2026003089 14 AVRIL 2026. - Arrêté royal portant fixation du plan national de réaction aux crises cyber et incidents de cybersécurité pour le territoire belge, la mer territoriale et la zone économique exclusive

Cet article rend applicable les définitions visées à l'article 8 de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique.

En effet, ce projet fait partie intégrante du cadre juridique fixé par cette loi qui transpose la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 précitée. Il est donc impératif de maintenir une cohérence entre les notions utilisées dans le cadre du plan national de réaction aux crises cyber et incidents de cybersécurité et les notions utilisées par la loi du 26 avril 2024 précitée.

Cet article fixe le plan national de réaction aux crises cyber et incidents de cybersécurité et précise son champ d'application territorial.

Conformément à l'article 29, § 1er de la loi NIS2, ce plan contient au moins les éléments suivants

1° les objectifs des mesures et activités nationales de préparation ;

2° les tâches et responsabilités des autorités de gestion des crises cyber ;

3° les procédures de gestion des crises cyber, y compris leur intégration dans le cadre national général de gestion des crises et les canaux d'échange d'informations ;

4° les mesures de préparation nationales, y compris des exercices et des activités de formation ;

5° les parties prenantes et les infrastructures des secteurs public et privé concernées ;

6° les procédures et arrangements nationaux entre les autorités et les organismes nationaux compétents visant à garantir la participation et le soutien effectifs de la Belgique à la gestion coordonnée des crises cyber et incidents de cybersécurité au niveau de l'Union européenne.

Le plan se divise en plusieurs niveaux. Pour chaque niveau, le plan détermine : les rôles et les responsabilités des différents acteurs ; les mécanismes d'enregistrement et d'évaluation ; le partage d'information ; les cellules à mettre en place ; la chaîne de communication ; la clôture, l'évaluation ; et le rapportage.

Le plan national de réaction aux crises cyber et incidents de cybersécurité s'applique aux incidents de cybersécurité et/ou aux cybermenaces sur le territoire belge, dans les ambassades belges à l'étranger, les représentations diplomatiques et économiques dans les entités fédérées, dans les eaux territoriales ou la zone économique exclusive, ayant un impact potentiel sur le territoire ou la population belge, ou affectant au moins des organisations belges.

Articles 3 et 4

L'article 3 liste les parties soumises au plan national de réaction aux crises cyber et incidents de cybersécurité. Il doit être lu en combinaison avec l'article 4.

Dans le prolongement des obligations légales de coopération au niveau national prévues par la loi NIS2, l'article 4 du projet d'arrêté royal prévoit explicitement que, sans préjudice du secret de l'information et de l'instruction visés respectivement aux articles 28quinquies et 57 du Code d'Instruction Criminelle ou d'autres dispositions légales limitant le partage des informations, les parties visées par le plan (reprises à l'article 3) collaborent mutuellement dans le cadre du plan national de réaction aux crises cyber et incidents de cybersécurité visé à l'article 2 et s'échangent adéquatement entre elles les informations relatives aux incidents de cybersécurité et/ou aux cybermenaces.

Il convient, en effet, de s'assurer que les autorités publiques concernées veillent bien au respect des procédures, tâches et responsabilités définies dans le plan national de réaction aux crises cyber et incidents de cybersécurité.

Afin d'en assurer le caractère obligatoire pour les parties visées à l'article 3, cette obligation est formellement reprise à l'article 4.

Compte tenu de l'absence de caractère réglementaire à l'égard de tous les belges, des obligations de confidentialité prévues à l'article 26, § 3 de la loi NIS2, des intérêts protégés par l'article 6, § 1er, 1° et 4° de la loi du 11 avril 1994 relative à la publicité de l'administration et de l'article 113 de l'arrêté royal du 20 décembre 2024 (caractère sensible non classifié), il est prévu de publier au Moniteur belge l'arrêté royal, mais sans son annexe laquelle contient le contenu détaillé du plan. L'arrêté royal adopté et le plan repris en annexe seront néanmoins notifiés aux différentes administrations intéressées, reprises à l'article 3 de l'arrêté royal.

