Les cyberattaques visant les administrations publiques locales se multiplient en Belgique. Ces incidents entraînent des paralysies prolongées des systèmes informatiques, des vols de données parfois sensibles et des perturbations majeures dans la délivrance de services aux citoyens. La commune d'Anderlues en a récemment fait l'expérience: frappée début avril 2026 par une attaque ayant causé un vol de données et une indisponibilité complète de son système informatique, elle n'a pu envisager une relance progressive qu'après l'intervention de la police fédérale et du Centre pour la Cybersécurité Belgique (CCB), pour un retour à la normale estimé à plus de trois semaines après les faits. Ce type d'incident illustre une vulnérabilité structurelle des administrations communales, dont les ressources humaines et budgétaires en matière de sécurité informatique sont souvent très limitées. Si le CCB intervient en aval pour permettre la relance des systèmes, la question de la préparation en amont reste entière: politiques de sauvegarde, plans de continuité, niveaux de protection des infrastructures critiques et formation du personnel administratif constituent autant de maillons susceptibles d'être renforcés avant qu'une attaque ne survienne. Dans un contexte où les attaques par ransomware et les exfiltrations de données se professionnalisent, il paraît indispensable de disposer d'un cadre fédéral de résilience numérique applicable aux administrations locales, qui ne peuvent pas toutes se doter individuellement des moyens nécessaires à une protection adéquate. 1. a) Combien d'administrations communales belges ont déclaré une cyberattaque au CCB depuis 2023? b) Ces incidents ont-ils donné lieu à une analyse systématique des vulnérabilités communes exploitées, et les conclusions en ont-elles été partagées avec l'ensemble des communes à titre préventif? 2. a) Existe-t-il un protocole fédéral de résilience imposant aux administrations locales des obligations minimales en matière de sauvegarde des données, notamment des sauvegardes déconnectées du réseau principal, et de plans de continuité opérationnelle en cas d'attaque? b) Dans la négative, le gouvernement envisage-t-il d'établir un tel cadre contraignant ou incitatif, éventuellement en coordination avec les régions qui exercent la tutelle sur les communes? 3. a) Le CCB propose-t-il aux administrations locales un accompagnement proactif, audits de sécurité, outils standardisés de protection ou formations du personnel, et si oui, selon quelles modalités d'accès et quel niveau de financement fédéral? b) Les communes de petite taille disposent-elles d'un accès équivalent à ces ressources?
B054
1. a) Depuis l'entrée en vigueur du cadre NIS2 en octobre 2024, le Centre pour la Cybersécurité de Belgique (CCB) a reçu 31 notifications d'incidents provenant de pouvoirs locaux (dont les administrations communales), réparties comme suit: 1 en 2024, 17 en 2025 et 13 en 2026. Parmi ces incidents, 35 % ont été classés comme mineurs, 42 % comme modérés et 23 % comme significatifs. Le type d'incident le plus fréquemment signalé est la compromission de comptes (account compromise), qui représente 39 % de ces notifications. Il convient de noter que la catégorie "pouvoirs locaux" ne se limite pas seulement aux communes et villes. Avant l'entrée en vigueur du cadre NIS2, le CCB n'enregistrait pas encore les notifications d'incidents reçues en fonction du secteur. b) Les incidents signalés font l'objet d'analyses par le CCB. Les enseignements tirés de ces analyses sont diffusés, lorsque cela est pertinent, via le système d'Early Warning System (EWS). Ce système permet de transmettre rapidement aux organisations concernées des alertes, recommandations, informations sur les menaces et indicateurs de compromission (IOC). Le CCB partage également des avertissements ciblés avec les organisations susceptibles d'être visées par des acteurs malveillants et leur propose un accompagnement afin de prévenir ou de limiter les impacts d'éventuelles attaques. Au regard des incidents rapportés, la compromission de comptes étant le type d'incident le plus fréquent, les recommandations portent notamment sur les mesures permettant de renforcer la protection des comptes utilisateurs (authentification multifacteur, gestion sécurisée des accès, sensibilisation au phishing, etc.). 