Audition de Vincent Strubel, directeur général de l'ANSSI
Legenda
Indicatori della trascrizione
- testo Frase in riproduzione
- testo Risultato di ricerca
- testo Intervento citato dal link che avete aperto
Cliccate su una frase per riprodurre il video da quel momento. Selezionate del testo per citarlo con oratore, orario e link.
Altre opzioni
Sfasamento
Sfasamento della trascrizione
Esporta
Registrato in diretta
Versioni di questo video
- Replay Versione definitiva · 8 luglio 2026
- Registrato in diretta Trasmesso in diretta il 8 luglio 2026Visualizzata
Le trascrizioni possono differire leggermente da una versione all'altra.
Commission des affaires économiques Sénat
Vincent Strubel
Pour commencer par la source du problème, la menace. Nous sommes aujourd'hui et depuis déjà quelques années dans une configuration de menace forte, élevée et surtout, et ça c'est peut-être une nouveauté de ces cinq dernières années peu ou prou, une menace qui n'épargne plus personne. Elle a longtemps été concentrée sur quelques acteurs stratégiques. Aujourd'hui, elle touche potentiellement toute organisation de l'État, toute administration, toute collectivité, toute entreprise, toute même organisation de la société civile. On a des associations qui sont victimes et évidemment nos concitoyens et concitoyennes.
Nous sommes dans cette menace face à un triptyque de trois types d'attaquants poursuivant des finalités différentes. Les États, des services étatiques. Ça c'est le cœur historique de la menace cyber. C'est l'espionnage auquel nous sommes confrontés de manière permanente depuis au moins une vingtaine d'années avec une prépondérance d'acteurs affiliés à la Russie ou à la Chine en particulier, mais pas que, qui se servent régulièrement dans les données les plus sensibles de l'État mais aussi des entreprises. Nos entreprises stratégiques sont des cibles désignées et régulières de ces attaques-là depuis une vingtaine d'années au moins.
Cette menace étatique, je le dis en passant, évolue également sans abandonner l'espionnage vers des logiques de sabotage que nous voyons à l'œuvre en Ukraine depuis une bonne dizaine d'années, que nous voyons aussi se rapprocher de nous sous différentes formes. Cette menace historique étatique qui perdure, elle s'est doublée plus récemment de la criminalité organisée qui s'est énormément structurée ces dernières années, qui est passée dans un mode de fonctionnement très industriel, qui attrape tout le monde, qui a commencé par s'en prendre aux grandes entreprises, qui maintenant s'en prend à tout le reste. Nos hôpitaux parfois, même s'ils ne peuvent pas payer de rançon, ils en font ils en ont fait les frais. Nous avons réussi à mieux les protéger ces dernières années, mais ils en ont été des victimes très visibles au départ. Nos entreprises, notamment les PME, nos collectivités, sont la cible d'attaques en ce qu'on appelle le rançongiciel, c'est-à-dire le blocage des infrastructures et la demande d'une rançon pour les débloquer, et de plus en plus de vols de données sur lesquels je reviendrai un petit peu.
Et puis troisième pan de cette menace, la menace dite activiste, qui a des contours beaucoup plus flous, qui est plutôt dans des logiques réputationnelles, qui cherche à provoquer la sidération ou en tout cas à marquer les esprits, à faire des actions d'éclat, qui se revendique de différentes causes, qui est quand même parfois aussi dans une logique qui pourrait s'assimiler à des proxys pour des intérêts étatiques, et qui se manifeste de manière très bruyante, notamment en lien direct avec l'actualité géopolitique. Donc quand la à chaque fois que la France a fait un geste de soutien envers l'Ukraine, elle a fait les frais notamment d'attaques de ce type-là, très visibles, pas forcément graves, mais en lien direct.
Cette menace, elle évolue de manière permanente, elle continue à se structurer, à s'industrialiser, à se structurer selon des chaînes de valeur. On est vraiment sur des, des entreprises criminelles, hein, avec une forme de spécialisation, des groupes criminels qui se spécialisent dans l'exploitation des données, d'autres dans l'accès initial et des logiques de franchise qui ressemblent presque au McDonald's de la cybersécurité avec des gens qui fournissent des outils d'attaque à des franchisés qui ensuite respectent quelques règles, notamment en termes de cibles, mais qui ensuite font leurs, leurs affaires. Les frontières entre ces trois pans de la menace, je le dis en passant, se brouillent de plus en plus. C'est pas totalement nouveau. Évidemment les États restent à la pointe des capacités d'attaque les plus avancées, mais il y a une forme de ruissellement de ces capacités vers les autres pans de la menace.
Il y a une réutilisation très large d'outils, d'infrastructures qui fait que on a parfois du mal à savoir qui nous attaque de manière précise. Il y a des logiques d'alignement idéologique. Certains groupes cybercriminels sont depuis toujours en Russie, pas embêtés par les autorités locales et se revendiquent d'une forme de patriotisme, ce qui interroge sur les liens potentiellement plus profonds entre ces groupes et l'État russe. Il y a un mélange des genres. On voit des acteurs de la menace cybercriminelle agir au profit d'États ou des États agir dans le registre cybercriminel à des fins d'extorsion.
Donc il y a, voilà, on est sur un paysage qui est certes structuré par ce triptyque mais qui est de plus en plus complexe à analyser et surtout à lire en cas d'attaque pour savoir qui nous attaque. Tout ça fait néanmoins que nous sommes face à une pression extrêmement forte depuis déjà quelques années, permanente, il n'y a pas de répit, et qui s'en prend à l'ensemble des pans de notre société, notre économie. Plus personne n'est à l'abri. Moi, l'ANSSI a notamment parmi ses missions celui de cyberpompier, de porter assistance à des victimes. Ce n'est pas notre seul rôle et nous nous focalisons surtout sur la prévention.
Mais dans ce rôle de cyberpompier, nous sommes très régulièrement confrontés à des victimes qui nous demandent : "Mais pourquoi moi ?". Mais il n'y a pas forcément de raison. C'était parce que c'était possible et que c'est tombé sur vous et que ça tombera sur quelqu'un d'autre et que fondamentalement, sur le long terme, ça tombera sur tout le monde. Donc ça arrivera à tout le monde. Donc on est sur une marée haute de menaces mais une marée qui continue à monter dont on ne sait pas quel est le sommet.
La volumétrie s'accroît d'année en année. Nous avons traité en 2025, pour fixer les idées, 1366 incidents, ça veut dire quatre incidents par jour en moyenne, 7 jours sur 7, 24 heures sur 24, et avec en perspective récente une augmentation de volumétrie de 60 %. Par rapport à 2022, on a en trois ans cru de 60 % en volumétrie d'incidents traités par l'ANSSI, sachant que l'ANSSI ne traite évidemment pas tous les incidents.
Nous n'intervenons que dans les cas les plus graves et quand on nous demande notre aide. Ça continue à augmenter, notamment à la faveur de l'épidémie de vols de données, qui est une évolution plus récente, même si des vols de données ça a toujours existé. Mais là, il y a une forme de régularité et de systématisation des vols de données qui est en partie le résultat d'une réorganisation de l'écosystème cybercriminel organisé. Des groupes qui pratiquaient l'extorsion par le rançongiciel sont passés au vol de données parce que c'est plus simple, parce que ça marche, parce que ça rapporte. Qui est aussi le fruit, et ça c'est un phénomène plus français, parce que la réorganisation du crime organisé c'est un phénomène mondial, mais on a par-dessus ça un phénomène plus français qui m'interpelle également, qui est une forme de criminalité endogène de très jeunes Français, généralement peu socialisés, qui se lancent dans des actions d'éclat, à la fois par appât du gain ou par recherche d'une forme de mise en valeur, et qui sont à l'origine d'un certain nombre de ces attaques contre l'État notamment, mais pas que.
Ces vols de données, je le dis en passant, accroissent encore l'asymétrie fondamentale des cyberattaques. Ça a toujours demandé beaucoup plus de travail de répondre à une cyberattaque que de la mener. Les attaquants ont moins de travail que les défenseurs. Dans les vols de données, c'est encore plus flagrant, et ça l'est d'autant plus qu'une part de ces vols de données s'inscrivent dans des logiques de bluff ou d'exagération parce que tous les vols de données ne sont pas avérés. Il y en a beaucoup qui sont avérés, mais dans ce qu'on a traité en 2025, il y en a quand même 60 % qui étaient du bluff.
Ça donne exactement le même travail aux équipes de l'ANSSI ou des entreprises qui se font attaquer d'investiguer un bluff que d'investiguer une réelle attaque.
Quand je dis qu'il y a du bluff, c'est pas une manière de minimiser les choses, c'est une manière de mettre en valeur cette asymétrie flagrante qui a un effet de saturation sur les équipes. C'est d'autant plus grave qu'il y a une forme de réaction en chaîne qui apparaît de manière assez évidente. Quand on vole des données, on vole notamment des mots de passe, des choses comme ça et le vol de données d'aujourd'hui nourrit le vol de données de demain d'une quelconque manière. Et donc c'est une réaction en chaîne tant que nous resterons dans une situation de vulnérabilité qui est assez universelle dans l'État, dans les entreprises, des bonnes pratiques de base qui ne sont pas systématiquement appliquées. Je ne ferai pas l'impasse sur le volet économique mais pour vous dire quelque chose qui n'est pas forcément très rassurant, évidemment ces attaques ont un coût économique.
Personne ne sait le mesurer pour plusieurs facteurs parce que déjà c'est un phénomène très diffus qui touche notamment nos PME, qui touche tout le monde. Les impacts sont multiples. Il y a des coûts directs. Quand une entreprise se fait attaquer, la simple remédiation a un coût. Il faut parfois réinstaller beaucoup d'ordinateurs, beaucoup de systèmes.
Il y a une perte de chiffre d'affaires qui peut aller jusqu'à la faillite potentiellement. Il y a des pertes réputationnelles qui sont beaucoup plus difficiles à estimer.
Il y a des enjeux d'effet de boule de neige dans les chaînes de valeur dont on a aussi du mal à mesurer les impacts. Je citerai néanmoins un exemple. Parmi les attaques marquantes, non pas en France mais au Royaume-Uni de l'année 2025, il y a eu une attaque subie par Jaguar Land Rover. Donc pour le coup, une analyse économique complète a été menée qui aboutit à un coût total cumulé de plus de deux milliards de livres de cette attaque-là, avec pour la première fois un impact mesuré, calculé de l'attaque sur le PIB britannique. Donc il y a eu un impact mesurable sur l'économie et sur la macroéconomie.
Donc on vire d'un phénomène microéconomique à un phénomène macroéconomique de ce point de vue-là. Donc on n'aura pas de... moi je suis bien incapable de vous donner des statistiques précises même s'il y en a qui circulent mais elles aboutissent toutes à des résultats différents. Il est évident que le coût global des cyberattaques se chiffre en milliards d'euros, ça c'est une certitude. Et il est évident qu'il y a derrière tout ça un coût caché que personne n'arrivera jamais sans doute à mesurer, qui est le coût de l'espionnage. Parce qu'au-delà du coût direct de la perturbation de nos entreprises par des cyberattaques, le coût des secrets technologiques, industriels, commerciaux, stratégiques de nos entreprises, de notre économie au sens large qui ont été volés par des attaquants stratégiques, par des États depuis ces vingt dernières années est vraisemblablement astronomique et vraisemblablement incalculable.
Donc je suis conscient du côté frustrant de tout ça mais je n'ai pas mieux à dire sur ce sujet mais je suis convaincu que ça écrase tous les autres coûts fondamentalement. Donc tout ça n'est pas très rassurant.
Malheureusement, ça va, on se prépare à ce que ce soit pire. On se prépare à ce que ce soit pire pour plusieurs choses. Parce que les progrès de l'intelligence artificielle vont accroître la menace. L'intelligence artificielle, elle va agir en premier lieu sur deux plans. Elle est d'ores et déjà un multiplicateur de force au profit des attaquants.
Les mêmes attaquants nous attaquent beaucoup plus efficacement, beaucoup plus vite grâce à l'IA parce qu'ils automatisent comme tout le monde un certain nombre de tâches récurrentes. Et donc on n'a pas forcément d'exemple très convaincant aujourd'hui d'attaque totalement autonome par l'IA. Mais des attaquants compétents peuvent attaquer beaucoup plus de cibles à la fois grâce à l'IA, et ça c'est déjà une réalité qui accroît la pression. L'autre facteur, c'est celui qui est mis en évidence par Mithos, c'est l'explosion des vulnérabilités identifiées dans l'ensemble de nos logiciels. Donc on trouve des vulnérabilités qui existent potentiellement depuis vingt ans.
Fondamentalement, c'est une bonne chose. Ça va nous aider à résoudre le problème. Mais à court terme, cette explosion du nombre de vulnérabilités à corriger dans un temps très, très court va nous poser un problème de cadence, de simplement potentielle saturation de toutes les équipes cybersécurité et informatique. Et ça va, pour le dire comme ça, ça va secouer pendant les trois prochaines années au moins.
Peut-être pour à l'issue être beaucoup mieux parce qu'on aura corrigé énormément des vulnérabilités qui font les cyberattaques aujourd'hui. Mythos sur ce plan-là a beaucoup concentré l'attention. Nous n'y avons pas eu accès. Très peu de gens y ont eu accès à vrai dire. Mais Mythos, faut se rendre compte que c'est un peu l'arbre qui cache la forêt.
Un Mythos est une illustration d'une tendance générale qui est déjà avérée, qui était déjà avérée avant Mythos. Des modèles d'IA autres avaient des performances impressionnantes en matière de cybersécurité. Mythos sera dépassé, si ce n'est déjà le cas, par les modèles suivants. Et donc nous avons une action de manière générale de test de l'ensemble des modèles auxquels nous pouvons accéder, ceux qui sont en accès libre, d'autres qui nous sont, qui nous ouvrent des accès spécifiques pour mesurer cet accroissement de la des performances des modèles d'IA. Derrière tout ça, la solution à court terme, c'est pas c'est en partie d'anticiper et d'encaisser la vague des cyberattaques et des vulnérabilités nouvelles.
