| SÉNAT DE BELGIQUE | BELGISCHE SENAAT | ||||||||
| ________ | ________ | ||||||||
| Session 2012-2013 | Zitting 2012-2013 | ||||||||
| ________ | ________ | ||||||||
| 25 juin 2013 | 25 juni 2013 | ||||||||
| ________ | ________ | ||||||||
| Question écrite n° 5-9408 | Schriftelijke vraag nr. 5-9408 | ||||||||
de Karl Vanlouwe (N-VA) |
van Karl Vanlouwe (N-VA) |
||||||||
au secrétaire d'État à la Fonction publique et à la Modernisation des Services publics, adjoint au ministre des Finances et du Développement durable, chargé de la Fonction publique |
aan de staatssecretaris voor Ambtenarenzaken en Modernisering van de Openbare Diensten, toegevoegd aan de minister van Financiën en Duurzame Ontwikkeling, belast met Ambtenarenzaken |
||||||||
| ________ | ________ | ||||||||
| Les cyberexercices et Belgocybex | De cyberoefeningen en Belgocybex | ||||||||
| ________ | ________ | ||||||||
| protection des données criminalité informatique |
gegevensbescherming computercriminaliteit |
||||||||
| ________ | ________ | ||||||||
|
|
||||||||
| ________ | ________ | ||||||||
| Herkwalificatie van : vraag om uitleg 5-3643 | Herkwalificatie van : vraag om uitleg 5-3643 | ||||||||
| ________ | ________ | ||||||||
| Question n° 5-9408 du 25 juin 2013 : (Question posée en néerlandais) | Vraag nr. 5-9408 d.d. 25 juni 2013 : (Vraag gesteld in het Nederlands) | ||||||||
Les cyberexercices sont des instruments importants pour évaluer la capacité de réaction d'une société toujours plus dépendante des communications électroniques. En simulant des perturbations techniques, on peut contrôler la réaction des infrastructures critiques comme l'énergie, les transports, les finances et les communications électroniques à des situations de crise. En 2009, la Commission européenne a déjà incité les États membres à organiser régulièrement des cyberexercices afin de s'exercer à réagir à des incidents de sécurité de grande ampleur et à se préparer à une situation de « disaster recovery » en vue de sécuriser les infrastructures critiques en matière d'information, comme cela a été décrit dans la « Critical Information Infrastructure Protection » COM(2009)-149 de la Commission européenne. L'Agence européenne chargée de la sécurité des réseaux et de l'information, l'ENISA, a analysé 85 cyberexercices qui ont eu lieu entre 2002 et 2012 dans 22 pays européens. Son rapport d'octobre 2012 révèle que 43 % des exercices ont duré un jour, 32 % ont duré deux à trois jours et 19 % ont pris plus de trois jours. L'ENISA souligne en même temps l'importance de l'implication du secteur privé dans ces exercices. Les secteurs public et privé ont collaboré dans 57 % des exercices, et dans 41 % des cas, il s'agissait d'un exercice public. L'ENISA décrit huit cyberexercices différents, d'un simple « desk check » visant à contrôler les procédures de crise aux « full simulation exercices » sophistiqués qui soumet les participants à la pression d'un scénario de crise se développant en temps réel. Mes questions au secrétaire d'État sont les suivantes. 1) Quelles détails pouvez-vous donner sur les cyberexercices auxquels la Belgique a participé ? (durée, quels acteurs publics sont impliqués, objectifs, …) ? 2) Le secteur privé a-t-il aussi été impliqué dans l'exercice Belgocybex ? Pourquoi l'a-t-il été ou ne l'a-t-il pas été ? 3) À quel type de cyberexercice Fedict a-t-il participé ? (CF. ENISA : Desk check, Comms check, Walk through, Workshop, Table-top, Distributed table-top, Command post en Full-simulation) ? 4) Comment évaluez-vous les trois cyberexercices auxquels l'autorité a participé ? Quelles leçons en ont-elles été tirées ? 5) Un calendrier a-t-il déjà été élaboré pour l'organisation et la participation à des cyberexercices nationaux et internationaux durant les prochaines années ? Sera-t-il aussi question d'une collaboration du public et du privé ? |
