Protéger face aux ingérences numériques étrangères
Legend
Transcript markers
- text Sentence being played
- text Search result
- text Intervention cited by the link you opened
Click a sentence to play the video from that moment. Select text to quote it with the speaker, timestamp and link.
More options
Public Sénat
Nicolas Roche
Soyons précis. Vous vous rappelez que la partie militaire de ce scénario, cette partie qui dit dans le paragraphe 112 de la RNS que nous devons préparer nos armées à être engagées dans des actions de guerre à la périphérie de l'Europe ou en Europe à l'extérieur du territoire hexagonal, fort heureusement vous constaterez avec moi que d'évidence la France n'est pas en guerre et que nos armées ne sont pas en guerre. En revanche, dans cette première partie, la poursuite de la guerre en Ukraine, de cette guerre illégale d'agression russe contre l'Ukraine, la poursuite du conflit entre Israël et les États-Unis d'un côté et l'Iran d'autre part, continue d'exercer une forte pression et nous avons été à la manœuvre en termes d'assistance, de soutien et d'aide à nos partenaires et à nos alliés mais je le redis cette première partie du scénario fort heureusement elle ne s'est pas mise en œuvre et nous ne sommes aujourd'hui pas dans cette situation dans laquelle nos armées seraient engagées dans des actions de guerre. En revanche, s'agissant de la deuxième partie du scénario, celle qui concerne le territoire national à la fois hexagonal et outre-mer, je pense que vous aurez constaté avec moi l'idée que les modes de conflictualité variés, opportunistes, durs, aujourd'hui continuent de toucher le territoire national et je dirais de façon croissante et massive. Je dirais même qu'une forme de cap a été franchi dans le courant de l'année 2026.
Permettez-moi juste ici de rappeler un certain nombre d'événements qui se sont passés en Europe et qui viennent illustrer la matérialisation des attaques hybrides qui ont été conduites contre un certain nombre de systèmes en Europe et parfois en France. Au mois d'août dernier, le centre polonais de réponse aux incidents informatiques le CERT Polska a révélé qu'une cyberattaque avait touché une centrale thermique lors de la vague de froid survenue durant l'hiver 25-26 après le 29 décembre 2025.
Cet incident s'inscrivait dans une série d'attaques coordonnées qui avaient touché une trentaine d'installations d'énergie renouvelable. L'objectif était bien d'atteindre un certain seuil systémique visant à provoquer un blackout électrique en Pologne sur le modèle de la grande panne accidentelle celle-là qui avait affecté l'Espagne et le Portugal vous vous en souvenez en mars 2025 et a privé d'électricité des centaines de milliers de Polonais. Les autorités polonaises fort heureusement ont réussi à parer cette attaque à empêcher ce sabotage et vous le savez ça a été dit publiquement elles l'ont attribué à la Russie. Dans la nuit du 4 au 5 août deux petits drones ces petits drones issus des technologies civiles classiques qui sont en vente dans le commerce portant des charges explosives ont manœuvré sur un aéroport civil celui de Leipzig pour tenter d'exploser au contact d'avions de ligne civils et un troisième drone chargé d'explosif a été trouvé un peu plus tard à une dizaine de kilomètres de l'aéroport et les autorités allemandes là aussi ont pu démontrer que ces attaques ont échoué parce qu'elles n'étaient pas suffisamment organisées mais en revanche l'intention du sabotage et de la destruction était présent et là aussi vous le savez les autorités allemandes ont attribué la responsabilité de cette opération de sabotage d'un aéroport civil par l'utilisation de petits drones kamikazes avec de l'explosif à la Russie. En France depuis le mois de juillet et nous y reviendrons lors des questions-réponses j'en suis certain des campagnes d'ingérence numérique étrangère contre de nombreux candidats à l'élection présidentielle se sont d'ores et déjà multipliées afin de semer la confusion d'alimenter le chaos de perturber notre débat démocratique sur les réseaux et dans l'espace numérique.
Ce ne sont là que quelques exemples de ce que nous avons pu constater en Europe de la matérialisation de la massification du volume d'attaques hybrides dans toute leur diversité sabotage cyber drone espionnage évidemment que nous voyons se matérialiser en Europe. Monsieur le Président mesdames et messieurs les sénatrices et les sénateurs je ne vois aujourd'hui aucune raison pour que ce type d'attaque s'arrête à la frontière de notre pays et ne continue pas dans les quelques mois qui viennent de nous toucher. Un an après la publication de la revue nationale stratégique je constate que la vitesse à laquelle l'adversité se durcit augmente et nourrit à tous notre sentiment d'urgence. Notre responsabilité la responsabilité du SGDSN et de l'ensemble de ses institutions rattachées est donc d'accélérer nos propres efforts de protection dans le domaine qui relève en particulier des attaques hybrides. Je pense à la protection des sites des infrastructures critiques des opérateurs d'importance vitale et au-delà de l'ensemble des entités qui sont essentielles à la continuité de la vie de la nation notamment dans le domaine de la protection physique et de la lutte contre les sabotages.
Je pense à la protection des systèmes d'information et Vincent Strubel en parlera davantage sur l'état d'évolution de la menace cyber qui pèse sur nous à la fois sur le très haut du spectre et cette mutation de la menace du très haut du spectre sophistiquée d'origine étatique qui visait jusqu'à présent essentiellement des actions d'espionnage ou de prépositionnement et qui est en train de muter vers des actions organisées de sabotage et cette deuxième mutation que nous avons constatée ces derniers ces derniers mois et sur laquelle là aussi le directeur général de l'ANSSI a eu l'occasion de s'exprimer publiquement et reviendra j'en suis sûr pour répondre à votre question sur des menaces de très faible sophistication mais à très fort impact politique qui relèvent plutôt de la criminalité individuelle endogène jeune non plus simplement de la criminalité organisée telle que nous la connaissons avec des groupes criminels transnationaux mais de cette petite criminalité finalement faiblement sophistiquée sur le plan technique mais à très fort impact politique sur la confiance que nos concitoyens peuvent accorder à la capacité de l'État à les protéger. Je pense évidemment ici à la question de la détection des ingérences numériques étrangères dans le domaine de Viginum que nous avons d'ores et déjà vu se multiplier et il n'y a aucune raison que nos adversaires fassent une trêve électorale et ne multiplient pas évidemment dans les semaines qui viennent dans les mois qui viennent jusqu'à l'été 2027 la multiplication de l'ensemble de ces de ces éléments.
Pour autant, depuis cette année qui vient de s'écouler, depuis la publication de la revue nationale stratégique et qui malheureusement a confirmé nos anticipations, a confirmé notre analyse de la menace et de son aggravation, qui par ailleurs a confirmé que cette aggravation se déroulait rapidement, plus rapidement que ce que nous avions anticipé, nous ne sommes pas restés les bras croisés et toute une série d'actions, et vous en avez rappelé certaines, Monsieur le Président, certaines étaient du niveau législatif, j'y reviendrai, qui dotent l'ensemble des institutions de l'État d'un certain nombre de pouvoirs et d'autorités renforcés et supplémentaires pour nous permettre de faire face. Mais au-delà de ces dispositions législatives qui ont été intégrées dans la loi de programmation militaire, je vais revenir sur certaines d'entre elles et dans d'autres projets de loi qui sont en cours d'examen, qui effectivement ont été votés, d'ailleurs je l'ai noté à une plus que large majorité, à une très très grande unanimité dans le domaine des ingérences, nous donnent des autorités supplémentaires et continueront leur parcours législatif. Permettez-moi juste de revenir sur quelques exemples de ce qui nous a occupés au sein du SGDSN dans l'année qui vient de s'écouler sur la base des moyens qui nous avaient été alloués dans cette même commission par le Parlement l'an dernier. Premièrement, vous savez, je sais votre attachement, Monsieur le Président, Mesdames et Messieurs les sénatrices et les sénateurs, à la question de l'engagement et des réserves. Les réserves aujourd'hui, grâce à la loi de programmation militaire, sont réparties en trois viviers : les réserves opérationnelles que la loi de programmation militaire qualifie désormais de réserves de sécurité nationale et auxquelles nous avons ajouté, au-delà des réserves opérationnelles militaires, de la police, de la gendarmerie, la réserve sanitaire et les réserves opérationnelles des douanes et de l'administration pénitentiaire qui nous dotent aujourd'hui d'une capacité de gestion de crise supplémentaire avec une vraie réserve opérationnelle élargie.
Une deuxième réserve sur laquelle je veux insister ici, que nous avons requalifiée, qui vise à nous donner les moyens d'assurer les missions indispensables à la continuité de la vie de la nation et qui, comme son nom l'indique, sont destinées à assurer la continuité de l'action de l'État, des collectivités territoriales, des organismes qui leur sont rattachés, les entreprises, les établissements publics, les établissements privés, les opérateurs d'importance vitale, les entités essentielles dont l'activité et la continuité de l'activité contribuent à la sécurité nationale et à la continuité de la vie de la nation. Et puis cette troisième réserve de solidarité nationale qui, issue de la mobilisation citoyenne en période de crise et que nous avons tous pu constater au moment des incendies notamment dans le sud-ouest de la France, correspond à l'engagement des bénévoles lorsque surviennent des difficultés de proximité. Ces trois réserves-là sont désormais clairement établies. Nous avions discuté dans cette même commission il y a un an de la complexité du dispositif de réserve, de la nécessité de simplifier, de sincériser, de dynamiser. Ce travail-là est en cours pour, au-delà des capacités de l'État et de la puissance publique, permettre à nos compatriotes de trouver les voies et moyens de l'engagement qui continue d'être nécessaire et qui continue d'avoir du succès.
