Royal Decree implementing the Act of 20 July 2022 on the cybersecurity certification of information and communications technology and designating a national cybersecurity certification authority

16 OCTOBRE 2022. - Arrêté royal portant exécution de la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité, et modifiant l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique

Titre

2022033821

Source: Chancellerie du Premier Ministre

Publication: 24 octobre 2022

Numéro: 2022033821

page: 77575

Dossier numéro: 2022-10-16/04

Entrée en vigueur : 3 novembre 2022

Ce texte modifie le texte suivant:

2014207006

Table des matières

• CHAPITRE 1er. - Objet
• Art. 1
• CHAPITRE 2. - Définitions
• Art. 2
• CHAPITRE 3. - Autorités compétentes
• Art. 3-4
• CHAPITRE 4. - Carte de légitimation
• Art. 5-6
• CHAPITRE 5. - Modification de l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique
• Art. 7-9
• CHAPITRE 6. - Disposition finale
• Art. 10
• ANNEXES.
• Art. N1-N2

Texte

CHAPITRE 1er. - Objet

CHAPITRE 2. - Définitions

CHAPITRE 3. - Autorités compétentes

CHAPITRE 4. - Carte de légitimation

CHAPITRE 5. - Modification de l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique

CHAPITRE 6. - Disposition finale

ANNEXES.

Art. N1

Liste des autorités avec lesquelles la concertation est organisée

• SPF Mobilité et Transports

• Institut belge des services postaux et des télécommunications (IBPT)

• Banque Nationale de Belgique (BNB)

• Autorité des Services et Marchés Financiers (FSMA)

• SPF Economie, P.M.E., Classes moyennes et Energie

• SPF Emploi, Travail et Concertation sociale

• Comité national de sécurité pour la fourniture et la distribution d'eau potable

• Agence Fédérale de Contrôle du Nucléaire (AFCN)

• SPF Sante publique, Sécurité de la Chaine alimentaire et Environnement

• Agence Fédérale des Médicaments et des Produits de Santé (AFMPS)

• Centre de Crise National (NCCN)

• Sûreté de l'Etat (VSSE)

• Service Général du Renseignement et de la Sécurité (SGRS)

• Autorité Nationale de Sécurité (ANS)

• Collège des Procureurs généraux

• Police Intégrée

• SPF Affaires étrangères, Commerce extérieur et Coopération au Développement

Art. N2

(Image non reprise pour des raisons techniques, voir M.B. du 24-10-2022, p. 77581)

Signatures

Donné à Bruxelles, le 16 octobre 2022.

PHILIPPE

Par le Roi :

Le Premier Ministre,

A. DE CROO

Préambule

PHILIPPE, Roi des Belges,

A tous, présents et à venir, Salut.

Vu le règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l'ENISA (Agence de l'Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l'information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité);

Vu la Constitution, les articles 37, 107, alinéa 2, et 108;

Vu la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité, les articles 5, § 1er, 8, § 2, et 15, § 1er;

Vu l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique;

Vu l'avis de l'Inspecteur des Finances, donné le 31 mai 2021;

Vu l'absence d'accord de la Secrétaire d'Etat au Budget ;

Vu la délibération du Conseil des ministres du 2 juillet 2021 permettant de passer outre à l'absence d'accord de la Secrétaire d'Etat au Budget ;

Vu l'analyse d'impact de la réglementation réalisée conformément aux articles 6 et 7 de la loi du 15 décembre 2013 portant des dispositions diverses en matière de simplification administrative;

Vu l'avis n° 72.137/2 du Conseil d'Etat, donné le 3 octobre 2022, en application de l'article 84, § 1er, alinéa 1er, 2°, des lois sur le Conseil d'Etat, coordonnées le 12 janvier 1973;

Considérant que la loi habilite le Roi dans plusieurs dispositions à adopter des mesures d'exécution de la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité;

Considérant que pour mettre en oeuvre adéquatement le règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l'ENISA (Agence de l'Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l'information et des communications, et abrogeant le règlement (UE) n° 526/2013, il est nécessaire d'adopter le présent arrêté royal;

Sur la proposition du Premier Ministre et de l'avis des Ministres qui en ont délibéré en Conseil,

Nous avons arrêté et arrêtons :

Rapport au Roi

Rapport au Roi

Sire,

Le projet d'arrêté royal que nous avons l'honneur de soumettre à la signature de Votre Majesté vise l'exécution des articles 37, 107, alinéa 2, et 108 de la Constitution, des articles 58, § 8, f) et 65, du Règlement (UE) 2019/881 du Parlement Européen et du Conseil du 17 avril 2019 relatif à l'ENISA (Agence de l'Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l'information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité) (ci-après, le " Règlement ") et des articles 5, § 1er, 8, § 2, et 15, § 1er, de la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité (ci-après, la " loi ").

