Chapitre 1er.- Dispositions générales
Article 1er. Définitions
§ 1. Sauf autrement déterminé au § 2, pour l'application du présent arrêté, les définitions données aux articles 1 et 1bis de la loi du 15 avril 1994 relative à la protection de la population et de l'environnement contre les dangers résultant des rayonnements ionisants et relative à l'Agence fédérale de Contrôle nucléaire et à l'article 2 de l'arrêté royal du 20 juillet 2001 portant règlement général de la protection de la population, des travailleurs et de l'environnement contre le danger des rayonnements ionisants s'appliquent.
§ 2. Pour l'application du présent arrêté, on entend par :
1°AR catégorisation : l'arrêté royal du 17 octobre 2011 relatif à la catégorisation et à la définition de zones de sécurité au sein des installations nucléaires et des entreprises de transport nucléaire ;
2°AR RAMAS : l'arrêté royal du 17 mars 2024 portant sur la sécurité des substances radioactives et de certaines matières nucléaires ;
3°AR stockage : l'arrêté royal du 17 mars 2024 portant sur la sécurité des établissements pour le stockage en surface des déchets radioactifs ;
4°AR protection physique : l'arrêté royal du 17 octobre 2011 relatif à la protection physique des matières nucléaires et des installations nucléaires ;
5°CCB : le Centre pour la Cybersécurité Belgique, créé par l'arrêté royal du 10 octobre 2014 portant création du Centre pour la Cybersécurité Belgique ;
6°CSN : la cybersécurité nucléaire telle que définie à l'article 1er de la loi du 15 avril 1994 ;
7°établissement :
a. une installation nucléaire telle que définie par l'article 1bis de la loi du 15 avril 1994 ou
b. un établissement tel que défini par le règlement général ou
c. une entreprise de transport nucléaire au sens de l'AR catégorisation, à l'exception des véhicules ;
8°exploitant :
a. un exploitant au sens du règlement général ou
b. un exploitant d'une installation nucléaire ou d'une entreprise de transport de matières nucléaires au sens de l'AR catégorisation ;
9°vulnérabilité : la vulnérabilité au sens de l'article 8, 15°, de la loi NIS2 ;
10°organisme d'évaluation de la conformité : un organisme d'évaluation de la conformité au sens de l'article 8, 53°, de la loi NIS2 ;
11°organisme national d'accréditation : un organisme national d'accréditation au sens de l'article 8, 51° de la loi NIS2 ;
12°AR d'exécution de la loi NIS2 : Arrêté royal du 9 juin 2024 exécutant la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique.
Art. 2.Champ d'application
§ 1er. Le présent arrêté s'applique aux réseaux et systèmes d'information - des établissements pour autant que, pour ces établissements, ces réseaux et systèmes d'information permettent, assurent ou appuient, directement ou indirectement, la gestion, le contrôle ou la sécurisation des matières nucléaires ou des substances radioactives qui s'y trouvent.
§ 2. Le présent arrêté ne s'applique pas aux réseaux et systèmes d'information des établissements des forces armées belges.
§ 3. Les réseaux et systèmes d'information visés au § 1 qui répondent aux exigences de la loi NIS2 ne doivent pas satisfaire aux dispositions du présent arrêté. Toutefois, ceux de ces réseaux et systèmes d'information qui sont entièrement intégrés dans le réseau et le système d'information d'un autre établissement relevant exclusivement du présent arrêté doivent se conformer aux dispositions du présent arrêté.
§ 4. L'Agence et le CCB échangent des informations sur les établissements considérés comme des entités essentielles ou importantes en vertu des dispositions de la loi NIS2.
Chapitre 2.- Les catégories de réseaux et de systèmes d'information
Art. 3.Catégorisation
§ 1. Les réseaux et systèmes d'information sont répartis en cinq catégories en fonction de leur degré de criticité, c'est-à-dire de la capacité qu'eux-mêmes ou leurs services connexes doivent avoir de résister aux actions qui pourraient compromettre la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données qu'ils stockent, transmettent ou traitent. Le degré de criticité à considérer prend également en compte les conséquences possibles de ces actions sur la sûreté et la sécurité nucléaires et radiologiques ainsi que l'assurance plus ou moins grande que l'exploitant doit fournir que la capacité de résistance est atteinte et maintenue.
§ 2. La catégorie Cyber-1 est attribuée :
a)aux réseaux et systèmes d'information qui assurent la supervision et le pilotage des processus qui permettent, assurent ou appuient directement ou indirectement la gestion, le contrôle ou la sécurisation des matières nucléaires, y compris ce qui concerne les documents nucléaires, et qui se situent en zone très hautement protégée, en zone hautement protégée, en zone protégée ou en zone vitale telles qu'elles sont définies à l'article 2 de l'AR catégorisation ;
b)aux réseaux et systèmes d'information d'une d'entreprise de transport nucléaire sur lesquels les informations relatives aux différentes phases d'organisation et de préparation des transports de matières nucléaires appartenant au groupe de transport A, comme prévu à l'article 3 de l'AR catégorisation, sont conservées, traitées ou transmises ;
c)aux réseaux et systèmes d'information qui contiennent, traitent ou transmettent des documents nucléaires catégorisés TRES SECRET-NUC ou SECRET-NUC non visés aux points a) ou b) et qui se trouvent dans une zone de sécurité de l'établissement autre que celles visées aux points a) ou b) ;
d)aux réseaux et systèmes d'information qui communiquent avec les zones de sécurité visées aux points a), b) ou c) ou qui y sont reliés d'une quelconque manière.