2. La directive NIS2, transposée en Belgique par la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique (la loi NIS2) est en principe applicable aux organisations qui fournissent un service visé dans les annexes I ou II de la loi, et qui dépassent les seuils de taille d'une entreprise moyenne. Les administrations communales et autres autorités publiques locales, en tant qu'autorités publiques locales, ne rentrent par défaut pas dans le champ d'application de cette loi. Elles relèvent toutefois de la loi NIS2 lorsqu'elles fournissent des services autres que ceux d'une autorité publique locale, tels que notamment la distribution d'eau potable, la production d'électricité ou la gestion de maisons de repos. L'applicabilité de la directive NIS2 au niveau communal dépend donc des services concrets fournis par chaque entité. Par ailleurs, les autorités publiques locales peuvent être explicitement identifiées comme entités essentielles ou importantes dans le cadre de la loi NIS2, de par la criticité des services qu'elles fournissent. Les administrations communales qui rentrent dans le champ d'application la loi NIS2 sont, dû à leur taille ou à leur identification, qualifiées en tant qu'entités essentielles ou importantes. Les entités essentielles disposaient d'un délai (expirant le 18 avril 2026) endéans lequel elles étaient obligées d'implémenter les mesures minimales de gestion de risques en matière de cybersécurité visées par la loi NIS2. Ces mesures sont inclues dans les CyberFundamentals. Ces administrations sont ainsi obligées d'obtenir une vérification de leur niveau par un organisme d'évaluation de la conformité accrédité par BELAC et agréé par le CCB. Les administrations communales qualifiées d'entités importantes ne sont, quant à elles, pas soumises à un délai spécifique. Néanmoins, elles doivent également mettre en place les mesures de cybersécurité appropriées, en fonction de leur propre analyse de risque, dans un délai raisonnable. En cas d'incident, le service d'inspection du CCB pourrait se prononcer sur des éventuels manquements dans l'implémentation de ces mesures. Les mesures minimales de gestion des risques en matière de cybersécurité portent notamment sur la continuité des activités, p. ex. la gestion des sauvegardes et la reprise des activités, et la gestion des crises. Elles sont détaillées dans le CyFun Framework. À côté des délais de conformité légaux, les régions peuvent également pousser les administrations communales à atteindre un certain niveau de maturité. Dans ce sens, le gouvernement flamand a décidé que toutes les administrations locales devront atteindre le niveau CyFun Basic au plus tard en 2030. 3. Le CCB offre une large gamme de services visant à renforcer la cyber-résilience nationale, et entre autres la résilience des administrations locales et des citoyens belges, à travers l'approche de l'Active Cyber Protection (ACP). Les mesures dans le cadre de l'ACP ne sont pas de type one size fits all, mais sont adaptées au niveau de menace, au type d'organisation et au profil de risque, avec une attention particulière portée aux secteurs critiques et essentiels. Safeonweb@Work est une initiative du CCB visant à renforcer la cyber-résilience des organisations, des entreprises et des services publics belges en leur fournissant divers services, conseils, recommandations et outils leur permettant d'identifier et d'atténuer les vulnérabilités de leurs systèmes, ainsi que d'être alertés des cybermenaces. Dans le cadre de cette initiative, le CCB a développé le référentiel CyberFundamentals qui permet aux entités d'évaluer leur maturité actuelle en matière de cybersécurité (niveaux Small, Basic, Important et Essential) et d'identifier des trajectoires d'amélioration adaptées à leurs besoins et à leurs ressources. Ce cadre propose des mesures pragmatiques, proportionnées et accessibles, alignées sur les principaux standards internationaux, permettant aux organisations de renforcer leur cybersécurité et, à terme, de démontrer leur niveau de maturité via des évaluations de conformité réalisées par des organismes reconnus. CyFun est accessible publiquement et gratuitement, conçu pour être simple d'utilisation et applicable à des organisations de tailles et de capacités variées, afin de garantir un accès équivalent aux outils de base de cybersécurité. Le CCB a également développé le système d'alerte précoce (EWS). Ce système fournit aux organisations appartenant à des secteurs spécifiques des alertes rapides et ciblées concernant les vulnérabilités et les menaces. L'EWS est accessible aux organismes d'intérêt vital, ce qui comprend notamment les entités essentielles de la loi NIS2. Plusieurs services sont proposés dans le cadre de l'EWS, notamment: la sensibilisation des organisations au paysage des menaces, la diffusion d'alertes, de conseils et d'informations, ainsi que le partage d'Indicators of Compromise (IOC), c'est-à-dire des preuves qu'un réseau ou un système a été compromis. Ainsi, au cours des dernières semaines, le CCB a contacté les organisations figurant sur les listes de cibles d'acteurs criminels connus et qui étaient, par conséquent, des victimes potentielles. À chacune de