Quelles résiliences pour les collectivités territoriales ?
Legenda
Indicatori della trascrizione
- testo Frase in riproduzione
- testo Risultato di ricerca
- testo Intervento citato dal link che avete aperto
Cliccate su una frase per riprodurre il video da quel momento. Selezionate del testo per citarlo con oratore, orario e link.
Altre opzioni
Commission des affaires étrangères, de la défense et des forces armées Inizio effettivo Sénat
Oratore 3
Merci monsieur le président de la commission des affaires étrangères, de la défense et des forces armées, monsieur le président de la délégation sénatoriale aux collectivités territoriales et à la décentralisation, mesdames et messieurs les sénateurs, mesdames et messieurs, je tiens tout d'abord à vous remercier pour cette invitation à plancher devant vous. Alors c'est un exercice auquel vous m'avez rappelé monsieur le président, je me livre régulièrement et très volontiers, mais je salue le format nouveau de cette audition qui fait tirer un pont entre les affaires de défense et de sécurité nationale et les affaires, la déclinaison dans les territoires, c'est un sujet qui est plus que jamais d'actualité sur lequel je n'ai pas eu l'occasion de plancher dans ce format mais qui s'inscrit dans une collaboration déjà riche quoique pas forcément très ancienne mais de plus en plus riche et de plus en plus étroite entre l'ANSSI et les différents échelons territoriaux, collectivités en premier lieu mais pas que aussi avec les services déconcentrés de l'État pour traiter ces sujets qui n'épargnent plus personne. Avant de rentrer dans le vif du sujet, je vous réitère, messieurs les présidents, mesdames et messieurs, les plus plates excuses de Nicolas Roche, secrétaire général de la défense et de la sécurité nationale, qui devait également plancher devant vous à cette occasion, qui a été malheureusement retenu par un impératif opérationnel impondérable, mais qui m'a demandé de vous répéter qu'il se tenait bien évidemment à la disposition de la commission de la délégation pour à son tour vous parler de ces sujets dans un évidemment un champ bien plus vaste que celui que je pourrais traiter aujourd'hui, qui est celui de la cybersécurité.
Et avec des constats qui se rejoignent assez largement, je le précise sur le champ plus vaste de l'hybridité. Ce propos liminaire, je me permettrais de commencer de manière peu originale par un petit état de la menace, avant de rentrer dans la stratégie que nous comptons déployer pour y répondre et sa déclinaison territoriale. La menace genre je le répète d'année en année est forte aujourd'hui, elle est sans que ce soit une réelle nouveauté la superposition d'actions de services étatiques d'état adverse qui soit nous espionne, soit de plus en plus nous sabote ou du moins se prépare à nous saboter le cas échéant. Elle est le fait d'acteurs du registre criminel, qu'il s'agisse de crimes organisés ou pas si organisés que ça, mais qui sont guidés par des visées lucratives. Et elle est le fait d'acteurs aux contours beaucoup plus flous, qui sont les acteurs qu'on regroupe sous le terme d'activistes, qui sont là pour porter un message, défendre une cause, mais souvent surtout défendre leur réputation et se mettre en lumière.
Cette audition intervient 2 semaines après la publication du panorama annuel de la menace par l'ANSSI, c'est un exercice auquel nous nous livrons tous les ans consistant à décortiquer en quelque sorte tout ce que nous avons pu observer au cours de l'année passée, donc nous avons publié le bilan de l'année 2025. Sans en faire l'exégèse complète, et c'est un document que je recommande la lecture au demeurant, ce panorama il fait le constat d'une menace qui se maintient à un niveau haut, qui n'explose pas, même si certains pans de la menace particulièrement visible ont pu donner cette impression-là, on est sur un niveau d'incidentologie qui se maintient au même niveau que 2024. Alors ça pourrait sembler rassurant, ça ne l'est pas parce que 2024 était une année record pour nous, c'était une année olympique dans laquelle nous avons fait face à une forme de déferlante de cyberattaque, et donc le fait que ça se maintienne au même niveau en 2025 à quelques incidents près, n'est pas forcément une nouvelle très rassurante. Pour donner un ordre de grandeur, ça veut dire que l'ANSSI a traité au cours de l'année 2025 un peu plus de 3600 signalements, c'est-à-dire des appels à l'aide à l'ANSSI qui est ouverte et qui répond à ce type d'appel 7 jours sur 7, vingt-quatre heures sur vingt-quatre.
Donc une dizaine d'appels par jour, tous ne sont pas confirmés, mais on est sur un volume de 1366 incidents avérés qui ont nécessité une intervention de l'ANSSI sous une forme ou une autre, car un attaquant avait réussi effectivement à mener une cyberattaque. Donc on est là encore sur un volume conséquent de 4 incidents par jour, ce qui est quand même une pression permanente. Au-delà de la volumétrie, ce qui frappe mais qui est une constante depuis quelques années, c'est le caractère omniprésent de cette pression qui n'épargne personne, qui touche tous les pans de la société, de notre économie, qui touche tout particulièrement les collectivités territoriales. Parmi ce volume de 1366 incidents traités au cours de l'année, y en a plus de 300 qui concernaient des collectivités territoriales qui sont de facto le deuxième secteur le plus touché en volumétrie globale après l'éducation et la recherche, devant la santé. Je précise qu'il y a toujours des biais de sélection dans ces choses-là, il y a des secteurs d'activité qui rapportent plus d'incidents à l'ANSSI étant donné qu'il n'y a pas aujourd'hui d'obligation large de notifications à l'ANSSI des incidents de sécurité.
Donc il y en a qui sont plutôt enclins à déclarer à l'ANSSI, d'autres moins. Donc il y a sans doute un biais de sélection, mais il a une réalité tangible et qui, je pense, est mesurée par de nombreuses collectivités, malheureusement, qui est la réalité d'une menace qui n'épargne plus les collectivités et qui les touche de plein fouet depuis déjà quelques années. Cette menace, elle a pris par exemple la forme du rançongiciel, action non ciblée d'acteurs guidés par la recherche du profit qui consiste à paralyser leurs victimes sur le plan informatique et à exiger une rançon pour la libération. Si je poursuis dans cette ligne-là de l'informatique. Les collectivités sont toujours le deuxième public le plus touché par ces types d'attaques qui ont toujours des impacts très conséquents sur la délivrance des services publics parce qu'aujourd'hui il n'y a plus réellement de services publics qu'ils soient au niveau central ou au niveau local qui ne soit pas adossé d'une manière ou d'une autre au numérique. Le un fait nouveau dans ce domaine cybercriminel de l'année 2025, c'est celui qui été je pense le plus en visibilité, c'est la recrudescence ou l'augmentation significative des vols de données que nous expliquons en tout cas dans le diagnostic que nous en faisons pour l'année 2025 par une forme de changement d'approche de la part des acteurs criminels qui là encore sont guidés par l'appât du gain qui ont constaté que le rançongiciel marchait de moins en moins, et ça je pense qu'on peut s'en réjouir, mais qui du coup ont pivoté en quelque sorte pour voler des données.
Là encore dans une recherche d'extorsion de fonds ou de demande de rançon pour ne pas publier ces données dans la plupart des cas ou de revente simple pure et simple de ces données qui change un petit peu la donne en termes de victimologie parce que finalement c'est voler des données, ce n'est pas forcément très compliqué, malheureusement ça concerne tout le monde, l'état central, les administrations n'y ont pas plus que les grandes entreprises, pas plus que les petites entreprises, les collectivités, les associations, les fédérations de tous genres. Donc c'est une forme de là encore de menaces qui n'épargne personne, qui s'accompagne, je le précise sans que ce soit une manière de minimiser les choses évidemment, d'une forme de médiatisation, une stratégie de médiatisation par les attaquants qui revient à là aussi à une recherche de profit et qui fait que pour fixer les idées là encore 60% des attaques de ce type traitées par l'ANSSI étaient du bluff cours de l'année 2000 vingt-cinq. Ça c'est la partie visible de la menace, mais évidemment derrière tout ça il y a des choses qui nous inquiètent encore plus. Il y a un lien évident entre le contexte géopolitique et la réalité de la menace.
