SECTEURS — SECTEUR PUBLIC

Le citoyen ne vous a pas choisi. Il n’a pas d’autre guichet.

CE QUE VOUS DÉTENEZ

Des données que personne ne vous a confiées librement.

Un client mécontent d’une entreprise peut aller voir ailleurs. Un habitant, lui, n’a pas d’autre interlocuteur pour déclarer une naissance, obtenir un permis ou solliciter une aide. Et quand bien même il déménagerait, ses données auraient déjà transité par les mêmes registres.

Vos administrés vous transmettent leurs données parce qu’ils y sont obligés. Cela change la nature de votre responsabilité.

Registre de population, état civil, urbanisme, fiscalité locale, dossiers d’aide sociale. Ces derniers comptent parmi les plus sensibles qui existent : situations de précarité, difficultés familiales, éléments de santé, parfois des violences. Leur divulgation ne cause pas un préjudice financier, elle expose une personne dans ce qu’elle a de plus vulnérable.

S’y ajoutent les données de vos agents et de vos mandataires, ainsi que vos accès aux plateformes régionales et fédérales — autant de portes vers des environnements qui ne sont pas les vôtres.

POURQUOI LE SECTEUR PUBLIC EST VISÉ

Un service qui ne peut pas s’arrêter.

Une entreprise paralysée perd du chiffre d’affaires. Une administration paralysée ne délivre plus d’actes de naissance, ne verse plus d’aides, ne traite plus de permis. Ce ne sont pas des prestations commerciales : ce sont des droits.

Cette impossibilité de s’arrêter est précisément ce qui fait votre valeur pour un attaquant.

Il sait qu’une interruption devient rapidement un sujet politique, repris par la presse locale, discuté en conseil. La pression ne vient pas seulement de lui : elle vient de tout l’environnement.

S’ajoute un déséquilibre bien connu du secteur. Les moyens informatiques d’un pouvoir local sont sans commune mesure avec le volume et la sensibilité des données qu’il traite. Beaucoup fonctionnent avec une ou deux personnes pour l’ensemble du système d’information.

CE QUE LA LOI VOUS IMPOSE

Une zone grise dont peu sortent rassurés.

En Belgique, une commune, un CPAS ou une intercommunale n’est pas automatiquement soumis à la loi NIS2. Le Centre pour la Cybersécurité Belgique l’a confirmé : les pouvoirs locaux ne sont pas repris comme tels dans la loi.

Mais ce n’est pas une exemption : tout dépend de ce que vous faites.

Si votre administration exerce une activité qui figure, elle, dans la loi — production d’eau, gestion de déchets, énergie — vous entrez dans le champ. La frontière n’est pas toujours évidente à tracer, et certaines situations font débat — la production d’électricité par une administration a par exemple fait l’objet de précisions. C’est une question à vérifier au cas par cas, et l’autorité nationale met un outil à disposition pour cela.

À quoi s’ajoute la chaîne d’approvisionnement : un pouvoir local partenaire d’une entité soumise peut se voir imposer des exigences par voie contractuelle.

Le règlement sur les données personnelles, lui, ne connaît aucune zone grise. Il s’applique intégralement, avec ses délais de notification — qui supposent de savoir ce qui a fuité, et quand.

Comprendre ce que NIS2 implique

CE QUI ARRIVE CONCRÈTEMENT

Trois angles morts propres au public.

Le compte qui survit au mandat

Agents détachés, mandataires en fin de législature, stagiaires, prestataires ponctuels. Les arrivées sont formalisées, les départs beaucoup moins. Des accès restent actifs des années.

Le dossier social exposé

Une fuite touchant l’aide sociale ne se répare pas par une indemnisation. Ce qui est révélé concerne des situations que les personnes concernées cachent souvent à leur entourage.

Le paiement détourné

Un accès à vos outils permet de modifier les coordonnées d’un fournisseur en marché public. Les montants sont élevés, les circuits de validation longs, et l’écart n’apparaît qu’au rapprochement.

Aucun de ces trois cas ne suppose une intrusion spectaculaire. Un identifiant valide suffit.

Et cet identifiant ne se trouve plus chez vous. Il circule ailleurs, souvent depuis des mois, sans qu’aucun outil installé dans votre administration ne regarde dans cette direction.

