Selon des chiffres récents du Centre pour la Cybersécurité Belgique (CCB), moins de 47 % des entreprises belges utiliseraient l'authentification multifactorielle pour les connexions externes, malgré une forte prise de conscience des risques. 70 % des entreprises interrogées estiment être ciblées à l'avenir. Toujours selon le CCB, plus de 80 % des incidents actuels pourraient être évités grâce à une utilisation appropriée de la vérification en deux étapes (2FA) ou de l'authentification multifacteur (MFA). 1. Disposez-vous d'une évaluation statistique plus détaillée (secteurs, tailles d'entreprise, région) de l'adoption des mesures de cybersécurité élémentaires (MFA, gestion des patchs, formation, sauvegardes)? 2. Au-delà de la mise en oeuvre de NIS2 qui ne vise que certaines catégories de secteurs "à risque", envisagez-vous l'instauration d'un cadre incitatif (subventions, crédits d'impôt) pour accélérer l'usage de la MFA et d'autres mesures robustes dans les PME et entreprises belges? 3. Le gouvernement planifie-t-il de lancer des campagnes de sensibilisation ou des programmes de formation spécifiques, notamment pour les secteurs les plus vulnérables, afin d'accroître le niveau global de cybersécurité? 4. La Belgique envisage-t-elle de rendre obligatoire, dans les appels d'offres publics et pour les prestataires de services critiques, l'utilisation de la MFA ou d'autres exigences de cyberrésilience?
B053
1. La mise en oeuvre de la directive NIS2 prévoit que les entités concernées atteignent au minimum le niveau de cybersécurité de base à partir d'avril 2026. Compte tenu de ce calendrier, l'analyse de ces données n'a pas encore été completée. Les résultats provisoires d'une analyse des incidents de cybersécurité significatifs auprès des entités NIS2 font apparaître une tendance intéressante, notamment en ce qui concerne l'utilisation de l'authentification multifacteur (MFA). Comme attendu, la fréquence des fuites d'identifiants (credential leaks) demeure comparable à celle observée chez les entités non soumises à NIS2. La généralisation de la MFA, dont le taux d'adoption est passé d'environ 20 % à près de 80 % des entreprises, réduit très fortement les conséquences potentielles de ces fuites ainsi que le risque d'incidents de cybersécurité majeurs. L'analyse confirme la réponse donnée à une question similaire en janvier de cette année. Néanmoins, la différence d'implémentation de MFA entre les entités NIS2 et les entités non soumises à NIS2 commence à se démontrer. 2. Au-delà du périmètre de la directive NIS2, le Centre pour la Cybersécurité Belgique (CCB) oeuvre au renforcement de la cyberrésilience de l'ensemble de l'écosystème belge, y compris les PME, en privilégiant une approche fondée sur la sensibilisation, l'accompagnement et la mise à disposition d'outils concrets plutôt que sur des obligations réglementaires supplémentaires. Dans ce cadre, le référentiel CyberFundamentals constitue un pilier central. Il propose des mesures pragmatiques, proportionnées et accessibles, alignées sur les principaux standards internationaux, permettant aux organisations de renforcer leur cybersécurité et, à terme, de démontrer leur niveau de maturité via des évaluations de conformité réalisées par des organismes reconnus. Par ailleurs, l'initiative atwork.safeonweb.be met à disposition des entreprises des services pratiques tels que des alertes ciblées sur les menaces, des analyses de vulnérabilités (Quick Scans) et des modèles de bonnes pratiques. Ces dispositifs sont complétés par des mécanismes d'alerte proactive, comme l'Early Warning System et le projet Spear Warning, visant à informer directement les organisations exposées à des risques élevés. 3. Le CCB accorde une attention particulière aux mesures de cyberhygiène essentielles, dont la MFA, et diffuse à cet effet des lignes directrices et recommandations pratiques afin d'en faciliter l'adoption. 4. La législation NIS2 prévoit que les entités essentielles et importantes prennent les mesures nécessaires afin de garantir la cybersécurité de leur chaîne d'approvisionnement. Dans ce contexte, les cahiers des charges et appels d'offres publics constituent l'instrument privilégié pour formaliser les exigences imposées aux fournisseurs et prestataires de services. Dans le cadre d'une mise en oeuvre correcte de la loi NIS2, il est dès lors logique de s'attendre à ce que les mesures de cybersécurité pertinentes, y compris la MFA lorsque celle-ci est appropriée, soient intégrées dans les exigences des marchés publics et des contrats conclus avec les prestataires de services critiques. Par ailleurs, la mise en oeuvre de la loi NIS2 prévoit la possibilité de recourir au cadre CyberFundamentals et aux certifications associées dans la chaîne d'approvisionnement. Dès le niveau de base, ce cadre atteste notamment de l'utilisation de la MFA. Il offre ainsi aux pouvoirs adjudicateurs un outil facilitant l'exigence et la vérification du respect de mesures de cybersécurité pertinentes par leurs fournisseurs.