La Belgique ne manque ni de talents, ni d’entreprises compétentes, ni de chercheurs, ni d’institutions capables d’agir en matière de cybersécurité.
Elle manque parfois d’une chose beaucoup plus difficile à construire : une culture qui place durablement la compétence technique et opérationnelle au-dessus des logiques politiques, institutionnelles et de communication.
Et c’est regrettable, car la Belgique a tout pour devenir l’un des pays européens de référence en cybersécurité.
Je ne regarde pas cet écosystème de l’extérieur
Cette conviction ne vient pas d’une observation distante de la cybersécurité belge.
J’ai moi-même participé pendant des années à la construction de cet écosystème. J’ai notamment été à l’origine de CyberWal, avec l’ambition de rapprocher la recherche, la formation, les entreprises et les pouvoirs publics autour d’une véritable stratégie wallonne de cybersécurité.
L’objectif était simple : éviter que la cybersécurité ne devienne une succession d’initiatives isolées. Il fallait créer des compétences, rapprocher des acteurs qui se parlaient encore trop peu et transformer l’excellence scientifique dont nous disposions en capacités concrètes pour notre économie et nos institutions.
J’ai également eu la chance de travailler avec de nombreux acteurs publics et privés de la cybersécurité, en Belgique comme à l’étranger.
Cette expérience m’a appris une chose essentielle : nous ne manquons pas de compétences en Belgique. Nous avons parfois plus de difficultés à leur laisser suffisamment de place.
Au fil des années, j’ai vu la cybersécurité prendre une importance politique considérable. C’était nécessaire et, dans une large mesure, souhaitable.
Mais j’ai également vu apparaître les travers qui accompagnent parfois cette institutionnalisation : multiplication des niveaux de décision, recherche de visibilité, nouvelles structures, nouveaux comités et parfois une distance croissante entre ceux qui parlent de cybersécurité et ceux qui la pratiquent quotidiennement.
C’est précisément parce que j’ai contribué à construire une partie de cet écosystème que je pense aujourd’hui que nous devons avoir cette discussion.
La Belgique a énormément progressé. Mais elle peut faire beaucoup mieux.
Reconnaissons d’abord ce qui fonctionne
Il serait injuste de dresser un tableau entièrement négatif.
Le Centre pour la Cybersécurité Belgique (CCB) est devenu un acteur essentiel de notre dispositif national. La Belgique s’est dotée d’une véritable stratégie cyber, a transposé NIS2 et dispose aujourd’hui d’un écosystème réunissant autorités publiques, entreprises, chercheurs et spécialistes.
Notre pays possède également des chercheurs internationalement reconnus, des entreprises innovantes et une communauté cyber particulièrement active.
Les fondations existent donc.
Le problème n’est pas de savoir si nous avons commencé à construire quelque chose.
La question est désormais : sommes-nous capables de transformer ces fondations en avantage stratégique durable ?
La cybersécurité ne doit pas devenir un objet politique
La cybersécurité est devenue un enjeu de souveraineté et de sécurité nationale. Il est donc parfaitement normal que le monde politique s’en empare.
Mais il existe une frontière qu’il ne faut pas franchir : le pilotage politique ne doit pas se substituer à l’expertise opérationnelle.
Le politique doit définir les priorités, attribuer les moyens, contrôler leur utilisation et assumer les choix stratégiques.
Mais une vulnérabilité informatique ne connaît ni majorité ni opposition.
Un ransomware ne demande pas quelle administration est compétente avant de chiffrer un réseau.
Un attaquant étranger ne s’intéresse pas à nos équilibres institutionnels.
Et une infrastructure critique ne devient pas plus sûre parce que nous avons annoncé une nouvelle initiative.
La cybersécurité exige des décisions rapides, une expertise pointue et des responsabilités parfaitement identifiées.
Moins de politique dans la cyber opérationnelle ne signifie donc pas moins d’État.
Cela signifie au contraire un État suffisamment fort pour définir une stratégie, sélectionner les bonnes personnes et leur donner ensuite les moyens et l’autonomie nécessaires pour l’exécuter.
Notre complexité institutionnelle peut devenir une vulnérabilité
La Belgique possède une caractéristique que nous connaissons bien : nous aimons créer des structures.
Lorsqu’un nouveau problème apparaît, la tentation est grande de créer une agence, une plateforme, un conseil, un comité, un groupe de travail ou un nouveau mécanisme de coordination.
Chaque structure prise individuellement peut parfaitement se justifier.
Le problème apparaît lorsqu’on les additionne.
Qui décide ?
Qui coordonne ?
Qui possède réellement l’expertise ?
Qui intervient lorsqu’une attaque survient un vendredi soir ?
Et surtout : qui est responsable lorsque quelque chose ne fonctionne pas ?
Dans un domaine où quelques heures peuvent faire la différence entre un incident maîtrisé et une crise majeure, la complexité institutionnelle peut elle-même devenir une vulnérabilité.
Nous devrions appliquer à notre gouvernance cyber un principe que nous appliquons aux systèmes informatiques : réduire la complexité inutile.
Avant de créer une nouvelle structure, demandons-nous systématiquement si nous ne pouvons pas renforcer celles qui existent déjà.
Remettons les techniciens et les opérationnels au centre
Il existe en Belgique d’excellents spécialistes de cybersécurité.
Dans les entreprises.
Dans les administrations.
