La cybersécurité ne doit pas devenir un enjeu de la présidentielle

Un été qui aurait dû suffire

Le 14 août, pendant que le pays regardait ailleurs, le ministère de l'Action et des Comptes publics publiait son communiqué n° 953. Des accès illégitimes au système d'information de la Direction générale des finances publiques, intervenus en juin et juillet, obtenus par usurpation des identifiants d'un agent et d'un tiers habilité. 678 438 lignes de données fiscales et cadastrales extraites. Le lendemain, le parquet de Paris ouvrait une enquête et la confiait à l'Office anti-cybercriminalité. Le 18, en conférence de presse, la directrice générale des finances publiques ramenait le volume à environ 350 000 particuliers et 250 000 comptes professionnels, les chiffres de l'attaquant comportant des doublons, et rendait publique une troisième brèche détectée la veille sur un portail relatif aux successions.

Entre-temps, le même attaquant revendiquait l'extraction du serveur professionnel de données cadastrales, 252 149 lignes correspondant selon lui à plus de deux millions de titulaires, sur un système qui en contiendrait vingt millions. Ces derniers chiffres relèvent de la revendication et non de la confirmation, distinction que la couverture presse a largement écrasée. La répétition, elle, ne relève d'aucune revendication. Trois défenses différentes ont cédé en huit semaines, dans la même administration, sur trois périmètres sans rapport technique entre eux, chez un opérateur qui avait déjà reconnu en février des accès illégitimes au fichier FICOBA touchant 1,2 million de comptes bancaires.

Puis sont venus le ministère de l'Éducation nationale le 17 août, le cloud de l'État le 22, l'Institut de recherche pour le développement, Docurba. Une rentrée s'ouvre rarement sur un tel inventaire.

Le plus troublant tient dans un document publié quatre mois plus tôt. Le 9 avril 2026, l'ANSSI rendait publique la feuille de route des efforts prioritaires en matière de sécurité numérique de l'État pour 2026-2027. Dès sa première page, le texte constate que les intrusions et fuites ayant affecté en 2025 les systèmes d'information des ministères rappellent la persistance de vulnérabilités graves dans ces infrastructures. J'avais écrit à l'époque que ce document disait tout sans le vouloir : il demandait aux ministères des mesures de base, authentification multifacteur des comptes d'administration, suppression des comptes génériques, EDR sur les postes, tests de restauration, qui auraient dû être en place depuis longtemps. Le diagnostic était posé, publié, assumé, et le choix avait été fait de le rendre public précisément pour lui donner du poids. L'été a servi de démonstration.

Et le problème n'est pas d'abord budgétaire, contrairement à ce qu'on a beaucoup entendu en août. Le contrôle qui aurait plafonné le vol des 678 000 dossiers tournait déjà à la DGFiP depuis février, sur un seul fichier. L'étendre ne réclamait pas une rallonge à neuf chiffres, il réclamait une décision et un suivi.

Ce que j'ai appris en Wallonie sur le poids d'un calendrier électoral

Entre 2021 et 2024, j'ai supervisé une centaine d'audits d'administrations publiques wallonnes, dans le cadre du dispositif porté par Christophe Collignon, alors ministre du Logement, des Pouvoirs locaux et de la Ville. Le programme était sérieux et chiffré. Le gouvernement wallon avait dégagé 750 000 euros pour les audits de sécurité, avec une finalisation attendue au 30 mars 2023 au plus tard, 1,75 million d'euros pour l'acquisition d'équipements et de services de cybersécurité, et un subside de 2,735 millions d'euros à l'intercommunale iMio pour structurer l'offre à destination des communes et des CPAS. Le baromètre de maturité numérique des pouvoirs locaux publié en 2023 avait établi qu'un pouvoir local sur cinq avait connu au moins un incident au cours des deux années précédentes.

Les audits ont été réalisés. Ce qui a varié, c'est ce qui venait après.

Un bourgmestre inaugure une salle de sport. Il coupe un ruban devant une crèche rénovée. Personne n'inaugure une segmentation réseau, personne ne pose devant un annuaire durci. La dépense de cybersécurité a cette propriété désagréable de rester totalement invisible quand elle fonctionne, et d'apparaître comme un gaspillage rétrospectif dans les périodes où rien ne se passe. Devant un électeur, elle est difficile à défendre. Devant un collège communal à quelques mois d'un scrutin, elle est reportable sans coût apparent.