§ 3. La catégorie Cyber-2 est attribuée :
a)aux réseaux et systèmes d'information qui assurent la supervision et le pilotage des processus qui permettent, assurent ou appuient directement ou indirectement la gestion, le contrôle ou la sécurisation des matières nucléaires, y compris ce qui concerne les documents nucléaires, et qui se situent soit en zone sécurisée telle qu'elle est définie à l'article 2 de l'AR catégorisation, soit dans la zone visée à l'article 2, § 7, du même arrêté et circonscrite par le périmètre intérieur ou, en l'absence de périmètre intérieur, par le périmètre extérieur, soit en dehors d'une zone de sécurité mais à l'intérieur de l'installation nucléaire ;
b)aux réseaux et systèmes d'information d'une d'entreprise de transport nucléaire sur lesquels les informations relatives aux différentes phases d'organisation et de préparation des transports de matières nucléaires appartenant au groupe de transport B, comme prévu à l'article 3 de l'AR catégorisation, sont conservées, traitées transmises ;
c)aux réseaux et systèmes d'information qui contiennent, traitent ou transmettent des documents nucléaires catégorisés CONFIDENTIEL-NUC non visés aux points a) ou b) et qui se trouvent dans une zone de sécurité de l'établissement autre que celles visées aux points a) ou b) ;
d)aux réseaux et systèmes d'information qui communiquent avec la zone sécurisée, avec la zone de sécurité visée au point c) ou avec les parties de l'installation nucléaire qui se situent à l'extérieur d'une zone de sécurité, ou qui y sont reliés d'une quelconque manière.
§ 4. La catégorie Cyber-3 est attribuée :
a)aux réseaux et systèmes d'information qui assurent la supervision et le pilotage des processus qui permettent, assurent ou appuient directement ou indirectement la gestion, le contrôle ou la sécurisation des substances radioactives, y compris ce qui concerne les documents de sécurité radiologique, et qui se situent dans un espace sécurisé du niveau de sécurité A au sens de l'AR RAMAS ;
b)aux réseaux et systèmes d'information qui communiquent avec les espaces mentionnés au point a) ou qui y sont reliés d'une quelconque manière.
§ 5. La catégorie Cyber-4 est attribuée :
a)aux réseaux et systèmes d'information qui assurent la supervision et le pilotage des processus qui permettent, assurent ou appuient directement ou indirectement la gestion, le contrôle ou la sécurisation des substances radioactives, y compris ce qui concerne les documents de sécurité radiologique, et qui se situent dans un espace sécurisé du niveau de sécurité B ou C au sens de l'AR RAMAS ;
b)aux réseaux et systèmes d'information qui assurent la supervision et le pilotage des processus qui permettent, assurent ou appuient directement ou indirectement la gestion, le contrôle ou la sécurisation des substances radioactives, y compris ce qui concerne les documents de sécurité radiologique, et qui se situent dans un établissement pour le stockage en surface des déchets radioactifs dont la sécurité est réglée par l'AR stockage.
c)aux réseaux et systèmes d'information qui communiquent avec les espaces et lieux mentionnés aux points a) et b) ou qui y sont reliés d'une quelconque manière.
§ 6. La catégorie Cyber-5 est attribuée :
a)aux réseaux et systèmes d'information qui assurent la supervision et le pilotage des processus qui permettent, assurent ou appuient directement ou indirectement la gestion, le contrôle ou la sécurisation des substances radioactives qui appartiennent aux catégories 4 ou 5 au sens de l'AR RAMAS, et qui se situent dans l'établissement ;
b)aux réseaux et systèmes d'information qui assurent la supervision et le pilotage des processus qui permettent, assurent ou appuient directement ou indirectement la gestion, le contrôle ou la sécurisation des substances radioactives, qui se situent dans les établissements, et qui ne tombent pas sous une des autres catégories ;
c)aux réseaux et systèmes d'information qui communiquent ou qui sont reliés d'une quelconque manière avec les lieux mentionnés aux points a) et b).
Art. 4.Niveaux de sécurité
§ 1er. Chaque catégorie se voit attribuer un niveau de cybersécurité nucléaire (ci-après dénommé " niveau de sécurité ") A, B, C et D, A représentant le niveau de sécurité le plus élevé.
§ 2. Le niveau de sécurité A est attribué aux réseaux et systèmes d'information de la catégorie Cyber-1.
Les mesures de CSN essentielles s'appliquent à ce niveau de sécurité.
§ 3. Le niveau de sécurité B est attribué aux réseaux et systèmes d'information des catégories Cyber-2 et Cyber-3.
Les mesures de CSN importantes s'appliquent à ce niveau de sécurité.
§ 4. Le niveau de sécurité C est attribué aux réseaux et systèmes d'information de la catégorie Cyber-4.
Les mesures de CSN de base s'appliquent à ce niveau de sécurité.
§ 5. Le niveau de sécurité D est attribué aux réseaux et systèmes d'information de la catégorie Cyber-5.
S'appliquent à ce niveau de sécurité les mesures de CSN de gestion prudente, dont les principes sont déterminés conformément à l'article 17sexies, § 2, de la loi du 15 avril 1994.
§ 6. Si l'établissement comporte des réseaux et systèmes d'information de différentes catégories, le niveau de sécurité correspondant à la catégorie la plus élevée leur est attribué, sauf si l'exploitant peut démontrer que les réseaux et systèmes d'information sont suffisamment indépendants.
Art. 5.Dispositions applicables à la catégorie Cyber-5
Seuls les articles 1 à 4 s'appliquent aux réseaux et système d'information qui, aux termes de l'article 3, relèvent de la catégorie Cyber-5.
Chapitre 3.- Cybersécurité nucléaire : principes, responsabilités et dispositions générales.
Art. 6.Obligations générales de l'exploitant
§ 1er. L'exploitant de l'établissement dont les réseaux et systèmes d'information sont classés dans les catégories Cyber-1 à Cyber-4, établit et maintient un système de cybersécurité nucléaire (ci-après " système de CSN ") propre à son établissement.
L'exploitant conçoit le système de CSN de manière telle que le niveau de sécurité requis des réseaux et système d'information concernés soit atteint.
Le système de CSN est basé et construit, à proportion du niveau de sécurité, sur l'observation des dispositions pertinentes du présent arrêté, sur l'évaluation des cyber-risques dont les réseaux et systèmes d'information de l'établissement pourraient être l'objet, ainsi que sur l'observation de l'ensemble des bonnes pratiques, des technologies et des documents de référence relatifs à la cybersécurité, et spécialement à la cybersécurité nucléaire.