Ce Règlement prévoit, en son article 58, § 1er, que chaque Etat membre doit désigner au moins une autorité nationale de certification de cybersécurité. Celle-ci doit assurer, entre autres, un rôle de supervision et de contrôle des titulaires de schémas de certification de cybersécurité quant au respect des règles et obligations qui découlent du Règlement.

L'article 58, § 8, du Règlement dispose également que l'autorité nationale de certification de cybersécurité dispose au moins de certains pouvoirs afin de pouvoir mener à bien ses différentes missions.

Au niveau national, la loi du 20 juillet 2022 a été adoptée afin de permettre à la Belgique de pouvoir appliquer de manière adéquate le Règlement, notamment en autorisant le Roi à désigner l'autorité nationale de certification de cybersécurité, en organisant le service d'inspection dont cette autorité doit être dotée ou encore en créant un régime de sanctions en cas de non-respect du Règlement ou de la loi.

Ce projet d'arrêté royal a, tout d'abord, pour objectif de désigner le Centre pour la Cybersécurité Belgique (ci-après " le CCB ") comme autorité nationale de certification de cybersécurité. Le CCB dispose en effet, au travers de ses missions légales telles que définies à l'article 3 de l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique et à l'article 60 de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique (" loi NIS ") d'une expertise pertinente en matière de cybersécurité.

Le projet établit également la liste des autorités avec lesquelles le CCB doit se concerter dans le cadre de sa mission de coopération européenne en tant qu'autorité nationale de certification de cybersécurité ainsi que la carte de légitimation dont doivent être dotés les membres assermentés du service d'inspection du CCB.

Ce projet d'arrêté royal vise enfin à adapter l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique afin de se conformer aux exigences du Règlement et de la loi.

Commentaire des articles

Chapitre 1er - Objet

Article 1er

Cet article rappelle le Règlement européen et la loi qui sont mis en oeuvre par le présent arrêté royal.

Chapitre 2 - Définitions

Article 2

L'article définit certains termes utiles pour le projet d'arrêté royal.

Chapitre 3 - Autorités compétentes

Article 3

Cet article désigne le Centre pour la cybersécurité Belgique come autorité nationale de certification de cybersécurité. Il met en oeuvre l'article 58 du Règlement et a pour fondement légal l'article 5, § 1er de la loi.

Le CCB est désigné comme autorité nationale de certification de cybersécurité car il remplit déjà plusieurs missions dans le domaine de la cybersécurité. Le CCB, en vertu de l'article 3 de l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique, coordonne l'évaluation et la certification de la sécurité des systèmes d'information et de communication, ainsi que la représentation belge aux forums internationaux sur la cybersécurité, le suivi des obligations internationales et la présentation du point de vue national en la matière.

En vertu de l'article 60 de la loi du 7 avril 2019 établissant un cadre pour la sécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique (" loi NIS "), le CCB assume également le rôle de centre national de réponse aux incidents de sécurité informatique (" CSIRT national ").

Conformément à l'article 58, § 5, du Règlement, le CCB doit disposer des moyens humains et budgétaires suffisants pour réaliser ces nouvelles tâches.

Article 4

L'article 4 prévoit, en application de l'article 8, § 2 de la loi, que le CCB, dans le cadre de sa mission de représentation de la Belgique au sein du Groupe européen de certification de cybersécurité (ci-après, le " GECC "), se concerte avec, au minimum, les autorités reprises à l'annexe 1re du projet d'arrêté royal.

Le GECC a pour mission, entre autres, de conseiller et d'assister la Commission européenne dans la mise en oeuvre du cadre de certification de cybersécurité du Règlement ainsi que l'ENISA dans la préparation des schémas candidats de certification de cybersécurité, d'examiner les évolutions dans le domaine de la certification de cybersécurité et de faciliter la coopération entre les autorités nationales de certification de cybersécurité.