Un fait majeur de l'année 2025 est quand même la première attaque de sabotage attribuée, je ne commenterai pas cette attribution qui a été faite par nos homologues polonais, mais attribuée à la Russie contre des infrastructures critiques de manière coordonnée, puisque le vingt-neuf décembre 2025, une attaque simultanée a été menée contre une trentaine de points d'interconnexion entre des équipements de production d'électricité renouvelable et le réseau électrique polonais. Simultanément, une attaque a été menée contre une centrale thermique, et donc il y avait là une manoeuvre préparée de longue date, déclenchée de manière simultanée et coordonnée le jour J à l'heure H, et à un moment où couper le courant en Pologne n'est pas forcément anodin, avec cette finalité à l'évidence de perturber la distribution d'électricité. Et ça, c'est quelque chose qui est le témoin d'une des inhibitions qu'on voit à l'oeuvre de manière croissante dans les cyberattaques depuis déjà quelques années, qui ne fait que se confirmer et qui nous projette quelque part dans un scénario où la menace qu'on connaît haute et qui est grave aujourd'hui peut très significativement empirer. Et c'est ça le scénario central qui est posé dans le cadre de la revue nationale stratégique publiée en juillet dernier, celui d'un scénario qui verrait au gré d'une escalade des tensions géopolitiques simultanément nos forces armées engagées dans un conflit dit de haute intensité à la périphérie de l'Europe et une déferlante d'attaque du domaine hybride, le terme d'hybride n'est pas forcément très bien très précisément défini mais il renvoie à des choses qui je pense nous parlent à tous et toutes qu'il s'agisse de cyberattaque, de manipulation d'informations, de sabotage ciblé de drones et je ne me livrerai pas à une liste exhaustive là encore mais je pense qu'on a regorge malheureusement d'exemples en la matière ces derniers mois ces dernières années mais tout ça coordonné de manière à nous déstabiliser de manière générale, à paralyser le fonctionnement de la société française et de son économie, à nous faire réfléchir potentiellement ou à compliquer la logique de prise de décision dans un moment de grande intensité qui sous la forme en matière de cybersécurité prendrait si j'ose me projeter un peu dans ce scénario catastrophe, la forme de ce qu'on observe au quotidien mais totalement coordonnée, c'est-à-dire à la fois des attaques de services étatiques adversaires visant à paralyser, détruire, bloquer nos infrastructures critiques comme l'attaque subie par la Pologne en est un exemple, mais également le tissu cybercriminel et le tissu activiste mobilisé de manière coordonnée parce qu'il a quand même des liens de cohabitation qui interrogent en la matière pour paralyser tout le reste les acteurs du fonctionnement quotidien de la nation, des écoles, des collectivités, des centres hospitaliers, des PME et donc maximiser la pression et quelque part nous submerger sous les attaques.
Ce scénario il n'a rien d'une prédiction, ce n'est pas dit dans la revue nationale stratégique qu'il allait forcément se produire, mais c'est quand même quelque chose dont la probabilité s'accroît au regard de l'évolution tant des technologiques du contexte géopolitique à laquelle il faut se préparer à l'horizon 2030, qui est un vrai défi, a quelque chose de vertigineux, mais il vaut mieux poser les choses clairement qui nous pose, nous projette aussi dans une réalité nouvelle face à ces défis de menaces hybrides, cybersécurité, mais plus généralement je pense que je peux me permettre d'étendre ça à toutes les menaces hybrides, l'État seul ne sera pas capable de faire face. Et donc ça pose une nouvelle équation quelque part qui est ce qu'on essaye de mettre en oeuvre depuis déjà quelques années en matière de cyber sécurité, c'est une répartition des rôles, un partage des compétences, des connaissances, de l'expertise et des capacités d'agir pour que tout le monde se protège au juste niveau, et pour que si un jour la déferlante devait arriver, chacun soit en capacité d'apporter sa pierre à l'édifice de la protection collective. Que personne ne soit une victime facile, que des relais soient trouvés pour répondre à la crise, et que l'ANSSI, l'État de manière générale, puisse remplir son rôle mais sans être totalement submergé par une déferlante d'attaques.
C'est finalement ce qui a guidé la rédaction de la stratégie nationale de cybersécurité qui n'est pas un exercice purement d'écriture parce que je pense, je partage monsieur le président la méfiance vis-à-vis des stratégies incantatoires qui est quelque chose qui s'inscrit dans ce qui a été fait jusqu'à présent, qui est dans la continuité d'un certain nombre d'actions menées par l'ANSSI depuis déjà quelque temps mais qui nous donne des caps clairs, des priorités claires qui actent aussi le rôle primordial des collectivités et de la déclinaison territoriale dans cette réponse collective avec des changements en matière de gouvernance, alors je ne referai pas forcément dans ce propos liminaire toute la gouvernance des différentes chaînes opérationnelles qui fonctionnent déjà bien de sécurisation de l'État qui est et qu'on met en oeuvre au sein des administrations, mais avec une extension de cette gouvernance à une coordination des politiques publiques en matière de cybersécurité et à l'ensemble des parties prenantes dont les collectivités territoriales et leurs représentants, les différentes associations d'élus qui doivent plus que jamais être associés à tout cela pour trouver quelque part un modèle qui pose le bon équilibre entre un cadre général et une mobilisation des services de l'État dans les territoires, des préfets, des services du dernier kilomètre que sont notamment les forces de sécurité intérieure qui donnent des orientations et du soutien aux collectivités qui se saisissent de ces sujets sans fermer la porte à des initiatives locales évidemment et à une déclinaison adaptée à chaque territoire.
Je balaye rapidement, et je pourrais y revenir si vous le souhaitez, les 5 priorités de la stratégie nationale. La première et peut-être la plus déterminante, c'est le travail sur un vivier de compétences, parce que c'est quelque part le fameux facteur limitant universel pour l'ANSSI, pour les collectivités, pour les entreprises, pour tout le monde. Il n'y a pas assez de gens formés à la cybersécurité. Malheureusement, il en manque sur le marché de l'emploi et donc on doit travailler plus jamais à résoudre ce problème qui détermine tous les autres. Le deuxième est un chantier que nous appelons le changement d'échelle depuis déjà quelques années, qui est là encore le fait de relever la maturité et le niveau de sécurité de tout le tissu sociétal, économique, bien au-delà des acteurs opérateurs d'importance vitale par exemple sur lesquels nous avons concentré notre action jusqu'à présent.
Un troisième pan porte sur la mobilisation de tous les leviers d'action possibles pour être sûr qu'attaquer la France a un coût, et donc les leviers judiciaires, de sanctions économiques, diplomatiques, jusqu'aux militaires le cas échéant, doivent plus que jamais être mobilisés, non pas forcément pour dissuader les attaquants, mais pour les faire réfléchir en tout cas, et leur imposer un coup quand ils mènent des attaques contre la France. Je termine rapidement ces 5 objectifs en rappelant que tout ça s'inscrit aussi dans un pilier européen fondamental et international qui doit nous renforcer, dont découle une bonne partie du cadre réglementaire que nous mettons en oeuvre, et dans une logique technologique qui doit nous permettre aussi d'assurer que nous maintenons une maîtrise des technologies, notamment émergentes, qu'il s'agisse d'intelligence artificielle, d'ordinateur quantique et de ses conséquences sur la cyber sécurité. Donc nous assurer que nous ne perdons pas, au gré des évolutions des technologies, les leviers d'action que nous pouvons mettre en oeuvre aujourd'hui. Peut-être est-il utile, certainement l'est-il, de me pencher sur un certain nombre d'actions prioritaires qui concernent éminemment les territoires. Quelque part c'est quelque chose qui guide toutes les actions, déclinaison de cette stratégie, mais c'est tout particulièrement le cas de la mise en oeuvre d'un cadre réglementaire étendu, et je pense en particulier à la directive Lys 2 qui poursuit son examen parlementaire malgré quelques retards, et qui doit nous permettre dans sa transposition dans le droit national de porter des exigences fondamentales de sécurité auprès d'un tissu très étendu d'entités, qu'il s'agisse de collectivités, pas toutes, mais celles les plus grosses d'entre elles, ou d'entreprises privées, et également évidemment des administrations, d'un déploiement de programmes d'accompagnement qui tirent les leçons et les enseignements de ce que nous avons réussi à faire jusqu'à présent.
