CYBERSÉCURITÉ DE L’ÉTAT : QUI DOIT AGIR, QUI DOIT CONTRÔLER, ET À QUI DEMANDER DES COMPTES ?

1. Deux affaires différentes, une même alerte structurelle

En quelques jours, deux affaires de nature très différente ont remis la protection des données publiques au premier plan. Elles ne doivent pas être confondues, mais leur rapprochement est utile parce qu’elles révèlent deux angles morts complémentaires : d’un côté, le détournement de comptes légitimes à l’intérieur d’un système d’information ; de l’autre, l’exposition possible d’informations institutionnelles par un service numérique tiers situé en dehors du périmètre directement contrôlé par l’administration.

Concernant la DGFiP, le ministère de l’Économie et des Finances a confirmé le 14 août 2026 que des accès illégitimes intervenus en juin et juillet reposaient sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité. Les comptes concernés ont été interrompus après détection, mais les contrôles réalisés à ce moment-là n’avaient pas permis de constater que les intrusions avaient déjà conduit à des vols de données. Les investigations approfondies ont ensuite établi que 678 000 particuliers et professionnels avaient vu certaines données consultées ou extraites, notamment des informations fiscales et, pour les entreprises, des éléments tels que la raison sociale ou le SIREN.

Ce point est essentiel : l’attaquant n’a pas nécessairement besoin de forcer la porte s’il parvient à disposer d’une clef valide. La sécurité moderne doit donc continuer à fonctionner après l’authentification et être capable de détecter qu’un compte autorisé adopte soudain un comportement incompatible avec son usage habituel.

L’alerte DJI SkyPixel montre un autre type de vulnérabilité

Le 16 août 2026, FrenchBreaches a relayé les travaux d’un chercheur en sécurité portant sur DJI SkyPixel. Selon ces travaux, une fonctionnalité insuffisamment protégée aurait permis d’identifier au moins 42 029 comptes et de relier certaines adresses électroniques à des profils publics. Parmi les adresses gouvernementales identifiées figure une adresse en @gendarmerie.interieur.gouv.fr, que le chercheur associe à l’environnement de l’Institut de recherche criminelle de la Gendarmerie nationale.

Il faut être parfaitement précis : cela ne signifie pas que le système d’information de la Gendarmerie nationale a été compromis. La vulnérabilité documentée concerne l’écosystème DJI SkyPixel. C’est justement ce qui rend l’affaire instructive. Une administration peut renforcer ses propres serveurs et rester exposée par les plateformes, logiciels, applications mobiles, services cloud, fournisseurs ou comptes extérieurs utilisés autour d’elle.

2. La vraie frontière : après l’authentification et au-delà du réseau de l’État

Pendant des années, une part considérable de la cybersécurité a été pensée autour de l’entrée du système : mot de passe, authentification forte, pare-feu, filtrage, contrôle des droits. Ces protections restent indispensables, mais elles ne suffisent plus. Lorsque l’attaquant utilise l’identité parfaitement valide d’un agent ou d’un prestataire, le système doit encore être capable de repérer qu’un usage apparemment autorisé devient anormal.

Un agent qui consulte habituellement quelques dizaines de dossiers et dont le compte commence soudain à en interroger ou à en extraire plusieurs milliers ne doit pas être traité automatiquement comme un utilisateur normal au seul motif que son mot de passe est correct. Le volume, l’horaire, le terminal, la vitesse des requêtes, la sensibilité des données, la destination des fichiers et les habitudes du compte peuvent être corrélés afin de déclencher une vérification renforcée lorsque le contexte le justifie.

L’objectif n’est pas de bloquer mécaniquement toute opération massive. Certaines administrations ont des traitements légitimes à grande échelle. Il s’agit de faire une distinction fondamentale : un droit d’accès n’est pas une preuve que chaque action effectuée avec ce droit est légitime.

