Pour les administrations publiques, la question de la cybersécurité touche directement à la continuité du service aux citoyen·nes, à la protection des données et à la confiance envers les institutions.
Face aux menaces et attaques en croissance, il faut apprendre à anticiper les risques, à mobiliser leurs équipes et à réagir efficacement lorsqu’un incident survient. Car la question n’est plus seulement de savoir si une attaque aura lieu, mais si l’organisation sera prête à y faire face.
La cybersécurité : une responsabilité collective
Les cyberattaques ne visent pas uniquement les grandes entreprises ou les infrastructures technologiques. Les administrations publiques sont, elles aussi, particulièrement exposées, vu le nombre et la valeur des données traitées. Alors même que leurs ressources humaines et financières restent parfois limitées. Et le danger ne vient pas exclusivement de l’extérieur : les comportements quotidiens, une erreur de manipulation, un clic sur un lien frauduleux ou une gestion inadéquate des données peuvent aussi ouvrir la porte à un incident.
Le rôle des managers dans cette sensibilisation est donc essentiel. Sans devoir devenir des expert·es techniques, ils et elles doivent connaître les données dont leur service dispose, identifier celles qui sont sensibles, comprendre les risques et intégrer la sécurité dans les processus de travail.
Cela implique aussi de prévoir les moyens nécessaires dans les budgets, de clarifier les responsabilités et de collaborer avec les équipes spécialisées. Car la cybersécurité relève autant de la gouvernance que de la technologie. Tel était le propos du panel d’invités et invitées autour du thème de la protection et de la gouvernance des données : Guillaume Nguyen, chercheur et doctorant en Computer Science à l’UNamur, Océane Yahiaoui, Compliance Consultant chez Approach cyber et Jeoffrey Vigneron, avocat du cabinet Lawgitech.
Un cadre réglementaire pour renforcer la cybersécurité
Cette responsabilité de sécurisation est également encadrée par des obligations, notamment celles liées à la directive européenne NIS2. Trois intervenants, Stéphan André, Legal Officer au Centre for Cybersecurity Belgium (CCB), Julien Barbé, Senior Cyber Security Program Manager au SPW et David Blampain, Chief Information Security officer auprès de l’ETNIC nous en ont appris davantage sur ce cadre réglementaire.
Mais disposer d’un cadre réglementaire ne suffit pas : encore faut-il le traduire en mesures concrètes. L’enjeu est de passer d’une logique réactive à une démarche préventive, intégrée au fonctionnement quotidien de l’administration.
Sensibiliser pour transformer les comportements
La première ligne de défense reste humaine. Se former, former les équipes, communiquer régulièrement sur les risques, organiser des simulations de phishing et partager les enseignements tirés des exercices permettent de développer des réflexes durables.
L’objectif n’est pas de susciter la méfiance envers tout et tout le monde, mais d’apprendre à s’interroger avant d’agir : ce message est-il légitime ? Cette demande est-elle cohérente ? Ces données peuvent-elles être partagées ?
Cette culture de la sécurité suppose surtout que chacun·e puisse signaler une suspicion d’incident ou un incident sans craindre d’être blâmé·e. Plus un incident est remonté tôt, plus les équipes compétentes ont de chances d’en limiter les conséquences. La vigilance est ainsi l’affaire de toutes et tous..
L’intelligence artificielle, un nouvel enjeu de cybersécurité
L’intelligence artificielle ajoute une nouvelle dimension à ces enjeux. Elle est utilisée par les cybercriminel·les pour élaborer des messages frauduleux plus convaincants ou repérer des vulnérabilités. Mais, d’un autre côté, elle peut aussi contribuer à détecter des comportements anormaux et à renforcer la formation. Son utilisation exige toutefois des précautions : protéger les données internes, encadrer les accès et garder un esprit critique face aux résultats produits.
Quand l’attaque survient, la préparation fait la différence
Les retours d’expérience présentés lors du colloque rappellent le coût humain, financier et organisationnel d’une cyberattaque. Ainsi, Isabelle Quoilin a apporté son témoignage de l’incident survenu au SPW en avril 2025, qui a notamment entraîné une interruption de certains services pendant deux mois, avec des conséquences importantes pour les agent·es et les usager·ères. Simon Riguelle, Directeur du CORTEX tout comme Maria Chiara Properzi, analyste au CCB ont partagé les bonnes pratiques à adopter face à ces situations.
