2023045474 15 SEPTEMBRE 2023. - Arrêté royal modifiant l'arrêté royal du 11 mars 2013 portant exécution des articles 13, 24 et 25 de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques pour le secteur de l'Energie

L'ajout du 3° à l'article 1er vise à désigner la Direction générale de l'Energie du Service public fédéral Economie, PME, Classes moyennes et Energie comme le service d'inspection des infrastructures critiques relevant du secteur de l'énergie. Cette Direction générale a un lien direct avec le secteur de l'énergie et a déjà acquis depuis un certain temps une expertise dans le domaine couvert par la loi IC. Une désignation générale du Service public fédéral Economie, comme c'est le cas jusqu'à présent dans l'annexe 2, b), de l'arrêté royal du 12 juillet 2019 portant exécution de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique et de la loi du 1er juillet 2011 relative à la sécurité et à la protection des infrastructures critiques, semble inutile.

Cet article ajoute un chapitre 2/1 " Informations et mesures à inclure dans le P.S.E. " et vise à rendre obligatoires les informations et mesures minimales, qui doivent être inclues dans le plan de sécurité, pour les exploitants des infrastructures critiques couvertes par le présent arrêté. Cela permet d'éviter la situation où différents exploitants ont des interprétations différentes du contenu du plan de sécurité.

L'article 2/1 précise la structure à respecter pour le plan de sécurité de l'exploitant d'une infrastructure critique. En effet, une présentation uniforme des plans de sécurité est nécessaire pour faciliter la rédaction et l'examen des plans.

Si l'exploitant estime qu'il est nécessaire d'ajouter des informations supplémentaires pour supporter le plan de sécurité, cela est également possible.

L'article 2/2 en projet précise ce que la description générale des infrastructures critiques doit contenir au minimum. La description doit notamment comprendre l'inventaire des éléments de l'infrastructure critique ou des éléments dépendants de cette infrastructure critique.

Cette description minimale est importante car les mesures internes de sécurité permanentes et des mesures internes de sécurité graduelles de l'exploitant sont ajustées en conséquence.

L'Article 2/3 concerne spécifiquement l'analyse de risques d'un exploitant d'une infrastructure critique. Il s'agit d'identifier les scénarios possibles de menaces pertinentes et potentielles et les mesures de sécurité prévues en réponse aux scénarios décrits dans l'analyse de risques.

Avec l'utilisation d'analyse de risques l'exploitant peut distinguer les mesures permanentes d'une part et les mesures de sécurité interne graduelles d'autre part.

L'article 2/4 oblige l'exploitant à établir un inventaire où toutes les mesures internes de sécurité permanentes qui doivent être applicables en toutes circonstances sont décrites. L'inventaire et la description demandée peuvent être réalisés de façon sommaire par l'exploitant. Il ne doit pas être perdu de vue que l'autorité sectorielle peut toujours demander des informations complémentaires sur le contenu du P.S.E.

Il est demandé à l'exploitant de démontrer le lien entre son analyse de risques et les mesures permanentes de sécurité interne prises.

En incluant obligatoirement les modalités d'action et de coordination des différentes autorités dans la section consacrée aux mesures permanentes de sécurité interne, on crée une feuille de route qui donne à toutes les parties prenantes une idée claire de ce que l'on attend d'elles pour chaque action.

L'article 2/5 concerne la description des mesures internes de sécurité graduelles. qui varient selon le type de scénario retenu dans l'analyse de risques

Une distinction est faite entre les mesures générales et les mesures graduelles spécifiques au scenario. Ces dernières sont liées aux scénarios identifiés et décrits dans l'analyse de risques. Les mesures internes de sécurité graduelles générales sont mises en oeuvre lorsque des incidents se produisent selon un scénario qui n'a pas été retenu dans l'analyse de risques ou s'il est indiqué par des acteurs extérieurs que des mesures supplémentaires doivent être prises sur l'infrastructure en question.

En particulier, le plan de sécurité indique les seuils qui déclenchent les différentes mesures. Ceux-ci peuvent être, entre autres, des niveaux dans l'analyse des menaces, le nombre d'utilisateurs finals impactés, la durée de l'incident, ou l'impact sur la performance de l'infrastructure critique. Il précise les services à rétablir de façon prioritaire en cas de dégradation du fonctionnement de l'infrastructure. Ce classement permet de voir comment les différents services se comparent en termes de priorité.

