Menaces cyber : quelles résiliences pour les collectivités territoriales ?
No chapters available yet
Legend
Transcript markers
- text Sentence being played
- text Search result
- text Intervention cited by the link you opened
Click a sentence to play the video from that moment. Select text to quote it with the speaker, timestamp and link.
More options
Sénat
Cédric Perrin
Monsieur le directeur, avant de vous donner la parole, je rappelle que cette audition fait l'objet d'une captation vidéo qui est retransmise sur le site du Sénat et ses réseaux sociaux, et donc consultable en vidéo à la demande. Donc je vous laisse la parole, et en plus je pense qu'on, le président et moi-même, auront l'occasion de donner la parole à nos collègues pour plus de détails. Merci.
Vincent Strubel
Merci monsieur le président de la commission des affaires étrangères, de la défense et des forces armées, monsieur le président de la délégation sénatoriale aux collectivités territoriales et à la décentralisation. Mesdames et messieurs les sénateurs, mesdames et messieurs, je tiens tout d'abord à vous remercier pour cette invitation à plancher devant vous. Alors c'est un exercice auquel vous l'avez rappelé monsieur le président, je me livre régulièrement et très volontiers, mais je salue le format nouveau de cette audition qui fait, tire un pont entre les affaires de défense et de sécurité nationale et les affaires, la déclinaison dans les territoires. C'est un sujet qui est plus que jamais d'actualité sur lequel je n'ai pas eu l'occasion de plancher dans ce format, mais qui s'inscrit dans une collaboration déjà riche, quoique pas forcément très ancienne, mais de plus en plus riche et de plus en plus étroite entre L'Annecy et les différents échelons territoriaux. Collectivités en premier lieu, mais pas que aussi avec les services déconcentrés de l'État pour traiter ces sujets qui n'épargnent plus personne.
Avant de rentrer dans le vif du sujet, je vous réitère, messieurs les présidents, mesdames et messieurs, les plus plates excuses de Nicolas Roche, secrétaire général de la défense et de la sécurité nationale, qui devait également plancher devant vous à cette occasion, qui a été malheureusement retenu par un impératif opérationnel impondérable, mais qui m'a demandé de vous répéter qu'il se tenait bien évidemment à la disposition de la commission de la délégation pour à son tour vous parler de ces sujets dans un, évidemment un champ bien plus vaste que celui que je pourrais traiter aujourd'hui, est celui de la cybersécurité. Et avec des constats qui se rejoignent assez largement, je le précise sur le champ plus vaste de l'hybridité. Dans ce propos liminaire, je me permettrais de commencer de manière peu originale par un petit état de la menace avant de rentrer dans la stratégie que nous comptons déployer pour y répondre et de la, et sa déclinaison territoriale. La menace, genre je le répète d'année en année, est forte aujourd'hui. Elle est, sans que ce soit une réelle nouveauté, la superposition d'actions de services étatiques, d'États adverses, qui soit nous espionnent, soit de plus en plus nous sabotent ou du moins se préparent à nous saboter le cas échéant.
Elle est le fait d'acteurs du registre criminel, qu'il s'agisse de crimes organisés ou pas si organisés que ça, mais qui sont guidés par des visées lucratives. Et elle est le fait d'acteurs au contour beaucoup plus flou qui sont les acteurs qu'on regroupe sous le terme d'activistes, qui sont là pour porter un message, défendre une cause, mais souvent surtout défendre leur réputation et se mettre en lumière. Cette audition intervient deux semaines après la publication du panorama annuel de la menace par l'ANSI, c'est un exercice auquel nous nous livrons tous les ans, consistant à décortiquer en quelque sorte tout ce que nous avons pu observer au cours de l'année passée. Donc nous avons publié le bilan de l'année 2025 sans en faire l'exégèse complète, et c'est un document que je recommande la lecture au demeurant. Ce panorama, il fait le constat d'une menace qui se maintient à un niveau haut, qui n'explose pas, même si certains pans de la menace particulièrement visibles ont pu donner cette impression-là.
On est sur un niveau d'incidentologie qui se maintient au même niveau que 2024. Alors ça pourrait sembler rassurant, ça ne l'est pas parce que 2024 était une année record pour nous, c'était une année, une année olympique dans laquelle nous avons fait face à une forme de déferlante de cyberattaque. Donc le fait que ça se maintienne au même niveau en 2025 à quelques incidents près n'est pas forcément une nouvelle très rassurante. Pour donner un ordre de grandeur, ça veut dire que l'ANSI a traité au cours de l'année 2025 un peu plus de 3600 signalements, c'est-à-dire des appels à l'aide à l'ANSI qui est ouverte et qui répond à ce type d'appel sept jours sur sept, vingt-quatre heures sur vingt-quatre. Donc une dizaine d'appels par jour, tous ne sont pas confirmés, mais on est sur un volume de 1366 incidents avérés qui ont nécessité une intervention de l'ANSI sous une forme ou une autre, car un attaquant avait réussi effectivement à mener une cyberattaque.
Donc on est là encore sur un volume conséquent de 4 incidents par jour, ce qui est quand même une pression permanente. Au-delà de la volumétrie, ce qui frappe, mais qui est une constante depuis quelques années, c'est le caractère omniprésent de cette pression qui n'épargne personne, qui touche tous les pans de la société, de notre économie, qui touche tout particulièrement les collectivités territoriales. Parmi ce volume de 1366 incidents traités au cours de l'année, il y en a plus de 300 qui concernaient des collectivités territoriales, qui sont de facto le deuxième secteur le plus touché en volumétrie globale après l'éducation et la recherche devant la santé. Précise qu'il a toujours des billets de sélection dans ces choses-là. Il des secteurs d'activité qui reportent peu, rapportent plus d'incidents à l'ANSI étant donné qu'il n'y a pas aujourd'hui d'obligations larges de notification à l'ANSI des incidents de sécurité.
Donc il y en a qui sont plutôt enclins à déclarer à l'ANSSI, d'autres moins. Donc il a sans doute un biais de sélection, mais il a une réalité tangible et qui je pense est mesurée par de nombreuses collectivités, malheureusement, qui est la réalité d'une menace qui n'épargne plus les collectivités et qui les touche de plein fouet depuis déjà quelques années. Cette menace, elle a pris par exemple la forme du rançongiciel, action non ciblée d'acteurs guidés par la recherche du profit qui consiste à paralyser leurs victimes sur le plan informatique et à exiger une rançon pour la libération. Si je poursuis dans cette ligne-là de l'informatique. Les collectivités sont toujours le deuxième public le plus touché par ces types d'attaques qui ont toujours des impacts très conséquents sur la délivrance des services publics parce qu'aujourd'hui il n'y a plus réellement de services publics qu'ils soient au niveau central ou au niveau, au niveau local qui ne soient pas adossés d'une manière ou d'une autre au numérique. Le, un fait nouveau dans ce domaine cybercriminel de l'année 2025, c'est celui qui a été je pense le plus en visibilité, c'est la recrudescence ou l'augmentation significative des vols de données.
Que nous expliquons en tout cas dans le diagnostic que nous en faisons pour l'année 2025 par une forme de changement d'approche de la part des acteurs criminels qui là encore sont guidés par l'appât du gain, qui ont constaté que le rançon Gessiel marchait de moins en moins, et ça je pense qu'on peut s'en réjouir, mais qui du coup ont pivoté en quelque sorte pour voler des données. Là encore dans une recherche d'extorsion de fonds ou de demandes de rançons pour ne pas publier ces données dans la plupart des cas ou de revente simple, pure et simple de ces données qui changent un petit peu la donne en termes de victimologie parce que finalement c'est voler des données, ce n'est pas forcément très compliqué malheureusement. Ça concerne tout le monde. L'état central, les administrations n'y ont pas échappé, pas plus que les grandes entreprises, pas plus que les petites entreprises, les collectivités, les associations, les fédérations de tous genres. Donc c'est une forme de, là encore de menace qui n'épargne personne, qui s'accompagne, je le précise sans que ce soit une manière de minimiser les choses évidemment, d'une forme de médiatisation, une stratégie de médiatisation par les attaquants qui revient à, là aussi à une recherche de profits et qui fait que pour fixer les idées là encore, 60 % des attaques de ce type traitées par l'ANSI étaient du bluff au cours de l'année 2025.