3. Qui doit agir, qui doit contrôler, et pourquoi ces responsables sont-ils cités ?

Demander des comptes ne signifie pas désigner arbitrairement un coupable avant même de connaître l’intégralité des faits. Cela signifie identifier chaque niveau de responsabilité, comprendre les leviers dont il dispose et poser les questions correspondant réellement à sa fonction. La chaîne est à la fois nationale, interministérielle, ministérielle, opérationnelle, réglementaire et parlementaire. L’objectif n’est donc pas d’empiler des noms, mais de montrer qui coordonne, qui protège, qui répond à l’incident, qui administre, qui contrôle et qui peut transformer les enseignements en obligations.

Au niveau national : le Premier ministre et le SGDSN coordonnent la sécurité nationale

Au sommet de la chaîne interministérielle, le Premier ministre Sébastien Lecornu ; @ SebLecornu, s’appuie sur le Secrétariat général de la défense et de la sécurité nationale, le SGDSN. Le secrétaire général, Nicolas Roche, n’administre évidemment pas les systèmes de chaque ministère ; le SGDSN organise en revanche la coordination générale de la défense et de la sécurité nationale et a élaboré sous son égide la Stratégie nationale de cybersécurité 2026-2030. La feuille de route 2026-2027 consacrée à la sécurité numérique de l’État prévoit en outre un suivi opérationnel mensuel par le Comité interministériel de suivi de la sécurité numérique, le CINUS, réunissant les chaînes de sécurité des ministères sous l’égide de l’ANSSI. La question adressée à ce niveau est donc celle de la cohérence d’ensemble : comment les enseignements d’un incident touchant un ministère deviennent-ils rapidement des décisions et des exigences communes à l’ensemble de l’État ?

L’ANSSI : l’autorité nationale de cybersécurité et de cyberdéfense

L’Agence nationale de la sécurité des systèmes d’information, l’ANSSI ; @ ANSSI_FR, constitue l’autorité nationale en matière de cybersécurité et de cyberdéfense. Elle est actuellement dirigée par Vincent Strubel. Son rôle est transversal : défendre, connaître la menace, partager l’information, accompagner les acteurs et réguler. Elle ne se substitue pas aux responsables de sécurité de chaque ministère, mais elle se trouve précisément au niveau où doivent être élaborées et coordonnées les doctrines communes, les capacités de détection, l’accompagnement des administrations et la réponse aux crises numériques majeures.

Les affaires DGFiP et SkyPixel rendent donc plusieurs questions directement pertinentes pour l’ANSSI : comment l’État détecte-t-il qu’un compte authentifié se comporte soudain comme un attaquant ; comment les risques liés aux services tiers et aux prestataires sont-ils cartographiés ; comment les enseignements d’une compromission sont-ils diffusés aux autres administrations ; et comment vérifie-t-on que les recommandations de sécurité ne restent pas simplement écrites dans un rapport ?

Le CERT-FR et les CSIRT ministériels : détecter, coordonner et répondre aux incidents

Au sein du dispositif national, le CERT-FR est le centre gouvernemental et national de réponse aux incidents informatiques. Il intervient prioritairement sur les incidents touchant les ministères et services de l’État, ainsi que d’autres acteurs critiques, et soutient les CSIRT ministériels. Ces équipes ministérielles analysent les menaces pesant sur leur propre périmètre et renforcent la capacité de chaque ministère à connaître, détecter et traiter les incidents. Le CERT-FR n’est donc pas le service informatique de tous les ministères ; il constitue l’un des maillons opérationnels qui permet de partager l’information de menace, coordonner la réponse et éviter qu’un même mode opératoire puisse être reproduit ailleurs sans que les autres administrations aient été alertées.

Cette architecture rappelle aussi un principe essentiel : chaque ministère reste responsable de la sécurité de son propre périmètre. La mise en œuvre repose sur des chaînes internes de sécurité, avec notamment des fonctions de pilotage, d’autorité qualifiée, de responsable de la sécurité des systèmes d’information et des capacités de réponse ministérielles. Ces responsables internes ne sont pas tous publiquement identifiables, mais ils font partie intégrante de la chaîne à laquelle doivent remonter les alertes et descendre les mesures correctrices.