Cette concertation permet de s'assurer que le CCB puisse remplir adéquatement sa mission de représentation de la Belgique au sein du GECC.

Chapitre 4 - Carte de légitimation

Article 5

L'article 5 prévoit que les membres assermentés du service d'inspection sont dotés d'une carte de légitimation. Le modèle de cette carte est repris à l'annexe 2 du projet d'arrêté royal. Cet article a pour fondement légal l'article 15, § 1er de la loi.

Article 6

L'article 6 précise la forme et la dimension de la carte de légitimation.

Chapitre 5 - Modification de l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique

Article 7

Cet article modifie l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique en y insérant un article 3ter qui instaure un service d'inspection chargé des missions et investi des pouvoirs prévus aux chapitres 5, 6 et 7 de la loi. En effet la loi prévoit, en son article 13, § 1er, que l'autorité nationale de certification de cybersécurité dispose d'un tel service.

L'article 3ter, à insérer, prévoit également que le service d'inspection accomplit ses missions en toute indépendance vis-à-vis des autres services du CCB afin de s'assurer, comme le prévoit l'article 58, § 4 du Règlement, que les missions de contrôle de l'autorité nationale de certification de cybersécurité soient strictement distinctes des missions liées à la délivrance de certificats de cybersécurité européens.

En outre, l'article 3ter, à insérer, prévoit que le service d'inspection est dirigé par un directeur et que ce dernier est chargé, le cas échant, d'infliger les éventuelles sanctions sur base de la loi et du Règlement.

Articles 8 et 9

L'article 5 de l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique prévoit seulement un poste de " directeur " et un poste de " directeur adjoint ".

Afin de doter le nouveau service d'inspection du CCB également d'un directeur, il convient de remplacer, hormis à l'article 3ter, les termes " directeur " et " directeur adjoint " par " directeur général " et " directeur adjoint général ".

Chapitre 6 - Dispositions Finales

Article 10

L'article 10 désigne le Premier Ministre comme étant chargé de l'exécution du présent arrêté.

Annexe 1. Liste des autorités avec lesquelles la concertation est organisée

Cette annexe liste les autorités avec lesquelles le CCB, en tant qu'autorité de certification de cybersécurité, doit au minimum se concerter dans le cadre de sa mission de représentation au sein du GECC.

Annexe 2. Carte de légitimation

L'annexe 2 reprend la carte de légitimation destinée aux membres assermentés du service d'inspection de l'autorité nationale de certification de cybersécurité.

Telle est la teneur de l'arrêté que j'ai l'honneur de soumettre à Votre signature.

J'ai l'honneur d'être,

Sire,

de Votre Majesté

le très respectueux et très fidèle serviteur,

Le Premier Ministre,

A. DE CROO

Avis du Conseil d'Etat n° 72.137/2 du 3 octobre 2022 sur un projet d'arrêté royal `portant exécution de la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité, et modifiant l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique'

Le 2 septembre 2022, le Conseil d'Etat, section de législation, a été invité par le Premier Ministre à communiquer un avis, dans un délai de trente jours, sur un projet d'arrêté royal `portant exécution de la loi du 20 juillet 2022 relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité, et modifiant l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique'.

Le projet a été examiné par la deuxième chambre le 3 octobre 2022. La chambre était composée de Pierre VANDERNOOT, président de chambre, Patrick RONVAUX et Christine HOREVOETS, conseillers d'Etat, Christian BEHRENDT et Jacques ENGLEBERT, assesseurs, et Béatrice DRAPIER, greffier.

Le rapport a été présenté par Roger WIMMER, premier auditeur, et Xavier MINY, auditeur adjoint.

La concordance entre la version française et la version néerlandaise a été vérifiée sous le contrôle de Pierre VANDERNOOT.

L'avis, dont le texte suit, a été donné le 3 octobre 2022.

Comme la demande d'avis est introduite sur la base de l'article 84, § 1er, alinéa 1er, 2°, des lois `sur le Conseil d'Etat', coordonnées le 12 janvier 1973, la section de législation limite son examen au fondement juridique du projet, à la compétence de l'auteur de l'acte ainsi qu'à l'accomplissement des formalités préalables, conformément à l'article 84, § 3, des lois coordonnées précitées.

