Le CCB devient cyberpôle national et passe sous tutelle de l'Intérieur

Le Centre pour la Cybersécurité Belgique (CCB) est désormais placé sous l’autorité du ministre de la Sécurité et de l’Intérieur et désigné cyberpôle national au sens du règlement européen (UE) 2025/38. L’arrêté royal du 15 septembre 2026, publié au Moniteur belge n° 212 du 21 septembre 2026 sous la référence [2026/202297] (p. 50894), modifie l’arrêté royal du 10 octobre 2014 portant création du CCB. Le texte est signé par le roi Philippe et contresigné par le Premier ministre B. De Wever et le ministre de la Sécurité et de l’Intérieur B. Quintin.

Un transfert de tutelle du Premier ministre vers l’Intérieur

Le rapport au Roi annexé à l’arrêté rappelle que le CCB est actuellement placé sous l’autorité du Premier ministre et bénéficie de l’appui administratif et logistique du SPF Chancellerie du Premier ministre. Le gouvernement fédéral entend, dans le cadre de son accord de coalition 2025-2029, regrouper logiquement toutes les compétences en matière de sécurité auprès du ministre de la Sécurité et de l’Intérieur.

Les modifications apportées à l’arrêté royal du 10 octobre 2014 — déjà modifié par les arrêtés royaux des 8 septembre 2015, 16 février 2022 et 16 octobre 2022 — sont les suivantes :

• Article 1er : le CCB est créé auprès du Service public fédéral Intérieur et placé sous l’autorité du ministre de la Sécurité et de l’Intérieur.
• Article 2 : la mention du SPF Chancellerie du Premier ministre est remplacée par celle du SPF Intérieur ; le paragraphe 2, qui considérait le CCB comme un service opérationnel de la Chancellerie, est abrogé.
• Article 4 : les mots « Premier ministre » sont remplacés par « ministre de la Sécurité et de l’Intérieur » aux articles 5, 6, § 5, 12, §§ 2 et 3, 13, 14, alinéa 1er, 16 et 19 du même arrêté.

Le CCB désigné cyberpôle national au sens du règlement (UE) 2025/38

L’article 3 insère un article 3quater qui désigne le CCB comme cyberpôle national visé à l’article 4 du règlement (UE) 2025/38 du Parlement européen et du Conseil du 19 décembre 2024, établissant des mesures destinées à renforcer la solidarité et les capacités dans l’Union afin de détecter les cybermenaces et incidents, de s’y préparer et d’y réagir, et modifiant le règlement (UE) 2021/694.

Le rapport au Roi précise que ce règlement sur la cybersolidarité est entré en vigueur en janvier 2025 et que son article 4, alinéa 1er, impose à chaque État membre qui décide de participer au système européen d’alerte en matière de cybersécurité — institué à l’article 3 du même règlement — de désigner un cyberpôle national. Ce système est un réseau paneuropéen d’infrastructures composé de cyberpôles nationaux et transfrontaliers qui le rejoignent volontairement. Le cyberpôle doit être une entité unique agissant sous l’autorité d’un État membre ; il peut être un CSIRT, une autorité nationale de gestion des crises cyber ou une autre autorité compétente désignée ou établie en vertu de l’article 8, alinéa 1er, de la directive (UE) 2022/2555 (directive NIS2). Le considérant 25 du règlement précise qu’il s’agit d’un projet civil, qui peut aussi profiter à la communauté de cyberdéfense.

Le CCB avait déjà été désigné, en vertu de la loi NIS2 et de l’arrêté royal du 9 juin 2024 exécutant la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique, comme autorité nationale en matière de cybersécurité, CSIRT national, autorité nationale en matière de crises cyber et autorité compétente au sens de l’article 8, alinéa 1er, de la directive NIS2. Le nouvel article 3quater prévoit en outre que, lorsque les tâches découlant du règlement touchent des compétences d’autres entités fédérales ou d’entités fédérées, le CCB soutient et coopère étroitement avec les administrations compétentes, dans le respect des accords de coopération applicables conformément à l’article 92bis de la loi spéciale du 8 août 1980 de réformes institutionnelles, et échange avec elles toutes les informations pertinentes.

Indépendance du service d’inspection NIS2

L’abrogation du paragraphe 2 de l’article 2 de l’arrêté royal de 2014 répond à une exigence d’indépendance. Le rapport au Roi indique que le CCB s’est doté d’un service d’inspection chargé des missions de supervision prévues par la loi NIS2 et que, conformément aux articles 44 et 64 de cette loi, ce service doit exercer ses tâches de manière indépendante vis-à-vis des entités qu’il supervise, y compris les autorités de l’administration publique tombant dans le champ d’application de la loi NIS2 — dont le SPF Chancellerie du Premier ministre et le SPF Intérieur. Maintenir le CCB comme service opérationnel d’une autre autorité publique aurait créé un risque de conflit d’intérêts entre ses missions d’inspection et les décisions de ces autorités.

Entrée en vigueur et avis préalables

L’article 5 fixe l’entrée en vigueur au 1er janvier 2027, à l’exception de l’article 3 :

• L’ensemble de l’arrêté entre en vigueur le 1er janvier 2027, afin que l’administration dispose du temps nécessaire pour préparer le transfert et que le changement coïncide avec le début d’un nouvel exercice budgétaire.
• L’article 3, qui porte la désignation comme cyberpôle national, entre en vigueur dix jours après la publication de l’arrêté, cette désignation ne devant pas attendre le 1er janvier 2027.

Le dossier a recueilli l’avis de l’Inspecteur des Finances accrédité auprès du SPF Chancellerie du Premier ministre (9 décembre 2025) et de l’Inspecteur des Finances accrédité auprès du SPF Intérieur (13 mai 2026), ainsi que l’accord du ministre du Budget (25 juin 2026). L’arrêté est pris sur la proposition du Premier ministre et du ministre de la Sécurité et de l’Intérieur, qui sont chargés, chacun en ce qui le concerne, de son exécution.

Pour les lecteurs, le texte acte un double déplacement : la désignation immédiate du CCB comme point de contact belge du futur système européen d’alerte en matière de cybersécurité, et le rattachement administratif du centre au SPF Intérieur au 1er janvier 2027, avec la suppression du lien qui menaçait l’indépendance de son service d’inspection NIS2.

Source : Moniteur belge n° 212 du 21 septembre 2026, arrêté royal du 15 septembre 2026, [2026/202297], p. 50894.