Comment déclarer un incident au CCB dans les délais NIS2 ?

Dernière mise à jour : 14 septembre 2026

Sommaire

Réponse Rapide
Sommaire
Quels incidents faut-il notifier, et lesquels non ?
Déclarer un incident au CCB : 24 heures, 72 heures, un mois
RGPD : une seconde horloge de 72 heures, vers l'APD
Notification tardive : quelles sanctions, et quand déclencher ?
Note de la rédaction
Sources et Références

Réponse Rapide

Déclarer un incident au CCB suit trois échéances légales : une alerte précoce dans les 24 heures, une notification d'incident dans les 72 heures, un rapport final dans le mois qui suit cette notification. Le délai court dès la connaissance de l'incident significatif.

Sommaire

Quels incidents faut-il notifier, et lesquels non ?
Déclarer un incident au CCB : 24 heures, 72 heures, un mois
RGPD : une seconde horloge de 72 heures, vers l'APD
Notification tardive : quelles sanctions, et quand déclencher ?

Quels incidents faut-il notifier, et lesquels non ?

Seuls les incidents qualifiés de significatifs déclenchent l'obligation, et seulement dans le chef des entités essentielles et importantes. La loi du 26 avril 2024, entrée en vigueur le 18 octobre 2024, définit l'incident significatif comme celui qui a un impact significatif sur la fourniture d'un des services repris aux annexes I et II et qui, soit a causé ou risque de causer une perturbation opérationnelle grave ou des pertes financières pour l'entité, soit a affecté ou risque d'affecter d'autres personnes en leur causant des dommages matériels, corporels ou moraux considérables [1]. La directive européenne retient exactement les deux mêmes branches [3].

Deux conséquences pratiques. Un incident sans effet sur le service et sans dommage à des tiers ne remonte pas, même s'il a mobilisé l'équipe informatique une nuit entière. À l'inverse, une panne purement technique, sans acte malveillant, remonte dès qu'elle atteint ce seuil.

Le texte ne chiffre pas ce seuil. Le Roi peut fixer des seuils précis par arrêté délibéré en Conseil des ministres, selon le degré d'impact ou d'urgence [1]. La directive imposait par ailleurs à la Commission d'adopter pour le 17 octobre 2024 des actes d'exécution précisant les cas d'incident important pour une liste fermée de fournisseurs numériques, du DNS à l'informatique en nuage [3].

Le périmètre des entités se lit en amont : nous avons détaillé qui est concerné par NIS2 en Belgique, et à quel niveau. Une exception mérite d'être signalée : les entités des secteurs bancaire et des infrastructures de marchés financiers relevant du règlement DORA sortent des titres 3 à 5 de la loi, donc de ce chapitre de notification [1].

Déclarer un incident au CCB : 24 heures, 72 heures, un mois

Le dispositif est un escalier à trois marches, et non une déclaration unique. L'article 35 de la loi impose de soumettre au CSIRT national les pièces suivantes [1].

Échéance	Pièce attendue	Contenu exigé
24 heures après connaissance	Alerte précoce	Indique, le cas échéant, si l'on suspecte des actes illicites ou malveillants et si un impact transfrontière est possible
72 heures après connaissance	Notification d'incident	Met à jour l'alerte, fournit une évaluation initiale de la gravité et de l'impact, et les indicateurs de compromission disponibles
Sur demande	Rapport intermédiaire	Mises à jour pertinentes de la situation
1 mois après la notification	Rapport final	Description détaillée, type de menace ou cause profonde probable, mesures d'atténuation appliquées et en cours, impact transfrontière éventuel

Trois précisions changent la conduite d'un dossier réel. Si l'incident est toujours en cours à l'échéance du rapport final, l'entité remet un rapport d'avancement, puis le rapport final dans le mois du traitement définitif [1]. Les prestataires de services de confiance disposent, par dérogation, de 24 heures et non de 72 pour la notification d'incident [1]. Enfin, le CSIRT national doit répondre à l'alerte précoce si possible dans les 24 heures, avec un premier retour et, sur demande, des conseils opérationnels [1].

