Le Centre de cybersécurité belge alerte sur un financement incertain

Qui décide des budgets de cybersécurité en Belgique ?

Ses recommandations s’appuient sur des évaluations de risques régulières, mais leur mise en œuvre dépend des décisions budgétaires prises chaque année par les pouvoirs publics.

Aucune loi n’impose un niveau minimal de financement pour la cybersécurité : les crédits sont inscrits au budget général, comme pour d’autres secteurs critiques (santé, défense, transports). Cette absence de cadre légal spécifique explique en partie les déséquilibres signalés par le CCB.

Un mécanisme budgétaire aux moyens fluctuants

Le financement de la cybersécurité en Belgique suit un modèle décentralisé, où les coûts sont répartis entre plusieurs acteurs. Voici comment fonctionne ce système :

• L’État fédéral couvre une partie des coûts nationaux, via des crédits inscrits dans le budget du CCB. Ces montants, estimés en dizaines de millions d’euros par an, visent à couvrir les opérations de détection, d’analyse et de réponse aux cyberattaques, ainsi que la formation des agents publics.

• Les entités fédérées (régions et communautés) gèrent leurs propres infrastructures critiques (hôpitaux, administrations locales, transports), avec des budgets variables selon leur taille et leurs vulnérabilités.

• Le secteur privé supporte une part croissante des coûts, via des investissements internes ou des contrats avec des prestataires spécialisés.

Le problème central réside dans l’absence de garantie sur le long terme. Les crédits alloués chaque année dépendent des négociations politiques et des priorités du moment. Or, les cybermenaces évoluent à un rythme tel que des retards ou des coupes budgétaires peuvent laisser des vulnérabilités non corrigées pendant des mois, voire des années.

Qui paie la facture, et qui en profite ?

Si les citoyens belges ne financent pas directement la cybersécurité via leurs impôts, ils en subissent indirectement les conséquences. Une attaque réussie sur les infrastructures publiques (hôpitaux, électricité, transports) se traduit par :

• Des perturbations du quotidien : retards de soins, coupures de courant, indisponibilité des services en ligne.
• Des coûts économiques : selon des études antérieures, une cyberattaque majeure peut coûter plusieurs centaines de millions d’euros à une économie, entre pertes de productivité et frais de rétablissement.
• Un risque accru pour la vie privée : les données personnelles (état civil, dossiers médicaux, coordonnées bancaires) deviennent des cibles privilégiées.

Les bénéficiaires directs des investissements en cybersécurité sont avant tout :

• Les administrations publiques, dont la réputation et l’efficacité dépendent de leur capacité à résister aux attaques.
• Les entreprises, surtout celles soumises à des régulations strictes (secteur financier, énergie, santé).
• Les citoyens, dont la confiance dans les services publics et les institutions repose sur leur résilience numérique.

Cependant, le manque de visibilité sur les retours concrets des investissements pose question. Contrairement à des secteurs comme les infrastructures routières (où l’impact est immédiat et visible), les bénéfices de la cybersécurité sont souvent difficiles à quantifier avant qu’une crise ne survienne.

Les vulnérabilités exploitées par les cybercriminels

Le CCB met en garde contre trois facteurs aggravants, directement liés à la structure actuelle des financements :

1. L’interdépendance des organisations : Une attaque sur un fournisseur de services (comme un hébergeur cloud ou un opérateur télécom) peut paralyser plusieurs secteurs simultanément. Par exemple, une panne chez un prestataire de paiement en ligne affecte à la fois les banques, les commerces et les administrations.

2. Les délais de correction des failles : Dans un environnement où les nouveaux logiciels et protocoles apparaissent en continu, les mises à jour de sécurité doivent être rapides. Or, un budget serré peut retarder ces corrections, laissant des portes ouvertes aux pirates pendant des mois.

3. La spécialisation insuffisante des agents publics : La cybersécurité nécessite des compétences techniques pointues, souvent rares dans les administrations. Sans formation régulière et des équipes dédiées, les risques d’erreur humaine (phishing, mots de passe faibles) augmentent.