Le système de CSN prévoit les mesures organisationnelles, techniques et opérationnelles de CSN qui sont nécessaires, appropriées et proportionnées au niveau de sécurité déterminé ainsi que, dans la mesure indiquée au § 2, à l'évaluation des cyber-risques. Ces mesures de CSN tendent à atteindre et à maintenir le niveau de sécurité, à gérer les cyber-risques auxquels sont exposés les réseaux et système d'information de l'établissement, compte tenu de l'état des connaissances, ainsi qu'à prévenir les cyber-incidents pouvant les affecter ou en limiter l'impact.
§ 2. L'évaluation des cyber-risques mentionnée au § 1er porte sur les cyber-risques qui sont déterminés par les menaces et les vulnérabilités pouvant affecter les réseaux et systèmes d'information de l'établissement. Elle s'accompagne des actions et mesures suivantes :
1°l'obligation du délégué à la CSN de se concerter avec la personne physique chargée de veiller à l'observation des règles de protection physique et de sécurité nucléaire ou radiologique dans l'établissement quant aux interfaces entre les risques auxquels entendent répondre d'une part le système de CSN et d'autre part les règles de sécurité de l'établissement ;
2°l'obligation pour l'exploitant qui a connaissance d'une menace circonstancielle ou particulière contre les réseaux et système d'information de son établissement d'évaluer l'adéquation du système de CSN et, si nécessaire, d'adapter les mesures de CSN aux spécificités et à la nature de cette menace ou de prendre les mesures de CSN complémentaires qui s'imposent.
§ 3. L'exploitant documente le système de CSN dans un dossier de CSN. Pour l'établir, il demande d'abord l'avis du délégué à la cybersécurité nucléaire.
§ 4. Le système de CSN est agréé par l'Agence.
Art. 7.Système de gestion
L'exploitant intègre le système de CSN de manière structurée au sein de l'établissement.
Art. 8.Le délégué à la cybersécurité nucléaire
§ 1er. L'exploitant désigne au sein de son établissement ou organisation au moins un délégué à la cybersécurité nucléaire (ci-après "le délégué à la CSN") qui travaille, comme membre du personnel ou non, pour l'exploitant, l'établissement ou l'organisation de manière durable.
Cette relation durable doit offrir des garanties suffisantes en matière de continuité et de disponibilité et peut être démontrée par un ou plusieurs des éléments suivants, seuls ou combinés :
- un lien contractuel garantissant une certaine continuité dans le temps ;
- une intégration organisationnelle au sein de l'établissement ou de l'organisation ;
- un ancrage fonctionnel, par lequel le délégué à la CSN est structurellement impliqué dans les processus et les prises de décision pertinents.
§ 2. Le délégué à la CSN est désigné sur la base de ses qualifications professionnelles et de son expertise. Il doit pouvoir justifier ces qualifications et cette expertise d'une manière documentaire et vérifiable, comme par des certificats, des attestations, des formations, des diplômes, son expérience ou sa formation.
Les qualifications et l'expertise sont réputées présentes et démontrées s'il est titulaire d'un diplôme de bachelier ou de master pertinent ou, à défaut, s'il a au moins deux ans d'expérience pratique démontrable avec responsabilité en cybersécurité, y compris une implication décisionnelle dans les processus de risque et d'audit.
§ 3. L'Agence approuve la désignation du délégué à la CSN. A cet effet, l'exploitant lui communique les données d'identification du délégué à la CSN, ainsi que les données attestant des qualifications et de l'expérience en raison desquelles il est désigné.
L'approbation porte principalement sur la pertinence des qualifications, de la formation et de l'expertise du délégué en tenant compte de la catégorie attribuée aux réseaux et systèmes d'information de l'établissement ou de l'organisation, ainsi que des exigences propres au rôle du délégué à la CSN pour l'établissement ou l'organisation considéré, en particulier les connaissances théoriques et pratiques de la cybersécurité et l'aptitude à participer à des processus décisionnels importants.
L'Agence peut soumettre l'approbation à des conditions.
§ 4. Les modifications concernant la désignation du délégué à la CSN sont notifiées à l'Agence.
§ 5. L'Agence peut adopter des recommandations ou un règlement technique concernant les modalités pratiques de la désignation et de l'approbation ainsi que pour la notification des modifications.
L'Agence peut également adopter des recommandations ou un règlement technique relatifs aux exigences de qualifications, d'expertise, d'expérience et de formation.
Art. 9.Missions du délégué à la cyber sécurité nucléaire.
§ 1er. Le délégué à la CSN veille à l'établissement et au maintien du système de CSN, pour le compte de l'exploitant et sous la responsabilité de celui-ci. L'exploitant fait en sorte que le délégué à la CSN soit impliqué de manière appropriée et en temps utile dans les questions relatives à la cybersécurité nucléaire.
§ 2. L'exploitant soutient le délégué à la CSN dans l'exercice de ses tâches et met à sa disposition le temps et les ressources nécessaires à leur exécution et au maintien de son expertise.
§ 3. Le délégué à la CSN rapporte directement à l'exploitant ou à son délégué.
§ 4. Le délégué à la CSN informe et conseille l'exploitant et ses collaborateurs sur toutes les questions relatives à la CSN et sur leurs obligations en la matière.
§ 5. L'exploitant consulte le délégué à la CSN lors de la prise de décisions susceptibles d'avoir une incidence importante sur la CSN au sein de l'établissement. Le délégué à la CSN doit être consulté immédiatement en cas de cyber-incident.
§ 6. Le délégué à la CSN veille à la mise en oeuvre et à l'observation des mesures de CSN.
§ 7. Sans préjudice de la responsabilité finale de l'exploitant, le délégué à la CSN peut être désigné comme personne de contact interne et externe pour toutes les questions de CSN.
§ 8. Le délégué à la CSN accorde l'attention nécessaire à la conscientisation et à la formation des collaborateurs de l'exploitant.
§ 9. Le délégué à la CSN s'assure de la réalisation des audits périodiques nécessaires conformément à l'article 23.
§ 10. Si le délégué à la CSN constate que le système de CSN n'est pas appliqué correctement, il en informe l'exploitant sans délai, et propose les mesures de CSN visant à en garantir la bonne application. Il vérifie la mise en oeuvre des mesures de CSN imposées par l'exploitant.