Or l'année 2024 apportait deux échéances aux pouvoirs locaux belges, les élections régionales et fédérales en juin, les communales en octobre. Toute une fin de législature s'est resserrée autour de ces deux dates. Les recommandations d'audit livrées en 2023 sont entrées dans une fenêtre où plus grand monde ne souhaitait engager une dépense que les électeurs ne verraient pas. Le décalage de décision, cet écart structurel entre le moment où l'on connaît un risque et celui où l'on agit dessus, ne se joue pas seulement dans la tête d'un dirigeant. Il se joue aussi dans un agenda institutionnel.

Puis le gouvernement wallon a changé, le ministre qui portait le dossier a quitté ses fonctions, et les rapports d'audit ont continué d'exister. Ce qui avait disparu, c'était le parrainage politique. En cybersécurité, une feuille de route sans parrain devient un PDF.

NIS2 : un texte consensuel pris en otage par un arbitrage qui ne le concerne pas

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été présenté en Conseil des ministres le 15 octobre 2024, deux jours avant l'échéance européenne de transposition de NIS2. Le Sénat l'a adopté le 12 mars 2025. La commission spéciale de l'Assemblée nationale a achevé son examen en septembre 2025, à l'unanimité, en pleine démission du gouvernement, après avoir adopté 244 amendements. Depuis, le texte attend la séance publique. Il n'a pas été inscrit à l'ordre du jour de la session extraordinaire de juillet 2026. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne et réclamé des sanctions financières, somme forfaitaire et astreinte journalière jusqu'à notification complète des mesures de transposition.

Le plus instructif, c'est la raison du blocage. Elle ne porte pas sur la cybersécurité. Le 4 février 2026, Philippe Latombe et Olivier Cadic, présidents des commissions spéciales à l'Assemblée et au Sénat, ont tenu une conférence de presse commune pour dénoncer publiquement une obstruction qu'ils attribuent à la DGSI. En cause, l'article 16 bis, introduit au Sénat par Olivier Cadic, qui interdit d'imposer aux fournisseurs de services de chiffrement l'intégration de portes dérobées, disposition dont l'Assemblée a même élargi le périmètre pour couvrir tout mécanisme produisant le même résultat. Le ministère de l'Intérieur défend la position inverse, au nom des besoins d'accès des enquêtes sur le narcotrafic et le terrorisme, et l'argument mérite d'être entendu pour ce qu'il est. La Commission supérieure du numérique et des postes a tranché en mars 2026 dans des termes qui ne laissent pas de place au doute : le retard ne s'explique ni par un manque de consensus parlementaire, ni par un agenda surchargé, mais par un désaccord politique ciblé. J'ai développé ce point au moment de la publication du ReCyF, et il est cousin de ce que l'Europe tente par ailleurs avec Chat Control.

Voilà exactement ce que je redoute. Un texte que tous les groupes politiques approuvent sur le fond est immobilisé depuis dix-huit mois parce qu'il transporte un arbitrage entre deux objectifs régaliens, la sécurité défensive et l'accès du renseignement, qui n'a rien à voir avec le contenu de la directive. Environ 15 000 entités françaises, contre 500 environ sous NIS1, attendent de savoir ce qui leur sera demandé, otages d'un affrontement auquel elles ne participent pas. L'ANSSI a publié dès mars 2026 un projet de Référentiel Cyber France, en précisant qu'il resterait un document de travail jusqu'à la transposition, tout en recommandant de ne surtout pas attendre pour l'appliquer.

C'est là que la distinction entre conformité et résilience cesse d'être un débat de conférence. Une organisation qui attend la loi pour agir fabrique de la conformité future, dont la date d'exigibilité dépend d'un calendrier parlementaire qu'elle ne maîtrise pas. Une organisation qui agit maintenant fabrique de la résilience immédiate, qui ne dépend d'aucun vote. Les attaquants de l'été n'ont consulté ni le Journal officiel ni l'ordre du jour de l'Assemblée.

