← Toutes les ressources

NIS2 Belgique : hôtellerie et tourisme, concernés ?

Publié le 2 novembre 2026 · 8 min de lecture · CyberNovaLabs.io

L'hébergement et la restauration ne figurent pas dans les annexes de la loi belge du 26 avril 2024. Trois obligations vous rattrapent pourtant, et l'une d'elles décide déjà des contrats d'entreprise.

La réponse courte

Non. En Belgique, un hôtel, un camping, un restaurant, une agence de voyages ou un tour-opérateur n'est pas, en principe, une entité de la loi du 26 avril 2024. Cette loi est entrée en vigueur le 18 octobre 2024^[1]. Elle vise les entités publiques ou privées d'un type repris à l'annexe I ou II, et seulement si elles sont au moins une entreprise moyenne au sens de la recommandation 2003/361/CE^[1][2]. Le texte de la loi ne mentionne ni l'hôtellerie, ni l'hébergement, ni la restauration, ni le tourisme. L'annexe II, point 4, ne retient que les entreprises alimentaires qui font de la distribution en gros ou de la production et de la transformation industrielles^[1]. Une cuisine d'hôtel n'est pas cela.

Vous n'avez donc pas, pour cette seule activité, à vous enregistrer auprès de l'autorité nationale de cybersécurité, pas d'alerte d'incident à 24 heures, pas d'amende de la loi NIS2 à provisionner. Trois choses vous concernent quand même, et la deuxième décide déjà de contrats : les données de vos clients, surveillées par l'Autorité de protection des données au titre du règlement (UE) 2016/679^[3][4] ; les questionnaires de sécurité que vous envoient des clients qui, eux, sont des entités NIS2 ; et le cas, plus rare, où une activité annexe ou une identification de l'autorité vous fait entrer dans la loi.

NIS2 Belgique : êtes-vous concerné ?

Un seul critère manquant vous sort du champ. Prenez-les dans l'ordre de la loi, pas dans l'ordre d'un questionnaire commercial.

1. Votre activité figure-t-elle à l'annexe I ou II ? Pour un hôtel, un gîte, un camping, un restaurant, un traiteur de salle ou un tour-opérateur : non. Le point 4 de l'annexe II ne change pas cette réponse, sauf si une entité du groupe produit ou transforme des denrées à l'échelle industrielle, ou les distribue en gros^[1]. Une brigade qui sert les clients de l'hôtel n'est pas une usine alimentaire.
2. Atteignez-vous le seuil de taille ? Même une activité listée n'entre que si l'entité est une entreprise moyenne, ou dépasse les plafonds de l'article 2 de l'annexe de la recommandation 2003/361/CE^[1][2]. La loi belge ne recolle pas ces plafonds dans l'article 3 : elle y renvoie. En dessous, vous n'êtes pas une entité NIS2, sauf exception de l'article 11.
3. L'autorité vous a-t-elle identifié nommément ? L'article 11 permet à l'autorité nationale de cybersécurité d'identifier une entité comme essentielle ou importante quelle que soit sa taille, notamment si elle est le seul prestataire en Belgique d'un service essentiel, ou si une perturbation aurait un impact important sur la sécurité publique, la sûreté publique ou la santé publique^[1]. Un hôtel de ville n'est pas, par son hébergement, ce prestataire unique. Ne répondez pas « oui » à un client sur la foi d'une rumeur : demandez l'acte d'identification.
4. Une activité annexe est-elle, elle, listée ? Place de marché en ligne qui vend le logement de tiers, centre de données, réseau de communications, production industrielle à part. C'est l'activité listée qui entre, pas l'enseigne hôtelière par contamination.

Ce que la loi exige en Belgique, si vous y êtes vraiment

Ces obligations ne s'appliquent qu'à une entité essentielle ou importante. Les citer à un hôtel hors champ est une erreur de devis, pas une prudence.

L'enregistrement se fait auprès de l'autorité nationale de cybersécurité, dans les cinq mois de l'entrée en vigueur ou de l'identification de l'article 11^[1]. La loi étant entrée en vigueur le 18 octobre 2024, ce délai de cinq mois tombait le 18 mars 2025 pour les entités déjà dans le champ à cette date. L'article 13 demande la dénomination, le numéro Banque-carrefour des entreprises, l'adresse, l'adresse de courrier électronique, les plages d'adresses IP et le téléphone, ainsi que le secteur d'annexe et, le cas échéant, les États membres où le service est fourni^[1]. Un hôtel qui découvrirait une activité annexe listée ne s'enregistre pas « pour l'hôtel » : il s'enregistre pour ce service.

L'article 30 impose des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées sur les réseaux et systèmes utilisés pour fournir le service concerné^[1]. L'article 31 met l'organe de direction en responsabilité : il approuve ces mesures, en supervise l'exécution, et ses membres doivent avoir une formation suffisante pour apprécier les risques^[1]. L'article 35 fixe le rythme d'un incident significatif : alerte précoce dans les vingt-quatre heures, notification dans les septante-deux heures, rapport final au plus tard un mois après cette notification^[1].

