La directive européenne NIS2 impose aux entités publiques et parapubliques concernées un renforcement substantiel de leur niveau de cybersécurité, tant sur le plan organisationnel que sur le plan humain. Si le débat public se concentre souvent sur les mesures technologiques, de nombreuses analyses, ainsi que des cas concrets récents, démontrent que la première ligne de vulnérabilité en matière de cybersécurité reste le facteur humain, notamment face aux fraudes de type Business Email Compromise (BEC) ou arnaques au paiement, qui reposent sur la manipulation, l'absence de vérification et le manque de formation des agents. Dans ce contexte, je souhaiterais connaître l'état réel d'avancement de l'implémentation de la directive NIS2 au sein de votre administration, et plus particulièrement les mesures prises en matière de sensibilisation et de formation du personnel. Les administrations publiques sont formellement identifiées comme entités soumise aux obligations de la directive NIS2, dans la catégorie "essentielle / hautement critique". 1. Votre administration ainsi que votre cabinet sont-ils bien soumis à la directive NIS2 et repris dans la catégorie "essentiel"? 2. Dès lors, quel est le niveau actuel d'implémentation de NIS2 au sein de votre administration et de votre cabinet? Pouvez-vous préciser: - l'état d'avancement global; - les principales mesures déjà mises en oeuvre; - les actions encore en cours ou planifiées? 3. Quelles mesures spécifiques ont été prises pour réduire les risques liés au facteur humain, reconnu comme un vecteur majeur de risque cyber? Notamment en ce qui concerne: - la prévention des fraudes par e-mail; - la vérification des demandes sensibles (changements de coordonnées bancaires, paiements, accès aux données). 4. Quelles formations en matière de cybersécurité ont été dispensées au personnel au cours des trois dernières années? Pouvez-vous préciser: - la nature des formations (sensibilisation générale, formations ciblées, e-learning, formations en présentiel); - les catégories de personnel concernées (agents administratifs, fonctions RH, fonctions financières, management); - leur caractère obligatoire ou facultatif; - leur fréquence? 5. Des formations spécifiques liées aux obligations et à l'esprit de la directive NIS2 sont-elles prévues ou déjà déployées? Le cas échéant, selon quel calendrier et avec quels objectifs mesurables? 6. Comment l'administration évalue-t-elle l'efficacité de ces formations et la maturité cyber de son personnel? Des audits, tests ou exercices de simulation (phishing, fraude au paiement, etc.) sont-ils organisés? 7. Pouvez-vous indiquer comment vous entendez garantir que l'implémentation de NIS2 ne se limite pas à une conformité formelle, mais se traduise par une véritable culture de cybersécurité, intégrant pleinement la dimension humaine au sein de votre administration?
B041
1. Mon administration est bien reconnue comme "entité essentielle" au sens de la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique (loi NIS2). 2. Mon administration a choisi le cadre de référence ISO IEC 27001, l'un des deux cadres de référence reconnus par l'arrêté royal du 9 juin 2024 exécutant la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique. L'état d'avancement global est positif et fait l'objet d'un reporting régulier au sein du Comité de direction. Une taskforce ISMS ISO IEC 27001 a également été mise en place afin de réunir tous les acteurs internes concernés. L'ensemble des 93 mesures identifiées dans l'annexe A du cadre de référence ISO IEC 27001 ainsi que les dispositions spécifiques aux chapitres de cette norme et à la loi du 26 avril 2024 précitée sont soit déjà implémentées soit en cours d'implémentation. Parmi les éléments clefs, il est notamment possible d'identifier la politique de sécurité de l'information, la politique de cryptographie et chiffrement, les plans relatifs à la continuité des activités/missions critiques (Business Continuity Plan, Disaster Recovery Plan, Communication Crisis Plan, etc.). 3. Mon administration a mis en oeuvre un ensemble de mesures techniques, opérationnelles et organisationnelles pour limiter les risques liés au facteur humain. Il s'agit d'une approche qui reconnait que, bien informés, chacun des membres du personnel peut être un "maillon fort" de la cybersécurité. Pour ce faire, un plan de communication et un plan de formation visent tous deux à permettre à tous les membres du personnel d'être formés et sensibilisés régulièrement sur les bons réflexes à adopter pour participer à la cybersécurité de mon administration. Des mesures organisationnelles viennent compléter ces formations et actions de sensibilisation. P. ex. la politique "Mesures de sécurité applicables aux personnes" qui comprend notamment une vérification des antécédents et des mesures concernant l'engagement, la durée des relations contractuelles et statutaires ainsi que la gestion de la fin des relations sert de cadre clair pour tous les membres du personnel. Par ailleurs, de nombreuses techniques sont également mises en oeuvre comme la détection automatique de mouvement anormaux de données, des bannières permettant d'identifier les mails externes, des mesures de cryptographie et chiffrement, des mesures de double contrôle (quatre yeux) pour les droits privilégiés, etc. 4 et 5. Une formation obligatoire et générale appelée "Vers une vision transversale des risques" (NIS2, GDPR, sécurité au sens de la loi du 11 décembre 1998 ainsi que qualité et maitrise de l'organisation) a été fournie à l'ensemble des membres du personnel. Le plan de communication vient soutenir ces formations avec de nombreuses actions de sensibilisation tout au long de l'année en cours. De nombreuses formations obligatoires et spécifiques sont également régulièrement organisées (minimum une fois par an): - à l'attention des membres du Comité de direction: ISO IEC 27001, ISO IEC 27002, gestion des risques partage d'expérience avec d'autres entités, gestion de crise (exercice sur le ransomware, l'active directory, etc.); - à l'attention des réseaux internes (sécurité de l'information, GDPR ainsi que qualité et maitrise de l'organisation): formations sur la gestion des risques, la lecture de Risk Assessment et de Data Privacy Impact Assessment, gestion de crise (active directory, etc.); - à l'attention des membres du personnel en charge des matières "sécurité de l'information" pour les aspects techniques (Python, Altair, ISO IEC 27001, etc.). Ces formations spécifiques répondent aux besoins particuliers des publics cibles précités. 6. Chaque formation fait l'objet d'une évaluation et d'un enregistrement afin de pouvoir évaluer le taux de présence et le taux de satisfaction de chacune d'entre elles. Des tests (phishing, pentest, etc.) sont prévus régulièrement. Un audit "à blanc" a déjà eu lieu sur certains éléments en 2025, d'autres éléments seront audités à blanc en février 2026 avant de prévoir un audit interne puis un audit externe et indépendant portant sur l'ensemble des mesures prévues par mon administration. 7. En liant la gestion des risques à la réalisation du plan stratégique de mon administration. P. ex. il serait inconcevable de traiter des informations sensibles concernant les infrastructures énergétiques de notre pays sans penser à sécuriser ces informations. En intégrant dans la culture de mon administration la gestion des risques comme nécessaire à son bon fonctionnement opérationnel, les mesures de sécurité ne sont plus seulement ressenties comme des obligations mais comme des moyens de s'assurer que les missions pourront continuer à être accomplies. La sensibilisation régulière des membres du comité de direction ainsi que les plans de formations et de communication participent également à faire de la cyber-hygiène un réflexe quotidien pour tous les membres du personnel de mon administration. La loi du 26 avril 2024 précitée va dans le même sens: la sécurité de l'information n'est pas l'affaire de quelques techniciens IT mais l'affaire de tous les membres du comité de direction et de chacun des membres du personnel.