Le post-quantique ne se représentera pas en 2032

La Commission européenne a adopté le 11 avril 2024 une recommandation sur une feuille de route coordonnée de transition vers la cryptographie post-quantique. Le groupe de coopération NIS a publié cette feuille de route le 23 juin 2025, avec trois jalons. Fin 2026, chaque État membre doit avoir adopté son plan national de migration et lancé des projets pilotes sur les cas d'usage à risque élevé et moyen, ce qui signifie avoir démarré et non être prêt, la nuance est régulièrement écrasée dans les résumés. Fin 2030, les infrastructures critiques et les cas d'usage à risque élevé doivent avoir basculé. En 2035, tout le reste.

La France a intégré ce calendrier dans sa feuille de route de sécurité numérique de l'État 2026-2027, avec des premières étapes d'inventaire en 2026 et 2027 et des objectifs de mise en œuvre à l'horizon 2030, suivis chaque mois en comité interministériel.

Regardez maintenant ces dates avec un calendrier électoral sous les yeux. Le scrutin d'avril 2027 tombe au beau milieu de la phase d'inventaire cryptographique, la moins spectaculaire et la plus déterminante de toute la migration. Un inventaire n'a jamais fait gagner une élection. Un inventaire qui n'aura pas été mené en 2027 sera une migration qui ne sera pas terminée en 2030, parce qu'on ne remplace pas ce qu'on n'a pas cartographié.

Je travaille en ce moment sur une feuille de route de migration post-quantique. Identifier les algorithmes à remplacer prend quelques mois. Garantir qu'une organisation tiendra ce plan pendant neuf ans, alors que ses dirigeants auront changé trois fois et sa gouvernance probablement autant, relève d'un tout autre exercice. À l'échelle d'un État, il faut multiplier cette difficulté par la fréquence des alternances et par le besoin qu'a chaque nouvel exécutif de marquer une rupture avec le précédent.

Il y a une raison pour laquelle cette échéance ne supporte aucun report. Les attaquants collectent aujourd'hui du trafic chiffré qu'ils sont incapables de déchiffrer, en pariant sur les capacités de calcul de demain. Harvest now, decrypt later. Une donnée de santé interceptée en 2026 sera encore sensible en 2035, et le dossier fiscal d'un contribuable ne se périme pas davantage. Le retard pris sur l'inventaire ne se rattrape jamais complètement, il se paie sur des données déjà volées.

Le réflexe de campagne : créer des organes plutôt que des capacités

En juillet 2026, Bruno Retailleau a présenté à Station F le volet technologique de son programme présidentiel, un document d'une cinquantaine de pages intitulé « L'IA au service des Français et de leur indépendance ». Je l'ai lu en entier et j'en ai publié l'inventaire sur X.

Ce que ce document crée, c'est presque exclusivement des organes. Un ministère de l'intelligence artificielle de plein exercice. Un directeur technologique de l'État doté d'une autorité sur l'architecture des systèmes d'information, la normalisation des achats et la doctrine de souveraineté, fonction dont le titre existe déjà dans l'administration. Une inspection générale du numérique rattachée à l'ANSSI et rapportant au Premier ministre. Un observatoire de l'emploi face à l'IA, alors que la Dares, France Stratégie et les observatoires de branche produisent déjà exactement cette matière, et que ce n'est pas leur production qui a manqué ces dix dernières années. Des espaces de données sectoriels, une marque, un guichet unique pour les data centers, une interface unique pour les appels d'offres européens qui existe déjà. Puis les livrables papier : un pourcentage de souveraineté à huit critères pondérés, un score public tenu à jour, une liste des solutions à remplacer, une cartographie des dépendances, une doctrine nationale de mise en sécurité, une publication annuelle des gains service par service. Une vingtaine d'artefacts qui produisent tous de l'information sur une capacité qui n'existe pas encore.

Le passage le plus révélateur se trouve page 30, et je ne suis pas certain que ses auteurs s'en rendent compte. Le document y explique que pour presque chaque outil étranger équipant l'État, une alternative française existe déjà, souvent déjà déployée quelque part dans l'administration. Il décrit donc un problème d'exécution pure : on sait quoi faire et on ne le fait pas. La réponse proposée consiste à publier une liste et à noter les outils sur cent. Un barème ne migre pas un système d'information.

