La veille du sommet européen du 22 mars 2011, la Commission européenne et le Service européen pour l'action extérieure (SEAE) ont été touchés pour une cyberattaque, jugée particulièrement grave car elle visait spécialement des directions générales et des fonctionnaires de la Commission européenne.

Dès 2009, la Direction de la Sécurité de la Commission avait établi un plan d'action contre les cyberattaques. Les États membre y étaient priés de créer à l'horizon 2012 un Computer Emergency Response Team capable de détecter les logiciels malveillants. En Belgique, le Computer Emergency Response Team (CERT) est actif depuis 2010 et on s'affaire actuellement à le rendre progressivement opérationnel.

La création du CERT s'articule en quatre phases. En septembre 2009, on a commencé à installer l'infrastructure critique, laquelle a été élargie au grand public en janvier 2010. Nous sommes actuellement dans la troisième phase, qui voit l'extension des heures d'ouverture (juillet 2011).

Selon le ministre, le CERT remplit sa mission en collaboration et en synergie avec d'autres instances, telles l'Institut belge des services postaux et des télécommunications (IBPT), les Computer Crime Units, le Service public fédéral (SPF) Justice et la Défense - la collaboration entre ces acteurs devait cependant encore être formalisée. Un groupe de travail pour la gestion des incidents serait en train d'élaborer une proposition réglant la coopération entre les divers intervenants fédéraux.

Le Comité R a publié le 24 août 2011 un rapport sévère à l'égard de la politique fédérale en matière de protection informatique. Il affirme que l'absence d'action fédérale globale en ce domaine rend notre pays particulièrement vulnérable aux attaques contre ses systèmes et ses réseaux d'information vitaux.

Aujourd'hui, plusieurs instances fédérales se préoccupent de sécuriser les systèmes informatiques : l’Autorité nationale de sécurité (ANS), le Service public fédéral Technologie de l'information et de la communication (Fedict), le fournisseur d'internet fédéral BelNET et l’IBPT. Toutefois, selon le rapport, aucune d'entre elles ne dispose d'un panorama complet de l'infrastructure critique des systèmes informatiques.

Le Comité R s'inquiète aussi de la gestion du personnel des services de renseignement et de l'insuffisance des moyens qui permettraient d'engager du personnel qualifié.

Enfin, le Comité R observe que la législation belge ne permet de neutraliser des systèmes hostiles étrangers qu'en cas de cyberattaque sur les systèmes de la Défense. Si les attaques visent d'autres SPF ou d'autres infrastructures critiques nationales, on ne peut réagir qu'a posteriori et défensivement, sans pouvoir neutraliser l'assaillant.

Voici mes questions au ministre :

1) Depuis sa création, combien d'incidents cybercriminels le CERT a-t-il signalés à son département ?

- Combien d'incidents examine-t-on actuellement ? Combien d'entre eux nécessitent-ils une enquête interdépartementale ?

- Dans combien de cas le CERT a-t-il dénoncé des actes de cyberdélinquance à d'autres autorités, et lesquelles (tant nationales qu'étrangères) ?

- Pour combien d'entre eux l'enquête est-elle clôturée et le dossier a-t-il été transmis à la Justice ?

- Pour combien d'entre eux l'enquête ne peut-elle pas se poursuivre ? Combien d'incidents a-t-on classés en raison d'une mauvaise transmission de l'information ?

- Je souhaite une ventilation des incidents selon les catégories normaux - sérieux - majeurs, avec quelques exemples pour chacune.

2) Comment se déroule l'entrée en action du CERT ?

- Comment le ministre évalue-t-il la phase 1 (infrastructure critique) et la phase 2 (élargissement au grand public) ?

- Quelles sont les heures d'ouverture étendues du CERT, annoncées comme phase 3 ?

- Peut-on affirmer que la notoriété du CERT auprès du public cible est suffisante ?

- Combien de visites le site a-t-il reçues depuis sa création, et comment ce nombre évolue-t-il ?

- Quand le CERT sera-t-il totalement opérationnel ? Quel budget (par phase) y a-t-on affecté ?

3) Selon les normes de l'Union européenne, les SPF et les services du parlement fédéral sont-ils adéquatement protégés contre les cyberattaques ? Quelles normes de sécurité observe-t-on et pourquoi ?

4) Existe-t-il un « Disaster Recovery Plan » en guise de position de repli si les systèmes critiques de notre pays étaient victimes d'une cyberattaque ?

5) Le département du ministre a-t-il déjà désigné un conseiller à la coordination de la sécurité informatique ? Quelle est sa mission et à qui rapporte-t-il ?

6) Comment se déroule la collaboration avec le SPF Justice, lequel coordonne le projet de cyberdéfense ? Est-il logique que ce soit le SPF Justice le dirige, et pas le SPF Économie dont dépend le CERT ? Constate-t-on des problèmes sur le plan de la coopération et des flux d'information ? À quelle fréquence annuelle les représentants du SPF Économie se réunissent avec ceux du SPF Justice pour parler de cyberdéfense ? Est-elle suffisante ?

7) Comment se passe la collaboration en matière de cyberdéfense avec l'Intérieur, Fedict, la Défense, la Politique scientifique et les Affaires étrangères ? L'a-t-on formalisée pour que le CERT et le SPF Justice puissent réagir en temps utile à un incident ?

8) Quels sont les secteurs prioritaires du projet de cyberdéfense et quels acteurs s'occupent-ils de quels secteurs ?