§ 11. Le délégué à la CSN établit un rapport annuel destiné à l'exploitant et le tient à la disposition de l'Agence.
Ce rapport annuel contient au moins :
1. un aperçu général de la situation en matière de CSN et des mesures de CSN adoptées et un aperçu de l'évolution au cours de l'année écoulée et des objectifs qu'il reste à réaliser ;
2. un résumé des avis transmis par le délégué à la CSN à l'exploitant et des suites qui leur ont été données ;
3. un aperçu des activités réalisées par le délégué à la CSN ;
4. un relevé des initiatives prises à des fins de conscientisation et des campagnes menées pour promouvoir la CSN ;
5. un relevé des formations suivies et de celles qu'il est prévu de suivre ;
6. un relevé des audits de CSN internes et externes réalisés et un aperçu des actions qui en découlent.
§ 12. L'Agence peut spécifier le contenu minimal de ce rapport annuel dans un règlement technique.
§ 13. Le délégué à la CSN peut se faire assister par des tiers ou leur demander conseil.
§ 14. Sans préjudice de l'article 6, § 2, 1°, le délégué à la CSN se concerte avec :
1°la personne physique chargée de veiller à l'observation des règles de protection physique et de sécurité nucléaire ou radiologique dans l'établissement pour la prise en compte et la gestion des interfaces entre le système de CSN et, selon le cas, le système de protection physique ou le système de sécurité radiologique ;
2°le chef du service contrôle physique de l'établissement pour la prise en compte et la gestion des interfaces entre le système de CSN et la sûreté nucléaire ou radiologique et la radioprotection.
§ 15. Les missions attribuées au délégué à la CSN en application de cet article ne préjudicient en rien à l'autorité et aux responsabilités de l'exploitant. Ces responsabilités ne peuvent pas être déléguées.
§ 16. L'Agence peut adopter des recommandations ou un règlement technique précisant les tâches et les responsabilités du délégué à la CSN.
Art. 10.Formation continue
§ 1er. L'exploitant veille à ce qu'une formation continue à la CSN soit assurée et puisse être suivie par son personnel, en particulier par le délégué à la CSN.
§ 2. L'exploitant informe et forme tous les utilisateurs de ses réseaux et systèmes d'information, y compris ses propres employés et le personnel extérieur, à propos de la politique de cybersécurité nucléaire de l'établissement et des mesures de CSN qui en découlent. En particulier, il organise des campagnes de sensibilisation et des formations afin que les menaces puissent être reconnues et signalées au sein de l'établissement.
Chapitre 4.- Mesures de cybersécurité nucléaire
Art. 11.Généralités
Les mesures de cybersécurité nucléaire sont applicables sans préjudice de la réglementation applicable aux documents de sécurité nucléaire et radiologique.
Art. 12.Mesures de cybersécurité nucléaire essentielles
§ 1er.Les mesures de cybersécurité suivantes constituent des mesures de CSN essentielles :
A)Mesures d'identification
1°L'exploitant dresse un inventaire des dispositifs physiques et des systèmes, des plateformes logicielles et des applications utilisées et détermine leur priorité. Cet inventaire est maintenu, révisé et mis à jour en permanence ;
2°L'exploitant identifie les fournisseurs de produits et de services et les risques associés pour les réseaux et systèmes d'information ;
3°L'exploitant schématise et sécurise les flux de communication et de données ainsi que les connexions aux réseaux et systèmes d'information externes ;
4°L'exploitant détermine les rôles, les responsabilités et les pouvoirs de l'ensemble du personnel et des tiers intéressés.
B)Mesures de protection
1°L'exploitant gère et protège l'accès physique à ses réseaux et systèmes d'information et prend des mesures pour garantir cet accès en cas d'urgence. Il gère les droits d'accès et les autorisations de tous les utilisateurs à ses réseaux et systèmes d'information. Il prend des mesures de sécurité supplémentaires pour les utilisateurs disposant de droits d'accès élevés ;
2°L'exploitant gère tous les accès à distance à ses réseaux et à ses systèmes d'information au moyen d'une authentification multifactorielle, sécurise les points d'accès sans fil à ces systèmes et établit, documente et met en oeuvre les restrictions d'utilisation, les exigences de connexion, les lignes directrices de mise en oeuvre et les autorisations nécessaires pour l'accès à distance à ces systèmes ;
3°Pour protéger ses réseaux et systèmes d'information, l'exploitant prend au moins des mesures suivantes :
a. L'exploitant protège l'intégrité de ses réseaux et systèmes d'information par la segmentation et la séparation de ceux-ci ;
b. L'exploitant effectue des contrôles permettant de détecter les modifications non autorisées de ses réseaux et systèmes d'information, y inclus l'intégrité ;
c. L'exploitant impose des exigences en matière de CSN envers les tiers ;
d. L'exploitant met en oeuvre la CSN dans la politique de ressources humaines, y compris l'élaboration et la mise à jour d'une procédure de CSN au moment du recrutement, pendant l'emploi et au moment de la cessation d'emploi ;
e. L'exploitant protège les données en particulier les données critiques ou sensibles sur les réseaux et systèmes d'information ;
f. L'exploitant gère les ressources physiques et composants des réseaux et systèmes d'information inventoriés dans son établissement et prévoit les mesures nécessaires pour prévenir leur perte, leur utilisation abusive, leur endommagement ou leur vol ;
g. L'exploitant sépare les environnements de développement et de test des environnements de production de ses réseaux et systèmes d'information ;
h. L'exploitant met en place une gestion qui couvre le cycle de vie des composants de ses réseaux et systèmes d'information ;
i. L'exploitant réalise des sauvegardes des données et des informations de ses réseaux et systèmes d'information, il les préserve, les vérifie et en teste la fiabilité et l'intégrité ;
j. L'exploitant maintient et évalue les données et les informations générées par les réseaux et systèmes d'information de l'établissement.