Je sais aussi un certain nombre de préoccupations qui sont les vôtres dans l'exécution, au-delà de cette question des réserves et d'un certain nombre de dispositions législatives, sur l'exécution du budget de 2027 et la préparation de celui de 2026. Comme vous le savez, l'entrée en gestion en 2026 avait été marquée par une adoption plus tardive que d'habitude de la loi de finances initiale et nous avions bénéficié dans ce contexte, je le redis ici et nous savons à quel point nous avons été bénéficiaires de la solidarité nationale, d'un traitement favorable qui correspondait aux missions particulières de la défense et de la sécurité nationale dont le SGDSN a la charge. Un transfert de crédits de la part du ministère des Armées au mois d'avril est venu abonder un certain nombre de crédits pour financer un certain nombre de capacités techniques notamment au profit de nos services de renseignement et une réallocation de crédits nous a permis en cours d'année de développer l'ensemble de nos actions destinées à préparer le territoire national à la lutte contre ces petits drones, à la lutte anti-drone.
Je sais Monsieur le Président que vous y êtes particulièrement attaché. Ces travaux-là sont en cours. J'y reviendrai sur le site de Brétigny-sur-Orge en termes de labellisation d'un certain nombre de solutions industrielles qui pour mettre en œuvre en particulier les dispositions très novatrices de la loi de programmation militaire qui a permis à des opérateurs privés d'opérateurs d'importance vitale de se doter de capacités de détection et de neutralisation qui permettront je l'espère à la nation d'être davantage prête en tout cas plus rapidement à l'évolution de la menace. Et nous allons continuer au sein du SGDSN notre travail de mobilisation, de dynamisation, d'accélération de la préparation du territoire national sur l'ensemble des crises de sabotage et en particulier de sabotage sur la question des drones. Vous savez et je le sais, je vais pas y insister de trop, mais les questions logistiques, immobilières sont essentielles.
Un certain nombre de décisions ont été prises qui permettront de doter de façon pérenne l'ANSSI d'un site permanent à l'horizon de l'année 2030, de la prochaine décennie qui nous permettront de continuer à donner à l'ANSSI les moyens de la protection cyber dans le cadre des responsabilités de notre modèle cyber tel qu'il a été développé. Et je veux dire ici que nous sommes très conscients au sein du SGDSN de la les éléments extrêmement positifs que nous avons pu obtenir dans des périodes compliquées y compris de restrictions budgétaires qui nous obligent tous. Pour donner quelques exemples simplement de ce que nous avons fait cette année dernière et qui vont répondre en particulier à un certain nombre de questions que vous avez posées Monsieur le Président et je ne doute pas que vous voudrez revenir dans vos questions sur certains de ces éléments-là. Sur la dimension des ingérences numériques étrangères avec Viginum, avec l'ANSSI, avec un certain nombre d'institutions de l'État, nous avons mis en place un dispositif durci de protection des cycles électoraux. Je pense en particulier aux élections municipales mais également aux élections provinciales en Nouvelle-Calédonie et évidemment aux élections sénatoriales avec le souci permanent de la coordination interministérielle, de l'information des candidats et des partis politiques et de l'information du public.
Vous le savez au moment des élections municipales nous avons mis en place le réseau de coordination et de protection des élections qui a rassemblé autour du SGDSN un certain nombre d'institutions, Viginum évidemment sur la question des ingérences numériques étrangères mais une série d'autres institutions de l'État qui nous ont permis d'avoir en place un dispositif efficace, robuste, agile, permanent de détection, de caractérisation et d'information sur les élections municipales en matière d'ingérence numérique étrangère. Nous pourrons revenir si vous le souhaitez sur le bilan que nous avons tiré de l'ensemble. Un rapport a été rendu public par Viginum et le SGDSN sur le bilan que nous avons tiré de la mise en place à la fois du RCPE et de la nature de la menace telle qu'elle évolue et que nous avons vu manifester des préoccupations et des volontés d'ingérence étrangère dans notre débat numérique électoral. Comme je le disais ce dispositif du RCPE est un dispositif sur lequel nous sommes en train de réfléchir pour la mise en place à nouveau pour le cycle électoral de 2027. Vous savez aussi qu'un certain nombre de dispositions ont été prises de nature réglementaire pour celles-là qui visent plutôt un éventuel cycle législatif puisqu'un décret a été adopté par le gouvernement le 22 juillet 2026 qui permet là aussi de durcir notre dispositif.
L'élection présidentielle faisant elle l'objet d'un dispositif séparé, spécifique, tout à fait particulier entre les mains du Conseil constitutionnel et de la CNCCEP. Ce dispositif durci qui a montré son efficacité je pense pendant les élections municipales nous donne la direction dans laquelle nous devons continuer à préparer et à durcir et à rendre plus robuste notre dispositif de protection des élections contre les ingérences numériques étrangères dont nous constatons que la menace continue d'évoluer, de se durcir et d'augmenter.
Je suis certain que nous reviendrons en détail sur les questions de cybersécurité mais nous avons publié la stratégie nationale de cybersécurité actualisée. Nous avons avec l'ANSSI et l'ensemble de la communauté interministérielle de la cyber été pleinement mobilisés dans cette guerre hybride du haut du spectre et qui nous a vu voir comme je l'ai dit la menace cyber muter dans ces deux directions vers le très haut du spectre et le sabotage vers la partie moins sophistiquée de la criminalité organisée vers la criminalité endogène et individuelle qui font peser un rythme opérationnel sur les équipes de cybersécurité tout à fait spécifique et qui nous a amenés à conforter et à durcir le modèle français de cybersécurité sur lequel nous reviendrons qui organise la répartition des responsabilités entre ce que fait l'ANSSI en propre, ce qu'elle fait en elle-même et ce sur quoi elle est un conseil, un expert, un contrôleur le cas échéant pour que d'autres fassent. Vous savez, je sais qu'un certain nombre d'entre vous autour de cette table sont très attentifs à ces éléments-là. Nous avons continué et c'est un point qui avait été évoqué dans cette même commission au même moment l'an dernier à la poursuite du financement de ce dispositif de réaction de proximité qu'on appelle les CSIRT régionaux que sur les crédits supplémentaires que nous avons obtenus en 2025 et 2026 nous ont permis de continuer à organiser en région un dispositif de proximité qui permet de traiter un certain nombre d'incidents cyber de premier niveau qui ne requièrent pas les capacités techniques les plus sophistiquées que la nation a confiées à l'ANSSI. Dans tous ces domaines-là, il y a un bouleversement qui est en cours sur lequel nous travaillons d'arrache-pied et qui tout cela jusqu'à présent n'a pas été rendu public mais nous a fait constater de très profonds progrès dans l'année qui vient de s'écouler et notamment dans les neuf derniers mois en matière d'intelligence artificielle à la fois de compréhension beaucoup plus fine de l'impact que les modèles d'intelligence artificielle de frontière font peser sur la menace cyber et à l'inverse du durcissement de notre dispositif de cybersécurité à l'aide des modèles d'intelligence artificielle.
Une des choses qui a été rendue publique pour le coup et je suis certain que Vincent Strubel y reviendra, c'est l'utilisation de certains éléments d'intelligence artificielle nationale en particulier en appui au dispositif d'audit de la deuxième phase d'audit qui est en cours par la DGFIP sur les systèmes d'information de la DGFIP, le tout sous la supervision technique de l'ANSSI. Pour se préparer au scénario central de la RNS, nous avons finalisé au mois de juillet de cette année et là aussi ça a été rendu public une nouvelle planification de défense et de sécurité nationale, le PDSN dans notre jargon, qui associe très étroitement l'évaluation de la menace, l'ensemble des mesures pour y faire face et que nous sommes en cours d'activation au regard de l'évolution de la menace hybride. Mais nous n'avons pas simplement actualisé et durci notre planification de défense et de sécurité nationale, nous avons également d'ores et déjà organisé des exercices. Vous êtes familiers, un certain nombre d'entre vous y ont participé à l'exercice Orion 26 et qui est un exercice d'abord militaire organisé par l'état-major des armées mais sur lequel nous avons décidé nous SGDSN d'amener la communauté interministérielle de la défense et de la sécurité nationale pour jouer précisément les deux volets du scénario central de la RNS, à la fois la montée de nos armées vers un engagement majeur et la mobilisation de l'ensemble de la communauté interministérielle de la sécurité nationale pour être en meilleure position pour être capable de répondre à des attaques hybrides massives et donc pour durcir le territoire national. Je le disais, je le redis ici, nous avons financé des moyens nouveaux en matière de lutte contre les petits drones et qui nous qui ont pour objectif de nous permettre de mettre en œuvre plus efficacement et plus rapidement l'article 25 de la loi de programmation militaire.
Et j'espère que dans les semaines qui viennent, nous aurons l'occasion de démontrer que nous passons de la théorie à la pratique. Nous sommes en train de le faire depuis le début du mois de janvier, je l'ai déjà dit à Brétigny-sur-Orge avec un terrain d'expérimentation en milieu périurbain que nous avons ouvert à la participation de tous les industriels français de la détection et de la lutte anti-drone pour qu'ils viennent tester en conditions réelles l'efficacité de leurs dispositifs de détection et de lutte anti-drone et ensuite de le labelliser et de le certifier dans des conditions qui correspondent à la réalité de façon à ce qu'ensuite ces solutions-là soient disponibles et validées pour durcir progressivement le territoire national face à cette menace drone. Vous le savez, vous l'avez dit, dans notre dispositif finalement que je qualifierais de planification juridique de la sécurité nationale, la loi de programmation militaire a validé et acté, je sais qu'il y a eu des débats nourris sur ce sujet, un nouvel état, un état d'alerte de sécurité nationale qui ouvre des possibilités d'aménagement juridique pour faire face à une montée des crises hybrides qui affectent la sécurité nationale. Et ce dispositif, je le dis ici, Monsieur le Président, il a été pensé pour les menaces hybrides et construit, conçu à la fois dans ses critères de déclenchement, dans ses modalités d'encadrement et dans les dérogations de nature du pouvoir réglementaire qu'il autorise pour le durcissement du territoire national face à des menaces hybrides et à ce scénario spécifique, c'est-à-dire à la deuxième partie du scénario central de la RNS. Je ne m'aventurerais pas ici devant votre commission à commenter l'actualité brûlante qui va bien au-delà de cette question et des compétences du SGDSN spécifiquement.