Ça c'est la partie visible de la menace, mais évidemment derrière tout ça il y a des choses qui nous inquiètent encore plus. Il y a un lien évident entre le contexte géopolitique et la réalité de la menace. Un fait majeur de l'année 2025 est quand même la première attaque de sabotage attribuée, je ne commenterai pas cette attribution qui a été faite par nos homologues polonais, mais attribuée à la Russie contre des infrastructures critiques de manière coordonnée, puisque le 29 décembre 2025, une attaque simultanée a été menée contre une trentaine de points d'interconnexion entre des équipements de production d'électricité renouvelable et le réseau électrique polonais. Simultanément, une attaque a été menée contre une centrale thermique. Et donc il y a, il y avait là une manoeuvre préparée de longue date, déclenchée de manière simultanée et coordonnée le jour J à leur H.
Et à un moment où couper le courant en Pologne n'est pas forcément anodin, avec cette finalité à l'évidence de perturber la distribution d'électricité. Ça c'est quelque chose qui est le témoin d'une désinhibition qu'on voit à l'œuvre de manière croissante dans les cyberattaques depuis déjà quelques années, qui ne fait que se confirmer, et qui nous projette quelque part dans un scénario où la menace qu'on connaît haute et qui est grave aujourd'hui peut très significativement empirer. Et c'est ça le scénario central qui est posé dans le cadre de la revue nationale stratégique publiée en juillet dernier. Celui d'un scénario qui verrait, au gré d'une escalade des tensions géopolitiques, simultanément nos forces armées engagées dans un conflit dit de haute intensité à la périphérie de l'Europe et une déferlante d'attaques du domaine hybride. Le terme d'hybride n'est pas forcément très bien, très précisément défini, mais il renvoie à des choses qui je pense nous parlent à tous et toutes, qu'il s'agisse de cyberattaques, de manipulations de l'information, de sabotage ciblé de drones.
Et je ne me livrerai pas à une liste exhaustive là encore, mais je pense qu'on a, on regorge malheureusement d'exemples en la matière ces derniers mois, ces dernières années. Mais tout ça coordonnait de manière à nous déstabiliser de manière générale, à paralyser le fonctionnement de la société française et de son économie, à nous faire réfléchir potentiellement, ou à compliquer la logique de prise de décision dans un moment de grande intensité. Qui sous la forme en matière de cybersécurité prendrait si j'ose me projeter un peu dans ce scénario catastrophe, la forme de ce qu'on observe au quotidien, mais totalement coordonnée. C'est-à-dire à la fois des attaques de services étatiques adversaires visant à paralyser, détruire, bloquer nos infrastructures critiques comme l'attaque subie par la Pologne en est un exemple, mais également le tissu cybercriminel et le tissu activiste mobilisés de manière coordonnée parce qu'il y a quand même des liens de cohabitation qui interrogent en la matière pour paralyser tout le reste. Les acteurs du fonctionnement quotidien de la nation, des écoles, des collectivités, des centres hospitaliers, des PME et donc maximiser la pression et quelque part nous submerger sous les attaques.
Ce scénario il n'a rien d'une prédiction, ce n'est pas dit dans la revue nationale stratégique qu'il allait forcément se produire, mais c'est quand même quelque chose dont la probabilité s'accroît au regard de l'évolution tant des technologies que du contexte géopolitique à laquelle il faut se préparer à l'horizon 2030, qui est un vrai défi, qui a quelque chose de vertigineux, mais il vaut mieux poser les choses clairement, qui nous pose, nous projette aussi dans une réalité nouvelle face à ces défis de menaces hybrides, cybersécurité mais plus généralement je pense que je peux me permettre d'étendre ça à toutes les menaces hybrides, l'état seul ne sera pas capable de faire face. Et donc ça pose une nouvelle équation quelque part qui est, ce qu'on essaye de mettre en oeuvre depuis déjà quelques années en matière de cybersécurité, c'est une répartition des rôles, un partage des compétences, des connaissances, de l'expertise et des capacités d'agir pour que tout le monde se protège au juste niveau et pour que si un jour la déferlante devait arriver, chacun soit en capacité d'apporter sa pierre à l'édifice de la protection collective. Que personne ne soit une victime facile, que des relais soient trouvés pour répondre à la crise, et que l'ANSI, l'Etat de manière générale, puisse remplir son rôle, mais sans être totalement submergé par une déferlante d'attaques.
C'est finalement ce qui a guidé la rédaction de la stratégie nationale de cybersécurité, qui n'est pas un exercice purement d'écriture, parce que je pense, je partage monsieur le président la méfiance vis-à-vis des stratégies incantatoires, qui est quelque chose qui s'inscrit dans ce qui a été fait jusqu'à présent, qui est dans la continuité d'un certain nombre d'actions menées par l'ANSI depuis déjà quelque temps, mais qui nous donne des caps clairs, des priorités claires, qui actent aussi le rôle primordial des collectivités et de la déclinaison territoriale dans cette réponse collective. Avec des changements en matière de gouvernance, alors je ne referai pas forcément dans ce propos liminaire toute la gouvernance des différentes chaînes opérationnelles qui fonctionnent déjà bien, de sécurisation de l'état qui est, qu'on met en oeuvre au sein des administrations, mais avec une extension de cette gouvernance à une coordination des politiques publiques en matière de cybersécurité et à l'ensemble des parties prenantes dont les collectivités territoriales et leurs représentants, les différentes associations d'élus qui doivent plus que jamais être associés à tout cela. Pour trouver quelque part un modèle qui pose le bon équilibre entre un cadre général et une mobilisation des services de l'Etat dans les territoires, des préfets, des services du dernier kilomètre que sont notamment les forces de sécurité intérieure, qui donnent des orientations et du soutien aux collectivités qui se saisissent de ces sujets sans fermer la porte à des initiatives locales, évidemment, et à une déclinaison adaptée à chaque territoire.
Je balaye rapidement et je pourrais y revenir si vous le souhaitez les cinq priorités de la stratégie nationale. La première et peut-être la plus déterminante, c'est le travail sur un vivier de compétences, parce que c'est quelque part le fameux, le facteur limitant universel pour l'ANSI, pour les collectivités, pour les entreprises, pour tout le monde. Il n'y a pas assez de gens formés à la cybersécurité, malheureusement. Il en manque sur le marché de l'emploi, et donc on doit travailler plus jamais à résoudre ce problème qui détermine tous les autres. Le deuxième est un chantier que nous appelons le changement d'échelle depuis déjà quelques années qui est là encore ce, ce, le fait de relever la maturité et le niveau de sécurité de tout le tissu sociétal, économique, bien au-delà des acteurs de, opérateurs d'importance vitale par exemple sur lesquels nous avons concentré notre action jusqu'à présent.
Un troisième pan porte sur la mobilisation, tous les leviers d'action possibles pour être sûr qu'attaquer la France a un coût. Et donc les leviers judiciaires de sanctions économiques, diplomatiques jusqu'aux militaires le cas échéant, doivent plus que jamais être mobilisés, non pas forcément pour dissuader les attaquants, mais pour les faire réfléchir en tout cas et leur imposer un coup quand ils mènent des attaques contre la France. Je termine rapidement ces cinq objectifs en rappelant que tout ça s'inscrit aussi dans un pilier européen fondamental et international qui doit nous renforcer, dans dont découle une bonne partie du cadre réglementaire que nous mettons en oeuvre, et dans une logique technologique qui doit nous permettre aussi d'assurer que nous maintenons une maîtrise des technologies notamment émergentes, qu'il s'agisse d'une intelligence artificielle, d'ordinateurs quantiques et de ces, pardon, ces conséquences sur la cybersécurité. Donc nous assurer que nous ne perdons pas, au gré des évolutions des technologies, les leviers d'action que nous pouvons mettre en oeuvre aujourd'hui. Peut-être est-il utile, certainement l'est-il, de me pencher sur un certain nombre d'actions prioritaires qui concernent éminemment les territoires.
Quelque part c'est quelque chose qui guide toutes les actions de déclinaison de cette stratégie, mais c'est tout particulièrement le cas de la mise en oeuvre d'un cadre réglementaire étendu, et je pense en particulier à la directive liste deux qui poursuit son examen parlementaire malgré quelques retards et qui doit nous permettre, par sa transposition dans le droit national, de porter des exigences fondamentales de sécurité auprès d'un tissu très étendu d'entités, qu'il s'agisse de collectivités, pas toutes, mais celles, les plus grosses d'entre elles, ou d'entreprises privées, mais également évidemment des administrations, d'un programme, d'un déploiement de programmes d'accompagnement qui tirent les leçons et les enseignements de ce que nous avons réussi à faire jusqu'à présent. Je pense notamment à ce qui avait été fait dans le cadre du programme France Relance qui nous avait permis d'accompagner et de sécuriser 945 entités dans une grande majorité de collectivités et d'établissements de santé, avec un dispositif d'accompagnement adapté à des structures dont la maturité initiale est par nature même relativement faible et qui ont besoin d'être guidés dans le développement de cette cybersécurité. Je pense aussi à ce que nous avons fait qui est assez similaire dans le cadre de la préparation des jeux olympiques et paralympiques 2024, qui avait plutôt bien marché au profit d'acteurs d'une nature un peu différente, mais là encore partant potentiellement d'un niveau de maturité assez faible.
