DGFiP COMPROMISE : LE CONFLIT INCROYABLE SUR LES « PORTES DÉROBÉES »
La DGFiP s’est fait pirater. Vos données, nos données, ont été prises et les risques d'usage frauduleux de ces données sont énormes laissant courir le risque de conséquences fâcheuses pour nombre d'entre vous. Mais derrière cette formule choc, savez-vous quel est l’envers du décor ?
Dans le langage courant, le mot « piratage » résume ce qui s’est passé. Techniquement, Bercy parle d’un accès illégitime obtenu après une usurpation d’identité, qui a permis de consulter et d’extraire des données. Le véritable sujet dépasse donc très largement un simple incident informatique. Pour comprendre ce qui se joue, il faut regarder comment la France organise la protection de ses administrations, pourquoi une grande réforme européenne de cybersécurité n’est toujours pas complètement transposée et pourquoi un conflit sur le chiffrement oppose depuis des mois des conceptions différentes de la sécurité.
AVANT D’ALLER PLUS LOIN : NIS2, C’EST QUOI, ET QUE SIGNIFIE « TRANSPOSER » ?
NIS2 signifie « Network and Information Systems 2 ». Derrière ce nom très technique se cache la deuxième grande directive européenne consacrée à la cybersécurité des organisations essentielles au fonctionnement d’un pays. Son objectif est simple à comprendre : obliger les États européens à mieux protéger les administrations, les infrastructures et les entreprises indispensables contre les cyberattaques.
Pourquoi cela concerne-t-il tout le monde ? Parce que NIS2 vise notamment des acteurs de l’énergie, des transports, de la santé, des télécommunications, du numérique, de l’industrie et certaines administrations publiques. Une attaque réussie contre un hôpital, un opérateur électrique, une administration fiscale ou une infrastructure numérique peut avoir des conséquences qui dépassent largement l’ordinateur attaqué : interruption d’un service, blocage d’une activité, vol de données, fraude, atteinte à une infrastructure importante ou propagation de l’attaque vers d’autres organisations.
Mais une directive européenne ne devient pas automatiquement, dans tous ses détails, une loi française applicable du jour au lendemain. L’Union européenne fixe des objectifs et des obligations communes, puis chaque État doit adapter son propre droit pour les rendre pleinement applicables sur son territoire. C’est cette opération que l’on appelle la « transposition ».
On peut l’imaginer très simplement. L’Union européenne dit en substance aux 27 États membres : « Voici désormais le niveau minimal de cybersécurité que certaines administrations, infrastructures et entreprises essentielles devront respecter. À vous d’intégrer ces règles dans votre législation nationale, d’identifier précisément les organismes concernés, d’organiser les contrôles, les obligations de déclaration des cyberattaques et les sanctions. »
Pour NIS2, la France avait jusqu’au 17 octobre 2024 pour effectuer ce travail. Or nous sommes en août 2026 et cette transposition n’est toujours pas complètement achevée. Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne contre la France pour défaut de transposition complète. Et parallèlement, la DGFiP vient de reconnaître qu’une usurpation d’identité a permis un accès illégitime à son système d’information, avec consultation et extraction de données concernant des particuliers et des professionnels.
ALORS UNE QUESTION SE POSE : QUE S’EST-IL PASSÉ, PENDANT PRÈS DE DEUX ANS, DERRIÈRE LE RIDEAU INSTITUTIONNEL DE LA CYBERSÉCURITÉ FRANÇAISE ?
Avant d’aller plus loin, il faut poser une limite afin que personne ne puisse caricaturer cet article. Je n’affirme pas que l’absence de transposition de NIS2 a provoqué la compromission de la DGFiP. Je n’affirme pas davantage que NIS2 aurait miraculeusement empêché cette intrusion. Et je n’affirme pas que la DGSI aurait volontairement empêché la France de se protéger. Ce que montrent en revanche les documents officiels est suffisamment préoccupant pour justifier une enquête politique beaucoup plus profonde.
NIS2 DEVAIT ÊTRE TRANSPOSÉE AVANT LE 17 OCTOBRE 2024
La directive européenne NIS2 a été adoptée le 14 décembre 2022 afin d’élever et d’harmoniser le niveau de cybersécurité dans l’Union européenne. Son article 41 est très clair : les États membres devaient adopter et publier les mesures nécessaires à sa transposition au plus tard le 17 octobre 2024, puis les appliquer à compter du 18 octobre 2024.