Les parties soumises au respect du plan visé à l'article 2 sont les suivantes

- l'autorité nationale de cybersécurité;

- le NCCN;

- l'Organe de coordination pour l'analyse de la menace, institué par la loi du 10 juillet 2006 relative à l'analyse de la menace;

- le SPF Affaires étrangères, Commerce extérieur et Coopération au Développement;

- les services de renseignement et de sécurité visés par la loi du 30 novembre 1998 organique des services de renseignement et de sécurité (VSSE et SGRS, en ce compris le Cyber Command);

- les services de police visés par la loi du 7 décembre 1998 organisant un service de police intégré, structuré à deux niveaux ;

- le Ministère public et les autorités judiciaires;

- les autorités sectorielles;

- l'Institut belge des services postaux et des télécommunications;

- les autorités de protection des données;

- les Cyber Response Teams.

Sans préjudice du secret de l'information et de l'instruction visés respectivement aux articles 28quinquies et 57 du Code d'Instruction Criminelle ou d'autres dispositions légales limitant le partage des informations, les parties visées à l'article 3 collaborent mutuellement dans le cadre de l'exécution du plan national de réaction aux crises cyber et incidents de cybersécurité visé à l'article 2 et notamment s'échangent adéquatement entre elles les informations relatives aux incidents de cybersécurité et/ou aux cybermenaces.

Cet article précise que le nouveau plan national de réaction aux crises cyber et incidents de cybersécurité remplace le plan approuvé par le Conseil des Ministres le 28 avril 2017. Il n'est pas fait mention d'une abrogation car le plan précédent n'avait pas été adopté par un arrêté royal.

Cet article charge les Ministres compétents de l'exécution du présent arrêté et ne nécessite pas d'autre commentaire.

Telle est, Sire, la portée de l'arrêté qui Vous est soumis,

Nous avons l'honneur d'être,

Sire,

de Votre Majesté

les très respectueux et très fidèles serviteurs,

Le Premier Ministre,

B. DE WEVER

Le Ministre de la Sécurité et de l'Intérieur,

B. QUINTIN

Le Premier Ministre et le Ministre qui a l'Intérieur et la Sécurité dans ses attributions sont chargés, chacun en ce qui le concerne, de l'exécution du présent arrêté.

Annexe. Plan national de réaction aux crises cyber et incidents de cybersécurité pour le territoire belge, la mer territoriale et la zone économique exclusive

(non publié)

Vu pour être annexé à notre arrêté royal du 14 avril 2026 portant fixation du plan national de réaction aux crises cyber et incidents de cybersécurité pour le territoire belge, la mer territoriale et la zone économique exclusive

Donné à Bruxelles, le 14 avril 2026.

PHILIPPE

Par le Roi

Le Premier Ministre,

B. DE WEVER

Le Ministre de l'Intérieur,

B. QUINTIN

Signatures

Donné à Bruxelles, le 14 avril 2026.

PHILIPPE

Par le Roi

Le Premier Ministre,

B. DE WEVER

Le Ministre de l'Intérieur,

B. QUINTIN

Préambule

PHILIPPE, Roi des Belges,

A tous, présents et à venir, Salut.

Vu la Constitution, les articles 37 et 108;

Vu la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, l'article 29, § 1er;

Vu la loi du 15 mai 2007 relative à la sécurité civile, l'article 9, § 2;

Vu la dispense d'analyse d'impact de la réglementation, visée à l'article 8, § 2, 1°, de la loi du 15 décembre 2013 portant des dispositions diverses concernant la simplification administrative;

Vu l'avis de l'Inspecteur des Finances accrédité auprès du Service public fédéral Intérieur, donné le 25 novembre 2025;

Vu l'avis de l'Inspecteur des Finances accrédité auprès du Service public fédéral Chancellerie du Premier Ministre, donné le 2 décembre 2025;

Vu l'accord du Ministre du Budget du 12 décembre 2025;

Considérant le plan national d'urgence cyber approuvé par le Conseil des Ministres le 28 avril 2017;

Considérant que, dans le contexte national et international actuel, nous sommes confrontés à des incidents de cybersécurité et des cybermenaces; qu'il est donc nécessaire de disposer sans délai d'un plan d'urgence adéquat, conforme aux évolutions en la matière et aux directives européennes et internationales;