C'est surtout les bonnes pratiques de cybersécurité et on ne le dira jamais assez, elles ne sont pas systématiquement appliquées aujourd'hui. C'est ce qui fait notre malheur. Et face à l'IA, bien appliquer de manière systématique les bonnes pratiques élémentaires de cybersécurité, de cloisonnement, de gestion des accès, des identités, de mise à jour des logiciels, etc., c'est notre premier rempart et c'est le plus efficace.
C'est ce que nous martelons, c'est ce que martèlent nos homologues étrangers, européens comme américains. Dans les sources de menaces à venir, il y a aussi d'autres ruptures sur lesquelles je ne m'étendrai pas forcément dans ce propos liminaire, mais l'ordinateur quantique est une possibilité à un horizon de dix ans qui apportera plein de bienfaits à l'humanité, mais qui, du point de vue de la cybersécurité, nous posera potentiellement un gros problème parce qu'il cassera toute une partie de la cryptographie sur laquelle reposent nos protections. Et donc c'est aussi quelque chose auquel nous nous préparons parce que si nous ne l'anticipons pas, tout ce que nous pourrons faire d'ici là sera réduit à néant par l'arrivée de l'ordinateur quantique. Et puis évidemment, le contexte géopolitique se reflète directement dans le paysage de la menace. Je pense que c'est une explication de la pression permanente que nous recevons, la pression accrue, encouragée ou en tout cas tolérée par un certain nombre d'États dans sa dimension y compris cybercriminelle est une réalité, et une réalité qui se lie aussi à l'aune du contexte géopolitique.
Et nous nous préparons évidemment à des scénarios d'escalade où tout ça se coordonnera pour nous paralyser le plus possible, déstabiliser la France. C'est un scénario qui a été écrit et décrit dans la revue nationale stratégique de 2025. Face à tout ça, alors le constat est vertigineux, nous avons quand même des vraies réponses et des vraies forces.
La stratégie nationale de cybersécurité qui a été publiée en début d'année est la réponse à ce défi fondamental avec des priorités claires, avec un enjeu de résilience à l'échelle de l'ensemble de la nation pour être capable d'encaisser ces vagues à venir de cyberattaques nourries par l'IA, nourries par l'ordinateur quantique, nourries par le contexte géopolitique. Dans tout ça, c'est une mobilisation extrêmement forte de l'État, mais pas que. La stratégie pose le constat que l'État seul n'y arrivera pas et qu'il faut mobiliser l'ensemble de la société et de ses forces vives avec un axe majeur qui reste la prévention. La meilleure défense en cybersécurité, ça reste la défense. C'est contre-intuitif mais sans prévention efficace, les contre-attaques, le volet offensif ne sert pas à grand-chose.
Cette prévention, elle concerne en premier lieu l'État. Évidemment, l'État a une obligation de faire mieux qui a été mise en évidence par les vols de données successifs de ces derniers mois. Faire mieux pour préserver nos missions les plus critiques dans un contexte d'accroissement de la menace. Faire mieux pour rétablir quelque part le contrat social implicite qui fait que quand on confie des données à un tiers et en particulier à l'État, on s'attend à ce qu'elles soient protégées. Et donc il y a à l'évidence une marge de progression en la matière.
Ça passe par deux choses.
Ça passe par une feuille de route qui a été rendue publique pour la première fois qui fixe les priorités des ministères avec des bonnes pratiques à systématiser notamment en matière de gestion des identifiants, l'authentification double facteur, la lutte contre l'obsolescence qui peuvent sembler des évidences mais qui sont un chantier titanesque à l'échelle d'un numérique de l'État qui est une qui n'a pas son pareil. L'État en France, vous le savez, est porteur de nombreuses missions et on est face à des milliers et des milliers d'applications mises en œuvre ou de services numériques opérés par l'État qu'il faut sécuriser de manière systématique. Le pendant de cette feuille de route, c'est la réforme du numérique de l'État annoncée par le Premier ministre lors de sa visite à l'ANTS, la création d'une future ARIA, Autorité de l'IA et du numérique, qui est une réforme non pas de l'ANSSI mais de la DINUM, la DSI de l'État en quelque sorte, pour rationaliser. Et pour essayer d'œuvrer aussi sur cette complexité qui est notre principal facteur limitant aujourd'hui pour déployer de la cybersécurité, donc un numérique de l'État plus efficace, plus maîtrisé et donc plus sécurisable. Mais évidemment le sujet va bien au-delà de l'État.
On a cet enjeu fondamental de sécuriser tout le tissu économique et sociétal, de développer, moi j'aime bien cette image, d'une immunité collective. Le parallèle avec l'épidémiologie se fait assez naturellement. C'est pas éviter les maladies dans l'absolu, c'est pas éviter les cyberattaques dans l'absolu, il s'en produira toujours. C'est éviter les épidémies galopantes, c'est éviter la propagation qui pourrait menacer des pans entiers de notre économie, limiter les impacts, limiter la vulnérabilité de nos entreprises, de nos collectivités, de nos administrations.
Ça passe par de la formation, de la sensibilisation, de l'entraînement à grande échelle. Ça passe par une extension du cadre réglementaire, notamment à travers la transposition d'une directive NIS 2 qui est un peu suspendue au calendrier parlementaire, qui ne demande qu'à être inscrite pour son examen en séance publique à l'Assemblée nationale. Cette directive, elle est essentielle. C'est pour ça que la France en a été l'un des principaux sponsors en 2022 quand elle a été élaborée au niveau européen. Elle vise à fixer les règles pour à peu près 20 000 entités, y compris entreprises de taille intermédiaire ou moyenne en France, règles de sécurité de base.
Elle vise aussi, et c'est un enjeu essentiel, à donner à l'ANSSI l'autorité qui lui fait cruellement défaut aujourd'hui. Aujourd'hui, nous sommes une agence qui préconise, qui conseille, qui accompagne, mais qui n'a le pouvoir d'imposer que dans des cas très restreints. Nous n'avons le pouvoir d'imposer des choses qu'aux opérateurs d'importance vitale, c'est-à-dire à peu près 300 opérateurs hautement stratégiques. Demain, la directive NIS 2 nous donnera la possibilité d'imposer, de contrôler, de sanctionner le cas échéant dans un champ beaucoup plus élargi, et je pense qu'il faut en passer par là pour obtenir cette maturité nécessaire. Évidemment, la régulation ne fait pas tout, et nous avons un vrai enjeu de matérialiser la valeur économique de la cybersécurité par des logiques de certification, de labellisation, par le travail avec les assureurs qui n'est pas nouveau, par le travail avec les banques qui, quand elles prêtent de l'argent, endossent, qu'elles le veuillent ou non, un risque de défaillance de l'emprunteur suite à une cyberattaque.
Et donc, transformer cette logique de de cybersécurité en logique d'investissement. Moi, je suis convaincu par l'expérience quotidienne de l'ANSSI que investir dans la cybersécurité, ça coûte beaucoup moins cher que faire du rattrapage quand les attaques se produisent. Donc c'est un vrai message à faire, je pense, percoler dans les les sphères de gouvernance économique de manière générale. Et puis nous avons un enjeu de sécurisation des technologies, le volet amont, hein, porter des exigences vis-à-vis des éditeurs de logiciels notamment. Le CRA, autre règlement européen, va nous permettre de le faire pour les exigences de base.
Mobiliser l'IA qui est un une source d'inquiétude pour nous, mais aussi un levier de sécurisation parce que trouver des vulnérabilités, ça veut dire les corriger, rendre ça systématique, ça peut tarir au moins une partie du problème à la source en limitant les vulnérabilités dans les logiciels qui sont mis sur le marché, anticiper les ruptures comme le quantique. Et dans tout ça, nous avons, et ce sera mon mon dernier pan de propos, un atout majeur en France. Et c'est une chance que nous avons, que n'ont pas certains de nos partenaires, c'est une filière industrielle développée, compétente, experte, riche de sa diversité et de son excellence technique.
Cette filière industrielle, c'est un partenaire clé de l'ANSSI et ce n'est pas nouveau. C'est au cœur d'un modèle français de cybersécurité qui est un peu original dans laquelle nous avons cet acteur central interministériel, l'ANSSI, spécialisé sur le volet défensif, sans missions offensives qui sont portées par le ministère des Armées, qui intervient dans tous les champs, qui est souvent le chef d'orchestre d'une équipe de France au sens large dans laquelle la filière industrielle joue un rôle clé. C'est ce qui nous permet, ce modèle assez distribué, assez collectif, de faire, je ne manque jamais aucune occasion de le rappeler, aussi bien que nos homologues allemands qui sont trois fois plus nombreux que nous. Et donc nous avons un modèle qui est hautement optimisé aujourd'hui et qui repose en grande partie sur l'excellence de nos partenaires industriels avec un recours très systématique à des prestataires de services certifiés qui font le même métier que l'ANSSI et qui interviennent partout où l'intervention de l'ANSSI n'est pas strictement nécessaire. Donc quand on n'est pas face à une menace de niveau étatique extrêmement avancée, l'essentiel du travail de remédiation par exemple est fait par des prestataires privés qui travaillent main dans la main avec l'ANSSI.
Cette filière industrielle, c'est une filière d'excellence. Elle s'est structurée ces dernières années à travers les visas de l'ANSSI, c'est-à-dire des garanties, des assurances apportées par l'ANSSI suite à vérification de la qualité des produits ou des prestations. De manière générale, nos visas sont parmi les plus exigeants du monde, voire les plus exigeants du monde.
Et donc c'est un vrai gage de qualité que d'avoir autant d'offres françaises qui ont obtenu ces visas de sécurité qui sont l'attestation qu'elles atteignent le plus haut niveau de sécurité vérifiable à l'échelle mondiale. C'est évidemment un enjeu de souveraineté aussi d'avoir alors nous n'avons pas la capacité de fonctionner en autarcie dans le domaine numérique. Mais nous avons aujourd'hui la chance d'avoir dans le paysage industriel français des offres de très grande qualité qui couvrent les enjeux les plus fondamentaux, notamment la cryptographie ou l'évaluation de sécurité. Donc il faut veiller au moins à préserver ces fondamentaux qui sont les choses, les technologies sans lesquelles on ne construit pas de de souveraineté. Évidemment, on ne sera jamais totalement autarcique, ce ne serait ni ni réaliste ni ni désirable, mais maîtriser quelques points clés est un enjeu essentiel.
Et puis c'est un partenaire clé, cette filière industrielle, ça va le devenir de plus en plus dans ce changement d'échelle, dans ce cet effort de mobilisation générale parce que l'État, là encore, ne fera pas tout tout seul. Donc ça c'est la version c'est tous les atouts de cette filiale. Évidemment, il y a aussi des difficultés.
Aujourd'hui, je tiens à souligner que c'est une filière qui souffre de manière conjoncturelle, en particulier de la non-transposition de la directive NIS 2. Alors qui nous pose nous un problème en termes de capacité de l'ANSSI à mener ses missions, mais qui a aussi un effet économique, un effet d'éviction sur les carnets de commandes des acteurs industriels qui proposent des solutions de cybersécurité. Parce que la réalité, et nous nous battons tous les jours pour faire passer le message qu'il ne faut pas attendre la loi pour se préparer, mais la réalité est que les entreprises qui sont les futurs assujettis à NIS 2 attendent la loi pour investir et du coup reportent des investissements dans la cybersécurité, ce qui se voit et ce qui est rapporté de manière assez récurrente par la filière de cybersécurité qui ont tous nos acteurs industriels dans ce domaine ont vu leurs carnets de commandes se vider dans l'attente d'un cadre réglementaire qui tarde à arriver. Ce n'est pas la seule source de problèmes. On a une filière qui est aujourd'hui qui souffre en partie de son morcellement.
Nous avons quelques grands acteurs, vous en avez cité un certain nombre, Madame la Présidente, mais nous avons aussi une galaxie de pépites toutes excellentes, mais qui souffrent face à des leaders mondiaux qui sont beaucoup plus gros, beaucoup plus intégrés et qui peuvent fournir à travers un seul carnet de commandes l'ensemble des solutions là où en France on peut composer quelque chose qui est la somme de plusieurs offres cumulées qui sont toutes excellentes mais qui sont plus compliquées à acheter. Donc face à ces enjeux, il y a plusieurs opportunités fondamentalement dans la phase que nous vivons, qui sont celles sur lesquelles je concentre l'attention de l'ANSSI.
D'abord la consolidation des offres. Alors il y a un enjeu de consolidation des acteurs sur lesquels je suis convaincu que l'État n'a pas forcément un rôle dominant, c'est surtout les acteurs économiques. On n'est pas là pour imposer des fusions-acquisitions ou des des fusions entre acteurs économiques mais il y a sans doute un enjeu là-derrière. Nous nous agissons aussi sur la consolidation des offres en tant que telle. Sans réunir les entreprises, au moins réunir les offres et faire des offres communes pour répondre à ce changement d'échelle, pour répondre le mieux possible à un appel d'air qui sera créé tôt ou tard par la réglementation par NIS 2 sur le marché domestique avec un rôle clé d'acteurs qui sont bien positionnés pour aider en la matière, ce sont les campus cyber.
On a en France un certain nombre de campus cyber, un qui a été créé à l'initiative de l'État à vocation nationale en région parisienne mais d'autres qui ont émergé spontanément dans les régions et qui travaillent tous ensemble et c'est une force de créer ces lieux où se rencontrent les offreurs et les demandeurs de solutions et où peut s'articuler un dialogue pour faire converger au mieux les besoins et les solutions. Une autre opportunité évidente, la filière française de cybersécurité peut et doit être en pointe sur les enjeux de sécurisation en amont, sur la sécurité par design. C'est son marqueur historique, elle s'est positionnée sur ce segment d'excellence. Elle doit être au rendez-vous du CRA, règlement européen qui va porter ces exigences au niveau européen. Elle doit être au rendez-vous de la transition post-quantique et nous y travaillons avec eux quotidiennement pour ne pas être en retard et si possible être en avance en la matière.