Je pense notamment à ce qui avait été fait dans le cadre du programme France relance qui nous avait permis d'accompagner et de sécuriser 945 entités dont une grande majorité de collectivités et d'établissements de santé avec un dispositif d'accompagnement adapté à des structures dont la maturité initiale est par nature même relativement faible et qui ont besoin d'être guidés dans le développement de cette cybersécurité. Je pense aussi à ce que nous avons fait qui est assez similaire dans le cadre de la préparation des jeux olympiques et paralympiques 2024 qui avait plutôt bien marché au profit d'acteurs d'une nature un peu différente, mais là encore partant potentiellement d'un niveau de maturité assez faible. Je pense en particulier aussi dans les grands objets prioritaires de cette stratégie, au à la pérennisation, à la structuration du réseau de ce qu'on appelle les CESIRT, c'est-à-dire les centres de réponse à incident que nous avons soutenu dans leur développement selon des logiques sectorielles, parce que certains secteurs d'activité se structurent bien, mais aussi local, avec le soutien à l'émergence de centres de réponse à incident de cette nature, de CESIRT, auprès des régions des territoires d'outre-mer.
Une expérience que je considère aujourd'hui comme réussie et à pérenniser, car ils apportent un réel soutien de proximité sans créer de redondance particulière, évidemment tout en veillant à les intégrer dans un dispositif national qui permette d'avoir une lisibilité de tout cela. Dans les acteurs également nouveaux mais qui je pense ont fait leurs preuves à ce stade, nous comptons également développer le réseau des campus cyber qui sont un objet un peu différent, un campus cyber national mais aussi des campus cyber régionaux qui sont nés à l'initiative des régions, qui permettent de créer des lieux de rencontre entre les porteurs de besoins de cybersécurité et les porteurs de solutions de cybersécurité, les services de l'État, des entreprises qui conçoivent des solutions de cybersécurité mais aussi des porteurs de besoins, qu'il s'agisse de collectivités ou d'entreprises, qui permet cette rencontre et qui je pense est plus que jamais nécessaire à une époque où nous devons, et je pense que vous l'avez souligné dans vos interventions liminaires, adapter une offre de solutions de cybersécurité à un public bien plus large qui n'a pas la même maturité, n'a pas vocation à l'avoir parce qu'on ne va pas demander à des patrons de PME ou de collectivités de devenir des experts en cybersécurité.
Donc ça, il faut aussi que ça percolle dans le tissu industriel. Dernier objet que je mentionnerai ici, le déploiement à grande échelle d'un programme d'entraînement qui, là encore, est un objet qui a fait ses preuves, notamment dans la préparation des jeux olympiques et paralympiques, qui permet de mettre en situation des gens dont le métier n'est pas la cyber sécurité, mais qui peuvent être confrontés un jour à une crise cyber. Nous l'avons fait par exemple en septembre dernier avec l'exercice rempart 2025 qui était une première pour nous parce qu'on a fait, on a entraîné simultanément 1200 63 organisations au dernier décompte dans toutes les régions hexagonales, dans 7 territoires d'outre-mer, dans 8 fuseaux horaires simultanément pour les projeter dans une crise cyber. Donc c'est quelque chose qu'on a vocation à reproduire mais qui surtout a vocation à se développer et à être repris. Le cadre d'exercice que nous avons mis en oeuvre à ce moment-là, nous l'avons partagé, réutilisable librement pour guider des initiatives locales dans les entreprises, dans des collectivités pour là encore généraliser ce processus d'accompagnement.
Pour ne pas être trop long, je conclurai aussi en faisant un petit état des lieux des ressources d'ores et déjà mises à disposition, notamment des collectivités territoriales pour les accompagner dans la cyber sécurité, en précisant bien à ce stade que vu de l'ANSSI, les collectivités territoriales sont évidemment des potentielles victimes à accompagner dans leur sécurité, mais aussi des acteurs de la cyber sécurité qui peuvent être mobilisés, peuvent y contribuer et que nous pouvons outiller dans le développement de logiques de cyber sécurité. Moi je fais le constat aujourd'hui qu'il n'est plus possible d'attendre. On a horizon, celui posé par la revue nationale stratégique, et même à bien plus court terme, une réalité de la menace qui doit conduire tout le monde à se mettre en mouvement et à développer la cybersécurité et la résilience cyber. C'est dans cet esprit-là que nous avons la semaine dernière publié dans une version préliminaire, puisque l'examen parlementaire n'est pas terminé, ce que nous envisageons d'imposer comme règle de sécurité au titre de la directive Nice 2, mais qui a vocation à s'appliquer à un champ bien plus large puisqu'il s'agit d'un travail conséquent mené en concertation avec des dizaines de fédérations professionnelles, avec toutes les associations d'élus, pour trouver le bon niveau d'exigence de cybersécurité à porter auprès de petites structures, de collectivités, de petites et moyennes entreprises, pour répondre en priorité à ce qui sont les vulnérabilités qui font la réalité de la menace aujourd'hui, sans porter un niveau d'exigence qui serait déraisonnable.
Donc c'est ça que nous essayons de faire et que nous allons continuer à faire dans l'accompagnement du quotidien. Évidemment, NIS 2 n'épuisera pas le sujet. Et donc nous avons un travail complémentaire avec d'autres acteurs, d'autres relais. Je mentionnerai ici parce que je pense que vous les avez auditionnés, l'agence nationale de la cohésion des territoires avec laquelle nous avons, également avec le ministère de l'intérieur, mis en place un programme de création de ressources adaptées, y compris sur le plan numérique. Je pense notamment à la suite territoriale qui n'a pas vocation à épuiser le sujet de l'équipement numérique des collectivités, mais de mettre à la disposition sans l'imposer, mais d'offrir à celles qui le souhaitent une solution intégrée pour les petites en particulier les petites communes ou les petites intercommunalités, une solution de base d'hébergement de messagerie qui permet de couvrir des services numériques essentiels et de mutualiser un peu l'effort de sécurisation.
Je pense aussi au travail que nous menons quotidiennement avec d'autres acteurs de la mutualisation, qu'il s'agisse des intercommunalités, qu'il s'agisse des OPSN, de réseaux comme le réseau déclic qui fait un travail formidable pour mobiliser ces acteurs-là également, et de tout le travail que nous menons à travers nos délégués territoriaux qui sont là. L'ANSSI a aujourd'hui la chance d'avoir un délégué dans chaque région de France hexagonale et un délégué globe-trotter pour les outre-mer, qui permettent aussi de faire ce lien avec les réalités de terrain et les acteurs locaux. Je ne serai pas plus long parce que je pense que je le suis déjà beaucoup sur ce propos liminaire, mais je conclurai simplement en vous disant que nous sommes au début d'une aventure de changement d'échelle et de déploiement dans tous les pans de la société, notamment dans les territoires de cette cybersécurité. Je pense que Nicolas Roche pourrait vous dire la même chose, de plus en plus généralement, de la protection contre des menaces hybrides, car la logique est la même, avec un réel partage des tâches et un vrai enjeu collectif qui mobilise également le secteur privé, que je n'ai pas beaucoup évoqué ici, mais qui est aussi un monde avec lequel nous travaillons, et plus que jamais.
Merci pour votre écoute.
Cédric Perrin
Et je merci monsieur le directeur, j'ai quelques demandes de prise de parole, je propose de les distribuer d'abord peut-être les rapporteurs pour avis du 129, on va commencer par Olivier Cadic et ensuite son collègue Michelle Vallet. Je vous en prie, allez-y.
Olivier Cadic
Merci monsieur le président, monsieur le directeur général de l'ANSSI, merci beaucoup pour ce propos. L'appel à manifestation d'intérêt à Emir Hayek lancé le vingt-deux août dernier posait des exigences explicites, une forte proximité territoriale, et la gratuité de l'assistance aux victimes de cyberattaques au titre d'une mission d'intérêt général. Or dans les faits, plusieurs dispositifs territoriaux reposent largement sur des opérateurs privés, notamment Orange Cyberdéfense dans le cadre des CSIERT. Dans ces conditions, comment garantissez-vous que l'argent public ne finance pas indirectement des prestations privées qui s'éloigneraient de l'esprit initial de cet appel à manifestation d'intérêt ? Et plus directement, considérez-vous que les dispositifs retenus sont pleinement conformes aux engagements que vous aviez vous-même fixés ? S'agissant des CSIRT, quel est leur modèle économique réel ? Quelle est la part exacte de financement public, et à terme, ces structures ont-elles vocation à être pérennisées par la subvention, à évoluer vers un modèle concurrentiel ? Par ailleurs, l'État finance déjà des dispositifs nationaux, notamment cybermalveillance.gouv.fr.