L'article 59 chiffre les amendes administratives, et seulement pour les entités du champ. Une entité importante qui manque aux mesures de gestion des risques ou à la notification s'expose à une amende de 500 à 7.000.000 euros, ou 1,4 pour cent du chiffre d'affaires annuel mondial de l'exercice précédent, le plus élevé des deux étant retenu. Pour une entité essentielle, le plafond est de 500 à 10.000.000 euros, ou 2 pour cent du même chiffre d'affaires. L'amende est doublée en cas de récidive pour les mêmes faits dans un délai de trois ans^[1]. Hors champ, ces montants ne sont pas votre risque NIS2. Ils sont le risque de votre client hôpital, banque ou transporteur, et c'est pour cela qu'il vous envoie un questionnaire.

Ce qui vous concerne quand même

Le règlement (UE) 2016/679 s'applique à la fiche client, à la copie de pièce d'identité, au détail du séjour et au paiement, que vous soyez ou non une entité NIS2^[3]. En Belgique, l'autorité de contrôle est l'Autorité de protection des données^[4]. Une violation de données à caractère personnel se notifie à cette autorité. Une notification NIS2, si un jour elle vous concernait, ne la remplace pas : ce sont deux régimes.

Le deuxième canal est contractuel. Un hôpital, une banque, une entreprise ferroviaire ou une administration qui bloque des chambres peut être, lui, une entité de l'annexe I. Son article 30 lui commande de regarder sa chaîne de fournisseurs. Le questionnaire que vous recevez n'est pas une loi qui s'appliquerait à l'hôtel. C'est la condition du contrat. Répondre « non concerné par la loi du 26 avril 2024 » sans pièce jointe fait perdre le bloc de chambres. Répondre « nous sommes NIS2 » alors que l'annexe ne vous vise pas est faux, et un faux se retourne.

Porte d'entrée	Vous vise-t-elle ?	Pièce à tenir
Annexe I ou II, activité d'hébergement ou de restauration	Non, le texte ne les liste pas[1]	Note d'une page : activité, absence d'annexe, date, numéro BCE
Annexe II, point 4, denrées alimentaires	Seulement gros ou industrie, pas la cuisine de l'hôtel[1]	Si une cuisine centrale industrielle existe : la sortir du périmètre hôtel et la qualifier à part
Article 11, identification quelle que soit la taille	Rare : prestataire unique ou impact sur la sécurité, la sûreté ou la santé publique[1]	Ne jamais affirmer une identification sans l'acte
Questionnaire d'un client lui-même entité NIS2	Oui, par le contrat, pas par la loi hôtelière	Dossier de réponses : accès, sauvegardes, incident, sous-traitants du PMS
Données des clients	Oui, règlement (UE) 2016/679, autorité belge[3][4]	Liste des systèmes, durée de conservation écrite, chemin de notification à l'APD

Les 5 premières actions

1. Écrire la note ci-dessus et la faire signer par la direction. Sans date et sans numéro BCE, ce n'est pas une pièce.
2. Lister les systèmes qui portent la donnée client : logiciel de réservation, channel manager, serrures, terminal de paiement, boîte de réservation. Pour chacun : qui y accède hors de l'hôtel, et comment on coupe cet accès.
3. Séparer deux chemins d'incident. Violation de données personnelles : Autorité de protection des données^[4]. Incident sur un service d'annexe, seulement si vous y êtes : autorité nationale de cybersécurité, rythme de l'article 35^[1]. Ne mélangez pas les deux formulaires.
4. Préparer un dossier de réponses de quatre pages pour le client entreprise : périmètre, accès distants, copies de sauvegarde, délai de prévention en cas d'incident, liste des sous-traitants qui voient la fiche client. Le cadre de ces questions est ici : questionnaire de sécurité d'un fournisseur.
5. Verrouiller le courrier de réservation. Un faux ordre de virement ou une fausse modification de séjour part d'une adresse qui ressemble à la vôtre. Le contrôle gratuit : sécurité des e-mails. Le test de champ, si un associé affirme que vous êtes dedans : test NIS2.

Chez CyberNovaLabs.io

La même question, posée au Luxembourg et en France, ne se répond pas avec le même guichet ni la même date. Le guide hôtellerie au Luxembourg et le guide hôtellerie en France ne remplacent pas la loi belge du 26 avril 2024. Côté Belgique, le voisin utile est le guide immobilier et gestion locative, autre activité absente des annexes, et la page NIS2 en Belgique. À Bruxelles, la page ville : rendez-vous B2B à Bruxelles.

CyberNovaLabs.io rédige la note de périmètre et le dossier de réponses au questionnaire, sur devis, sans vous faire déclarer une qualité que la loi ne vous donne pas. Si une activité annexe vous fait entrer, la formation de l'organe de direction prévue à l'article 31 se prépare à part : formation des équipes. Pour faire écrire la note : demander la note de périmètre.

Sources

1. Loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique — Justel, entrée en vigueur le 18 octobre 2024
2. Recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises
3. Règlement (UE) 2016/679 du 27 avril 2016 (RGPD)
4. Autorité de protection des données / Gegevensbeschermingsautoriteit

À lire aussi