Elle doit s'emparer le plus vite possible des outils de l'IA et des possibilités offertes par l'IA pour améliorer sa sécurité.
Et puis nous avons toujours un champ à investir au niveau de l'Europe. Le marché intérieur se structure à travers la réglementation. Il y a des opportunités à ne pas manquer dans un certain nombre de textes qui sont aujourd'hui en discussion, la révision du Cybersecurity Act, pardon pour l'anglicisme, qui est le cadre de certification européen, mais la négociation en cours du CADA, le règlement européen sur le cloud et l'IA, qui sont des opportunités fondamentales de faire valoir à la fois nos spécificités, nos enjeux de souveraineté, mais aussi la valeur technique fondamentale de nos offres européennes. Donc je ne serai pas plus long, je l'ai sans doute déjà été trop dans ce propos liminaire, mais nous avons face à nous évidemment un défi énorme. Ce n'est pas nouveau, mais il se structure et il prend une ampleur sans précédent.
Ça appelle un jeu plus collectif que jamais. La bonne nouvelle, c'est que c'est dans nos habitudes, que nous avons ce collectif très fort, très soudé aujourd'hui, des forces réelles qu'il faut coordonner au mieux pour répondre à ce défi. Et j'ai été ravi de pouvoir en donner les quelques éléments principaux devant vous.
Dominique Estrosi Sassone
Merci beaucoup Monsieur le Directeur général de ces propos liminaires fort intéressants. Alors bon, voilà, inquiétant aussi, mais on va rester optimiste au regard de la fin de vos propos avec les atouts en tout cas qui permettent à ceux qui sont moins familiarisés, dont je fais partie, de mieux pouvoir appréhender ce sujet éminemment important et qui concerne directement notre souveraineté. Donc je vais laisser la parole, comme je l'ai annoncé, à Anne-Catherine Loisier et ensuite à Yannick Jadot. On vous proposera de répondre et ensuite on ouvrira à l'ensemble de nos collègues. Anne-Catherine.
Anne-Catherine Loisier
Merci Madame la Présidente. Merci beaucoup Monsieur le Directeur de venir nous éclairer sur ces menaces, ces enjeux cyber. C'est vrai que c'est une course permanente à la dernière technologie et finalement c'est un exercice compliqué pour nous élus de se tenir informés de tout cela en permanence. Juste quelques points préliminaires. Vous avez évoqué donc le post-quantique.
Est-ce que vous pensez que la crypto post-quantique est aujourd'hui d'actualité ? Est-ce que c'est une réalité ? Vous l'avez évoqué à la fin de votre intervention. Est-ce que j'ai cru comprendre qu'on s'y préparait ? Voilà, est-ce qu'on est dedans en fait ou est-ce qu'on a encore un petit peu de marge de manœuvre pour s'adapter à une menace post-quantique grandissante ?
Et puis de la même manière, vous évoquez souvent la maîtrise de nos dépendances numériques. Vous avez parlé d'autarcie et d'impossibilité d'être en autarcie réelle. Mais pour autant, est-ce que selon vous les efforts qui ont été faits ces dernières années nous permettent d'avoir un certain niveau de dépendance par rapport aux grands fournisseurs étrangers ?
Et puis trois points très pratiques. Vous avez beaucoup évoqué, Madame la Présidente l'a évoqué, les cybermenaces sur un certain nombre de grandes infrastructures. Mais moi je voulais revenir sur les infrastructures critiques. C'est vrai que c'est peut-être plus la commission défense qui vous interroge sur ces sujets habituellement. Mais nous on est particulièrement intéressés ici sur les aspects énergétiques et télécoms notamment.
On a vu que des actes de cybermenaces se multiplient en Pologne, en Norvège dernièrement. Donc la France est-elle en capacité de faire face à des attaques de grande ampleur sur son réseau électrique, sur ses centrales nucléaires, sur ses barrages ? Enfin comment vous appréhendez ces réalités ? Sur le SecNumCloud, l'ANSSI a observé ces derniers temps des attaques de plus en plus importantes contre les environnements cloud avec des cas de chiffrement des données hébergées chez Amazon Web Services ou chez d'autres fournisseurs. Or seulement cinq, à ma connaissance, cinq offres SecNumCloud sont aujourd'hui qualifiées.
Vrai ou pas vrai ? Vous allez me dire ça. Donc comment comptez-vous accélérer en fait la qualification des solutions cloud souveraines et notamment pour les données sensibles de l'État ?
Et enfin sur le Cyber Resilience Act que vous avez aussi évoqué et qui entrera en application en 2027 et qui donc imposera aux fabricants des produits numériques de signaler à l'ANSSI des vulnérabilités de plus en plus exploitées sur leurs produits. À ce jour là aussi seulement une quinzaine de vulnérabilités significatives auraient été déclarées. Est-ce vrai ou pas ? Est-ce qu'on doit comprendre derrière cela ce que vous pointiez du doigt, c'est-à-dire aujourd'hui un manque de sensibilisation ou peut-être un manque de vigilance, de prise de conscience de la part des entreprises sur la nécessité vraiment d'anticiper les risques et de partager, en fait de collaborer avec l'ANSSI pour que nous puissions, pour que nous puissions développer des pare-feu, en tout cas s'adapter à ces attaques ? Voilà.
Merci Monsieur.
Merci Anne-Catherine. Yannick Jadot.
Yannick Jadot
Merci Madame la Présidente. Merci Monsieur le Directeur. Et c'est vrai que c'est un peu gloomy mais c'est bien que on s'y intéresse parce que évidemment la menace est forte.
Il y a une dizaine, quinzaine d'années, quand on discutait avec les services de sécurité et de renseignement, il y avait quand même cette idée que la France, par rapport à un certain nombre de ses partenaires européens, sous-estimait la menace russe. Est-ce que vous considérez que d'une certaine façon, évidemment, mais on a rattrapé notre retard par rapport à cette menace russe qui au fond, et on voit bien à quel point la politique et l'économie sont intimement liées, on peut imaginer qu'à travers des vols de données, c'est aussi la possibilité de ce qu'on appelle aujourd'hui les kompromats, c'est-à-dire d'interférer dans la politique mais aussi dans l'économie à travers le chantage sur un certain nombre de personnes qui pourraient être coupables par ailleurs d'autres faits, mais évidemment le vol des données permet ça. Ce qui nous renvoie à la fois à, on parle beaucoup de souveraineté et on défend cette idée de la souveraineté numérique, mais est-ce qu'il n'y a pas là une forme de dilemme pour nous à construire de la souveraineté, et on voit à quel point par exemple notre dépendance au numérique américain devient un enjeu, mais être souverain c'est potentiellement, je ne sais pas, j'attends votre réponse, être plus vulnérable.
Est-ce qu'il ne vaut pas mieux dépendre de Microsoft en se disant que Microsoft a quand même les moyens de protéger son logiciel, des moyens extraordinaires de protéger ses logiciels, alors que si on développe nos propres outils, est-ce qu'ils vont être aussi costauds ? Ou est-ce qu'à l'inverse, développer nos propres outils européens du numérique en mettant cette question de la cybersécurité au cœur de nos outils numériques nous permet peut-être d'acquérir un avantage comparatif ? Ce que je veux dire, c'est que vous voyez bien, construire nos propres outils, moins dépendre des Américains, on l'a vu sur Palantir et sur d'autres choses, est-ce que c'est nous renforcer ou est-ce que c'est nous rendre plus vulnérables ? De la même façon, aujourd'hui, le commerce de données est un commerce majeur. On ne peut pas prendre un billet de musée aujourd'hui sur Internet sans créer un compte, sans donner des informations personnelles dont on ne voit pas bien l'utilité, ne serait-ce que pour acheter un billet.
Donc on est pris aussi dans le fait qu'on donne en permanence des données personnelles partout et évidemment on est vulnérable sur le vol des données. Donc est-ce qu'il n'y a pas à un moment un encadrement beaucoup plus strict à avoir sur le fait de donner en permanence nos informations personnelles, nos données ?
Il y a quelque chose d'encadrement de ce business-là. Et puis dernier point, la question de la coopération internationale et la question des contre-attaques. Quand il s'est avéré que effectivement il y avait toute une série d'organisations mafieuses sous j'allais presque dire l'autorité du pouvoir russe, à un moment donné Biden avait dit : si vous continuez, les États-Unis lanceront d'énormes cyberattaques sur l'économie et le pouvoir russe. Et il a semblé qu'à ce moment-là ça avait un peu atténué les menaces russes. Est-ce qu'il n'y a pas à un moment donné, ou est-ce que ça se fait peut-être, mais c'est un monde du renseignement qui n'est pas forcément où il faut peut-être ne pas toujours dire ce qu'on fait, mais est-ce qu'à un moment donné des États ou l'Union européenne qui à partir du moment où d'autres États, des rogue states abritent des entreprises de cybermenaces, est-ce qu'il n'y a pas à un moment donné aussi une capacité de contre-offensive ou d'offensive qui nous permet d'atténuer la menace ?
Merci.
Vincent Strubel
Je vais m'efforcer de répondre à toutes ces questions, éventuellement en les regroupant un petit peu. J'en évacue simplement une sur la sur la collecte des informations personnelles, Monsieur Jadot, non pas pour me me défiler, mais simplement pour rappeler que la réglementation relative aux données personnelles est plutôt du ressort de la CNIL et donc que je ne me prononcerai pas par rapport à la place de la CNIL sur la la collecte ou non de telle ou telle donnée personnelle, c'est plus c'est plus à la CNIL qu'il appartient de de donner sa vision des choses sur le sur le sujet. Peut-être pour commencer par le sujet de de souveraineté numérique au sens large qui transparaît dans vos questions, Madame Lauzier, Monsieur Jadot également. Déjà pour rappeler que la alors le terme de souveraineté numérique, il a été très galvaudé ces derniers temps, c'est un et c'est il est louable fondamentalement qu'on en discute, qu'on en parle parce que c'est un vrai sujet, mais la contrepartie est que parfois ça ça on est sur des simplifications à l'extrême d'un d'un sujet extrêmement complexe, voire une lecture un peu marketing, hein, pour certains, et c'est normal, il n'y a pas il n'y a rien de péjoratif à cela. Moi je je commencerais par rappeler que la souveraineté, c'est plusieurs choses.
C'est pas juste avoir des logiciels ou du numérique français ou européen.
C'est d'abord ne pas être une victime facile des cyberattaques, ne pas avoir des vulnérabilités techniques telles qu'on soit à la merci du premier attaquant venu. Donc ça, c'est le cœur du métier de l'ANSSI, hein, faire la prévention, faire la réaction également, mais surtout la prévention autant que possible pour éviter, pour relever ce niveau de maturité, pour tendre vers cette immunité collective que j'ai mentionnée, et ne pas être à la merci des premières attaques venues. C'est ensuite faire respecter notre droit, imposer nos règles qui sont élaborées par le peuple souverain représenté par ses représentants élus. Enfin, voilà, tout ça figure vers le début d'un document important que vous avez aussi bien en tête que moi. Et donc ça, c'est ne pas subir des règles qui sont décidées par d'autres, qui sont les règles potentiellement du marché ou les règles d'autres États à portée extraterritoriale.
Et puis, c'est évidemment avoir une liberté de choix et d'usage de la technologie sur des technologies critiques. Et donc il faut agir sur ces trois pans-là : à la fois porter un niveau d'exigence technique, imposer nos règles à l'exception... enfin, sans être soumis aux règles des autres, et puis disposer de suffisamment d'alternatives qui soient soit des offres européennes, soit de la technologie libre d'accès en open source ou des choses comme ça, soit une intensité concurrentielle suffisante sur certains types de produits qui peut suffire à ne pas être pieds et poings liés entre les mains d'un monopole non européen ou d'un monopole européen. C'est pas non plus... faut pas remplacer un monopole par un autre, hein.
Et donc il faut agir sur ces trois plans-là. Le dernier est celui qui est le moins dans le champ de l'ANSSI. Il y a des enjeux de politique industrielle sur lesquels l'ANSSI contribue mais n'est pas meneuse des enjeux de construction ou de soutien aux offres européennes. C'est plus le travail de Bercy mais évidemment nous y contribuons et nous en mesurons bien l'importance. Les autres pans sont au cœur de ce que nous avons fait notamment sur SecNumCloud.
Vous avez mentionné Madame Losier le SecNumCloud. SecNumCloud c'est ça, c'est la réponse à ces enjeux-là sur le cloud qui est un une évolution très structurante depuis une bonne dizaine d'années du paysage numérique sur lequel nous avons imposé un référentiel qui fait référence, qui est le plus exigeant là encore au monde vraisemblablement, qui porte à la fois des exigences techniques pour ne pas être à la merci d'une cyberattaque technique, ne pas avoir de vulnérabilités, et des exigences de droit applicable pour garantir autant qu'on puisse le faire que les données qu'on confie à un prestataire qui bénéficie de cette certification, cette qualification de l'ANSSI, ne sont pas captables par des autorités étrangères au regard du droit extraterritorial, que le service ne peut pas être coupé brutalement avec ce qu'on a appelé le kill switch, pardon pour l'anglicisme mais ce qui a été subi par la Cour pénale internationale suite à une demande de voilà de blocage d'exportation de l'administration Trump. Donc tout ça nous le prenons en compte sur le cloud.