Comment justifiez-vous la coexistence de ces structures avec cybermalveillance sans qu'il y ait doublon, voire dispersion des moyens publics ? Une évaluation de cette efficacité globale a-t-elle été conduite ? Dans une interview que vous avez donnée à un grand quotidien, vous précisez que le rôle de l'État est de traiter la menace du haut du spectre avec les attaquants d'autres États. Pourquoi en ce cas l'ANSSI développe-t-elle des outils et services comme mes services cyber, plutôt destinés aux entreprises qui font concurrence aux acteurs économiques de l'écosystème ? Quel budget ? Quel montant de sous-traitance ? Combien de ressources humaines et de temps sont consacrés à mes services cyber ? J'en viens au cadre européen, la directive NIS 2, directive qui aurait dû être transposée il y a plus de dix-huit mois. Nous assistons également à la multiplication de vols massifs de données. Comment comptez-vous imposer NIS 2 aux administrations et collectivités qui ne respectent déjà pas les textes comme le RGS, le référentiel général de sécurité ou le RGPD, règlement général sur la protection des données, par exemple. Comment prévoyez-vous de décliner la stratégie nationale de cybersécurité auprès de l'ensemble de la population, au-delà de la seule sphère des ministères et services concernés ?
La France est aujourd'hui en retard, alors même que certains de nos partenaires comme la Belgique ou l'Italie ont déjà transposé NIS 2 depuis 18 mois. Quelles en sont les conséquences concrètes pour la France en matière de retard pour notre niveau de cybersécurité ? Disposez-vous d'éléments objectifs permettant de comparer la situation française, qui n'a pas transposé, avec celle des pays qui ont déjà transposé depuis 18 mois ? Enfin, j'aimerais vous entendre sur un point de cohérence. Si ce retard n'a pas d'impact mesurable à ce stade, comment justifier l'ampleur des obligations que cette directive impose aux entreprises françaises ? Autrement dit, sommes-nous face à une exigence réellement structurante en matière de cybersécurité ou à une contrainte normative dont l'efficacité resterait à démontrer ? Merci.
Cédric Perrin
J'ai 5 questions, je vous propose de répondre individuellement à chacun, merci.
Oratore 3
Alors j'essaie de répondre aux questions, évidemment toujours pertinentes, de monsieur Cadic sur ces différents sujets dans l'ordre. L'AMIR Halec, alors peut-être que je prendrai le temps de préciser ce qu'est cet AEMI Ralek parce que le terme est un peu barbare, c'est un appel à manifestation d'intérêt que l'ANSSI a lancé au cours de l'été 2025 pour soutenir des dispositifs locaux ancrés dans leur dans la réalité territoriale, c'était un des critères d'assistance aux victimes. Pense avec une pensée évidente pour le dispositif déjà en place dans un certain nombre de régions de ces CIRT régionaux, mais avec des critères assez larges. Il nous a permis de recueillir quatre-vingt-dix candidatures, je crois, dont nous avons retenu 16 avec une logique de couverture territoriale, évidemment, qui nous a permis d'apporter un soutien renouvelé à un certain nombre de ces CIRT préexistants, aussi de combler des manques. Je pense notamment à la région qui n'avait pas pu être embarquée dans le dispositif initial de soutien aux ces sirts.
Je pense tout particulièrement à Mayotte qui était un territoire qui a tout particulièrement, je le pense, besoin d'une capacité de proximité dans le traitement des cyberattaques car ça vaut pour tous les territoires ultramarins, l'insularité ne fait que magnifier les conséquences des cyberattaques. Un regret dans tout ça, c'est que nous n'avons pas pu faire la même chose pour la pollinisée française et que c'était quelque chose sur lequel nous devrons revenir parce que je pense qu'il est important de compléter cette couverture régionale. Nous avons eu des critères d'analyse assez clairs. Nous sommes, je pense pouvoir dire que nous sommes dans un bon usage des deniers publics. Évidemment, ces CIRT ne travaillent pas en concurrence avec les acteurs du secteur privé.
Ils font appel en tant que de besoin et renvoient à des prestataires privés pour le traitement d'incidents comme peut le faire au demeurant la plateforme nationale cybermalveillance point gouv point fr, qui renvoie aussi sur des prestataires privés là où ceux-ci sont pertinents. Et donc le but n'est pas du tout de créer une concurrence, mais en revanche de créer un interlocuteur de niveau régional ou local qui soit intégré, et je pense que c'est le bilan très positif que nous en tirons, intégré notamment dans les dispositifs d'accompagnement au développement économique portés par les régions comme un interlocuteur de référence, même de manière très basique, en s'assurant que toute entreprise accompagnée par la région dans son développement économique reçoit bien les coordonnées du CESIRT, a bien en tête qu'il y a là quelqu'un qu'elle peut appeler en cas de crise, quelqu'un vers qui elle peut se tourner en cas de questions, qui sont aussi des relais permanents de messages de sensibilisation au-delà de la simple réponse à incident. Et donc je pense que c'est un, là encore, un modèle pertinent. Je le vois aussi dans la capacité croissante de ces CCIRT régionaux ou territoriaux de manière générale à prendre à leur charge le traitement d'une certaine quantité d'incidents.
Donc c'est quelque chose qui décharge, je le pense, l'ANSSI et lui permet de se concentrer sur des incidents d'une gravité plus flagrante. Donc un certain nombre de choses peuvent être traitées au niveau de ces circuits territoriaux. J'observe que la transmission de relais s'opère sans grande difficulté et assez naturellement quand un incident d'apparence peu grave manifeste finalement une gravité suffisante pour justifier l'implication de l'ANSSI, et donc on a un passage de relais naturel avec ces sirtes territoriaux, mais aussi avec ces sirtes d'autres natures privées sectorielles. Je constate aussi que ces sites territoriaux sont aujourd'hui des citoyens à part entière, si j'ose dire, de la communauté des CIRT qui est manifestée à travers une association dont l'ANSSI a soutenu le développement initial, mais qui aujourd'hui vole de ses propres ailes, qui est l'Intercerte France et qui compte parmi ses rangs aujourd'hui un peu plus de 120 CIRT sectoriels, territoriaux, privés, les grandes banques ont toutes leurs CCIRT par exemple, et qui sont des acteurs de la coordination immédiate des traitements d'incidents dans le domaine bancaire par exemple, c'est une dynamique bien établie. Le modèle économique évidemment gagne à être formalisé et à être pérennisé compte tenu de ce retour très positif.
Nous avons traité ça de manière ad hoc jusqu'à présent, parce que c'était un des dispositifs émergents. Je pense que la stratégie nationale de cybersécurité prône en la matière une pérennisation sur la base d'un cofinancement, d'un financement à hauteur peu ou prou de 50 pour 100 par l'État parce qu'on est, on n'est pas dans une délégation, dans une mission d'utilité publique que l'État peut soutenir parce qu'il y voit aussi son intérêt, mais un financement également porté par les régions ou par des logiques de financement qu'on voit émerger dans certains cas avec une offre de base gratuite de ces sites territoriaux, et c'est une condition effectivement de l'appel à manifestation d'intérêt que nous avions porté, mais également des services payants le cas échéant ou des logiques de financement européens. Voilà, nous n'avons pas, nous n'aurons pas des contraintes fortes nécessairement sur la manière dont ce cofinancement sera exercé, mais je pense qu'il faut pour le pérenniser et pour s'assurer que c'est quelque chose qui à la fois rejoint le besoin ressenti par l'État, mais s'inscrit logiquement dans une dynamique locale, s'orienter vers ce cofinancement et l'inscrire dans les dynamiques ou dans les modèles normaux et usuels de financement des collectivités.
Je fais le même constat sur le dispositif porté par cybermalveillance en vous remerciant une fois de plus monsieur le sénateur du soutien que vous lui apportez à chaque occasion, ou de la nécessité, et je peux, je pense, qu'on peut se féliciter de ce succès collectif. Cybermalveillance aujourd'hui coexiste de manière harmonieuse et de manière de plus en plus structurée avec les cesseries territoriaux. L'ANSSI a financé et soutenu le GIP cybermalveillance, le groupement d'intérêt public pour intégrer les cessirtes territoriaux dans sa plateforme. Et aujourd'hui plus de la moitié de ces sites territoriaux sont actifs dans la plateforme du GIP cybermalveillance. Comme tout ça peut être un peu théorique, cela veut dire que tout citoyen français aujourd'hui peut se tourner, en cas d'acte de cybermalveillance, vers une plateforme unique qui est le 17 cyber, 17 cyber point gouv point fr, qui est un réflexe que je pense que nous avons intérêt à développer chez tous nos concitoyens et y être mis en relation à travers la même plateforme avec ces sites territoriaux s'ils existent, qui peuvent répondre au téléphone parce que la plateforme n'est pas une plateforme téléphonique, qui peuvent s'appuyer, apporter cet appui et ce soutien de proximité avec les forces de l'ordre qui peuvent préinstruire notamment un prêt dépôt de plainte et avec des prestataires privés qui sont ceux enregistrés auprès de la plateforme.