C)Mesures de détection
1°L'exploitant prend les mesures permettant d'identifier, d'évaluer et d'analyser les cyber-incidents et les cyber incidents potentiels ainsi que d'en déterminer l'impact sur les réseaux et systèmes d'information de l'établissement ;
2°L'exploitant prend les mesures de surveillance des activités au sein des réseaux et systèmes d'information de l'établissement pour autant que cela soit indispensable à l'identification ou à la détection de vulnérabilités et de cyber-incidents potentiels, et ceci dans le plein respect de la réglementation relative à la protection des données personnelles. Il vérifie régulièrement le caractère adéquat, indispensable et proportionné de ces mesures.
D)Mesures de réponse et de rétablissement
1°L'exploitant définit les processus et les critères nécessaires pour répondre aux cyber-incidents en temps utile, pour les notifier conformément à l'article 16, pour les analyser, les maîtriser, en déterminer l'impact et en limiter les conséquences ;
2°L'exploitant établit un plan de mise en oeuvre des rétablissements nécessaires aux réseaux et systèmes d'information à la suite d'un cyber-incident ;
3°L'exploitant consigne dans un système de gestion des incidents tous les cyber-incidents. Ce système est tenu à la disposition de l'Agence ;
4°Après chaque cyberincident, l'exploitant tire les enseignements de la réponse et des mesures de rétablissement apportées à la suite du cyber-incident, dans un souci d'amélioration continue de son système de CSN.
§ 2. L'Agence peut adopter un règlement technique détaillant ces mesures de CSN essentielles.
Art. 13.Mesures de cybersécurité nucléaire importantes
§ 1er. Les mesures de CSN importantes sont celles qui sont mentionnées au paragraphe 1 de l'article 12; ces mesures, en tant qu'elles s'appliquent à un niveau de sécurité B, pourront être déterminées conformément à l'article 6, § 1er, alinéa 3, et au principe qu'il énonce selon lequel les mesures prises doivent être nécessaires, appropriées et proportionnées au niveau de sécurité.
§ 2. L'Agence peut adopter un règlement technique détaillant les mesures de CSN importantes.
Art. 14.Mesures de cybersécurité nucléaire de base.
§ 1. Les mesures de cybersécurité suivantes constituent les mesures de cybersécurité nucléaire de :
A)Mesures d'identification
1°L'exploitant dresse un inventaire des dispositifs physiques et des systèmes, des plateformes logicielles et des applications utilisées et détermine leur priorité. Cet inventaire est maintenu, révisé et mis à jour en permanence ;
2°L'exploitant schématise et sécurise les flux de communication et de données ainsi que les connexions aux réseaux et systèmes d'information externes ;
B)Mesures de protection
1°L'exploitant gère et protège l'accès physique à ses réseaux et systèmes d'information et prend des mesures pour garantir cet accès en cas d'urgence. Il gère les droits d'accès et les autorisations de tous les utilisateurs à ses réseaux et systèmes d'information ;
2°L'exploitant prend des mesures de sécurité supplémentaires pour les utilisateurs disposant de droits d'accès élevés. Il gère tous les accès à distance à ses réseaux et à ses systèmes d'information au moyen d'une authentification multifactorielle, sécurise les points d'accès sans fil à ces systèmes et établit, documente et met en oeuvre les restrictions d'utilisation, les exigences de connexion, les lignes directrices de mise en oeuvre et les autorisations nécessaires pour l'accès à distance à ces systèmes ;
3°Pour protéger ses réseaux et systèmes d'information, l'exploitant prend des mesures notamment celles-ci :
a. L'exploitant protège l'intégrité de ses réseaux et systèmes d'information par la segmentation et la séparation de ceux-ci ;
b. L'exploitant effectue des contrôles permettant de détecter les modifications non autorisées de ses réseaux et systèmes d'information ;
c. L'exploitant impose des exigences en matière de CSN envers les tiers ;
d. L'exploitant met en oeuvre la CSN dans la politique de ressources humaines, y compris l'élaboration et la mise à jour d'une procédure de CSN au moment du recrutement, pendant l'emploi et au moment de la cessation d'emploi ;
e. L'exploitant protège les données en particulier les données critiques ou sensibles sur les réseaux et systèmes d'information ;
f. L'exploitant gère les ressources physiques et composants des réseaux et systèmes d'information inventoriés dans son établissement et prévoit les mesures nécessaires pour prévenir leur perte, leur utilisation abusive, leur endommagement ou leur vol ;
g. L'exploitant sépare les environnements de développement et de test des environnements de production de ses réseaux et systèmes d'information ;
h. L'exploitant maintient et évalue les données et les informations générées par les réseaux et systèmes d'information de l'établissement.
C)Mesures de détection :
L'exploitant prend les mesures permettant d'identifier les cyber-incidents et les cyber incidents potentiels.
D)Mesures de réponse et de rétablissement
1°L'exploitant définit les processus et les critères nécessaires pour répondre aux cyber-incidents en temps utile, les notifier conformément à l'article 16, les analyser, les maîtriser, en déterminer l'impact et en limiter les conséquences ;
2°L'exploitant établit un plan de mise en oeuvre des rétablissements des réseaux et systèmes d'information qui sont nécessaires à la suite d'un cyber-incident ;
3°L'exploitant consigne dans un système de gestion des incidents tous les cyber-incidents. Ce système est tenu à la disposition de l'Agence.
§ 2. L'Agence peut adopter un règlement technique détaillant ces mesures de CSN de base.
Art. 15.Mesures pour les tests de cybersécurité nucléaire
§ 1er. L'exploitant teste la CSN pour en déterminer la fiabilité et l'efficacité. A cette fin, l'exploitant procède notamment à des exercices. Ces exercices reproduiront les tactiques, techniques et procédures de scénarios réels.
§ 2. Ces tests de CSN ont lieu au moins une fois tous les trois ans pour les établissements qui comportent un ou plusieurs réseaux et systèmes d'information de niveau de sécurité A ou B.
Ces tests ont lieu au moins une fois tous les cinq ans pour les établissements qui ne comportent qu'un ou plusieurs réseaux et systèmes d'information de niveau de sécurité C.
§ 3. En cas de constatation de déficiences, L'exploitant prend des mesures correctives dans les meilleurs délais.
§ 4. Après chaque test, l'exploitant établit dans le mois un rapport qu'il tient à la disposition de l'Agence.
