Accueil / Cybersécurité / NIS2 en Belgique / Énergie

NIS2 pour les entreprises du secteur de l'énergie en Belgique

Le secteur « Énergie » figure à l'annexe I de la directive NIS2. Les grandes entreprises sont des entités essentielles ; les moyennes entreprises sont des entités importantes. En Belgique, les règles découlent de la loi NIS2 du 26 avril 2024, applicable depuis le 18 octobre 2024. Autorité : le Centre pour la Cybersécurité Belgique (CCB), ainsi qu'une autorité sectorielle pour certains secteurs.

→ Parler à un conseiller en cybersécurité

Qui est couvert dans ce secteur

• Producteurs, fournisseurs, gestionnaires de réseau, agrégateurs et exploitants de stockage d'électricité
• Exploitants de points de recharge pour véhicules électriques destinés aux utilisateurs finaux
• Réseaux de chaleur et de froid
• Pétrole, gaz et hydrogène : production, stockage, transport, fourniture

Les entreprises qui se contentent de consommer de l'énergie ne sont pas concernées à ce titre ; un installateur de panneaux solaires n'est pas un opérateur énergétique (voir la page Cyber Resilience Act si vous vendez des appareils connectés).

Les menaces les plus fréquentes dans ce secteur

• Rançongiciel qui bloque le dispatching, la facturation ou le comptage
• Attaques sur les accès distants aux sous-stations, onduleurs ou bornes de recharge
• Compromission via un prestataire de maintenance OT
• Hameçonnage du personnel des salles de contrôle et de terrain

Cinq mesures prioritaires

1. 01 Séparer l'informatique de bureau des réseaux de technologie opérationnelle (OT)
2. 02 Inventorier chaque accès distant et le protéger par une authentification multifacteur (MFA)
3. 03 Tester des sauvegardes hors ligne des systèmes de facturation et de contrôle
4. 04 Clauses de sécurité contractuelles avec les prestataires OT et de maintenance
5. 05 Une procédure de notification d'incident sous 24 heures, testée une fois par an

Ce qu'exige la réglementation en Belgique

• La loi du 26 avril 2024 s'applique depuis le 18 octobre 2024.
• L'inscription sur Safeonweb@Work devait être faite au plus tard le 18 mars 2025 (18 décembre 2024 pour certains fournisseurs numériques). Pas encore inscrit ? Faites-le maintenant.
• Les entités essentielles devaient réaliser une première évaluation de conformité au plus tard le 18 avril 2026 et doivent détenir une certification CyberFundamentals (CyFun®) ou ISO/IEC 27001 au plus tard le 18 avril 2027.
• Le cadre du CCB comporte trois niveaux d'assurance — Basic, Important, Essential. Le niveau Basic est recommandé aux fournisseurs d'entités NIS2 qui ne sont pas eux-mêmes concernés.
• Les entités importantes font l'objet d'une supervision a posteriori (par exemple après un incident) ; une évaluation CyFun® ou ISO 27001 volontaire leur donne une présomption de conformité.

Incidents importants : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Amendes prévues par la directive : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes (le montant le plus élevé étant retenu).

Outils et guides

Énergie dans les autres pays

Autres secteurs en Belgique

Questions fréquentes

Une entreprise du secteur « Énergie » est-elle concernée par NIS2 en Belgique ?

Le secteur « Énergie » figure à l'annexe I. Les grandes entreprises sont des entités essentielles ; les moyennes entreprises sont des entités importantes. Les petites entreprises ne sont généralement pas concernées, sauf désignation. Notre test NIS2 vous donne la réponse en deux minutes.

Par quoi commencer ?

Inscrivez-vous si vous êtes concerné, désignez un responsable, menez une courte analyse des risques et réglez les bases : MFA, sauvegardes testées, correctifs, procédure d'incident.

Nous sommes fournisseur de ce secteur. Sommes-nous concernés ?

Oui, indirectement : vos clients doivent sécuriser leur chaîne d'approvisionnement et vous demanderont des preuves. Consultez notre guide du questionnaire fournisseur.

Sources

• CCB Safeonweb@Work — The NIS2 Law
• CCB — Échéance du 18 avril 2026 pour les entités essentielles
• CCB — NIS2 Quickstart Guide

Dernière vérification : 28 septembre 2026. Cette page est une information générale, pas un avis juridique.