Sur ces trois points, le projet appelle les observations suivantes.

EXAMEN DU PROJET

PREAMBULE

1. Les articles 9 et 10 du projet trouvent leur fondement juridique dans les articles 37 et 107, alinéa 2, de la Constitution.

Il convient dès lors de compléter l'alinéa 2 du préambule en y visant, outre l'article 108, les articles 37 et 107, alinéa 2, de la Constitution.

2. Un alinéa 4 nouveau doit être inséré dans le préambule pour y viser l'arrêté royal du 10 octobre 2014 `portant création d'un Centre pour la Cybersécurité Belgique', modifié par les articles 8 à 10 du projet.(1)

3. L'alinéa 5 du préambule, devenant son alinéa 6, vise un accord de la Secrétaire d'Etat au Budget donné le 16 juin 2021.

Or, à cette date, le dossier communiqué au Conseil d'Etat fait état d'une lettre de la Secrétaire d'Etat au Budget indiquant qu'elle ne pouvait marquer son accord à l'avant-projet devenu la loi du 20 juillet 2022 `relative à la certification de cybersécurité des technologies de l'information et des communications et portant désignation d'une autorité nationale de certification de cybersécurité'.

Le dossier ne contient pas de document renseignant l'accord de la Secrétaire d'Etat au Budget au projet d'arrêté royal à l'examen.

Le 2 juillet 2021, le Conseil des ministres a toutefois adopté ce projet.

Compte tenu de l'article 11 de l'arrêté royal du 20 mai 2022 `relatif au contrôle administratif, budgétaire et de gestion', l'alinéa 5 du préambule doit être remplacé par les alinéas suivants, devenant les alinéas 6 et 7 du préambule :

" Vu l'absence d'accord de la Secrétaire d'Etat au Budget ;

Vu la délibération du Conseil des ministres du 2 juillet 2021 permettant de passer outre à l'absence d'accord de la Secrétaire d'Etat au Budget ; ".

DISPOSITIF

Article 7

Le modèle de la carte de légitimation est présenté dans l'annexe II.

L'article 7 du projet, qui décrit le contenu de ladite carte, est par conséquent inutile et sera omis.

ANNEXES

Les annexes doivent porter in fine la mention " Vu pour être annexé à notre arrêté du ... " et être revêtues des mêmes date et signature que celles figurant sur le texte auquel elles se rapportent.(2)

Le greffier,

Béatrice Drapier

Le Président,

Pierre Vandernoot

Note

(1) Principes de technique législative - Guide de rédaction des textes législatifs et réglementaires, www.raadvst-consetat.be, onglet " Technique législative ", recommandations nos 29 et 30.

(2) Principes de technique législative - Guide de rédaction des textes législatifs et réglementaires, www.raadvst.be, onglet " Technique législative ", recommandation n° 172 et formule F 4 8 1.

Liens

https://www.ejustice.just.fgov.be/eli/arrete/2022/10/16/2022033821/justel

Image de la publication officielle

PDF version consolidée

Lien externe

Conseil d'Etat

16 OKTOBER 2022. - Koninklijk besluit tot uitvoering van de wet van 20 juli 2022 inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot aanwijzing van een nationale cyberbeveiligingscertificeringsautoriteit, en tot wijziging van het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België

Titel

2022033821

Bron: Kanselarij van de Eerste Minister

Publicatie: 24 oktober 2022

Nummer: 2022033821

bladzijde: 77575

Dossiernummer: 2022-10-16/04

Inwerkingtreding : 3 november 2022

Deze tekst wijzigt de volgende tekst:

2014207006

Inhoudstafel

• HOOFDSTUK 1. - Onderwerp
• Art. 1
• HOOFDSTUK 2. - Definities
• Art. 2
• HOOFDSTUK 3. - Bevoegde autoriteiten
• Art. 3-4
• HOOFDSTUK 4. - Legitimatiekaart
• Art. 5-6
• HOOFDSTUK 5. - Wijziging van het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België
• Art. 7-9
• HOOFDSTUK 6. - Slotbepaling
• Art. 10
• BIJLAGEN.
• Art. N1.-N2

Tekst

HOOFDSTUK 1. - Onderwerp

HOOFDSTUK 2. - Definities

HOOFDSTUK 3. - Bevoegde autoriteiten

HOOFDSTUK 4. - Legitimatiekaart

HOOFDSTUK 5. - Wijziging van het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België

HOOFDSTUK 6. - Slotbepaling

BIJLAGEN.

