Table des matières
Depuis le 1er avril 2026, les bâtiments situés en Flandre dont le prélèvement annuel dépasse un gigawattheure doivent être équipés de panneaux solaires. Pour les bâtiments publics, ce seuil est fixé à 250 mégawattheures. L’administration flamande estime que cette première échéance concerne environ trois mille points de prélèvement. Des milliers d’entreprises ont donc installé des panneaux sur leur toit, rassurées quant à leur facture énergétique.
Ce que les installateurs mentionnent rarement : aux yeux de la loi NIS2 belge, cette installation fait peut-être de vous un producteur d’électricité. Or les producteurs d’électricité relèvent de la loi NIS2, ce qui implique une obligation d’enregistrement auprès du Centre pour la Cybersécurité Belgique (CCB) et des obligations qui s’appliquent à l’ensemble de votre organisation.
Cela surprend beaucoup d’entreprises. Le CCB a depuis expressément confirmé cette lecture de la loi NIS2. Vous lirez ci-dessous quand la loi vous est applicable, quelles trois questions le déterminent, et ce que l’on attend alors concrètement de vous.
Points clés
- Des panneaux solaires raccordés au réseau que vous possédez et exploitez vous-même font de votre organisation un producteur d’électricité au sens de NIS2, même en cas d’autoconsommation totale.
- Trois questions factuelles déterminent la réponse : la propriété, l’exploitation et l’injection dans le réseau. La réponse figure dans vos contrats.
- Si la loi vous est applicable, l’enregistrement, la notification des incidents et les mesures restent obligatoires, mais le CCB accepte CyFun Basic comme proportionné.
- Votre installation solaire devient alors aussi un maillon de votre chaîne d’approvisionnement, avec des conséquences contractuelles en matière d’accès à distance.
- Le seuil de 1 MW envisagé n’arrivera pas avant 2028.
Pourquoi des panneaux solaires vous font relever de NIS2
Le secteur dans lequel votre entreprise est active est l’un des éléments qui déterminent l’applicabilité de la loi NIS2. L’annexe I de la loi NIS2 belge énumère les secteurs où un incident entraîne les conséquences les plus lourdes, et l’énergie figure sur cette liste. Au sein de ce secteur, la loi vise notamment les « producteurs » au sens de la directive européenne sur l’électricité : toute personne physique ou morale qui produit de l’électricité.
Cette définition ne comporte ni seuil de capacité ni critère de marché, et la production peut être entièrement accessoire à l’activité réelle de votre entreprise. Celui qui possède et exploite des panneaux raccordés au réseau produit de l’électricité et est donc producteur. Y compris lorsque vous consommez vous-même chaque kilowattheure.
La loi NIS2 ne considère ensuite pas votre toit, mais votre entité dans son ensemble. Un acteur logistique doté de panneaux sur son centre de distribution devient donc, en tant qu’organisation, une entité NIS2 et doit se conformer à la loi NIS2.
Un critère maintient la plupart des petites entreprises hors du champ d’application de la loi NIS2 : la taille de votre entreprise. La loi ne s’applique qu’à partir de l’entreprise moyenne, donc à partir de 50 travailleurs, ou lorsque votre chiffre d’affaires annuel et votre total de bilan dépassent tous deux 10 millions d’euros. Ces chiffres doivent toutefois être calculés de manière consolidée, en incluant les entreprises partenaires et liées. C’est là que les choses dérapent le plus souvent en pratique, car une société modeste au sein d’un groupe plus large atteint le seuil plus vite que son propre bilan ne le laisse supposer à première vue.
Pourquoi le législateur s’intéresse aux installations solaires
La raison d’être de cette règle apparaît dès que l’on regarde l’onduleur plutôt que le panneau. Les onduleurs sont connectés à internet, reçoivent des mises à jour à distance et sont souvent pilotés via une plateforme cloud du fabricant.
C’est l’échelle qui fait la différence. Une analyse de risques réalisée par DNV pour SolarPower Europe en avril 2025 révèle que chacun de sept fabricants d’onduleurs peut piloter à distance plus de 10 gigawatts de capacité installée. Compromettre les systèmes d’un tel fabricant, c’est atteindre d’un seul coup une part considérable de la capacité de production européenne. Les chercheurs en sécurité de Forescout ont par ailleurs recensé, à l’échelle mondiale, 35 000 appareils d’installations solaires dotés d’une interface de gestion directement accessible via internet.