Évidemment, ce n'est qu'un pan du problème. Évidemment, ça ne répond pas, et ce n'est pas la vocation, au besoin de créer des géants européens du cloud compétitifs face aux géants américains notamment, mais c'est déjà un, ça traite un pan du problème et un pan important avec des vraies garanties et un vrai succès. Aujourd'hui, c'est quelque chose qui est au centre de la politique de l'État en matière d'usage du cloud, de la circulaire Cloud au centre qui fixe les enjeux en la matière, de notre cadre légal puisque la loi SREN a imposé le recours à ces offres-là pour les usages sensibles de l'État et de ses établissements publics. C'est aussi quelque chose dont s'empare beaucoup le secteur privé, et c'est une très bonne chose. Des grands opérateurs privés, des grandes entreprises françaises utilisent de plus en plus ce label de confiance qu'est SecNumCloud pour leurs usages les plus sensibles.
Et nous avons aujourd'hui, je crois, 17 offres qualifiées aux dernières nouvelles, donc il y a un vrai succès et un vrai emballement. Donc c'est à la fois, je m'en félicite, tout en gardant à l'esprit que nous avons, et ça illustre la question du morcellement que j'évoquais dans mon propos liminaire, 17 offres françaises ou européennes qualifiées SecNumCloud alors que le marché du cloud est quand même très largement dominé par trois acteurs. Voilà.
Et donc il y a peut-être aussi des enjeux derrière tout ça de consolidation, sur lequel c'est pas le rôle de l'État d'être à la manœuvre, mais il faut garder cette réalité en tête. Mais le signe très positif dans tout ça, c'est que à travers SecNumCloud comme d'autres visas délivrés par l'ANSSI, nous pouvons attester que des offres françaises obtiennent et arrivent au meilleur niveau de sécurité. Donc oui, il y a un enjeu de ne pas remplacer des offres non européennes soumises au droit extraterritorial mais de très haut niveau de qualité par des offres européennes mieux loties en termes de droit applicable mais qui seraient d'un niveau technique inférieur. La réalité est que les offres européennes et les offres françaises sont d'un niveau technique très compétitif et réellement excellent dans un certain nombre de domaines. Donc il faut plutôt se rassurer sur ce plan-là.
Les infrastructures critiques font partie aussi des enjeux de souveraineté. Quand je dis ne pas être une victime facile, évidemment si un État tiers peut couper le courant en France ou couper nos réseaux de télécommunications par une simple cyberattaque, nous ne pouvons pas nous prétendre souverains. C'est un sujet sur lequel la France a été en pointe. On a été les premiers dans le monde à imposer des règles de cybersécurité à nos opérateurs critiques. Ça a été fait par la loi de programmation militaire de 2013 qui porte un certain nombre d'articles dans le code de la défense.
Donc c'est ça le cadre de régulation dont dispose aujourd'hui l'ANSSI auprès des opérateurs d'importance vitale. Donc c'est là-dessus que nous avons focalisé nos efforts. Ça ne veut pas dire que tout est vert et qu'il faut dormir tranquille.
La cybersécurité, c'est une grande école d'humilité permanente. Donc nous poursuivons nos efforts d'accompagnement de ces opérateurs d'importance vitale, mais c'est peut-être le pan qui m'inquiète le moins. Et donc le défi aujourd'hui, c'est tout le reste, qui est beaucoup plus vulnérable et qui peut être en tant que tel une source de problèmes. Enfin, une manière crue de le dire : si nos centrales électriques et nos réseaux de télécommunications et nos réseaux de transport fonctionnent mais que tout le reste est mis à plat par des cyberattaques, s'il n'y a plus d'écoles, s'il n'y a plus de magasins, s'il n'y a plus d'économie de manière générale, on sera quand même dans une situation peu réjouissante. Donc c'est l'angle de notre travail aujourd'hui, c'est de porter à l'échelle ces mesures de sécurité.
Le secteur de la finance fait partie de ceux qui sont les plus mûrs en la matière. Ça fait partie, vous avez mentionné l'électricité, l'énergie au sens large, les télécoms et la finance, c'est pour moi trois secteurs super critiques parce que non seulement ils sont critiques en tant que tels, mais leurs défaillances entraînent des défaillances ensuite en boule de neige. Donc c'est ceux sur lesquels nous avons porté nos efforts en particulier. Les opérateurs télécoms sont les acteurs les plus régulés en France pour des tas de bonnes raisons, donc nous les pratiquons au quotidien.
Le secteur financier a investi très tôt dans la cybersécurité parce qu'il a de l'argent à mettre sur la table naturellement et parce qu'il a très vite perçu le risque direct en termes financiers. Un risque sur lequel nous devons continuer à travailler, c'est le risque macroéconomique, c'est-à-dire que les banques sont très bien sécurisées, mais si toutes les entreprises auxquelles elles ont prêté de l'argent font faillite suite à des cyberattaques, elles auront un autre type de problème. Et donc il faut faire percoler là encore ce risque cyber dans le risque opérationnel financier. C'est un vrai sujet de travail aujourd'hui. Sur peut-être la menace russe, alors moi je ne pense pas que nous l'ayons à quelque moment sous-estimée dans le cyber.
En tout cas, je peux parler de la cybersécurité. Nous y sommes confrontés de manière quotidienne. Donc nous y travaillons depuis toujours. Ce n'est pas la seule source de menace et quelque part le travail que nous menons notamment en matière de prévention est agnostique. Nous ne nous préparons pas, nous ne nous protégeons pas d'une menace spécifique, nous nous protégeons de l'ensemble des menaces.
Dans les faits constatés, les acteurs affiliés d'une manière ou d'une autre à la Russie, j'ai toujours des précautions de langage parce que c'est plutôt à l'autorité politique qu'il appartient de désigner nommément un État comme nous attaquant, les acteurs affiliés à la Russie comme les acteurs affiliés à la Chine sont une présence permanente dans le paysage. Et nous travaillons en permanence sur des opérations d'espionnage notamment menées par ce type d'acteur.
Et c'est des choses qui se construisent dans le temps long. Nous avons d'ailleurs pour la première fois en 2024, et ce n'est qu'une première, dénoncé formellement au niveau politique les menaces et les attaques menées par un groupe d'attaquants russes, émanation du GRU, du renseignement militaire russe, depuis une dizaine d'années. Donc avec des attaques qui ont ciblé nos entreprises, nos réseaux diplomatiques, nos campagnes électorales également. Et donc voilà, c'est une manière de mettre en évidence cette menace. Ce qui m'amène sur la question de la forme de dissuasion vis-à-vis des États qui nous attaquent.
Évidemment, quand nous faisons une attribution publique de cette nature-là, il ne s'agit pas de dissuader. Enfin, je pense que personne ne s'imagine que quand la France dénonce les attaques menées par la Russie, la Russie va présenter ses excuses et promettre de ne pas recommencer. On n'est pas dans cette situation-là à l'échelle mondiale. En revanche, c'est utile pour documenter cette menace, pour la rendre plus visible, plus détectable, plus donc affaiblir quelque part l'attaquant parce qu'on contribue à cette immunité collective. C'est utile pour mettre la Russie face à ses contradictions.
Elle porte elle-même dans les enceintes onusiennes un certain nombre de propositions relatives à la responsabilité des États en matière de lutte contre les cyberattaques.
Bah, il s'agirait d'être cohérent puisque les attaques qui ont été menées par ces acteurs russes ne sont pas du tout tolérables au regard de ces propositions formulées dans le cadre onusien. Plus généralement, l'État français a une doctrine claire en la matière qui est de mobiliser en tant que de besoin et au cas par cas l'ensemble des leviers pour répondre à un État qui attaquerait la France. Le levier cyberoffensif en fait partie, mais et nous disposons de capacités qui ne sont pas de la responsabilité de l'ANSSI mais du ministère des Armées. Donc il y a des capacités offensives dont l'usage est couvert par le secret de la défense nationale mais dont l'existence n'a rien de secret, qui sont portées par le ministère des Armées donc. Néanmoins, il faut être très prudent face à une lecture qui verrait dans les attaques cyber une manière de répondre à d'autres attaques cyber.
C'est pas le levier le plus efficace. Déjà parce que c'est pas forcément des choses qui ont le même impact. Enfin, pour prendre un exemple simple plutôt que de rester sur de la théorie, si un hôpital français était attaqué et paralysé par des acteurs russes, alors on est plutôt dans le registre cybercriminel mais il y a de fait une forme de tolérance de l'État russe vis-à-vis des organisations criminelles qui mènent ce type d'attaque, peut-on imaginer que notre réponse serait de mener une attaque contre un hôpital moscovite ?
Je ne pense pas d'une part que ce soit conforme à nos valeurs. Je ne pense pas non plus malheureusement que ça ait le même pouvoir dissuasif compte tenu voilà d'une perception de ces enjeux qui est différente dans nos sociétés démocratiques et dans la société russe. Voilà, donc il y a d'autres leviers qui peuvent être mobilisés, levier économique, les sanctions économiques notamment au niveau européen, c'est un sujet sur lequel nous travaillons parce que voilà c'est une bonne manière de répondre à des à des attaques étatiques, les leviers diplomatiques, à l'extrême le levier militaire parce qu'il n'y a rien qui dit que les attaques cyber restent forcément sous le seuil. Donc voilà, on est sur une posture qui est la mobilisation de l'ensemble des leviers possibles, tout comme face à la menace cybercriminelle le levier judiciaire est naturellement privilégié et porte ses fruits. On arrive à arrêter des cyberattaquants quand ils sont en France ou dans des pays qui ont des accords d'extradition et même quand ils sont en Russie on arrive quand même à leur compliquer la vie.
Et donc à leur empêcher de franchir des frontières, à saisir leurs avoirs, à démanteler leurs infrastructures numériques. C'est un travail collectif et de coopération internationale qui est mené notamment par le parquet sa section J3, par l'ensemble des services enquêteurs et auxquels contribue l'ANSSI.
Et la coopération internationale, elle se structure aussi à travers ces coopérations judiciaires, mais pas que. Nous avons une coopération riche avec nos partenaires européens, avec nos partenaires de l'OTAN aussi pour nous alerter mutuellement des attaques, pour mettre en commun notre connaissance, publier en commun et attribuer en commun. C'est une logique aussi intéressante pour documenter la menace. Donc c'est une réalité et ça nous rend plus fort. Pour me tourner un peu vers l'avenir en espérant ne rien oublier, alors le CRA est un avenir très proche.
Il entrera en application complète en 2027, mais dès le 11 septembre 2026, l'obligation de notification à l'ANSSI ou à ses homologues européens des vulnérabilités dans les logiciels sera applicable. Donc c'est une application graduée. C'est une extrêmement bonne chose. Alors aujourd'hui, beaucoup d'entreprises, beaucoup d'éditeurs de logiciels signalent proactivement leurs vulnérabilités. C'est quand même, il y a une bonne pratique assez répandue en la matière, mais tous ne l'appliquent pas.
Et donc il y a un besoin de systématiser. C'est là qu'intervient le levier réglementaire. Tout comme l'ANSSI est habituée avant même le CRA à recevoir des informations de cette nature-là de la part des entreprises, de la part de lanceurs d'alerte aussi. Nous avons des cadres de protection des lanceurs d'alerte qui nous signalent quelques centaines de vulnérabilités par an à l'ANSSI. Des hackers éthiques par exemple qui sont que l'ANSSI protège s'ils ont besoin d'être protégés parce qu'ils ont un tout petit peu mordu la ligne du droit et qui font œuvre œuvre pour le bien commun en nous signalant des vulnérabilités que nous faisons corriger ensuite.
Mais de fait, le CRA va nous permettre de rendre ça systématique, tout comme il permettra de systématiser d'autres bonnes pratiques, le fait de fournir des mises à jour de sécurisées, des correctifs gratuitement et pendant une durée garantie. Ça c'est une obligation c'est une bonne pratique, mais pas systématique. Le rendre obligatoire est nécessaire. Et pour nous tourner un peu plus loin vers le futur, l'ordinateur quantique. La réalité est que personne ne sait dire quand un ordinateur quantique sera mis au point.
En tout cas un ordinateur quantique permettant de casser la cryptographie que nous utilisons tous les jours. Mais l'estimation généralement consensuelle c'est que c'est un pas de temps d'une dizaine d'années. Donc on s'attend à ce que ça émerge dans la décennie à venir. Il faut pas attendre ce moment-là. Il faut s'y préparer parce qu'au moment où ça émergera, ça cassera toute la cryptographie qui est la base de tout ce qu'on fait en matière de cybersécurité.
Toute la cybersécurité tôt ou tard se ramène à un mécanisme de cryptographie qui sera potentiellement cassé par l'ordinateur quantique. Les solutions existent. La cryptographie post-quantique a été normalisée au niveau international avec comme d'habitude dans ce genre d'exercice l'école de cryptographie française qui a brillé et qui a été à l'origine de bon nombre de propositions standardisées aujourd'hui. Le problème devant nous c'est un problème de déploiement. Et donc de faire en sorte que ces mécanismes soient intégrés dans l'ensemble des logiciels.
Nous avons plusieurs leviers que nous mobilisons en la matière. En parler.
On trouve que je fais une fixation sur la cryptographie post-quantique. C'est pas une fixation, c'est juste qu'il faut en parler régulièrement pour ne pas oublier cette urgence de long terme, hein, parce qu'on a plein d'urgences de très court terme, mais il faut aussi se mobiliser sur cette urgence de long terme. Utiliser le levier de la certification. À partir de 2027, l'ANSSI n'acceptera plus d'étudier la certification de solutions de cybersécurité qui ne seraient pas résistantes à l'ordinateur quantique. C'est un levier simple et efficace.
Et puis une politique de l'État qui est de renouveler progressivement tous nos logiciels, tout notre numérique, et de systématiquement rechercher la protection post-quantique dans ce renouvellement qui va s'opérer sur les dix ans à venir. Et donc se dire qu'à partir de 2030 en particulier, on n'achètera plus rien qui ne soit pas protégé contre l'ordinateur quantique. Voilà.
Dominique Estrosi Sassone
Merci beaucoup. Donc on va attaquer les questions de l'ensemble de nos commissaires et on commence avec Martine Berthet.