Je pense au, en particulier aussi dans les grands objets prioritaires de cette stratégie au, à la pérennisation, à la structuration du réseau de ce qu'on appelle les CSIRT, c'est-à-dire les centres de réponse à incident que nous avons soutenus dans leur développement selon des logiques sectorielles, parce que certains secteurs d'activité se structurent bien, mais aussi locales, avec le soutien à l'émergence de centres de réponse à incident de cette nature de CSIRT auprès des régions, des territoires d'outre-mer. Une expérience que je considère aujourd'hui comme réussie et à pérenniser car ils apportent un réel soutien de proximité sans créer de redondance particulière, évidemment tout en veillant à les intégrer dans un dispositif national qui permette d'avoir une lisibilité de tout cela. Dans les acteurs également nouveaux, mais qui, je pense, ont fait leurs preuves à ce stade, nous comptons également développer le réseau des campus cyber, qui sont un objet un peu différent. Un campus cyber national, mais aussi des campus cyber régionaux qui sont nés à l'initiative des régions, qui permettent de créer des lieux de rencontre entre les porteurs de besoins de cybersécurité et les porteurs de solutions de cybersécurité, les services de l'Etat, des entreprises qui conçoivent des solutions de cybersécurité, mais aussi des porteurs de besoins, qu'il s'agisse de collectivités ou d'entreprises, qui permet cette rencontre et qui, je pense, est plus que jamais nécessaire à une époque où nous devons, et je pense que vous l'avez souligné dans vos interventions liminaires, adapter une offre de solutions de cybersécurité à un public bien plus large, qui n'a pas la même maturité, qui n'a pas vocation à l'avoir parce qu'on ne va pas demander à des patrons de PME ou de collectivités de devenir des experts en cybersécurité.
Donc ça, il faut aussi que ça percole dans le tissu industriel. Dernier objet que je mentionnerai ici, le déploiement à grande échelle d'un programme d'entraînement qui là encore est un objet qui a fait ses preuves, notamment dans la préparation des jeux olympiques et paralympiques, qui permet de mettre en situation des gens dont le métier n'est pas la cybersécurité, mais qui peuvent être confrontés un jour à une crise cyber. Nous l'avons fait par exemple en septembre dernier avec l'exercice rempart 2025, c'était une première pour nous parce qu'on a fait, on a entraîné simultanément 1263 organisations au dernier décompte dans toutes les régions hexagonales, dans sept territoires d'outre-mer, dans huit fuseaux horaires, simultanément pour les projeter dans une crise cyber. Donc c'est quelque chose qu'on a vocation à reproduire, mais qui surtout a vocation à se développer et à être repris. Le cadre d'exercices que nous avons mis en oeuvre à ce moment-là, nous l'avons partagé, réutilisable librement pour guider des initiatives locales dans les entreprises, dans des collectivités pour, là encore, généraliser ce processus d'accompagnement.
Pour ne pas être trop long, je conclurai aussi en faisant un petit état des lieux des ressources d'ores et déjà mises à disposition, notamment des collectivités territoriales pour les accompagner dans la cybersécurité. En précisant bien à ce stade que vu de l'ANCI, les collectivités territoriales sont évidemment des potentielles victimes à accompagner dans leur sécurité, mais aussi des acteurs de la cybersécurité qui peuvent être mobilisés, qui peuvent y contribuer et que nous pouvons outiller dans le développement de logiques de cybersécurité. Moi je fais le constat aujourd'hui qu'il n'est plus possible d'attendre. On a horizon posé par la revue nationale stratégique et même bien plus court terme, une réalité de la menace qui doit conduire tout le monde à se mettre en mouvement et à développer la cybersécurité et la résilience cyber. C'est dans cet esprit-là que nous avons la semaine dernière publié dans une version préliminaire parce que l'examen parlementaire n'est pas terminé.
Ce que nous envisageons d'imposer comme règle de sécurité au titre de la directive NIS 2, mais qui a vocation à s'appliquer à un champ bien plus large puisqu'il s'agit d'un travail conséquent mené en concertation avec des dizaines de fédérations professionnelles, avec toutes les associations d'élus pour trouver le bon niveau d'exigence de cybersécurité à porter auprès de petites structures, de collectivités, de petites et moyennes entreprises, pour répondre en priorité à ce qui sont les vulnérabilités qui font la réalité de la menace aujourd'hui, sans porter un niveau d'exigence qui serait déraisonnable. Donc c'est ça que nous essayons de faire et que nous allons continuer à faire dans l'accompagnement du quotidien. Évidemment, NICE ne n'épuisera pas le sujet. Et donc nous avons un travail complémentaire avec d'autres acteurs, d'autres relais. Je mentionnerai ici parce que je pense que vous les avez auditionnés, l'agence nationale de la cohésion des territoires avec laquelle nous avons également, avec le ministère de l'intérieur, mis en place un programme de création de ressources adaptées, y compris sur le plan numérique.
Je pense notamment à la suite territoriale qui n'est pas, alors qui n'a pas vocation à épuiser le sujet de l'équipement numérique des collectivités, mais de mettre à la disposition sans l'imposer, mais d'offrir à celles qui le souhaitent une solution intégrée pour les petites, en particulier les petites communes ou les petites intercommunalités, une solution de base d'hébergement, de messagerie qui permettent de couvrir des services numériques essentiels et de mutualiser un peu l'effort de sécurisation. Je pense aussi au travail que nous menons quotidiennement avec d'autres acteurs de la mutualisation, s'agisse des intercommunalités, qu'il s'agisse des OPSN, de réseaux comme le réseau déclic qui fait un travail formidable pour mobiliser ces acteurs-là également. Et de tout le travail que nous menons à travers nos délégués territoriaux qui sont, chance, la Lensie a aujourd'hui la chance d'avoir un délégué dans chaque Région de France hexagonale et un délégué globetrotter pour les outre-mer, qui permettent aussi de faire ce lien avec les réalités de terrain et les acteurs locaux. Je ne serai pas plus long parce que je pense que je le suis déjà beaucoup sur ce propos liminaire, mais je conclurai simplement en vous disant que nous sommes au début d'une aventure de changement d'échelle et de déploiement dans tous les pans de la société, notamment dans les territoires de cette cybersécurité.
Je pense que Nicolas Roche pourrait vous dire la même chose, de plus et plus généralement de la protection contre des menaces hybrides, car la logique est la même avec un réel partage des tâches et un vrai enjeu collectif qui mobilise également le secteur privé que je n'ai pas beaucoup évoqué ici, mais qui est aussi un monde avec lequel nous travaillons, et plus que jamais. Merci pour votre écoute.
Cédric Perrin
Merci, monsieur le directeur. J'ai quelques demandes de prise de parole. Je propose de les distribuer. D'abord peut-être les rapporteurs pour Avi du 129. On va commencer par Olivier Cadic, et ensuite son collègue Nicolas Vallet.
Je vous en prie, allez-y.
Olivier Cadic
Merci, monsieur le président, monsieur le directeur général de l'ANCI. Merci beaucoup pour ce propos. L'appel à manifestation d'intérêt à Émir Alek, lancé le 22 août dernier, posait des exigences explicites. Une forte proximité territoriale et la gratuité de l'assistance aux victimes de cyberattaques au titre d'une mission d'intérêt général. Or dans les faits, plusieurs dispositifs territoriaux reposent largement sur des opérateurs privés, notamment Orange Cyberdéfense, dans le cas des CSIRT.