Art. N1.

Bijlage 1. Lijst van de overheden waarmee overleg wordt georganiseerd

• FOD Mobiliteit en Vervoer

• Belgisch Instituut voor Postdiensten en Telecommunicatie (BIPT)

• Nationale Bank van België (NBB)

• Autoriteit voor Financiële Diensten en Markten (FSMA)

• FOD Economie, K.M.O., Middenstand en Energie

• FOD Werkgelegenheid, Arbeid en Sociaal Overleg

• Nationaal Comité voor de beveiliging van de levering en distributie van drinkwater

• Federaal Agentschap voor Nucleaire Controle (FANC)

• FOD Volksgezondheid, Veiligheid van de Voedselketen en Leefmilieu

• Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten (FAGG)

• Nationaal Crisiscentrum (NCCN)

• Veiligheid van de Staat (VSSE)

• Algemene Dienst Inlichting en Veiligheid (ADIV)

• Nationale Veiligheidsoverheid (NVO)

• College van Procureurs-generaal

• Geïntegreerde Politie

• FOD Buitenlandse Zaken, Buitenlandse Handel en Ontwikkelingssamenwerking

Art. N2

( Beeld niet opgenomen om technische redenen, zie B.St. van 24-10-2022, p. 77581)

Handtekening

Gegeven te Brussel, 16 oktober 2022.

FILIP

Van Koningswege :

De Eerste Minister,

A. DE CROO

Aanhef

FILIP, Koning der Belgen,

Aan allen die nu zijn en hierna wezen zullen, Onze Groet.

Gelet op Verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake ENISA (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening);

Gelet op de Grondwet, de artikelen 37, 107, tweede lid, en 108;

Gelet op de wet van 20 juli 2022 inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot aanwijzing van een nationale cyberbeveiligingscertificeringsautoriteit, de artikelen 5, § 1, 8, § 2, en 15, § 1;

Gelet op het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België;

Gelet op het advies van de inspecteur van Financiën, gegeven op 31 mei 2021;

Gelet op de ontstentenis van akkoordbevinding van de Staatssecretaris voor Begroting;

Gelet op het besluit van de Ministerraad van 2 juli 2021 om voorbij te gaan aan de ontstentenis van akkoordbevinding van de Staatssecretaris voor Begroting;

Gelet op de impactanalyse van de regelgeving, uitgevoerd overeenkomstig artikelen 6 en 7 van de wet van 15 december 2013 houdende diverse bepalingen inzake administratieve vereenvoudiging;

Gelet op het advies nr. 72.137/2 van de Raad van State, gegeven op 3 oktober 2022, met toepassing van artikel 84, § 1, eerste lid, 2°, van de wetten op de Raad van State, gecoördineerd op 12 januari 1973;

Overwegende dat de wet de Koning in verschillende bepalingen machtigt om maatregelen te nemen tot uitvoering van de wet van 20 juli 2022 inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot aanwijzing van een nationale cyberbeveiligingscertificeringsautoriteit;

Overwegende dat dit koninklijk besluit moet worden aangenomen voor de adequate uitvoering van Verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake ENISA (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013;

Op de voordracht van de Eerste Minister en op het advies van de in Raad vergaderde Ministers,

Hebben Wij besloten en besluiten Wij :

Verslag aan de Koning

Verslag aan de Koning

Sire,

Het ontwerp van koninklijk besluit dat wij ter ondertekening aan Uwe Majesteit voorleggen beoogt de uitvoering van de artikelen 37, 107, tweede lid, en 108 van de Grondwet, de artikelen 58, lid 8, onder f) en 65, van Verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake ENISA (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening) (hierna de "Verordening") en van de artikelen 5, § 1, 8, § 2 en 15, § 1, van de wet van 20 juli 2022 inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot aanwijzing van een nationale cyberbeveiligingscertificeringsautoriteit (hierna de "wet").

Artikel 58, lid 1, van deze Verordening bepaalt dat iedere lidstaat ten minste één nationale cyberbeveiligingscertificeringsautoriteit moet aanwijzen. Deze autoriteit moet onder meer zorgen voor het toezicht op en de controle van de houders van cyberbeveiligingscertificeringsregelingen met betrekking tot de naleving van de regels en verplichtingen die uit de Verordening voortvloeien.