§ 5. L'Agence peut adopter des recommandations ou un règlement technique concernant les modalités des tests et le contenu minimal du rapport.
Art. 16.Notification des cyber-incidents
§ 1er. L'exploitant notifie les cyber-incidents à l'Agence et au CCB.
§ 2. L'Agence peut formuler des recommandations et adopter un règlement technique concernant les modalités de la notification à l'Agence des cyber-incidents et les informations à inclure dans cette notification.
Chapitre 5.- Echange de données
Art. 17.Echange des données entre l'Agence et le CCB concernant les cyber-risques et cyber-incidents auxquels l'exploitant est ou peut être confronté
§ 1er. L'Agence et le CCB peuvent s'échanger les données dont ils disposent concernant les cyber-risques et les cyber-incidents auxquels l'exploitant est ou peut être confronté, en particulier les données reçues d'autorités ou d'organisations nationales ou internationales ou liées au plan national d'urgence cybernétique.
§ 2. Cet échange d'informations se limite à ce qui est pertinent et proportionné à l'objectif de cet échange.
Chapitre 6.- Procédure d'agrément
Art. 18.Général
§ 1er. L'exploitant d'un nouvel établissement dont les réseaux et des systèmes d'information sont classés dans les catégories Cyber-1 à Cyber-4 sollicite auprès de l'Agence l'agrément du système de CSN en introduisant auprès d'elle un dossier de CSN qui documente ledit projet de système.
§ 2. Lorsque l'exploitant dispose dans son établissement de plusieurs réseaux et systèmes d'information indépendants les uns des autres et qui sont classés dans des catégories différentes, le dossier de CSN doit contenir les informations demandées pour chaque réseau et système d'information indépendant.
§ 3. Le dossier de CSN contient au moins les informations suivantes :
* la catégorisation des réseaux et des systèmes d'information de l'établissement de l'exploitant ;
* le niveau de sécurité attribué aux réseaux et systèmes d'information ;
* le résultat d'une auto-évaluation du projet de système de CSN s'attachant à montrer qu'il satisfait aux obligations de l'article 6, § 1er ;
* un plan d'action pour mettre en oeuvre le projet du système de CSN.
§ 4. L'Agence peut adopter un règlement technique ou des recommandations précisant le contenu et les modalités d'établissement et de soumission à l'Agence du dossier de CSN.
Art. 19.Procédure d'agrément du système de CSN d'un établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-1 ou Cyber-2
§ 1er. L'exploitant de la nouvelle installation nucléaire dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-1 ou Cyber-2 soumet le dossier de CSN en même temps que la demande d'obtention de l'agrément du système de protection physique de l'installation nucléaire telle qu'elle est visée à l'article 8, § 1ier, de l'AR protection physique.
L'exploitant d'une nouvelle entreprise de transport de matières nucléaires qui exécutera des transports de groupe A ou B suivant les dispositions de l'article 3 de l'AR catégorisation et dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-1 ou Cyber-2 soumet le dossier de CSN en même temps que la demande d'obtention de l'agrément du système générique de sécurité telle qu'elle est visée à l'article 9, § 1ier, de l'AR protection physique.
§ 2. Dès que l'Agence déclare complet le dossier de CSN introduit par l'exploitant, elle l'examine au fond.
§ 3. En cas de décision positive de l'Agence, l'approbation du dossier de CSN est délivrée en même temps que l'avis de l'Agence sur le projet de système de protection physique prévu par l'article 8, § 3, de l'AR protection physique ou sur le projet de système générique de sécurité prévu par l'article 9, § 3, de l'AR protection physique, selon le cas.
§ 4. Une fois approuvé le dossier de CSN, l'exploitant met en oeuvre le système de CSN.
§ 5. Le système de CSN est mis en oeuvre au plus tard à la fin de l'exécution du projet de système de protection physique ou du projet de système générique de sécurité.
§ 6. Une fois le système de CSN mis en oeuvre, l'exploitant le soumet à un audit externe réalisé par un organisme d'évaluation de la conformité accrédité par un organisme national d'accréditation et agréé par le CCB. L'exploitant transmet à l'Agence les résultats de cet audit.
§ 7. Une fois que l'Agence estime que le système de CSN satisfait aux exigences de l'article 6, elle agrée ce système et elle informe l'exploitant de cette décision.
§ 8. Au cas où l'Agence a l'intention de refuser de délivrer, en tout ou en partie, l'agrément sollicité, elle en informe l' 'exploitant. Il lui est également précisé qu'il a le droit d'être entendu dans les trente jours calendriers suivant la notification de l'intention de refuser en tout ou en partie. Le cas échéant, l'exploitant est entendu par l'Agence qui rend sa décision en tenant compte des éléments complémentaires fournis. L'exploitant peut également choisir de transmettre ses observations à l'Agence par écrit uniquement dans le délai de trente jours calendaires susmentionné. Lorsque l'exploitant ne recourt pas à son droit d'être entendu ou ne fournit pas d'observations écrites, l'Agence refuse d'office l'agrément pour la partie de l'agrément visée par l'intention de refus.
§ 9. L'Agence peut adopter un règlement technique ou des recommandations précisant les modalités de cette procédure d'agrément.
Art. 20.Procédure d'agrément du système de CSN d'un établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-3
§ 1er. L'exploitant d'un nouvel établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-3 soumet le dossier de CSN en même temps que le plan de sécurité qui doit être soumis en application de l'AR RAMAS.
§ 2. Dès que l'Agence déclare complet le dossier de CSN introduit par l'exploitant, elle l'examine au fond.
§ 3. En cas de décision positive de l'Agence, l'approbation du dossier de CSN est délivrée en même temps que l'approbation du plan de sécurité radiologique prévue par l'AR RAMAS.
§ 4. Une fois approuvé le dossier de CSN, l'exploitant met en oeuvre le système de CSN.
§ 5. Le système de CSN doit être mis en oeuvre au plus tard au moment de la mise en exploitation visée à l'article 15 du règlement général.
§ 6. Une fois le système de CSN mis en oeuvre, l'exploitant le soumet à un audit externe réalisé par un organisme d'évaluation de la conformité accrédité par un organisme national d'accréditation et agréé par le CCB. L'exploitant transmet à l'Agence les résultats de cet audit.