Je l'ai dit, je le redis ici, nous avons beaucoup travaillé ces derniers mois, et c'est vrai dans le domaine cyber, mais je dirais que c'est vrai dans l'ensemble des domaines qui relèvent de la sécurité nationale sur le bouleversement que représente l'intelligence artificielle en matière de sécurité nationale. J'ai mentionné la façon bonne ou mauvaise dont les grands modèles de langage de frontière peuvent être utilisés dans des domaines du cyber, mais je veux aussi ici dire que nous, dans l'ensemble du périmètre du SGDSN, nous continuons à être extrêmement attentifs, et il est possible que vous ayez des questions sur ce sujet, sur la façon dont nous évaluons la possibilité pour des agresseurs étrangers d'utiliser des modèles d'intelligence artificielle à des fins de manipulation de l'information dans le cadre du mandat de Viginum. Mais nous avons mis en place un laboratoire d'intelligence artificielle au sein de Viginum comme nous l'avons fait au sein de l'ANSSI sur la partie cyber, et dans des domaines qui sont tout à fait aussi préoccupants, qui relèvent de la prolifération des armes nucléaires, radiologiques, bactériologiques, chimiques ou des explosifs. Là aussi, des travaux extrêmement approfondis ont été menés ces derniers mois pour mesurer l'état exact de l'impact des modèles d'intelligence artificielle sur les risques de prolifération et notamment dans les domaines biologiques, chimiques et d'explosifs. Toutes ces choses-là n'ont pas encore été rendues publiques, ce sont des travaux que nous avons faits dans un environnement classifié et donc vous me pardonnerez, j'espère, de ne pas aujourd'hui être en mesure de vous dévoiler l'ensemble des résultats de l'ensemble de ces évaluations que nous avons faites.
Je rappelle ici qu'au titre du sommet sur l'intelligence artificielle que le Président de la République avait organisé en mars 2025, un institut a été créé, l'Institut National d'Évaluation et de Sécurité de l'Intelligence Artificielle, l'INESIA, dont le SGDSN a la direction pour les menaces de sécurité nationale. Nous avons activé, opérationnalisé cette nouvelle mission dans l'année 2025 et dans l'année 2026 qui nous mettent aujourd'hui en mesure d'avoir une capacité autonome et souveraine d'évaluation des modèles d'intelligence artificielle et de leur impact sur la sécurité nationale. Je pense et j'espère que nous serons en mesure dans les mois qui viennent, avant la fin de l'année, de rendre public un certain nombre de nos évaluations et de déclassifier une partie pour alimenter votre réflexion sur ce bouleversement technologique qui a un impact direct sur l'état des menaces qui pèsent sur notre sécurité nationale et aussi sur la façon dont nous pouvons utiliser l'ensemble de ces modèles à des fins de défense ou de protection de notre démocratie et de notre sécurité nationale.
Je sais que vous aurez beaucoup de questions de substance mais c'est aussi une audition qui permet de revenir sur les questions budgétaires et c'était d'abord son objectif premier. Et donc je ne peux pas ne pas finir ma présentation initiale sans vous dire que dans le projet de loi de finances qui vous a été présenté pour 2027 et qui, nous le savons bien, nous ne sommes pas naïfs même si nous sommes des technocrates, nous savons qu'il est entouré d'un certain nombre d'incertitudes. Mais en l'état des choses, je constate qu'il est marqué par une volonté de maîtrise des dépenses que nous comprenons évidemment totalement et cette volonté s'applique y compris aux services du Premier ministre et au SGDSN. Et donc nous sommes tout à fait à la manœuvre pour faire en sorte de mettre en œuvre les crédits qui, je l'espère, nous seront octroyés sur l'année 2027, qui sont pour dire les choses à constance par rapport à 2026. Et là aussi nous avons conscience au SGDSN, et en termes de titre 2, et en termes d'ETP, et en termes de hors titre 2, dans cette condition qui nous est faite de rester au niveau de l'année 2026, d'être particulièrement favorisés au regard de l'ensemble des mesures de restriction budgétaire qui ont été portées sur un certain nombre de services de l'État.
Et nous serons dans l'enveloppe et le plafond d'emploi qui nous seront alloués en 2027 extrêmement présents et attentifs à ce que nous puissions mettre en œuvre rapidement, avec agilité, avec souci de l'opérationnel, l'ensemble de ce que sont nos priorités. Et comme je l'ai déjà dit et je n'hésiterai pas à le dire, à l'intérieur nous serons amenés à faire des choix de priorisation, de hiérarchisation de nos priorités qui seront toujours, je veux le redire ici, conformes à notre analyse de la menace et à la façon dont nous évaluons l'évolution de la menace qui pèse sur notre sécurité nationale. Ça sera vrai dans le domaine cyber, ça sera vrai dans le domaine des manipulations de l'information, ça sera vrai dans le domaine de la lutte contre la prolifération, ça sera vrai dans le domaine de la lutte contre les menaces hybrides et de la planification de défense et de sécurité nationale. Je voudrais juste, Monsieur le Président, terminer ici peut-être par deux remarques. La première, comme je l'ai dit au début et je ne crois pas l'avoir fait depuis que j'ai pris mes fonctions depuis un an et demi, témoigner ici devant votre commission de mon constat de l'engagement des agents de l'ensemble du SGDSN, de leur professionnalisme, de leur dévouement nuit et jour, de leur capacité à être sur la brèche.
Et on le fait très souvent pour nos amis des armées, pour nos amis des services de sécurité. Dans la période qui est la nôtre, qui est dure, qui est compliquée, ils sont là, ils sont au rendez-vous avec le professionnalisme et l'engagement qui est le leur et avec la diversité des profils qui est le leur. Je voudrais ici devant vous leur rendre hommage et le faire évidemment aux deux patrons de deux des services qui sont avec moi aujourd'hui, à l'ensemble de leurs équipes qui ont été éprouvées dans les semaines qui viennent du côté de cyber comme du côté des ingérences numériques étrangères. Mais vous dire que les équipes sont là, elles résistent, elles ont le sens de la mission et elles sont engagées au profit de notre sécurité nationale avec toute la diversité des statuts qui sont les leurs et qui font la richesse du SGDSN que je constate tous les jours. Et donc permettez-moi ici publiquement de leur adresser mes remerciements chaleureux parce que évidemment la période que nous vivons est une période dure mais pour nous au SGDSN c'est pour cela que nous avons été construits, organisés, c'est pour ça que la nation nous confie des moyens.
Et nous continuerons d'être aussi bien que nous le pouvons et avec toute la capacité dont nous sommes capables être au rendez-vous des menaces de la sécurité nationale. La deuxième remarque que je voudrais faire est plus de substance et ici je pense que nous devons être attentifs dans la période qui vient à la rigueur des analyses, des concepts et de l'utilisation des mots.
Nous avons beaucoup utilisé le terme d'attaque hybride. Vous savez, je l'ai déjà dit dans cette commission, les doutes que nous pouvons avoir certains d'entre nous sur la notion elle-même. Elle a pour autant une valeur opératoire dans ce qu'elle décrit un certain nombre de menaces concrètes, opérationnelles, très matérielles, qui visent à casser la continuité de la vie de la nation et qui visent à décrire ce que sont des stratégies adverses d'acteurs étatiques ou non étatiques étrangers qui visent à perturber la continuité de la vie de la nation depuis l'étranger. Mais évidemment, tout ce qui se passe sur notre territoire national ne relève pas nécessairement d'une intention stratégique de nos adversaires. Et donc nous devons faire attention à ne pas tout regrouper dans le vocable d'attaque hybride, d'attaque hybride étrangère.
Et nous au SGDSN, notre travail et notre périmètre, c'est celui de la sécurité nationale interprétée comme la préparation du territoire national au scénario central de la revue nationale stratégique. Autrement dit, et pour le dire, il y a parfois une tentation de faire intégrer et d'embarquer dans le périmètre du SGDSN la totalité des politiques publiques. Nous avons un champ spécifique qui est défini dans le code de la défense, qui est défini dans le code de la sécurité intérieure. Nous nous attachons à mettre en place l'ensemble de nos responsabilités et croyez-moi, nous y sommes attachés nuit et jour. Mais qui trop embrasse mal étreint.
Notre champ est celui de la sécurité nationale.
Cédric Perrin
Merci Monsieur le Secrétaire général pour ces propos liminaires mais particulièrement complets. Juste peut-être pour rebondir sur ce que vous venez de dire à l'instant et je l'ai fait tout à l'heure dans mon propos liminaire, saluer évidemment la présence de Vincent Strubel et de Madame Dhiver pendant la période d'intérim. On vit quand même dans un pays où dans un système qui manque totalement de cohérence puisque je me peux me permettre de le dire puisque je ne suis pas technocrate comme vous le disiez et pourtant ça n'a pas forcément une valeur péjorative dans votre bouche évidemment. Celles et ceux qui ont beaucoup critiqué l'ANSSI, celles et ceux qui ont beaucoup critiqué Viginum sont malheureusement les mêmes qui ont contribué à la baisse des budgets il y a quelques mois. Voilà.
Et donc je crois qu'il faut aussi le rappeler puisque la seule enceinte nationale qui s'est mobilisée pour sauver les budgets de l'ANSSI et de Viginum, c'est le Sénat. Et c'est la commission des affaires étrangères et de la défense ici présente. Je rappelle que dans le cadre du budget 2026, le Premier ministre avait annoncé une baisse de 40 millions d'euros du budget de l'ANSSI et de Viginum au moment où les attaques cyber n'avaient jamais été aussi nombreuses et où la lutte informationnelle était un sujet majeur. Et donc celles et ceux qui aujourd'hui critiquent vertement ces institutions seraient bien inspirés de réfléchir à ce qu'elles ont fait il y a quelques années puisqu'aujourd'hui on essaie de rattraper le retard qu'ils nous ont fait perdre en baissant drastiquement les budgets. Voilà.
On a un certain nombre de questions. On va essayer d'avancer assez rapidement. D'abord les rapporteurs pour avis du 129, donc Olivier Cadic et ensuite Frédéric Buval. Donc je laisse la parole dans l'ordre que vous souhaitez, peut-être d'abord Olivier.
