Le 28 août 2025, le ministre américain de la Défense, Pete Hegseth, a annoncé un audit international du système d'informatique en nuage Microsoft Azure, à la suite d'une enquête menée par ProPublica, qui a révélé que Microsoft avait fait appel à des ingénieurs chinois pour entretenir des systèmes sensibles du ministère américain de la Défense dans le cadre d'un programme dit d'escorte numérique. Il ressort des informations publiées que les escortes américaines ne disposaient souvent pas de connaissances techniques suffisantes pour contrôler correctement les participants à ce programme. Cela a entraîné des risques pour la sécurité, auxquels le ministre de la Défense réagit aujourd'hui. Après les révélations de ProPublica, Microsoft a non seulement reçu un avertissement officiel, mais le Pentagone a également exigé un audit international approfondi. Microsoft a entre-temps mis fin au programme et s'est engagé à ne plus faire appel à des techniciens basés en Chine pour des projets militaires. Dans le prolongement de cette affaire, nous pouvons toutefois nous interroger sur la manière de travailler et l'évaluation de certains risques. 1. Microsoft Azure est-il actuellement utilisé au sein de l'armée ou de la Défense belge? 2. La Belgique a-t-elle participé à ou a-t-elle été informée de l'audit international annoncé par les États-Unis? 3. Des techniciens étrangers sont-ils également impliqués dans la maintenance des systèmes informatiques militaires en Belgique? Dans l'affirmative, comment se déroule la sélection et par qui? Cela vaut-il également pour les éventuels sous-traitants? 4. Quelles mesures la Belgique prend-elle pour empêcher que des techniciens étrangers représentant un risque pour la sécurité aient accès à des données militaires sensibles? 5. Comment le passage au nuage informatique est-il sécurisé contre les cyberattaques et l'espionnage au sein de la Défense dans notre pays? 6. Une collaboration avec l'OTAN ou d'autres partenaires de l'UE est-elle prévue afin de renforcer la sécurité du nuage informatique? 7. La Belgique imposera-t-elle des exigences aux fournisseurs de services d'informatique en nuage tels que Microsoft en matière de transparence, de contrôle, d'autorisation et d'origine du personnel employé? 8. Un audit des systèmes informatiques militaires belges qui utilisent des solutions d'informatique en nuage commerciales est-il prévu? 9. Comment les partenaires informatiques externes sont-ils contrôlés au sein de la Défense? Comment ce contrôle est-il effectué et est-il étendu aux sous-traitants? 10. La Belgique rendra-t-elle compte publiquement des risques et des mesures liés à l'utilisation de l'informatique en nuage au sein de la Défense?
B035
1. Microsoft Azure n'est actuellement pas utilisé pour des applications opérationnelles ou classifiées au sein de la Défense. Son usage est limité à des applications de support non sensibles via des solutions cloud commerciales. 2. La Belgique n'a pas participé formellement à l'audit annoncé par les États-Unis concernant Microsoft Azure et n'a pas reçu d'informations officielles sur ses résultats. Toutefois, la Défense suit attentivement l'évolution de la situation via ses partenariats internationaux, notamment avec l'OTAN et les structures de l'UE. 3. Pour la maintenance des systèmes informatiques militaires, la Défense travaille principalement avec son propre personnel ou des partenaires belges. Si des techniciens étrangers interviennent, cela se fait sous conditions strictes et après un contrôle de sécurité réalisé par le Service Général du Renseignement et de la Sécurité (SGRS). Cette procédure s'applique également aux sous-traitants. 4. La Défense applique une approche zero trust et utilise le chiffrement, la gestion des accès et la segmentation des réseaux. Toute connexion externe à des systèmes sensibles nécessite une autorisation préalable et fait l'objet d'une surveillance continue par les services internes. 5. Lorsqu'un passage vers une infrastructure cloud est envisagé, il est toujours réalisé de manière progressive et sous des conditions de sécurité strictes. Par ailleurs, la Défense investit dans des centres de données souverains pour le traitement des informations classifiées, avec un budget global d'environ 1 milliard d'euros. 6. La Belgique collabore activement avec l'OTAN et l'UE en matière de cybersécurité et de sécurisation du cloud. Au sein de l'OTAN, un contrat cloud de 800 millions d'euros est en préparation, auquel la Belgique participe via la NATO Communications and Information Agency. Elle contribue également aux initiatives européennes de cyberdéfense. 7. Les fournisseurs cloud retenus pour des projets de Défense doivent respecter des exigences strictes en matière de souveraineté des données, d'autorisation du personnel, de transparence et de conformité à la réglementation européenne. La préférence va aux centres de données sous gestion nationale ou fédérale, puis aux infrastructures locales ou européennes. 8. Aucun audit spécifique n'est prévu en lien avec la situation américaine. Cependant, tous les projets cloud font l'objet d'une analyse de risques et sont suivis par des services d'audit internes et externes. 9. La surveillance des partenaires IT externes est assurée par la Défense, avec des contrôles de sécurité appliqués également aux sous-traitants. Ces screenings sont réalisés par les services compétents et prolongés à tous les niveaux de la chaîne. 10. Pour des raisons de sécurité, la Défense ne publie pas d'informations détaillées sur ses systèmes IT opérationnels. Toutefois, elle rend compte chaque année des menaces cyber et des mesures prises via le rapport annuel du SGRS et dans le cadre des commissions parlementaires.