La directive européenne NIS2 impose aux entités publiques et parapubliques concernées un renforcement substantiel de leur niveau de cybersécurité, tant sur le plan organisationnel que sur le plan humain. Si le débat public se concentre souvent sur les mesures technologiques, de nombreuses analyses, ainsi que des cas concrets récents, démontrent que la première ligne de vulnérabilité en matière de cybersécurité reste le facteur humain, notamment face aux fraudes de type Business Email Compromise (BEC) ou arnaques au paiement, qui reposent sur la manipulation, l'absence de vérification et le manque de formation des agents. Dans ce contexte, je souhaiterais connaître l'état réel d'avancement de l'implémentation de la directive NIS2 au sein de votre administration, et plus particulièrement les mesures prises en matière de sensibilisation et de formation du personnel. Les administrations publiques sont formellement identifiées comme entités soumise aux obligations de la directive NIS2, dans la catégorie "essentielle / hautement critique". 1. Votre administration ainsi que votre cabinet sont-ils bien soumis à la directive NIS2 et repris dans la catégorie "essentiel"? 2. Dès lors, quel est le niveau actuel d'implémentation de NIS2 au sein de votre administration et de votre cabinet? Pouvez-vous préciser: - l'état d'avancement global; - les principales mesures déjà mises en oeuvre; - les actions encore en cours ou planifiées? 3. Quelles mesures spécifiques ont été prises pour réduire les risques liés au facteur humain, reconnu comme un vecteur majeur de risque cyber? Notamment en ce qui concerne: - la prévention des fraudes par e-mail; - la vérification des demandes sensibles (changements de coordonnées bancaires, paiements, accès aux données). 4. Quelles formations en matière de cybersécurité ont été dispensées au personnel au cours des trois dernières années? Pouvez-vous préciser: - la nature des formations (sensibilisation générale, formations ciblées, e-learning, formations en présentiel); - les catégories de personnel concernées (agents administratifs, fonctions RH, fonctions financières, management); - leur caractère obligatoire ou facultatif; - leur fréquence? 5. Des formations spécifiques liées aux obligations et à l'esprit de la directive NIS2 sont-elles prévues ou déjà déployées? Le cas échéant, selon quel calendrier et avec quels objectifs mesurables? 6. Comment l'administration évalue-t-elle l'efficacité de ces formations et la maturité cyber de son personnel? Des audits, tests ou exercices de simulation (phishing, fraude au paiement, etc.) sont-ils organisés? 7. Pouvez-vous indiquer comment vous entendez garantir que l'implémentation de NIS2 ne se limite pas à une conformité formelle, mais se traduise par une véritable culture de cybersécurité, intégrant pleinement la dimension humaine au sein de votre administration?
B043
1. La cellule stratégique, le SPF Justice, à l'exception de l'information de l'ordre judiciaire, sont soumis aux obligations de la directive NIS2. Le SPF Justice est officiellement enregistré en tant qu'entité essentielle. 2. Le SPF Justice a déjà déployé d'importants efforts par le passé et adhère depuis plusieurs années déjà au contrat SECaaS I (Security as a Service). Le successeur de ce contrat, le SECaaS II, est un ensemble de 75 services dont l'objectif est de renforcer davantage la sécurité globale. Ces 75 services sont regroupés en cinq blocs principaux, à savoir les services de périphérie, les services de connexion, les services internes, les cyberservices et les services cloud. Le SPF Justice a souscrit à SECaaS II et la migration de SECaaS I vers SECaaS II est en cours. Le passage à ce contrat en 2026 va sensiblement renforcer encore la sécurité. Outre le contrat SECaaS, le SPF Justice a développé de nombreuses activités visant à accroître la sécurité, notamment les tests d'intrusion, l'analyse des vulnérabilités, les mises à jour continues, etc. 3. Le SPF Justice organise chaque année des campagnes sur le hameçonnage et dispose d'un système de vérification de tous les e-mails afin de s'assurer qu'ils ne contiennent pas