Dans ces conditions, comment garantissez-vous que l'argent public ne finance pas indirectement des prestations privées qui s'éloigneraient de l'esprit initial de cet appel à manifestation d'intérêt ? Et plus directement, considérez-vous que les dispositifs retenus sont pleinement conformes aux engagements que vous aviez vous-même fixés ? S'agissant des CSIRT, quel est leur modèle économique réel ? Quelle est la part exacte de financement public ? Et à terme, ces structures ont-elles vocation à être pérennisées par la subvention ou à évoluer vers un modèle concurrentiel ? Par ailleurs, l'État finance déjà des dispositifs nationaux, notamment cybermalveillance.gouv.fr. Comment justifiez-vous la coexistence de ces structures avec cybermalveillance sans qu'il y ait doublon, voire dispersion des moyens publics ? Une évaluation de cette efficacité globale a-t-elle été conduite ? Dans une interview que vous avez donnée à un grand quotidien, vous précisez que le rôle de l'État est de traiter la menace du haut du spectre avec les attaquants d'autres États. Pourquoi en ce cas, l'ANSI développe-t-elle des outils et services comme mes services cyber, plutôt destinés aux entreprises qui font concurrence aux acteurs économiques de l'écosystème ? Quel budget, quel montant de sous-traitance, combien de ressources humaines et de temps sont consacrés à mes services cyber ? J'en viens au Cadre Européen, la directive NIS deux, directive qui aurait dû être transposée il y a plus de 18 mois.
Nous assistons également à la multiplication de vols massifs de données. Comment comptez-vous imposer NIS 2 aux administrations et collectivités qui ne respectent déjà pas les textes comme le RGS, référentiel général de sécurité, ou le RGPD, règlement général sur la protection des données par exemple. Comment prévoyez-vous de décliner la stratégie nationale de cybersécurité auprès de l'ensemble de la population, au-delà de la seule sphère des ministères et services concernés ? La France est aujourd'hui en retard alors même que certains de nos partenaires comme la Belgique ou l'Italie ont déjà transposé NIS 2 depuis 18 mois. Quelles en sont les conséquences concrètes pour la France en matière de retard pour notre niveau de cybersécurité ? Disposez-vous d'éléments objectifs permettant de comparer la situation française qui n'a pas transposé avec celle des pays qui ont déjà transposé depuis 18 mois ?
Enfin, j'aimerais vous entendre sur un point de cohérence. Si ce retard n'a pas d'impact mesurable à ce stade, comment justifier l'ampleur des obligations que cette directive impose aux entreprises françaises ? Autrement dit, sommes-nous face à une exigence réellement structurante en matière de cybersécurité ou à une contrainte normative dont l'efficacité resterait à démontrer ? Merci.
Cédric Perrin
J'ai cinq questions, je vous propose de répondre individuellement à chacune. Merci.
Vincent Strubel
Alors je peux essayer de répondre aux questions évidemment toujours pertinentes de monsieur Kaddik sur ces différents sujets dans l'ordre sur la l'Ahamir Alek. Le, alors je, peut-être que je prendrai le temps de préciser ce qu'est cette Ahamir Alek parce que le terme est un peu, semblé un peu barbare, c'est un appel à manifestation d'intérêt que l'ANCI a lancé au cours de l'été 2025 pour soutenir des dispositifs locaux ancrés dans leur, dans la réalité territoriale. C'était un des critères d'assistance aux victimes. Pense avec une pensée évidente pour le dispositif déjà en place dans un certain nombre de régions, de ces sites régionaux, mais avec des critères assez larges. Il nous a permis de recueillir quatre-vingt-dix candidatures, je crois, dont nous avons retenu seize avec une logique de couverture territoriale, évidemment, qui nous a permis d'apporter un soutien renouvelé à un certain nombre de ces cirques préexistants, aussi de combler des manques.
Je pense notamment à la Région Auvergne-Rhône-Alpes qui n'avait pas pu être embarquée dans le dispositif initial de soutien aux ces sites. Je pense tout particulièrement à Mayotte qui était un territoire qui a tout particulièrement, je le pense, d'une capacité de proximité dans le traitement des cyberattaques, car ça vaut pour tous les territoires ultramarins. L'insularité ne fait que magnifier les conséquences des cyberattaques. Un regret dans tout ça, c'est que nous n'avons pas pu faire la même chose pour la Polynésie française et que c'était quelque chose sur lequel nous devrons revenir parce que je pense qu'il est important de compléter cette couverture régionale. Nous avons eu des critères d'analyse assez clairs.
Nous sommes, je pense pouvoir dire que nous sommes dans un bon usage des deniers publics. Évidemment, ces cirques ne travaillent pas en concurrence avec les acteurs du secteur privé. Ils font appel en tant que de besoin et renvoient à des prestataires privés pour le traitement d'incidents comme peut le faire au demeurant la plateforme nationale cyber malveillance point gouv point fr, qui renvoie aussi sur des prestataires privés là où ceux-ci sont pertinents. Donc le but n'est pas du tout de créer une concurrence, mais en revanche de créer un interlocuteur de niveau régional ou local qui soit intégré. Et je pense que c'est le bilan très positif que nous en tirons intégrée notamment dans les dispositifs d'accompagnement au développement économique portés par les régions comme un interlocuteur de référence, même de manière très basique en s'assurant que toute entreprise accompagnée par la région dans son développement économique reçoit bien les coordonnées du CSIRT, a bien en tête qu'il y a là quelqu'un qu'elle peut appeler en cas de crise, quelqu'un vers qui elle peut se tourner en cas de question, qui sont aussi des relais permanents de messages de sensibilisation, de la simple réponse à incident.
Et donc je pense que c'est un, là encore un modèle pertinent. Je le vois aussi dans la capacité croissante de ces sites régionaux ou territoriaux de manière générale à prendre à leur charge le traitement d'une certaine quantité d'incidents. Donc, c'est quelque chose qui décharge, je le pense, l'ANSSI et lui permet de se concentrer sur des incidents d'une gravité plus flagrante. Donc un certain nombre de choses peuvent être traitées au niveau de ces sites territoriaux. J'observe que la transmission de relais s'opère sans grande difficulté et assez naturellement quand un incident d'apparence peu grave manifeste finalement une gravité suffisante pour justifier l'implication de l'ANCI.
Et donc on a un passage de relais naturel avec les cescirtes territoriaux, mais aussi avec les cescirtes d'autres natures privées, sectorielles. Je constate aussi que ces cercles territoriaux sont aujourd'hui des citoyens à part entière, si j'ose dire, de la communauté des ces sites qui est manifestée à travers une association dont l'ANSI a soutenu le développement initial, mais qui aujourd'hui vole de ses propres ailes, qui est l'intercercle France. Et qui compte parmi ses rangs aujourd'hui un peu plus de 120 ces sites sectoriels, territoriaux, privés. Les grandes banques ont toutes leurs CSIRT, par exemple, et qui sont des acteurs de la coordination immédiate des traitements d'incidents dans le domaine bancaire, par exemple, c'est une dynamique bien établie. Le modèle économique évidemment gagne à être formalisé et à être pérennisé compte tenu de ce retour très positif.
Nous avons traité ça de manière ad hoc jusqu'à présent, parce que c'était un des dispositifs émergents. Je pense que la stratégie nationale de cybersécurité prône en la matière une pérennisation sur la base d'un cofinancement. D'un financement à hauteur peu ou proue de 50 % par l'Etat parce qu'on est, alors on n'est pas dans une délégation, mais dans une mission d'utilité publique que l'Etat peut soutenir parce qu'il y voit aussi son intérêt. Mais un financement également porté par les régions ou par des logiques de financement qu'on voit émerger dans certains cas avec une offre de base gratuite de ces sites territoriaux, et c'est une condition effectivement de l'appel à manifestation d'intérêt que nous avions porté, mais également des services payants le cas échéant ou des logiques de financement européens. Voilà, nous n'avons pas, nous n'aurons pas des contraintes fortes nécessairement sur la manière dont ce cofinancement sera exercé in fine.
Mais je pense qu'il faut pour le pérenniser et pour s'assurer que c'est quelque chose qui à la fois rejoint le besoin ressenti par l'Etat, mais s'inscrit logiquement dans une dynamique locale, s'orienter vers ce cofinancement et l'inscrire dans les dynamiques ou dans les modèles normaux et usuels de financement des collectivités. Je fais le même constat sur le dispositif porté par Cybermalveillance. En vous remerciant une fois de plus, monsieur le sénateur, du soutien que vous lui apportez à chaque occasion qui, où il l'a nécessité, et je peux, je pense qu'on peut se féliciter de ce succès collectif. Cybermalveillance aujourd'hui coexiste de manière harmonieuse et de manière de plus en plus structurée avec ces sites territoriaux. L'ANSI a financé et soutenu le GIP cybermalveillance, le groupement d'intérêt public pour intégrer ces sites territoriaux dans sa plateforme. Et aujourd'hui plus de la moitié de ces sites territoriaux sont actifs dans la plateforme du GIP cybermalveillance.