Prise isolément, votre installation ne présente aucun risque pour le réseau. Ensemble, en revanche, ces installations constituent une capacité de production décentralisée que quelqu’un, animé de bonnes ou de mauvaises intentions, pourrait piloter depuis un point unique. Nous y lisons également l’explication de la ligne que trace le CCB : le CCB situe le risque dans ce qui se passe en direction du réseau, et donc dans la question de savoir si vous injectez de l’électricité. Ce que vous consommez vous-même n’entre pas en ligne de compte.
Trois questions déterminent la réponse
Le CCB a développé cinq scénarios dans sa FAQ. Ils se ramènent à trois questions factuelles.
Êtes-vous propriétaire de l’installation ? Si les panneaux d’un tiers se trouvent sur votre toit, par exemple dans le cadre d’un leasing ou via une société de services énergétiques, vous n’êtes pas vous-même producteur. Même pas lorsque vous prélevez la totalité de l’électricité produite. Vous êtes alors preneur et la loi NIS2 ne vous est pas applicable, du moins pas du fait de ces panneaux solaires.
Les exploitez-vous ? La propriété et l’exploitation de panneaux solaires ne coïncident pas toujours. C’est précisément là que se situe aujourd’hui la plus grande incertitude. Dans un montage de financement où un tiers est propriétaire mais où vous gérez l’installation, la question de savoir qui la loi vise n’est pas tranchée. Demandez donc explicitement à votre fournisseur de services énergétiques s’il se considère comme producteur et s’il s’est enregistré.
L’installation injecte-t-elle dans le réseau ? Celui qui ne réinjecte pas d’électricité se situe, selon le CCB, hors du champ de la loi. Mais attention à la nuance : le scénario dans lequel vous consommez vous-même toute l’électricité tout en étant raccordé au réseau relève bel et bien de la loi. La différence entre ces deux situations est techniquement mince mais juridiquement considérable. Divers auteurs mettent dès lors cette lecture en question. Nous y voyons un point d’attention supplémentaire. Une limitation d’injection n’est pas une coupure physique mais un paramètre de votre onduleur. Celui qui prendrait le contrôle de cet onduleur, avec de bonnes ou de mauvaises intentions, peut lever cette limitation, tandis que le raccordement au réseau et le risque qui en découle pour le réseau électrique subsistent tels quels. Seule une installation qui n’est pas du tout raccordée au réseau, donc hors réseau, écarte le risque, mais ce n’est pas un choix réaliste pour la plupart des entreprises. Le CCB ne précise en outre pas actuellement comment vous devez réaliser ou démontrer cette absence d’injection. Si vous vous appuyez sur cette interprétation, il importe de bien documenter la manière dont votre installation est paramétrée et sécurisée en vue d’écarter le risque.
La réponse à ces trois questions figure le plus souvent dans des contrats que bien souvent plus personne n’a ouverts depuis la pose de l’installation. Or cette réponse importe pour savoir si votre entreprise relève ou non de la loi NIS2 du fait de ses panneaux solaires.
Les bornes de recharge et les batteries suivent leurs propres règles
Les bornes de recharge disposent d’une entrée distincte à l’annexe I. Celle-ci exige que vous gériez et exploitiez le point de recharge et que vous fournissiez un service de recharge aux utilisateurs finaux. En pratique, cette gestion incombe souvent contractuellement à un tiers, même lorsque les bornes portent votre logo.
Les batteries relèvent de l’entrée visant les acteurs du marché qui fournissent des services de stockage d’énergie. Le simple stockage derrière le compteur pour votre propre usage ne constitue pas une prestation de services au marché. Ce raisonnement est solidement défendable, même si le CCB ne l’a pas expressément confirmé au moment de la rédaction. Si vous valorisez en revanche votre batterie sur le marché de la flexibilité, vous fournissez un service et l’analyse change.
Que se passe-t-il si vos panneaux solaires vous font relever de NIS2 ?
Voici la bonne nouvelle. Le CCB reconnaît que les autoconsommateurs ne sont pas les entités hautement critiques pour lesquelles les dispositions relatives à l’énergie ont été rédigées, et renvoie à l’impact sociétal et économique limité de l’autoproduction. Il applique dès lors une surveillance allégée. Cela suppose évidemment que l’entreprise relève de la loi NIS2 du seul fait de son installation solaire et n’est donc pas active dans d’autres secteurs NIS2.
Une surveillance allégée ne signifie toutefois pas une exemption des obligations et du contrôle NIS2. Vous vous enregistrez auprès du CCB, vous notifiez les incidents significatifs et vous prenez des mesures de cybersécurité. Mais le CCB accepte comme proportionné un niveau inférieur du référentiel CyberFundamentals. CyFun Basic compte 34 contrôles et, selon le CCB, ce niveau couvre environ 82 % des types d’attaques repris dans les profils de menace de CERT.be. Vous mettez probablement déjà en œuvre bon nombre de ces mesures, sans les avoir documentées.