Olivier Cadic
Merci Monsieur le Président. Monsieur le Secrétaire général, depuis 10 ans que la commission m'a confié le suivi des crédits du programme 129, j'ai accompagné la montée en puissance de l'ANSSI dans la lutte contre les menaces cyber. J'en ai salué les succès, notamment lors des Jeux Olympiques de 2024, mais j'ai aussi soulevé des interrogations sur son articulation avec le GIP ACYMA chargé de cybermalveillance et les centres de réponse aux crises cyber en région. Avec mon collègue co-rapporteur Mickaël Vallet avant le renouvellement sénatorial, nous avions alerté sur le fait que le réseau de cybersurveillance de l'ANSSI ne couvrait pas tous les ministères.
L'actualité de cet été a mis en pleine lumière les défaillances de l'État dans la protection de ses applications les plus sensibles. Entre juin et août, le système d'information de la Direction générale des finances publiques a subi trois intrusions successives majeures par usurpation d'identifiants légitimes. Aucune faille logicielle complexe n'a été exploitée. L'attaque a touché 678 000 comptes au total, compromettant les données de particuliers et de professionnels. Cela s'ajoute à l'attaque de l'URSSAF en janvier, affectant les données de 12 millions de salariés.
Au vol et à la publication sur le dark web de 2,1 millions de dossiers de ressortissants étrangers détenus par l'Office français de l'immigration et de l'intégration. Et à la compromission de données, passeports, cartes d'identité, cartes grises, dans les systèmes de l'Agence nationale des titres de sécurité. Sans compter l'an dernier les intrusions dans les systèmes du ministère de l'Intérieur. Cela pose plusieurs questions. Quelles sont les responsabilités respectives de l'ANSSI et des ministères concernés dans ces failles de sécurité ?
Au-delà des excuses du ministre des Comptes publics, quels sont les résultats des enquêtes sur les défaillances et les responsabilités ? Après un tel fiasco, comment accepter zéro responsable, zéro démission ? Un article du Canard enchaîné a révélé que l'ANSSI elle-même avait été attaquée début août. Les victimes ont-elles été notifiées ? Pourquoi n'y a-t-il pas eu de transparence sur cet événement ?
Avez-vous porté plainte ? La CNIL a-t-elle été saisie dans les délais ? Quels enseignements tirez-vous de ces séquences ? À mon sens, elles ne sont pas liées au retard de la transposition de NIS 2. Ces services de l'État, opérateurs d'importance vitale, sont déjà sous le contrôle de l'ANSSI.
Le référentiel général de sécurité et la politique de sécurité des systèmes d'information de l'État imposent depuis plus de dix ans des mesures de sécurité numérique aux administrations centrales. Les fuites récurrentes montrent que ces textes ne sont ni appliqués ni contrôlés. Monsieur le Secrétaire général, il paraît inadmissible qu'aucun directeur ne soit sanctionné tant au niveau des ministères qu'au niveau de l'ANSSI. Avec quelle crédibilité l'État peut-il envisager d'imposer de nouvelles règles et des sanctions aux acteurs privés dans le cadre de NIS 2 lorsqu'il ne fait pas respecter ses propres règles ? Le 12 octobre, le CERT-FR a publié une alerte sur les vulnérabilités des systèmes de régulation du fabricant danois Danfoss.
C'était le lendemain de l'attaque qui a rompu la chaîne du froid de plusieurs dizaines de supermarchés. Danfoss avait pourtant publié ses vulnérabilités dès 2023, puis en mars et en août 2025. Une alerte après l'attaque pour des vulnérabilités connues depuis des années, je vous le demande, à quoi sert aujourd'hui le CERT-FR ? Par ailleurs, l'agence a lancé un portail Mes services cyber destiné aux entreprises et aux collectivités qui se positionne en concurrence du 17 cyber et de Cybermalveillance dont c'est la mission. Pourquoi ?
Enfin concernant VIGINUM, j'ai bien noté que le service avait identifié quatre actions d'ingérence étrangère lors de la campagne des municipales, mais mesurez-vous les effets de ces ingérences, comment expliquez-vous que certains candidats voient leur notoriété démultipliée par TikTok ? Je passe la parole à mon collègue rapporteur Frédéric Buval.
Cédric Perrin
C'est moi qui passe la parole, ce sera donc à Frédéric Buval et ensuite vous aurez une réponse pour les deux rapporteurs s'il vous plaît, merci.
Frédéric Buval
Merci Monsieur le Président de me passer la parole. Monsieur le Secrétaire général, la commission m'a confié la charge de co-rapporter avec mon collègue Olivier Cadic le programme 129 et je m'en réjouis car en tant que sénateur de la Martinique, je souhaite plus particulièrement m'intéresser au sort des outre-mer dans la coordination interministérielle du travail gouvernemental dont je comprends que le SGDSN est la tête de réseau. Disposez-vous dans votre organisation de services spécifiquement compétents sur les questions ultramarines de défense et de sécurité nationale ? J'ai en mémoire la carte de l'Amérique du Nord publiée par le président Trump qui recouvre du drapeau américain aussi bien le Canada, le Mexique que Saint-Pierre-et-Miquelon et les Antilles françaises.
Cette provocation participe de phénomènes d'ingérence étrangère hostile de la part d'un pays allié. Cela s'ajoute à l'activisme de l'Azerbaïdjan sur la Nouvelle-Calédonie ou la Russie sur Mayotte. Comment vos services traitent-ils la désinformation qui vise les populations dans les pays et départements d'outre-mer ? Plus largement, je voudrais souligner la vulnérabilité propre aux territoires insulaires face aux phénomènes climatiques, aux risques de cybersécurité sur les services publics tels que les hôpitaux, l'énergie, l'eau ou les approvisionnements. Comment sont-ils abordés du point de vue de la résilience ?
Sur la cybersécurité ultramarine, qui est compétent et qui faut-il appeler ? Est-ce le délégué territorial de l'ANSSI, un centre de réponse cyber, le 17 cyber ou cybermalveillance ou une entreprise désignée par l'ANSSI pour le renforcement de l'accompagnement local aux enjeux de cybersécurité ? Enfin, à six mois de l'élection présidentielle, quel dispositif allez-vous mettre en œuvre pour protéger le débat public des ingérences étrangères ? Je vous remercie.
Cédric Perrin
Merci monsieur Buval. J'appelle chacune et chacun à la concision, je suis intervenu tout à l'heure pour Olivier mais j'ai seize demandes de prise de parole et on a encore une quarantaine de minutes donc si on veut que tout le monde puisse s'exprimer une fois que les rapporteurs pour avis se seront exprimés, j'invite chacune et chacun à prendre en compte la règle de cette commission qui veut qu'on pose une question sur une minute. Merci beaucoup. Monsieur le secrétaire général, la parole est à vous.
Nicolas Roche
Merci beaucoup monsieur le président, messieurs les sénateurs. Peut-être on va faire ça à deux voix. Je vais répondre en partie et je laisserai Vincent Strubel revenir sur un certain nombre de questions qui sont tout à fait légitimes sur je pense et qui sont aussi l'occasion monsieur le sénateur de rappeler le modèle de cybersécurité qui a été établi maintenant depuis plus de quinze ans et qui repose sur une répartition des responsabilités assez claire que je trouve on a parfois tendance à oublier. Et je ne sais pas si cet oubli est volontaire ou involontaire mais en tout cas il permettra au directeur général de l'ANSSI de rappeler comment est organisé notre dispositif de cybersécurité national entre l'ANSSI, les ministères responsables des services des systèmes d'information qui sont les leurs et le privé puisque là aussi je constate parfois un peu de schizophrénie si vous me passez l'expression entre le fait d'être responsable de ses propres systèmes d'information et le fait d'appeler systématiquement l'ANSSI dès qu'il y a un problème. Pour dire les choses ici, l'ANSSI n'a pas pour mission et n'aura pas pour mission d'aller réparer tous les frigos de France et de Navarre.
Mais je pense que le directeur général reviendra plus précisément sur cette question-là de la répartition des responsabilités qui permet de rappeler comment on a organisé les choses et après il peut y avoir des évolutions de notre modèle et de notre dispositif de cybersécurité qui a été remarquablement stable depuis l'année 2008 et l'année 2009. Peut-être un point spécifique que je voudrais faire ici pour répondre plus directement sur la question des outre-mer qui est une une question tout à fait légitime et vous avez raison monsieur le sénateur, j'aurais dû mentionner dans mes propos introductifs à quel point l'outre-mer et l'ensemble des problématiques ultramarines sont centrales dans notre réflexion sur le durcissement du territoire national face aux menaces qui pèsent sur notre sécurité nationale.
Pour le résumer d'une phrase, ce que nous avons constaté, c'est que les outre-mer sont surexposés à un certain nombre de menaces et souvent sous-préparés au durcissement qui est devant nous. Vous avez parfaitement, Monsieur le Sénateur, mis le doigt sur un certain nombre de ces éléments. Je voudrais insister en particulier sur la question des ingérences numériques étrangères. Nous avons rendu public, grâce au travail technique de détection de Viginum, un certain nombre d'agressions, d'attaques d'informations, d'ingérences numériques étrangères qui ont visé un certain nombre de nos outre-mer, dans le Pacifique, à la Réunion en particulier. Et c'est un rapport qui a été rendu public d'un groupe qu'on appelle le BIG, qui est originaire d'Azerbaïdjan et qui a montré une vulnérabilité spécifique des outre-mer, ou en tout cas une exposition spécifique à la menace d'ingérence numérique étrangère.
Un certain nombre d'actions de Viginum sont spécifiquement destinées aux territoires outre-mer et en particulier à l'ensemble des préfets et des hauts-commissaires pour les doter des capacités, des compétences, de l'expertise qui leur permettent au plus près du terrain et en pleine conscience des spécificités de chacun de nos territoires ultramarins d'organiser la détection et surtout la protection de l'ensemble du débat numérique. Et donc Viginum, là aussi, est à la manœuvre pour durcir tant qu'on le peut ces territoires. C'est la même chose dans le domaine de la résilience et sur la partie cyber. Et donc à chaque fois, d'ailleurs on l'a dit dans la revue nationale stratégique, mais dans le plan de défense et de sécurité nationale, la question ultramarine est toujours au cœur de nos préoccupations. Et en termes d'organisation, il y a à l'intérieur du SGDSN une direction qui s'appelle Protection et Sécurité de l'État, PSE, qui a à sa tête un préfet qui par ailleurs a une compétence tout à fait spécifique dans le domaine des outre-mer de par son parcours et qui est au contact quotidien avec le haut fonctionnaire de défense et de sécurité qui au sein du ministère de l'Intérieur a la responsabilité aussi de la mise en œuvre opérationnelle de notre politique de défense et de sécurité nationale visant spécifiquement les outre-mer.
