de légitimation

L'annexe 2 reprend la carte de légitimation destinée aux membres assermentés du service d'inspection de l'autorité nationale de certification de cybersécurité.

Telle est la teneur de l'arrêté que j'ai l'honneur de soumettre à Votre signature.

J'ai l'honneur d'être,

Sire,

de Votre Majesté

le très respectueux et très fidèle serviteur,

Le Premier Ministre,

A. DE CROO

Avis du Conseil d'Etat n° 72.137/2 du 3 octobre 2022 sur un projet d'arrêté royal `portant exécution de la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité, et modifiant l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique'

Le 2 septembre 2022, le Conseil d'Etat, section de législation, a été invité par le Premier Ministre à communiquer un avis, dans un délai de trente jours, sur un projet d'arrêté royal `portant exécution de la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité, et modifiant l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique'.

Le projet a été examiné par la deuxième chambre le 3 octobre 2022. La chambre était composée de Pierre VANDERNOOT, président de chambre, Patrick RONVAUX et Christine HOREVOETS, conseillers d'Etat, Christian BEHRENDT et Jacques ENGLEBERT, assesseurs, et Béatrice DRAPIER, greffier.

Le rapport a été présenté par Roger WIMMER, premier auditeur, et Xavier MINY, auditeur adjoint.

La concordance entre la version française et la version néerlandaise a été vérifiée sous le contrôle de Pierre VANDERNOOT.

L'avis, dont le texte suit, a été donné le 3 octobre 2022.

Comme la demande d'avis est introduite sur la base de l'article 84, § 1er, alinéa 1er, 2°, des lois `sur le Conseil d'Etat', coordonnées le 12 janvier 1973, la section de législation limite son examen au fondement juridique du projet, à la compétence de l'auteur de l'acte ainsi qu'à l'accomplissement des formalités préalables, conformément à l'article 84, § 3, des lois coordonnées précitées.

Sur ces trois points, le projet appelle les observations suivantes.

EXAMEN DU PROJET

PREAMBULE

1. Les articles 9 et 10 du projet trouvent leur fondement juridique dans les articles 37 et 107, alinéa 2, de la Constitution.

Il convient dès lors de compléter l'alinéa 2 du préambule en y visant, outre l'article 108, les articles 37 et 107, alinéa 2, de la Constitution.

2. Un alinéa 4 nouveau doit être inséré dans le préambule pour y viser l'arrêté royal du 10 octobre 2014 `portant création d'un Centre pour la Cybersécurité Belgique', modifié par les articles 8 à 10 du projet.(1)

3. L'alinéa 5 du préambule, devenant son alinéa 6, vise un accord de la Secrétaire d'Etat au Budget donné le 16 juin 2021.

Or, à cette date, le dossier communiqué au Conseil d'Etat fait état d'une lettre de la Secrétaire d'Etat au Budget indiquant qu'elle ne pouvait marquer son accord à l'avant-projet devenu la loi du 20 juillet 2022 `relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité'.

Le dossier ne contient pas de document renseignant l'accord de la Secrétaire d'Etat au Budget au projet d'arrêté royal à l'examen.

Le 2 juillet 2021, le Conseil des ministres a toutefois adopté ce projet.

Compte tenu de l'article 11 de l'arrêté royal du 20 mai 2022 `relatif au contrôle administratif, budgétaire et de gestion', l'alinéa 5 du préambule doit être remplacé par les alinéas suivants, devenant les alinéas 6 et 7 du préambule

" Vu l'absence d'accord de la Secrétaire d'Etat au Budget ;

Vu la délibération du Conseil des ministres du 2 juillet 2021 permettant de passer outre à l'absence d'accord de la Secrétaire d'Etat au Budget ; ".

DISPOSITIF