Le canal est unique côté entreprise. La notification va au CSIRT national, et c'est lui qui la transmet immédiatement aux autorités sectorielles compétentes, celles des entités essentielles allant en outre au Centre national de crise [1]. Le CCB cumule les deux casquettes : l'arrêté royal du 9 juin 2024 le désigne comme autorité nationale de cybersécurité [2], et la loi confie à cette autorité les tâches de CSIRT national [1]. Les autorités sectorielles existent bien, de l'AFMPS pour les dispositifs médicaux au ministre de l'Énergie [2], mais l'entité n'a pas à les saisir en parallèle.

RGPD : une seconde horloge de 72 heures, vers l'APD

Ce sont deux obligations séparées, et la confusion est l'erreur la plus fréquente. Le RGPD impose au responsable du traitement de notifier une violation de données à caractère personnel à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés [4]. Passé ce délai, la notification doit être accompagnée des motifs du retard [4]. L'Autorité de protection des données reprend cette formulation et renvoie vers son portail de notification [5].

Le contenu diffère de celui exigé par NIS2. L'article 33 du RGPD demande la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les coordonnées du délégué à la protection des données, les conséquences probables et les mesures prises [4]. Rien de tout cela ne figure dans l'alerte précoce de 24 heures.

Les périmètres ne se recouvrent pas. Un rançongiciel qui arrête une chaîne de production sans toucher de données personnelles relève de NIS2 seul. Une base de clients exfiltrée sans interruption de service relève du RGPD seul. Un incident sérieux déclenche souvent les deux, avec deux dossiers distincts. Ces arbitrages rejoignent ceux que pose déjà le traitement des données personnelles par les outils d'intelligence artificielle.

Deux obligations d'information s'y ajoutent. NIS2 impose de notifier aux destinataires des services les incidents significatifs susceptibles de nuire à la fourniture du service, et de leur communiquer les mesures applicables en cas de cybermenace importante [1]. Le RGPD impose de communiquer la violation aux personnes concernées lorsqu'elle est susceptible d'engendrer un risque élevé pour leurs droits et libertés [4]. La loi belge prévoit une dispense de cette communication individuelle, moyennant autorisation de l'autorité nationale de cybersécurité [1].

Notification tardive : quelles sanctions, et quand déclencher ?

Le manquement aux obligations de notification est sanctionné au même titre que le manquement aux mesures de gestion des risques. L'amende administrative va de 500 à 7.000.000 euros ou 1,4 pour cent du chiffre d'affaires annuel mondial total de l'exercice précédent pour une entité importante, et de 500 à 10.000.000 euros ou 2 pour cent pour une entité essentielle, le montant le plus élevé étant retenu [1]. Elle est doublée en cas de récidive pour les mêmes faits dans un délai de trois ans [1]. Pour une entité essentielle s'y ajoutent des mesures administratives, jusqu'à l'interdiction temporaire d'exercer des responsabilités dirigeantes [1].

Sur le moment de déclencher, la loi tranche dans un sens souvent mal lu. Le délai court dès la connaissance de l'incident, pas dès la fin de l'analyse. L'alerte précoce est volontairement pauvre, une suspicion et une hypothèse d'impact transfrontière suffisent, précisément pour qu'elle puisse partir avant le diagnostic. Et le simple fait de notifier n'accroît pas la responsabilité de l'entité [1].

Reste le fournisseur hors champ, cas fréquent chez les sous-traitants informatiques. Il n'a aucune obligation, mais la notification volontaire lui est ouverte : toute entité, qu'elle relève ou non de la loi, peut signaler un incident significatif, une cybermenace ou un incident évité [1]. Ces signalements sont traités comme les notifications obligatoires, avec une priorité possible pour ces dernières, et n'ont pas pour effet direct de déclencher une inspection [1].

Note de la rédaction

Le contenu éditorial est séparé de toute relation commerciale : un contenu sponsorisé, un partenariat ou un placement est signalé comme tel. Aucun article ne constitue un conseil en investissement, juridique ou fiscal personnalisé, et le lecteur est invité à consulter un professionnel agréé avant toute décision.