Martine Berthet
Merci beaucoup, Madame la Présidente. Monsieur le Directeur général, un grand merci pour les éléments que vous nous apportez et pour le travail réalisé sur le volet de notre souveraineté économique. On voit bien que les attaques des puissances étrangères sont de plus en plus nombreuses. Elles peuvent être doubles, hybrides, avec par exemple une attaque cyber couplée à de la désinformation ou de la prédation économique.
Comment l'ANSSI aborde-t-elle ces menaces ? Avez-vous des moyens suffisants ? Vous nous avez parlé de la transposition de la directive NIS 2 dont vous nous dites avoir un besoin essentiel, également la filière qui vous accompagne. Quels sont les obstacles pour sa mise en œuvre puisque c'était une demande de la France au départ ? Et puis peut-être revenir sur le sujet que vous venez de traiter, le quantique.
J'assistais à une conférence du prix Nobel de physique 2025 Michel Devoret récemment. Je pense que le quantique arrive très très vite et que vraiment c'est un quelque chose d'important et je me satisfais de voir que vous avez pris ce sujet à bras-le-corps parce qu'il y a bien sûr des apports très intéressants du quantique mais aussi des menaces qui peuvent être réelles. Merci.
Merci Martine. Anne-Charles Archer.
Anne Chain-Larché
Oui Monsieur le Directeur, déjà on voudrait vous remercier pour non seulement votre clairvoyance mais votre honnêteté intellectuelle qui nous amène bien sûr à pas prendre conscience mais en tout cas de voir l'ampleur des difficultés que nous avons à affronter dans notre pays.
Je voudrais relater tout simplement un moment où avec l'association des maires de mon département, de notre département, Pierre Cuypers et moi-même, nous sommes allés en Finlande il y a environ 18 mois. Et nous avons eu une large conférence sur les menaces hybrides, la Finlande qui a la moitié de ses frontières frontalières avec la Russie et qui vit vraiment dans une angoisse permanente. Et voir à quel point ce pays était à la pointe justement de la cyberdéfense et après ça de se poser des questions d'autant plus que le département de Seine-et-Marne a été victime d'une cyberattaque qui a totalement neutralisé la vie du département pendant des mois avec une demande de rançon qui n'a pas été acceptée. Donc cet aspect mercantile qui vient s'ajouter aux dégâts politiques est redoutable, rançon que le département a bien sûr refusé de payer et la perte de données qui sont, comme on peut l'imaginer, des données essentielles. Alors vous avez largement exprimé ce que vous faisiez auprès des grandes entreprises stratégiques de notre pays.
Moi je voudrais revenir sur les élections présidentielles qui s'annoncent en France et sur les risques que nous avons et qui sont déjà à mon avis plus qu'à l'état de risque, une réalité d'ingérence étrangère.
Alors, on parle beaucoup de la Russie, mais les États-Unis, la Chine et d'autres puissances seront certainement intéressées pour venir s'ingérer dans ces élections présidentielles. Aujourd'hui, quelle est votre stratégie ? Vous avez tout à l'heure parlé de l'ANSSI en disant que c'était du ressort de l'ANSSI, mais ce qui nous paraît un peu inquiétant, c'est de, voilà, la question qui se pose est de savoir si vous travaillez tous autour de ces sujets-là et s'il n'y a pas des sujets réservés à un organisme plutôt qu'à un autre, mais s'il y a une sorte de collectif qui nous amène dans un contexte où les enjeux sont considérables à être bien défendus. Voilà ce que je voulais vous dire.
Dominique Estrosi Sassone
Merci Anne, et on termine cette série de trois questions avec Marie-Lise Housseau.
Marie-Lise Housseau
Merci Madame la Présidente. Monsieur le Directeur général, je voudrais vous interroger sur un sujet très pratique. Le 1er septembre 2026, on va passer à la facturation électronique, ce qui veut dire que toutes les factures fournisseurs et clients devront être stockées sur des plateformes agréées par l'État.
Au total, ce sont 10 millions d'acteurs économiques qui sont concernés et donc des flux gigantesques de factures qui vont être stockées sur ces plateformes avec des risques de fraude tout aussi élevés. Le monde économique est assez inégalement préparé à cette grosse réforme. Et je voudrais savoir comment l'ANSSI a été associée et quel regard vous portez sur les risques qui sont générés. Merci. Voilà, Monsieur le directeur général, pour cette série de premières questions.
Vincent Strubel
Alors peut-être en à titre liminaire un éclaircissement sur la CNIL. Il y a une répartition assez claire des responsabilités. La CNIL est en charge de la mise en œuvre et du contrôle du RGPD, qui est le règlement relatif aux données personnelles. Donc je m'abstiens de commenter les questions de protection spécifique des données personnelles qui sont du ressort de la CNIL. Mais évidemment l'ANSSI est l'autorité nationale de la cybersécurité et beaucoup plus positionnée sur tous les enjeux régaliens de manière générale.
Et quand il s'agit de protéger un scrutin électoral, il est évident qu'on est au cœur de nos missions. Je précise au passage que au-delà de cette différence de mission et différence de statut, l'ANSSI est une émanation de l'exécutif, c'est une administration, la CNIL est une autorité indépendante. La coopération est régulière, quotidienne entre nos équipes, notamment sur les référentiels techniques parce que avec des finalités légèrement différentes, nous préconisons généralement la même chose. Et donc il y a un certain nombre de guides qui sont co-élaborés, co-signés, co-portés par la CNIL et l'ANSSI chacun dans sa dans sa responsabilité propre mais avec une convergence assez naturelle et un travail quotidien des équipes entre elles. Le continuum d'hybridité qui a été évoqué par vous Madame Berthet mais également par Madame Chain-Larché sur le cas spécifique de la de la Finlande, c'est au cœur du scénario central auquel nous nous préparons.
Notre horizon stratégique, c'est le scénario central de la revue nationale stratégique de 2025 qui verrait alors n'a rien d'une certitude mais c'est ce à quoi on se prépare à la fois un engagement militaire de haute intensité de nos forces armées à la périphérie de l'Europe en soutien de nos alliés, de ceux notamment qui ont des frontières avec des adversaires potentiels. Mais aussi sur le front domestique la tempête parfaite, c'est pas écrit comme ça mais c'est l'intention de menaces hybrides.
Celles qui seraient susceptibles de rester sous le seuil d'une escalade encore plus radicale, même si rien n'est garanti en la matière. Et dans cette tempête parfaite, nous nous attendons à une déferlante de cyberattaques extrêmement coordonnées, des États d'un pan de la menace cybercriminelle, d'un pan de la menace activiste, se répartissant les cibles pour paralyser, saturer nos défenses à très grande échelle, mais aussi avec une extension naturelle dans le domaine de la manipulation de l'information, de l'amplification de manière générale. Et donc avec une coopération qui existe déjà face à ce risque-là avec nos confrères de Viginum. La France a fait ce choix avisé, j'en suis convaincu, de ne pas mélanger la cybersécurité et la lutte contre la manipulation de l'information. Nous sommes deux structures jumelles, ANSSI et Viginum, en charge de ces deux problèmes avec un chef commun qui est le SGDSN, le Secrétariat général de la défense et de la sécurité nationale, mais avec des cadres d'action qui sont très différents parce que dans la lutte contre la manipulation de l'information, on touche beaucoup plus vite à des sujets de débat politique ou des sujets de liberté d'expression qui conduisent mes confrères de Viginum à une transparence totale sur leur mission qui ne serait pas adaptée au traitement d'affaires d'espionnage comme nous en traitons à l'ANSSI.
Donc la répartition est bonne et la coopération n'est pas empêchée par cette séparation des deux structures, tout comme nous coopérons avec des finalités très différentes et des rôles très différents avec les services de renseignement.
Si nous sommes en mesure d'identifier et de pointer du doigt et d'attribuer formellement certaines attaques au GRU russe, c'est que nous avons mis en commun ce que l'ANSSI a vu du côté des victimes et ce que les services de renseignement voient du côté des attaquants et que nous sommes capables de faire le lien. Donc cette coopération, elle est fondamentale et c'est une réalité. J'ajoute que nous avons déjà été confrontés à ce type de menace. Nous avons fait de la cyber de haute intensité, pour reprendre un vocabulaire militaire, pendant les Jeux Olympiques et Paralympiques. L'ANSSI était en charge non seulement de la protection, de la préparation de l'ensemble de l'écosystème olympique pour faire face aux menaces cyber qui se sont révélées particulièrement intenses, mais aussi de la conduite des réponses, de la coordination des réponses, etc.
Et pendant les Jeux Olympiques et Paralympiques, une des menaces à laquelle nous avons fait face, c'était un attaquant activiste pro-russe qui est assez clairement un proxy, qui s'en est pris aux stations d'épuration pour essayer de polluer la Seine, qui n'y est pas arrivé parce que nous l'avions anticipé, parce que nous avions travaillé avec l'ensemble des acteurs qui traitent les eaux usées et les eaux de manière générale de la Seine, mais qui n'a pas pour autant renoncé à proclamer qu'il y était arrivé. Donc ils n'y sont pas arrivés, mais ils ont fait croire, ils ont essayé de faire croire qu'ils y étaient arrivés.
Donc on a travaillé sur ces deux plans et avec un travail étroit aussi avec les médias que nous avons associés dans ces travaux-là. Donc voilà, ça prototype un peu ce qui pourrait être notre réponse coordonnée face à ce genre de choses et ça démontre qu'on peut y arriver. Alors évidemment avec la facilité d'une unité de temps et de lieu des Jeux Olympiques et d'un alignement parfait de tout le monde, mais on peut y arriver. Le même constat se pose un petit peu sur les élections présidentielles sur lesquelles il faut évidemment s'attendre à un continuum de menaces cyber et manipulation de l'information et autres. Le volet cyber n'est pas nouveau pour nous.
Ça fait dix ans au moins que nous nous structurons et nous nous mobilisons à chaque scrutin électoral pour protéger ces élections. Avec cette chance en France que le scrutin est essentiellement papier. Donc il y a très peu d'adhérence numérique du vote lui-même et donc le nombre de systèmes d'information portant la collecte des résultats par exemple est très limité. Donc nous avons un focus tout particulier sur les systèmes qui font la concaténation des résultats du vote papier, sur ceux qui gèrent les listes électorales. Donc là il y a un focus très particulier.
Mais évidemment aussi un facteur, j'allais dire de vulnérabilité, mais par construction, qui sont les partis politiques. Les partis politiques sont des cibles, les équipes de campagne sont des cibles, c'est avéré. Et donc nous avons depuis dix ans une offre d'accompagnement parce qu'émanation de l'exécutif l'ANSSI ne peut rien imposer évidemment et nous marchons sur des œufs dans nos interactions avec les partis politiques.
Mais nous avons une offre de services transpartisane. Nous faisons une action de sensibilisation avant chaque scrutin et nous nous tenons à la disposition de tout parti politique. Et je, sans rentrer dans les détails, nous avons été amenés à travers les années à accompagner des partis politiques de tout bord qui ont fait face à des cyberattaques en phase électorale ou non. Et nous tenons évidemment informé le juge de l'élection, le Conseil constitutionnel en l'occurrence, de tout événement qui aurait un impact sur la sincérité du scrutin. Ça c'est le cadre existant en matière de cybersécurité.
Il s'inscrit maintenant dans un cadre étendu, y compris aux menaces de manipulation de l'information avec un modus operandi qui a été prototypé pour les élections municipales, qui sera renouvelé en tirant les leçons de ce premier mode de fonctionnement qui nous met aux côtés de Viginum et d'autres entités comme l'Arcom pour avoir une vision d'ensemble sur toutes les menaces qui pourraient affecter la sincérité d'un scrutin. Vous avez posé aussi la question des moyens de l'ANSSI. Alors il est évident que, de manière générale, faut jamais demander à un directeur d'administration centrale s'il a suffisamment de moyens. Ça c'est une évidence, on n'aura jamais assez de moyens.
Et je pense qu'il y a besoin de moyens complémentaires et nous avons porté des demandes en ce sens, notamment pour accompagner cette extension du champ de mission. L'ANSSI va passer, une fois que NIS 2 sera transposée, de 500 acteurs régulés aujourd'hui, OIV, opérateurs d'importance vitale et opérateurs de services essentiels de NIS 1, à 20 000. Le but n'est pas de multiplier par 40 les moyens de l'ANSSI. Donc il faut trouver des nouvelles logiques d'action, d'utiliser ce levier réglementaire et de contrôle pour passer à l'échelle. Mais évidemment, ça nécessitera sans doute soit des réaffectations de moyens, soit des compléments de moyens, tout comme nous avons une logique de pilotage très fine de nos moyens pour investir le champ de l'IA sans pour autant désinvestir totalement les autres domaines d'expertise qui n'en perdent pas pour autant leur utilité.
Je pense que dans la question des moyens, pour le dire très simplement, il n'y a pas que des enjeux de millions d'euros de budget ou de dizaines ou de centaines d'ETP. Il y a la question des moyens légaux d'action et je pense que c'est peut-être le plus urgent, c'est de nous donner les moyens d'agir à travers la transposition de NIS 2 et la finalisation de l'adoption du projet de loi Résilience. Et évidemment, je ne me prononcerai pas sur le calendrier parlementaire et son inscription ou non au calendrier de l'Assemblée nationale parce que là, c'est des sujets sur lesquels un fonctionnaire comme moi n'a pas à se prononcer. Mais je ne peux que répéter l'importance de ce texte et l'urgence de l'adopter, autant pour nous doter de nouveaux moyens d'action que pour lever une incertitude qui nuit gravement à nos industries de cybersécurité aujourd'hui.