À Bercy : la tutelle politique et la direction de la DGFiP doivent aussi répondre

L’affaire DGFiP impose de citer la chaîne directement concernée à Bercy. David Amiel ; @ Amiel_David_, est ministre de l’Action et des Comptes publics ; Amélie Verdier est directrice générale des Finances publiques, dont le compte institutionnel est @ dgfip_officiel. Leur présence dans cette chaîne ne signifie évidemment pas qu’ils seraient personnellement à l’origine d’une faille technique. Le ministre porte la responsabilité politique de la tutelle et des moyens ; la directrice générale porte la responsabilité stratégique et administrative de la DGFiP.

Les questions qui leur sont adressées sont donc concrètes : pourquoi les premiers contrôles n’ont-ils pas permis de détecter immédiatement que des vols de données avaient déjà eu lieu ; quelles mesures ont été prises depuis pour surveiller les comportements et les extractions anormales ; quelles recommandations ont été généralisées à l’ensemble du système d’information fiscal ; et qui vérifiera dans la durée que ces corrections sont réellement opérationnelles ? Le communiqué du 14 août 2026 reconnaît lui-même que les accès frauduleux reposaient sur des identifiants usurpés et que les contrôles initiaux n’avaient pas permis d’identifier les vols de données ; c’est précisément pour cela que cette chaîne doit être intégrée au débat.

Le ministre de l’Intérieur : responsabilité politique et arbitrage des moyens

Laurent Nuñez ; @ NunezLaurent, est ministre de l’Intérieur. Sa responsabilité n’est évidemment pas de configurer lui-même les systèmes informatiques ; elle consiste à fixer les priorités politiques, arbitrer les moyens, organiser la chaîne de responsabilité et s’assurer que les vulnérabilités structurelles identifiées donnent effectivement lieu à des corrections. Il est donc légitime de demander quelle doctrine le ministère applique à la maîtrise des dépendances numériques, des services tiers, des accès privilégiés et des prestataires.

Le directeur général de la Gendarmerie : responsabilité stratégique de l’institution

Le général d’armée Hubert Bonneau dirige la Gendarmerie nationale. Diriger l’institution ne signifie pas répondre personnellement de chaque erreur technique ; cela signifie en revanche devoir disposer d’une doctrine, d’une organisation et de mécanismes de contrôle capables de réduire les risques qui touchent la Gendarmerie, y compris lorsqu’ils proviennent de prestataires ou de plateformes extérieures. La question pertinente est donc de savoir comment l’institution cartographie ses dépendances, encadre les usages extérieurs et transforme les incidents en règles applicables à l’ensemble de ses services.

Le COMCYBER-MI : doctrine, résilience et continuité de l’action de l’État

Le général de division Patrick Touak ; @ TouakPatrick, est à la tête du Commandement du ministère de l’Intérieur dans le cyberespace, le COMCYBER-MI. La Gendarmerie rapporte qu’il a notamment présenté l’indépendance numérique, la continuité de l’action de l’État, le vol de données, les outils de détection et l’hygiène numérique des agents et prestataires comme des enjeux centraux. La question qui peut lui être posée est donc moins « pourquoi cette faille existe-t-elle ? » que « quelle doctrine le ministère applique-t-il pour identifier les services tiers utilisés par ses agents, contrôler les comptes institutionnels ouverts à l’extérieur, détecter les comportements anormaux et empêcher qu’une compromission locale ou externe produise des effets disproportionnés ? »

L’UNCyber : l’expérience opérationnelle de l’adversaire

Le général Hervé Pétry commande l’Unité nationale cyber de la Gendarmerie. Il serait incorrect de le présenter comme le responsable de la sécurisation de l’ensemble des systèmes informatiques de la Gendarmerie. L’UNCyber est aujourd’hui structurée autour du renseignement, de l’investigation et de l’appui technique, avec une vocation de lutte contre la cybercriminalité de haut niveau. Mais c’est précisément pour cette raison que son retour d’expérience est précieux : ceux qui voient quotidiennement comment les attaquants compromettent des comptes, exploitent des données volées, utilisent les plateformes et contournent les protections doivent pouvoir faire remonter les scénarios contre lesquels la défense doit se préparer.