§ 7. Une fois que l'Agence estime que le système de CSN satisfait aux exigences de l'article 6, elle agrée ce système et elle informe l'exploitant de cette décision.
§ 8. Au cas où l'Agence a l'intention de refuser de délivrer, en tout ou en partie, l'agrément sollicité, elle en informe l'exploitant. Il lui est également précisé qu'il a le droit d'être entendu dans les trente jours calendriers suivant la notification de l'intention de refuser en tout ou en partie. Le cas échéant, l'exploitant est entendu par l'Agence qui rend sa décision en tenant compte des éléments complémentaires fournis. L'exploitant peut également choisir de transmettre ses observations à l'Agence par écrit uniquement dans le délai de trente jours calendaires susmentionné. Lorsque l'exploitant ne recourt pas à son droit d'être entendu ou ne fournit pas d'observations écrites, l'Agence refuse d'office l'agrément pour la partie de l'agrément visée par l'intention de refus.
§ 9. L'Agence peut adopter un règlement technique ou des recommandations précisant les modalités de cette procédure d'agrément.
Art. 21.Procédure d'agrément du système de CSN d'un établissement dont les réseaux et systèmes d'information classés dans la catégorie Cyber-4
§ 1er. L'exploitant d'un nouvel établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-4 soumet le dossier de CSN en même temps que le plan de sécurité qui doit être soumis en application de l'AR RAMAS.
L'exploitant d'un nouvel établissement de stockage en surface dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-4 soumet le dossier de CSN en même temps que le plan de sécurité pour la phase d'exploitation qui doit être soumis en application de l'AR stockage.
§ 2. Dès que l'Agence déclare complet le dossier de CSN introduit par l'exploitant, elle l'examine au fond.
§ 3. En cas de décision positive de l'Agence, l'approbation du dossier de CSN est délivrée, selon le cas, en même temps que l'approbation du plan de sécurité prévu par l'AR RAMAS ou en même temps que l'approbation du plan de sécurité pour la phase d'exploitation prévue par l'AR stockage.
§ 4. Une fois approuvé le dossier de CSN, l'exploitant met en oeuvre le système de CSN.
§ 5. Le système de CSN doit être mis en oeuvre au plus tard, selon le cas, au moment de la mise en exploitation visée à l'article 15 du règlement général ou au moment de la réception de la phase d'exploitation de d'établissement de stockage en surface conformément à l'article 24 de l'AR stockage.
§ 6. Une fois le système de CSN mis en oeuvre, l'exploitant le soumet à un audit externe. L'exploitant transmet à l'Agence les résultats de cet audit.
§ 7. Une fois que l'Agence estime que le système de CSN satisfait aux exigences de l'article 6, elle agrée ce système et elle informe l'exploitant de cette décision.
§ 8. Au cas où l'Agence a l'intention de refuser de délivrer, en tout ou en partie, l'agrément sollicité, elle en informe l'exploitant. Il lui est également précisé qu'il a le droit d'être entendu dans les trente jours calendriers suivant la notification de l'intention de refuser en tout ou en partie. Le cas échéant, l'exploitant est entendu par l'Agence qui rend sa décision en tenant compte des éléments complémentaires fournis. L'exploitant peut également choisir de transmettre ses observations à l'Agence par écrit uniquement dans le délai de trente jours calendaires susmentionné. Lorsque l'exploitant ne recourt pas à son droit d'être entendu ou ne fournit pas d'observations écrites, l'Agence refuse d'office l'agrément pour la partie de l'agrément visée par l'intention de refus.
§ 9. L'Agence peut adopter un règlement technique ou des recommandations précisant les modalités de cette procédure d'agrément.
Art. 22.Modifications dans le système de CSN
§ 1er. Toute modification apportée à l'établissement ou à ses réseaux et systèmes d'information qui entraîne un changement de la catégorie dans laquelle ceux-ci ont été classés est soumise à la procédure de modification du système de CSN décrite au § 2.
§ 2. La modification du système de CSN est soumise à l'agrément préalable de l'Agence selon les modalités prévues au présent chapitre.
Il est bien entendu à cet égard que la procédure d'agrément établie par le présent chapitre ne porte que sur le projet de modification du système de CSN dans les deux cas de figure suivants :
1°s'il s'agit d'un établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-1 ou Cyber-2, lorsque le projet de modification du système de CSN ne va pas de pair avec une modification significative du système de protection physique ou du système générique de sécurité ;
2°s'il s'agit d'un établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-3 ou Cyber-4, lorsque le projet de modification du système de CSN ne va pas de pair avec un projet de modification ayant un impact potentiel sur la sécurité des substances radioactives.
L'Agence peut, après consultation de l'exploitant, déterminer les délais de l'exécution des modifications du système de CSN.
§ 3. L'Agence peut adopter un règlement technique ou des recommandations précisant le contenu et les modalités d'établissement et de soumission à l'Agence du système de CSN modifié.
Chapitre 7.- Vérification
Art. 23.Audits
§ 1. L'exploitant de l'établissement dont les réseaux et systèmes d'information sont classés dans les catégories Cyber-1 à Cyber-3 procède, chaque année après l'agrément du système de CSN, à un audit interne du fonctionnement de son système de CSN.
§ 2. L'exploitant de l'établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-1 soumet, tous les trois ans après l'agrément de son système de CSN, le fonctionnement de son système de CSN à un audit externe réalisé par un organisme d'évaluation de la conformité accrédité par un organisme national d'accréditation et agréé par le CCB.
Dans les deux ans qui suivent l'audit externe prévu à l'article 19, § 6, l'exploitant fait procéder chaque année à un audit de suivi par un organisme d'évaluation de la conformité accrédité par un organisme national d'accréditation et agréé par le CCB.
§ 3. Tous les trois ans après l'agrément du système de CSN, l'exploitant de l'établissement dont les réseaux et systèmes d'information sont classés dans les catégories Cyber-2 à Cyber-3 soumet le fonctionnement de son système de CSN à un audit externe réalisé par un organisme d'évaluation de la conformité accrédité par un organisme national d'accréditation et agréé par le CCB.