Et sur le quantique ça arrive très vite mais ça dépend ce qu'on regarde. Le quantique c'est plein de choses, il y a déjà des calculateurs quantiques qui de manière théorique accélèrent certains calculs. Nous ce qui nous inquiète c'est l'ordinateur quantique significatif sur le plan cryptographique, il y a des tas d'acronymes barbares en la matière mais c'est celui qui sera capable d'accélérer très significativement des calculs applicables à la cryptographie dans ses usages réels. Et donc ça on est plutôt sur un horizon à dix ans qui n'est pas ça passe très vite dix ans et dix ans quand il s'agit de tout renouveler ça peut passer très vite c'est pour ça qu'il faut s'y mettre maintenant mais on n'est pas au pied du mur. Et il faut veiller à ne pas s'y retrouver parce que aujourd'hui on a le temps de le faire de manière sereine et dans le cycle naturel de renouvellement du numérique en lissant les coûts.
Si on attend trop ce sera une urgence et ce sera un chantier titanesque voire cataclysmique à l'échelle du numérique.
Et évidemment, il y a plein d'autres usages du quantique. Je précise au passage que le quantique a aussi des applications à la protection des communications. On parle aussi de cryptographie quantique ou de distribution de clés quantiques, qui est un autre domaine d'intérêt pour la recherche, qui permettrait potentiellement de rajouter des cordes à notre arc, mais qui n'est pas une priorité pour nous parce que ce n'est pas la réponse à l'arrivée de l'ordinateur quantique. C'est ce qu'on appelle la cryptographie post-quantique. Désolé pour le jargon, mais on a des tas de constructions déjà existantes qui permettent de se protéger contre l'ordinateur quantique sans changer totalement la manière dont nous faisons du numérique et de la cryptographie.
Voilà.
Sur la facturation électronique ?
Vincent Strubel
Ah pardon. Sur la facturation électronique, alors j'ai bien en tête cette échéance qui pour moi ne fait que renforcer l'enjeu de protection de l'ensemble de nos entreprises à très grosse à très grande échelle d'une manière systématique contre les cyberattaques parce que ça crée une dépendance numérique de plus. Mais c'est déjà une réalité sans même la facturation électronique, sans même ces plateformes sur lesquelles nous aurons évidemment un travail d'accompagnement, de vérification de leur sécurité. Mais la réalité, c'est qu'aujourd'hui l'une des premières conséquences d'une cyberattaque quelle qu'elle soit dans une entreprise, c'est qu'elle n'est plus capable de faire fonctionner sa comptabilité, d'éditer des factures, de payer ses fournisseurs et de recevoir les paiements de ses clients.
Et c'est une, c'est le facteur qui met en danger le plus rapidement la, la survie d'une entreprise, surtout les plus petites d'entre elles, parce qu'une cyberattaque aujourd'hui, avec ou sans la facturation électronique, ça empêche une entreprise de manipuler de l'argent, de le faire entrer, de le faire sortir. Donc c'est, c'est une réalité. Et je pense qu'au-delà de sécuriser les plateformes en tant que telles, qui ont un rôle central et qui sont d'un intérêt particulier, le vrai défi, c'est là encore de systématiser nos protections dans l'ensemble de nos entreprises. Et c'est pas des choses très, très sorcières qu'on leur demande, hein. C'est des protections de base.
Se protéger contre un rançongiciel, ne pas perdre toutes ses données, c'est horrible à dire, mais c'est pas forcément très compliqué. Il suffit d'avoir des sauvegardes hors ligne testées régulièrement. Voilà. Donc il y a, et la réalité, c'est que ces bonnes pratiques, elles sont connues depuis longtemps, mais elles ne sont pas appliquées systématiquement, ni par l'État, ni par les collectivités, ni par les entreprises, parce que toujours des questions de priorité, il y a toujours, c'est des sujets un peu ingrats, hein, un peu orphelins de manière générale, et que donc raison de plus de réglementer pour encourager encore plus les structures à se, à adopter ces bonnes pratiques. J'ajoute aussi que là encore, ces bonnes pratiques de base qui ne sont pas nouvelles sont aussi le premier rempart et le plus efficace contre l'émergence de l'IA et tout ce que ça va changer dans l'accroissement de l'intensité de la menace.
Parce que fondamentalement, s'il y a des cyberattaques, c'est parce qu'il y a des vulnérabilités élémentaires qui sont assez omniprésentes et beaucoup trop omniprésentes.
Philippe Grosvalet
Merci.
La peur n'évite pas le danger. Nous voyons bien à travers votre exposé et je vous en remercie que on agit à la fois dans l'instant et chaque seconde des milliers de risques et puis la nécessité de se projeter dans le temps long. On agit dans l'espace du cyberespace jusqu'au local. Je voudrais juste moi témoigner d'une attaque qui a eu lieu dans ma ville à Saint-Nazaire. La ville de Saint-Nazaire et la Carène 130 000 habitants ont été attaquées en 2024.
Et je voudrais à cette occasion vous remercier et vous remercier vos services à la fois pour leur compétence technique, leur réactivité et aussi le soutien moral. Je voudrais dire aussi combien au fond ça touche le quotidien de nos habitants parce que cette attaque tout a été immédiatement stoppé. Le service de l'eau, les restaurations scolaires, les marchés publics. Donc des reports d'investissements très lourds.
Bref, ça a traumatisé un territoire. Et c'est un peu le sens de ma question, c'est est-ce que dans vos stratégies au fond très verticales, où on parle de défense au plus haut niveau des très grandes entreprises, comment est-ce que vous envisagez une stratégie plus locale de protection locale où on pourrait associer justement tous les acteurs, les collectivités locales, des plus petites aux plus grandes, les entreprises, même chose, et puis les services de l'État et pourquoi pas les acteurs de la société civile sur des stratégies territoriales parce que à l'appui de ce témoignage, ça a traumatisé un territoire et tout le monde avait cette envie de se protéger, ça a fait peur à tout le monde et en même temps voilà. Donc voilà le sens de ma question. La deuxième qui est un peu aussi liée à cette expérience sur vos ressources humaines, ou en tout cas les ressources humaines qu'il y a en France, pas simplement les vôtres, celles qui sont dans les services de gendarmerie, de la défense et cetera, qui luttent contre ces attaques et qui sont venus à notre soutien. Comment allons-nous trouver des ressources humaines dans un monde aussi concurrentiel où les enjeux financiers pour ceux qui attaquent seraient évidemment bien supérieurs à ce que nos conditions publiques peuvent offrir à des agents de très haut niveau et qu'au-delà du service de l'État et de la République, la concurrence pourrait devenir très rude entre le gendarme et le voleur.
Évelyne Renaud-Garabedian
Merci Madame la Présidente.
Monsieur le Directeur général, je suis sénateur des Français de l'étranger et je voulais vous poser deux questions, l'une qui porte sur le vote électronique par internet pour les élections législatives et les élections consulaires parce que les Français qui vivent à l'étranger ont leur résidence qui est très éloignée des bureaux de vote. Ensuite, j'ai une question à vous poser également sur l'Agence pour l'enseignement du français à l'étranger qui a fait l'objet en 2023 de deux cyberattaques. Au titre de sa mission d'accompagnement du système d'information critique de l'État, l'ANSSI apporte son expertise en cybersécurité à chaque scrutin. Au-delà des prestations du choix du prestataire et de l'homologation du système, en passant par l'audit du code, les tests grandeur nature et la supervision du vote pour le dépouillement, aux dernières élections consulaires qui sont intervenues au mois de mai 2026, de nombreux électeurs n'ont pourtant pas pu voter. SMS jamais reçus, identification impossible à récupérer, portail difficile d'accès.
Des difficultés de même ordre avaient déjà conduit le Conseil constitutionnel en 2023 à annuler les élections de deux députés des Français de l'étranger.
Des recours ont d'ailleurs été engagés concernant les élections consulaires du mois de mai 2026. Ces pannes ne touchent pas la plateforme spécifique elle-même, mais tout ce qui l'entoure : les SMS acheminés par des opérateurs télécom étrangers, courriels bloqués par les filtres anti-spam. Comment l'ANSSI prend-elle en compte dans son évaluation ces maillons extérieurs et notamment l'arrivée effective des codes chez l'électeur ? Et quels enseignements vous tirez de 2026 dans la perspective d'une éventuelle extension du vote en ligne à d'autres scrutins ? Concernant l'agence l'AEFE, en novembre 2023, un rançongiciel a touché son application financière ELAP avec une fuite de données significative qui ont été signalées à l'ANSSI et au CNIL.
Le mois suivant, une attaque est intervenue contre le logiciel SCOLA qui a bloqué l'instruction de dossiers des bourses scolaires qui sont affectées aux familles des Français qui vivent à l'étranger, contraignant au report de la commission nationale des bourses et laissant des familles dans l'attente. Dans les deux cas, ce ne sont donc pas les systèmes de l'AEFE qui ont été attaqués, mais ceux des prestataires privés.
Ces attaques n'ont pas simplement compromis des données, elles ont interrompu des démarches essentielles pour les usagers. Comment l'ANSSI accompagne-t-elle les opérateurs publics comme l'AEFE en amont pour prévenir ces attaques, y compris chez leurs prestataires, et lorsqu'elles surviennent pour rétablir le service au plus vite ? Merci de vos réponses.
Dominique Estrosi Sassone
Merci Évelyne, et dernière question de cette série avec Antoinette Guhl.
Antoinette Guhl
Oui, madame la présidente, monsieur le directeur, moi j'ai une question plus spécifique sur les hôpitaux et enfin plus généralement sur la santé puisque nous savons que c'est un secteur qui compte d'après vos statistiques 10 % des cyberattaques de France. Nous savons également que 15 % des hôpitaux ont déjà subi une cyberattaque, ce qui met en danger là non seulement bien sûr la donnée des patients, les données des patients, mais aussi leur santé puisque c'est quelquefois plusieurs jours d'actes qui doivent être reportés et cetera. Donc j'aimerais avoir moi votre avis sur la principale vulnérabilité de notre système hospitalier.
Est-ce que c'est la technologie ? Est-ce que c'est l'organisation ? Est-ce que ce sont les ressources humaines ? Est-ce que c'est le budget alloué alloué à cette protection ? Voilà, je voulais avoir votre avis sur ce sujet en particulier.
Je sais que vous l'avez vous l'avez abordé un peu, j'aurais aimé qu'on y que vous l'abordiez plus spécifiquement. Merci.
Monsieur le directeur général.
Vincent Strubel
Oui. Alors, je commence par la fin. Les hôpitaux, c'est pour moi un un succès au moins partiel. Et donc c'est une lueur d'espoir. J'ai pris mes fonctions au moment où où les hôpitaux souffraient particulièrement du rançongiciel.
Et nous avons connu des vraies catastrophes, hein, notamment à l'hiver 2022 quand deux grands hôpitaux de la plaque parisienne ont été simultanément paralysés pendant de nombreux mois par des rançongiciels en plein pic Covid, grippe, bronchiolite. Donc voilà, on laisse à votre imagination le genre de conséquences que ça peut avoir ce genre de ces choses-là. Et donc ça a été notre priorité. Ça l'était déjà avant que je ne prenne mes fonctions, hein, c'est pas mon œuvre à moi, mais c'est une source de fierté pour l'œuvre collective de l'ANSSI qu'on a on a réussi à progresser nettement là-dessus. On a réussi à travers un plan qui s'appelle CARE qui a qui a été engagé par le ministère de la Santé pour financer financer des améliorations de cybersécurité, de l'équipement, des ressources humaines, des choses comme ça.
Il n'y a pas une vulnérabilité spécifique, hein, dans les hôpitaux. C'est juste la complexité même de l'informatique d'un hôpital. Ce sont des centaines et des centaines d'applications différentes.
C'est extrêmement interconnecté avec la médecine de ville, avec les caisses d'assurance, avec les universités. Enfin par nature même, par la mission des hôpitaux, c'est à une échelle un peu différente mais le même genre de problème qui se pose pour sécuriser l'État dans son ensemble. C'est extrêmement vaste, extrêmement diversifié, en prise directe avec tout le reste. Et donc c'est complexe à sécuriser avec des prestataires qui sont aussi des sources d'attaque. Mais nous avons réussi à mobiliser des moyens.
Nous avons mobilisé aussi la gouvernance et c'est un enjeu essentiel et ça montre que ça peut marcher. Les équipes dirigeantes des hôpitaux se sont mobilisées sur ces sujets-là à travers aussi les témoignages de leurs collègues qui avaient subi les premières attaques pour ne pas laisser ce sujet aux seuls informaticiens parce que et ça vaut pour tous les autres sujets de cybersécurité au-delà des hôpitaux, ce n'est pas un sujet de techniciens, c'est un sujet de gouvernance, c'est un sujet de dirigeants au sens large parce que quand la crise arrive, c'est à eux de prendre les bonnes décisions. Et donc nous avons aussi entraîné les hôpitaux. Entraîné à réagir vite, à couper Internet par exemple. Il faut savoir quand est-ce qu'on le fait, ça a des conséquences quand même sur un hôpital, hein, c'est pas anodin.
Il faut savoir comment on le fait, c'est généralement pas juste une prise à débrancher d'un mur, hein, dans un hôpital. Mais avoir préparé ce genre de choses-là, ça permet de réagir vite et de limiter la casse.
Donc quand je dis un succès partiel, nous sommes au milieu du gué en ce sens que nous n'avons plus eu de catastrophes conduisant à une interruption de l'offre de soins. Donc les hôpitaux depuis ces ces dernières années réagissent suffisamment vite, alors il faut savoir l'entretenir ce genre de choses, pour éviter les impacts sur l'offre de soins et c'est ça qui était notre priorité. Ça n'épuise pas le sujet parce qu'il y a évidemment la protection des données de santé qui sont aussi alors détenues pas que par les hôpitaux mais qui sont aussi des cibles. Pour le dire crûment, le choix était évident pour nous dans la priorité, hein, prioriser l'offre de soins en premier lieu. Les données de santé c'est important aussi mais un peu moins que la continuité de de l'offre de soins.