Et je trouve que ce modèle fonctionne aujourd'hui, qu'il gagne à être là encore enrichi, consolidé, structuré encore plus pour s'assurer que, alors je me méfie toujours des logiques de guichet unique, mais d'avoir un guichet de référence qui soit celui que tout le monde a en tête, et en s'assurant que quelle que soit la nature de la victime et la nature de l'incident, quand on appelle ou qu'on contacte, parce que ce n'est pas encore un standard téléphonique, quand on contacte la plateforme 17 cyber, on arrive dans tous les cas, et rapidement et efficacement, à être mis entre les mains de quelqu'un qui peut aider, qui peut aider efficacement. Le positionnement vis-à-vis de la menace du haut du spectre gagne à être un tout petit peu précisé, je le pense. Il y a un certain nombre de cyberattaques dans notre rôle de cyberpompier que seule l'ANSSI peut traiter. Et donc moi je suis assez vigilant à ce que nous ne nous emparions pas, là encore au détriment potentiellement du secteur privé qui peut tout à fait traiter une bonne partie des cyberattaques usuelles d'incidents qui ne nécessitent pas nécessairement l'intervention de l'ANSSI.
C'est encore plus vrai dans la perspective du scénario central de la revue nationale stratégique. Le jour où le ciel nous tombera sur la tête, si j'ose dire, où toutes les cyberattaques se produiront en même temps, des attaques très avancées et des attaques moins avancées, il faudra que l'ANSSI puisse se concentrer sur les attaques les plus avancées qu'elle seule peut traiter, qu'elle seule peut traiter dans le cadre du C-C-CAT, c'est-à-dire dans une collaboration aussi avec nos partenaires des services de renseignement qui viennent nourrir notre compréhension de la menace. Et donc c'est pour ça que nous avons d'ores et déjà un positionnement de chefs d'équipe ou de coordination ou de chefs d'orchestre, toutes les images sont bonnes en la matière, d'une équipe de France qui est constituée aussi de ces CIRT territoriaux, privés, sectoriels, de prestataires de réponse à incident de GIP comme le GIP cybermalveillance qui tous et toutes à leur niveau traitent un pan de la menace. Et je trouve que ça fonctionne aujourd'hui de manière harmonieuse parce que là encore la coordination est bonne, la circulation d'information est fluide et le transfert de relais parce que c'est une nécessité parce qu'on n'a pas toujours connaissance de la gravité réelle d'une cyber-attaque quand on y est confronté initialement, le transfert de relais s'opère de manière fluide avec l'ANSSI lorsque ça le nécessite.
Ceci étant, l'ANSSI a vocation à s'occuper et à apporter une mission de service public au profit de tous nos concitoyens, coordonner les efforts à ne pas faire elles-mêmes toutes seules mais à faire certaines choses, et c'est dans ce sens-là par exemple que nous développons la plateforme des services cyber qui n'est autre qu'une simple mise en forme et mise à disposition de l'ensemble du corpus de recommandations et des ensembles des outils fournis par l'ANSSI mis en place notamment dans la perspective de la mise en œuvre de Nice 2. Mes services cyber, ce n'est pas quelque chose de très nouveau, pour répondre sans m'avancer trop sur les chiffres parce que je ne les ai pas de manière précise en tête, mais c'est un budget total de quelques centaines de milliers d'euros pour la conception de ce nouveau service. Ça a mobilisé 2 ou 3 ETP au sein de l'ANSSI pendant le temps nécessaire à sa conception parce que ce n'est autre qu'un site web qui met en forme de manière plus accessible et avec une grille de lecture qui se prête notamment à l'entrée dans le jeu de la cyber sécurité d'un nouvel assujetti ANSSI 2 qui met en forme un certain nombre d'outils préexistants et de recommandations préexistantes.
Je reste sur ces questions Nice 2, le respect de Nice 2. Alors évidemment je regrette autant que vous le retard de transposition Nice 2. Je ne le commenterai pas parce que je ne m'appartiens pas à commenter calendrier parlementaire, mais plus vite ça arrivera, mieux nous nous porterons. Est-ce qu'on peut objectiver la réalité des conséquences de ce retard, difficile à dire de manière statistique. Je ne peux m'empêcher de noter qu'un certain nombre d'incidents qui ont été, qui ont fait l'actualité ces derniers temps, sont strictement des incidents auxquels vise à répondre Nice 2, que ce soit par les mesures techniques préconisées par Nice 2, la généralisation ou en tout cas la mise en oeuvre de la double authentification pour les réseaux d'administration par exemple, la sécurisation des bases de données, des choses comme ça, qui sont quelque part des choses dont on mesure quotidiennement le manque malheureusement. L'obligation de notification d'incident, alors je ne reviendrai pas dans les détails, par exemple sur l'affaire CGDIM récente, mais de fait on observe aujourd'hui une notification parfois volontaire mais non générale des incidents à l'ANSSI, et dans un certain nombre de cas une implication tardive des pouvoirs publics, alors que nous aurions pu aider à limiter la casse si nous avions été prévenus plus rapidement.
Donc oui, j'en mesure de manière anecdotique et pas statistique aujourd'hui les conséquences concrètes de ce retard, et quelque part Nice 2 est une réponse collective au niveau européen à cette menace que nous observons aujourd'hui. Sur la déclinaison à la population de manière très générale, je vous renvoie aussi à d'autres objets que je n'ai pas évoqués dans la stratégie, mais qui sont des missions qui mobiliseront, je le pense, aussi le GIP cybermalveillance d'une campagne de sensibilisation à grande échelle et d'un portail grand public pour passer des messages de prévention à destination de la population. Désolé de cette longue réponse, à je l'espère l'ensemble.
Cédric Perrin
C'est très intéressant, mais j'appelle à la concision parce que sinon nous n'arriverons pas à terminer, à donner la parole à tout le monde. Michelle Vallet.
Mickaël Vallet
Écoutez, je vais être concis parce que vous avez fait le tour de la question. Vous avez répondu sur la question du financement des ces circuits régionaux, mais je voudrais simplement avoir la confirmation que ce n'est pas juste un souhait de votre part et que vous avez des informations, comment dire, claires sur le fait que dans la présentation par le gouvernement du prochain budget de l'État, il y a bien la volonté de ce financement à 50 pour 100. Et du fait de savoir surtout si ça sera un financement suffisant pour rester au même niveau d'activité. Après il vous reste l'inconnu de savoir si la collectivité mettra ou pas sa part, considérant qu'on est quand même un peu dans un flou en termes de compétences. À un moment où le Premier ministre, dans ce qu'il envisage comme un nouvel acte de décentralisation, précise qu'il faut qu'on sache qui fait quoi.
Donc peut-être que vous êtes un peu en porte-à-faux là, sur le sujet. Donc je voudrais bien savoir si ce que vous nous avez esquissé est quelque chose qui a une vraie, comment dire, tangibilité sur la question des fonds. Sur la question de Nice, vous ne commentez pas le calendrier parlementaire, mais on a quand même du mal à comprendre comment on sort une stratégie nationale sans avoir la base légale pour le faire. Mais je comprends bien que vous n'allez pas aller plus loin sur ce sujet. Je reviendrai sur la question de sibel point gov.
Nous avions pointé lors des auditions à la fin de la dernière année civile notre incompréhension sur l'absence d'augmentation des moyens, mais vous nous aviez répondu que c'étaient des moyens suffisants sur cyber malveillance. Vous dites que le dix-septième cyber entre dans les moeurs. Donc s'il entre dans les moeurs, il a vocation à se développer, à avoir plus de sollicitations. Vous avez évoqué le fait que ça soulage l'ANSSI qui peut se concentrer non pas sur l'essentiel, puisque tout est important dans ce domaine, et que si on cumule le nombre de cyber arnaques auxquelles nos concitoyens sont confrontés à coups de 1000 ou 2000 euros sur votre compte bancaire que vous vous faites détourner, ça commence à faire à la fin. Mais vous avez besoin de vous concentrer sur les sujets sur lesquels vous êtes les seuls à pouvoir répondre en termes, je dirais, techniques.