Sur l'intelligence artificielle, cet exercice reste malgré tout légitime, et il faut le dire clairement. L'IA soulève des questions sur lesquelles un candidat a le droit, et même le devoir, d'avoir une position tranchée : le niveau de régulation européenne souhaitable, l'effet sur l'emploi public, l'ampleur de l'investissement, la place laissée aux acteurs extra-européens, le rythme de déploiement dans les services publics. On peut défendre la dérégulation ou son contraire sans être incompétent. Le débat démocratique y a toute sa place, et il doit s'y tenir.

En cybersécurité, il n'existe rien de comparable à arbitrer. Personne ne défend l'authentification simple, personne ne propose de retarder la migration post-quantique, aucune sensibilité politique ne revendique un niveau de protection inférieur pour les données des citoyens qu'elle administre. Quand un sujet ne comporte aucun clivage de fond, tout ce qu'une campagne peut lui ajouter, ce sont des structures et des documents. Et chaque structure nouvelle prélève du temps d'exécution sur un calendrier qui n'en a plus.

Ma critique de ce document n'a donc rien de partisan. Elle s'appliquerait mot pour mot au volet numérique de n'importe quelle autre formation, et je la formulerai à l'identique quand les autres publieront le leur. La souveraineté ne s'écrit pas dans un PDF, elle se décide avec un budget, une équipe, un périmètre et une date, et ce sont précisément les quatre choses qu'on ne trouve nulle part dans les cinquante-cinq pages.

Ce que je veux des citoyens, et ce que je ne veux pas des candidats

Je veux que les citoyens exigent de l'État qu'il protège leurs données avec la même évidence qu'ils exigent que l'eau du robinet soit potable. Je souhaite que la question soit posée aux ministres, aux préfets, aux maires, aux directeurs d'administration centrale, et qu'elle leur soit reposée. Ce que je ne veux pas, c'est que douze candidats arrivent en campagne avec chacun sa doctrine cyber.

Un candidat doit se distinguer, c'est la nature même de l'exercice. Se distinguer sur une feuille de route technique suppose de la modifier. Renommer l'agence, redécouper la gouvernance, redéfinir le périmètre des entités concernées, réannoncer une enveloppe existante sous un autre intitulé. Chaque modification de ce type coûte douze à dix-huit mois de réappropriation, de renégociation de marchés, de reconstitution d'équipes et de reprise de relations avec les opérateurs. Sur une échéance fixée à fin 2030, dix-huit mois représentent près d'un tiers du chemin restant.

Reste la question du régalien, qui est le vrai fond du sujet.

Le contribuable ne choisit pas de confier ses données au fisc, la loi l'y oblige. Le parent ne choisit pas de confier les données de son enfant à l'Éducation nationale, l'instruction obligatoire l'y contraint. Le patient hospitalisé ne négocie pas le contenu de son dossier. Quand l'État collecte par la contrainte, la protection de ce qu'il collecte cesse d'être une question de qualité de service pour devenir une obligation qui découle directement de cette contrainte. On ne rediscute pas tous les cinq ans du principe selon lequel l'État doit protéger l'intégrité physique des personnes qu'il administre, on discute des moyens. Pour les données, cette distinction s'est perdue en chemin.

Il faut dire ce que signifie l'échec de cette protection. Dans la nuit du 20 au 21 août 2022, le centre hospitalier sud-francilien de Corbeil-Essonnes a transféré des nouveau-nés de son service de néonatalogie vers d'autres établissements. En décembre de la même année, le centre hospitalier de Versailles déclenchait son plan blanc et transférait six patients, dont trois en réanimation. En février 2024, l'hôpital d'Armentières fermait temporairement ses urgences, avant que plus de 950 000 dossiers de patients ne soient diffusés. En 2021, le centre hospitalier de Dax a dépensé près de 2,3 millions d'euros pour reconstruire son système d'information.

Aucun de ces établissements n'a été attaqué parce qu'un camp politique avait remporté une élection. Aucun n'aurait été épargné par un autre résultat. Pour les familles concernées, la couleur politique du ministre qui portait le dossier cyber n'avait aucune espèce d'importance.

Ce qui protégerait réellement une feuille de route

Trois mécanismes suffiraient, et aucun n'est original puisque tous existent déjà dans d'autres domaines.

Le premier est budgétaire. La cybersécurité perd systématiquement l'arbitrage annuel contre une ligne visible, et elle le perdra encore cet automne pendant l'examen du budget 2027. Une programmation pluriannuelle, sur le modèle de ce que la loi de programmation militaire fait pour la défense, retire le sujet de la négociation de chaque exercice. Une programmation se révise, évidemment. Mais la réviser expose politiquement, alors que laisser filer une ligne budgétaire annuelle ne coûte rien à personne.