Krachtens artikel 58, lid 8, van de Verordening beschikt de nationale cyberbeveiligingscertificeringsautoriteit ten minste over bepaalde bevoegdheden om haar verschillende opdrachten te kunnen uitvoeren.

Op nationaal niveau is de wet van 20 juli 2022 aangenomen om België in staat te stellen de Verordening naar behoren toe te passen, met name door de Koning te machtigen om de nationale cyberbeveiligingscertificeringsautoriteit aan te wijzen, door de inspectiedienst te organiseren waarover deze autoriteit moet beschikken of nog, door een sanctieregeling in te voeren voor het geval de Verordening of de wet niet wordt nageleefd.

Dit ontwerp van koninklijk besluit heeft in de eerste plaats tot doel het Centrum voor Cybersecurity België (hierna "het CCB") aan te wijzen als nationale cyberbeveiligingscertificeringsautoriteit. Via zijn wettelijke opdrachten zoals omschreven in artikel 3 van het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België en in artikel 60 van de wet van 7 april 2019 tot vaststelling van een kader voor de beveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid ("NIS-wet"), beschikt het CCB immers over relevante expertise op het gebied van cyberbeveiliging.

Het ontwerp bepaalt ook de lijst van de overheden waarmee het CCB moet overleggen in het kader van zijn Europese samenwerkingsopdracht als nationale cyberbeveiligingscertificeringsautoriteit, alsook de legitimatiekaart waarover de beëdigde leden van de inspectiedienst van het CCB moeten beschikken.

Tot slot brengt dit ontwerp van koninklijk besluit de nodige aanpassingen aan in het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België om aan de eisen van de Verordening en de wet te voldoen.

Artikelsgewijze bespreking

Hoofdstuk 1 - Onderwerp

Artikel 1

Dit artikel verwijst naar de Europese Verordening en de wet die door dit koninklijk besluit worden uitgevoerd.

Hoofdstuk 2 - Definities

Artikel 2

Het artikel definieert enkele nuttige termen voor het ontwerp van koninklijk besluit.

Hoofdstuk 3 - Bevoegde autoriteiten

Artikel 3

Dit artikel wijst het Centrum voor Cybersecurity België aan als nationale cyberbeveiligingscertificeringsautoriteit. Het geeft uitvoering aan artikel 58 van de Verordening en heeft artikel 5, § 1, van de wet als rechtsgrond.

Het CCB wordt aangewezen als nationale cyberbeveiligingscertificeringsautoriteit omdat het al verschillende opdrachten op het gebied van cyberbeveiliging vervult. Krachtens artikel 3 van het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België coördineert het CCB de evaluatie en certificatie van de veiligheid van informatie- en communicatiesystemen, alsook de Belgische vertegenwoordiging in internationale fora voor cyberveiligheid, de opvolging van internationale verplichtingen en de voorstellen van het nationale standpunt op dit vlak.

Krachtens artikel 60 van de wet van 7 april 2019 tot vaststelling van een kader voor de beveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid ("NIS-wet") vervult het CCB ook de rol van nationaal computer security incident response team ("nationaal CSIRT").

Overeenkomstig artikel 58, lid 5, van de Verordening moet het CCB over voldoende menselijke en budgettaire middelen beschikken om deze nieuwe taken uit te voeren.

Artikel 4

Met toepassing van artikel 8, § 2, van de wet bepaalt artikel 4 dat het CCB, in het kader van zijn opdracht om België in de Europese Groep voor cyberbeveiligingscertificering (hierna de "EGC") te vertegenwoordigen, met minstens de in bijlage 1 van het ontwerp van koninklijk besluit vermelde overheden overlegt.

De EGC heeft onder meer als opdracht advies en bijstand te verlenen aan de Europese Commissie bij de uitvoering van het cyberbeveiligingscertificeringskader van de Verordening en aan ENISA bij het opstellen van potentiële cyberbeveiligingscertificeringsregelingen, de ontwikkelingen op het gebied van cyberbeveiligingscertificering te volgen en de samenwerking tussen de nationale cyberbeveiligingscertificeringsautoriteiten te vergemakkelijken.

