Comment signaler à CERT.be au titre du CRA

1. Qui reçoit votre notification : CCB et CERT.be

Le Centre pour la cybersécurité Belgique (CCB) est l’autorité nationale, et CERT.be son équipe opérationnelle. Le CCB opère depuis Bruxelles et a été créé en 2015, ce qui en fait l’une des autorités nationales les plus récentes parmi celles couvertes par ces pages.

La chaîne est exactement celle-ci : l'autorité comme institution, CERT.be comme équipe opérationnelle qui lit votre notification et qui, avec l'ENISA, forme le destinataire prévu par l'art. 14.

Le CCB est le Centre pour la cybersécurité Belgique et opère sous la chancellerie du Premier ministre. CERT.be en est l’équipe opérationnelle. Un dispositif jeune et centralisé : une seule autorité fédérale, une seule équipe technique, pour un pays à trois langues officielles.

2. Le canal national, en pratique

La langue de la notification peut être le néerlandais, le français ou l’anglais : le CCB travaille couramment dans les trois. Pour un fabricant dont la documentation est en anglais, c’est la situation la plus simple parmi les pays couverts par ces pages.

Le CCB publie des avis et anime un programme de divulgation coordonnée des vulnérabilités parmi les plus explicites d’Europe. Si vous avez déjà une politique de divulgation, vérifiez sa cohérence avec ce cadre : les deux processus se rejoignent.

CERT.be · site officiel

3. Le paysage dans lequel il s’inscrit

La Belgique a transposé la NIS2 par une loi fédérale confiant au CCB le rôle d’autorité nationale compétente et de point de contact unique. Il en résulte un écosystème compact, aux interfaces peu nombreuses.

Pour le CRA, la désignation du CSIRT qui reçoit les notifications des fabricants doit tout de même être vérifiée dans la mise en œuvre nationale du règlement, qui ne recoupe pas automatiquement le périmètre NIS2.

Un dernier point pratique : la Belgique accueille de nombreuses institutions européennes, et le CCB travaille dans un contexte où la coordination avec l’ENISA et les réseaux européens est quotidienne. Pour un fabricant, cela signifie des procédures alignées sur la pratique commune et peu de particularités locales à apprendre.

4. Comment se fait le dépôt, en bref

Le dépôt n’est pas un courriel à l’autorité : il passe par la plateforme de signalement unique instituée par l’art. 16, et l’accès exige des identifiants EU Login validés au préalable.

La chaîne des délais — 24 heures, 72 heures, rapport final — est la même dans toute l’Union et figure en entier sur la page consacrée à l’art. 14. Pour l’autre déclencheur de l’article, le délai final change : il est sur la page incident grave.

5. Ce qu'il faut préparer avant un incident

Cinq choses, mises en place calmement, font la différence entre un signalement déposé à temps et un signalement déposé trop tard. La première est le point de contact vers CERT.be, désigné et validé, avec un suppléant nommé : le jour du cas, on ne cherche pas qui détient les identifiants.

En Belgique, il est utile de décider à l’avance dans quelle langue vous déposerez et de la conserver entre alerte précoce, mise à jour et rapport final : trois documents en trois langues sur un même dossier compliquent la tâche de qui doit les corréler.

Et une note sur le temps : la Belgique est en CET/CEST. Les vingt-quatre heures courent aussi les jours fériés, et dans une organisation travaillant en trois langues il est préférable que le point de contact et son suppléant partagent la même langue de dépôt.

Ce guide expose notre lecture du texte réglementaire et des procédures publiques ; il ne constitue pas un conseil juridique, et les détails opérationnels de la plateforme peuvent évoluer.