En incluant obligatoirement les modalités d'action et de coordination des différentes autorités dans la section consacrée aux mesures permanentes interne de sécurité, on crée une feuille de route qui donne à toutes les parties prenantes une idée claire de ce que l'on attend d'elles dans chaque action.

En outre, un plan de communication externe à destination du public est prévu afin d'informer tout utilisateur final de l'existence d'une difficulté et du temps estimé nécessaire pour le rétablissement de l'infrastructure ou du service fourni par l'infrastructure.

La description des mesures visant à réduire et à atténuer les conséquences des incidents a pour objet de faire réfléchir l'exploitant quant à la vulnérabilité de son infrastructure afin qu'il puisse ensuite procéder à la mise en place de procédures efficaces et opérationnelles pour protéger ses infrastructures et services. Les procédures mises en place par l'exploitant pour le rétablissement du service et du fonctionnement de l'infrastructure critique poursuivent le même objectif.

Les mesures de restauration ont pour objet de préciser pour chaque élément physiquement endommagé les modalités de remplacement.

7fixe la fréquence minimale des contrôles et de la révision du P.S.E. L'autorité sectorielle peut toujours demander à l'exploitant une révision du P.S.E.

Au 1°, on entend toute remise en service majeure de l'infrastructure, par exemple après une longue période de maintenance pendant laquelle l'infrastructure était indisponible.

Au 2°, on entend le remplacement d'un composant existant ou de l'intégration d'un nouveau composant dans une infrastructure critique. Cela ne concerne que les composants qui peuvent avoir un impact potentiel sur l'une des différentes parties du P.S.E.

De même, il appartient à l'exploitant de vérifier périodiquement le P.S.E. lui-même.

Toute modification du P.S.E. doit être notifiée par l'exploitant à l'autorité sectorielle.

L'article 2/8 est le dernier article introduit par l'article 2 du présent projet. Selon l'article 22quinquies, § 2, de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité une autorité administrative peut demander aux personnes morales de droit public ou de droit privé qui font partie d'un secteur d'activité concerné de procéder à une analyse de risques pour elles-mêmes. L'article 2/8 introduit pour les exploitants d'infrastructures critiques relevant du secteur de l'énergie, une telle obligation, qui devrait ensuite être incluse dans le P.S.E. Sur cette base il sera possible de déterminer s'il faut procéder à des vérifications de sécurité au sein d'une infrastructure critique pour le personnel concerné.

Dans son article 14, la directive CER prévoit une vérification des antécédents. En imposant déjà l'analyse de risques dans le cadre de la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité, les exploitants d'infrastructures critiques sont déjà préparés à l'obligation résultant de cette disposition.

Les différentes obligations introduites par l'article 2 sont très étendues. Les exploitants doivent donc établir un plan d'action détaillé décrivant comment ils rempliront ces obligations.

Les exploitants doivent soumettre leur planification au service d'inspection dans les six mois suivant leur désignation.

S'il y a des changements ou des ajouts à la planification déjà soumise, le service de l'inspection doit être informée dans les trente jours suivant ce changement ou cet ajout.

Le service de l'inspection a déjà été défini à l'article 1er. Les mots "de la Direction générale de l'Energie du SPF Economie, P.M.E., Classes moyennes et Energie" constituent donc un pléonasme et sont superflus.

En remettant une copie du P.S.E. et des documents annexes au service d'inspection, celui-ci peut mieux préparer l'inspection à effectuer et garder une vue d'ensemble des mesures prises par l'exploitant.

Il résulte de l'alinéa 2 que le P.S.E. ou une partie de celui-ci peut être classifié, selon la loi de 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité

6. Conformément à l'article 7, § 3, alinéa 1er, en projet, de l'arrêté royal du 11 mars 2013, le service d'inspection peut, pour les inspections d'infrastructures critiques, faire appel à des entreprises accréditées " selon les normes ISO/IEC 17021 ou ISO/IEC 17065 ".

