Le 20 novembre 2012, les médias ont fait état des premiers détails de la note fédérale tant attendue sur la cyberdéfense. Les quotidiens De Tijd et De Standaard ont ainsi mentionné l'existence de projets de fondation d'un « centre pour la cybersécurité », lequel devrait assurer la coordination fédérale. Ce centre aurait également pour mission d'inciter les citoyens et les entreprises à être plus attentifs à la sécurité sur internet. Il compterait une vingtaine d'experts, suivrait tous les incidents informatiques survenus dans notre pays et serait responsable de la politique fédérale en matière de cyberattaques.

Vint ensuite l'annonce d'une décision prise le 21 décembre par le Conseil des ministres, à savoir l'élaboration d'une cyberstratégie concrétisant une politique fédérale de sécurité pour les réseaux et les systèmes informatiques en Belgique, politique qui garantit la protection de la vie privée. « La cyberstratégie belge a pour objectif d’identifier la cybermenace, d’améliorer la sécurité et de pouvoir réagir aux incidents. Ce projet est né du travail de la plateforme de concertation pour la sécurité de l’information BelNIS (Belgian Network Information Security). Le conseil des ministres a chargé le premier ministre de la mise en œuvre de cette stratégie. »

La stratégie repose sur trois objectifs visant à garantir la cybersécurité de la société moderne :

1. L'ambition d'un cyberespace sûr et fiable, respectant les droits et valeurs fondamentaux de la société moderne ;

2. L'ambition d'une sécurisation et d'une protection optimales des infrastructures et des systèmes publics critiques contre la cybermenace ;

3. L'élaboration d'une propre capacité « Cyber Security », garante d'une politique de sécurité indépendante et d'une réaction appropriée aux incidents de sécurité.

J'aimerais poser les questions suivantes à la ministre :

1) Qui est actuellement compétent pour la coordination du projet et comment s'effectue la délégation des tâches ?

a) Quel est le rôle dévolu au Comité ministériel du renseignement et de la sécurité en ce qui concerne la coordination du rôle des services de renseignement dans le projet de cyberdéfense ?

b) Dans le cadre de la cyberdéfense, comment se déroule la coopération avec le cabinet du premier ministre, les SPF Intérieur, Économie, Technologie de l'Information et de la Communication (Fedict), Défense, Politique scientifique et Affaires étrangères ? Cette coopération a-t-elle déjà été formalisée de sorte que la CERT et le SPF Justice soient en mesure d'agir à temps en cas d'incidents ?

c) Le SGRS et la VSSE sont-ils liés par des accords en ce qui concerne leur contribution à la sécurité de nos systèmes informatiques ?

d) Quelle sera la position du nouveau centre pour la cybersécurité par rapport aux plateformes de concertation actuelles de BelNIS et de l'ISMF (Internet Security and Management Forum) ?

2) Le département de la ministre est-il partisan d'un plus grand champ de manœuvre qui le mettrait en mesure, au-delà de simples réactions défensives, de neutraliser les cyberattaques ?

a) Selon la ministre, cette démarche pourrait-elle aussi être proactive ? Le cas échéant, quand et sous quelle autorité ?

b) L'an dernier, à quelles occasions les autorités fédérales ont-elles été impliquées dans des exercices de cybersécurité, et ce aussi bien sur le plan national qu'international ?

3) Le Comité R s'est inquiété à plusieurs reprises de la gestion du personnel des services de renseignement et des obstacles financiers au recrutement de personnel qualifié.

a) Le département de la ministre est-il également confronté à ce problème ?

b) Au sein de son département, combien de personnes s'occupent-elles de cybersécurité ? A-t-on, dans ce but, recruté du personnel supplémentaire en 2012 ?

4) Où en est notre pays dans la mise en pratique des recommandations du plan d'action de l'Union européenne contre les cyberattaques ?

a) Existe-t-il déjà un plan national d'urgence contre les incidents informatiques ?

b) Des exercices nationaux de cybersécurité ont-ils déjà été organisés ? Si ce n'est pas le cas, pourquoi ?

c) Dans quelle mesure a-t-on coopéré avec d'autres États membres de l'UE ?

d) A-t-on déjà pris part à des exercices paneuropéens ?

5) Comment la ministre conçoit-elle l'évolution de la coopération au sein du Benelux en matière de cyberdéfense ? De ce point de vue, privilégie-t-elle le Benelux par rapport à l'Europe et à l'OTAN ?