Dit overleg waarborgt dat het CCB zijn opdracht om België in de EGC te vertegenwoordigen naar behoren kan vervullen.

Hoofdstuk 4 - Legitimatiekaart

Artikel 5

Artikel 5 wijst erop dat de beëdigde leden van de inspectiedienst over een legitimatiekaart beschikken. Het model van deze kaart is opgenomen in bijlage 2 van het ontwerp van koninklijk besluit. Dit artikel heeft als rechtsgrond artikel 15, § 1, van de wet.

Artikel 6

Artikel 6 bepaalt de vorm en de afmetingen van de legitimatiekaart.

Hoofdstuk 5 - Wijziging van het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België

Artikel 7

Dit artikel wijzigt het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België door een artikel 3ter in te voegen waarbij een inspectiedienst wordt opgericht die de in hoofdstukken 5, 6 en 7 van de wet vermelde opdrachten en bevoegdheden toegewezen krijgt. Artikel 13, § 1, van de wet bepaalt immers dat de nationale cyberbeveiligingscertificeringsautoriteit over een dergelijke dienst beschikt.

Het in te voegen artikel 3ter verduidelijkt tevens dat de inspectiedienst zijn opdrachten volledig onafhankelijk van de andere diensten van het CCB vervult om, zoals bepaald in artikel 58, lid 4, van de Verordening, ervoor te zorgen dat de toezichthoudende opdrachten van de nationale cyberbeveiligingscertificeringsautoriteit strikt gescheiden zijn van de opdrachten met betrekking tot de afgifte van Europese cyberbeveiligingscertificaten.

Bovendien vermeldt het in te voegen artikel 3ter dat de inspectiedienst geleid wordt door een directeur en dat deze laatste, in voorkomend geval, belast is met het opleggen van eventuele sancties op basis van de wet en de Verordening.

Artikelen 8 en 9

Artikel 5 van het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België voorziet enkel in de betrekking van "directeur" en "adjunct-directeur".

Om ook een directeur aan te stellen bij de nieuwe inspectiedienst van het CCB, moeten de woorden "directeur" en "adjunct-directeur", behalve in artikel 3ter, worden vervangen door "directeur-generaal" en "adjunct-directeur-generaal".

Hoofdstuk 6 - Slotbepalingen

Artikel 10

Uit artikel 10 blijkt dat de Eerste Minister belast is met de uitvoering van dit besluit.

Bijlage 1. Lijst van de overheden waarmee overleg wordt georganiseerd

Deze bijlage somt de overheden op waarmee het CCB, als cyberbeveiligingscertificeringsautoriteit, minstens moet overleggen in het kader van zijn vertegenwoordigingsopdracht in de EGC.

Bijlage 2. Legitimatiekaart

Bijlage 2 bevat de legitimatiekaart voor de beëdigde leden van de inspectiedienst van de nationale cyberbeveiligingscertificeringsautoriteit.

Dit is de strekking van het dat ik U ter ondertekening voorleg.

Ik heb de eer te zijn,

Sire,

Van Uwe Majesteit,

de zeer eerbiedige en zeer getrouwe dienaar,

De Eerste Minister,

A. DE CROO

Advies van de Raad van State nr. 72.137/2 van 3 oktober 2022 over een ontwerp van koninklijk besluit `tot uitvoering van de wet van 20 juli 2022 inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot aanwijzing van een nationale cyberbeveiligings-certificeringsautoriteit, en tot wijziging van het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België'

Op 2 september 2022 is de Raad van State, afdeling Wetgeving, door de Eerste Minister verzocht binnen een termijn van dertig dagen een advies te verstrekken over een ontwerp van koninklijk besluit `tot uitvoering van de wet van 20 juli 2022 inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot aanwijzing van een nationale cyberbeveiligingscertificeringsautoriteit, en tot wijziging van het koninklijk besluit van 10 oktober 2014 tot oprichting van het Centrum voor Cybersecurity België'.

Het ontwerp is door de tweede kamer onderzocht op 3 oktober 2022. De kamer was samengesteld uit Pierre VANDERNOOT, kamervoorzitter, Patrick RONVAUX en Christine HOREVOETS, staatsraden, Christian BEHRENDT en Jacques ENGLEBERT, assessoren, en Béatrice DRAPIER, griffier.