Notre invité, Benoit Joseph, CIO de la Ville de Liège nous a relaté l’attaque de leur administration par rançongiciel ayant nécessité plusieurs mois pour retrouver un fonctionnement normal, même si les services essentiels ont pu être rétablis plus rapidement. Les attaques n’épargnent aucun organisme, et se révèlent parfois sournoises, tel que le relatait Alain Brisy, DataProtection Officer chez Actiris, confronté à de faux employeurs qui essaient d’obtenir des listes de demandeurs d’emploi d’une certaine nationalité. Notre partenaire, de l’AdN, représenté par Stéphane Vince, Information & Technology Manager, a enrichi ce panel traitant des actions à prendre lors de la survenance de la crise.
Organiser la réponse à la crise
Au-delà des systèmes informatiques, c’est toute l’organisation qui peut se retrouver paralysée, y compris lorsque des partenaires suspendent leurs échanges par précaution.
Dans ces circonstances, il faut pouvoir décider vite, y compris en acceptant de couper temporairement certains systèmes pour éviter une compromission plus grave.
La leçon tirée de ces expériences montre qu’une gestion de crise efficace repose sur des responsabilités définies à l’avance, une cellule de crise identifiée et des procédures connues.
Face à une crise, il est également nécessaire de soigner sa communication, tant en interne qu’ auprès des citoyen·nes et des partenaires : expliquer ce qui se passe, préciser ce qui fonctionne encore et informer des mesures prises contribue à limiter l’incertitude et à préserver la confiance.
Anticiper pour assurer la continuité du service
La continuité d’activité doit, elle aussi, être anticipée. Que se passe-t-il si les applications deviennent indisponibles pendant plusieurs jours, voire plusieurs semaines ? Quels services doivent être rétablis en priorité ? Peut-on fonctionner temporairement avec des procédures papier ?
Ainsi, avant la crise, les sauvegardes, les solutions de secours et les plans de continuité doivent être testés et actualisés régulièrement. Prévenir une attaque est indispensable, mais se préparer à fonctionner, malgré elle, l’est tout autant.
Apprendre de chaque incident pour progresser
Une crise peut devenir un accélérateur de changement. Ainsi, les organisations qui ont traversé une telle épreuve ont parfois obtenu davantage de moyens et placé la cybersécurité au rang de priorité. Elles ont aussi tiré les leçons de l’expérience : pourquoi les signaux n’ont-ils pas été détectés plus tôt ? Les procédures étaient-elles connues ? Les décisions ont-elles été prises suffisamment vite ? Les services essentiels ont-ils pu continuer à fonctionner ?
Tirer les enseignements pour mieux prévenir les risques
Cette démarche d’amélioration ne doit pas attendre une nouvelle attaque. Les exercices de crise, les simulations et les analyses de risques permettent de repérer les failles avant qu’elles ne soient exploitées. Des outils comme CYFUN peuvent également aider les organisations à évaluer leur niveau de maturité et à identifier les mesures à mettre en œuvre.
La coopération entre administrations et avec les organismes spécialisés est tout aussi importante : partager les alertes et les retours d’expérience renforce la capacité collective à réagir.
Un message clair adressé aux managers
Au cours de la matinée organisée par l’EAP, les interventions d’experts et expertes ont mis en évidence que la cybersécurité n’est définitivement pas qu’une préoccupation de l’équipe IT, ni quelque chose à mettre sous la pile des priorités : elle se construit au quotidien. Elle exige des choix budgétaires, des compétences, une culture du signalement et une véritable préparation à la crise.
Dans son introduction, notre Directrice générale, Isabelle Küntziger, le soulignait tout comme les panélistes ouvrant la matinée, Isabelle Quoilin, David Blampain, cités plus haut, et Dominique Bücken, Responsable du département Informatique au ministère de la Communauté germanophone : il ne s’agit pas de garantir qu’aucun incident ne surviendra, mais surtout d’en limiter les conséquences. Ceci afin de permettre à son équipe et son administration de poursuivre ses missions. Autrement dit, être prêt·e ne signifie pas ne jamais tomber, mais savoir comment se relever.
L’EAP remercie, encore une fois, ces experts et expertes pour leurs messages et témoignages, instructifs tant au niveau préventif que curatif.
Alors, qu’allez-vous apprendre aujourd’hui ?
Une formation totalement dédiée à ce sujet à destination des managers est à votre disposition dans notre catalogue. Elle s’intitule Cybersécurité : les clés pour les managers. Inscrivez-vous pour apprendre à vous armer et à armer vos équipes, avant la crise.
De l’expertise à la transmission : les compétences clés des formateur·rice·s internes
