B043
La directive européenne NIS2 impose aux entités publiques et parapubliques concernées un renforcement substantiel de leur niveau de cybersécurité, tant sur le plan organisationnel que sur le plan humain. Si le débat public se concentre souvent sur les mesures technologiques, de nombreuses analyses, ainsi que des cas concrets récents, démontrent que la première ligne de vulnérabilité en matière de cybersécurité reste le facteur humain, notamment face aux fraudes de type Business Email Compromise (BEC) ou arnaques au paiement, qui reposent sur la manipulation, l'absence de vérification et le manque de formation des agents. Dans ce contexte, je souhaiterais connaître l'état réel d'avancement de l'implémentation de la directive NIS2 au sein de votre administration, et plus particulièrement les mesures prises en matière de sensibilisation et de formation du personnel. Les administrations publiques sont formellement identifiées comme entités soumise aux obligations de la directive NIS2, dans la catégorie "essentielle / hautement critique". 1. Votre administration ainsi que votre cabinet sont-ils bien soumis à la directive NIS2 et repris dans la catégorie "essentiel"? 2. Dès lors, quel est le niveau actuel d'implémentation de NIS2 au sein de votre administration et de votre cabinet? Pouvez-vous préciser: - l'état d'avancement global; - les principales mesures déjà mises en oeuvre; - les actions encore en cours ou planifiées? 3. Quelles mesures spécifiques ont été prises pour réduire les risques liés au facteur humain, reconnu comme un vecteur majeur de risque cyber? Notamment en ce qui concerne: - la prévention des fraudes par e-mail; - la vérification des demandes sensibles (changements de coordonnées bancaires, paiements, accès aux données). 4. Quelles formations en matière de cybersécurité ont été dispensées au personnel au cours des trois dernières années? Pouvez-vous préciser: - la nature des formations (sensibilisation générale, formations ciblées, e-learning, formations en présentiel); - les catégories de personnel concernées (agents administratifs, fonctions RH, fonctions financières, management); - leur caractère obligatoire ou facultatif; - leur fréquence? 5. Des formations spécifiques liées aux obligations et à l'esprit de la directive NIS2 sont-elles prévues ou déjà déployées? Le cas échéant, selon quel calendrier et avec quels objectifs mesurables? 6. Comment l'administration évalue-t-elle l'efficacité de ces formations et la maturité cyber de son personnel? Des audits, tests ou exercices de simulation (phishing, fraude au paiement, etc.) sont-ils organisés? 7. Pouvez-vous indiquer comment vous entendez garantir que l'implémentation de NIS2 ne se limite pas à une conformité formelle, mais se traduise par une véritable culture de cybersécurité, intégrant pleinement la dimension humaine au sein de votre administration?
B051
SPF Sécurité Sociale (SPF SS) 1. Oui, le SPF SS est bien soumis à la directive NIS et repris dans la catégorie "essentiel". 2. État d'avancement global Le SPF SS a une équipe NIS2 menée par EPMO et des comités de pilotage sont organisés. Le SPF a atteint le score 1.81 au niveau essentiel du framework CyFun 2023. Principales mesures déjà mises en oeuvre et actions encore en cours ou planifiées La stratégie d'implémentation de NIS2 consiste à identifier de grands domaines puis documenter à travers une politique comment ce domaine doit être traité au sein du SPF SS. Une fois cette politique validée, le SPF SS identifie les gaps entre cette politique et les pratiques et rédige les procédures nécessaires à l'implémentation des exigences définis dans la politique. Enfin, le SPF SS implémente ce qui est nécessaire pour répondre pleinement à cette politique. Le SPF SS suit également les cahiers des charges SECaaS2 et IAP+ afin d'améliorer la sécurité présente dans leurs systèmes. 