B019
La recrudescence des cyberattaques ciblant les institutions publiques européennes, y compris belges, souligne la nécessité urgente de renforcer la résilience numérique de l'appareil d'État. Les récents événements en Région wallonne nous le rappellent à juste titre. Face à ce constat, vous avez annoncé une enveloppe de 55 millions d'euros destinée à moderniser l'écosystème informatique de l'administration fédérale. Cette initiative vise à garantir que chaque service public - quelle que soit sa taille - dispose d'un niveau minimal de protection contre les intrusions numériques. La première étape de ce plan consistera à mettre à niveau les systèmes d'information et à remplacer les logiciels obsolètes, dont certains ne répondent plus aux standards actuels de cybersécurité. Au-delà de l'outillage technique, il s'agit également de renforcer les protocoles de sécurité et les procédures internes, qui constituent la première ligne de défense contre les cybermenaces. Un second axe de la réforme prévoit la mise en place d'un pôle ICT centralisé piloté par le SPF Stratégie et Appui (BOSA), afin d'apporter un soutien technique et organisationnel aux petites structures administratives souvent sous-dotées. Cette mutualisation des moyens est essentielle pour éviter que certaines entités publiques deviennent les maillons faibles d'un système globalement vulnérable. Ces investissements sont aussi stratégiques sur le plan géopolitique: de nombreuses attaques proviennent d'acteurs étatiques ou para-étatiques étrangers, dans une logique de déstabilisation, d'espionnage ou de sabotage. La cybersécurité des administrations publiques est donc indissociable de la souveraineté et de l'intégrité de l'État belge. 1. Une cartographie complète des vulnérabilités au sein de l'administration fédérale a-t-elle été réalisée, et si oui, quels types de failles ont été jugés prioritaires? 2. Le plan de 55 millions d'euros prévoit-il des indicateurs de suivi pour garantir la transparence dans la mise en oeuvre des mesures de cybersécurité? Pensez-vous qu'un rapport en la matière puisse être communiqué et discuté au Parlement à moyen terme pour permettre un contrôle démocratique mais balisé compte tenu du caractère sensible et particuliers desdites données? 3. Le pôle ICT centralisé envisagé sera-t-il doté de pouvoirs contraignants ou simplement de fonctions de soutien? Comment s'assurera-t-on de son efficacité à long terme? 4. Dans un contexte international tendu, quelles garanties sont mises en place pour s'assurer que les prestataires et fournisseurs de cybersécurité opérant dans les services publics belges respectent des critères stricts en matière de souveraineté numérique et d'indépendance vis-à-vis d'acteurs extra-européens?
B020
1. Le Centre pour la Cybersécurité Belgique (CCB) joue un rôle central dans la détection proactive des vulnérabilités au sein de l'administration fédérale, notamment via le système d'alerte précoce Early Warning System (EWS). Ce dispositif assure une surveillance continue des réseaux des organisations fédérales enregistrées et permet d'identifier en temps réel les failles de sécurité ainsi que les comportements suspects. Il constitue un levier stratégique majeur pour renforcer la résilience numérique de l'État. Par ailleurs, des tests d'intrusion sont régulièrement menés par les entités lors du déploiement ou de l'évolution d'applications, afin d'évaluer leur niveau de vulnérabilité. Cela étant, il n'existe pas de cartographie globale et centralisée des vulnérabilités couvrant l'ensemble de l'administration fédérale. Le système EWS représente une avancée significative, mais il ne remplace pas une analyse exhaustive et systématique à l'échelle fédérale. 2. La ventilation de la provision des 55 millions d'euros n'a pas encore été validée par le Conseil des ministres. La distribution actuellement proposée repose sur une combinaison de critères, notamment la taille des entités (grande, moyenne, petite), le nombre de collaborateurs et les services numériques fournis à d'autres organisations. Le suivi de la mise en oeuvre pourra s'appuyer sur des analyses de maturité selon les Cyber Fundamentals du CCB, ou encore sur des certifications reconnues telles que l'ISO 27001. Une évaluation régulière du niveau de maturité en cybersécurité est envisagée afin d'objectiver les progrès accomplis. 3. Des discussions sont en cours concernant la création d'une cellule CISO-as-a-Service au sein du SPF Stratégie et Appui. Cette cellule aurait pour mission de coordonner la stratégie de cybersécurité et de soutenir les entités fédérales, en particulier les plus petites, dans la mise en oeuvre de politiques de sécurité robustes. Face à la rareté et au coût élevé des experts en cybersécurité, le recours à un modèle mutualisé permettrait d'optimiser l'accès à des compétences spécialisées à la fois stratégiques, tactiques et opérationnelles. Ce dispositif offrirait un appui direct aux directions, directeurs des systèmes d'information et services IT via un centre de compétences, point de contact unique en matière de sécurité de l'information. Il fournirait également une base de connaissances partagée, incluant outils, processus et bonnes pratiques. La mise en place de mécanismes d'évaluation permettra de garantir l'efficacité et la pérennité de cette structure. 4. Je partage pleinement l'enjeu stratégique que représente la souveraineté numérique, en particulier dans le domaine sensible de la cybersécurité des services publics. Toutefois, le cadre juridique actuel limite considérablement les possibilités d'agir dans ce sens. La législation en matière de marchés publics ne permet pas d'exclure une entreprise étrangère dès lors que son pays est signataire de l'Accord sur les marchés publics (art. 4, al. 2 de la loi du 17 juin 2016). Une exclusion n'est légalement possible que dans le cadre de sanctions européennes, comme c'est le cas pour la Russie (règlement UE n° 2022/576 du Conseil du 8 avril 2022). De plus, l'origine géographique d'un produit ne peut constituer un critère d'exclusion (art. 53, § 4 de la même loi). Ces contraintes réduisent les marges de manoeuvre des autorités pour privilégier les solutions souveraines, belges ou européennes, au nom de la sécurité nationale. Dans la pratique, les cahiers des charges intègrent généralement des exigences techniques fondées sur des normes de sécurité internationalement reconnues. Si de nombreux produits américains y répondent, ces standards n'intègrent que rarement des critères relatifs à l'autonomie stratégique. Cela dit, des initiatives intéressantes voient le jour. La certification SecNumCloud, mise en place par l'Agence nationale de la sécurité des systèmes d'information en France, constitue un exemple concret: elle introduit des critères de protection contre les ingérences juridiques extra-européennes et favorise ainsi des solutions cloud souveraines. Bien que cette certification reste pour l'instant propre à la France, elle représente une piste d'évolution prometteuse. Par ailleurs, une note de synthèse a été soumise le 5 mars 2023 au Comité stratégique du renseignement et de la sécurité, à l'issue d'un groupe de travail consacré à la sécurité dans les marchés publics. Elle met en lumière l'inadéquation du cadre législatif actuel face aux enjeux de sécurité et propose des pistes d'adaptation. Des discussions sont en cours à l'échelle européenne afin de faire évoluer les règles dans cette direction.