Les Pays-Bas ont été assignés en justice par la Commission européenne. La raison : le gouvernement n’a toujours pas transposé dans la législation nationale la directive sur la protection de secteurs vitaux tels que l’énergie, les transports, la santé et les infrastructures numériques. Le ministère de la Justice et de la Sécurité répond qu’« il faut d’abord de bonnes bases ». Cette réponse mérite un examen plus approfondi.

Le cadre de normes de sécurité de l’information sur lequel cela s’appuie, ISO 27001, existe sous la forme de ses prédécesseurs depuis les années 1990. La directive européenne est sur la table depuis des années. De plus, la législation commence à Bruxelles et les Pays-Bas en sont membres et peuvent simplement y participer, et pas seulement une fois que le texte est final. Une fondation aurait pu et aurait dû être mise en place depuis longtemps. De combien de temps le gouvernement a-t-il besoin ?

Le cabinet n’a pas ses propres joyaux de la couronne

Lors du débat sur le rachat de Solvinity, le cabinet s’est montré incapable d’indiquer quels sont les joyaux du gouvernement central. Cette liste était encore en cours d’élaboration. Dans le même temps, le même gouvernement appelle désormais les organisations vitales à s’armer contre les menaces. Une séquence remarquable : d’abord encourager les autres, puis faire l’inventaire de ce qui doit être protégé.

La pratique est désormais déconcertante. L’administration fiscale n’arrive pas à mettre de l’ordre dans sa propre messagerie et doit la sous-traiter. Les installations critiques telles que DigiD et Message Box ne peuvent pas être déplacées en quelques mois. Des incidents survenus au ministère public, au ministère des Finances, à Odido, à Rituals et à l’enquête démographique des Pays-Bas ont révélé à plusieurs reprises cette vulnérabilité.

“D’autres pays sont également à la traîne”

Le porte-parole souligne au Telegraaf que les Pays-Bas ne sont pas seuls : la Bulgarie, la France, le Luxembourg, la Pologne, l’Espagne et la Suède ont également été convoqués. C’est l’argument de l’automobiliste qui pointe du doigt d’autres excès de vitesse qui ont également écopé d’une amende. Cela ne change rien au fait que des pays comme la Grèce, l’Italie, la Croatie, Chypre, la Hongrie, Malte, la Roumanie, la Slovénie et la Slovaquie ont introduit la directive. Nous sommes à la traîne des pays que La Haye voudrait imiter, et des pays qu’elle préfère ne pas imiter.

Pas complexe, une question de volonté

Le gouvernement qualifie le processus de « vaste et complexe ». Mais l’essentiel est connu : respecter les normes, commencer la mise en œuvre dès que Bruxelles aura déterminé la direction et veiller à ce que les processus vitaux puissent résister à l’échec. Et ce qui est demandé, ce sont les bases de la sécurité de l’information et elles ne sont pas du tout nouvelles. Ce n’est pas une expertise particulière. C’est un travail manuel administratif. Ou, en termes de Rotterdam : ne parlez pas, polissez simplement.

Pour autant, la menace n’est pas abstraite. Le MIVD, l’AIVD, la NCTV et les services de renseignement étrangers mettent en garde en permanence contre les cyberattaques, le sabotage et l’espionnage en provenance de Russie, de Chine et d’Iran. Le directeur du MIVD parle d’actions qui restent juste en dessous du seuil d’un conflit militaire ouvert. Le cabinet l’entend, acquiesce et se réfère à la prochaine fondation.

Et alors

Deux propositions s’imposent. Demandez au gouvernement de rendre compte mensuellement à la Chambre des représentants de ce qui a été fait, de ce qui est en cours et de ce qui se passera au cours du mois à venir pour garantir que la sécurité et la résilience de l’information sont de mise. Concrètement, au niveau organisationnel, avec des délais. Et : suspendre les nouvelles ambitions politiques jusqu’à ce que la vie privée, la sécurité de l’information et les obligations européennes soient réellement en ordre. Celui qui n’a pas sa maison fermée à clé n’achète pas de nouveaux meubles.

Une action en justice de la Commission européenne devrait être un signal d’alarme. En matière de résilience, nous sommes des amateurs d’eau de rose. Pour l’instant, il s’agit principalement d’une nouvelle règle de dossier autour de laquelle le cabinet est en train d’écrire. La facture ne sera pas payée à La Haye, mais lors de la première défaillance majeure d’un secteur vital.

Cet article a déjà été publié le AG Connecter.