Votre taille détermine ensuite votre catégorie NIS2 et le type de surveillance. L’énergie figurant à l’annexe I, une entreprise suffisamment grande devient une entité essentielle, même lorsque son activité principale relèverait d’un régime plus léger. Cela implique une surveillance proactive plutôt qu’un contrôle après incident.
Votre installation intègre par ailleurs votre propre chaîne d’approvisionnement. Si la loi vous est applicable, vous devez en effet gérer le risque lié à vos fournisseurs, et votre installation solaire en fait dès lors partie. Qui obtient un accès à distance à vos onduleurs, où tourne la plateforme de monitoring, et que se passe-t-il lorsque le fabricant signale une vulnérabilité ? Ce sont là des questions contractuelles, et mieux vaut les poser avant de signer avec votre installateur.
Et si vous découvrez seulement maintenant que la loi vous est applicable ? Le délai général d’enregistrement a expiré en mars 2025, et la première échéance de conformité est passée le 18 avril 2026. Attendre n’arrangera rien. Enregistrez-vous et documentez quand et pourquoi vous êtes entré dans le champ d’application. Le CCB vise en premier lieu un niveau élevé de cyberrésilience, mais les sanctions servent ici bel et bien d’épée de Damoclès. Les entreprises incapables de démontrer qu’elles ont fait leurs devoirs, ou qu’elles sont en train de les faire, se retrouvent en position de faiblesse lors d’une inspection et s’exposent à d’éventuelles sanctions telles qu’une amende ou une interdiction temporaire de diriger l’entreprise.
Un seuil de 1 MW est en préparation
Le législateur européen envisage de corriger cette définition très large. Le 20 janvier 2026, la Commission a proposé des modifications ciblées de NIS2, parallèlement à une révision du Cybersecurity Act. Dans cette proposition, les producteurs dont la capacité de production totale ne dépasse pas 1 MW sortent du champ d’application.
Cela ferait sortir la plupart des toitures du champ de la loi. Au minimum légal de 12,5 watts-crête par mètre carré, il faut environ 80 000 mètres carrés de toiture pour atteindre 1 MW.
Seulement voilà : ce seuil ne s’applique pas encore. La Commission vise un accord politique début 2027, après quoi les États membres disposent encore d’un an pour transposer la modification. Comptez donc sur 2028 au plus tôt. Si vous planifiez aujourd’hui une grande installation, il peut être utile d’intégrer cette évolution dans votre planification. Si votre installation est déjà en place, ce sont les règles actuelles qui s’appliquent.
Ce que cela signifie pour votre organisation
Concrètement, nous recommandons ce qui suit :
- Faites l'inventaire de votre situation : qui possède et exploite votre installation, et injecte-t-elle dans le réseau ? Ressortez les contrats conclus avec votre installateur ou votre fournisseur de services énergétiques et cherchez-y les réponses. Accordez-vous avec eux si nécessaire.
- Calculez correctement votre taille, donc de manière consolidée. Le seuil de l'entreprise moyenne est le premier filtre, et le plus important.
- Traitez les bornes de recharge et les batteries comme des questions distinctes, avec leur propre analyse, même si tout a été installé dans le cadre d'un seul projet.
- La loi NIS2 vous est applicable ? Enregistrez-vous auprès du CCB, envisagez CyFun Basic comme cadre proportionné et impliquez votre organe de direction, car la loi y place expressément la responsabilité.
Un doute sur votre qualification ? Une brève analyse juridique préalable coûte une fraction de ce qu’une appréciation erronée coûtera plus tard. Vous lirez comment aborder une telle analyse dans notre précédent article de blog consacré à l’analyse juridique de NIS2.
Conclusion
Des panneaux solaires sur votre toit ne vous font pas automatiquement relever de la loi NIS2. Trois questions déterminent la réponse : êtes-vous propriétaire de l’installation, l’exploitez-vous, et injecte-t-elle dans le réseau ? Si vous restez sous le seuil de taille, l’analyse s’arrête là. Si vous relevez bien de la loi, vous attendent un enregistrement, une notification des incidents et des mesures, mais le CCB accepte un niveau proportionné.
La question mérite malgré tout une réponse réfléchie. Depuis avril 2026, des milliers d’entreprises flamandes ont installé des panneaux parce qu’elles y étaient tenues. Pour une partie d’entre elles, cela a également modifié leur statut au regard de la loi NIS2, sans que personne ne le leur dise.
