Loi CER ou Critical Entities Resilience : par où commencer, et ce que votre entreprise y gagne
La Belgique a transposé la directive européenne sur la résilience des entités critiques par la loi du 19 décembre 2025. Depuis le 17 juillet 2026, les autorités sectorielles identifient les entreprises concernées. Le jour où la notification arrive, dix mois s’ouvrent pour construire le système.
Dix mois suffisent largement quand on sait par où commencer. Et le travail demandé produit bien plus qu’un dossier réglementaire : il installe dans l’entreprise une capacité qui sert tous les jours.
Voici comment aborder ce chantier.
Ce que la loi CER installe:
La loi place le service au centre. Elle vous demande de démontrer que votre service essentiel continue d’être fourni quand un événement survient : une inondation, une panne d’énergie, une défaillance fournisseur, une intrusion, une attaque hybride qui combine plusieurs vecteurs en même temps.
Onze secteurs sont couverts : énergie, transport, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, administration publique, espace, production et distribution alimentaires.
Le Centre de crise national coordonne le dispositif au niveau fédéral. Les autorités sectorielles identifient, désignent et accompagnent ensuite les entités critiques.
Trois éléments structurent la démarche :
- La désignation repose sur des critères précis : la nature du service rendu, le nombre d’usagers qui en dépendent, la zone géographique concernée en cas de rupture, l’impact transfrontalier, les dépendances avec d’autres secteurs.
- Les délais démarrent à votre notification. Tout le temps disponible avant cette date vous appartient, et c’est là que se gagne la sérénité.
- Le cadre prévoit des sanctions administratives de 500 à 125 000 euros selon le manquement, ainsi que des sanctions pénales. Autant de raisons de traiter le sujet en amont, au rythme choisi.
Ce que votre entreprise y gagne:
La conformité est l’entrée. La valeur se situe ailleurs, et elle est mesurable.
Vos incidents durent moins longtemps et coûtent moins cher. Une organisation qui sait décider vite, dégrader dans le bon ordre et redémarrer proprement raccourcit chaque événement. C’est du chiffre d’affaires préservé et de l’énergie de direction économisée.
Votre fiabilité devient un argument commercial. Les questionnaires fournisseurs et les appels d’offres intègrent désormais la continuité, les délais de rétablissement et les sites de repli. Une réponse solide vous distingue au moment de la décision d’achat.
Vos conditions de financement et d’assurance s’améliorent. Investisseurs et assureurs regardent la maturité de votre gestion des risques. Un système documenté et exercé se défend chiffres à l’appui.
Votre relation avec le régulateur devient simple. Vous arrivez aux échanges avec une cartographie à jour, une analyse de risques tenue et un plan appliqué. Les inspections se déroulent alors comme des conversations techniques.
Votre entreprise devient plus attractive. Les équipes restent dans les organisations qui les protègent, qui savent quoi faire un dimanche à 2 heures du matin et qui l’ont démontré au moins une fois.
Première question : où vous situez-vous?
Trois situations, et toutes les trois méritent une décision consciente.
Vous êtes désigné comme entité critique. Les obligations légales s’appliquent, avec les délais et les contrôles associés. Les opérateurs déjà reconnus sous l’ancienne loi sur les infrastructures critiques basculent automatiquement dans le nouveau régime.
Vous fournissez une entité désignée. Votre client doit évaluer ses dépendances et démontrer la continuité de son service. Il vous interrogera sur votre plan de continuité, vos délais de rétablissement, vos sites de repli et vos sous-traitants critiques. Cette exigence arrive par les questionnaires fournisseurs et par les clauses contractuelles. Elle est déjà à l’œuvre dans le pharmaceutique et dans le portuaire, et elle récompense ceux qui répondent avec précision.
Vous observez le mouvement de loin. La trajectoire réglementaire reste utile à lire. NIS2 pour le cyber, CER pour le physique et l’organisationnel, DORA pour le financier : l’exigence de résilience descend progressivement vers l’ensemble de la chaîne de valeur. Anticiper vous place devant.
