B043
La directive européenne NIS2 impose aux entités publiques et parapubliques concernées un renforcement substantiel de leur niveau de cybersécurité, tant sur le plan organisationnel que sur le plan humain. Si le débat public se concentre souvent sur les mesures technologiques, de nombreuses analyses, ainsi que des cas concrets récents, démontrent que la première ligne de vulnérabilité en matière de cybersécurité reste le facteur humain, notamment face aux fraudes de type Business Email Compromise (BEC) ou arnaques au paiement, qui reposent sur la manipulation, l'absence de vérification et le manque de formation des agents. Dans ce contexte, je souhaiterais connaître l'état réel d'avancement de l'implémentation de la directive NIS2 au sein de votre administration, et plus particulièrement les mesures prises en matière de sensibilisation et de formation du personnel. Les administrations publiques sont formellement identifiées comme entités soumise aux obligations de la directive NIS2, dans la catégorie "essentielle / hautement critique". 1. Votre administration ainsi que votre cabinet sont-ils bien soumis à la directive NIS2 et repris dans la catégorie "essentiel"? 2. Dès lors, quel est le niveau actuel d'implémentation de NIS2 au sein de votre administration et de votre cabinet? Pouvez-vous préciser: - l'état d'avancement global; - les principales mesures déjà mises en oeuvre; - les actions encore en cours ou planifiées? 3. Quelles mesures spécifiques ont été prises pour réduire les risques liés au facteur humain, reconnu comme un vecteur majeur de risque cyber? Notamment en ce qui concerne: - la prévention des fraudes par e-mail; - la vérification des demandes sensibles (changements de coordonnées bancaires, paiements, accès aux données). 4. Quelles formations en matière de cybersécurité ont été dispensées au personnel au cours des trois dernières années? Pouvez-vous préciser: - la nature des formations (sensibilisation générale, formations ciblées, e-learning, formations en présentiel); - les catégories de personnel concernées (agents administratifs, fonctions RH, fonctions financières, management); - leur caractère obligatoire ou facultatif; - leur fréquence? 5. Des formations spécifiques liées aux obligations et à l'esprit de la directive NIS2 sont-elles prévues ou déjà déployées? Le cas échéant, selon quel calendrier et avec quels objectifs mesurables? 6. Comment l'administration évalue-t-elle l'efficacité de ces formations et la maturité cyber de son personnel? Des audits, tests ou exercices de simulation (phishing, fraude au paiement, etc.) sont-ils organisés? 7. Pouvez-vous indiquer comment vous entendez garantir que l'implémentation de NIS2 ne se limite pas à une conformité formelle, mais se traduise par une véritable culture de cybersécurité, intégrant pleinement la dimension humaine au sein de votre administration?
B050
1. La législation NIS2 prévoit une exception pour la Défense, qui n'est donc pas soumise à cette législation. 2. Il n'existe pas de tableau comparatif détaillé entre les directives du ministère de la Défense et la directive NIS2. Le ministère de la Défense travaille sur la base des directives de l'OTAN, qui sont déjà formulées de manière stricte. Une comparaison générale montre toutefois que, tant en matière d'exigences techniques, d'audit et de contrôle que de gestion des données à caractère personnel, le niveau de maturité est comparable à celui exigé par la directive NIS2. 3. La Cyber Force organise des séances d'information afin de sensibiliser le personnel. Chaque détachement qui part en opération reçoit un briefing de sensibilisation à la cybersécurité qui aborde en détail les risques. 4 et 5. Les sessions d'information mentionnées dans le point 3 sont organisées de manière structurelle, mais sont répétées de manière ad hoc lorsque cela s'avère nécessaire dans le cadre d'opérations militaires. Ces sessions sont obligatoires pour tout militaire partant en opération. En outre, chaque unité peut sensibiliser son propre personnel par l'intermédiaire de l'officier de sécurité. 6. Le ministère de la Défense a déjà organisé par le passé des campagnes de phishing dans le but de sensibiliser davantage le personnel et d'évaluer l'efficacité des campagnes de sensibilisation. La réalisation d'audits et de contrôles est une activité permanente qui implique la visite et l'évaluation régulières d'unités et de détachements à l'étranger. En fonction des résultats obtenus, les campagnes, formations et entraînements pertinents sont optimisés. 7. La Défense est consciente que le facteur humain ne doit pas être sous-estimé. C'est pourquoi elle mise en permanence sur la sensibilisation, les directives, le contrôle et les audits.