Comme tout ça peut être un peu théorique, cela veut dire que tout citoyen français aujourd'hui peut se tourner, en cas d'acte de cyber malveillance, vers une plateforme unique qui est le 17 cyber, 17 cyber point gouv point fr, qui est un réflexe que je pense que nous avons intérêt à développer chez tous nos concitoyens. Et y être mis en relation à travers la même plateforme avec ces sites territoriaux s'ils existent, qui peuvent répondre au téléphone parce que la plateforme n'est pas une plateforme téléphonique, qui peuvent appuyer, apporter cet appui et ce soutien de proximité, avec les forces de l'ordre qui peuvent pré-instruire notamment un prêt dépôt de plainte, et avec des prestataires privés qui sont ceux enregistrés auprès de la plateforme. Et je trouve que ce modèle fonctionne aujourd'hui, qu'il gagne à être là encore enrichi, consolidé, structuré encore plus pour s'assurer que, alors je me méfie toujours des logiques de guichet uniques, mais d'avoir un guichet de référence qui soit celui que tout le monde a en tête, et en s'assurant que quelle que soit la nature de la victime et la nature de l'incident, quand on appelle ou qu'on contacte parce que ce n'est pas encore un standard téléphonique, qu'on contacte la plateforme dix-sept cyber, on arrive dans tous les cas, rapidement et efficacement, à être mis entre les mains de quelqu'un qui peut aider, qui peut aider efficacement.
Le positionnement vis-à-vis de la menace du haut du spectre gagne à être un tout petit peu précisé, je le pense. Il y a un certain nombre de cyberattaques dans notre rôle de cyber pompier que seule l'Annecy peut traiter. Et donc moi je suis assez vigilant à ce que nous ne nous en parions pas, là encore au détriment potentiellement du secteur privé qui peut tout à fait traiter une bonne partie du, des, des cyber attaques usuelles, de, d'incidents qui ne nécessitent pas nécessairement l'intervention de l'ANSI. C'est encore plus vrai dans la perspective du scénario central de la revue nationale stratégique. Le jour où le ciel nous tombera sur la tête, si je, si j'ose dire, où toutes les cyberattaques se produiront en même temps, des attaques très avancées et des attaques moins avancées, il faudra que l'ANCI puisse se concentrer sur les attaques les plus avancées qu'elle seule peut traiter, qu'elle seule peut traiter dans le cadre du C4, c'est-à-dire dans une collaboration aussi avec nos partenaires des services de renseignement qui viennent nourrir notre compréhension de la menace.
Et donc c'est pour ça que nous avons d'ores et déjà un positionnement de chefs d'équipe ou de coordination ou de chefs d'orchestre. Toutes les images sont bonnes en la matière d'une équipe de France qui est constituée aussi de ces SIRT, territoriaux, privés, sectoriels, de prestataires de réponse à incident, de GIP comme le GIP cyber malveillance, qui tous et tout à leur niveau traitent un pan de la menace. Et je trouve que ça fonctionne aujourd'hui de manière harmonieuse, parce que là encore, la coordination est bonne, la circulation de la formation est fluide et le transfert de relais, parce que c'est une nécessité, parce qu'on n'a pas toujours connaissance de la gravité réelle d'une cyberattaque quand on y est confronté initialement, le transfert de relais s'opère de manière fluide avec l'ANSI lorsque ça le nécessite. Ceci étant, l'ANSI a vocation à s'occuper et à apporter une mission de service public au profit de tous nos concitoyens, coordonner les efforts, à ne pas faire elle-même toute seule, mais à faire certaines choses. Et c'est dans ce sens-là par exemple que nous développons la plateforme mes services cyber, qui n'est autre qu'une simple mise en forme et mise à disposition de l'ensemble du corpus de recommandations et des ensembles de, des outils fournis par l'ANSI, mis en place notamment dans la perspective de la mise en oeuvre de Nice deux.
Mes services cyber, ce n'est pas quelque chose de très nouveau. Pour répondre sans m'avancer trop sur les chiffres parce que je ne les ai pas de manière précise en tête, mais c'est un budget total de quelques centaines de milliers d'euros pour la conception de ce nouveau service. Ça a mobilisé deux ou trois e t p au sein de l'ANSI pendant le temps nécessaire à sa conception, parce que c'est, ce n'est autre qu'un site web qui met en forme de manière plus accessible et avec une grille de lecture qui se prête notamment à l'entrée dans le jeu de la cybersécurité d'un nouvel assujetti à Nice deux, qui met en forme un certain nombre d'outils préexistants et de recommandations préexistantes. Je reste sur la, sur ces questions en Nice deux, le respect de Nice deux. Alors évidemment je regrette autant que vous le retard de transposition Nice deux.
Je ne le commenterai pas parce que je, il ne m'appartient pas de commenter le calendrier parlementaire, mais plus vite ça arrivera, mieux nous nous porterons. Est-ce qu'on peut objectiver la réalité des conséquences de ce retard difficile à dire de manière statistique, mais je ne peux m'empêcher de noter qu'un certain nombre d'incidents qui ont été, qui ont fait l'actualité ces derniers temps, sont strictement des incidents auxquels vise à répondre NIS deux, que ce soit par les mesures techniques préconisées par NIS deux, la généralisation ou en tout cas la mise en oeuvre de la double authentification pour les réseaux d'administration par exemple, la sécurisation des bases de données, des choses comme ça qui sont quelque part des choses dont on mesure quotidiennement le manque malheureusement. L'obligation de notification d'incidents, alors je ne reviendrai pas dans les détails, par exemple sur l'affaire Cégedim récente, mais de fait on observe aujourd'hui une notification parfois volontaire, mais non générale des incidents à L'Annecy et dans un certain nombre de cas, une implication tardive des pouvoirs publics alors que nous aurions pu aider à limiter la casse si nous avions été prévenus plus rapidement. Donc oui, j'en mesure de manière anecdotique et pas statistique aujourd'hui les conséquences concrètes de ce retard, et quelque part NICE deux est une réponse collective au niveau européen à cette menace que nous observons aujourd'hui.
Sur la déclinaison à la population de manière très générale, je vous renvoie aussi à d'autres objets que je n'ai pas évoqués dans la stratégie, mais qui sont des missions qui mobiliseront, je pense aussi le GIP cyber malveillance, d'une campagne de sensibilisation à grande échelle et d'un portail grand public pour passer des messages de prévention à destination de la population. Désolé de cette longue réponse à, je l'espère, l'ensemble.
Cédric Perrin
Donc c'est très intéressant, mais j'appelle à la concision parce que sinon nous n'arriverons pas à terminer, à donner la parole à tout le monde. Michael Vallet.
Mickaël Vallet
Écoutez, je vais être concis parce que vous avez fait un tour de la question. Vous avez répondu sur la question du financement des ces sites régionaux, mais je voudrais simplement avoir la confirmation que ce n'est pas juste un souhait de votre part et que vous avez des informations, comment dire, claires sur le fait que dans la présentation par le gouvernement du prochain budget de l'État, il y a bien la volonté de ce financement à cinquante pour cent. Et du fait de savoir surtout si ça sera un financement suffisant pour rester au même niveau d'activité. Après il vous reste l'inconnu de savoir si la collectivité mettra ou pas sa part, considérant qu'on est quand même un peu dans un flou en termes de compétences à un moment où le Premier ministre, dans ce qu'il envisage comme un nouvel acte de décentralisation, précise qu'il faut qu'on sache qui fait quoi. Donc peut-être que vous êtes un peu en porte-à-faux là sur le sujet.
Donc je voudrais bien savoir si ce que vous nous avez esquissé est quelque chose qui est, qui a une vraie, comment dire, tangibilité sur la question des fonds. Sur la question de Nice, vous ne commentez pas le calendrier parlementaire, mais on a quand même du mal à comprendre comment on sort une stratégie nationale sans avoir la base légale pour le faire. Mais je comprends bien que vous n'allez pas aller plus loin sur ce sujet. Je reviendrai sur la question de cybermalveillance point gouv. Nous avions pointé leurs aides, des auditions à la fin de la dernière année civile.
Notre incompréhension sur l'absence d'augmentation des moyens, mais vous nous aviez répondu que c'étaient des moyens suffisants sur cyber, cyber malveillance. Vous dites que le dix-sept cyber entre dans les moeurs. Donc s'il entre dans les moeurs, il a vocation à se développer, à avoir plus de sollicitations. Vous avez évoqué le fait que ça soulageait l'Annecy qui peut se concentrer non pas sur l'essentiel, puisque tout est important dans ce domaine, et que si on cumule le nombre de cyber arnaques auxquels nos concitoyens sont confrontés à coups de mille ou deux mille euros sur votre compte bancaire que vous vous faites détourner, ça commence à faire à la fin. Mais vous avez besoin de vous concentrer sur les sujets sur lesquels vous êtes les seuls à pouvoir répondre en termes, je dirais, techniques.