La CNIL : contrôler la protection des données personnelles et la gestion des violations

La Commission nationale de l’informatique et des libertés, la CNIL ; @ CNIL, doit être distinguée de l’ANSSI. Elle n’est pas chargée de défendre les réseaux de l’État contre les cyberattaques ; elle est l’autorité indépendante chargée de la protection des données personnelles. Sa présidente est Marie-Laure Denis. Lorsqu’une violation de données présente un risque pour les droits et libertés des personnes, le responsable du traitement doit en principe la notifier à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant sa découverte.

Dans une affaire touchant des centaines de milliers de particuliers et de professionnels, son rôle de contrôle est donc pleinement pertinent : comment l’incident a-t-il été documenté ; quelle analyse de risque a été réalisée ; quelles informations ont été transmises aux personnes concernées ; quelles mesures correctrices ont été prises ; et les obligations de sécurité et de protection des données ont-elles été respectées ? La CNIL ne remplace ni l’ANSSI ni les ministères ; elle apporte un autre niveau de contrôle, centré sur les droits des personnes et les obligations du responsable de traitement.

Le Parlement : contrôler, auditionner et transformer les constats en obligations

Au Parlement, Philippe Latombe ; @ platombe, préside la commission spéciale chargée d’examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ; Éric Bothorel ; @ ebothorel, en est le rapporteur général. Leur rôle n’est pas de répondre personnellement des incidents passés, mais leur position leur permet d’auditionner, de contrôler, d’amender le droit et de demander des garanties. À ce niveau, un enseignement technique peut devenir une obligation juridique ou un mécanisme de contrôle.

Cette chaîne devient ainsi beaucoup plus lisible : le Premier ministre et le SGDSN assurent la coordination générale ; l’ANSSI porte l’autorité nationale et la doctrine de cybersécurité ; le CERT-FR et les CSIRT ministériels organisent une partie de la réponse opérationnelle aux incidents ; chaque ministère demeure responsable de son propre périmètre ; à Bercy, le ministre de l’Action et des Comptes publics et la direction générale de la DGFiP répondent directement de l’organisation du système fiscal ; au ministère de l’Intérieur, le ministre, la direction générale de la Gendarmerie et le COMCYBER-MI portent leurs responsabilités respectives ; l’UNCyber apporte l’expérience opérationnelle de la menace criminelle ; la CNIL contrôle la protection des données personnelles ; enfin, le Parlement auditionne, contrôle et peut transformer les enseignements techniques en obligations juridiques.

4. Quatre questions qui devraient rester ouvertes jusqu’à une réponse vérifiable

Une fois cette chaîne identifiée, la question n’est pas de réclamer des miracles ni de prétendre qu’une administration peut être invulnérable. Il est en revanche légitime de demander une traçabilité de la décision et de la correction.

5. Demander des comptes ne suffit pas : il faut pouvoir mesurer les corrections

Le mot « audit » ne devrait plus être synonyme de rapport supplémentaire. Un audit utile doit permettre d’identifier les systèmes critiques, leurs propriétaires, les comptes privilégiés, les prestataires disposant d’un accès, les services extérieurs utilisés, les flux sensibles, les sauvegardes, les dépendances logicielles et les capacités de reconstruction. Chaque vulnérabilité importante devrait être hiérarchisée, attribuée à un responsable opérationnel, assortie d’un calendrier et suivie jusqu’à sa fermeture effective.

La gestion des accès privilégiés offre un exemple simple. Lorsqu’un prestataire doit intervenir sur une infrastructure sensible, un accès permanent ne devrait pas être considéré comme une facilité normale. Lorsque l’architecture le permet, l’accès peut être nominatif, limité aux seules ressources nécessaires, fortement authentifié, journalisé, ouvert pour une durée déterminée puis automatiquement révoqué. Ce n’est pas une suspicion envers les prestataires ; c’est l’application d’un principe élémentaire : personne ne devrait conserver durablement davantage de privilèges que ceux dont il a réellement besoin.

