Les déclarations récentes du directeur du Centre pour la Cybersécurité Belgique (CCB) soulignent une perte de contrôle des Européens et donc des Belges, sur le stockage et la gestion de leurs données numériques. Il invoque la raison de la domination des acteurs américains dans le cloud et les infrastructures internet. Selon lui, l'objectif de stocker 100 % des données sensibles dans l'Union européenne relève de l'irréalisme, ce qui pose des questions cruciales sur la souveraineté numérique, la protection des données sensibles (administratives, militaires ou liées aux entreprises stratégiques) et les risques de fuites ou d'accès non autorisé par des tiers. Alors que la Belgique héberge des institutions européennes et des données stratégiques, il est essentiel de clarifier les mesures prises pour garantir leur sécurité, les alternatives envisagées et les éventuels incidents passés liés à des transferts non maîtrisés de données hors de l'Union européenne. 1. Partagez-vous son constat selon lequel il est impossible de stocker l'intégralité des données sensibles belges dans l'Union européenne ou sur des serveurs sécurisés sous contrôle belge ou européen? Quels sont les obstacles concrets qui empêchent la Belgique de réduire sa dépendance aux infrastructures américaines, malgré les enjeux de souveraineté et de sécurité nationale? 2. Des données sensibles belges (gouvernementales, militaires ou liées à des entreprises critiques) ont-elles récemment fait l'objet de fuites ou de transferts non autorisés vers des serveurs étrangers et, si oui, quelles en ont été les conséquences et les mesures correctives prises? Un audit des risques liés à cette dépendance a-t-il été réalisé et quelles en sont les conclusions? 3. Quelles initiatives comptez-vous mettre en oeuvre pour renforcer l'autonomie belge et européenne en matière de cloud et d'infrastructures numériques? 4. Comment comptez-vous concilier les impératifs de sécurité nationale avec les réalités techniques et économiques évoquées par le CCB, notamment en matière de résilience face aux cybermenaces ou aux pressions géopolitiques (comme le Cloud Act américain)? 5. Une stratégie nationale pour la souveraineté numérique est-elle en préparation? Quels en sont les axes prioritaires? 6. Envisagez-vous de saisir les instances européennes pour accélérer la mise en place de cadres réglementaires permettant de reprendre le contrôle sur les données stratégiques et quelles seraient vos propositions en la matière?
B044
1. L'un des défis réside dans la disponibilité de solutions alternatives appropriées, finançables et sûres. L'ensemble de la chaîne des composants matériels et logiciels est longue et il n'existe pas d'équivalent européen pour chaque composant. Il est très difficile d'utiliser exclusivement du matériel, des logiciels système, des postes de travail, des outils bureautiques et des médias sociaux provenant d'Europe. Sans parler de l'utilisation des smartphones européens permettant de lire ou d'envoyer des messages et des mails. À long terme, il serait souhaitable de disposer de fournisseurs européens compétitifs et solides. L'Europe devra bien coopérer en la matière et faire des choix afin de créer, dans des domaines stratégiques, des fournisseurs capables de rivaliser non seulement en Europe, mais aussi à l'échelle mondiale. Ces fournisseurs n'existent pas encore pour l'instant et, bien que cela constitue également un défi en matière de cybersécurité, la solution ne pourra pas venir de ce côté. À court terme, si certains aspects de la chaîne peuvent être assurés par des fournisseurs européens, ces derniers continuent souvent de fonctionner aujourd'hui à l'aide d'autres composants ou logiciels non UE. Dans d'autres pays, l'on constate qu'il est parfois proposé de passer à des solutions open source alternatives pour certains aspects, ce qui est possible pour certaines parties de la chaîne. Cependant, des tentatives similaires dans le passé ont montré que cette voie n'était pas idéale, notamment pour des raisons de sécurité, d'interopérabilité et de convivialité. En outre, le passage à l'open source ne contribue pas à la création de solutions alternatives européennes fiables et plus sûres. Le Centre pour la Cybersécurité Belgique (CCB) préconise généralement une approche fondée sur les risques et individualisée, qui vise à apporter des solutions concrètes à des problèmes concrets. Les données importantes détenues par les pouvoirs publics doivent être sécurisées à un niveau différent de celui des autres données. La souveraineté implique également de miser sur la technologie la plus sûre possible. Ainsi, de nombreuses grandes entreprises technologiques ont déjà bien avancé dans la protection contre la menace du post-quantum computing, qui pourrait contourner les systèmes de cryptage actuels d'ici quelques années. Nous devons veiller à ne pas passer à une technologie certes souveraine, mais moins sûre. 2. Le CCB reçoit régulièrement des notifications de fuites de données. On a relevé 40 notifications de ce type en 2025. La plupart concernaient des entreprises et visaient des cybercriminels, même si l'attribution reste très difficile. À la connaissance du CCB, notre pays a récemment été épargné par des fuites significatives de données des pouvoirs publics, de l'armée ou d'entreprises critiques. Le CCB assiste les victimes et effectue, si nécessaire, des inspections supplémentaires lorsqu'il s'agit d'entités soumises aux obligations de la loi NIS2. 3. Ce sujet sera abordé dans la prochaine mise à jour de la Stratégie de sécurité nationale. Différents services collaborent au sein d'un groupe de travail Sécurité économique, qui entend tracer les contours d'une stratégie pour aborder ce problème dans un cadre élargi. La Défense investit massivement dans un cloud souverain. L'année dernière, le CCB a déjà lancé une proposition au niveau européen visant à privilégier, pour tout achat susceptible d'avoir un impact sur la sécurité nationale, les solutions provenant respectivement de Belgique, de l'UE, de l'OTAN, puis d'autres pays. 4. D'une part, les fournisseurs de cloud et autres infrastructures numériques relevant de la loi NIS2 du 26 avril 2024 (loi établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique) sont tenus de prendre des mesures de sécurité. D'autres entités essentielles et importantes de notre pays (y compris les services publics) sont également soumises à cette loi et doivent donc aussi prendre des mesures pour protéger leur chaîne d'approvisionnement (numérique). Le CCB a par ailleurs élaboré, via le cadre CyberFundamentals, un scénario pratique pour aider les entités à définir des exigences claires pour leurs fournisseurs. En outre, il est nécessaire d'adapter les règles relatives aux marchés publics, dans lesquelles les entités NIS2 devraient pouvoir donner la priorité via un système en cascade aux fournisseurs nationaux ou européens d'éléments numériques et, uniquement si ceux-sont indisponibles ou ne satisfont pas aux règles, les entités NIS2 devraient se tourner vers d'autres fournisseurs de pays avec lesquels nous avons conclu un accord de sécurité (p. ex. l'OTAN), et ce n'est qu'ensuite qu'elles pourraient solliciter d'autres pays. Cela nécessite toutefois une modification préalable des règles européennes, qui est en cours (voir point 6). 5. Voir point 3. 6. La coopération européenne et l'adaptation du cadre réglementaire de l'UE sont très importantes dans ce domaine. L'UE travaille actuellement sur différentes propositions visant à résoudre le problème des fournisseurs à haut risque. Une première proposition a déjà été formulée dans la nouvelle législation relative à la cybersécurité; le 15 avril, la Commission devrait présenter un paquet sur la souveraineté technologique et, avant l'été, une révision de la directive sur les marchés publics devrait également intervenir, laquelle accordera une grande attention à la sécurité de la chaîne d'approvisionnement.