La question est quand même de savoir si vous envisagez au-delà de la simple possibilité pour Cybermanveillance de répondre à des appels à manifestation d'intérêt qui sont parfois, et ce n'est pas le cas pour vous, mais c'est une méthode depuis quelques années au niveau de l'état central de gérer la pénurie en fait les appels à manifestation d'intérêt. Si vous envisagez une augmentation des moyens de cyber malveillance dont vous êtes, je crois, formellement le président, quoi, de la structure. Donc voilà mes questions complémentaires concises, monsieur le président.
Vincent Strubel
Merci. Alors sur le, ces questions de financement, je me hisserai très haut au-dessus de ma condition si je me prononçais sur le futur budget de l'État. Je pense que là je ne suis pas le plus légitime à vous en parler. En revanche, oui c'est une réalité tangible, puisque cette logique de cofinancement est inscrite dans la stratégie nationale de cybersécurité. Donc elle fixe une intention.
Le risque que des collectivités ne s'inscrivent pas dans cette logique de cofinancement est assumé et quelque part voulu en ce sens que de tels dispositifs n'ont de sens que si les conseils régionaux qui les mettent en oeuvre et qui y contribuent, y trouvent aussi leur intérêt. Et je pense qu'on veut se tenir à l'écart d'un modèle dans lequel l'état central imposerait et financerait un modèle unique en disant que toute région doit avoir son site régional. Il faut que ça, pour que ça ait un sens et pour que ça marche, et on l'observe aujourd'hui, il faut que ça s'inscrive dans une dynamique régionale et dans tout ce que les régions peuvent faire là, encore à la croisée de ces enjeux de cybersécurité, de développement économique. Pour le dire d'une autre manière, il y a un certain nombre de PME, notamment que seule la région peut atteindre. En tout cas, ce n'est pas L'Annecy qui arrivera à les atteindre elle-même.
Et donc on se base là-dessus aussi pour créer des dynamiques au niveau régional. Je ne me prononcerai pas non plus sur le débat plus large sur les compétences des collectivités, mais je reconnais qu'il y a aussi un débat en matière de numérique et de compétences en matière de cybersécurité numérique des collectivités sur lesquelles je n'ai pas forcément d'avis légitime à donner, mais dans lequel tout ça va s'inscrire de manière plus générale. Là encore, pour réitérer, en réitérant que je regrette que nous n'ayons pas aujourd'hui de cadre légal national sur Nice 2. NIS 2 n'est pas dépourvu de base légale puisque c'est du droit européen, mais voilà. Donc quelque part il nous faudra d'une manière ou d'une autre transposer NIS 2 en droit national à un moment.
Sur les moyens de cyber malveillance, je rappellerai déjà que l'ANCI est depuis le début le principal financeur de cyber malveillance, tout cas le s g d s n puisque c'est un bop unique en termes lolfiques comme on dit. Donc on est contributeur depuis la naissance de ce groupement d'intérêt public et nous avons d'ailleurs incubé, comme on dit maintenant, ce groupement d'intérêt public à sa naissance. Ces moyens sont portés par l'État, mais également par la contribution de ses membres. Ils peuvent être renforcés au-delà des dotations usuelles, reconduites d'année en année, par des conventions de financement. Et ça a déjà été le cas.
La création du dix-sept cyber a donné lieu à un financement supplémentaire du GIP Acima, cyber malveillance, de 700 000 euros de mémoire initialement, et un financement récurrent de 300 000 euros pour assurer l'exploitation de la plateforme dix-sept cyber, qui est dimensionnée à la juste taille pour les coûts de cette plateforme. L'ANSI a ajouté dans le cas d'une autre convention, un financement complémentaire initial et récurrent, je crois à hauteur de 500 000 euros aujourd'hui, pour l'intégration de ces sites régionaux de l'ANCI elle-même dans cette plateforme, du site cyber, pour nous assurer de la complétude de la couverture. Donc il y a des financements et des abondements au budget du GIP qui permettent aujourd'hui de porter ces missions nouvelles. Sans trop m'avancer sur la déclinaison concrète de la stratégie nationale, il y a des objets dans la stratégie nationale qui pourraient utilement mobiliser le g I p cyber malveillance. Qu'il s'agisse de campagne de sensibilisation à grande échelle ou de mise en place d'un portail de prévention grand public, là encore le g I p Acima c'est bien mieux que l'ANCI parlait à nos concitoyens, il l'a démontré et il a démontré son efficacité en la matière.
Donc tout ça pourrait être confié au g I p et faire l'objet là encore de financements supplémentaires dans le cadre d'une convention ou de suivi de l'extension de ces missions. Donc oui, le g I p Acima est financé, est financé en fonction de l'évolution de ses missions et continuera à l'être, et je le dis avec une forme de schizophrénie assumée entre ma fonction de directeur général de l'Annecy et de président du conseil d'administration Acima. Il n'y a pas d'inquiétude de ma part sur ce plan.
Michelle Gréaume
Merci monsieur le directeur général pour toutes les informations. Moi je vais intervenir concernant la responsabilité de l'État, l'indemnisation des victimes, mais notamment sur la série noire des ministères. En moins de 4 mois, depuis décembre 2025 à mars 2026, les ministères de l'Intérieur, des Sports et de l'Éducation nationale ont subi des instructions majeures ayant exposé des données personnelles de millions de citoyens français. La série d'attaques contre les ministères de l'Intérieur concernait notamment le traitement des antécédents judiciaires ou des fichiers des personnes recherchées. Concernant le ministère des sports, c'est trois millions cinq de foyers passeport en décembre 2025.
Et l'éducation nationale, c'est le portail qu'on passe en mars 2026 qui concerne 243 000 enseignants. Cette série d'attaques révèle une défaillance systémique. Le vecteur d'attaque est à chaque fois trivial, mot de passe en clair, compte non sécurisé. L'ANSI avait-elle été consultée sur la sécurité de ces systèmes ? C'est ma première question. Comment expliquer que des bases de données aussi sensibles n'aient pas d'authentification multifacteurs généralisée en 2026 ? En fait, alors que les ministères subissent des attaques, les victimes sont des millions de citoyens, mais l'État ne voit que rarement sa responsabilité engagée ni pénalement ni financièrement.
Les Français se font hacker leurs données, ce qui représente un danger en termes de risque d'usurpation d'identité ou de chantage en tout genre. Alors que le RGPD impose aux entreprises privées des amendes en cas de violation de données, les administrations en sont exemptées. Ne faudrait-il pas introduire dans notre droit un mécanisme de responsabilité administrative et d'indemnisation automatique des victimes de fuite de données publiques à l'image de mécanismes d'indemnisation des victimes d'accidents médicaux ? Plus généralement, la France dispose-t-elle d'une capacité d'intervention proactive pour neutraliser les données volées sur les forums criminels et les DAC ou DAC web, pardon, avant qu'elles ne soient exploitées massivement. Merci.
Vincent Strubel
Merci. Alors je ne serai pas dans une lecture qui verrait la série noire limitée à, au seul État. L'État a fait les frais au même titre que des entreprises de toutes tailles et des opérateurs de toute nature. Les frais de ce pivot d'une partie de la menace que je mentionnais, c'est-à-dire des attaquants du registre criminel qui ont fait moins de rançongiciel et qui ont compris que du vol de données, c'est malheureusement relativement facile aujourd'hui encore et ça peut être monétisé. Peut-être pas dans les mêmes proportions que Laurent Songiciel, mais ça marche.
Je garde une prudence sur les chiffres, là encore avec cette observation que soixante pour cent des revendications que a traitées Nancy étaient fausses, soit du bluff complet, soit de l'exagération, du recyclage et que dans celle qui était avérée, y a toujours une logique d'exagération. Ceux qui portent ces revendications d'attaque, les attaquants n'ont pas de raison d'être particulièrement honnêtes, sont de base des criminels et ont particulièrement une motivation à exagérer les faits, voire à bluffer pour augmenter les prix, si j'ose dire. Donc on, moi je reste très prudent sur les, sur ces bases de données ou sur les volumétries exactes. Mais il y a une réalité tangible et particulièrement problématique, évidemment, de des vols de données à grande échelle qu'ont subi nos concitoyens, qu'ont subi des entreprises, qu'ont subi un peu tout le monde. Avec parfois des logiques d'attaques qui peuvent être pas si triviales que ça, ou en tout cas dont la localisation ou le fait générateur n'est pas si trivial que ça.