Donc le dispositif administratif est en place, mais on a un gros travail à faire de durcissement de nos outre-mer pour les adapter à la menace de sécurité nationale que j'ai décrite initialement. Peut-être si vous êtes d'accord, Monsieur le Président, je passe la parole à Vincent Strubel.
Vincent Strubel
Bien, peut-être pour revenir en premier lieu sur l'évolution du paysage de la menace, comme l'a souligné le Secrétaire général, nous avons deux évolutions majeures à l'œuvre aujourd'hui. Premièrement, celle qui est la plus visible, qui est le vol de données, qui est l'apparition, alors qui est pas totalement nouvelle, mais qui est une évolution à la fois du crime organisé qui bascule vers ça avec un certain nombre de grands groupes, ShinyHunters et cetera, qui font de l'extorsion, qui le faisaient hier à travers des rançongiciels, c'est-à-dire la paralysie, qui le font aujourd'hui à travers l'extorsion de rançons contre la non-publication de données volées. Ces groupes-là ciblent peu l'État, ils s'en prennent essentiellement au privé. S'y ajoute aujourd'hui une dimension endogène, celle des jeunes Français qu'on a vus à l'œuvre contre l'État, qui est motivée essentiellement par des enjeux réputationnels. Ces jeunes ne gagnent pas d'argent ou très peu avec ces vols de données.
Ils pratient un modus operandi qui est nouveau, qui nous prend parfois au dépourvu, qui n'est pas celui contre lequel ont été forcément pensés tous les systèmes de défense. Et ça vaut tant pour l'État que pour le secteur privé. Je dis ça non pas pour dédouaner l'État, mais pour rappeler que cette menace est persistante sur l'ensemble du périmètre des activités publiques-privées. Il s'agit surtout pas, je voudrais surtout éviter qu'on s'imagine que ce problème est limité à l'État et que le secteur privé s'en désintéresse parce qu'il est aussi très fortement concerné. Pour donner quelques chiffres là-dessus, nous publions depuis, nous avons publié dans l'effort de transparence qui nous est demandé par le Premier ministre depuis la rentrée, des statistiques et des incidents détaillés.
Nous avons, pour actualiser un tout petit peu les informations qui ont été publiées au début début octobre, traité depuis le 1er août 165 violations de données notifiées à l'ANSSI. C'est pas l'exhaustivité de ce qui s'est passé en France. Ça concerne tant le secteur privé que le secteur public. 97 sont confirmées. Donc je constate encore, même si j'ai été fortement critiqué pour l'avoir souligné par le passé, il s'agit absolument pas de limiter ou de minimiser la menace.
Ça n'a pas plus de sens pour un directeur général de l'ANSSI de minimiser la menace que pour un directeur des pompiers de dire que les incendies c'est pas grave et qu'il faut pas s'en préoccuper. Je constate qu'il y a toujours une part de de bluff parfois. Donc dans les 165 violations de données que nous avons traitées, il y en a 97 qui sont confirmées. Quand je dis ça, ça veut dire que nous avons travaillé 165 fois. Une fausse attaque ou une vraie attaque donne absolument autant de travail aux équipes cyber de l'ANSSI, des ministères, des entreprises privées dans leur investigation.
Là encore pour fixer les idées, dans ces 97 confirmées, il y en a moins du quart qui concerne l'État. Les violations de données, c'est aussi le secteur privé et c'est aussi l'ensemble du du tissu économique et social, des collectivités, des associations, des fédérations, tout ça. Donc on est sur un fléau qui par ailleurs, je veux aussi lever ce cette perception qui est parfois biaisée, n'est pas un phénomène franco-français. Nos partenaires européens font les mêmes constats. Le Danemark a vu l'exfiltration il y a deux trois semaines de des données d'état civil de 150 % de sa population, c'est-à-dire les vivants mais aussi les morts.
Voilà pour le dire crûment. Donc la Pologne a fait l'objet de d'attaques similaires, les pays baltes, l'Allemagne et cetera. Donc on est quand même dans un phénomène qui est une évolution globale même si elle se fait à un rythme différent et si comme souvent la France est peut-être a peut-être été le canari dans la mine qui se prend le premier le coup de grisou. Pour venir sur les sur vos questions plus spécifiques, Monsieur Monsieur Cadiic, l'article du Canard enchaîné n'a pas révélé une cyberattaque contre l'ANSSI. C'est nous qui l'avons révélée à travers notre point de situation réactive publié début octobre.
Nous avons choisi de la révéler dans cet effort de transparence. Il est enten il est bien entendu que la transparence elle s'applique en premier lieu à soi-même. Pour revenir sur l'attaque elle-même, elle s'est déroulée le 8 le 8 août dans la traînée de d'exploitation d'une vulnérabilité dans l'outil Metabase qui a concerné une dizaine d'administrations dont le ministère de la transition écologique, dont la DINUM, dont l'ANSSI. L'attaque que nous avons subie nous n'était pas grave. Elle a concerné non pas les systèmes d'information de l'ANSSI mais un système de développement externalisé.
Donc il est nous sous-traitons son hébergement, nous sous-traitons sa maintenance applicative. Nous l'avons détectée le 10 août parce que c'est un système qui n'était pas supervisé H24 7 jours sur 7 étant non critique. C'est un système qui nous permet de développer un certain nombre de nos outils. Elle a conduit à l'exfiltration des adresses e-mail d'agents de l'ANSSI et de 30 partenaires extérieurs qui sont des agents notamment des gendarmes ou des des agents des collectivités qui contribuent à au codéveloppement ou à la mise en œuvre conjointe de cet outil. Ils ont tous été notifiés.
Nous avons notifié la CNIL qui nous a confirmé qu'il n'y avait pas lieu au demeurant de faire cette notification mais nous l'avons fait par principe et nous avons porté plainte. Donc voilà. Mais c'est une attaque parmi d'autres et c'est une attaque que nous avons choisi de révéler au titre de cet effort de transparence qui nous a vu publier un point de situation au début août début octobre pardon concernant l'ensemble des services de l'État. Et cet effort de transparence évidemment se limite aux services de l'État. Nous n'allons pas révéler les attaques que des entreprises nous ont notifiées.
Nous nous efforçons de rete de rester dans une logique de secret médical ou de son équivalent. Sur la sur la DGFiP, nous avons fait ce même travail de transparence, publié fin de fin septembre un une analyse détaillée. Analyse conduite sous l'angle des missions de l'ANSSI, c'est-à-dire comprendre le phénomène technique, qu'est-ce qui s'est passé, quelles sont les défaillances. Il y en a eu un certain nombre. C'était pas une attaque sophistiquée.
C'est une attaque que que j'ai décrite comme persistante parce que ça s'est passé pendant trois mois avec la mobilisation d'une trentaine de comptes compromis.
Donc nous avons fait cet état des lieux que j'assimile au travail que fait le bureau enquête et analyse suite à un incident dans l'aéronautique. On récupère les boîtes noires, on comprend ce qui s'est passé, on en tire les leçons pour éviter que ça se reproduise. Il ne nous appartient pas à nous de définir les responsabilités individuelles, ça c'est un autre travail. Il n'est pas exclusif, c'est pas les mêmes entités qui le mènent et il ne faut pas confondre. Là encore, c'est un ce qui transparaît dans ce rapport d'analyse, c'est des défaillances techniques, des défauts de sécurisation qui sont ceux qu'on retrouve partout ailleurs.
C'est pas propre à la DGFIP, mais c'est une réalité malheureusement qui est assez universelle et qu'il nous faut contrer. Pour l'État, le principal vecteur pour faire ça, c'est la feuille de route décidée, validée et rendue publique par le Premier ministre à la fin du mois d'avril suite à l'attaque de l'ANTS. Donc c'est ça qui concentre nos efforts aujourd'hui, en plus du travail supplémentaire de gestion opérationnelle et de réactivité pour bloquer plus vite les attaques, qui est celui mis en place depuis la rentrée avec une bascule d'effort. Le secrétaire général mentionnait le fait que nous ajustions en permanence nos priorités, ben nous avons ajusté notre priorité pour mettre plus de monde sur cette menace-là et moins potentiellement sur d'autres menaces. Pour finir sur l'affaire des frigos, petite précision, l'alerte qui a été publiée par l'ANSSI le 12 octobre et renouvelée le 13 octobre pour l'étendre à d'autres éléments, ne signalait pas une vulnérabilité spécifique.
Ce n'est pas le but d'une alerte de l'ANSSI, c'est de signaler une campagne d'attaque en cours. Nous le faisons une vingtaine de fois par an pour signaler des mesures urgentes qui doivent être prises par l'ensemble de l'écosystème en réaction à une attaque en cours. La vulnérabilité spécifique qui a été employée pour mener cette attaque, il faut être très prudent. J'ai vu circuler, mais là encore ça renvoie à cet enjeu de rigueur et d'objectivité dans la description des choses, j'ai vu circuler différentes analyses tierces disant : "Moi je sais que c'est l'attaque la CVE 2025 quelque chose ou 2026 quelque chose", c'est-à-dire des vulnérabilités rendues publiques par différents chercheurs en cybersécurité au cours des deux années précédentes. Notre analyse aujourd'hui est que ce ne sont pas ces vulnérabilités-là qui ont été exploitées.