6.1. Tout d'abord, il convient d'observer que la norme ISO/IEC 17021 est elle-même subdivisée en 14 parties différentes, qui ne sont pas, ou pas toutes, disponibles en français et en néerlandais (3), et qui ne semblent pas non plus toutes pertinentes pour le projet à l'examen. La norme pertinente doit ainsi être définie le plus spécifiquement possible, en indiquant l'année, le numéro et la subdivision éventuelle. Il convient également de compléter la référence à la norme ISO/IEC 17065 par l'année de cette norme (2012). En effet, dans les deux cas, si une référence dynamique est visée, en d'autres termes une référence à d'éventuelles versions futures, il s'agit d'une délégation de pouvoir réglementaire illicite à un organisme de normalisation privé, puisque le contenu futur de ces normes techniques est fixé par cet organisme.

6.2. Par le passé, le Conseil d'Etat a déjà mentionné à plusieurs reprises le problème des normes techniques visées dans la législation et la réglementation qui ne sont pas publiées au Moniteur belge, qui ne sont pas rédigées ni traduites en langue néerlandaise, ni en langue française, et qui ne sont en général disponibles que contre une certaine rémunération (4)

L'article VIII.2 du Code de droit économique vise à répondre à la problématique de l'absence de publication de normes techniques auxquelles des règles de droit belges font référence. Les prescriptions figurant dans la disposition précitée du Code de droit économique concernant la consultation et la mise à disposition des normes concernées devront évidemment être respectées.

7. L'accréditation obligatoire implique une restriction à la libre circulation des services, garantie par la directive services(5) . Les entreprises accréditées fournissent des services de consultance. Elles assistent les services d'inspection, mais n'exercent pas elles-mêmes d'autorité publique, de sorte qu'elles ne relèvent pas du champ d'application de l'exception prévue à l'article 2, paragraphe 2, i), de la directive services et que cette dernière s'applique pleinement à elles(6) . Par conséquent, les auteurs devront s'assurer que les normes imposées répondent aux exigences de l'article 16, paragraphe 1, troisième alinéa, de la directive services, à savoir la non-discrimination ainsi que les exigences de nécessité et de proportionnalité(7) .

LE GREFFIER LE PRESIDENT

Yves DEPOORTER Jeroen VAN NIEUWENHOVE

Notes

(1) Doc. parl., Chambre, 2022-23, nos 55-3277/003 et 55-3277/004.

(2) Tant la disposition procurant le fondement juridique précitée que l'article 6 de l'arrêté envisagé entrent en effet en vigueur selon la règle usuelle (le dixième jour suivant leur publication au Moniteur belge).

(3) Voir également à cet égard l'observation 6.2.

(4) Voir également C. JENART, Outsourcing rulemaking powers. Constitutional limits and national safeguards, Oxford University Press, 2022, 291 p.

(5) Directive 2006/123/CE du Parlement européen et du Conseil du 12 décembre 2006 `relative aux services dans le marché intérieur'.

(6) Elles ne relèvent pas non plus des dérogations supplémentaires visées à l'article 17 de la directive services.

(7) Dès lors qu'il s'agit de normes qui - pour l'heure, voir à ce sujet l'observation 6.2 - ne peuvent être consultées que contre paiement et qui n'ont pas été mises à la disposition du Conseil d'Etat, la section de législation n'est pas en mesure d'examiner elle-même cette compatibilité et doit émettre une réserve sur ce point.

Les exploitants qui sont déjà désignés doivent soumettre leur plan d'action détaillé au service d'inspection dans les six mois suivant l'entrée en vigueur du présent arrêté.

Les obligations introduites par articles 2, 3 et 7 n'entrent en vigueur que le premier jour du vingt-quatrième mois suivant la publication du présent arrêté au Moniteur belge. Cela donne aux exploitants suffisamment de temps pour alimenter leur P.S.E. avec les informations demandées ainsi que de mettre en oeuvre l'implémentation des différentes mesures.

Les autres articles prennent effet immédiatement.

Cet article n'appelle pas de commentaire particulier.

J'ai l'honneur d'être,

Sire,

de Votre Majesté

le très respectueux et très fidèle serviteur,

Le Ministre de l'Energie,

T. VAN DER STRAETEN

CONSEIL D'ETAT

section de législation

Avis 73.734/3 du 29 juin 2023 sur un projet d'arrêté royal `modifiant l'arrêté royal du 11 mars 2013 portant exécution des articles 13, 24 et 25 de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques pour le secteur de l'Energie'

Le 31 mai 2023, le Conseil d'Etat, section de législation, a été invité par la Ministre de l'Energie à communiquer un avis dans un délai de trente jours, sur un projet d'arrêté royal `modifiant l'arrêté royal du 11 mars 2013 portant exécution des articles 13, 24 et 25 de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques pour le secteur de l'Energie'.