§ 4. L'exploitant de l'établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-4 procède tous les deux ans après l'agrément du système de CSN à un audit interne du fonctionnement de son système de CSN.
§ 5. Tous les cinq ans après l'agrément du système de CSN, l'exploitant de l'établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-4 soumet le fonctionnement de son système de CSN à un audit externe.
Chapitre 8.- Règlements techniques
Art. 24.Les règlements techniques que l'Agence peut adopter en vertu des articles 12, § 2, 13, § 2 et 14, § 52, seront établis principalement à partir du cadre de référence mentionné à l'article 4 de l'AR d'exécution de la loi NIS2, ils pourront en outre être établis à partir de normes techniques internationalement reconnues ainsi qu'à partir des recommandations de l'Agence internationale de l'Energie atomique en matière de cybersécurité nucléaire.
Les prescriptions des règlements technique tiendront compte du niveau de sécurité à assurer.
Chapitre 9.- Mesures transitoires
Art. 25.Champ d'application du chapitre
Le présent chapitre s'applique aux exploitants autorisés en application des dispositions de l'article 7 ou 8 du règlement général au moment de l'entrée en vigueur du présent arrêté, ainsi qu'aux exploitants ayant mis en place, au moment de l'entrée en vigueur du présent arrêté, un système de protection physique agréé en application de l'article 8, § 1ier, de l'AR protection physique ou un système générique de sécurité agréé en application de l' article 9, § 1, du même arrêté.
Art. 26.Mesures transitoires concernant le dossier de CSN
Le dossier de CSN prévu par l'article 6, § 3, contient au moins les informations suivantes :
* la catégorisation des réseaux et des systèmes d'information de l'établissement de l'exploitant ;
* le niveau de sécurité attribué aux réseaux et systèmes d'information ;
* le résultat d'une auto-évaluation du système de CSN s'attachant à montrer qu'il satisfait aux obligations de l'article 6, § 1er ;
* un plan d'action, approuvé par le délégué à la CSN pour mettre le système de CSN au niveau de sécurité requis, si nécessaire.
Art. 27.Mesures transitoires pour l'agrément du système de CSN d'un établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-4
L'exploitant de l'établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-4 doit, au plus tard 12 mois après l'entrée en vigueur du présent arrêté, élaborer le dossier de CSN.
L'exploitant doit mettre le système de CSN en oeuvre au plus tard 24 mois après l'entrée en vigueur du présent arrêté.
Une fois que le système de CSN est mis en oeuvre, et qu'il satisfait aux exigences de l'article 6, § 1 à § 3, il est considéré agréé.
Une copie du dossier de CSN est toujours tenue à la disposition de l'Agence et doit lui être transmise à la première demande.
Art. 28.Mesures transitoires pour l'agrément du système de CSN d'un établissement dont les réseaux et systèmes d'information sont classés dans les catégories Cyber-1, Cyber-2 ou Cyber-3
§ 1er. L'exploitant de l'établissement dont les réseaux et systèmes d'information sont classés dans la catégorie Cyber-1, Cyber-2 ou Cyber-3 introduit la demande d'agrément du système de CNS dans les huit mois suivant l'entrée en vigueur du présent arrêté.
§ 2. Dès que l'Agence déclare complet le dossier de NCS introduit par l'exploitant, elle dispose de quatre mois pour l'examiner et pour l'approuver.
§ 3. Une fois approuvé, le système de CSN doit être mis en oeuvre par l'exploitant dans un délai de trois ans maximum.
§ 4. Pour permettre à l'Agence de suivre la mise en oeuvre du système de CSN, le rapport annuel du délégué à la CSN prévu à l'article 9, § 11, est transmis chaque année à l'Agence au plus tard le 1er mars de chacune des trois premières années suivant l'approbation. L'Agence évalue l'avancement de la mise en oeuvre du système de CSN sur la base de ce rapport annuel.
§ 5. Une fois le système de CSN mis en oeuvre, l'exploitant le soumet à un audit externe réalisé par un organisme d'évaluation de la conformité accrédité par un organisme national d'accréditation et agréé par le CCB. L'exploitant transmet à l'Agence les résultats de cet audit.
§ 6. Une fois que l'Agence estime que le système de CSN satisfait aux exigences de l'article 6, elle agrée dans les 6 mois ce système et elle informe l'exploitant de cette décision.
§ 7. Au cas où l'Agence a l'intention de refuser de délivrer, en tout ou en partie, l'agrément sollicité, elle en informe l'exploitant. Il lui est également précisé qu'il a le droit d'être entendu dans les trente jours calendriers suivant la notification de l'intention de refuser en tout ou en partie. Le cas échéant, l'exploitant est entendu par l'Agence qui rend sa décision en tenant compte des éléments complémentaires fournis. L'exploitant peut également choisir de transmettre ses observations à l'Agence par écrit uniquement dans le délai de trente jours calendaires susmentionné. Lorsque l'exploitant ne recourt pas à son droit d'être entendu ou ne fournit pas d'observations écrites, l'Agence refuse d'office l'agrément pour la partie de l'agrément visée par l'intention de refus.
Art. 29.Mesures transitoires pour la désignation du délégué à la cybersécurité nucléaire.
Dans les trois mois suivant l'entrée en vigueur du présent arrêté, l'exploitant d'un établissement où les réseaux et systèmes d'information sont classés, selon les dispositions de l'article 3, dans la catégorie Cyber-1, Cyber-2, Cyber-3 ou Cyber-4, doit désigner le délégué à la cybersécurité nucléaire et transmettre à l'Agence la demande de l'approbation de la désignation visée à l'article 8, § 3, du présent arrêté.
Chapitre 10.- Dispositions finales
Art. 30.Le présent arrêté est cité comme " l'arrêté royal relatif à la cybersécurité nucléaire ".
Art. 31.Le présent arrêté entre en vigueur le premier jour du quatrième mois qui suit celui de sa publication au Moniteur belge.
Art. 32.Le Ministre qui a l'Intérieur dans ses attributions est chargé de l'exécution du présent arrêté.