La même logique s’applique aux sauvegardes et à la continuité. Une sauvegarde dont l’existence est indiquée dans un tableau n’est pas encore une garantie de résilience. Elle doit être restaurée lors d’exercices, avec une mesure du temps nécessaire pour reconstruire un service et de la capacité à fonctionner lorsque le fournisseur principal devient indisponible.

6. La facturation électronique change l’échelle du risque économique

À partir du 1er septembre 2026, toutes les entreprises concernées devront être capables de recevoir des factures électroniques ; les grandes entreprises et les entreprises de taille intermédiaire devront également émettre leurs factures sous cette forme et transmettre les données prévues par le dispositif. Le ministère de l’Économie indique que plus de dix millions d’acteurs économiques sont concernés par la réforme et que les factures transitent par des plateformes agréées.

Il serait caricatural de présenter ce dispositif comme une gigantesque base unique contenant toutes les factures françaises. L’enjeu est plus subtil et, à certains égards, plus important : un vaste écosystème va faire circuler à grande échelle des informations structurées sur les transactions, les fournisseurs, les clients, les montants et les relations commerciales. Certaines données sont en parallèle transmises à l’administration. La protection de cet ensemble doit donc être pensée comme une question de cybersécurité, mais aussi de sécurité économique.

Le risque ne réside pas seulement dans le vol d’un document isolé. Il réside aussi dans la corrélation. Des millions d’éléments apparemment banals peuvent, lorsqu’ils sont rapprochés, permettre de cartographier des dépendances industrielles, des relations fournisseurs, des volumes d’activité ou des évolutions commerciales. Pour un cybercriminel, un concurrent malveillant ou un service de renseignement étranger, cette valeur informationnelle peut être considérable.

7. L’intelligence artificielle accélère simultanément l’attaque et la défense

Le changement technologique rend cette réflexion encore plus urgente. Anthropic indique que les partenaires de son Project Glasswing, utilisant Claude Mythos Preview, avaient déjà identifié plus de 10 000 vulnérabilités de sévérité élevée ou critique au début du mois de juin 2026. Dans un bilan antérieur, l’entreprise indiquait également que Mythos Preview avait estimé avoir trouvé 6 202 vulnérabilités élevées ou critiques dans plus de 1 000 projets open source analysés. Ces chiffres sont ceux publiés par Anthropic et doivent être présentés comme tels, mais ils illustrent un changement de rythme majeur.

La question n’est donc pas de savoir si l’intelligence artificielle remplacera les experts. Elle est de comprendre que des experts disposant d’outils capables d’analyser du code, de comparer des configurations et de rechercher des vulnérabilités à très grande vitesse peuvent acquérir un avantage considérable sur ceux qui conserveraient exactement les méthodes et les rythmes d’hier. Une stratégie nationale sérieuse doit raisonner contre les capacités de demain et non seulement contre celles d’hier.

8. La souveraineté ne se limite pas aux secrets militaires

L’article 410-1 du Code pénal rappelle que les intérêts fondamentaux de la Nation incluent notamment sa sécurité, la sauvegarde de sa population et les éléments essentiels de son potentiel scientifique et économique. Cela ne signifie évidemment pas que toute fuite de données constitue juridiquement une atteinte aux intérêts fondamentaux de la Nation. La nuance est indispensable.

Le texte rappelle en revanche une réalité politique majeure : protéger un pays ne consiste pas seulement à protéger les caractéristiques d’un missile, les plans d’un sous-marin ou un secret de renseignement. Une Nation protège aussi ses citoyens, ses entreprises, ses savoir-faire, ses capacités scientifiques, son potentiel économique et les infrastructures numériques dont leur fonctionnement dépend désormais.

