Le 18 octobre 2022, le SPF Stratégie et Appui (BOSA) a publié le rapport d'un examen des dépenses en matière de cybersécurité en Belgique. Ce rapport est parvenu aux conclusions importantes suivantes: - à l'heure actuelle, il n'existe aucune stratégie fédérale commune en matière de cybersécurité, malgré l'existence d'une stratégie nationale (Cybersecurity 2.0) élaborée par le Centre pour la Cybersécurité Belgique. - il existe de nouvelles menaces de cybersécurité qui représentent un risque important pour l'État et compte tenu de cela, la protection de l'information et la résilience des services publics gagnent sans cesse en importance. - une coordination et une coopération entre les institutions fédérales sont nécessaires afin de renforcer la protection de l'information. 1. Entre-temps, quel suivi a été réservé à cet examen des dépenses et quelles mesures concrètes ont été prises? 2. Compte tenu de l'absence d'une stratégie fédérale commune en matière de cybersécurité, quelles mesures concrètes comptez-vous prendre pour parvenir à une approche coordonnée entre les différentes institutions fédérales? 3. Pouvez-vous préciser comment le contrôle des dépenses en matière de cybersécurité est actuellement effectué et quelles mesures sont prises pour garantir l'efficacité de ces dépenses?
B010
1. Suite à la spending review, la Stratégie commune en matière de sécurité de l'information pour l'administration fédérale a été soumise au Conseil des ministres par le SPF Stratégie et Appui (BOSA) et approuvée le 17 mai 2024. Cette stratégie est le résultat d'une concertation d'un groupe fédéral d'experts en cybersécurité, issus de la DG Simplification et Digitalisation du SPF BOSA, du Centre pour la Cybersécurité Belgique (CCB), du Ministère de la Défense, de la Police fédérale, du Centre de Crise, de Belnet, de l'Institut belge des services postaux et des télécommunications (IBPT), du Service fédéral d'Audit interne (FAI) et du SPF Finances (SECaaS1). L'objectif de cette stratégie fédérale commune est de pouvoir couvrir tout le spectre de la cybermenace, y compris les menaces futures, tout en maintenant un contrôle sur les dépenses. Une stratégie fédérale globale permettra d'optimiser les ressources et de maximiser l'efficacité des investissements. Le SPF BOSA procède au suivi ultérieur des actions liées à la spending review, en particulier la demande d'une enveloppe budgétaire. Afin de dresser un état des lieux aussi complet que possible pour le prochain gouvernement, le Conseil des ministres a chargé le SPF BOSA et le G-Cloud de consolider les fiches Nouvelle initiative cyber en matière de cyberprotection des services publics fédéraux. Ces fiches devront indiquer les investissements déjà consentis et les coûts récurrents, ainsi que les coûts additionnels de cybersécurité pour lesquels des moyens supplémentaires sont demandés. Il existe également un groupe de travail NIS2 sous la direction du SPF BOSA, où les meilleures pratiques sont partagées entre les services publics fédéraux et qui assure le suivi de la mise en oeuvre de la loi NIS2 et des délais y afférents. Ce groupe, qui a été créé à l'initiative du SPF Intérieur, rassemble les responsables NIS2, des chefs de projet et les CISO des services publics fédéraux. Le CCB a un rôle consultatif dans ce groupe de travail. En outre, l'on a examiné une proposition visant à créer une cellule centrale dans le giron du SPF BOSA pour la coordination de la cybersécurité au sein des autorités fédérales. Cette cellule serait notamment chargée de mettre en place une centrale d'achat axée sur une stratégie d'achat uniforme pour les solutions de cybersécurité au niveau fédéral. À ce jour, cette cellule n'a pas encore été installée, notamment en raison des discussions en cours sur la répartition des rôles entre le SPF BOSA, Smals et le CCB. 2. Les institutions publiques n'échappent pas à la cybermenace croissante, étant souvent la cible spécifique de cybercriminels ou de puissances étrangères. Cela souligne l'importance d'une cyberrésilience accrue pour l'administration publique. Les institutions publiques sont, dès lors, reprises en tant que secteur dans la loi NIS2, qui est applicable en Belgique depuis le 18 octobre 2024 (loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique). La loi NIS2 oblige les entités à s'enregistrer auprès du CCB en tant qu'entités NIS2, à notifier les incidents significatifs au CCB, à satisfaire aux exigences de formation et à prendre les mesures de cybersécurité nécessaires. La mise en oeuvre de la loi NIS2 au sein des autorités fédérales est une étape importante pour mettre en place un paysage numérique plus sûr. Dans ce cadre, le CCB a également développé une politique de cybersécurité pour les services publics fédéraux, basée sur l'approche horizontale générique pour les 18 secteurs NIS2, et contenant des composants FedGov spécifiques et des services centralisés. A ce sujet, le CCB travaille en étroite collaboration avec le SPF BOSA et le Service fédéral d'Audit interne (FAI). Cette politique se fonde sur quatre piliers: - le CyberFundamentals Framework comme base pour tous les services; - externalisation de la mise en oeuvre de la cybersécurité avec SECaaS2 ou IAP; - supervision des obligations et de la mise en oeuvre NIS2; - intégration du CCB et soutien par BOSA. Une telle approche uniforme met en oeuvre, de manière durable et rentable, l'augmentation de la résilience contre les cybermenaces requise par la directive NIS2. 3. Le contrôle des dépenses en matière de cybersécurité est effectué à différents niveaux. D'une part, il est effectué par les Inspecteurs des Finances, qui supervisent la justification financière au sein des autorités fédérales. D'autre part, le SPF BOSA a réalisé une spending review, qui a fourni, comme premier exercice inter-SPF, une vue d'ensemble intégrée des dépenses en matière de cybersécurité au sein des organisations fédérales. Cette vue d'ensemble permet de mieux comprendre et d'optimiser la répartition et l'efficacité des budgets. Pour garantir l'efficacité de ces dépenses, différentes mesures sont prises. Le SPF BOSA procède au suivi des actions découlant de la spending review, en mettant particulièrement l'accent sur la demande d'une enveloppe budgétaire. Ce budget vise à renforcer la cyberrésilience fédérale et à soutenir la mise en oeuvre de la loi NIS2. En outre, des initiatives sont prises pour rationaliser et rendre plus efficaces les dépenses en matière de cybersécurité. Un bon exemple en la matière est l'initiative SECaaS2 du SPF Finances, qui offre une solution de cybersécurité rentable et uniforme que tous les services fédéraux peuvent utiliser. L'offre IAP de Smals contribue également à une approche plus centralisée et plus efficace de la cybersécurité au sein des autorités fédérales. Cette combinaison de contrôle financier, de suivi des politiques et d'initiatives conjointes contribue à un meilleur alignement et à une optimisation des ressources utilisées pour la cybersécurité.