ces prises de contact, le CCB a envoyé des avertissements aux organisations concernées et proposé son assistance afin de contrer ces attaques. Dans le cadre du projet Spear Warning, le CCB tient une liste des systèmes critiques vulnérables en Belgique présentant le risque d'exploitation le plus élevé. Le CCB recherche ensuite de manière proactive les propriétaires de ces systèmes vulnérables et leur adresse des avertissements ciblés accompagnés de recommandations adaptées. Grâce à des processus automatisés, des ajustements rapides et directs peuvent être mis en oeuvre, réduisant ainsi la surface d'attaque des organisations. Les organisations qui s'enregistrent sur la plateforme Safeonweb@Work peuvent également bénéficier des services Cyber Threat Alerts, Quick Scan Report et des policy templates. Les Cyber Threat Alerts aident les organisations à détecter et à limiter les cybermenaces potentielles sur leurs réseaux en les informant des vulnérabilités et des infections. Le service Quick Scan Report permet à une organisation de recevoir un rapport offrant une vue d'ensemble des faiblesses de sécurité et des possibilités d'amélioration de ses actifs numériques. Safeonweb@Work met également à disposition une bibliothèque de documents de référence en matière de cybersécurité. Ces documents sont des modèles de politiques, d'instructions, d'inventaires, de listes, etc., conformes au niveau d'assurance Basic du CyberFundamentals Framework. L'objectif est de permettre à une organisation de mettre en oeuvre rapidement et facilement une politique de cybersécurité. Le CCB investit également dans une sensibilisation plus large à la sécurité numérique à travers des initiatives telles que Safeonweb.be. Dans le cadre de cette initiative, les agents publics, les organisations et les citoyens sont informés des cybermenaces telles que les malwares, le phishing et les applications non sécurisées. Via Safeonweb.be, les utilisateurs peuvent recevoir des conseils pratiques, des recommandations et des alertes concernant les menaces actuelles et les risques numériques. Des campagnes sont également menées régulièrement afin de promouvoir l'utilisation sécurisée des applications, des sites web et d'autres services numériques. Le CCB organise en outre régulièrement des webinaires consacrés aux menaces et solutions actuelles en matière de cybersécurité. Ces webinaires constituent un moyen précieux de sensibiliser davantage, de partager des connaissances sur les menaces les plus récentes et de favoriser une meilleure collaboration entre les autorités publiques, le secteur privé et les experts en cybersécurité. Des webinaires récents portaient p. ex. sur l'importance de signaler les cyberincidents au CCB ou encore sur la manière dont les entreprises peuvent s'enregistrer en tant qu'entité NIS2. Le CCB publie également régulièrement des avis et des lignes directrices. Ainsi, en collaboration avec Belnet, le CCB a élaboré un document de conseil destiné à informer et conseiller les responsables IT des organisations, entreprises et services publics sur les mesures de protection contre les attaques DDoS. Ce document sert de ligne directrice technique, d'assistance et de conseil dans le contexte des élections locales et provinciales belges de 2024 afin de prévenir les attaques DDoS et de s'en protéger. Par ailleurs, le CCB a également développé une directive destinée aux différents systèmes d'information des administrations et institutions publiques. Dans cette directive, le CCB demande à ces institutions de mettre en oeuvre plusieurs mesures de cybersécurité, c'est-à-dire l'activation de l'authentification à deux facteurs (2FA), l'adoption du cadre CyFun, et la directive déconseille le paiement de rançons lors d'attaques par ransomware vu que cela pourrait encourager les criminels à poursuivre et étendre leurs activités en leur fournissant des ressources supplémentaires. Enfin, le CCB soutient les entités dans leur navigation à travers le paysage du financement et dans l'identification des sources de financement appropriées. Le CCB coordonne également les investissements de l'Union européenne en matière de cybersécurité. Cela permet aux entités locales d'accéder à des financements européens, notamment via le programme Digital Europe ou Horizon Europe, pour des initiatives de cybersécurité. Le programme Digital Europe propose des subventions pour la transformation numérique, y compris la cybersécurité. Ce programme soutient la mise en oeuvre de solutions numériques sécurisées et favorise la coopération entre autorités locales et régionales, entreprises et institutions de recherche. Horizon Europe, le plus grand programme de l'UE pour la recherche et l'innovation, prévoit des appels spécifiques consacrés à la cybersécurité.