Dans les universités.
Dans les services de sécurité.
Dans de petites sociétés spécialisées que personne ne voit jamais dans les grandes conférences.
Pourtant, lorsqu’il s’agit de définir les grandes orientations, les profils institutionnels et les grandes organisations peuvent progressivement occuper l’essentiel de l’espace.
C’est dangereux.
La cybersécurité évolue beaucoup trop rapidement pour fonctionner uniquement selon une logique descendante.
Les personnes qui analysent quotidiennement des incidents, administrent des infrastructures, développent des produits, découvrent des vulnérabilités ou accompagnent concrètement les entreprises doivent participer davantage aux décisions.
Il faut également accepter une réalité parfois inconfortable :
la compétence cyber ne se décrète ni par un titre, ni par une fonction. Elle se démontre par l’expérience.
Arrêtons aussi de confondre conformité et sécurité
NIS2 constitue une avancée importante pour la cybersécurité européenne.
Mais elle entraîne également un risque : celui de transformer progressivement la cybersécurité en exercice administratif.
Politiques.
Registres.
Questionnaires.
Audits.
Certifications.
Tableaux de conformité.
Tout cela peut être nécessaire.
Mais tout cela ne suffit pas à arrêter un attaquant.
Une entreprise peut posséder une documentation impeccable et conserver des vulnérabilités critiques pendant des mois.
Elle peut disposer d’une politique de sauvegarde parfaitement rédigée sans jamais avoir testé sérieusement une restauration.
Elle peut imposer une formation annuelle à tous ses collaborateurs tout en laissant des comptes administrateurs insuffisamment protégés.
Inversement, une PME disposant de relativement peu de documentation mais d’une excellente gestion des accès, de sauvegardes réellement testées, d’une segmentation correcte et d’équipes compétentes peut présenter une résilience remarquable.
La conformité est indispensable lorsqu’elle oblige les organisations à améliorer leur sécurité.
Elle devient contre-productive lorsqu’elle devient une finalité.
La conformité doit servir la sécurité. La sécurité ne doit jamais devenir le simple produit de la conformité.
Mesurons davantage, communiquons peut-être un peu moins
Nous communiquons beaucoup sur la cybersécurité.
C’est utile pour sensibiliser.
Mais nous devrions parallèlement développer une culture beaucoup plus forte de la mesure.
Combien d’organisations sont réellement capables de restaurer leurs systèmes après un ransomware ?
Combien connaissent précisément leurs actifs critiques ?
Combien peuvent révoquer rapidement tous les accès d’un compte compromis ?
Combien détecteraient aujourd’hui une exfiltration discrète de données ?
Combien ont réellement testé leur plan de réponse à incident au cours des douze derniers mois ?
Ce sont ces indicateurs qui devraient nous intéresser.
La cyber ne devrait pas être évaluée au nombre d’initiatives lancées, mais à l’amélioration mesurable de notre résilience.
Investissons dans les compétences plutôt que dans les slogans
Il existe enfin une bataille beaucoup moins spectaculaire mais probablement beaucoup plus importante : celle des compétences.
Former davantage.
Attirer les jeunes.
Permettre aux experts techniques de progresser professionnellement sans devoir nécessairement devenir managers.
Valoriser les métiers techniques dans les administrations.
Créer davantage de passerelles entre entreprises, universités et secteur public.
Soutenir nos entreprises cyber lorsqu’elles commencent à grandir.
Et accepter qu’une expertise extrêmement spécialisée ait un prix.
Nous parlons énormément de souveraineté numérique européenne.
Mais cette souveraineté restera largement théorique si nous dépendons systématiquement de technologies et d’entreprises étrangères pour protéger nos infrastructures les plus importantes.
La souveraineté numérique commence aussi par notre capacité à créer, attirer et conserver nos talents.
La Belgique peut réellement devenir une référence
Je reste profondément optimiste.
La petite taille de notre pays peut même devenir un avantage.
Nous pouvons réunir rapidement les bonnes personnes. Nous avons d’excellentes universités, des entreprises innovantes, des institutions spécialisées et une communauté cyber dans laquelle beaucoup d’acteurs se connaissent.
Nous n’avons donc pas besoin de reconstruire entièrement notre modèle.
Nous devons surtout accepter quelques principes simples :
moins de politique dans l’opérationnel ;
moins de structures lorsqu’elles n’apportent pas de capacité supplémentaire ;
moins de communication pour la communication ;
moins de conformité purement documentaire ;
davantage de techniciens et d’opérationnels autour de la table ;
davantage de mesures objectives ;
davantage de responsabilités clairement attribuées ;
et beaucoup plus d’investissements dans les compétences.
Lorsque nous avons lancé CyberWal, l’idée de départ était finalement très simple : mettre les compétences ensemble pour créer une capacité collective.
Cette idée reste, à mes yeux, plus actuelle que jamais.
La cybersécurité est désormais une composante de notre souveraineté, de notre économie et de notre sécurité nationale.
Nous avons les talents pour être excellents.
Nous avons les institutions.
Nous avons les entreprises.
Nous avons l’expérience.
Il faut maintenant veiller à ce que la politique, les structures et les procédures restent au service de cette compétence — et non l’inverse.
La Belgique mérite mieux qu’une bonne politique de cybersécurité.
Elle mérite une véritable culture de la cybersécurité.
Axel Legay