3. Afin de réduire les risques liés au facteur humain, la formation des nouveaux entrants a été améliorée et apporte plus d'attention à cette problématique. Également, des tests de phishing sont réalisées plusieurs fois dans l'année vers l'ensemble des collaborateurs du SPF SS. 4. Au cours des trois dernières années, des formations ont été dispensées à tous les nouveaux entrants. Des sessions lunch learn ont été organisés avec une participation volontaire. Des tests de phishing ont été réalisés et des explications ont ensuite été publiés pendant plusieurs semaines sur notre intranet. Le comité de direction a été sensibilisé aux risques cybersécurité par une intervention du SPF Stratégie et Appui (BOSA). 5. Sensibilisation Cybersécurité L'objectif est qu'avant fin 2026, les collaborateurs de l'ensemble du SPF SS bénéficie d'une séance de sensibilisation. En plus de cela, le SPF SS prévoit d'organiser mieux l'information liée à la cybersécurité, sur l'intranet. Ceci permettrait aux collaborateurs de la retrouver plus facilement et nous permettrait de publier plus régulièrement. Autres sujets La rédaction de processus lui permettra de changer certaines façons de travailler en intégrant plus l'idée de sécurité dans les différentes tâches des équipes. Chaque procédure et processus validé entrainera une session d'information permettant à l'équipe de comprendre les changements décrits et l'importance de ces changements. 6. L'efficacité est difficilement mesurable, le SPF SS constate une augmentation de personnes qui créent un ticket pour informer qu'ils ont reçu un email de phishing. La sensibilisation du CD peut être mesuré par les investissements dans le domaine de sécurité: - recrutement d'une équipe de sécurité (3.5 FE); - mise en place d'un programme NIS2 avec une CdP dédiée; - budgets pour des projets avec un impact sur la sécurité: création d'une CMDB, réseau Campus, migration vers Gcloud DC, Airgapped Backup, consultants, etc. 7. Au sein du SPF SS, l'implémentation de NIS2 est conçue comme un exercice continu et non ponctuel. Ceci permettra de changer progressivement les habitudes et d'améliorer les tâches au fil du temps. Un de leurs objectifs est de traduire le politique en objectifs clairs, compréhensibles et applicables par les métiers. Ces objectifs seront alors publiés et accessibles à tous les collaborateurs. Ainsi, la cybersécurité pourra être intégré dans les processus métiers et non resté un sujet exclusivement technique. Une des valeurs de l'équipe cybersécurité du SPF SS est de rester proche du métier et de travailler en collaboration avec eux. Les séances de sensibilisation expliquées précédemment permettent aussi de développer des réflexes de sécurité et une compréhension partagée des enjeux, plutôt qu'une simple connaissance théorique des règles. La mise en oeuvre de l'ensemble de ces mesures, tout en continuant à répondre aux besoins du métier, exigent des ressources budgétaires et des efforts constants de la part du personnel. Compte tenu des économies demandées, nous ne pouvons pas garantir une amélioration optimale pour les années à venir. Nous nous efforçons tout de même à ne pas simplement surveiller l'augmentation de nos scores, mais à comprendre nos réelles vulnérabilités et à y pallier. SPF Santé Publique (SPF SPSCAE) 1. Le SPF SPSCAE est, en tant qu'organisation, soumis à la directive NIS 2 au niveau "Essential" et est également enregistré comme tel auprès du Centre pour la Cybersecurité Belgique (CCB). Le soutien du cabinet Affaires sociales et Santé publique est assuré via le SPF Sécurité sociale. 2. En janvier 2025, l'auto évaluation du SPF SPSCAE par rapport au niveau "Basic" a été établie à 1,71, ce qui a ensuite été confirmé par le Service fédéral d'Audit interne. En 2025, des progrès significatifs ont été réalisés en matière de documentation et de mise en oeuvre d'un Information Security Management System (ISMS). Un nouveau système de gestion des utilisateurs et des accès a également été introduit pour l'accès à nos applications, avec une attention particulière portée à l'authentification multifacteur (MFA). Depuis la mi 2025, l'accès au VPN n'est également possible qu'au moyen de la MFA. Le processus d'onboarding et d'offboarding des utilisateurs a été développé et mis en oeuvre de manière plus professionnelle en collaboration avec le