Quand la Cour des comptes se penche sur la politique nationale de cybersécurité

Temps de lecture: 9 min | 16 sept. 2026 à 04:00

Cour des comptes

Dans son rapport au Parlement fédéral, la Cour des comptes constate que la stratégie nationale de cybersécurité 2.0 affiche l'ambition de renforcer la cybersécurité en Belgique. Elle ne prévoit cependant pas de cadre opérationnel suffisant, de répartition claire des responsabilités et de suivi structuré de la réalisation des objectifs.

En outre, le Centre pour la Cybersécurité Belgique (CCB) n'est pas encore doté de tous les outils nécessaires pour exercer pleinement son rôle. La Cour relève aussi que la grande majorité des entités fédérales risquent de ne pas pouvoir respecter l'échéance de mise en conformité à la loi NIS2, fixée à avril 2027.

Stratégie nationale, transposition de la réglementation européenne et mise en oeuvre par l’administration fédérale

La numérisation croissante expose la société belge à un risque accru d’incidents liés à la sécurité de l’information Ils peuvent non seulement affecter des utilisateurs individuels, mais aussi compromettre gravement le fonctionnement des organisations, des services publics et des infrastructures critiques. la cybersécurité est ainsi devenue un enjeu majeur. Elle englobe toutes les mesures politiques, organisationnelles et techniques qui visent à protéger les systèmes, réseaux et données numériques contre les menaces informatiques.

L’Union européenne a reconnu tôt l’importance de la cybersécurité comme condition du bon fonctionnement du marché intérieur. Les directives NIS1 (2016) et NIS2 (2022) imposent ainsi aux États membres de renforcer leur maturité en matière de cybersécurité. La directive NIS2, transposée en droit belge, soumet la majorité des entités fédérales à des exigences de cybersécurité renforcées. C'est dans ce contexte que la Belgique a adopté en mai 2021 la stratégie de cybersécurité 2.0 (2021-2025).Cette stratégie nationale visait à faire de la Belgique l’un des pays les moins vulnérables d’Europe en matière de cybersécurité à l’horizon 2025.

En 2024, le gouvernement fédéral a également élaboré, dans le cadre de la loi NIS2, une stratégie fédérale de cybersécurité, consacrée spécifiquement aux entités fédérales et à leurs systèmes d’information. Elle vise à rationaliser les dépenses et à mieux structurer la mise en œuvre des projets en matière de cybersécurité. Ainsi, la cybersécurité est essentielle pour l’action publique et appelle des réponses coordonnées ainsi qu'une gouvernance claire, en particulier dans l’administration fédérale.

La Cour des comptes a audité la performance de la politique publique de cybersécurité en Belgique. La Cour a examiné les conditions d’élaboration et de suivi de la stratégie nationale, la transposition de la réglementation européenne et sa mise en œuvre par l’administration fédérale. Dans ce rapport, elle formule des recommandations pour davantage de maîtrise et de performance.

CCB

Le Centre pour la Cybersécurité Belgique (CCB) est l’autorité nationale en matière de cybersécurité. Depuis sa création en 2014, il est devenu un acteur central et fiable de la cybersécurité en Belgique, port par des projets à succès et une communication intensive. Le CCB s’est construit organiquement autour d’activités opérationnelles de gestion des vulnérabilités et des incidents liés à la cybersécurité.

Divers textes légaux ont progressivement étendu ses missions et compétences. Une clarification juridique et stratégique est aujourd’hui nécessaire.

Si le CCB est jusqu’à présent parvenu à accompagner sa croissance, il pourrait développer des outils pour assurer sa parfaite maîtrise en définissant une stratégie propre qui couvre tous ses services et activités. Si cette croissance se poursuit à ce rythme, le CCB pourrait en effet être confronté à certains risques en matièr de processus internes et de certaines fonctions de support.

La Cour des comptes recommande enfin que le CCB évalue de manière structurée l’ensemble des points de vue des parties prenantes. Il pourra ainsi renforcer l’efficacité de ses actions et garantir une mise en oeuvre cohérente de ses obligations légales.

Stratégie de cybersécurité 2.0 (2021-2025)

La stratégie de cybersécurité 2.0 témoigne d’une ambition politique de renforcer la cybersécurité en Belgique et elle a permis d’améliorer la cyberrésilience. Ses six objectifs stratégiques s’inscrivent dans descadres de référence internationaux et reflètent un large consensus sur les principaux défis du cyberespace belge. Cependant, la mise en œuvre et le pilotage des ambitions stratégiques ne s’inscrivent pas dans un cadre cohérent.