Cyberoefeningen zijn belangrijke instrumenten om de paraatheid te evalueren van een samenleving die in toenemende mate afhankelijker wordt van elektronische communicatie. Door technische storingen te simuleren kan nagegaan worden hoe kritische infrastructuren zoals energie, vervoer, financiën en elektronische communicatie zullen reageren in crisissituaties. De Europese Commissie spoorde de lidstaten reeds in 2009 aan om frequent cyberoefeningen te organiseren om de respons en "disaster recovery" op grootschalige veiligheidsincidenten te oefenen, teneinde de kritische informatie-infrastructuren te beveiligen, zoals werd beschreven in de "Critical Information Infrastructure Protection" COM(2009)-149) van de Europese Commissie. Het Europees netwerk- en informatiebeveiligingsagentschap ENISA heeft 85 cyberoefeningen geanalyseerd die tussen 2002 en 2012 plaatsvonden in 22 Europese landen. Uit hun rapport van oktober 2012 bleek dat 43% van de oefeningen een dag duurde, 32% twee tot drie dagen duurde en 19% langer dan drie dagen in beslag nam. Tegelijk benadrukt ENISA het belang van het betrekken van de privésector in die oefeningen. In 57% van de oefeningen werkten de publieke en de private sector samen, en in 41% betrof het een overheidsoefening. ENISA beschrijft een achttal verschillende cyberoefeningen, gaande van een eenvoudige "desk check" om crisisprocedures te controleren, tot de gesofisticeerde "full simulation exercises" waarbij de deelnemers geconfronteerd worden met de druk van een crisisscenario dat zich in real time ontplooit. Mijn vragen aan de staatssecretaris zijn: 1) Welke details kan U geven over de cyberoefeningen waaraan België heeft deelgenomen? (de duur, betrokkenheid van welke overheidsactoren, doelwitten, …)? 2) Werd de privésector ook betrokken in de Belgocybex oefening? Waarom wel of waarom niet? 3) Aan welk soort van cyberoefeningen heeft Fedict deelgenomen? (CF. ENISA: Desk check, Comms check, Walk through, Workshop, Table-top, Distributed table-top, Command post en Full-simulation)? 4) Hoe evalueert U de drie cyberoefeningen waaraan de overheid heeft deelgenomen? Welke lessen werden eruit geleerd? 5) Bestaat er reeds een planning voor de organisatie en deelname aan nationale en internationale cyberoefeningen voor de komende jaren? Zal ze ook een privé-publieke samenwerking inhouden? |
||||||||
| Réponse reçue le 22 juillet 2013 : | Antwoord ontvangen op 22 juli 2013 : | ||||||||
1) La Belgique a participé aux exercices qui ont été organisés au niveau européen par l’ENISA, notamment Cyber Europe 2010 et 2012 et EuroSOPEx régional en 2012. Ces exercices devaient juger les capacités de collaboration des états membres en cas d’un incident sérieux et renforcer la confiance entre les différents services participants. Les deux exercices ont chacun duré une journée. Pour la Belgique les services suivants ont participé à cet exercice: Computer Emergency Response Team (CERT).be ,l’Institut belge des services postaux et des télécommunications (IBPT), le FCCU, le centre de crise, la Défense et lr Service public fédéral Technologie de l'information et de la communication (FEDICT) La Belgique (Cert.be et l’IBPT) a également participé à l’exercice Cyberatlantic, organisé de concert par l’Europe et les États Unis. D’autres exercices ont également été réalisés dans le cadre de l’OTAN, pour lesquels les services de la Défense sont compétents. La Belgique a également développé et exécuté l’exercice BelgoCybex 2012. L’objectif de cet exercice était d’évaluer la capacité de réaction de la Belgique en cas d’incidents ICT de grande envergure. Cet exercice a été développé et exécuté de concert par Cert.be, l’IBPT, le FCCU, le centre de crise, la Défense et Fedict, sous la coordination de Fedict. 2) Le secteur privé n’a pas été impliqué lors du BelgoCybex étant donné que cet exercice était la première évaluation de la procédure de gestion des incidents. Nous avons tout d’abord voulu examiner si les mécanismes de collaboration de l’administration rendent possible une réaction efficace et, le cas échéant, les adapter avant d’impliquer le secteur privé lors d’un prochain exercice. 3) Fedict était responsable de la préparation et a également participé aux exercices Cyber Europe 2010 et BelgoCybex. Fedict a participé à EuroSOPEx. Ces exercices étaient de type ‘distributed table top’ avec simulation d’incidents. 