La question est quand même de savoir si vous envisagez au-delà de la simple possibilité pour cyber de répondre à des appels à manifestation d'intérêt qui sont parfois, et ce n'est pas le cas pour vous, mais c'est une méthode depuis quelques années au niveau de l'état central de gérer la pénurie, en fait les appels à manifestation d'intérêt. Si vous envisagez une augmentation des moyens de cyber malveillance dont vous êtes je crois formellement le président quoi de la structure. Donc voilà mes questions complémentaires, concises, monsieur le président.
Oratore 3
Merci. Alors sur le, ces questions de financement, je me hisserai très haut au-dessus de ma conviction, de ma condition si je me prononçais sur le futur budget de l'État. Je pense que là je ne suis pas le légitime à vous en parler. En revanche, oui c'est une réalité tangible puisque cette logique de cofinancement est inscrite dans la stratégie nationale de cybersécurité, donc elle fixe une intention. Le risque que des collectivités ne s'inscrivent pas dans cette logique de cofinancement est assumé et quelque part voulu en ce sens que de tels dispositifs n'ont de sens que si les conseils régionaux qui les mettent en oeuvre et qui y contribuent y trouvent aussi leur intérêt.
Et je pense qu'on veut se tenir à l'écart d'un modèle dans lequel l'état central imposerait et financerait un modèle unique en disant que toute région doit avoir son CESIRT régional. Il faut que ça, pour que ça ait un sens et pour que ça marche, et on l'observe aujourd'hui, il faut que ça s'inscrive dans une dynamique régionale et dans tout ce que les régions peuvent faire là encore à la croisée de ces enjeux de cybersécurité, de développement économique. Pour le dire d'une autre manière, il y a un certain nombre de PME, notamment que seule la région peut atteindre. En tout cas ce n'est pas l'ANSSI qui arrivera à les atteindre elle-même, et donc on se base là-dessus aussi pour créer des dynamiques au niveau régional. Je ne me prononcerai pas non plus sur le débat plus large sur les compétences des collectivités, mais je reconnais qu'il y a aussi un débat en matière de numérique et de compétences en matière de cybersécurité numérique des collectivités sur lequel je n'ai pas forcément d'avis légitime à donner, mais dans lequel tout ça va s'inscrire de manière plus générale.
Là encore, réitérer en réitérant que je regrette que nous n'ayons pas aujourd'hui de cadre légal national sur Nice 2. Nice 2 n'est pas dépourvu de base légale puisque c'est du droit européen, mais voilà, donc quelque part il nous faudra d'une manière ou d'une autre transposer Nice 2 en droit national à un moment. Sur les moyens de cybermalveillance, je rappellerai déjà que l'ANSSI est depuis le début le principal financeur de cybermalveillance, en tout cas le SGDSN, puisque c'est un BOP unique en termes comme on dit. Donc on est contributeur depuis la naissance de ce groupement d'intérêt public, et nous avons d'ailleurs incubé comme on dit maintenant ce groupement d'intérêt public à sa naissance. Ces moyens sont portés par l'État, mais également par la contribution de ses membres.
Ils peuvent être renforcés au-delà des dotations usuelles reconduites d'année en année par des conventions de financement, et ça a déjà été le cas. La création du dix-sept cyber a donné lieu à un financement supplémentaire du GIP à cyber malveillance de 700 000 euros de mémoire initialement, et un financement récurrent de 300 000 euros pour assurer l'exploitation de la plateforme dix-sept cyber qui est dimensionnée à la juste taille pour les coûts de cette plateforme. L'ANSSI a ajouté dans le cas d'une autre convention un financement complémentaire initial et récurrent, je crois à hauteur de 500 000 euros aujourd'hui pour l'intégration de ces circuits régionaux de l'ANSSI elle-même dans cette plateforme disette cyber, pour nous assurer de la complétude de la couverture. Donc il y a des financements et des abondements au budget du GIP qui permettent aujourd'hui de porter ces missions nouvelles. Sans trop m'avancer sur la déclinaison concrète de la stratégie nationale, il y a des objets dans la stratégie nationale qui pourraient utilement mobiliser le GIP cybermalveillance, qu'il s'agisse de campagne de sensibilisation à grande échelle ou de mise en place d'un portail de prévention grand public.
Là encore le GIPA cima, c'est bien mieux que l'ANSSI parlait à nos concitoyens, il l'a démontré, et il a démontré son efficacité en la matière. Donc tout ça pourrait être confié au GIP et faire l'objet là encore de financements supplémentaires dans le cadre de conventions ou de suivi de l'extension de ces missions. Donc oui le GIPA CIMA est financé en fonction de l'évolution de ces missions et continuera à l'être, et je le dis avec une forme de schizophrénie assumée entre ma fonction de directeur général de l'ANSSI et de président du conseil d'administration ACIMA. Il n'y a pas d'inquiétude de ma part sur ce plan.
Michelle Gréaume
Merci, monsieur le directeur général, pour toutes les informations. Moi je vais intervenir concernant la responsabilité de l'État, l'indemnisation des victimes, et notamment sur la scierie noire des ministères. En moins de 4 mois, depuis décembre 2025 à mars 2026, les ministères de l'intérieur, des sports et de l'éducation nationale ont subi des intrusions majeures ayant exposé des données personnelles de 1 000 000 de citoyens français. La série d'attaques contre les ministères de l'Intérieur concernait notamment le traitement des antécédents judiciaires ou des fichiers des personnes recherchées. Concernant le ministère des Sports, c'est 3 000 005 de foyers passeports en décembre 2000 vingt-cinq.
Et l'Education nationale, c'est le portail qu'on passe en mars 2000, vingt-six, qui concerne 243 000 enseignants. Cette série d'attaques révèle une défaillance systémique. Le vecteur d'attaque est à chaque fois trivial, mot de passe en clair, compte non sécurisé. L'ANSSI avait-elle été consultée sur la sécurité de ces systèmes ? C'est ma première question. Comment expliquer que des bases de données aussi sensibles n'aient pas d'authentification multifacteurs généralisée en 2026 ? En fait, les ministères subissent des attaques, les victimes sont des 1 000 000 de citoyens, mais l'État ne voit que rarement sa responsabilité engagée ni pénalement ni financièrement.
Les Français se font hacker leurs données, ce qui représente un danger en termes de risque d'identité ou de chantage en tout genre. Alors que le RGPD impose aux entreprises privées des amendes en cas de violation de données, les administrations en sont exemptées. Ne faudrait-il pas introduire dans notre droit un mécanisme de responsabilité administrative et d'indemnisation automatique des victimes de fuites de données publiques à l'image de mécanismes d'indemnisation des victimes d'accidents médicaux ? Plus généralement, la France dispose-t-elle d'une capacité d'intervention proactive pour neutraliser les données volées sur les forums criminels et le dark web, pardon, avant qu'elles ne soient exploitées massivement ? Merci.
Oratore 3
Merci. Alors, je ne serai pas dans une lecture qui verrait la série noire limitée au seul État. L'état a fait les frais au même titre que des entreprises de toutes tailles et des opérateurs de toutes natures, les frais de ce pivot d'une partie de la menace que je mentionnais, c'est-à-dire des attaquants du registre criminel qui ont fait moins de rançongiciels et qui ont compris que du vol de données, c'est malheureusement relativement facile aujourd'hui encore, ça peut être monétisé, peut-être pas dans les mêmes proportions que le rançongiciel, mais ça, ça marche. Je garde une prudence sur les chiffres, là encore avec cette observation que 60 pour 100 des revendications qu'a traité l'ANSSI étaient fausses, soit du bluff complet, soit de l'exagéré, soit du recyclage et que dans celle qui était avérée, il y a toujours une logique d'exagération. Ceux qui portent ces revendications d'attaque, les attaquants n'ont pas de raison d'être particulièrement honnêtes, sont de base des criminels et ont particulièrement une motivation à exagérer les faits, voire à bluffer pour augmenter les prix, si j'ose dire.