Le calendrier une fois la notification reçue:
- 1 mois : l’autorité vous informe de votre statut d’entité critique.
- 6 mois : vous désignez un point de contact joignable en permanence et vous transmettez la liste de vos infrastructures critiques.
- 9 mois : votre évaluation des risques est réalisée.
- 10 mois : les obligations s’appliquent pleinement et votre plan de résilience est opérationnel.
- 24 heures : c’est le délai de notification d’un incident significatif, suivi d’un rapport détaillé dans le mois.
Le délai de 24 heures mérite une attention particulière. Il suppose qu’une personne de votre organisation reconnaisse un incident notifiable un dimanche à 2 heures du matin, sache qui appeler et dispose du mandat pour le faire immédiatement. Cette chaîne de décision se construit, et elle se construit vite dès qu’on s’y attelle.
Cinq étapes pour démarrer:
1. Cartographiez vos services essentiels. Partez de ce que vous fournissez et de ce qui se produit en cas d’interruption. Remontez ensuite vers les personnes, les systèmes, les sites et les fournisseurs qui rendent ce service possible. Cette lecture par le service révèle immédiatement vos points de dépendance réels.
2. Menez une analyse de risques multi-aléas. La loi demande de couvrir les aléas naturels, les accidents d’origine humaine, les actes délibérés et les menaces hybrides, et d’examiner les combinaisons et les effets en cascade. Une inondation qui coupe l’électricité, bloque un système de contrôle et immobilise une chaîne logistique : la Wallonie l’a vécu en juillet 2021, l’exercice reste donc très concret.
3. Écrivez un plan qui se lit à 3 heures du matin. Un plan de résilience utile tient en quelques pages actionnables : qui décide, qui remplace le décideur, à partir de quel seuil on alerte, quelles activités on maintient en priorité, comment on redémarre. La concision est ici une qualité opérationnelle.
4. Réunissez le physique et le cyber sous une seule gouvernance. Un comité, une cartographie des dépendances, un budget arbitré ensemble. Vos équipes NIS2 et vos équipes sûreté gagnent en efficacité dès qu’elles partagent la même vision du risque.
5. Testez. Un exercice de trois heures avec le comité de direction met à jour ce qu’un audit documentaire de trois semaines laisse dans l’ombre, et il crée en même temps les réflexes que vous cherchez à installer.
Trois choix qui font tenir le système:
Traiter le CER pour ce qu’il est. NIS2 sécurise le numérique, le CER couvre la défaillance d’un fournisseur unique, l’indisponibilité simultanée de vos cadres clés ou un site inaccessible pendant six jours. Les deux cadres se complètent et se renforcent.
Construire avec vos équipes. Un consultant apporte la méthode, l’analyse et la structure. Vos équipes apportent la connaissance du terrain et deviennent les propriétaires du système. C’est cette appropriation qui rend le plan utilisable le jour venu.
Exercer régulièrement. Un plan exercé devient un réflexe collectif. C’est le moment où la conformité se transforme en capacité.
Le test qui compte.
Prenez votre plan actuel. Choisissez un scénario plausible : votre principal fournisseur s’arrête sept jours, ou votre site principal devient inaccessible demain matin.
Posez trois questions à votre comité de direction :
- Qui prend la décision dans l’heure, et qui la prend si cette personne est en déplacement ?
- Quelles sont les trois activités que nous maintenons en priorité, et dans quel ordre nous ajustons le reste ?
- Comment notifions-nous l’autorité dans les 24 heures, avec des informations exactes ?
Trois réponses nettes vous confirment que votre système tient. Trois réponses hésitantes vous indiquent précisément où porter l’effort. Dans les deux cas, vous savez quoi faire lundi matin.
Parlons-en
J’accompagne des organisations belges et européennes sur la résilience opérationnelle : évaluation de maturité sur les quatre piliers leadership, structure, culture et compétences, analyse des risques, plans de crise et de continuité, exercices, accompagnement CER.
Les crises ne préviennent pas. Vous pouvez vous y préparer, à votre mesure, selon votre taille, votre rythme et vos moyens.
Commençons par un premier échange de 30 minutes, sans engagement.