Donc c'est comme ça, donc nous sommes au milieu du gué, nous allons poursuivre le travail sur la les données de santé mais je pense que nous avons quand même réussi à à obtenir un certain succès sur la l'offre de soins et donc j'ai coutume de dire qu'à l'ANSSI on sauve des vies sans sans s'en rendre compte et là je pense qu'on s'en rend compte de manière assez concrète en fait. Le ça renvoie à un autre sujet qui a été qui a été évoqué dans le cadre de la LOPPSI où oui, les prestataires sont une porte d'entrée dans beaucoup de des attaques qui ciblent y compris la sphère publique, hein.
Donc l'État est très attaqué mais l'État est aussi attaqué indirectement par ses prestataires. Nous avons des actions d'accompagnement en la matière pour proposer par exemple des clauses types à mettre dans des des contrats. Mais pour aller plus loin, il nous faut un cadre contraignant. Aujourd'hui l'ANSSI déjà ne peut pas contraindre un opérateur public, hein. Un établissement public, il n'y a pas de pouvoir direct de l'ANSSI, nous pouvons l'accompagner, lui faire des recommandations mais pas lui imposer des choses.
Et évidemment tout le cadre réglementaire de NIS 2, du CRA, va venir couvrir un bon nombre de ces usages-là, tant les entités utilisatrices du numérique qui auront des obligations claires en la matière que les fournisseurs du numérique. Et c'est important de faire les deux en même temps. Le CRA, le Cyber Resilience Act, le règlement européen sur la résilience, portera des exigences sur les sur les fournisseurs de logiciels par exemple qui sont souvent des portes d'entrée parce qu'ils n'appliquent pas les bonnes pratiques de base de sécurité et donc avec des des impacts indirects qui peuvent être colossaux. Et c'est pareil dans les collectivités comme comme Saint-Nazaire dans lesquelles là aussi les portes d'entrée sont sont nombreuses. Nous n'avons pas qu'une stratégie verticale en la matière.
Au contraire nous avons une stratégie qui vise à mobiliser un collectif de plus en plus étendu. C'est quelque part dans les dans les gènes du fonctionnement de l'ANSSI qui n'a jamais qui n'est jamais intervenue seule. Nous avons travaillé notamment avec le secteur privé, avec d'autres services de l'État depuis toujours. Le le nouveau défi qui est expliqué en détail dans la la stratégie nationale, c'est de mobiliser aussi l'échelon local au-delà des cercles des des sachants, des experts en cybersécurité, des services de l'État spécialisés.
Et donc nous travaillons de plus en plus notamment avec les régions. Alors c'est pas totalement nouveau. L'ANSSI a depuis déjà quelques années des délégués territoriaux présents dans chaque région de l'Hexagone et un délégué globe-trotteur qu'il faudra sans doute doubler ou tripler parce qu'il couvre l'ensemble des outre-mer avec des enjeux très particuliers aussi. Mais une présence dans l'ensemble des territoires, une collaboration étroite avec les régions notamment à travers les CSIRT, les centres de réponse à incident portés par les exécutifs régionaux que nous avons soutenus financièrement, méthodologiquement et qui sont aussi un pan de la réponse parce que ça crée de la capacité de proximité. Ça crée des acteurs de proximité qui sont dans la relation de confiance.
Vous avez souligné le facteur humain aussi dans la réponse à un incident de cybersécurité. Quand on est face à une cyberattaque, c'est un choc psychologique. On n'a pas forcément envie de parler qu'à une obscure administration parisienne même si c'est l'ANSSI, même si elle est formée et qu'on a ce volet d'accompagnement y compris sur, j'allais dire psychologiquement, soutenir les victimes, c'est important. Pouvoir parler à quelqu'un qu'on a rencontré déjà parce que c'est l'acteur régional de référence, c'est important et ça fait partie de l'efficacité de la réponse.
Donc on travaille de plus en plus en réseau avec ces échelons locaux, sans imposer un modèle unique, mais en soutenant des initiatives régionales aussi. Et dernière manière de dire les choses, les régions sont très impliquées dans le soutien au développement économique. C'est une très bonne manière d'attraper des PME qui ne penseraient jamais naturellement à l'ANSSI. Donc qu'elles soient informées des enjeux de cybersécurité et mises en relation avec les acteurs locaux et avec l'ANSSI potentiellement dans le cadre de l'accompagnement au développement économique porté par les régions est une très bonne chose. Donc ça, voilà, c'est ce continuum qu'on essaie de construire avec parfois des redondances, avec parfois un écosystème qui est très riche, hein, mais je, pour le dire très simplement, moi je préfère quelques redondances ou quelques, voilà, superpositions d'acteurs plutôt que des trous dans la raquette.
Et aujourd'hui on a plus de trous dans la raquette à combler que de redondances à ajuster, et les redondances ça s'ajuste dans la durée. Le vote internet des Français de l'étranger est un sujet qui me tient à cœur parce que dans mes fonctions actuelles, mais dans mes fonctions précédentes aussi au sein de l'ANSSI, j'ai siégé depuis dix ans dans le bureau de vote électronique qui supervise le vote par internet des Français de l'étranger. Donc c'est une solution, la solution est regardée de très près par l'ANSSI et aujourd'hui présente un niveau de sécurité de la plateforme centrale qui est tout à fait satisfaisant. Et donc je pense qu'on a une belle solution avec toutes les limites consubstantielles au vote par internet. On n'aura jamais le même niveau de sécurité que sur un vote papier, on n'aura jamais le même niveau d'intelligibilité par les électeurs.
Une enveloppe opaque dans une urne transparente, ça tout le monde peut comprendre. Un scrutin dont la sincérité et le secret est garanti par de la cryptographie multivariée et des protocoles zero-knowledge, il faut faire confiance à des gens qui ont des thèses en cryptographie. Donc ça déporte un peu le sujet, mais dans le cas des Français de l'étranger qui ont toute cette complexité géographique pour aller voter à l'urne, c'est évidemment quelque chose qui se justifie et qui se comprend bien. Ça pose d'autres problèmes qui ne sont pas liés à la plateforme : l'acheminement des SMS, les communications protégées dans un certain nombre de régions du monde. C'est horrible à dire, mais nous n'avons pas vraiment de levier.
Si nos concitoyens qui votent au Mali sont tributaires des opérateurs de télécommunications maliens, et quand les opérateurs de télécommunications maliens n'acheminent pas les SMS parce qu'ils veulent pas ou simplement parce qu'ils sont soumis à des pannes régulières, il n'y a pas réellement de levier. Donc il y a des choses que nous pouvons faire pour faciliter, ne plus avoir besoin par exemple de SMS pour envoyer des mots de passe.
Ça repose sur l'identité numérique, sur le travail de déploiement de renouvellement des cartes d'identité qui fournissent aujourd'hui une identité numérique forte, qui est la voie du futur pour permettre une authentification sans avoir besoin de fournir alors déjà des mots de passe qui sont toujours un facteur de fragilité, mais à plus forte raison à nos concitoyens à l'étranger où ce problème d'acheminement des mots de passe est aujourd'hui le facteur le plus limitant dans la capacité de nos concitoyens à voter par internet. La plateforme fonctionne parfaitement, mais les opérateurs locaux ne fonctionnent pas toujours très bien et là l'État français dans son ensemble n'a pas forcément un levier naturel pour leur demander de fonctionner mieux. Mais je pense que tout le monde en est bien conscient et j'ai moi-même passé la soirée avec mes collègues du ministère des Affaires étrangères et avec les élus qui siégeaient au bureau de vote électronique auquel nous avons fait le dépouillement et aussi reparlé de ces sujets-là qui sont voilà un facteur limitant en la matière. J'espère avoir couvert non les ressources humaines. C'est un enjeu je ne l'oublie pas, c'est un enjeu important.
L'ANSSI a la chance de pouvoir recruter, nous sommes un employeur attractif ne serait-ce que parce qu'on fait à l'ANSSI des choses qu'on ne fait nulle part ailleurs. On y apprend énormément de choses, on y sert son pays et c'est quelque chose qui motive fortement et c'est une motivation au cœur de l'engagement quotidien des agents et des agentes de l'ANSSI qui ne comptent pas leurs heures et qui font un travail formidable motivés par ça avant tout. On se sent utile à l'ANSSI et c'est ça qui nous fait qui nous fait travailler le jour, la nuit, le week-end. On ne reste pas forcément très longtemps à l'ANSSI donc les agents de l'ANSSI essaiment aussi après au bout de quelques années. C'est très bien aussi parce qu'aujourd'hui on a la chance partout dans les opérateurs d'importance vitale, dans les administrations de retrouver des anciens collègues qui savent comment on fonctionne, qui ont le même le même référentiel que nous.
Donc c'est une une force aussi. Le vrai enjeu, et il est bien identifié aussi dans la stratégie nationale, c'est une pénurie de talents. Et donc ça, il faut le travailler à la source. On a la chance en France d'avoir des formations du supérieur de très grande qualité. Elles ne font pas elles ne saturent pas leur leur nombre de places.
Donc aujourd'hui le le travail on le déplace de plus en plus vers l'amont, vers le lycée, le collège, dans lequel il faut étapes auxquelles il faut parler à nos nos jeunes françaises et français de cybersécurité, des réflexes de base de survie dans l'espace numérique à acquérir mais aussi de l'intérêt des métiers de la cybersécurité en déconstruisant quelques images un peu un peu récurrentes. Hein, la cybersécurité c'est un c'est un truc d'homme travaillant seul dans le noir avec un un sweat à capuche. C'est pas c'est pas vrai. C'est une incroyable variété de métiers, c'est des métiers du collectif, c'est des métiers du du care quelque part, hein, on aide ses nos concitoyens et donc c'est tous ces messages-là qu'il faut arriver à faire passer parce qu'on se prive d'opportunités, on prive nos jeunes aussi d'opportunités d'emploi formidables. Donc c'est ça.
Et quelles sont les écoles de formation ?
Vincent Strubel
Les les écoles de formation alors je manière simple de de dire ça, nous avons un référencement des formations qui s'appelle SecNumedu.
Et donc sur le site web de l'ANSSI, sur cyber.gouv.fr, il y a aussi une référence de toutes les formations recommandées par l'ANSSI. Il y en a une centaine au moins. Des licences, des masters, des BTS. Donc la formation du supérieur, elle est, on a une offre riche correspondant à plein de besoins, de très grande qualité. Et l'enjeu aujourd'hui, c'est de remplir ces formations parce qu'elles ne font pas le plein.
Dominique Estrosi Sassone
Merci beaucoup. Il nous reste a priori deux questions avec Pauline Martin.
Pauline Martin
Merci Madame la Présidente. Merci pour effectivement toutes les informations que vous avez données. Alors moi je vais être complètement structurelle dans ma question. Vous connaissez l'attachement des sénateurs à la notion d'État efficace. Alors 350 agents en 2013, 600 dans les années 2020 plus exactement.
Vous en redemandez encore et c'est probablement justifié, je remets absolument pas ça en cause. Mais voyez-vous un avantage dans votre activité à être détaché d'un ministère dans le format d'une agence ou pensez-vous justement que les choses iraient plus vite si vous étiez intégré directement à un ministère ?
Dominique Estrosi Sassone
Merci Pauline. Et dernière question avec Daniel Gremillet.
Daniel Gremillet
Oui, merci Madame la Présidente. Merci pour la qualité de toutes les informations que vous avez pu nous enrichir. Trois questions.
La première question, la nouvelle génération de maires nous interroge aujourd'hui de plus en plus sur la possibilité pour certains élus dans les conseils de pouvoir faire des, participer à un conseil à distance. Donc comment sécuriser et comment envisager effectivement ce genre de nouvelles relations dans un conseil municipal, peu importe. La deuxième question, suite à l'affaire Lubrizol, il y a un point important qui a été développé, c'était de développer des systèmes d'information, d'alerte de l'information. On l'a déjà aujourd'hui avec les alertes météo, mais là c'était plus par rapport à un risque qui pourrait subvenir. Et là aussi une question, savoir comment on peut sécuriser ces systèmes d'information d'alerte qui vont se développer de plus en plus.
Et une dernière question qui n'a rien à voir, mais l'alimentaire est-il à votre avis un sujet fragile à travers la traçabilité ? Et là aussi aujourd'hui toutes les unités de fabrication sont dans des systèmes très automatisés.
Y a-t-il une fragilité, sachant que le dossier alimentaire est un dossier aussi très sensible au niveau des populations ? Que ça soit la traçabilité, puisqu'on parle de plus en plus de traçabilité, et je ferai un parallèle sur l'exigence que nous avons en tant que législateur d'avoir les mêmes produits, la même qualité des produits que ceux qu'on exige en France ou en Europe par rapport aux importations en dehors de l'Union européenne. Merci.
Oui, rapide.
Yannick Jadot
Comment vous évaluez, j'allais dire, le fossé entre la technicité, la rapidité de vos sujets et la démocratie et ses institutions ? Quand vous me parlez, pour ma part, d'un ordinateur quantique, je dois dire que je rentre dans un monde assez mystérieux. Mais vous dites que c'est dans dix ans et que ça existe déjà. Non, ce que je veux dire, c'est qu'à un moment donné, vous voyez bien que sur vos sujets, on est, nous élus, on est mal préparés. Alors, en tout cas pour ma part, je suis mal préparé.
Mais pourtant, mais pourtant, alors on peut décider totalement de vous faire confiance, mais à un moment donné, c'est nous qui décidons des règles qui encadrent l'économie et qui vont vous permettre d'intervenir. Comment vous jugez de notre capacité à bien légiférer sur ces sujets-là et comment on corrige ça ? À part vous recevoir régulièrement, mais en deux heures, on n'est pas totalement formés à tout ce que vous racontez.
Vincent Strubel
Et voilà. Alors, je les garderai pour la fin. Sur le modèle administratif de l'agence, alors ça va vous sembler bizarre, mais l'agence, l'ANSSI n'est pas une agence, même si elle s'appelle agence. On est un service à compétence nationale formellement. Donc on n'est pas une agence au sens des opérateurs détachés de l'État.
