Oh no! No description found. But not to worry. Read from Tasks below how to advance this topic.
The European Union NIS2 has been transposed in Belgium into national law as the NIS2 law. The law closely aligns with the EU NIS2 directive and features only minor national differences. It obligates and defines cybersecurity rules for companies registered in Belgium working in the critical sector.
The European Union NIS2 has been transposed in Belgium into national law as the NIS2 law. The law closely aligns with the EU NIS2 directive and features only minor national differences. It was released as a Law establishing a framework for the cybersecurity of networks and information systems of general interest for public security. It obligates and defines cybersecurity rules for companies registered in Belgium working in the critical sector.
The aim of the law is to strengthen cybersecurity measures, incident management and the supervision of entities providing services that are essential for maintaining critical societal or economic activities. It also aims to improve the coordination of public policies in the area of cybersecurity. The Centre for Cyber Security Belgium (CCB) has also provided the CyberFundamentals framework that aligns with the NIS2 law.
Below you'll find all of the requirements of this framework. In Cyberday, we map all requirement to global tasks, making multi-compliance management easy. Do it once, and see the progress across all frameworks!
A titre volontaire, les entités relevant du champ d'application de la présente loi et, le cas échéant, les autres entités concernées ne relevant pas du champ d'application de la présente loi peuvent échanger, entre elles, au sein de communautés, des informations pertinentes en matière de cybersécurité, y compris des informations relatives aux cybermenaces, aux incidents évités, aux vulnérabilités, aux techniques et procédures, aux indicateurs de compromission, aux tactiques adverses, ainsi que des informations spécifiques sur les acteurs de la menace, des alertes de cybersécurité et des recommandations concernant la configuration des outils de cybersécurité pour détecter les cyberattaques, lorsque ce partage d'informations:
1° vise à prévenir et à détecter les incidents, à y réagir, à s'en rétablir ou à atténuer leur impact;
2° renforce le niveau de cybersécurité, notamment en sensibilisant aux cybermenaces, en limitant ou en empêchant leur capacité de se propager, en soutenant une série de capacités de défense, en remédiant aux vulnérabilités et en les révélant, en mettant en oeuvre des techniques de détection, d'endiguement et de prévention des menaces, des stratégies d'atténuation ou des étapes de réaction et de rétablissement, ou en encourageant la recherche collaborative en matière de cybermenaces entre les entités publiques et privées.
L'échange d'informations visé au paragraphe 1er est mis en oeuvre au moyen d'accords de partage d'informations en matière de cybersécurité, compte tenu de la nature potentiellement sensible des informations partagées.
Les entités essentielles et importantes notifient à l'autorité nationale de cybersécurité leur participation aux accords de partage d'informations en matière de cybersécurité visés au paragraphe 2, lorsqu'elles concluent de tels accords ou, le cas échéant, lorsqu'elles se retirent de ces accords, une fois que le retrait prend effet.
Les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d'autres services.
Les mesures visées au paragraphe 1er garantissent, pour les réseaux et les systèmes d'information, un niveau de sécurité adapté au risque existant, en tenant compte de l'état des connaissances et, s'il y a lieu, des normes européennes et internationales applicables, ainsi que du coût de mise en oeuvre. Lors de l'évaluation de la proportionnalité de ces mesures, il convient de tenir dûment compte du degré d'exposition de l'entité aux risques, de la taille de l'entité et de la probabilité de survenance d'incidents et de leur gravité, y compris leurs conséquences sociétales et économiques.
Lorsque les entités essentielles et importantes examinent lesquelles des mesures visées au paragraphe 3, 4°, sont appropriées, elles tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé.
Ces mesures doivent être appropriées au regard des résultats des évaluations coordonnées au niveau de l'Union européenne des risques pour la sécurité des chaînes d'approvisionnement critiques.
Chaque entité essentielle et importante effectue une analyse des risques fondée sur une approche "tous risques" qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique contre les incidents et élabore, sur la base de cette analyse, une P.S.I. reprenant au moins les aspects visés au paragraphe 3.
Lorsqu'une entité essentielle ou importante constate qu'elle ne se conforme pas aux mesures visées au paragraphe 3, elle prend, sans retard injustifié, toutes les mesures correctives nécessaires appropriées et proportionnées.
Les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité que ces entités prennent afin de se conformer à l'article 30, supervisent leur mise en oeuvre et sont responsables de la violation dudit article par ces entités.
Les membres des organes de direction des entités essentielles et importantes suivent une formation pour que leurs connaissances et compétences soient suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l'entité.
L'entité essentielle ou importante est responsable de l'analyse des risques effectuée ainsi que du choix et de la mise en oeuvre des mesures visées à l'article 30, § 1.
