Vous avez récemment annoncé l'allocation d'un budget de 55 millions d'euros en 2025 pour renforcer la cybersécurité des administrations fédérales, soulignant l'importance de protéger les services publics contre des cyberattaques de plus en plus fréquentes et sophistiquées. C'est une nécessité au regard des atermoiements de la gestion wallonne face à la cyberattaque qui a paralysé pendant plusieurs semaines toute une branche de l'État fédéral. 1. Pouvez-vous détailler la manière dont ce budget sera réparti entre les différentes administrations, notamment entre les grandes structures et les plus petites, qui sont souvent les plus vulnérables? 2. Quels types d'outils informatiques seront prioritairement modernisés? Un calendrier précis de déploiement est-il déjà établi pour cette mise à niveau? 3. Pouvez-vous préciser le fonctionnement du pôle ICT centralisé via le SPF Stratégie et Appui? Quelles seront ses missions concrètes et comment garantira-t-il un soutien efficace aux administrations les moins dotées? 4. Quels mécanismes de suivi et d'évaluation sont prévus pour mesurer l'efficacité de ces investissements et l'amélioration du niveau de cybersécurité des administrations fédérales? 5. Compte tenu de l'évolution rapide de la menace cyber, envisagez-vous déjà des ajustements budgétaires ou des mesures complémentaires à moyen terme pour garantir la résilience de nos institutions publiques?
B020
Le Conseil des ministres a validé, en date du 18 juillet 2025, ma proposition relative à la répartition du budget de 55 millions d'euros pour l'année 2025, destiné à renforcer la cybersécurité des administrations fédérales dans le cadre de la mise en oeuvre de la directive européenne NIS2. Cette décision constitue une étape cruciale dans notre volonté de mieux protéger les services publics fédéraux face à des cybermenaces toujours plus nombreuses et sophistiquées. 1. La répartition de ce budget s'est faite de manière équitable et ciblée, sur base de critères objectifs établis en concertation avec les entités fédérales et les experts du secteur. Ces critères tiennent compte de: - la taille de l'entité; - le nombre de collaborateurs; - son niveau de maturité en cybersécurité actuel par rapport au niveau de maturité à atteindre; - ainsi que les services numériques transversaux qu'elle propose. Les entités plus petites et moins dotées, souvent plus vulnérables, bénéficient d'une attention particulière. Elles sont fortement encouragées à mutualiser leurs ressources ou à justifier leurs choix de solutions nécessitant un certain seuil d'utilisateurs, afin de garantir efficacité, cohérence et optimisation des moyens. 2. Les moyens alloués permettront aux entités d'investir prioritairement dans: - l'achat de licences de cybersécurité; - des services de sécurité externalisés (Security as a Service, SECaaS); - et d'autres mesures nécessaires à la conformité avec les exigences NIS2. Le calendrier de déploiement dépendra du niveau de maturité actuel de chaque entité. Toutefois, la loi NIS2 du 26 avril 2024 fixe des échéances précises: - 18 octobre 2024: entrée en vigueur de la loi; - 18 mars 2025: inscription obligatoire des entités essentielles et importantes auprès du Centre pour la Cybersécurité Belgique (CCB), via Safeonweb@Work; - avril 2026: fin de la phase d'auto-évaluation; - avril 2027: obtention de la certification obligatoire pour les entités essentielles. 3. Dans cette optique, j'ai également proposé la mise en place, au sein du SPF Stratégie et Appui (BOSA), d'une cellule de soutien spécialisée - CISO as a Service (CISOaaS). Cette proposition a été acceptée par le Conseil des ministres du 18 juillet 2025. Cette cellule vise à accompagner les entités qui ne disposent pas de ressources internes suffisantes pour se mettre en conformité avec la loi NIS2. Cette cellule: - agit sur demande volontaire des entités; - propose un soutien stratégique et opérationnel (gestion des risques, mise en oeuvre de solutions, suivi de la conformité NIS2); - favorise la mutualisation des compétences; - offre aux entités de moins de 1.000 collaborateurs un accès à des services à coût réduit, grâce à la centralisation des besoins. L'objectif est d'assurer un accompagnement cohérent et efficace, garantissant une sécurité de l'information homogène sur l'ensemble du périmètre fédéral. Par ailleurs, des réflexions sont en cours au niveau politique concernant une centralisation accrue des capacités ICT fédérales, dans le but de renforcer la cohérence, l'efficacité et le partage des ressources numériques. 4. La directive NIS2 prévoit un cadre d'évaluation clair, notamment à travers: - des auto-évaluations de cybersécurité à remettre d'ici avril 2026, - la certification obligatoire pour certaines entités d'ici avril 2027. En parallèle, chaque entité devra remettre, d'ici le 10 septembre 2025, un rapport détaillant son niveau actuel de cybersécurité et ses besoins futurs. Ces données permettront de suivre efficacement les progrès réalisés, d'évaluer l'impact des investissements consentis, et d'orienter les priorités pour les années à venir. 5. Je tiens à souligner que ce premier financement de 55 millions d'euros constitue une étape essentielle, mais non suffisante à moyen et long terme. Les investissements devront être poursuivis au-delà de 2025, afin d'assurer une mise en conformité complète et durable avec NIS2. Nous suivons également de près les évolutions géopolitiques, technologiques et organisationnelles. À terme, des ajustements budgétaires ou mesures complémentaires pourront être envisagés, notamment pour réduire notre dépendance à certaines technologies non européennes, tout en tenant compte des investissements déjà réalisés. La sécurisation numérique de nos services publics est une priorité stratégique. Mon engagement, et celui du gouvernement, est total pour faire de cette transition une réussite collective. Nous continuerons à accompagner les entités, à renforcer la cohérence de l'action publique, et à adapter notre dispositif aux défis de demain.