Cyber Resilience Act en Belgique : le signalement au CCB / CERT.be

Un fabricant établi en Belgique adresse ses signalements au CSIRT belge — le Centre pour la Cybersécurité Belgique — et à l'ENISA. Voici, concrètement, ce que le Cyber Resilience Act implique pour une PME wallonne, bruxelloise ou flamande.

Votre CSIRT de rattachement : le CCB

Le CSIRT coordinateur est celui de l'État membre où le fabricant a son établissement principal dans l'Union. Pour une entreprise établie en Belgique — une SRL, une SA ou une entreprise individuelle enregistrée à la BCE — il s'agit du Centre pour la Cybersécurité Belgique (CCB), dont le CERT.be constitue l'équipe opérationnelle de réponse aux incidents. Le CCB est l'autorité nationale de cybersécurité et le point d'entrée belge du dispositif CRA.

À qui, comment et dans quels délais signaler

Le signalement de l'article 14 passe par la plateforme unique de déclaration mise en place par l'ENISA. Le dépôt est transmis simultanément au CCB / CERT.be et à l'ENISA : un seul geste, deux destinataires.

Ce que la Belgique change dans votre organisation

• La langue. Les signalements peuvent être rédigés en français, en néerlandais ou en anglais. Pour une entreprise francophone, préparer les modèles en français fait gagner un temps décisif dans les premières heures ; la plateforme ENISA fonctionnant en anglais, prévoir les libellés bilingues sur les champs clés évite de traduire dans l'urgence.
• Le délai. Les 24 heures courent en heures calendaires, pas ouvrées. Un événement connu le vendredi à 18 h impose une alerte pour le samedi à 18 h.
• Le point de contact. Le CCB attend un interlocuteur joignable. Dans une PME de quelques personnes, cela suppose de désigner nommément un responsable et un suppléant, avec leurs coordonnées directes — pas une adresse générique relevée le lundi.

Ce que le CCB fait de votre signalement

Le CSIRT coordinateur n'est pas une autorité de sanction : sa mission est la réponse à incident et la coordination. Il peut apporter une assistance technique, diffuser des alertes vers d'autres acteurs concernés et, le cas échéant, coordonner avec les CSIRT d'autres États membres lorsque le produit est commercialisé au-delà des frontières belges.

Le règlement prévoit que le fabricant peut, dans son alerte précoce, indiquer s'il souhaite une assistance ou des orientations. Pour une PME sans expertise interne, c'est une option à connaître : le signalement n'est pas seulement une contrainte, c'est aussi un accès à un appui.

Sanctions : ce que risque un fabricant

Le règlement fixe des plafonds européens pour les manquements les plus graves — dont les obligations de signalement — pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le régime de sanctions applicable en Belgique et les mesures correctrices relèvent des autorités belges de surveillance du marché.

Les PME belges typiquement concernées

Le tissu industriel belge compte de nombreux profils dans le champ du CRA, souvent sans le savoir :

• fabricants et intégrateurs de solutions domotiques et de smart building ;
• concepteurs d'équipements industriels connectés et d'automates ;
• éditeurs de logiciels embarqués et d'applications compagnons ;
• entreprises qui importent des modules et les revendent sous leur propre marque — juridiquement fabricants au sens du règlement ;
• acteurs des énergies renouvelables et de la rénovation dont les équipements pilotés à distance comportent des éléments numériques.

Se préparer avant septembre 2026

1. Vérifier votre applicabilité et votre rôle exact au regard du règlement.
2. Recenser les produits concernés, y compris ceux vendus il y a plusieurs années et encore en service chez vos clients.
3. Désigner le point de contact joignable hors heures ouvrées et le formaliser en interne.
4. Préparer les modèles des trois rapports, en français, avec les champs attendus.
5. Documenter votre procédure : qui décide de déclarer, sur quels critères, avec quelle traçabilité.