Le deuxième relève de la reddition de comptes. La feuille de route de l'État fixe des jalons datés au 30 juin 2026, au 31 décembre 2026, puis à l'horizon 2030. Leur suivi est assuré chaque mois par un comité interministériel, ce qui est utile en interne et parfaitement invisible à l'extérieur. Rendre ce suivi public et obligatoire devant le Parlement, quel que soit le gouvernement en place, change la nature du sujet. Un jalon mesuré publiquement survit nettement mieux qu'un jalon annoncé en conférence de presse.

Le troisième est un engagement partisan croisé, et c'est de loin le plus difficile à obtenir. Un accord signé avant la campagne plutôt que pendant, portant sur trois ou quatre échéances datées : la transposition de NIS2, l'inventaire cryptographique, la généralisation de l'authentification multifacteur sur les systèmes de l'État dont l'ANSSI a fixé le terme au 31 décembre 2026. Les signataires s'engagent à ne pas les rouvrir. Celui qui refuse de signer assume publiquement de vouloir remettre le calendrier en cause, et doit alors expliquer pourquoi. Le débat se déplace de la posture vers la responsabilité, ce qui est le seul déplacement utile.

Le 17 octobre 2024 est passé sans que la France ait transposé NIS2. Le 31 décembre 2026 arrive, avec le jalon européen sur le post-quantique et l'échéance nationale sur l'authentification multifacteur. Le 31 décembre 2030 suivra. Aucune de ces trois dates n'a jamais figuré sur un bulletin de vote, et aucune ne se décalera parce qu'un scrutin approche.

À lire également

• La feuille de route cybersécurité de l'État français : le document qui dit tout sans le vouloir
• ReCyF, backdoors et clés USB : la France en cybersécurité, entre lucidité et anachronisme
• FICOBA : 1,2 million de comptes bancaires exposés. Et maintenant, on fait quoi ?
• Chat Control 2.0 : l'Europe joue avec nos libertés numériques
• Cyberpsychologie et pouvoir : comment on manipule les émotions
• Piratage de la DGFiP : surtout, ne leur donnez pas plus d'argent (Atlantico, 21 août 2026)
• Les gestes concrets, par profil d'utilisateur, sont regroupés sur etrecyber.fr.

Sources

• Ministère de l'Action et des Comptes publics, communiqué de presse n° 953 du 14 août 2026, et conférence de presse de la DGFiP du 18 août 2026.
• FrenchBreaches, alertes secteur public, février et août 2026 (FICOBA, DGFiP, SPDC, ministère de l'Éducation nationale, cloud de l'État, IRD, Docurba).
• ANSSI, Feuille de route des efforts prioritaires en matière de sécurité numérique de l'État 2026-2027, publiée le 9 avril 2026, et communiqué du SGDSN du même jour.
• Groupe de coopération NIS, Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography, 23 juin 2025.
• Commission européenne, recommandation C(2024) 2393 du 11 avril 2024 sur une feuille de route coordonnée de transition vers la cryptographie post-quantique.
• Commission européenne, saisine de la Cour de justice de l'Union européenne contre la France pour défaut de notification des mesures de transposition de NIS2, 8 juillet 2026.
• Conférence de presse de Philippe Latombe et Olivier Cadic au Sénat, 4 février 2026, sur le blocage de l'article 16 bis du projet de loi Résilience. Avis de la Commission supérieure du numérique et des postes, mars 2026.
• Sénat, adoption du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, 12 mars 2025. Commission spéciale de l'Assemblée nationale, examen achevé en septembre 2025.
• Les Républicains, L'IA au service des Français et de leur indépendance, présenté le 7 juillet 2026 à Station F.
• Parlement de Wallonie, réponses ministérielles relatives au soutien à la cybersécurité des pouvoirs locaux (audits, équipements, subside iMio).
• Agence du Numérique, Baromètre de maturité numérique des pouvoirs locaux, 2023.
• Sénat et Assemblée nationale, questions écrites et orales relatives aux cyberattaques hospitalières (Corbeil-Essonnes 2022, Versailles 2022, Dax 2021, Armentières 2024, Cannes 2024).