Si le CCB coordonne la stratégie de cybersécurité 2.0, la mise en œuvre de celle-ci requiert l’implication de nombreux acteurs publics. En effet, les administrations et services de sécurité fédéraux, les autorités sectoriellesqui surveillent les infrastructures essentielles et les organismes des entités fédérées qui fournissent des services numériques et sensibilisent les citoyens et les entreprises ont aussi un rôle à jouer.

Le rôle central de coordination du CCB ne lui confère toutefois pas un pouvoir contraignant et les structures de concertations existantes ne suffisent pas comme instrument de pilotage.

Par ailleurs, les dépenses en cybersécurité sont réparties sur les crédits de plusieurs allocations de base (rémunérations du personnel, frais de fonctionnement et investissements IT), sans mise en relation claire avec les objectifs stratégiques. Cette répartition budgétaire empêche d’évaluer les dépenses réellement destinées à la cybersécurité et entrave l’affectation ciblée des moyens. Dans le cadre du rapport annuel au gouvernement, huit institutions fédérales actives en matière de sécurité (CCB, Défense, police fédérale, ministère public, SPF Affaires étrangères, Sûreté de l’État, Ocam et Centre de crise national) ontdéclaré avoir dépensé au total 40,3 millions d’euros en 2021 pour la cybersécurité. Pour 2025, elles prévoyaient d’y consacrer 80,8 millions.

Enfin, la stratégie ne définit pas précisément la participation des parties prenantes concernées, ni le cadre d’évaluation pour mesurer les progrès effectués. Cette stratégie 2.0 continue à s’appliquer aujourd’hui, la stratégie suivante étant en cours d’élaboration.

Stratégie fédérale de cybersécurité

La stratégie fédérale de cybersécurité s’inscrit dans la mise en conformité à la loi NIS2, qui impose aux entités fédérales de mettre en place des contrôles de sécurité stricts dès le 18 avril 2027. Or, l’audit montreque la plupart des entités fédérales soumises à ladite loi appliquent des contrôles de base dont le niveau est inférieur à celui exigé. Les administrations fédérales doivent dès lors fournir des efforts importants pour atteindre le niveau d’exigence requis pour avril 2027

Le CCB a élaboré le CyberFundamentals Framework (Cyfun), un cadre de référence pour préparer l’application des contrôles de sécurité qui découlent de la loi NIS2. Il permet aux entités d’obtenir une certification sur la base de contrôles dont le niveau d’exigence est plus faible et adapté à leurs activités.

Bosa doit coordonner la stratégie fédérale de cybersécurité et soutenir les entités fédérales, mais ne dispose pas encore des capacités nécessaires pour ce faire, ce qui risque de compromettre le respect de l'échéance imposée par la loi NIS2.

En effet, les rôles, responsabilités et missions respectives entre acteurs de la cybersécurité ne sont pas suffisament définis au niveau fédéral au regard de la loi NIS2. En outre, cette loi ne s’applique pas à certaine entités qui nécessitent un niveau de sécurité très élevé, comme la Défense, la police intégrée, les autorités judiciaires ou les services de renseignement et de sécurité. Ces différences dans la surveillancedes entités publiques risquent d’affaiblir l’architecture de sécurité belge. Enfin, les entités concernées n’ont pas formalisé leurs contrôles et n’évaluent pas régulièrement le fonctionnement des procédures de relance. Lors d’une attaque informatique, elles doivent pourtant pouvoir réagir rapidement et efficacement sous la pression. En outre, la plupart des analyses de risques actuelles ne répondent pas aux exigences du référentiel Cyfun.

Pour remédier à certaines de ces lacunes, les entités peuvent mutualiser leurs ressources et, ainsi, optimise et accélérer leur mise en conformité à la loi NIS2. Bosa est d’ailleurs en train de mettre en place une celluleCiso as a Service (Cisoaas) pour encadrer cette mutualisation et favoriser les synergies. La cellule serachargée de superviser les projets, d’informer les entités sur les exigences NIS2, de coordonner les investissements pour optimiser les dépenses et de maintenir un réseau d’expertise.

Procédure contradictoire

Si toutes les réponses ont été traitées, la Cour des comptes a accordé un intérêt particulier aux réponses du Premier ministre et du CCB. La Cour a intégré dans son rapport les remarques formulées qu’elle a jugées pertinentes Dans ce cadre, elle estime qu’il reste nécessaire de renforcer le pilotage stratégique, d développer des indicateurs orientés vers la performance et d’améliorer la prise en compte des parties prenantes Elle rappelle que les exigences aujourd’hui renforcées par les obligations de la loi NIS2 relevaient déjà de bonnes pratiques applicables lors de l’élaboration de la stratégie 2.0.