service du personnel et les services ICT. En 2025, le SPF SPSCAE a implémenté, au niveau de Microsoft et des outils bureautiques des utilisateurs finaux, le bundle de sécurité afin d'optimiser la protection des clients et leur utilisation. Depuis janvier 2026, notre SPF dispose de licences E5 pour l'ensemble des utilisateurs finaux. En décembre 2025, le SPF SPSCAE s'est inscrit au contrat Secaas 2 afin de pouvoir utiliser l'offre complète. La mise en oeuvre des composants essentiels, dont le Security Operations Center (SOC) et le Security Information and Events Management (SIEM), est encore prévue dans le cadre de ce contrat. Pour mener ces trajectoires à bien, le SPF SPSCAE a désigné un chef de projet temporaire. 3. Concernant la fraude par e mail, le SPF SPSCAE utilise depuis longtemps la Mailrelay via Smals. Cela permet de bloquer efficacement un grand nombre de courriels indésirables ou malveillants. Ce niveau de protection sera encore renforcé grâce à l'implémentation de Secaas 2. Les informations financières et de paiement du SPF SPSCAE sont accessibles via SAP, fourni par le SPF BOSA. L'accès à ces données nécessite une connexion au réseau du SPF SPSCAE, ainsi que les autorisations et les identifiants nécessaires. Les demandes d'accès aux données sensibles ou autres données du SPF SPSCAE sont traitées conformément aux procédures établies, impliquant le Data Protection Officer (DPO) et/ou un médecin inspecteur. La communication de ces données s'effectue, selon les besoins spécifiques, après anonymisation ou pseudonymisation, et toujours via des plateformes sécurisées. 4. Au cours des trois dernières années, le SPF SPSCAE a utilisé une plateforme de sensibilisation et de formation en cybersécurité (Metacompliance). Tous les utilisateurs finaux sont ciblés par des campagnes génériques. Ils visionnent plusieurs vidéos, après quoi leurs connaissances sont évaluées au moyen de questions thématiques. La participation ainsi que les scores obtenus sont accessibles tant à l'utilisateur qu'à son supérieur hiérarchique. La participation à ces courtes formations, organisées semestriellement, est obligatoire et fait partie des objectifs de chaque collaborateur dans Crescendo. Les nouveaux collaborateurs suivent, dans le cadre de leur onboarding, un module spécifique sur la cybersécurité et la sécurité de l'information, dispensé par le DPO. 5. Il n'existe actuellement aucune formation spécifique relative à NIS 2. Toutefois, le thème "NIS 2" est systématiquement intégré dans nos campagnes de sensibilisation et dans notre communication interne via l'intranet. En outre, les mises en oeuvre, telles que FISP 2.0, sont réalisées en référence au cadre général de NIS 2. Nous collaborons également avec le SPF BOSA pour pouvoir bénéficier, à l'avenir, de formations spécifiques. 6. Le SPF SPSCAE évalue le niveau actuel de sensibilisation des utilisateurs finaux comme moyen, en tenant compte tant du niveau de formation que de la fonction des collaborateurs. Des campagnes internes de phishing sont régulièrement réalisées via la plateforme Metacompliance afin d'évaluer si le changement de comportement souhaité est atteint. Les utilisateurs qui cliquent malgré tout sur des liens suspects et tentent de communiquer leurs données doivent obligatoirement suivre une formation ciblée. Par ailleurs, le SPF SPSCAE fait chaque année appel à l'offre du CCB pour des tests de pénétration sur les infrastructures et les applications. Les observations identifiées et les recommandations sont mises en oeuvre dans les délais et de manière rigoureuse. En 2024, le FIA a lancé un audit en matière de cybersécurité, dont le rapport final a été remis en janvier 2026. 7. Au sein de notre SPF, la cybersécurité est intégrée dans la culture de travail grâce à des modules de formation réguliers, dont la participation et la compréhension sont évaluées. Lors du développement des applications, nous appliquons le principe du security by design. De plus, nous effectuons régulièrement des tests de pénétration et des campagnes de phishing afin de garantir une attention continue à la cybersécurité.