Cybersécurité au Québec : un ministère démantelé après moins de cinq ans d’existence

Une semaine pour défaire un ministère

Le 28 octobre, les six sous-ministres adjoints du ministère de la Cybersécurité et du Numérique (MCN) sont mutés au Conseil du trésor. Le sous-ministre Stéphane Le Bouyonnec voit son mandat prendre fin prématurément, alors que son contrat devait normalement se poursuivre jusqu’en décembre 2027. Son poste n’est pas anodin : le sous-ministre du MCN agit aussi comme dirigeant principal de l’information du gouvernement, chargé de surveiller les projets informatiques de l’État.

Le 2 novembre, le président du Conseil du trésor, Alain Therrien, confirme la suite : les quelque 2 000 employés du ministère relèvent désormais de lui. La nouvelle ministre déléguée à l’Intelligence artificielle et au Numérique, Anne Nguyen, exercera ses fonctions sous son autorité.

Le ministère avait été créé le 1er janvier 2022 pour faire de la cybersécurité et de la transformation numérique une priorité de l’État. Il aura existé moins de cinq ans.

Le transfert d’abord, la loi ensuite

Le gouvernement reconnaît lui-même que les changements de structure nécessiteront une modification législative. Le ministère existe en vertu d’une loi, et seule une loi peut l’abolir. Pourtant, ses équipes ont déjà changé de patron.

Alain Therrien soutient que les transferts sont « parfaitement légaux » et qu’ils ne nécessitaient pas l’adoption préalable d’un projet de loi. Un projet de loi sera présenté à l’Assemblée nationale une fois la nouvelle structure établie, et les partis d’opposition seront consultés, promet-il.

Québec solidaire y voit un problème de reddition de comptes. Le député de Taschereau, Etienne Grandmont, reproche au gouvernement d’avoir modifié l’organisation de l’État avant tout débat parlementaire, et juge qu’il commence « bien mal » un mandat qu’il voulait placer sous le signe de la collaboration.

Lorsque le projet de loi arrivera devant les députés, une partie importante de la réorganisation administrative sera déjà en place. Ils devront alors se prononcer sur une transformation déjà amorcée.

Ce que gérait le ministère

Le MCN n’était pas un petit bureau d’experts informatiques. Selon son rapport annuel 2024-2025, il comptait 2 038 employés permanents et occasionnels. Son rapport faisait également état de 234 projets informatiques actifs déclarés par les organismes publics et de 8,64 milliards de dollars d’investissements planifiés en ressources informationnelles à l’échelle du gouvernement pour la période 2025-2035. Le réseau gouvernemental compte 26 centres opérationnels de cyberdéfense.

Concrètement, chaque fois qu’un citoyen utilise un service gouvernemental en ligne ou transmet des renseignements personnels à un ministère, il dépend de systèmes dont la sécurité et la coordination relevaient de ce ministère.

Près d’une ressource sur deux serait un consultant

Le Syndicat de professionnelles et professionnels du gouvernement du Québec (SPGQ) a réagi le jour même. Son président, Guillaume Bouvrette, avance un chiffre frappant : « Actuellement, au MCN, 44 % des effectifs sont des consultants. »

Pour le syndicat, changer l’organigramme ne règle pas ce problème. Il réclame des analyses rigoureuses et la consultation du personnel avant toute restructuration, et invoque les recommandations de la commission Gallant pour réduire la sous-traitance et miser sur l’expertise interne.

La référence n’est pas anodine. La commission Gallant a enquêté sur le fiasco de SAAQclic, la plateforme numérique de la Société de l’assurance automobile du Québec, devenu le symbole des dérapages informatiques de l’État et de la dépendance aux firmes privées. Etienne Grandmont craint lui aussi qu’une réorganisation axée sur la réduction des dépenses affaiblisse l’expertise interne et accroisse la dépendance de l’État envers les firmes-conseils et les entreprises américaines.

Un ancien dirigeant du ministère inquiet

Steve Waterhouse, spécialiste en cybersécurité et ancien sous-ministre adjoint chargé de la cybersécurité au MCN jusqu’en 2023, s’est dit profondément déçu. Selon lui, la mise en place du ministère a demandé cinq années d’efforts, et la décision survient sans raison apparente.

Il s’inquiète du départ de Stéphane Le Bouyonnec, dont il doute qu’un successeur maîtrise aussi bien les dossiers, et prévoit un choc entre les cultures des équipes du ministère et celles du Conseil du trésor.

Le gouvernement, lui, présente la réorganisation comme une façon de rendre l’administration publique plus efficace. Elle s’inscrit dans les priorités d’un gouvernement qui a aussi créé un poste de ministre délégué à l’Efficacité gouvernementale et à l’Allègement réglementaire de l’État.

Ce que le projet de loi devra dire

Le projet de loi annoncé devra préciser la structure qui remplacera le ministère, qui assumera le rôle de dirigeant principal de l’information et qui répondra politiquement d’un incident informatique majeur. Il devra aussi dire si la réorganisation s’accompagne d’un plan pour réduire la part des consultants, ou si elle se limite à déplacer 2 000 employés d’un organigramme à un autre.

D’ici là, la cybersécurité de l’État relève d’une organisation administrative en transition, sous la responsabilité du président du Conseil du trésor. Les modalités de remplacement de Stéphane Le Bouyonnec dans ses fonctions de dirigeant principal de l’information restent à clarifier publiquement.