On est vraiment, voilà, intérieur des services du Premier ministre. Nous ne sommes pas indépendants et nous sommes aux ordres de l'exécutif comme toute administration centrale ou service à compétence nationale. Et c'est très bien comme ça. C'est très bien que la CNIL soit une autorité indépendante, c'est très bien que l'ANSSI soit une émanation de l'exécutif. On est sur des enjeux de sécurité et de défense nationale qui ne peuvent être délégués, qui sont la responsabilité la plus fondamentale de l'exécutif.
Ça n'aurait pas plus de sens une ANSSI indépendante qu'une police ou une armée indépendante, pour le dire très simplement.
Donc moi je suis convaincu que nous sommes dans le bon modèle, dans le bon positionnement. Notre positionnement à l'interministériel est une force que nous envient beaucoup de nos partenaires ou homologues. Notre modèle aussi, qui n'est pas, alors c'est contre-intuitif par rapport à la logique habituelle de l'État, qui n'est pas une logique d'exclusivité. Il n'y a pas une intervention systématique de l'ANSSI, il n'y a pas un agent de l'ANSSI derrière chaque système. Il y a une mobilisation du secteur privé, il y a une mobilisation de réseaux régionaux.
Déjà est possible aussi grâce à ce positionnement interministériel un peu au-dessus de la mêlée et est un gage d'efficacité. Et là encore, nous n'avons pas à rougir de nos capacités, de nos leviers d'action, de notre expertise ou de notre action par rapport à nos homologues allemands. Là où l'ANSSI est 650 ETP, les Allemands sont 2000 pour faire la même mission. Les Britanniques sont 1500. Donc, et il ne s'agit pas de dire qu'il faudrait que l'ANSSI soit à 2000 personnes, mais il faut quand même avoir conscience du fait qu'on a un modèle qui est aujourd'hui extrêmement optimisé.
Et je ne suis pas sûr qu'il y ait beaucoup de marges d'optimisation supplémentaires en l'état. Bonne productivité.
Voilà, on fait au mieux et ce n'est pas qu'une question de ne pas compter nos heures, même si nos heures sont rarement comptées, mais on a un modèle qui fondamentalement a fait ses preuves et qui me semble le bon. Sur la question de l'équipement des maires, alors je ne suis pas sûr que le sujet le plus dimensionnant aujourd'hui pour une mairie soit de faire le conseil municipal en visio. On peut sécuriser des usages de la visio, on a même des offres, je parlais de la filière française d'excellence, il y a des offres de visio, notamment Tixeo, qui sont labellisées par l'ANSSI, qui sont françaises, qui sont de grande qualité. Je pense que la difficulté aujourd'hui et le message que nous nous efforçons de faire passer auprès des maires, c'est de comprendre toutes les dépendances numériques d'une commune, qui sont nombreuses, et de prévoir la résilience. Un exemple très concret, je suis désolé du caractère peu réjouissant, mais si vous n'avez pas une copie papier du cadastre du cimetière, vous avez un vrai problème le jour où il y a une cyberattaque.
C'est un problème qu'a rencontré la ville de Marseille, qui n'est pas la plus petite d'entre elles des communes, en plein pic de Covid quand elle a été victime d'une cyberattaque. Ils avaient perdu le cadastre des cimetières. Quand il faut enterrer les gens, c'est un problème.
Daniel Gremillet
Pour les maires, on est quelques-uns à être renouvelables.
Donc on est au contact des nouveaux maires. Et c'est une question qu'on n'avait pas pose. Aujourd'hui on a des jeunes qui ne sont pas forcment, qui n'habitent pas forcment au village, qui sont lus dans les quipes municipales. Et la question que je vous pose, c'est pas une question d'un aigri, c'est une question que j'ai eue plusieurs reprises de maires parce qu'ils ont maintenant dans la nouvelle gnration d'lus des personnes qui sont l'tranger, qui se dplacent beaucoup et qui ne peuvent pas tre prsents aux runions de conseil. C'tait tout.
Vincent Strubel
Et a mriterait un trs long expos, mais il y a plein de choses faire aussi avec des solutions de mutualisation pour les petites communes. La suite territoriale qui a t porte par l'ANCT laquelle l'ANSSI a contribu offre certaines solutions. Le travail avec les intercommunalits est un axe de travail fondamental pour nous, avec les oprateurs publics de service numrique aussi. Enfin voil, il y a plein de manires aussi de faire merger des solutions. De mme que nous avons une attention particulire sur les SI d'alerte.
Sans en faire un long dveloppement, c'est pour cette raison-l que nous avons notamment mis les SDIS explicitement dans le champ de la transposition espre de NIS 2 en France, parce que c'est des acteurs essentiels et l aussi avec une gouvernance complexe, mais qui porte des enjeux fondamentaux. L'alimentaire fait aussi partie des secteurs d'activit d'importance vitale identifis dans le cadre actuel et dans le cadre futur de NIS 2, trs morcel, avec les mmes risques que partout ailleurs, c'est--dire des dpendances numriques qui parfois sont sous-estimes, qu'il faut matrialiser, qu'il faut inscrire aussi dans des plans de continuit d'activit.
Et j'entends trop dire je l'ai pas entendu dans l'alimentaire mais dans d'autres secteurs et je pense que je l'entendrais si je posais trop la question dans l'alimentaire. En fait on a le circuit critique logistique il n'est pas numérisé c'est des camions c'est des robinets c'est des machines des choses comme ça. L'expérience montre qu'il y a toujours une dépendance numérique et il y a toujours une dépendance critique ne serait-ce que sur la facturation et quand on sait plus facturer on ne livre plus en fait. Donc il faut et là encore c'est un sujet de gouvernance à haut niveau de l'ensemble des entreprises. Et ça m'amène sur les sujets de gouvernance au niveau de la nation.
Oui il y a un besoin de faire percoler ces sujets numériques extrêmement complexes qui se limitent pas à la cybersécurité dans le débat politique national. Vous n'avez pas vocation à être des experts mais pas de ma mon rôle de vous donner des des exigences mais évidemment vous devez vous intéresser je pense à ces sujets-là. Il est du rôle des administrations aussi de vous éclairer en la matière. Il n'y a pas que les administrations qui peuvent vous éclairer mais en tout cas moi je me livre bien volontiers à cet exercice. Je pense que depuis que j'ai pris mes fonctions j'ai je suis à une moyenne au moins d'une audition par mois parce que je crois voilà enfin je pense que c'est extrêmement important d'apporter ces éclairages.
Je pense que ça renvoie, vous êtes par construction à l'image de la société et que vous en êtes les représentants. On a un enjeu fondamental et là aussi ça me renvoie à ces questions de de parler de cybersécurité, de parler de numérique au lycée et au collège. La compréhension par nos concitoyens et concitoyennes de ces enjeux de numérique, de cybersécurité, mais aussi de manipulation de l'information, de modèles économiques, de tas de choses comme ça, c'est un enjeu critique de résilience de la société face à un monde numérique qui va être de plus en plus déterminant dans le fonctionnement général de la société. Notre résilience face à la manipulation de l'information, c'est avant tout une question de compréhension de ces circuits de l'information et cetera. Donc je pense qu'il y a voilà, c'est pour ça qu'on a une mobilisation forte sur ce sujet aussi parce que c'est le facteur peut-être le plus déterminant de résilience à long terme de la société que la compréhension non pas des experts, il en faudra toujours, mais aussi la compréhension généralisée des mécanismes de base du monde numérique.
Dominique Estrosi Sassone
Merci Monsieur le Directeur général. Vous vous parliez du fait que la France a un atout au travers des opérations de vote par rapport à un vote papier. Aujourd'hui, il y a pas mal de communes qui sont équipées de machines à voter.
Qu'est-ce que quel est votre approche et qu'est-ce que ça peut donner voilà donc si il y a plus de de communes qui continuent à s'équiper de machines à voter ?
Vincent Strubel
Question question piège pour la fin. En essayant d'être concis mais clair sur le sujet. Et puis j'ai eu l'occasion de m'exprimer sur le sujet y compris devant une commission d'enquête sur la de l'Assemblée nationale sur la sur le l'organisation des élections. Mais alors déjà fondamentalement le vote électronique apportera toujours des garanties moindres que le vote papier. C'est c'est une voilà il faut faut l'admettre.
C'est extrêmement compliqué d'atteindre le un niveau équivalent à la propriété simple qu'offre une une enveloppe opaque dans une urne transparente et une supervision par nos concitoyens. On peut tendre vers ce niveau de sécurité mais obtenir simultanément la propriété de secret du scrutin et de sincérité du scrutin démontrable est extrêmement complexe. Et quand on tend vers ce modèle-là, plus on tend vers ce modèle-là, plus on fait des choses complexes. Et là on délègue la compréhension. Là encore, il n'y a pas besoin d'une thèse en mathématiques pour comprendre qu'une urne transparente et une enveloppe opaque ça apporte un certain nombre de garanties.
La cryptographie multivariée, les protocoles zero-knowledge, la sécurité d'un système d'exploitation et cetera, c'est une mobilisation en fait aujourd'hui pour comprendre complètement la sécurité tous les angles de la sécurité d'une solution de vote électronique et à plus forte raison de vote par internet, il faut mobiliser plusieurs thèses dans différents domaines. Et donc on délègue quelque part à des experts la compréhension de la la sincérité du scrutin.
Donc ça, ce sera le facteur limitant fondamental. Il faut, ça veut pas dire qu'il faut se l'interdire, mais il faut bien peser aussi les apports qu'on met en face. Et sur le recours à des machines à voter, au-delà du vote par internet des Français de l'étranger, qui est un cas très particulier sur lequel l'équilibre apport-risque est différent, on a aujourd'hui un moratoire qui s'éternise en la matière. Donc je ne me prononcerai pas sur le maintien ou non de ce moratoire, au-delà de dire qu'il s'éternise et que les mesures temporaires qui durent, c'est jamais forcément très bon. L'ANSSI a travaillé sur le sujet en 2021.
On a communiqué au ministère de l'Intérieur et aux communes concernées un référentiel disant : si on veut faire du vote par machine à voter, voici l'état de l'art des mesures à déployer pour assurer le meilleur niveau de sécurité. L'état de l'art qui a beaucoup évolué dans le monde, par ailleurs, depuis les vingt dernières années. Et aujourd'hui, on est quand même sur des machines en France qui sont figées dans le marbre depuis quasiment vingt ans par ce moratoire.
Donc si on voulait réouvrir le débat, ma conviction d'expert technique, et je me limite à ce rôle-là, c'est qu'il faudrait le faire, si on devait adopter des machines à voter, avec ces exigences renforcées qui sont celles appliquées par d'autres États qui pratiquent le vote par machine à voter, y compris les États-Unis, d'un bulletin papier à côté du vote par internet qui permet d'avoir une traçabilité papier par exemple, d'une évaluation indépendante des machines à voter. Donc voilà, et le rôle de l'ANSSI se limite à ça. On n'a pas à ensuite être acteur du débat politique sur le sujet, mais mettre en évidence les risques, mettre en évidence les manières de contrer les risques et les limites de ces contre-mesures. C'est notre rôle et je pense qu'on l'a fait en 2021.
Dominique Estrosi Sassone
Eh bien oui, Anne-Catherine. On va pas vous laisser partir encore.
Anne-Catherine Loisier
Sécurité des territoires, mais parce qu'il y a des départements, moi le mien par exemple en Côte-d'Or, le département est engagé aux côtés des communes, il a monté des data centers, il crée un cloud souverain, alors c'est peut-être un peu exagéré de ma formulation. Est-ce que vous accompagnez ces démarches et qu'en pensez-vous en fait de ces démarches départementales ?
Vincent Strubel
Il y a énormément de démarches très vertueuses portées au niveau local, départemental, régional, par des intercommunalités, par des acteurs transverses. Moi dans les gens qui sont nos associés, nos alliés permanents, je mentionne l'association Déclic aussi, l'association des OPSN, des opérateurs publics de services numériques, qui portent plein d'initiatives.
Et donc ça fait partie de l'approche de l'ANSSI aujourd'hui que d'accompagner ces initiatives locales, faire ce qu'on peut pour aider en partageant des avis, des éclairages, en voyant si on peut mobiliser des dispositifs de niveau national en soutien de ces choses-là. Aussi maintenant de faire percoler ces bonnes idées et de les partager, sans logique centralisatrice d'imposer un modèle unique, mais de rappeler, voilà, il y a des choses qui ont marché, on peut les partager avec d'autres territoires sans leur imposer. Mais il y a plein d'exemples, et aussi voilà, des actions des exécutifs locaux, mais des préfets aussi, qui peuvent d'initiative prendre des initiatives qui ont marché, qui ont moins bien marché. Donc on est dans cette phase de consolidation de bonnes recettes, sans imposer des règles, mais en partageant les bonnes recettes.
Dominique Estrosi Sassone
Un grand merci Monsieur le Directeur général, parce que vous avez vraiment répondu avec précision et finement sur l'ensemble des questions. Et puis dans vos propos liminaires, on a mieux appréhendé, on va dire, et on n'en est encore qu'au démarrage, mais c'était extrêmement intéressant et très enrichissant. Merci pour le temps que vous nous avez consacré.
Je demande à nos collègues juste il nous reste à procéder à la désignation d'un rapporteur sur la proposition de loi numéro 217 adoptée par l'Assemblée nationale pour retrouver la confiance et l'équilibre dans les rapports locatifs. La conférence des présidents devrait inscrire ce texte à l'ordre du jour du mois d'octobre mais comme on ne se reverra plus d'ici là et qu'il faut quand même anticiper les choses je vous propose la candidature de notre collègue Amel Gacquer. Pas d'opposition ? Il en est ainsi décidé. Je vous remercie.
Je vous souhaite un bel été et je vous rappelle qu'il ne faut pas oublier que nous serons encore en débat à partir de 16h30 jusque dans la nuit pour terminer l'examen du projet de loi relance et décentralisation du logement. Merci et bel été à toutes et à tous. Au revoir.
Faccia una domanda su questo video: analizzo la sua trascrizione per rispondere.