B043
La directive européenne NIS2 impose aux entités publiques et parapubliques concernées un renforcement substantiel de leur niveau de cybersécurité, tant sur le plan organisationnel que sur le plan humain. Si le débat public se concentre souvent sur les mesures technologiques, de nombreuses analyses, ainsi que des cas concrets récents, démontrent que la première ligne de vulnérabilité en matière de cybersécurité reste le facteur humain, notamment face aux fraudes de type Business Email Compromise (BEC) ou arnaques au paiement, qui reposent sur la manipulation, l'absence de vérification et le manque de formation des agents. Dans ce contexte, je souhaiterais connaître l'état réel d'avancement de l'implémentation de la directive NIS2 au sein de votre administration, et plus particulièrement les mesures prises en matière de sensibilisation et de formation du personnel. Les administrations publiques sont formellement identifiées comme entités soumise aux obligations de la directive NIS2, dans la catégorie "essentielle / hautement critique". 1. Votre administration ainsi que votre cabinet sont-ils bien soumis à la directive NIS2 et repris dans la catégorie "essentiel"? 2. Dès lors, quel est le niveau actuel d'implémentation de NIS2 au sein de votre administration et de votre cabinet? Pouvez-vous préciser: - l'état d'avancement global; - les principales mesures déjà mises en oeuvre; - les actions encore en cours ou planifiées? 3. Quelles mesures spécifiques ont été prises pour réduire les risques liés au facteur humain, reconnu comme un vecteur majeur de risque cyber? Notamment en ce qui concerne: - la prévention des fraudes par e-mail; - la vérification des demandes sensibles (changements de coordonnées bancaires, paiements, accès aux données). 4. Quelles formations en matière de cybersécurité ont été dispensées au personnel au cours des trois dernières années? Pouvez-vous préciser: - la nature des formations (sensibilisation générale, formations ciblées, e-learning, formations en présentiel); - les catégories de personnel concernées (agents administratifs, fonctions RH, fonctions financières, management); - leur caractère obligatoire ou facultatif; - leur fréquence? 5. Des formations spécifiques liées aux obligations et à l'esprit de la directive NIS2 sont-elles prévues ou déjà déployées? Le cas échéant, selon quel calendrier et avec quels objectifs mesurables? 6. Comment l'administration évalue-t-elle l'efficacité de ces formations et la maturité cyber de son personnel? Des audits, tests ou exercices de simulation (phishing, fraude au paiement, etc.) sont-ils organisés? 7. Pouvez-vous indiquer comment vous entendez garantir que l'implémentation de NIS2 ne se limite pas à une conformité formelle, mais se traduise par une véritable culture de cybersécurité, intégrant pleinement la dimension humaine au sein de votre administration?
B047
La directive NIS2 s'applique bien à mon administration, à ma Cellule stratégique ainsi qu'aux institutions relevant de mes compétences. Elles sont reconnues comme entités essentielles, au sens de la loi du 26 avril 2024. Lors de l'élaboration du budget initial 2026, j'ai veillé à soutenir concrètement cette mise en conformité en demandant et en obtenant des crédits structurels pour mes départements, à savoir 2,2 millions d'euros pour l'Institut national d'assurances sociales pour travailleurs indépendants (INASTI) et 1,5 million d'euros pour le SPF Économie. S'agissant de l'INASTI, l'implémentation de NIS2 est en cours et structurée. L'institution est en bonne voie pour atteindre le niveau de maturité CyFun BASIC d'ici la fin avril, et poursuit la mise en oeuvre des actions nécessaires pour atteindre le niveau requis ultérieur, notamment en matière de gouvernance, de gestion des risques et de formalisation des processus internes. De nombreuses mesures techniques et organisationnelles sont déjà déployées, notamment en matière de sécurité des postes de travail et des serveurs, de protection de la messagerie, de gestion des accès, de journalisation et de surveillance, ainsi que d'authentification multifacteur obligatoire pour l'ensemble des utilisateurs. Plusieurs initiatives complémentaires sont en cours, telles que le renforcement de l'authentification résistante au phishing, la mise en place d'un monitoring de sécurité 24/7, la révision des politiques internes et la collaboration avec d'autres institutions fédérales en matière de cybersécurité et de conformité NIS2. S'agissant du SPF Économie, mon administration a choisi le cadre de référence ISO/IEC 27001, reconnu par l'arrêté royal du 9 juin 2024. L'état d'avancement est positif et fait l'objet d'un suivi régulier au sein du Comité de direction, avec une task force dédiée. Les mesures prévues par ce cadre sont soit déjà implémentées, soit en cours d'implémentation, notamment en matière de politique de sécurité de l'information, de continuité des activités et de gestion de crise. Tant à l'INASTI qu'au SPF Économie, des mesures spécifiques sont mises en oeuvre pour limiter les risques liés au facteur humain, coeur de la directive NIS2. Celles-ci incluent: - des formations obligatoires et récurrentes pour l'ensemble du personnel, complétées par des actions de sensibilisation tout au long de l'année; - des formations ciblées pour le management et les fonctions sensibles, ainsi que des sessions spécifiques liées à NIS2 pour les organes de direction; - des simulations régulières de phishing et des actions correctrices pour les collaborateurs concernés; - des procédures strictes pour les paiements et la modification de données sensibles, reposant sur la séparation des rôles, le double contrôle, la traçabilité et la vérification par des canaux formalisés. L'efficacité de ces actions est évaluée au moyen de tests réguliers, de simulations et d'audits internes et externes planifiés, permettant de mesurer le niveau de maturité et d'ajuster les dispositifs si nécessaire. Enfin, l'implémentation de NIS2 s'inscrit dans une démarche visant à ancrer durablement la gestion des risques et la cybersécurité dans le fonctionnement quotidien des administrations concernées, en lien avec leurs missions et leurs objectifs stratégiques. La cybersécurité est aujourd'hui une condition indispensable à la continuité et à la crédibilité de l'action publique. C'est pourquoi je veille personnellement à ce que la mise en oeuvre de la directive NIS2 au sein de mon administration et des institutions concernées soit suivie avec rigueur, dans le respect du cadre légal et avec une attention constante portée au facteur humain.