Un débat ouvert sur la pérennité des moyens

La question qui divise les acteurs n’est pas tant l’utilité des investissements (reconnue par tous), mais leur niveau et leur stabilité. Deux positions s’affrontent :

• Les partisans d’un renforcement immédiat estiment que la Belgique, comme d’autres pays européens, ne peut plus se permettre de sous-estimer la menace. Ils soulignent que des cyberattaques réussies ont déjà frappé des administrations belges ces dernières années, sans que leur impact soit toujours rendu public. Pour eux, garantir un budget minimal et pluriannuel serait un signe de maturité pour un État moderne.

• Les défenseurs d’une approche pragmatique rappellent que d’autres secteurs critiques (santé, éducation) ont aussi besoin de financements. Ils plaident pour une priorisation rigoureuse, basée sur des évaluations de risques actualisées, plutôt que sur des augmentations automatiques de crédits. Certains évoquent aussi la nécessité de mobiliser davantage le secteur privé, via des partenariats public-privé ou des obligations légales renforcées pour les grandes entreprises.

Un point de convergence existe cependant : l’urgence d’un cadre plus stable. Aujourd’hui, les budgets dépendent trop des cycles politiques et des conjonctures économiques. Une loi cadre, fixant des objectifs clairs et des moyens pérennes, serait un progrès majeur. Mais son adoption dépendra de la volonté politique et de la capacité à convaincre que la cybersécurité n’est pas une dépense, mais un investissement.

Un contexte européen contrasté

La Belgique n’est pas isolée dans ce défi. Pourtant, les écarts de financement entre pays restent importants :

• D’autres États membres, confrontés à des contraintes budgétaires, peinent à suivre le rythme, malgré les subventions européennes disponibles.

La Belgique se situe dans la moyenne européenne, mais avec un retard structurel : ses investissements, bien que supérieurs à ceux de certains voisins, restent insuffisants pour couvrir l’ensemble des risques. Le CCB rappelle que les cyberattaques ne connaissent pas de frontières : une faille non corrigée en Belgique peut être exploitée contre des partenaires européens, et inversement.

Quelles solutions pour sortir de l’impasse ?

Plusieurs pistes sont évoquées pour stabiliser les financements et améliorer l’efficacité :

2. Harmoniser les efforts au niveau fédéral et régional, en clarifiant les rôles et responsabilités de chacun, et en évitant les doublons ou les lacunes.

3. Développer des partenariats avec le secteur privé, notamment via des centres d’excellence où entreprises et administrations échangeraient bonnes pratiques et alertes en temps réel.

4. Sensibiliser l’opinion publique, afin que les citoyens et les entreprises perçoivent la cybersécurité comme une priorité nationale, comparable à la sécurité routière ou la protection de l’environnement.

Pour l’instant, aucune de ces propositions n’a abouti. Le CCB continue de publier des rapports et d’alerter sur les risques croissants, mais sans levier politique pour imposer des changements. La balle reste dans le camp des décideurs, qui devront arbitrer entre urgences immédiates et investissements de long terme.

Une menace qui ne recule pas

Les cyberattaques ne sont pas un phénomène passager, mais une réalité structurelle, alimentée par la mondialisation des échanges, la complexité des systèmes informatiques et la professionnalisation des groupes criminels. En Belgique, où services publics et économie reposent en partie sur le numérique, cette évolution impose un choix clair : soit les moyens suivent le rythme des menaces, soit le pays s’expose à des perturbations majeures, avec des conséquences humaines, économiques et géopolitiques.

Pour l’heure, la question des financements reste ouverte. Si les dizaines de millions d’euros nécessaires chaque année sont une contrainte, leur absence serait un coût bien plus lourd, celui de la confiance perdue, des services publics paralysés et, peut-être un jour, des victimes directes.

La cybersécurité n’est pas un poste budgétaire comme les autres : c’est une assurance, dont on mesure la valeur uniquement après la catastrophe. Le défi pour la Belgique sera de le traiter comme tel, avant qu’il ne soit trop tard.