de logiciels malveillants ou de virus. Avec le déploiement de SECaaS II, des formations supplémentaires seront disponibles afin d'améliorer la communication et la conscientisation générale des utilisateurs. En ce qui concerne le contrôle des numéros de compte bancaire, le SPF Justice exerce un contrôle manuel supplémentaire pour la modification des numéros de compte. Sans le mandat d'un administrateur, un numéro de compte ne peut être modifié dans le système de paiement SAP. 4. Pour les nouveaux collaborateurs, le pack de bienvenue comprend une formation en ligne obligatoire (en collaboration avec le SPF Stratégie et Appui, BOSA). Cette formation porte sur divers sujets tels que la détection de logiciels malveillants, de virus et de logiciels espions, l'utilisation de logiciels antivirus, l'utilisation de mots de passe forts, la prévention du vol d'identité, le signalement de l'hameçonnage, les dangers des réseaux sans fil non sécurisés, etc. Cette formation est également utilisée dans les campagnes sur l'hameçonnage pour les personnes qui ont introduit- des données. Pour l'instant, cette formation n'est pas obligatoire pour tous. Avec le passage à SECaaS II en 2026, une plateforme complète sera disponible et pourra être utilisée pour diversifier davantage les formations. Les services ICT s'appuient sur des collaborateurs locaux (Local Power Users, LPU) qui reçoivent, par l'intermédiaire de l'Institut de formation judiciaire, des formations spécifiques en matière d'ICT qui incluent la sécurité. La réglementation NIS2 y est également mentionnée. Les LPU peuvent obtenir davantage de droits à condition de suivre des formations obligatoires qui incluent la sécurité. Pour les dirigeants, plusieurs actions ont déjà été entreprises sous la forme de communications et de sessions spécifiques dans le cadre de Let's Connect pour dirigeants. L'attention est attirée à cette occasion sur la réglementation NIS2, la possibilité de l'inclure dans des objectifs et la formation disponible au SPF BOSA. 5. Dans le cadre des discussions sur les différentes politiques et documents à approuver, les références nécessaires à la directive NIS2 sont faites, en ce compris la mise en correspondance avec le CyberFundamentals Framework du Centre pour la Cybersécurité Belgique (CCB). Dans ce cadre, une sensibilisation permanente à la réglementation NIS2 est assurée. Dans les formations et les communications (voir réponses au point 4 de la question), il est également fait référence à la nouvelle législation. Après le passage à SECAAS II, une plateforme sera disponible avec différentes formations qui pourront être utilisés dans le futur et sur lesquelles le SPF Justice misera pour accroître la sensibilisation générale à la sécurité. 6. Ces dernières années, le SPF Justice a organisé plusieurs tests d'hameçonnage. Lorsque des personnes introduisent des données sensibles lors ce test d' hameçonnage, elles sont redirigées vers une formation. Si elles ne suivent pas la formation, elles reçoivent encore deux rappels. Des communications spécifiques, par ex. dans le cadre du mois de la cybersécurité, sont diffusées au personnel au moyen d'un mailing général. Au cours des deux dernières années, il a été fortement investi dans les tests d'intrusion des applications. Les nouvelles applications accessibles au public sont systématiquement soumises à un test d'intrusion avant d'être mises en production. 7. Dans le cadre de NIS2, un processus de gouvernance est en cours d'élaboration et porte sur différents aspects, à savoir: la politique principale approuvée par le comité de direction (en cours d'élaboration), l'élaboration d'un cadre documentaire comprenant des politiques, des procédures, des lignes directrices, des normes et des directives, la création d'un service Security Operations principalement axé sur la sécurité, la désignation d'un CISO, la mise en oeuvre de SECaaS II, etc. Toutes ces activités confèrent une attention et une orientation plus permanentes à la sécurité et contribuent à un renforcement général de la prise de conscience que la sécurité fait partie intégrante du travail quotidien.