Source : EUR-Lex, directive (UE) 2022/2555, article 41 :
https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng
Juridiquement, le texte couvre dix-huit secteurs considérés comme critiques et inclut notamment certaines administrations publiques. Il classe en particulier les administrations publiques du gouvernement central parmi les « entités essentielles », selon les définitions retenues nationalement, tout en prévoyant des exceptions spécifiques pour certaines activités relevant de la sécurité nationale, de la défense ou du maintien de l’ordre.
Une « entité essentielle » est, en termes simples, une organisation dont la défaillance peut avoir des conséquences importantes pour la population, l’économie ou le fonctionnement du pays. Le mot « critique » n’est donc pas une formule spectaculaire. Il signifie que l’on parle d’organisations dont le fonctionnement normal est considéré comme particulièrement important.
Source : EUR-Lex, directive NIS2, champ d’application et annexes :
https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng
NIS2 impose une véritable doctrine de gestion du risque cyber. Concrètement, il ne suffit plus de déclarer que l’on fait de son mieux. Il faut organiser, documenter, contrôler et tester la sécurité.
analyser les risques qui pèsent sur les systèmes
prévoir la gestion des incidents
organiser la continuité d’activité et les sauvegardes
sécuriser la chaîne d’approvisionnement, c’est-à-dire les prestataires, fournisseurs et logiciels dont dépend l’organisation
gérer les vulnérabilités, autrement dit les faiblesses techniques qui pourraient être exploitées
former les personnels et les dirigeants
utiliser la cryptographie et le chiffrement lorsque cela est nécessaire
contrôler les droits d’accès
recourir à l’authentification multifacteur lorsque cela est approprié
impliquer directement les organes dirigeants dans la gouvernance de la cybersécurité
L’« authentification multifacteur » consiste à ne pas se contenter d’un simple mot de passe. On ajoute une deuxième preuve d’identité, par exemple une clé physique de sécurité, une application ou un autre mécanisme indépendant. La « cryptographie » regroupe les techniques permettant de protéger l’information, notamment en la rendant illisible sans la clé prévue.
Source : EUR-Lex, directive NIS2, notamment articles 20 et 21 :
https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX%3A02022L2555-20221227
IL NE S’AGIT DONC PAS D’UN TEXTE DÉCORATIF. IL S’AGIT D’UN CHANGEMENT MAJEUR DE GOUVERNANCE DE LA CYBERSÉCURITÉ.
LA FRANCE A RATÉ L’ÉCHÉANCE. PUIS LES AVERTISSEMENTS EUROPÉENS SE SONT ACCUMULÉS
Le 28 novembre 2024, la Commission européenne a ouvert une procédure d’infraction contre la France et vingt-deux autres États qui n’avaient pas complètement transposé NIS2. Le 7 mai 2025, elle a franchi une nouvelle étape en adressant un avis motivé à la France et à dix-huit autres États membres. Puis, le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne contre la France, l’Irlande, l’Espagne et les Pays-Bas pour défaut de transposition complète de NIS2. Elle a également demandé des sanctions financières.
Source : Commission européenne, 28 novembre 2024 :
Source : Commission européenne, 7 mai 2025 :
Source : Commission européenne, état de la transposition NIS2 et saisine 2026 :
https://digital-strategy.ec.europa.eu/en/policies/nis-transposition
Pour comprendre la gravité de cette chronologie, il faut connaître le mécanisme. Une « procédure d’infraction » est la procédure par laquelle la Commission européenne reproche officiellement à un État de ne pas respecter le droit de l’Union. Elle commence par demander à l’État de se mettre en conformité. Si le problème persiste, la Commission peut émettre un « avis motivé », c’est-à-dire une mise en cause juridique plus formelle. Si cela ne suffit toujours pas, elle peut saisir la CJUE, la Cour de justice de l’Union européenne.
La CJUE est la juridiction chargée de faire respecter le droit de l’Union européenne. Autrement dit, lorsque la Commission décide de la saisir, on n’est plus au stade d’un simple rappel politique ou administratif. Le désaccord entre dans une procédure judiciaire européenne qui peut, dans certaines conditions, conduire à des sanctions financières.
NOUS SOMMES DONC TRÈS LOIN D’UN SIMPLE RETARD ADMINISTRATIF DE QUELQUES SEMAINES.
ET NIS2 N’EST MÊME PAS LE SEUL CONTENTIEUX EUROPÉEN LIÉ À CE RETARD
Le 12 mai 2026, la Commission européenne avait déjà introduit devant la Cour de justice un recours contre la France, affaire C-481/26, pour défaut de transposition de la directive REC 2022/2557 relative à la résilience des entités critiques. Or cette directive fait elle aussi partie du même grand projet de loi français consacré à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
Le mot « résilience »signifie ici la capacité d’une organisation essentielle à continuer de fonctionner, ou à redémarrer rapidement, lorsqu’elle subit une crise. NIS2 est centrée sur la cybersécuritédes réseaux et systèmes d’information. REC s’intéresse plus largement à la continuité des entités critiques face à différentes perturbations. Le retard du texte français ne produit donc plus un seul front contentieux européen, mais plusieurs.