Ce sont des défauts de sécurisation élémentaires, à commencer par l'exposition directe sur Internet d'équipements frigorifiques et leur administration sans sécurisation particulière, des mots de passe faibles, ce genre de choses. Donc des là encore des menaces enfin des vulnérabilités assez classiques dont je ne peux m'empêcher de signaler qu'elles font l'objet de recommandations depuis 2014. Depuis 2014, l'ANSSI publie et met à jour un guide sur la sécurisation des systèmes industriels dont la première recommandation est de ne pas les exposer directement sur Internet. Mais à l'évidence, nos recommandations ne sont pas systématiquement respectées. Ce qui est l'occasion pour moi de rappeler, comme vous l'avez appelé de vos vœux Monsieur le Secrétaire général, la répartition des responsabilités.
L'ANSSI ne va pas contraindre, n'a pas de pouvoir aujourd'hui de contrainte des supermarchés dans le déploiement de leurs frigos. Nous édictons des règles, nous édictons des recommandations. Nous édictons aussi ou publions des alertes quand il y a une attaque, mais à chacun ensuite d'appliquer ces règles, de respecter les alertes, de prendre en compte les mesures d'urgence. Pour le dire à l'échelle de l'État, l'ANSSI édicte des règles, les ministères homologuent leurs systèmes d'information et font l'état des lieux des vulnérabilités résiduelles, décident de mettre en service des systèmes d'information, peuvent faire appel à l'ANSSI si besoin pour auditer, tester la sécurité des systèmes d'information qu'ils mettent en œuvre, mais sont responsables de leur mise en œuvre. Et à plus forte raison dans le secteur privé, hors cadre réglementaire très spécifique des opérateurs d'importance vitale qui concernent 300 environ entreprises et un petit millier de systèmes d'information au sein de ces entreprises.
Ce ne sont pas l'ensemble des systèmes d'information, nous n'avons pas de pouvoir de contrôle aujourd'hui et la responsabilité fondamentale d'une entreprise, c'est de déployer ses systèmes de manière sécurisée en appliquant ou pas les règles de l'ANSSI, mais en faisant en sorte qu'ils soient sécurisés. Voilà.
Merci beaucoup.
Cédric Perrin
Je vous ai laissé développer mais vous aurez compris que le temps nous est compté. Je vais laisser la parole à Hugues Saury pour les deux rapporteurs de la mission d'information sur la commission sur la résilience rapidement. Ensuite une réponse et puis je passerai à des séries de cinq questions pour qu'on essaie d'avancer rapidement. Merci.
Hugues Saury
Merci Monsieur le Président. Monsieur le Secrétaire général, Marie-Arlette Carlotti et moi-même travaillons sur un rapport consacré à la résilience et à la défense opérationnelle du territoire et dans ce cadre nous avons eu l'occasion d'auditionner Monsieur Xavier Brunetière donc pour mes collègues directeur de la protection et de la sécurité de l'État au SGDSN ainsi que des associations d'élus et de nombreux acteurs de la société civile. Le constat à ce stade qui s'impose à nous est que les élus et la population ne se sentent pas suffisamment informés des enjeux liés à la résilience et à la préparation de crise et encore moins associés à cette préparation. Le guide tous responsable a une diffusion confidentielle et récemment la journée de résilience qui a eu lieu donc le 13 octobre a eu un impact médiatique très restreint. Ne serait-il pas important que le SGDSN communique davantage autour des travaux menés au sein de l'administration sur ce sujet qu'il s'agisse de l'exercice Orion dont vous avez dit un mot, Orion 2026, des stades de défense ou de la stratégie nationale de résilience.
Le SNR ne mériterait-elle pas la SNR ne mériterait-elle pas d'être publiée ou à minima d'être communiquée aux parlementaires. Et par ailleurs on voit que de nombreux pays européens sont engagés dans un ensemble d'actions visant à associer étroitement la population à ces sujets ne serait-il pas utile de nous en inspirer. Je vous remercie. Oui je pose la question de Marie-Arlette ou pas.
Si ça dure 10 secondes ça va.
Hugues Saury
Ça va durer 10 secondes. Donc il y a eu une expérimentation qui a été menée en 2025 dans la zone de défense Ouest consistant à faire assurer la surveillance des points d'importance vitale par des réservistes. Est-ce que vous pouvez nous donner le bilan de cette de cette expérience. Je vous remercie.
Nicolas Roche
Je vous en prie. Donc très rapidement Monsieur le Président, je partage intégralement vos remarques et votre frustration si je puis le dire. Et donc tout ce que vous dites sur le besoin de communication nous le partageons au SGDSN intégralement. Mon constat c'est que dans l'année qui vient de s'écouler nous avons beaucoup publié et nous avons beaucoup communiqué. J'ai passé beaucoup de temps dans des déplacements en région pour aller au-delà de notre public habituel, faire des conférences y compris publiques, sensibiliser des maires, sensibiliser les préfets.
Nous avons pris contact avec l'ensemble des entreprises avec les représentants du MEDEF, avec les syndicats. Et donc nous avons entièrement partagé votre constat qui consiste à faire sortir les sujets de sécurité nationale et de résilience du petit périmètre des seuls acteurs de l'État central qui ont cette responsabilité directe pour les raisons exactes que vous définissez c'est-à-dire que nous ne serons pas au rendez-vous de la résilience et de la sécurité nationale si nous ne sommes pas capables d'embarquer l'intégralité de la société civile et in fine chacun des de nos compatriotes. Ce que je constate c'est que c'est une œuvre difficile cette œuvre de sensibilisation. Nous avons publié le 8 juillet deux documents complets qui font le point sur l'intégralité des décisions prises par le gouvernement sur le comité interministériel de la résilience nationale et la publication d'un petit mémento sur la défense et la sécurité nationale. Vous l'avez dit Monsieur le Sénateur nous avons publié le guide tous responsable.
Nous en faisons la promotion partout où je vais. Mais je dirais qu'aujourd'hui nous avons besoin de vous pour faire en sorte que notre voix soit davantage entendue. Je constate malheureusement que dans bien des cas nous commençons à préparer collectivement à partir du moment où nous avons vécu la crise. Notre enjeu comme vous le dites c'est d'arriver à communiquer de façon suffisamment large, précise, technique, non anxiogène sur la préparation et il y a énormément de choses qui nous rendent optimistes sur la préparation et le durcissement du territoire national et je ne peux que partager votre volonté votre souci de communication croissante. Nous nous y employons avec les moyens qui sont les nôtres.
Nous avons besoin de relais et en particulier dans les territoires.
Nous avons effectivement, vous l'avez dit dans le cadre d'Orion 26, pris le parti de faire des expérimentations territorialisées, locales. C'est vrai en particulier pour les réserves. Et nous sommes en train de, à partir de ces expériences, en particulier pour la zone Ouest sur la question de la dynamisation et de la sincérisation des réserves, de répliquer ce modèle-là dans notre dispositif de gouvernance et de pilotage des réserves sur toute la France. De la même façon, nous avons demandé avec le ministre de l'Intérieur à ce que l'ensemble des préfets de zone puissent organiser des exercices de sécurité nationale dans les semaines et les mois qui viennent. Le ministre de l'Intérieur d'ailleurs a communiqué publiquement après le comité des préfets de zone sur le sujet.
Et à partir de ces exercices-là, il y a une mutualisation des bonnes pratiques entre les différentes zones de défense qui est au cœur de nos activités en ce moment.
Cédric Perrin
Merci beaucoup. On passe maintenant à la série des questions une minute, une question. Et donc une série de cinq et je commence avec Ludovic Haye.
Ludovic Haye
Merci Monsieur le Président. Monsieur le Secrétaire général, Mesdames et Messieurs directeurs et directrices, mes chers collègues, vous le savez comme moi, la résolution de problèmes sécuritaires sur le territoire national passe aussi par l'anticipation de ce qui se passe au-delà de nos frontières. Et bien que la causalité en matière d'ingérence ne soit pas officiellement établie, les violences commises en France ce week-end par certains groupes se réclamant de la mouvance des Black Blocs constituent un défi récurrent pour nos forces de l'ordre. Au-delà de la gestion de ces violences sur le terrain, la question de leur prévention et de la préparation de l'État se pose. Nous devons mieux détecter les prémices d'actions violentes et mieux comprendre les réseaux qui se forment afin de mieux identifier les individus en amont de leurs exactions.
Les nouvelles technologies, vous le savez comme moi, même mieux que moi, offrent aujourd'hui les capacités considérables en matière d'analyse de données, d'utilisation d'intelligence artificielle, vous l'avez dit Monsieur le Secrétaire général, avec l'utilisation de nouveaux modèles et je m'en réjouis, de détection des signaux faibles et d'exploitation de renseignements numériques. Elles pourraient notamment permettre d'analyser les communications accessibles, de mieux cartographier les réseaux de coordination et ce dans le cadre légal applicable, peut-être trop restreint mais nous sommes là pour y travailler, de mieux exploiter les informations ou la désinformation parfois issue de moyens de surveillance et de renseignement. Ma question s'adresse donc conjointement à vos trois entités. Quels sont aujourd'hui les moyens technologiques et opérationnels dont dispose l'État pour agir à la source de ces phénomènes, en particulier pour mieux anticiper les actions violentes organisées sur les réseaux sociaux et les canaux de communication ? Dans un second temps, quels sont les obstacles techniques, juridiques et organisationnels qui limitent aujourd'hui l'utilisation de ces capacités ?
Je vous remercie.
Roger Karoutchi
Oh moi ce sera très bref. Monsieur le Secrétaire général, le ministère de l'Intérieur dès lundi a affirmé que les événements de ce week-end avaient été en partie liés à des interférences de l'Iran, de l'Algérie et de la Russie. Est-ce que vous confirmez ce fait et qu'est-ce que vous avez fait pour contrecarrer ces interférences ?
Merci. Hélène Conway-Mouret.
Hélène Conway-Mouret
Oui merci Président. Je vous emmène un petit peu à l'étranger. La stratégie nationale de lutte contre les manipulations de l'information 2026-2030 prévoit l'intégration du réseau diplomatique et militaire au dispositif de veille, de détection pardon et de caractérisation des ingérences numériques étrangères. Donc j'aimerais savoir comment cette coopération s'est traduite avec nos ambassades, notamment dans les pays où la France est particulièrement exposée à des campagnes de désinformation et comment nous pouvons protéger nos communautés françaises ciblées par ces campagnes. Et un point sur les élections consulaires qui ont eu lieu en mai 2026.