Considérant que, bien que la mer territoriale et la zone économique exclusive ne fassent pas partie du territoire national et que l'Etat belge ne dispose pas d'une souveraineté pleine et entière sur ces zones maritimes similaire à celle exercée sur son territoire, il est approprié et nécessaire que ce plan d'urgence y soit d'application; que cela n'implique aucune nouvelle compétence de la Belgique en ce qui concerne la mer territoriale et la zone économique exclusive, mais est conforme aux compétences dont dispose déjà la Belgique dans ces zones et permet l'exercice adéquat de ces compétences;

Considérant que ledit plan d'urgence est activé dès qu'un des niveaux tels qu'y définis est atteint;

Considérant que pour ce faire, les acteurs concernés doivent, dès l'existence dudit plan, être conscients de leur rôle et veiller à l'opérationnalisation de celui-ci dans leurs procédures internes;

Sur la proposition du Premier Ministre et du Ministre de la Sécurité et de l'Intérieur, et de l'avis des Ministres qui en ont délibéré en Conseil,

Nous avons arrêté et arrêtons

Rapport au Roi

RAPPORT AU ROI

Sire,

Le projet d'arrêté royal qui Vous est soumis vise à réviser le cadre de la gestion de crise cyber afin de refléter les pratiques actuelles et afin d'assurer la conformité du plan avec les dispositions de la directive NIS2, telle que transposée en droit belge par la loi NIS2. Le plan actuellement en vigueur, sera remplacé par ce projet.

La gestion de crise cyber est actuellement encadrée par le plan national de réaction aux crises cyber et incidents de cybersécurité, approuvé par le Conseil des Ministres le 28 avril 2017.

Depuis, la pratique et le cadre juridique entourant la cybersécurité en Belgique ont évolué. La directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/114 a été adoptée. Celle-ci impose aux Etats Membres de désigner les autorités de gestion de crises cyber, d'assurer la cohérence avec le cadre national général de gestion de crise, et d'adopter un plan national de réaction aux crises et incidents de cybersécurité majeurs.

Cette directive a été transposée en droit belge au travers de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique (loi NIS2). Afin d'assurer la cohérence de la gestion de crise cyber avec le cadre de gestion de crise existant en Belgique, il y est prévu que le plan national de réaction aux crises cyber et incidents de cybersécurité soit formellement adopté par Vous, par un arrêté délibéré en Conseil des ministres.

Ce plan a été soumis au Comité de coordination du renseignement et de la sécurité, puis au Comité stratégique du renseignement et de la sécurité, qui l'a approuvé le 16 octobre 2025.

Le plan national de réaction aux crises cyber et incidents de cybersécurité vise à fournir une structure pour répondre aux incidents de cybersécurité et/ou aux cybermenaces qui nécessitent une coordination au niveau national.

Il décrit les missions que les différents organismes et services, chacun dans les limites de ses compétences légales et réglementaires, doivent accomplir, le cas échéant, dans le cadre du processus global de traitement des incidents et des crises de cybersécurité. Les partenaires concernés peuvent de cette manière travailler ensemble de manière coordonnée pour protéger les secteurs vitaux de notre pays contre les incidents de cybersécurité et/ou les cybermenaces. Ce plan coordonne l'approche des partenaires impliqués, qui peuvent à leur tour le rendre opérationnel pour leurs propres tâches.

En ce qui concerne la gestion d'une crise cyber nationale, la structure du plan d'urgence national général est reprise dans toute la mesure du possible dans le présent plan national de réaction aux crises cyber et incidents de cybersécurité. Toutefois, en raison de la spécificité du risque cyber, certains éléments supplémentaires sont mis en exergue. Le plan national de réaction aux crises cyber et incidents de cybersécurité constitue donc un plan national spécifique, comportant notamment une structure particulière en cas de phase fédérale.

Pour des raisons de sécurité, le contenu du plan national de réaction aux crises cyber et incidents de cybersécurité n'est pas accessible au public. Il sera cependant notifié à toutes les parties visées à l'article 3 du projet d'arrêté royal qui Vous est soumis.

COMMENTAIRE DES ARTICLES