Que change la loi NIS2 belge du 26 avril 2024 pour votre hébergement ?
La loi NIS2 belge renforce les obligations de cybersécurité de nombreuses organisations. Voici ce qu'elle change concrètement pour votre hébergement, ce qui reste votre responsabilité et les erreurs à éviter.
Réponse courte
- 1La loi NIS2 belge du 26 avril 2024 et son arrêté royal d'exécution sont entrés en vigueur le 18 octobre 2024 ; elle transpose la directive européenne (UE) 2022/2555.
- 2L'autorité nationale est le Centre pour la Cybersécurité Belgique (CCB) : les entités concernées doivent s'enregistrer sur la plateforme Safeonweb@work.
- 3Un incident significatif se signale au CCB en trois temps : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final au plus tard un mois après la notification.
- 4Le cadre CyberFundamentals (CyFun) ou une certification ISO/IEC 27001, vérifiés par un organisme autorisé par le CCB, donnent une présomption de conformité.
- 5Changer d'hébergeur ne transfère pas l'obligation : c'est votre entité qui reste responsable de ses mesures de sécurité, de ses fournisseurs et de ses notifications.
Ce que dit la loi du 26 avril 2024
La loi établit un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique. Elle s'applique aux entités essentielles et importantes des secteurs visés, selon leur taille et leur activité, et impose des mesures de gestion des risques ainsi que la notification des incidents significatifs.
Parmi les mesures attendues figure la sécurité de la chaîne d'approvisionnement : vos relations avec les fournisseurs de services informatiques, hébergeur compris, doivent être encadrées et évaluées. L'organe de direction de l'entité doit approuver ces mesures et en superviser la mise en œuvre.
Enregistrement au CCB : les échéances
Selon Safeonweb@work, les entités des secteurs numériques devaient s'enregistrer avant le 18 décembre 2024 et toutes les autres entités NIS2 avant le 18 mars 2025. Si votre organisation est concernée et ne l'a pas encore fait, l'enregistrement reste la première étape.
Notifier un incident : 24 heures, 72 heures, un mois
Le guide de notification du CCB décrit trois étapes : une alerte précoce sans retard injustifié et au plus tard dans les 24 heures, qui indique notamment si l'incident semble d'origine malveillante ; une notification dans les 72 heures, avec une première évaluation de la gravité, de l'impact et des indicateurs de compromission ; puis un rapport final au plus tard un mois après la notification.
Pour tenir ces délais, vous avez besoin des journaux et des informations de votre infrastructure. C'est un point à régler contractuellement avec votre hébergeur avant l'incident, pas pendant.
Trois cas belges
Une PME logistique à Anvers
Son application de suivi tourne sur un VPS. Si l'entreprise entre dans le champ de NIS2, elle doit pouvoir obtenir rapidement les journaux du serveur pour son alerte précoce au CCB. Elle le prévoit dans son contrat d'hébergement.
Un fabricant en Wallonie
Il prépare une vérification CyberFundamentals. L'auditeur demandera comment sont gérés les accès, les sauvegardes et les correctifs de l'infrastructure hébergée : une partie de la réponse dépend de l'hébergeur, la responsabilité reste chez le fabricant.
Un éditeur SaaS bruxellois
Ses clients soumis à NIS2 lui envoient des questionnaires sur la chaîne d'approvisionnement. Il doit documenter où sont hébergées les données, qui y accède et comment un incident lui serait signalé.
Erreurs fréquentes
- Croire que l'hébergeur « est conforme NIS2 à votre place » : l'obligation reste celle de votre entité.
- Découvrir au moment de l'incident que l'on n'a pas accès aux journaux nécessaires pour notifier dans les 24 heures.
- Oublier l'enregistrement sur Safeonweb@work alors que l'organisation est dans le champ de la loi.
- Confondre alignement sur ISO 27001 d'un fournisseur et certification de votre propre organisation.
Comment 4hosting vous aide
Nos centres de données sont dans l'Union européenne, à Francfort, et non en Belgique. Nous signons un contrat de sous-traitance (DPA, art. 28 RGPD) et travaillons en alignement sur ISO 27001, sans certification. La protection DDoS L3/L4 est incluse.
Chaque plan VPS, dédié ou GPU, ainsi que les plans cPanel à partir d'Advanced, inclut des heures mensuelles de DevOps et CyberSecurity : durcissement des serveurs, gestion des accès et des secrets, sauvegardes, journaux centralisés et plan de réponse aux incidents. La migration est gratuite et la facturation se fait en EUR.
Nous ne sommes pas un organisme de certification : la conformité NIS2 de votre entité reste de votre responsabilité, avec votre conseiller.
Parlez-nous de votre cas →Questions fréquentes
Mon hébergeur doit-il notifier les incidents au CCB à ma place ?
Non. Si votre entité est soumise à NIS2, c'est elle qui notifie ses incidents significatifs au CCB. L'hébergeur peut vous fournir les informations techniques, ce qui se prévoit dans le contrat.
Puis-je héberger mes systèmes hors de Belgique ?
La loi NIS2 n'impose pas d'héberger en Belgique ; elle impose des mesures de sécurité et une gestion des risques liés aux fournisseurs. Pour les données personnelles, le RGPD s'applique en parallèle.
4hosting certifie-t-il que je respecte la loi NIS2 ?
Non. 4hosting fournit une infrastructure dans l'UE et des heures DevOps et CyberSecurity ; la conformité de votre entité se détermine avec votre conseiller et, le cas échéant, un organisme autorisé par le CCB.