À la mi-octobre 2022, le Ministère de la Défense a créé le Commandement cyber. Celui-ci a été intégré au sein du Service Général du Renseignement et de la Sécurité des Forces armées (SGRS) afin de permettre à ce service d’exécuter ses missions dans le cyberespace. La présente enquête a montré que les structures de contrôle internes et les instruments de gestion confirment, dans la pratique, cette intégration légale du Commandement cyber au sein du SGRS.

La création du Commandement cyber a marqué une première étape dans l’approfondissement et l’élargissement des capacités cyber de la Défense, aboutissant finalement à la création, à partir de cette unité, d’une Force cyber à part entière, une des cinq forces de combat des forces armées belges.

La capacité cyber du Commandement cyber assure actuellement l’exploitation du cyberespace au profit du SGRS et de la Défense et apporte, dans certains cas, son soutien à la Nation. En fonction de sa mission, la capacité cyber relève d’un cadre juridique différent : la loi organique des services de renseignement et de sécurité (L.R&S) – dans ce cas, la responsabilité incombe au Commandement cyber du SGRS – ou bien l’Arrêté royal fixant la structure de la Défense et la Loi relative à la mise en œuvre et à la mise en condition de la Défense et son arrêté d’exécution, cas dans lequel la responsabilité incombe à la Force cyber. Bien que, d’un point de vue juridique, le Commandement cyber et la Force cyber soient deux entités distinctes au sein des forces de combat, ce n’est pas le cas sur le plan organisationnel. Le Commandant du Commandement cyber est également le Commandant de la Force cyber, et il existe une seule organisation au sein de laquelle tous les membres du personnel, le cas échéant, sont (doivent être) au service des deux entités. Alors que les missions et les compétences du Commandement cyber sont définies légalement dans la L.R&S, ce n’est pas le cas pour les missions de la Force cyber. D’autre part, les lignes hiérarchiques diffèrent selon que l’Unité cyber agit en tant qu’organe d’exécution du SGRS (Chef du SGRS) ou en tant que Force cyber (Chef de la Défense).

Cette dualité dans la structure juridique, bien que compréhensible et justifiée, comporte un risque d’ambiguïté dans l’exécution des missions et l’exercice des compétences, et risque de générer des discussions sur la compétence du Comité R/I en tant qu’organe de contrôle des activités de l’Unité cyber. Le Comité formule donc des recommandations concernant (1) la clarification des missions de la Force cyber, (2) l’intégration plus poussée du Commandement cyber au sein du SGRS et (3) l’octroi à la Commission parlementaire de suivi des missions militaires du pouvoir de charger le Comité d’effectuer un contrôle de la capacité cyber agissant en tant que Force cyber. Les autres recommandations portent sur la nécessité d’accorder une attention suffisante aux ressources financières consacrées à la capacité cyber, au soutien à la Sûreté de l’État (VSSE) et à une éventuelle révision de la compétence de « contre-attaque » du SGRS dans le cyberespace.