6) Existe-t-il, en guise de plan B, ce que l'on appelle un Disaster Recovery Plan, pour le cas où les systèmes critiques de notre pays seraient victimes d'une cyberattaque ?

a) Cette problématique a-t-elle déjà été traitée au sein de BelNIS et quelle est la situation à ce propos ?

b) Ce plan d'urgence a-t-il déjà été testé ? Quand le sera-t-il ?

7) Combien de fois le département de la ministre a-t-il été victime de la cybercriminalité en 2012 ?

a) Parmi ces cyberattaques y avait-il également des intrusions avancées ? Quelle est la proportion de cyberintrusions qui avaient pour but explicite l'acquisition d'informations sensibles du secteur public ?

b) Combien d'incidents font-ils actuellement l'objet d'une enquête ?

c) Quel est le nombre d'enquêtes clôturées ?

1) Dans le cadre de la décision du Conseil des ministres du 21 décembre 2012, le premier ministre a été chargé de la mise en œuvre de la stratégie de cybersécurité. Les rôles du Comité ministériel du Renseignement et de la Sécurité et d'autres instances traitant des aspects de la cybersécurité devront être déterminés lors de la mise en œuvre de la stratégie de cybersécurité. La proposition d'un Centre de cybersécurité fait également partie des éléments qui devront être définis lors de la mise en œuvre de cette stratégie. Belnis, qui est coordonné par le Service public fédéral Technologie de l'information et de la communication (FEDICT), est jusqu'à présent la seule plate-forme de concertation qui existe en matière de sécurité de l’information. Depuis l'approbation par le gouvernement le 21 décembre dernier, des présentations ont été données et des discussions menées au sein de Belnis à propos de cette stratégie. Un plan d'exécution, qui devra rapidement être approuvé, est en préparation.

2) En raison du fait qu'une cybermenace peut se manifester à différents niveaux et que les cibles peuvent être très diverses, il est difficile de prévoir des mesures préventives pour tous les types de menaces, ce qui ne signifie pas qu'aucune mesure ne doit être prise. Une conduite pro-active constitue en effet la meilleure approche. Un outil permettant de prendre des contre-mesures préventives (ressources humaines et moyens) de manière réfléchie sur le plan économique est l'utilisation d'analyses d'impact et de techniques de gestion des risques. Comme des connaissances de l'activité sont indispensables en la matière, il est préférable que ce soient les parties individuelles (services publics, entreprises privées,...) qui s'en chargent.

Récemment, notre administration a été confrontée à une cybermenace de « Anonymous », dans le cadre de laquelle la procédure de gestion des incidents a été utilisée comme fil conducteur. Des leçons supplémentaires ont déjà été tirées de cette menace. Concernant la participation aux cyberexercices, je vous renvoie à ma réponse à votre question n°5-9408.

3) Au sein de FEDICT, 3.2 ETP s'occupent activement de la cybersécurité. Aucun recrutement n'a eu lieu en 2012. Au sein de CERT.be, cinq experts travaillent actuellement dans le domaine de la cybersécurité.

4) La désignation d'une Computer Emergency Respons Team (CERT) a, comme prévu dans le plan d'action, été mise en œuvre. D’autres éléments du plan d'action doivent encore être élaborés plus en avant. Au sein de la plate-forme de concertation Belnis, une procédure de gestion des incidents a été élaborée. Dans ce cadre, une procédure d'escalation vers les autorités politiques est prévue en cas de menace grave. Cette procédure doit cependant encore être affinée. Concernant la participation aux cyberexercices, je vous renvoie à ma réponse à votre question n°5-9408.

5) Tant les Pays-Bas que le Luxembourg sont en avance en ce qui concerne la protection des systèmes informatiques et nous partageons également les mêmes valeurs. La collaboration dans le domaine de la cybersécurité fait partie du programme de travail Benelux 2013-2016. Cette collaboration privilégiée s'inscrit dans le cadre de la coopération européenne. Au niveau européen, je vous renvoie aux exercices réalisés en collaboration avec l'ENISA, au développement de la European GovCert, mais aussi aux premières étapes de l'installation de la plate-forme Network and Information Security (NIS).

6) Cette responsabilité est sectorielle. Conformément à la loi du 1^er juillet 2011 relative à la sécurité et la protection des infrastructures critiques, certaines obligations ont été définies dans la réglementation belge pour les secteurs Énergie, Transports et Finances.

7) Concernant les cyberattaques pour FEDICT, je vous renvoie à ma réponse à votre question écrite de mars 2013 (n° 8183).