Nous avions un travail assez conséquent avec la DFAE quant aux difficultés d'authentification et de réception des codes de vote en ligne qui a été réalisé.
Mais par contre, nous n'avons aucune information au-delà des dysfonctionnements techniques de tentatives de cyberattaques, d'intrusion ou de manipulation susceptibles d'affecter la disponibilité ou l'intégrité du scrutin. Alors est-ce que vous avez eu des tentatives d'attaques et si c'est le cas, que mettez-vous en place pour les élections législatives de 2027 puisque vous savez qu'à l'étranger 85 % des Français votent par internet ? Merci.
Guillaume Chevrollier
Merci Monsieur le Président. Monsieur le Secrétaire général, dans le contexte de guerre hybride et de conflit informationnel, vous l'avez dit, la défense c'est pas uniquement une affaire de professionnels, il faut de l'engagement. Vous avez parlé des différentes réserves. Nous représentons les élus locaux, donc quelle place les élus locaux doivent avoir selon vous dans la sécurité nationale ? Et deuxième question s'agissant de Viginum, est-ce que vous avez les moyens d'agir auprès des plateformes et quels moyens vous manquent-ils en la matière ?
Loïc Kervran
Merci Monsieur le Président. Monsieur le Secrétaire général, Madame les directrices, Monsieur le directeur, je voulais vous interroger sur un principe qui est très clair en droit mais qui est pourtant assez massivement ignoré en pratique, qui est celui de la minimisation des données. Donc ce principe qui veut qu'une administration, une collectivité ne demande et ne conserve que la donnée dont elle a réellement besoin. Et ce que je voudrais savoir si c'est un volet, et c'est sans doute plutôt pour le directeur de l'ANSSI, de l'analyse que vous faites a posteriori des attaques qui ont eu lieu. Est-ce que ce principe a été respecté, est-ce que les règles du droit ont été respectées et est-ce qu'éventuellement vous faites des signalements au titre par exemple de l'article 40 lorsque vous voyez que les principes de droit sur ce point particulier, moi je pense à l'attaque de Pôle emploi où il y a des données qui dataient de plus de 20 ans qui ont été exposées, si vous faites des signalements lorsque ces principes de droit ne sont pas respectés.
Je vous laisse pour la parole.
Nicolas Roche
On va répondre si vous en êtes d'accord Monsieur le Président à trois voix. Peut-être juste deux ou trois précisions de mon point de vue avant de demander à Anne-Sophie Dhiver de répondre plus précisément. La première chose, je le redis ici, tout ce qui se passe sur les réseaux sociaux ou en terme de désinformation ou de manipulation de l'information ne relève pas nécessairement des ingérences numériques étrangères. Une ingérence numérique étrangère est définie en droit par quatre critères dont un critère d'extranéité qui implique des acteurs étrangers étatiques ou non étatiques. Tout ce qui se passe sur nos réseaux sociaux n'est pas consubstantiellement nécessairement une ingérence numérique étrangère.
Et donc l'essentiel des questions que vous nous posez ne relève pas des INE Monsieur le Sénateur. Et donc il y a des questions de régulation des plateformes, de régulation des réseaux sociaux, y compris de la violence en ligne qui occupent les administrations, qui occupent essentiellement d'autres ministères que nous, dont la qui ont le cœur de la compétence là où nous SGDSN nous pouvons avoir un rôle, il est plutôt dans la coordination, c'est-à-dire notre rôle comme vous l'avez dit Monsieur le Président de préparation des conseils restreints de défense et de sécurité nationale, c'est-à-dire de veiller à ce que cette coordination soit faite. La compétence au fond notamment sur la question de la régulation de la violence en ligne relève davantage du ministère de l'Intérieur, du ministère de la Culture et de ces ministères-là. Tout ne encore une fois nous notre mandat dans le champ de la sécurité nationale sur la question des manipulations de l'information, il est défini en droit par les INE et par un critère d'extranéité qui porte effectivement la possibilité enfin qui est la nécessité d'un acteur étatique ou non étatique étranger comme étant à l'origine des manœuvres. Monsieur le Sénateur, pour répondre à votre question, ce que nous constatons d'une manière générale au moment des mouvements sociaux et c'est vrai de tous les mouvements sociaux ou de tous les mouvements qui se passent sur le territoire national et maintenant nous commençons depuis la création de Viginum en 2021 à avoir une expérience assez longue finalement de la façon dont des mouvements d'opinion sur les réseaux sociaux se développent et de l'interaction entre le domestique et le national et l'étranger.
Ce que nous constatons aujourd'hui à date sur l'ensemble encore une fois sur une longue période de ces mouvements, c'est que la principale dynamique, elle est d'abord nationale et endogène. Et c'est donc d'abord quelque chose de national. Là où il y a, et nous le constatons aussi, et les deux morceaux de ma phrase vont en même temps, nous constatons qu'il y a un caractère opportuniste d'un certain nombre d'acteurs de la menace d'ingérence numérique étrangère qui viennent se greffer, se surajouter comme une espèce de sur-crise à un mouvement endogène et national et domestique. Et donc il y a, il y a eu, et je n'ai aucun doute qu'il y aura encore des acteurs de la menace informationnelle étrangère, des acteurs des ingérences numériques étrangères, des modes opératoires informationnels que Viginum documente et suit, qui de façon opportuniste vont chercher à venir surajouter de la polarisation à un débat déjà polarisé dans notre débat numérique. La question qui nous est posée, et elle est très compliquée techniquement à objectiver, elle consiste à savoir mesurer quelle est la part de surajout dans la visibilité ou dans l'impact en termes d'opinion que peut avoir la mobilisation d'infrastructures numériques inauthentiques d'acteurs de la menace étrangère sur un mouvement d'opinion et d'information numérique qui est fondamentalement domestique et national.
Et cette part, ce qu'on voit aujourd'hui d'une manière générale, c'est qu'elle est, j'hésite à mettre un adjectif parce que tout est susceptible d'être interprété, mais ce que nous constatons en général, c'est que ces mouvements-là sont d'abord domestiques avec un surajout qui n'est pas énorme. Mais il y a des tentatives et la question de la mesure de l'impact est très compliquée à faire pour savoir concrètement si vous avez un énorme mouvement national et domestique avec une petite part de surajout opportuniste étranger. C'est plutôt ça qu'on observe aujourd'hui. Mais il y a une forme de mélange et on constate que d'une manière générale, ça me permet de faire un point important dans les stratégies, notamment en période électorale mais pas que, que les acteurs étrangers de la menace informationnelle mettent en œuvre. On pense souvent parce qu'on pense à partir du concept de désinformation au fait que ça va chercher à avantager ou à nuire à un parti ou un candidat.
Ce que nous constatons nous techniquement, c'est que la plupart du temps ce que ça cherche à faire, c'est à polariser, à amplifier la confusion plutôt que, on est plutôt dans le domaine de la confusion et du chaos que dans le domaine de la propagande classique. Et c'est plutôt cette nature opportuniste d'acteurs étrangers qui viennent se greffer et se surajouter à des éléments nationaux et qui sont, qui ont une dynamique profondément domestique. Peut-être dernier point et je laisserai ensuite mes deux collègues compléter. Sur vous posez, Monsieur le Sénateur, la question des élus locaux, je dirais centrale, fondamentale. Je n'ai qu'une conviction, c'est qu'en termes de résilience et de sécurité nationale, nous ne serons pas au rendez-vous du scénario central de la revue nationale stratégique si les seuls à s'occuper de ce scénario central, c'est le SGDSN.
Et donc nous avons besoin de tous les ministères, nous avons besoin de tous les services déconcentrés de l'État et nous avons besoin des collectivités territoriales, nous avons besoin des acteurs et des partenaires sociaux et nous avons besoin in fine des entreprises. Et donc territorialement, je pense que le vrai, le cœur, comme souvent dans notre organisation, c'est le couple préfet-maire qui est au cœur du durcissement du territoire national. Ça fait partie des choses que nous SGDSN nous faisons. On sort un peu de nous-mêmes en cherchant à déclassifier, à communiquer davantage, à aller vers les collectivités territoriales. Mais nous avons besoin de construire un vrai partenariat entre les services de l'État, notamment territoriaux déconcentrés et les collectivités territoriales et je pense en particulier aux maires dans cette construction d'un État plus résilient de notre société face au durcissement des menaces.
Peut-être Anne-Sophie sur quelques sujets, y compris sur la partie informationnelle étrangère et l'articulation avec le Quai d'Orsay.
Anne-Sophie Dhiver
Mesdames et messieurs les sénateurs, donc effectivement dans la stratégie nationale de lutte contre les manipulations de l'information qui a donc été coordonnée par le SGDSN en lien avec de nombreuses entités au sein de l'État, auprès des parlementaires, mais aussi auprès de la société civile, une des priorités est notamment le renforcement des capacités nationales de détection et de caractérisation. Donc en fait nous avons à l'occasion de cette stratégie nationale renforcé nos mécanismes de coopération au niveau interministériel qui existaient largement déjà pour permettre d'avoir une meilleure action en terme de détection, caractérisation, mais aussi d'agir en terme de riposte contre ces acteurs malveillants. Donc aujourd'hui en fait nous avons une intrication étroite avec le Quai d'Orsay pour agir à deux niveaux. Le Quai d'Orsay opère un travail de veille qui intègre notamment des éléments qui vont être issus des postes et des ambassades. Du côté de Viginum, nous menons donc des actions de caractérisation, de détection et de caractérisation des ingérences numériques étrangères qui vont viser donc à caractériser des comportements inauthentiques ainsi que un caractère d'extranéité de ces opérations.