Source : CURIA, Commission européenne c. République française, affaire C-481/26, recours introduit le 12 mai 2026 :
https://juris.curia.europa.eu/juris/document/document.jsf?docid=313368&doclang=en
POURTANT, LE PROJET DE LOI FRANÇAIS EXISTE DEPUIS OCTOBRE 2024
Le Gouvernement français a déposé le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité le 15 octobre 2024. Il avait engagé la « procédure accélérée ». Cela ne veut pas dire que le Parlement ne débat plus. Cela signifie que le Gouvernement choisit un parcours législatif raccourci, avec moins de lectures successives entre l’Assemblée nationale et le Sénat avant la recherche d’un texte commun. Autrement dit, le Gouvernement avait officiellement choisi une procédure destinée à aller plus vite.
Le Sénat a adopté le projet en première lecture le 12 mars 2025, puis le texte a été transmis à l’Assemblée nationale.
Source : Assemblée nationale, dossier législatif :
https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731
La commission spéciale de l’Assemblée nationale l’a examiné les 9 et 10 septembre 2025. Une « commission spéciale » est un groupe de députés constitué pour étudier un texte particulier avant son examen dans l’hémicycle, c’est-à-dire dans la salle où tous les députés peuvent ensuite le débattre et le voter en séance publique. Cette commission étudie les articles, débat des amendements et prépare la version qui arrivera devant l’ensemble des députés.
Elle a travaillé sur 472 amendements, en a adopté 244 et, fait particulièrement notable sur un sujet aussi vaste, a adopté le projet de loi à l’unanimité. Un « amendement » est simplement une proposition visant à modifier, ajouter ou supprimer une partie d’un texte de loi.
Source : Assemblée nationale, rapport n° 1779 :
https://www.assemblee-nationale.fr/dyn/docs/RAPPANR5L17B1779-tI.raw
Et pourtant, au 14 août 2026, le dossier législatif officiel de l’Assemblée nationale ne fait toujours apparaître aucun examen du texte en séance publique après le travail de la commission de septembre 2025. Le fait qu’une commission adopte un texte ne suffit donc pas à en faire une loi. Il faut encore que le texte soit inscrit à l’ordre du jour, débattu et voté selon la procédure prévue.
Source : Assemblée nationale, dossier législatif actualisé :
https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731
LE RETARD A D’ABORD DES EXPLICATIONS POLITIQUES CLASSIQUES
Pour être parfaitement honnête, il faut rappeler les explications institutionnelles qui existent. Le rapport officiel de l’Assemblée nationale explique que la transposition a d’abord été retardée par la dissolution de l’Assemblée nationale, puis par la censure du gouvernement Michel Barnier et enfin par l’encombrement du calendrier législatif.
Source : Assemblée nationale, rapport n° 1779 :
https://www.assemblee-nationale.fr/dyn/docs/RAPPANR5L17B1779-tI.raw
Le 25 mars 2026, interrogée à l’Assemblée par Philippe Latombe, la ministre déléguée Anne Le Hénanff invoquait encore l’encombrement de l’ordre du jour et indiquait, après discussion avec les groupes politiques, que le texte serait examiné en juillet. Elle reconnaissait néanmoins que la transposition n’était toujours pas réalisée et que certaines obligations ne deviendraient réellement obligatoires qu’après l’adoption du texte.
La ministre citait notamment le cas d’une entreprise qui, avant transposition, n’avait pas encore l’obligation de notifier à l’ANSSI une cyberattaque alors qu’elle l’aurait une fois NIS2 transposée. La même ministre rappelait toutefois que les entreprises n’avaient aucune raison d’attendre la loi pour renforcer volontairement leur sécurité. C’est exactement la distinction qu’il faut également appliquer à l’État.
Source : Assemblée nationale, question orale sans débat n° 623 :
https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QOSD623
CE QUE NIS2 CHANGE CONCRÈTEMENT EN CAS D’INCIDENT
Le mot « notification » signifie ici qu’une organisation victime d’un incident grave ne peut pas simplement gérer la crise dans son coin et prévenir les autorités plusieurs semaines plus tard. Le nouveau régime prévoit une remontée rapide de l’information afin que l’autorité cyber puisse comprendre la menace, accompagner la réponse et, si nécessaire, prévenir d’autres organisations exposées au même risque.