Le projet a été examiné par la troisième chambre le 20 juin 2023. La chambre était composée de Jeroen VAN NIEUWENHOVE, président de chambre, Koen MUYLLE et Toon MOONEN, conseillers d'Etat, Jan VELAERS et Bruno PEETERS, assesseurs, et Yves DEPOORTER, greffier assumé.

Le rapport a été présenté par Tim CORTHAUT, premier auditeur.

La concordance entre la version française et la version néerlandaise de l'avis a été vérifiée sous le contrôle de Jeroen VAN NIEUWENHOVE, président de chambre.

L'avis, dont le texte suit, a été donné le 29 juin 2023.

*

1. En application de l'article 84, § 3, alinéa 1er, des lois sur le Conseil d'Etat, coordonnées le 12 janvier 1973, la section de législation a fait porter son examen essentiellement sur la compétence de l'auteur de l'acte, le fondement juridique et l'accomplissement des formalités prescrites.

*

PORTEE DU PROJET

2. Le projet d'arrêté royal soumis pour avis a pour objet d'imposer de nouveaux éléments qui devront obligatoirement figurer dans le plan de sécurité de l'exploitant (ci-après : P.S.E.) d'infrastructures critiques pour le secteur de l'énergie. A cet effet, un nouveau chapitre 2/1 est inséré dans l'arrêté royal du 11 mars 2013 `portant exécution des articles 13, 24 et 25 de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques pour le secteur de l'Energie' (article 2 du projet). Par ailleurs, un certain nombre de dispositions de cet arrêté sont modifiées en ce qui concerne la surveillance (articles 1er et 3 à 6).

L'article 7 contient un régime transitoire concernant la remise au service d'inspection d'un plan détaillé, conformément à l'article 3/1, en projet, de l'arrêté royal du 11 mars 2013. Les articles 2, 3 et 7 du projet entrent en vigueur le premier jour du vingt quatrième mois qui suit celui de la publication de l'arrêté envisagé au Moniteur belge (article 8).

FONDEMENT JURIDIQUE

3. Selon le préambule, le fondement juridique du projet est recherché dans les articles 13, § 2, alinéa 2, et § 6, alinéa 2, 24, § 2, alinéa 1er, et 25, § 2, de la loi du 1er juillet 2011 `relative à la sécurité et la protection des infrastructures critiques'.

3.1. Sur la base de l'article 13, § 2, alinéa 2, de cette loi, le Roi peut, pour un secteur déterminé ou, le cas échéant, par sous-secteur, détailler les mesures de sécurité requises et imposer d'inclure au P.S.E. certaines informations. Conformément à l'article 13, § 6, alinéa 2, de la même loi, le Roi peut en outre déterminer la fréquence des exercices et des mises à jour du P.S.E.

3.2. L'article 24, § 2, alinéa 1er, de la loi du 1er juillet 2011 habilite le Roi à désigner le service d'inspection. A cet égard, il faut cependant tenir compte d'un nouvel alinéa 7, ajouté à l'article 24, § 2, par l'article 4 du projet de loi `modifiant la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques', qui a été adopté le 25 mai 2023 par la Chambre des représentants(1) . Cette disposition désigne la Direction générale Energie comme le service d'inspection pour le secteur de l'Energie et habilite le Roi à déterminer les conditions et les modalités de recours à des prestataires externes dans l'exécution de ces tâches d'inspection. Cette disposition, qui doit encore entrer en vigueur, est nécessaire pour procurer un fondement juridique à l'article 6 du projet. Il faudra donc veiller à ce que l'arrêté envisagé ne soit pas publié avant cette disposition procurant le fondement juridique(2) .

3.3. Aux termes de l'article 25, § 2, de la loi du 1er juillet 2011, le Roi peut, pour un secteur ou un sous-secteur déterminé, autoriser le service d'inspection à se faire remettre une copie du P.S.E. et des actes, documents ou autres sources d'informations que le service d'inspection estime nécessaires à l'exercice de sa mission. Le Roi peut également fixer les modalités selon lesquelles la copie est remise à ce service.