4) Lors de ces exercices nous n’avons pas seulement pu évaluer la façon dont nous pouvons collaborer entre nous, mais également la façon dont nous pouvons collaborer avec nos collègues européens. Nous avons pu identifier les aspects susceptibles d’amélioration. Nous avons aussi pu définir une série d’outils et de fonctionnalités dont nous devrions disposer afin de garantir une collaboration efficace. Les enseignements les plus importants tirés au niveau belge concernaient l’évaluation des incidents et la structuration de la communication entre les différents services. 5) Un exercice européen, CyberEurope 2014, est prévu et est actuellement planifié pour octobre 2014. Fedict participe aux travaux préparatoires. Au niveau belge, nous envisageons de faire participer un nombre de key-players du secteur des télécommunications, du secteur financier et de l’énergie. Nous devons encore contacter les autorités sectorielles compétentes afin d’évaluer si une telle participation est selon elles faisable et quels seraient alors les acteurs potentiels. Nous envisageons également de faire un nouvel exercice belge. La date, les objectifs et les modalités n’ont jusqu’à présent pas encore été déterminés. |
1) België heeft deelgenomen aan de oefeningen die op Europees niveau door het ENISA werden georganiseerd, namelijk Cyber Europe 2010 en 2012 en regionale EuroSOPEx in 2012. Deze oefeningen moesten de samenwerkingsvaardigheden van de lidstaten beoordelen in geval van een ernstig incident en het vertrouwen versterken tussen de verschillende deelnemende diensten. De oefeningen hebben beide een dag geduurd. Voor België hebben de volgende diensten aan deze oefening deelgenomen: Computer Emergency Response Team (CERT).be, het Belgisch Instituut voor de Post- en telecommunicatiediensten (BIPT), de FCCU, het Crisiscentrum, Defensie en de Federale Overheidsdienst Informatie- en Communicatie Technologie (FEDICT) België (Cert.be en het BIPT) heeft ook deelgenomen aan de oefening CyberAtlantic, gezamenlijk georganiseerd door Europa en de VS. Er werden ook andere oefeningen uitgevoerd binnen de context van de NAVO, waarvoor de diensten van Defensie bevoegd zijn. België heeft ook de oefening BelgoCybex 2012 ontwikkeld en uitgevoerd. De bedoeling van deze oefening was om het reactievermogen van België op grootschalige ICT-incidenten te evalueren. Deze oefening werd gezamenlijk door Cert.be, het BIPT, de FCCU, het Crisiscentrum, Defensie en Fedict ontwikkeld en gedaan, onder de coördinatie van Fedict. 2) De privésector werd niet betrokken bij BelgoCybex omdat deze oefening de eerste evaluatie was van de procedure voor incidentenmanagement. Wij wilden voornamelijk nagaan of de samenwerkingsmechanismen van de overheid het mogelijk maakten om op efficiënte wijze te reageren en zoniet deze aan te passen alvorens de privésector te betrekken bij een volgende oefening. 3) Fedict stond in voor de voorbereidingen van en nam ook deel aan de oefeningen Cyber Europe 2010 en 2012 en Belgocybex. Fedict heeft deelgenomen aan EuroSOPEx. Deze oefeningen waren van het type “distributed table-top” met een simulatie van incidenten. 4) Tijdens deze oefeningen hebben we niet alleen kunnen evalueren hoe we met elkaar konden samenwerken, maar ook hoe we met onze Europese collega’s konden samenwerken. We hebben kunnen vaststellen welke aspecten voor verbetering vatbaar zijn. We zijn er ook in geslaagd om een reeks hulpmiddelen en functionaliteiten te bepalen waarover we zouden moeten beschikken om een efficiënte samenwerking te garanderen. De voornaamste lessen die er op Belgisch niveau werden getrokken, betroffen de evaluatie van de incidenten en het structureren van de communicatie tussen de verschillende diensten. 5) Een Europese oefening, CyberEurope 2014, is voorzien, en is momenteel gepland voor oktober 2014. Fedict werkt mee aan de voorbereidende werkzaamheden. We overwegen om op Belgisch vlak een aantal key-players uit de telecom-, financiële en energiesector te laten deelnemen. We moeten nog contact opnemen met de bevoegde sectorale overheden om te evalueren of een dergelijke deelname volgens hen haalbaar is en, als dat zo is, welke de potentiële actoren zouden zijn. We overwegen ook om een nieuwe Belgische oefening uit te voeren. De datum, de doelstellingen en de modaliteiten hiervoor werden tot nog toe nog niet nader bepaald. |