9) Que peut faire le gouvernement pour réduire la vulnérabilité de notre pays ? Met-on en œuvre une stratégie coordonnée de cyberdéfense ?

10) Le Comité R s'inquiète de la gestion du personnel des services de renseignement et de l'insuffisance des moyens qui permettraient d'engager du personnel qualifié. Le département du ministre est-il confronté au même problème ?

11) Le département partage-t-il le souci d'augmenter les possibilités de neutraliser les cyberattaques, au lieu de ne pouvoir réagir qu'a posteriori et défensivement ?

12) Combien de fois des documents du SPF Économie ont-ils été volés à la suite d'une cyberattaque ? Quand cela s'est-il produit, de quels documents s 'agissait-il et quel était leur niveau de sensibilité ? Quelles mesures a-t-on prises ?

13) Quelles infrastructures, identifiées par le SPF Économie comme critiques et sensibles, sont-elles privilégiées en matière de cyberdéfense ?

En réponse aux questions posées par l’honorable membre, j’ai l’honneur de lui communiquer ce qui suit.

1. Computer Emergency Response Team (CERT.be) est un service public dont une mission est de fournir à la population belge des informations en matière de sécurité informatique. Le CERT.be donne des conseils et des bonnes pratiques pour la sécurité sur internet des utilisateurs. Il fait également de la prévention, propose des réponses et vise à limiter les conséquences des cyberincidents.

Pour le nombre de cas transmis à la justice ou traités par la Federal Computer Crime Unit (FCCU), je renvoie la question vers mes collègues de la justice et de l’intérieur.

2. Le CERT est reconnu à part entière par ses pairs au niveau européen.

Il est totalement opérationnel. Il se fixe comme objectif d’acquérir le label European Governmental Cert (EGC) , ce qui sera une reconnaissance supplémentaire.

Le CERT.be n’a pas spécialement comme vocation d’être connu du grand public. De ce fait, le nombre de hits sur son site internet n’est pas un indicateur pertinent.

Par contre, il peut entrer dans ses tâches de promouvoir l’ Awareness Raising pour le grand public.

3. Les institutions fédérales sont autonomes dans la gestion de leur infrastructure Technologie informatique et de communication (TIC) et ont la maîtrise de leur sécurité.

En outre, il existe une coordination entre la direction des différents Service public fédéral (SPF) au sein d’un forum, l’. Information Security Management Forum (ISMF) qui se réunit sous l’égide de Service public fédéral Technologie de l'information et de la communication (FEDICT).

Cette transversalité est une réponse adéquate aux cyber-attaques.

4. Les acteurs fédéraux de la sécurité collaborent au sein de la plate-forme BelNIS pour proposer des réponses aux questions relatives à la protection des infrastructures critiques.

La loi du 1^er juillet 2011 relative à la sécurité et la protection des infrastructures critiques doit garantir que chaque opérateur qui dispose d’infrastructures critiques a mis au point un plan de crise à appliquer en cas de catastrophe.

5 : Cfr. question 10.

6. Le SPF Économie a coopéré à cette initiative et l’Institut belge des services postaux et de télécommunication (IBPT) a fait une intervention lors de cette conférence ministérielle.

Une nouvelle réunion interministérielle de suivi est prévue pour ce mois de novembre. Pour l’image de la cyberdéfense, il est plus percutant d’avoir les pays du Benelux parlant d’une même voix, via le même ministre pour marquer les esprits que la justice ne restera pas inactive face à la menace des cyberattaques.

De même, l’IBPT a officiellement participé à l’inauguration du BeC-Centre en juin 2011 aux cotés des SPF Justice et Économie.

7. BelNIS permet une coordination et coopération entre ces institutions. De manière plus restreinte, il existe aussi la coopération au sein de la plate-forme CNT-NOT qui réunit le SPF Économie, l’IBPT, les autorités judiciaires et la police.

8. L’autorité sectorielle que j’ai désignée pour la protection des infrastructures critiques ICT sera compétente en cette matière. Le centre de crise assurera par contre la coordination générale .

C’est la priorité actuelle de l’Europe.

9. Je renvoie l'honorable membre à la réponse donnée par le premier ministre au question écrite 5-4291.

10. L’équipe s’occupant des compétences de l’IBPT en sécurité des réseaux (articles 113 et 114 de la loi du 13 juin 2005 relative aux communications électroniques) vient par ailleurs , de recruter un jeune docteur ingénieur supplémentaire.

11 La protection adéquate à une cyber-attaque sera formulée en concertation avec les autorités compétentes. Différentes institutions disposent aujourd’hui de pouvoirs et de compétences pour faire face à une cyber-attaque de manière proactive. A titre d’exemple, j’ai demandé à l’IBPT d’accompagner le Cert.be lors du cyber-exercice EU-USA (Cyber-Atlantic) dont l’objet a été de tester le niveau de réponse et de coordination d’une part entre États membres et d’autre part entre ces derniers et les États-Unis, lorsqu’un incident les affecte en cascade.

12. Des tentatives d’attaques se produisent souvent contre les institutions et contre les systèmes IT mais elles mènent rarement à des fuites.

13. Des discussions sont actuellement en cours sur la détermination de ces infrastructures critiques. Ces infrastructures critiques seront déterminées dans un arrêté royal exécutant la loi du 1^er juillet 2011 relative à la sécurité et la protection des infrastructures critiques. Cette loi est la transposition d’une directive européenne qui vise le même but. La transposition belge va un pas plus loin puisqu’elle intègre les infrastructures ICT dans son horizon, laquelle n’est que facultative dans la version actuelle de la directive.