Si cette disposition procure bien en principe un fondement juridique aux articles 3 à 5 du projet, il convient toutefois d'émettre une réserve en ce qui concerne l'article 7, § 1er/1, alinéa 2, en projet, de l'arrêté royal du 11 mars 2013 (article 5 du projet). En effet, cette disposition porte sur la classification des données après que celles-ci ont été transmises au service d'inspection. A cet effet, il y a lieu de s'appuyer également sur l'article 7, § 6, de la loi du 11 décembre 1998 `relative à la classification et aux habilitations, attestations et avis de sécurité', en vertu duquel le Roi détermine les modalités de classification, de déclassification et de protection d'informations, de documents, de données, de matériel, de matériaux ou de matières, et détermine quelles autorités et personnes peuvent attribuer un degré de classification.

OBSERVATIONS GENERALES

4. Selon le rapport au Roi, le projet vise à " anticiper la transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques (ci-après directive CER) ", dont le délai de transposition court encore jusqu'au 17 octobre 2024 et qui, selon le rapport au Roi, prévoit " des mesures similaires ". Sur cette base, on n'aperçoit toutefois pas si le projet vise ou non à transposer partiellement cette directive, ni comment les mesures en projet s'articulent avec les dispositions de la directive. Il faudra le préciser dans le rapport au Roi. Le cas échéant, le projet devra également prévoir une disposition de transposition.

EXAMEN DU TEXTE

Préambule

5. On complétera la mention du fondement juridique dans le préambule du projet conformément aux observations formulées aux points 3.2 et 3.3.

Le ministre qui a l'Energie dans ses attributions est chargée de l'exécution du présent arrêté.

Signatures

Donné à Bruxelles, le 15 septembre 2023.

PHILIPPE

Par le Roi

La Ministre de l'Energie,

T. VAN DER STRAETEN

Préambule

PHILIPPE, Roi des Belges,

A tous, présents et à venir, Salut.

Vu la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité, l'article 7, § 6, inséré par la loi du 11 septembre 2022 ;

Vu la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques, les articles 13, §§ 2, alinéa 2 et 6, alinéa 2, 24, § 2, alinéas 1er et 7, inséré par la loi du 11 juin 2023, et 25, § 2 ;

Vu l'arrêté royal du 11 mars 2013 portant exécution des articles 13, 24 et 25 de la loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques pour le secteur de l'Energie ;

Vu l'avis de l'Inspecteur des Finances, donné le 30 mars 2023 ;

Vu l'avis 73.734/3 du Conseil d'Etat, donné le 29 juin 2023, en application de l'article 84, § 1er, alinéa 1er, 2°, des lois sur le Conseil d'Etat, coordonnées le 12 janvier 1973 ;

Considérant la loi du 11 décembre 1998 relative à la classification et aux habilitations, attestations et avis de sécurité, l'article 22quinquies, § 2, inséré par la loi du 23 février 2018 ;

Sur la proposition de la Ministre de l'Energie,

Nous avons arrêté et arrêtons

Rapport au Roi

RAPPORT AU ROI

Sire,

Généralités

La loi du 1er juillet 2011 relative à la sécurité et la protection des infrastructures critiques (ci-après loi IC) fournit un cadre préventif en vertu duquel les exploitants des infrastructures critiques doivent préparer une analyse de risques et sont tenus de prendre des mesures de protection afin de prévenir ou d'empêcher tout événement de nature à causer des dommages à l'infrastructure ou une partie de celle-ci.

Les exploitants d'infrastructures critiques qui doivent prendre des mesures de sécurité, peuvent, en raison de la nature et du délai parfois long de leur mises en oeuvre, perdre de vue la finalité pour laquelle elles sont appliquées.

Le projet d'arrêté royal vise à introduire des mesures pour pallier les obstacles potentiels qui peuvent survenir lors de la mise en oeuvre des mesures de sécurité. L'introduction de ces mesures est également motivée par la nécessité de répondre à la situation géopolitique actuelle et au sabotage des pipelines Nord Stream.

L'introduction de ces mesures vise également à anticiper la transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques (ci-après directive CER). Cette dernière prévoit des mesures similaires. L'inclusion de certaines d'entre elles dans ce projet permet aux infrastructures critiques concernées par le secteur de l'énergie de se familiariser et de se préparer à la transposition de la directive indiquée ci-dessus, dont la transposition est prévue pour le 17 octobre 2024.

Commentaire article par article