CE QUE NOUS DÉTECTONS

Une surveillance à la portée d’un budget public.

Notre surveillance continue porte sur les identifiants et les accès de votre administration qui se retrouvent en circulation à l’extérieur.

Les comptes de vos agents, de vos mandataires et de vos prestataires, y compris ceux ouverts sur des services tiers avec une adresse de l’administration. Vos accès aux plateformes régionales et fédérales, à vos logiciels métier, à vos outils de gestion des marchés. Et les identifiants qui circulent après la compromission d’un éditeur : ce sont les vôtres qui se retrouvent dehors, pas les siens.

Pour chaque menace : sa provenance, sa date, le service auquel elle donne accès, et ce qu’il faut refermer en priorité.

Le modèle est construit pour des organisations dont les moyens sont comptés. Nous ne vendons pas un dispositif dimensionné pour une administration fédérale à une commune de dix mille habitants : votre formule suit votre exposition réelle, et s’allège quand celle-ci diminue.

Rien à installer, aucun accès à vos systèmes, aucune charge pour votre service informatique.

Voir ce qui circule sur votre administration

CE QUE ÇA CHANGE AU QUOTIDIEN

De quoi rendre des comptes.

Devant votre conseil

Une dépense de sécurité se justifie mal tant qu’il ne s’est rien passé. Un relevé daté de ce qui a été détecté et traité transforme un poste budgétaire abstrait en résultat visible.

Sur vos accès hérités

Chaque changement de législature ou de personnel laisse des comptes derrière lui. Savoir lesquels circulent permet de les refermer, plutôt que de les découvrir à l’occasion d’un incident.

Face à une violation de données

Les délais de notification sont courts et l’attente citoyenne est forte. Savoir ce qui a fuité, quand et vers quel service permet de répondre plutôt que d’improviser. Voir notre page conformité.

Avec votre délégué à la protection des données

Il doit documenter les mesures en place. Un dispositif actif, daté et traçable lui donne un élément concret à verser au registre, plutôt qu’une intention.

QUESTIONS FRÉQUENTES

Ce que les pouvoirs locaux nous demandent.

Ma commune est-elle soumise à NIS2 ?
Pas automatiquement. Les pouvoirs locaux ne figurent pas dans les annexes de la loi belge au titre de l’administration publique. En revanche, certaines activités exercées par une administration relèvent, elles, des secteurs listés : c’est l’activité qui détermine l’assujettissement, pas le statut.
Des panneaux photovoltaïques peuvent-ils nous faire basculer ?
Oui, et c’est l’exemple le plus souvent cité. Produire de l’électricité, même principalement pour sa propre consommation, peut suffire à qualifier une entité. Dans ce cas précis, la supervision appliquée est moins stricte et un niveau d’exigence de base est considéré comme proportionné.
Un CPAS est-il concerné de la même manière ?
Sur le plan de la loi NIS2, la situation est identique à celle d’une commune. Sur le plan des données, en revanche, un CPAS traite des informations d’une sensibilité particulière — précarité, situations familiales, éléments de santé. Le règlement européen s’y applique avec la même rigueur que partout ailleurs.
Nous n’avons qu’une personne à l’informatique. Est-ce gérable ?
C’est précisément le cas que nous visons. Notre travail ne demande aucune installation, aucune configuration, et ne mobilise votre service informatique qu’au moment de traiter une menace identifiée — avec une marche à suivre déjà établie.
Comment justifier cette dépense devant le conseil ?
Par le résultat plutôt que par le principe. Après quelques mois, vous disposez d’un relevé daté de ce qui a été détecté et de ce qui a été traité. C’est un élément concret, difficile à contester, et bien plus solide qu’un argumentaire sur le risque.
Erawyps nécessite-t-il une installation sur nos systèmes ?
Non. Nous travaillons exclusivement depuis l’extérieur : aucun agent, aucune connexion à votre réseau, aucune intervention de votre service informatique.
Erawyps est-il accessible pour un budget public contraint ?
Oui, c’est la raison d’être de notre modèle. La formule suit votre exposition réelle et s’allège dès que vos scans ne remontent plus rien. Le détail figure sur la page parcours client.
Obtenir des réponses sur votre administration