Het verslag is uitgebracht door Roger WIMMER, eerste auditeur, en Xavier MINY, adjunct auditeur.

De overeenstemming tussen de Franse en de Nederlandse tekst van het advies is nagezien onder toezicht van Pierre VANDERNOOT.

Het advies, waarvan de tekst hierna volgt, is gegeven op 3 oktober 2022.

Aangezien de adviesaanvraag ingediend is op basis van artikel 84, § 1, eerste lid, 2°, van de wetten `op de Raad van State', gecoördineerd op 12 januari 1973, beperkt de afdeling Wetgeving overeenkomstig artikel 84, § 3, van de voornoemde gecoördineerde wetten haar onderzoek tot de rechtsgrond van het ontwerp, de bevoegdheid van de steller van de handeling en de te vervullen voorafgaande vormvereisten.

Wat die drie punten betreft, geeft het ontwerp aanleiding tot de volgende opmerkingen.

ONDERZOEK VAN HET ONTWERP

AANHEF

1. De artikelen 9 en 10 van het ontwerp ontlenen hun rechtsgrond aan de artikelen 37 en 107, tweede lid, van de Grondwet.

Bijgevolg dient het tweede lid van de aanhef aldus aangevuld te worden dat daarin niet alleen naar artikel 108 maar ook naar de artikelen 37 en 107, tweede lid, van de Grondwet verwezen wordt.

2. In de aanhef moet een nieuw vierde lid ingevoegd worden waarin verwezen dient te worden naar het koninklijk besluit van 10 oktober 2014 `tot oprichting van het Centrum voor Cybersecurity België', dat bij de artikelen 8 tot 10 van het ontwerp gewijzigd wordt.(1)

3. Het vijfde lid van de aanhef, dat het zesde lid wordt, verwijst naar een akkoordbevinding van de staatssecretaris voor Begroting van 16 juni 2021.

In het dossier dat aan de Raad van State overgezonden is, bevindt zich evenwel een brief van die datum waarin de staatssecretaris voor Begroting stelt dat zij niet akkoord kon gaan met het voorontwerp dat heeft geleid tot de wet van 20 juli 2022 `inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot aanwijzing van een nationale cyberbeveiligingscertificeringsautoriteit'.

Het dossier bevat geen document waaruit blijkt dat de staatssecretaris voor Begroting voorliggend ontwerp van koninklijk besluit akkoord bevonden zou hebben.

Op 2 juli 2021 heeft de Ministerraad dit ontwerp evenwel goedgekeurd.

Gelet op artikel 11 van het koninklijk besluit van 20 mei 2022 `betreffende de administratieve, begrotings- en beheerscontrole', moet het vijfde lid van de aanhef vervangen worden door de volgende leden, die het zesde en het zevende lid van de aanhef worden:

"Gelet op de ontstentenis van akkoordbevinding van de Staatssecretaris voor Begroting;

Gelet op het besluit van de Ministerraad van 2 juli 2021 om voorbij te gaan aan de ontstentenis van akkoordbevinding van de Staatssecretaris voor Begroting;".

DISPOSITIEF

Artikel 7

Het model van de legitimatiekaart is vervat in bijlage II.

Artikel 7 van het ontwerp, waarin de inhoud van die kaart beschreven wordt, is bijgevolg overbodig, zodat dit artikel weggelaten moet worden.

BIJLAGEN

Onderaan de bijlagen moet de vermelding "Gezien om gevoegd te worden bij ons besluit van ..." staan, gevolgd door dezelfde datum en handtekening als die welke voorkomen in de tekst waarbij ze gevoegd zijn.(2)

De griffier,

Béatrice Drapier

De Voorzitter,

Pierre Vandernoot

Nota

(1) Beginselen van de wetgevingstechniek - Handleiding voor het opstellen van wetgevende en reglementaire teksten, www.raadvst-consetat.be, tab "Wetgevingstechniek", aanbevelingen 29 en 30.

(2) Beginselen van de wetgevingstechniek - Handleiding voor het opstellen van wetgevende en reglementaire teksten, www.raadvst-consetat.be, tab "Wetgevingstechniek", aanbeveling 172 en formule F 4-8-1;

Links

https://www.ejustice.just.fgov.be/eli/besluit/2022/10/16/2022033821/justel

Beeld van de officiële publicatie

PDF geconsolideerde versie

Externe link

Raad van State