Puisque ce qu'on observe de plus en plus, ce sont aussi des attaques qui se propagent le long de chaînes de valeur dans lesquelles des sous-traitants se font attaquer et des données se font voler auprès de sous-traitants. Donc là encore on a tendance à identifier une victime centrale de l'une cyberattaque, mais potentiellement elle ne s'est pas fait attaquer directement, c'est peut-être un de ses sous-traitants, et de plus en plus c'est une réalité dans les attaques que nous traitons. Mais de fait, la possibilité même de ces attaques rappelle de manière régulière et malheureuse la réalité de vulnérabilité que nous cherchons à combler, que un cadre légal comme Nice deux vise à combler, que d'autres pans du droit européen comme le règlement sur la cyber résilience, le cyber resilience act, CRA vise à combler sur un autre pan puisqu'il s'adresse lui aux fournisseurs du numérique, aux éditeurs de logiciels qui ont aussi des responsabilités quand ils livrent des logiciels qui sont vulnérables et qui doivent donc les corriger. Donc voilà, on a ce cadre à mettre en place qui fait partie de la réponse, qui n'épuisera pas la réponse, mais qui doit avoir un effet assez systémique.
Sur le, la notion de responsabilité de l'Etat, il me semble que le RGPD ne protège pas nécessairement les administrations ou les opérateurs publics de sanctions. Je serai très prudent pour commenter ce qui relève de l'action de la CNIL, autorité indépendante puisque la régulation à titre du RGPD et les logiques de sanctions sont portées par la CNIL. Mais la CNIL a sanctionné récemment tant des opérateurs privés que des opérateurs publics suite à des fuites constatées au cours de l'année 2025. Je pense qu'elle continuera, en tout cas elle en a infirmé l'intention de continuer à sanctionner les manquements flagrants à des obligations de protection des données. Mais je ne commenterai pas plus ce sujet qui ne relève pas de mes compétences.
Sur la logique de proactive d'aller enlever des données sur internet, je crois que malheureusement une fois que les données sont parties sur internet, il est vain d'essayer de les faire disparaître. L'internet est ainsi fait que quelque chose qui y figure y est reproduit à l'infini. Et au demeurant c'est, ça fait partie du problème également, parce que dans les fuites de données, on a un effet auto-entretenant puisque la fuite de données d'aujourd'hui, si elle contient des mots de passe, peut nourrir la cyberattaque de demain. Donc ça fait partie de ce phénomène qu'on a bien en tête de l'accroissement et de l'intensification de la menace si on ne prend pas les mesures de sécurité élémentaires qui permettent de la contrer au moins dans cette nature-là. En revanche, ce qui marche, et on peut s'en réjouir, c'est l'action de la justice.
Non pas pour récupérer les données parce qu'une fois dans la nature, elles sont malheureusement perdues, mais pour confronter aux conséquences de leurs actes les auteurs de ces types d'attaques. Et je pense qu'on peut se réjouir du fait que lorsqu'ils ne sont pas à l'abri de l'action de la justice, c'est-à-dire dans des localités ou des pays qui n'ont pas d'accord avec la France, les auteurs de ces faits sont de plus en plus régulièrement interpellés. Je me risquerai même à dire que ça explique une partie de l'activité intense observée en matière de fuite de données, puisqu'une partie de tout cela, ce n'est pas le seul fait générateur, relève aussi de logiques de conflits réputationnels entre cybercriminels suite à des appels, des interpellations. Je pense notamment à la galaxie dite shiny hunters, désolé pour leur languisme, c'est comme ça qu'ils se sont appelés, dont un certain nombre de membres ont été interpellés par la justice française en 2025. Et un certain nombre de revendications de fuites de données, notamment contre l'Etat en 2025, ont été formulées au titre d'une forme de vengeance des cybercriminels, ceux qui restent en liberté contre l'action de la justice et des forces de police françaises.
Voilà. Je pense, j'espère, mais je pense sincèrement qu'il joue un jeu perdant en la matière et que ceux qui sont à la portée de la justice finiront par être, paraître confrontés aux conséquences de leurs actes.
Cédric Perrin
Monsieur le directeur, je suis désolé, mais je vous invite vraiment à la concision. Il me reste 4 questions et je ne pense pas qu'on arrivera au bout. Donc Philippe Paul, d'abord qui s'exprime au nom du x, sorry, Mariette Carlotti Sandotti.
Philippe Paul
Oui, merci, monsieur le président. C'était à l'origine des questions qui étaient prévues pour M. Nicolas Roche. Donc si vous voulez bien, je veux bien les poser. Vous verrez si monsieur Strujel, si vous pouvez y répondre, sinon on pourra le saisir par écrit. Donc j'interviens en tant que co-rapporteur avec mes collègues Hugues Sori et Marie-Arlette Carlotti de la commission sur le thème de la résilience face aux nouvelles menaces, mais aussi en tant que rapporteur pour avis du programme 152 gendarmerie nationale.
Avec plus de 3 000 brigades territoriales, la gendarmerie nationale dispose d'un réseau sans équivalent auprès des collectivités petites et moyennes. Sa connaissance des territoires la place en première ligne pour assurer la résilience de nos systèmes et de nos populations. Concrètement, quelle coopération a été mise en place par votre collègue Roche avec la gendarmerie sur ce volet ? Voilà la première question. Question de ma collègue Marie-Harlette Carlotti,
Philippe Paul
en a deux. Question numéro un, outil à destination des élus. Vous proposez sur votre site des outils de formation à destination des élus, notamment un guide intitulé Mieux connaître la stratégie nationale de résilience, disponible sous deux formes différentes, ainsi qu'un guide de la continuité d'activité. Disposez-vous de statistiques sur le téléchargement de ces documents par les élus ? De manière plus générale, avez-vous mis en place des indicateurs permettant de suivre l'état d'avancement de la mise en place de la SNR ? Question numéro deux de Maria Arlette Carlotti, comparaison internationale, avez-vous pour l'élaboration de la stratégie nationale de résilience pris en compte les politiques conduites par nos voisins dont certains comme la Suède, la Finlande ou les Pays-Bas semblent plus avancés dans le domaine de la préparation des populations. Et les deux dernières questions de notre collègue Hugues Sori.
Question numéro un, rôle des acteurs privés. La résilience des systèmes et de l'approvisionnement implique une coordination poussée avec des acteurs privés afin de garantir une continuité en cas de crise. Le SGDSN s'est-il doté d'un point de contact avec ces acteurs ? Font-ils l'objet d'actions de sensibilisation sur ce sujet ? Question numéro deux, stratégie nationale de résilience. N'y a-t-il pas un paradoxe dans le fait de ne pas publier la stratégie nationale de résilience tout en demandant à un public très large de la mettre en œuvre ? Ainsi, le guide, Mieux connaître la stratégie nationale de résilience, mis à disposition des élus, dispose un ensemble de tâches à mener à bien comme recenser les compétences disponibles dans votre territoire et susciter les vocations d'engagement pour être en mesure de répondre à une crise majeure au plus près du terrain, mais sans lui indiquer les moyens ou les ressources à disposition. Voilà, j'ai fini.
Cédric Perrin
Je me permets de donner la parole à l'ensemble des juges, personnes qui souhaitent poser des questions pour une réponse globale. Ludovic est ensuite Jean-Luc Ruel.
Ludovic Haye
Merci messieurs les présidents, merci monsieur le directeur général. Très rapidement, je vais être concis. Donc merci déjà d'avoir rappelé, monsieur le directeur général, tout ce qui a été mis en place ces dernières années pour travailler justement à cette organisation. On sait d'où nous partons, c'est-à-dire de pas grand-chose, et il a fallu passer de la sensibilisation à un niveau d'efficacité beaucoup plus important. Aujourd'hui, par rapport à tout ce que vous avez évoqué, je pense que jusqu'au sécir très régionaux pour les grandes régions qui en ont, on est relativement bien organisé avec, ça a été dit, un renforcement par le dispositif dix-sept cyber qui vient lui aussi pallier un certain nombre de lacunes.
Pour moi, le sujet se situe peut-être après, je dirais sur le dernier kilomètre. Aujourd'hui il est utopique pour l'ANSI de vouloir pouvoir intervenir sur les trente-six-mille communes de France, chacune ayant presque sa propre configuration informatique. On imagine bien que les besoins et les problèmes sont totalement différents. En revanche, on, et ça a été dit aussi, on a aujourd'hui peut-être, enfin c'est bien, beaucoup d'acteurs qui sensibilisent sur les risques cyber. Gendarmerie nationale, par son maillage territorial, ça a été dit.