Donc moi je reste très prudent sur ces bases de données ou sur les volumétries exactes. Mais il y a une réalité tangible et particulièrement problématique, évidemment, des vols de données à grande échelle qu'on subit nos concitoyens, qu'on subit des entreprises, qu'on subit un peu tout le avec parfois des logiques d'attaques qui peuvent être pas si triviales que ça, ou en tout cas dont la localisation ou le fait générateur n'est pas si trivial que ça, puisque ce qu'on observe de plus en plus, ce sont aussi des attaques qui se propagent le long de chaînes de valeur dans lesquelles des sous-traitants se font attaquer et des données se font voler auprès de sous-traitants. Donc là encore on a tendance à identifier une victime centrale d'une cyberattaque, mais potentiellement elle ne s'est pas fait attaquer directement, c'est peut-être un de ses sous-traitants, et de plus en plus c'est une réalité dans les attaques que nous traitons. Mais de fait la possibilité même de ces attaques rappelle de manière régulière et malheureuse la réalité de vulnérabilité que nous cherchons à combler, qu'un cadre légal comme Nice 2 vise à combler, que d'autres pans du droit européen comme le règlement sur la cyber résilience, cyber résilience act, CRA, vise à combler sur un autre pan puisqu'il s'adresse lui aux fournisseurs du numérique, aux éditeurs de logiciels qui ont aussi des responsabilités quand ils livrent des logiciels qui sont vulnérables et qui doivent donc les corriger.
Donc voilà, on a ce cadre à mettre en place qui fait partie de la réponse, qui n'épuisera pas la réponse, mais qui doit avoir un effet assez systémique. Sur la notion de responsabilité de l'État, il me semble que le RGPD ne protège pas nécessairement les administrations ou les opérateurs publics de sanctions. Je serai très prudent pour commander ce qui est, commenter ce qui relève de l'action de la CNIL, autorité indépendante puisque la régulation au titre du RGPD, les logiques de sanctions sont portées par la CNIL, mais la CNIL a sanctionné récemment tant des opérateurs privés que des opérateurs publics suite à des fuites constatées au cours de l'année 2025, et je pense qu'elle continuera, en tout cas elle en a affirmé l'intention de continuer à sanctionner les manquements flagrants à des obligations de protection des données. Mais je ne commenterai pas plus ce sujet qui ne relève pas de mes compétences. Sur la logique de proactive d'aller enlever des données sur internet, je crois que malheureusement une fois que les données sont parties sur internet, il est vain d'essayer de les faire disparaître.
L'internet est ainsi fait que quelque chose qui y figure y est reproduit à l'infini. Et au demeurant c'est, ça fait partie du problème également, parce que dans les fuites de données, on a un effet auto-entretenant puisque la fuite de données d'aujourd'hui, si elle contient des mots de passe, peut nourrir la cyberattaque de demain. Donc ça fait partie de ce phénomène qu'on a bien en tête de l'accroissement et de l'intensification de la menace si on ne prend pas les mesures de sécurité élémentaires qui permettent de la contrer au moins dans cette nature. En revanche, ce qui marche, et on peut s'en réjouir, c'est l'action de la justice. Non pas pour récupérer les données parce qu'une fois dans la nature, elles sont malheureusement perdues, mais pour confronter aux conséquences de leurs actes les auteurs de ces types d'attaques. Et je pense qu'on peut se réjouir du fait que lorsqu'ils ne sont pas à l'abri de l'action de la justice, c'est-à-dire dans des localités ou des pays qui n'ont pas d'accord d'extradition avec la France, les auteurs de ces faits sont de plus en plus régulièrement interpellés.
Je me risquerais même à dire que ça explique une partie de l'activité intense observée en matière de fuite de données, puisqu'une partie de tout cela, ce n'est pas le seul fait générateur, relève aussi de logique de conflits réputationnels entre cybercriminels suite à des interpellations. Je pense notamment à la galaxie dite shiny hunters, désolé pour leur languisme, c'est comme ça qu'ils se sont appelés, dont un certain nombre de membres ont été interpellés par la justice française en 2025, et un certain nombre de revendications de fuite de données notamment contre l'état en 2025 ont été formulées au titre d'une forme de vengeance des cybercriminels de ceux qui restent en liberté contre l'action de la justice et des forces de police françaises. Je pense, j'espère, mais je pense sincèrement qu'ils jouent un jeu perdant en la matière et que ceux qui sont à la portée de la justice finiront par être confrontés aux conséquences de leurs actes.
Cédric Perrin
Monsieur le directeur, je suis désolé, mais je vous invite vraiment à la concision. Il me reste 4 questions et je ne pense pas qu'on arrivera au bout. Donc Philippe Paul d'abord, qui s'exprime au nom d'Hux-Sauri et Mariette Carlotis, semble-t-il.
Philippe Paul
Oui. Merci, monsieur le Président. Moi, c'était à l'origine des questions qui étaient prévues pour Monsieur Nicolas Roche.
Philippe Paul
Je veux bien poser. Vous verrez si monsieur Strubel, si vous pouvez y répondre. Sinon, on pourra le saisir par écrit, donc j'interviens en tant que corapporteur avec mes collègues Hugues Sori et Marie-Arlette Carlotti de la commission sur le thème de la résilience face aux nouvelles menaces, mais aussi en tant que rapporteur pour avis du programme 152 gendarmerie nationale. Avec plus de 3 000 brigades territoriales, la gendarmerie nationale dispose d'un réseau sans équivalent auprès des collectivités petites et moyennes. Sa connaissance des territoires la place en première ligne pour assurer la résilience de nos systèmes et de nos populations. Concrètement, quelle coopération a été mise en place par votre collègue Roches avec la gendarmerie sur ce volet ?
Ou alors la première question de ma collègue Marie-Arlette Carlotti, il y en a 2 questions. Numéro un, outils à destination des élus. Vous proposez sur votre site des outils de formation à destination des élus, notamment un guide intitulé mieux connaître la stratégie nationale de résilience disponible sous 2 formes différentes, ainsi qu'un guide de la continuité d'activité. Disposez-vous de statistiques sur le téléchargement de ces documents par les élus ? De manière plus générale, avez-vous mis en place des indicateurs permettant de suivre l'état d'avancement de la mise en place de l'ASNR ? Question numéro 2 de Marie-Arlette Carlotti, comparaison internationale, avez-vous pour l'élaboration de la stratégie nationale de résilience pris en compte les politiques conduites par nos voisins dont certains comme la Suède, la Finlande ou les Pays-Bas semblent plus avancés dans le domaine de la préparation des populations ? Et les 2 dernières questions de notre collègue, question numéro un, rôle des acteurs privés, la résilience des systèmes et de l'approvisionnement implique une coordination poussée avec des acteurs privés de garantir une continuité en cas de crise. Le SGDSN s'est-il doté d'un point de contact avec ces acteurs ? Font-ils l'objet d'actions de sensibilisation sur ce sujet ? Question numéro 2, stratégie nationale de résilience.
N'y a-t-il pas un paradoxe dans le fait de ne pas publier la stratégie nationale de résilience tout en demandant à un public très large de la mettre en oeuvre ? Ainsi, le guide Mieux connaître la stratégie nationale de résilience, mis à disposition des élus, dispose d'un ensemble de tâches à mener à bien, comme recenser les compétences disponibles dans votre territoire et susciter les vocations d'engagement pour être en mesure de répondre à une crise majeure au plus près du terrain, mais sans lui indiquer les moyens ou les ressources à disposition. Voilà, j'ai fini.
Cédric Perrin
Je me permets de donner la parole à l'ensemble des personnes qui souhaitent poser des questions pour une réponse globale. Ludovic Haye et ensuite Jean-Luc Ruelle.
Ludovic Haye
Merci, messieurs les présidents. Merci, monsieur le directeur général. Très rapidement, je vais être concis. Donc merci déjà d'avoir rappelé, monsieur le directeur général, tout ce qui a été mis en place ces dernières années pour travailler justement à cette organisation. On sait d'où nous partons, c'est-à-dire de pas grand-chose.
Et il a fallu passer de la sensibilisation à un niveau d'efficacité beaucoup plus important. Aujourd'hui, par rapport à tout ce que vous avez évoqué, je pense que jusqu'aux ces sites régionaux, pour les grandes régions qui en ont, on est relativement bien organisés avec, ça a été dit, un renforcement par le dispositif dix-sept cyber qui vient lui aussi pallier un certain nombre de lacunes. Pour moi, le sujet se situe peut-être après, je dirais sur le dernier kilomètre. Aujourd'hui il est utopique pour l'ANSSI de vouloir pouvoir intervenir sur les trente-six-mille communes de France, chacune ayant presque sa propre configuration informatique, on imagine bien que les besoins et les problèmes sont totalement différents. En revanche, on, et ça a été dit aussi, on a aujourd'hui peut-être, enfin c'est bien, beaucoup d'acteurs qui sensibilisent sur les risques cyber.