Et en fait cette double action nous permet en fait d'agir collectivement pour imposer un coût à nos adversaires qui vont être par exemple en exposant réputationnellement des acteurs comme nous l'avons fait à plusieurs reprises avec le Quai d'Orsay et en dévoilant des modes opératoires informationnels étrangers qui ont mené des actions dans notre débat public. Ça peut se faire aussi par le biais d'actions diplomatiques qui vont être menées par le Quai d'Orsay. Et enfin ça peut être aussi par le biais de mises sous sanction d'individus ou d'organisations affiliés à des dispositifs étrangers, nous l'avons fait à plusieurs reprises avec le Quai d'Orsay. S'agissant maintenant de la deuxième question sur le sujet des plateformes. En vérité aujourd'hui une tendance majeure de l'évolution de la menace est une intrication étroite et croissante de la menace d'ingérence numérique étrangère avec le modèle même des plateformes en ligne ainsi que les nouveaux usages technologiques qui rendent cette menace de facto systémique.
Pour donner un peu plus de corps à mon propos s'agissant de l'intelligence artificielle. Ce que nous observons c'est que l'intelligence artificielle génère un saut quantitatif et qualitatif majeur des opérations d'ingérence numérique étrangère. Aujourd'hui la plupart des modes opératoires informationnels que nous suivons utilisent largement les outils d'IA générative pour produire du contenu de manière à soutenir leur narratif, que ce soit dans un objectif de mensonge par la création de contenu hyperréaliste, dans un objectif d'amplification avec une publication en masse de contenu à un rythme très rapide sur de nombreuses plateformes et en plusieurs langues, mais aussi dans un objectif de persuasion, et c'est ce que nous observons beaucoup plus que de la création de faux, d'avoir donc des visuels qui vont appuyer un narratif pour appuyer notamment sur une corde émotionnelle par exemple et générer plus d'engagement.
Par ailleurs, l'évolution aussi des usages en matière d'IA crée de nouvelles surfaces d'attaque. Comme Monsieur le Secrétaire général vous l'exposait, nous nous intéressons particulièrement à l'usage des modèles et des chatbots, donc des agents conversationnels d'IA, comme des vecteurs potentiels d'ingérence numérique étrangère via des manipulations en boîte noire, c'est-à-dire par des acteurs externes, ou des manipulations en boîte blanche, c'est-à-dire par des biais inscrits par nature dans les modèles eux-mêmes. La deuxième chose, et c'est une tendance qui est très préoccupante, c'est la croissance des ingérences numériques étrangères à vocation lucrative. Nous l'avons vu dans le cas des municipales, mais c'est un phénomène encore plus massif où nous assistons aujourd'hui à l'émergence d'une économie alternative dans des pays d'Afrique de l'Ouest, d'Asie du Sud-Est, avec de nouveaux acteurs créateurs de contenu dont en fait le modèle économique consiste à diffuser du contenu de manipulation de l'information à destination d'audiences françaises, non pas a priori dans un objectif de déstabilisation, encore qu'on ne peut pas l'exclure, mais en tout cas dans un but qui est principalement lucratif en exploitant notamment les fonctionnalités de monétisation offertes par les plateformes qui cherchent à attirer des créateurs via la viralité et l'engagement. Et donc aujourd'hui, plus largement, ça génère une forme de marchandisation de notre débat public qui est extrêmement préoccupante où finalement la valeur publicitaire prime sur la fiabilité du contenu.
Et ça invite plus largement à questionner aussi la compatibilité du modèle de ces plateformes avec notre modèle de démocratie participative et délibérative. Donc tout ça nous invite à considérer depuis un petit moment maintenant ces plateformes comme des acteurs finalement de cette menace et non pas comme de simples vecteurs. Donc aujourd'hui sur les plateformes nous agissons à trois niveaux. D'une part, nous menons des coopérations techniques avec la plupart d'entre elles puisque nous avons une définition technique de la menace et pouvons leur signaler des comptes inauthentiques notamment. Deuxièmement, nous agissons en terme d'évaluation des risques systémiques.
Nous avons structuré donc un centre d'excellence en intelligence artificielle qui nous permet notamment de mener des évaluations s'agissant notamment des modèles d'IA. Enfin, nous agissons au niveau de la régulation en lien notamment avec l'Arcom pour pouvoir faire respecter cette régulation et renforcer cette régulation. Et donc il y a un travail aussi en cours sur les lignes directrices du DSA en contexte électoral pour pouvoir renforcer justement la responsabilité de ces plateformes face aux enjeux démocratiques à venir.
Vincent Strubel
Peut-être sur les deux questions. Donc sur les élections par internet des Français de l'étranger, c'est un sujet qui est suivi de près, vous le savez, et sur lequel j'ai un peu d'historique puisque j'ai été associé dans mes précédentes fonctions à la décision douloureuse en 2017 de renoncer au vote par internet compte tenu de la vulnérabilité et du niveau de la menace qui ne permettait pas de garantir la sincérité du scrutin. Nous sommes sortis de cette phase de difficulté. Nous avons aujourd'hui un système qui est suivi de très près par l'ANSSI, qui fonctionne bien, qui est sécurisé. Et donc j'étais à vos côtés lors du dépouillement des élections consulaires cette année au titre du bureau de vote électronique.
Nous n'avons pas constaté de tentative d'attaque autre que le seul bruit de fond d'internet habituel et aucune tentative d'attaque n'a connu de succès ou n'a remis en cause le bon déroulement du scrutin. Donc c'est à ce titre-là que tout comme d'autres membres du bureau de vote électronique nous avons conclu à la sincérité du scrutin et au bon déroulement de ce scrutin. Et on peut s'en féliciter. Et c'est le fruit d'un travail de longue haleine au demeurant des équipes du Quai d'Orsay autant que de l'ensemble des participants. Monsieur Kern sur la question de la minimisation des données.
Alors je ne me prononcerai pas en droit à la place de la CNIL qui est l'autorité de contrôle légitime en matière de respect du RGPD en l'occurrence qui s'est saisie de l'ensemble des exemples que vous avez énoncés. Donc c'est à eux et à cette commission indépendante qu'il appartiendra de se prononcer.
Évidemment les agents de l'ANSSI et moi-même sommes tous soumis à l'article 40 du code de procédure pénale et nous le respectons par construction. Sur la minimisation des données quelques éléments quand même évidemment ça fait partie des enjeux et des bonnes pratiques à mettre en œuvre qui je pense sont rappelés dans le guide très complet que nous avons publié hier en complément de tous nos retours d'expériences spécifiques sur différentes attaques récentes. Nous avons republié toutes les recettes de cuisine détaillées pour protéger mieux les données et ça fait partie ça ne suffit pas mais ça en fait partie. Il faut y voir aussi le fruit enfin c'est pas c'est pas par le fait de conserver ce genre de données ou de les rendre accessibles est aussi un effet de bord d'une intention légitime de faciliter la vie de nos concitoyens dans leurs démarches numériques. Nos concitoyens ont horreur et ils ont bien raison qu'on leur redemande quatre fois les mêmes pièces justificatives les mêmes informations et cetera.
Répondre à ça répondre à cette exigence légitime ça veut dire que des données sont accessibles de manière croisée entre administrations. Ça fait partie de nos facteurs de vulnérabilité tout comme le fait que les systèmes inter attaqués récemment sont des systèmes notamment de relation avec les usagers. À la DGFIP ce qui a été attaqué ce n'est pas le système qui traite la collecte des impôts. C'est l'application e-contact de relation avec les usagers quand on veut demander d'être en contact avec un conseiller pour remplir mieux sa déclaration savoir où on en est et cetera et cetera. Mais cette application oui a accès au revenu fiscal de référence pour faciliter l'interaction entre le conseiller de la DGFIP et l'usager.
Donc c'est ça qui est attaqué qui n'était pas attaqué auparavant nécessairement parce qu'on est dans une nouvelle nouvelle dynamique d'enjeux réputationnels. Je ferai aussi le parallèle avec l'ANTS. On a beaucoup dit que avaient été volés à l'ANTS les documents d'identité de nos concitoyens c'est faux. Ce qui a été volé ce sont leurs adresses e-mail adresses potentiellement courrier nom prénom sont des des données de base qui ont été volées dans le portail de relation client de l'ANTS c'est-à-dire l'équivalent ANTS du suivi de vos livraisons de colis chez tous les livreurs en ligne qui vous permet de savoir où en est votre demande de carte d'identité. Donc ce sont ces systèmes-là qui n'étaient pas attaqués auparavant qui sont vulnérables mais c'est pas forcément nouveau qui sont aujourd'hui attaqués et qui ont accès à des données par construction pour faciliter la vie des concitoyens.
Donc c'est un nouvel équilibre qui est à trouver en la matière.
Anne-Sophie Dhiver
Effectivement sur la partie intelligence artificielle j'ai déjà eu l'occasion de d'évoquer. Peut-être un point sur effectivement la croissance de ces opérations aujourd'hui ce que nous observons en terme d'état de la menace c'est que la menace elle est non seulement très persistante elle est protéiforme puisque j'évoquais tout à l'heure la diversification de la menace avec des des opérations à caractère lucratif et elle se professionnalise avec le la comment dire l'émergence aussi d'intermédiaires techniques qui fournissent aussi des opérations ou des services qui vont permettre davantage amplifier ou anonymiser ces opérations. Ce qui fait qu'il y a donc des enjeux à la fois sur le plan capacitaire et sur le plan technologique face à l'évolution de cette menace. Peut-être un mot pour terminer là-dessus globalement aujourd'hui nous sommes pleinement préparés et mobilisés pour faire face à cette évolution de la menace en vue notamment du scrutin de l'élection présidentielle dans six mois. Puisque nous avons anticipé au cours de l'année 2025 et 2026 un renforcement de notre modèle et de nos capacités permis par l'évolution de notre décret mais permis aussi par l'allocation de moyens supplémentaires qui nous ont permis de structurer donc des capacités avancées d'analyse de détection d'évaluation notamment des risques systémiques liés aux plateformes et au modèle d'IA et par ailleurs aussi en matière de sensibilisation puisque nous avons lancé une académie de la lutte contre les manipulations de l'information dont le rôle est de contribuer au renforcement de la résilience démocratique des citoyens français face à cette menace.
Speaker 1
Voilà pour cet état des lieux de nos vulnérabilités face aux cyberattaques qui se multiplient contre notre pays. 100% Sénat c'est maintenant terminé je vous souhaite une très belle journée sur les chaînes parlementaires.