9. Le Parlement dispose d’autres leviers de contrôle

La commission spéciale consacrée à la cybersécurité n’est pas le seul point d’entrée parlementaire. Jean-Philippe Tanguy ; @ JphTanguy, est membre de la commission des finances ; il peut donc contribuer au contrôle des moyens budgétaires et de l’action de Bercy. Jean-Michel Jacques ; @ J_M_Jacques, préside la commission de la défense nationale et des forces armées ; son champ devient pertinent lorsque la cybersécurité rejoint l’ingérence, la souveraineté, la guerre hybride ou la protection d’infrastructures stratégiques. Vincent Caure ; @ vincent_caure, préside la commission des lois ; cette commission intervient lorsque les questions de sécurité, de droit, d’organisation de l’État et de contrôle parlementaire se rejoignent.

Là encore, il ne s’agit pas de leur demander de configurer un pare-feu. Il s’agit de leur demander d’utiliser leurs leviers institutionnels : quels moyens ont été engagés, quelles alertes ont été remontées, quelles recommandations sont restées sans suite, quels marchés ou dépendances présentent un risque, quels délais ont été fixés et qui est chargé de contrôler la réalité des corrections annoncées ?

10. De la critique à la proposition : 14 mesures structurelles et 67 actions

La critique n’a véritablement d’utilité que lorsqu’elle ouvre aussi un débat sur les solutions. Un citoyen extérieur à l’État ne connaît évidemment pas toutes les contraintes internes des administrations et n’a pas à se substituer aux responsables qui disposent du mandat, des informations et des compétences opérationnelles. Mais il peut travailler, documenter, comparer et rendre publiques des propositions afin qu’elles puissent être discutées, corrigées, améliorées ou reprises.

C’est l’objectif du travail publié sur Delta-Sierra : 14 mesures structurelles consacrées à la souveraineté numérique et à l’intelligence artificielle, complétées par un Bouclier numérique de la France décliné en 67 actions opérationnelles. Le programme porte notamment sur la protection, la détection, la limitation des privilèges, l’audit, le confinement, la résilience et la reconstruction.

Dossier complet : https://www.delta-sierra.com/france/audit-souverainete-numerique-ia-14-mesures.html

Ces propositions ne demandent pas à être approuvées par principe ; elles demandent à être examinées. Si certaines sont techniquement mauvaises, qu’on explique pourquoi. Si certaines existent déjà, qu’on indique où elles sont déployées, à quelle échelle et avec quels résultats. Si elles sont pertinentes mais insuffisamment appliquées, qu’on identifie les obstacles. Si de meilleures solutions existent, qu’elles soient mises sur la table. Et si certaines propositions peuvent renforcer concrètement la protection des citoyens, des entreprises et de l’État, elles sont évidemment faites pour être reprises.

Conclusion : demander des comptes, c’est demander une preuve de correction

La résilience numérique n’est pas la promesse irréaliste qu’aucun attaquant n’entrera jamais. C’est une architecture dans laquelle un identifiant volé ne permet pas de tout consulter ; un compte compromis ne permet pas d’aspirer silencieusement une base entière ; un poste compromis n’ouvre pas automatiquement tout le réseau ; un prestataire compromis ne possède pas toutes les clefs ; un service extérieur ne devient pas un angle mort ; et une attaque réussie ne suffit pas à paralyser durablement un service essentiel.

Demander des comptes ne signifie donc pas chercher arbitrairement un coupable. Cela signifie demander à chaque niveau de responsabilité de démontrer ce qu’il a fait, ce qu’il contrôle, ce qui a été corrigé et comment cette correction a été vérifiée. Après chaque crise, les mêmes questions devraient rester ouvertes jusqu’à l’obtention d’une réponse vérifiable : quelles vulnérabilités étaient connues ; quelles mesures avaient déjà été décidées ; qu’est-ce qui a réellement été corrigé ; et qui vérifie, après les annonces, que les corrections sont effectivement appliquées ?

C’est sur ces réponses, beaucoup plus que sur les communiqués publiés après chaque incident, qu’une véritable politique nationale de résilience numérique devrait pouvoir être jugée.