Bien souvent renforcée par les chambres d'agriculture, les chambres CCI, les chambres de commerce et d'industrie, pardon. Et puis parfois encore renforcée par les associations d'élus. Et c'est là où peut-être un maire aujourd'hui qui rencontre un problème souvent le samedi matin ou le dimanche matin. Aujourd'hui, avant d'arriver au CSIRT et d'être guidé, c'est ce kilomètre-là qui manque. Et qu'est-ce qui va se passer ? C'est généralement il fait appel à son prestataire pour ceux qui ont, pour ceux qui ont la chance d'en avoir un, son prestataire informatique qui, après une analyse assez rapide, procède à une restauration et remet en état le sujet.
Voilà donc ça c'est peut-être des choses qui ne vous, qui ne remontent pas au niveau national en disant bon voilà, c'est des incidents qui sont je dirais résolus lundi, donc ça ça se passe plutôt bien. Mais en l'occurrence, je pense qu'en termes d'organisation, peut-être que les préfectures ont un rôle à jouer puisque c'est un sujet qui concerne mes collègues en ce moment, renforcer le rôle des préfectures. La commune étant le plus petit maillon, le maillon élémentaire de la république, peut-être que la préfecture a un rôle à jouer pour organiser le dernier kilomètre.
Jean-Luc Ruelle
Merci président. Merci beaucoup, monsieur le directeur général, pour ces informations. Donc j'ai deux petites questions. L'une, pourriez-vous préciser si, lorsqu'une collectivité territoriale est victime d'une cyberattaque, elle est soumise, comme les entreprises privées, à une obligation de déclaration auprès de l'ANSI. Ensuite, par ailleurs, avec la directive Venise 2, certaines entités devront s'enregistrer auprès de l'ANSI et notifier les incidents.
Pouvez-vous nous indiquer ce que cela changera concrètement pour les collectivités, alors que les modalités précises restent encore à définir par décret ? Je vous remercie.
Vincent Strubel
Je vais faire synthétique et alors je vais dégainer aussi un joker de simplification en m'abstenant de répondre à la place de mon chef sur un certain nombre de questions relatives à la stratégie nationale de résilience parce que je le ferai forcément beaucoup moins, bien moins bien que lui, et je pense qu'il serait très heureux de répondre à vos questions lui-même sur ces différents plans. Peut-être en fusionnant un peu les, certaines de ces questions et je n'oublie pas la question sur la gendarmerie nationale, mais ça fait la réponse au dernier kilomètre. Oui, avons une collaboration étroite de longue date et qui se structure de plus en plus avec la gendarmerie nationale, avec les forces de sécurité intérieure de manière générale. Mais de fait, sur une grande partie du territoire, ce dernier kilomètre est couvert essentiellement par la gendarmerie nationale. Cette collaboration elle prend différentes formes sur la, les messages de sensibilisation qui sont synchronisés, la mise en oeuvre d'outils de diagnostic qu'on a fait converger pour aider à poser ce premier diagnostic.
Quand on est, on veut aborder ce sujet de la cybersécurité. La première question à se poser, c'est par quoi on commence. Et pour ça, il faut poser un diagnostic, et je trouve que ça marche très bien et que la gendarmerie y contribue par ces forces d'actifs, mais aussi par ces réservistes qui sont un cadre de réserve fortement mobilisé sur ces sujets-là. Évidemment, ça n'épuise pas le sujet du dernier kilomètre. Je pense et je souhaite que nous inscrivions dans la durée les liens noués avec les associations d'élus au gré de la consultation sur Nice 2. On a travaillé avec l'ensemble des associations d'élus depuis 2023 pour préparer ce cadre national de déclinaison de Nice deux. Je pense que nous devrons garder ce lien fort dans la mise en oeuvre et plus généralement dans la sensibilisation, la diffusion de fiches réflexes ou de choses comme ça.
Les chambres consulaires sont aussi des relais importants. Et je pense que là encore ce travail et ces dynamiques régionales, locales de manière générale ne peuvent qu'être encouragés en prenant les expériences qui ont marché, en essayant de les généraliser tout en laissant une place à l'initiative locale. Et donc cet enjeu de gouvernance renouvelée dans la stratégie nationale de cybersécurité trouve toute sa place. Il y a aussi des outils de portée nationale qui peuvent aider à ça. Et donc je pense qu'on aura gagné énormément le jour où collectivement, on aura fait en sorte que l'ensemble de nos concitoyens, y compris les élus, y compris les maires de petites communes, mais aussi l'ensemble de nos concitoyens et concitoyennes aient en tête ce réflexe dix-sept cyber. On a un formidable outil avec le dix-sept cyber qui permet qu'on construit, qu'on continue de construire pour permettre la mise en relation avec tous les aidants potentiels, tous les intervenants potentiels pertinents en cas d'acte de cybermalveillance au sens large.
Je pense qu'il faut marteler ce discours-là et l'intégrer dans la prévention à grande échelle. Sur les collectivités, alors avec la prudence d'un projet de loi de transposition de Nice 2 qui n'est pas encore définitivement voté, mais ce qui est proposé à ce stade, c'est que certaines d'entre elles seulement soient soumises à des obligations sans faire toute la typologie et l'arbre de décision. Les communes de moins de 30 000 habitants n'y seront concernées qu'à travers leur intercommunalité de rattachement. On n'a pas, je pense que personne n'a envie d'imposer des contraintes fortes à des communes de petite taille. En revanche, les intercommunalités sont un endroit où on peut porter un certain nombre de mesures mutualisées ou d'obligations mutualisées.
Ces obligations, ce sont des obligations basiques pour la grande majorité d'entre elles, puisque ce sont des entités importantes, c'est-à-dire le niveau de base. Les plus grandes collectivités, les conseils régionaux par exemple, les conseils départementaux seront astreints à des obligations supplémentaires en tant qu'entité essentielle. Toutes auront cette obligation d'enregistrement et de notification des incidents à l'ANCI, qui, je pense, ne représentent pas une grande charge du moment qu'on est prévenu et qu'on a besoin là encore de faire passer ce message auprès de tout le monde, qui nous permettra de les aider. Et là fondamentalement on est dans la mise en œuvre à grande échelle de notre rôle potentiel de cyber pompiers en lien avec tout cet écosystème de premiers répondants, de ces sites territoriaux, de prestataires qui peuvent être mobilisés. Mais pour que les acteurs de toute nature qui peuvent aider suite à une cyberattaque se mobilisent, il faut qu'ils aient l'information.
Et aujourd'hui, cette information nous manque. Et donc identifier les bénéficiaires, les victimes potentielles et avoir l'information d'une attaque, ça nous permet de les aider, et ça nous permet aussi de passer des alertes à plus grande échelle, parce qu'on voit forcément une forme de propagation des attaques, et que donc une attaque qui a lieu peut être la prémice d'une attaque qui concernera le voisin ou un autre acteur de la même chaîne de valeur économique. Et donc avoir ce rôle d'alerte précoce nous permettra de limiter la casse, je le pense.
Cédric Perrin
Beaucoup, monsieur le directeur, merci pour cette intervention. Je, peut-être je laisse la parole à Bernard, mais en tout cas moi je voudrais remercier la délégation collectivité d'avoir eu cette initiative. Je pense que c'est important qu'on puisse défricher un peu le terrain. Donc merci monsieur le directeur, et puis de toute façon nous aurons, nous dans le cadre de la commission d'affaires étrangères et la défense, d'autres occasions de nous rencontrer et d'échanger sur ces sujets. Mais je laisse la parole à Berne.
Bernard Delcros
Merci monsieur le directeur général pour l'ensemble de ces informations et de ces réponses très précises aux questions qui ont été posées. Merci à l'ensemble des collègues, et on voit bien que c'est un sujet dans lequel effectivement les collectivités se trouvent en premier lieu concernées. La sécurité, c'est partout, c'est dans les territoires, quelles que soient d'ailleurs les formes d'attaques. Et donc je pense qu'il faut mener vraiment ce travail, et je pense qu'il y a encore des progrès à faire en matière d'information, de formation, d'outillage auprès des maires. Nous allons commencer un nouveau mandat avec de nouveaux élus qui vont arriver.
Je pense qu'il y a un travail à faire auprès de chacun pour que chacun prenne bien d'abord la mesure des enjeux et puisse être efficace et avoir des outils et trouver des bons interlocuteurs pour faire face aux crises qui peuvent se présenter, qui ne manqueront pas, même j'en suis sûr de se présenter. Voilà, en tout cas, merci beaucoup à vous. Merci Cédric de nous avoir permis de mener ce travail en commun. Merci.
Ask anything about this video — I analyse its transcript to answer.