Les entités essentielles et importantes notifient tout incident significatif sans retard injustifié au CSIRT national, selon les modalités établies dans un protocole conclu entre lui et le NCCN. Ces entités signalent, entre autres, toute information permettant au CSIRT national de déterminer si l'incident a un impact transfrontière.
Le cas échéant, les entités concernées notifient, sans retard injustifié, aux destinataires de leurs services les incidents significatifs susceptibles de nuire à la fourniture des services relatifs aux secteurs ou sous-secteurs repris à l'annexe I et II.
Le CSIRT national communique immédiatement les notifications visées à l'alinéa 1er aux éventuelles autorités sectorielles compétentes. Les notifications des entités essentielles sont également transmises au NCCN.
Le cas échéant, les entités concernées communiquent, sans retard injustifié, aux destinataires de leurs services qui sont potentiellement affectés par une cybermenace importante toutes les mesures ou corrections que ces destinataires peuvent appliquer en réponse à cette menace. Le cas échéant, les entités informent également ces destinataires de la cybermenace importante elle-même.
Aux fins de la notification visée à l'article 34, § 1er, alinéa 1er, les entités concernées soumettent au CSIRT national:
1° sans retard injustifié et en tout état de cause dans les vingt-quatre heures après avoir eu connaissance de l'incident significatif, une alerte précoce qui, le cas échéant, indique si l'on suspecte que l'incident significatif a été causé par des actes illicites ou malveillants ou s'il pourrait avoir un impact transfrontière;
2° sans retard injustifié et en tout état de cause dans les septante-deux heures après avoir eu connaissance de l'incident significatif, une notification d'incident qui, le cas échéant, met à jour les informations visées au 1° et fournit une évaluation initiale de l'incident significatif, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu'ils sont disponibles;
3° à la demande du CSIRT national ou de l'éventuelle autorité sectorielle concernée, un rapport intermédiaire sur les mises à jour pertinentes de la situation;
4° un rapport final au plus tard un mois après la présentation de la notification d'incident visée au 2°, comprenant les éléments suivants:
a) une description détaillée de l'incident, y compris de sa gravité et de son impact;
b) le type de menace ou la cause profonde qui a probablement déclenché l'incident;
c) les mesures d'atténuation appliquées et en cours;
d) le cas échéant, l'impact transfrontière de l'incident;
5° en cas d'incident en cours au moment de la présentation du rapport final visé au 4°, les entités concernées fournissent à ce moment-là un rapport d'avancement puis un rapport final dans un délai d'un mois à compter du traitement définitif de l'incident.
Les entités essentielles se soumettent à une évaluation périodique de la conformité de la mise en oeuvre des mesures de gestion des risques en matière de cybersécurité visées à l'article 30, sur base des modalités et des cadres de référence déterminés par le Roi:
1° Soit en choisissant une évaluation périodique de la conformité visée à l'article 40, sur base de l'un des cadres de référence déterminé par le Roi;
2° Soit en se soumettant à une inspection par l'autorité nationale de cybersécurité, sur base des modalités déterminées par le Roi.
Par dérogation à l'alinéa 1er, et à la demande de l'autorité sectorielle concernée, les inspections visées à l'alinéa 1er, 2°, sont effectuées de manière conjointe, sous la direction de l'autorité nationale de cybersécurité ou sont déléguées à l'éventuel service d'inspection concerné moyennant l'accord de l'autorité nationale de cybersécurité.
Lorsque le Roi détermine plusieurs cadres de référence, les entités essentielles choisissent le cadre de référence auquel ils se soumettent.
Les mesures visées au paragraphe 1er sont fondées sur une approche "tous risques" qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique contre les incidents, et elles portent au moins sur: les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information
Explore our comprehensive resources and improve your security with the themes of this framework.
Discover specific ways our platform streamlines your ISO 27001 compliance process, from automated controls to audit preparation.
Explore use caseTake our comprehensive assessment to identify gaps in your current implementation and get personalized recommendations.
Start assessmentDive deeper with our articles, case studies, and expert insights on framework implementation.
Read articleGet a concise overview of all requirements, controls, and implementation steps in our quick guide.
Get the guideSee how the overlap and differences with any other framework to optimize your compliance strategy.
Compare frameworkParticipate in expert-led sessions covering implementation strategies, common pitfalls, and best practices for compliance.
Register for webinarParticipate in expert-led sessions covering implementation strategies, common pitfalls, and best practices for compliance.
Register for webinarUnderstand the basics of cyber security frameworks with our comprehensive guide.
Read the articleWhen building an ISMS, it's important to understand the different levels of information hierarchy. Here's how Cyberday is structured.
Sets the overall compliance standard or regulation your organization needs to follow.
Break down the framework into specific obligations that must be met.
Concrete actions and activities your team carries out to satisfy each requirement.
Documented rules and practices that are created and maintained as a result of completing tasks.