La gendarmerie nationale par son maillage territorial, ça a été dit, bien souvent renforcée par les chambres CCI, les chambres de commerce et d'industrie pardon, et puis parfois encore renforcée par les associations d'élus. Et c'est là où peut-être un maire aujourd'hui qui rencontre un problème le samedi matin ou le dimanche matin. Aujourd'hui, avant d'arriver au CESIRT et d'être guidé, c'est ce kilomètre-là qui manque. Et qu'est-ce qui va se passer ? C'est généralement il fait appel à son prestataire pour ceux qui ont, pour ceux qui ont la chance d'en avoir un. Son prestataire informatique qui après une analyse assez rapide procède à une restauration et remet en état le sujet.
Voilà donc ça c'est peut-être des choses qui ne vous, qui ne remontent pas au niveau national en disant bon voilà, c'est des incidents qui sont je dirais résolus lundi, donc ça ça se passe plutôt bien. Mais en l'occurrence, je pense qu'en termes d'organisation, peut-être que les préfectures ont un rôle à jouer puisque c'est un sujet qui concerne mes collègues en ce moment, renforcer le rôle des préfectures. La commune étant le plus petit maillon, le maillon élémentaire de la République, peut-être que la préfecture a un rôle à jouer pour organiser le dernier kilomètre. Jean-Luc Ruelle.
Jean-Luc Ruelle
Merci président. Merci beaucoup, monsieur le directeur général, pour ces informations. Donc j'ai 2 petites questions. L'une, pourriez-vous préciser si lorsqu'une collectivité territoriale est victime d'une cyberattaque, elle est soumise, comme les entreprises privées, à une obligation de déclaration auprès de l'ANSSI. Ensuite, par ailleurs, avec la directive NIS 2, certaines entités devront s'enregistrer auprès de l'ANSSI et notifier les incidents.
Pouvez-vous nous indiquer ce que cela changera concrètement pour les collectivités, alors que les modalités précises restent encore à définir par décret ? Je vous remercie.
Oratore 3
Je vais faire synthétique et alors je vais dégainer aussi un joker de simplification en m'abstenant de répondre à la place de mon chef sur un certain nombre de questions relatives à la stratégie nationale parce que je le ferai forcément beaucoup moins bien que lui, et je pense qu'il serait très heureux de répondre à vos questions lui-même sur ces différents plans. Peut-être en fusionnant un peu certaines de ces questions et je n'oublie pas la question sur la gendarmerie nationale, mais ça fait partie de la réponse au dernier kilomètre. Oui, nous avons une collaboration étroite de longue date et qui se structure de plus en plus avec la gendarmerie nationale, avec les forces de sécurité intérieure de manière générale, mais de fait sur une grande partie du territoire, ce dernier kilomètre est couvert essentiellement par la gendarmerie nationale. Cette collaboration, elle prend différentes formes sur les messages de sensibilisation qui sont synchronisés, la mise en oeuvre d'outils de diagnostic qu'on a fait converger pour aider à poser ce premier diagnostic quand on est, on veut aborder ce sujet de la cyber sécurité.
La première question à se poser c'est par quoi on commence et pour ça il faut poser un diagnostic et je trouve que ça marche très bien et que la gendarmerie y contribue par ces forces actives mais aussi par ces réservistes qui sont un cadre de réserve fortement mobilisé sur ces sujets-là. Évidemment, ça n'épuise pas le sujet du dernier kilomètre. Je pense et je souhaite que nous inscrivions dans la durée les liens noués avec les associations d'élus au gré de la consultation sur Nice 2. On travaillait avec l'ensemble des associations d'élus depuis 2023 pour préparer ce cadre national de déclinaison de Nice 2. Je pense que nous devrons garder ce lien fort dans la mise en oeuvre et plus généralement dans la sensibilisation, la diffusion de fiches réflexes ou de choses comme ça.
Les chambres consulaires sont aussi des relais importants et je pense que là encore ce travail et cette dynamique régionale, locale de manière générale ne peuvent qu'être encouragés en prenant les expériences qui ont marché, en essayant de les généraliser tout en laissant une place à l'initiative locale et donc cet enjeu de gouvernance renouvelé dans la stratégie nationale de cybersécurité trouve toute sa place. Il y a aussi des outils de portée nationale qui peuvent aider à ça, et donc je pense qu'on aura gagné énormément le jour où collectivement on aura fait en sorte que l'ensemble de nos concitoyens, y compris les élus, y compris les maires de petites communes, mais aussi l'ensemble de nos concitoyens et concitoyennes, aient en tête ce réflexe 17 cyber. On a un formidable outil avec le 17 cyber qui permet qu'on construit, qu'on continue de construire, pour permettre la mise en relation avec tous les aidants potentiels, tous les intervenants potentiels pertinents en cas d'actes de cybermalveillance au sens large. Et je pense qu'il faut marteler ce discours-là et l'intégrer dans la prévention à grande échelle. Sur les collectivités, alors avec la prudence d'un projet de loi de transposition de Nice 2 qui n'est pas encore définitivement voté.
Mais ce qui est proposé à ce stade, c'est que certaines d'entre elles seulement soient soumises à des obligations sans faire toute la typologie et l'arbre de décision, les communes de moins de 30000 habitants n'y seront concernées qu'à travers leur intercommunalité de rattachement. On n'a pas, je pense que personne n'a envie d'imposer des contraintes fortes à des communes de petite taille. En revanche, les intercommunalités sont un endroit où on peut porter un certain nombre de mesures mutualisées ou d'obligations mutualisées. Ces obligations, ce sont des obligations basiques pour la grande majorité d'entre elles, puisque ce sont des entités importantes, c'est-à-dire le niveau de base. Les plus grandes collectivités, les conseils régionaux par exemple, les conseils départementaux seront astreints à des obligations supplémentaires en tant qu'entité essentielle.
Toutes auront cette obligation d'enregistrement et de notification des incidents à l'ANSSI, qui je pense ne représente pas une grande charge du moment qu'on est prévenu et qu'on a besoin là encore de faire passer ce message auprès de tout le monde, ce qui nous permettra de les aider. Et là, fondamentalement, on est dans la mise en oeuvre à grande échelle de notre rôle potentiel de cyberpompier en lien avec tout cet écosystème de premiers répondants, de ces sites territoriaux, de prestataires qui peuvent être mobilisés. Mais pour que les acteurs de toute nature qui peuvent aider suite à une cyberattaque se mobilisent, il faut qu'ils aient l'information, et aujourd'hui cette information nous manque. Et donc identifier les bénéficiaires, les victimes potentielles et avoir l'information d'une attaque, ça nous permet de les aider, et ça nous permet aussi de passer des alertes à plus grande échelle parce qu'on voit forcément une forme de propagation des attaques, et que donc une attaque qui a lieu peut être la prémisse d'une attaque qui concernera le voisin ou un autre acteur de la même chaîne de valeur économique. Et donc avoir ce rôle d'alerte précoce nous permettra de limiter la casse, je le pense.
Cédric Perrin
Merci beaucoup, monsieur le directeur, merci pour cette intervention. Je laisse la parole à Bernard, mais en tout cas, moi, je voulais remercier la délégation de collectivité d'avoir eu cette initiative. Je pense que c'est important qu'on puisse défricher un peu le terrain. Donc merci, Monsieur le Directeur. Et puis, de toute façon, nous aurons, nous, dans le cadre de la commission des Affaires étrangères et de la défense, d'autres de nous rencontrer et d'échanger sur ces sujets.
Mais je vous laisse la parole, Bernard.
Bernard Delcros
Merci monsieur le directeur général pour l'ensemble de ces informations et de ces réponses très précises aux questions qui ont été posées. Merci à l'ensemble des collègues, et on voit bien que c'est un sujet lequel effectivement les collectivités se trouvent en premier lieu concernés. La sécurité, c'est partout, c'est dans les territoires quelles que soient d'ailleurs les formes d'attaque. Et donc je pense qu'il faut mener vraiment ce travail, et je pense qu'il y a encore des progrès à faire en matière d'information, de formation, d'outillage auprès des maires. Nous allons commencer un nouveau mandat avec de nouveaux élus qui vont arriver.
Je pense qu'il y a un travail à faire auprès de chacun pour que chacun prenne bien d'abord la mesure des enjeux et puisse être efficace et avoir des outils et trouver les bons interlocuteurs pour faire face aux crises qui peuvent se présenter, qui ne manqueront pas même j'en suis sûr de se présenter. Voilà en tout cas, merci beaucoup à vous, merci Cédric de nous avoir permis de mener ce travail en commun. Merci.
Faccia una domanda su questo video: analizzo la sua trascrizione per rispondere.