Évaluation des risques
À la fois au niveau sectoriel, menée par les autorités, et au niveau de chaque entité identifiée comme critique.
← Tous nos domaines d'expertise
Directive CER
Loi belge du 19 décembre 2025CER : la résilience physique rejoint la cybersécurité comme obligation légale
Le complément "physique" de NIS2 : catastrophes naturelles, actes malveillants, défaillances techniques — la résilience de vos activités critiques est désormais encadrée par la loi.
Pourquoi CER, et depuis quand s'applique-t-elle en Belgique ?
La directive CER (résilience des entités critiques, UE 2022/2557) complète NIS2 en couvrant, cette fois, la résilience physique et opérationnelle des entités jugées critiques pour la société — au-delà du seul risque cyber : catastrophes naturelles, actes malveillants, défaillances techniques. Les États membres devaient la transposer avant le 17 octobre 2024 ; la Belgique a finalisé sa loi de transposition le 19 décembre 2025, avec plus d'un an de retard sur l'échéance européenne.
Ce retard ne signifie pas que le sujet peut attendre : au contraire, le cadre légal belge étant désormais en place, l'identification des entités critiques et les obligations qui en découlent vont s'accélérer sur les secteurs concernés (énergie, transport, santé, eau, banque et infrastructures financières, infrastructures numériques, administration publique, espace, production et distribution alimentaire, entre autres secteurs identifiés par l'UE).
Ce que CER change concrètement pour vous
Cinq obligations, applicables aux entités formellement identifiées comme critiques par les autorités belges.
Identification comme entité critique
Les autorités compétentes belges notifient les entités concernées sur base de critères sectoriels et de seuils d'impact.
Plan de résilience
Mesures techniques, physiques et organisationnelles pour prévenir, résister, absorber et se remettre d'un incident, quelle qu'en soit la cause.
Notification des incidents significatifs
Informer sans délai injustifié l'autorité compétente de tout incident perturbant ou pouvant perturber significativement la fourniture de services essentiels.
Vérification des antécédents et sensibilisation
Pour le personnel occupant des fonctions sensibles, et formation à la gestion de crise pour les équipes concernées.
Ce que vous risquez si vous ne faites rien
Le cadre belge étant tout juste finalisé, les contrôles pour les entités identifiées risquent de s'enchaîner rapidement.
Sanctions administratives
La loi belge prévoit des amendes et mesures correctives en cas de manquement, avec un régime de contrôle propre à chaque secteur.
Interruption d'activité non anticipée
Sans plan de résilience formalisé, un incident (panne, sabotage, catastrophe naturelle) a un impact démultiplié sur la continuité d'activité.
Recoupement avec NIS2
De nombreuses entités critiques au sens CER sont également soumises à NIS2 : les deux cadres se recoupent et se renforcent, sans se substituer l'un à l'autre.
Retard réglementaire, rattrapage accéléré
Le cadre belge n'ayant été finalisé que fin 2025, les échéances et contrôles pour les entités identifiées risquent de s'enchaîner rapidement.
Votre secteur d'activité est-il concerné par CER ?
Le cadre belge étant tout juste finalisé, c'est le bon moment pour clarifier votre situation avant les premiers contrôles.
Discutons de votre conformité CER