Pour un incident important entrant dans le champ de NIS2, le texte prévoit une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident, une notification plus complète dans les 72 heures, puis un rapport final au plus tard un mois après la notification. Si l’incident est toujours en cours, un rapport d’étape est fourni et le rapport final intervient dans le mois suivant son traitement.
Source : EUR-Lex, directive NIS2, article 23 :
https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX%3A32022L2555
L’ANSSI AVAIT MÊME DÉJÀ PUBLIÉ LE MODE D’EMPLOI
L’ANSSI est l’Agence nationale de la sécurité des systèmes d’information. C’est l’autorité technique de référence de l’État français en matière de cybersécurité. Elle aide les administrations et les organisations sensibles à se protéger, publie des référentiels de sécurité et joue un rôle central dans la prévention et la réponse aux cybermenaces.
Depuis le 17 mars 2026, l’ANSSI met à disposition le Référentiel Cyber France, ReCyF. Un « référentiel » est, en termes simples, un ensemble structuré de règles et de mesures permettant de savoir quel niveau de sécurité atteindre et comment l’évaluer. ReCyF recense les mesures recommandées pour atteindre les objectifs de sécurité de NIS2.
Mais l’ANSSI précise elle-même que, tant que le cadre juridique n’est pas complètement entré en vigueur, ce référentiel demeure par défaut non obligatoire. L’Agence invite néanmoins les futures entités essentielles et importantes à engager immédiatement leur démarche de sécurisation sans attendre la fin de la transposition.
Source : ANSSI, directive NIS2 et ReCyF :
NIS2 N’EST PAS LE COMMENCEMENT DE LA CYBERSÉCURITÉ OBLIGATOIRE DE L’ÉTAT
C’est un point essentiel. Le retard de NIS2 ne signifie pas que la DGFiP ou une autre administration française pouvait auparavant faire ce qu’elle voulait en matière de sécurité informatique.
La France possède depuis longtemps une PSSIE, la « Politique de sécurité des systèmes d’information de l’État ». On peut la voir comme le socle de règles de cybersécurité que l’État s’impose déjà à lui-même. Publiée par circulaire du Premier ministre en 2014, elle fixe un ensemble de règles de protection applicables aux systèmes d’information de l’État. Le cadre français prévoit aussi des démarches d’homologation de sécurité pour certains systèmes concourant aux missions de l’État.
Une « homologation de sécurité » est une décision formelle par laquelle une autorité accepte qu’un système puisse fonctionner après examen de ses risques et des mesures de protection mises en place. Ce n’est donc pas simplement une recommandation informelle.
Source : Légifrance, circulaire du 17 juillet 2014 relative à la PSSIE :
https://www.legifrance.gouv.fr/circulaire/id/38641
Source : Légifrance, cadre d’homologation de sécurité des SI concourant aux missions de l’État :
https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000050080243
Lorsque des données personnelles sont traitées, le RGPD s’applique également. Le RGPD est le Règlement général sur la protection des données. Beaucoup de citoyens le connaissent surtout à travers les bandeaux de consentement sur les sites Internet, mais il impose aussi des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.
En cas de violation de données personnelles, la notification à l’autorité de contrôle doit intervenir sans délai injustifié et, lorsque cela est possible, dans les 72 heures suivant la prise de connaissance, sauf lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. En France, l’autorité de contrôle compétente est la CNIL, la Commission nationale de l’informatique et des libertés.
Source : EUR-Lex, RGPD, articles 32 et 33 :
https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng
Autrement dit, le retard de NIS2 est critiquable et institutionnellement lourd, mais il ne peut absolument pas servir de paravent à ce qui existait déjà. La bonne question n’est pas de savoir si la DGFiP avait le droit de se protéger avant NIS2. Elle l’avait. La question est de savoir si les dispositifs déjà obligatoires et les bonnes pratiques connues étaient effectivement appliqués au niveau requis.
QUELLES PROTECTIONS ÉTAIENT EFFECTIVEMENT EN PLACE ?
CAR LA COUR DES COMPTES AVAIT DÉJÀ ALERTÉ SUR LA CYBERSÉCURITÉ DE L’ÉTAT
Le 16 juin 2025, la Cour des comptes a publié un rapport consacré à la réponse de l’État aux cybermenaces sur les systèmes d’information civils. La Cour des comptes est l’institution chargée notamment de contrôler l’usage de l’argent public et d’évaluer certaines politiques publiques. Dans ce rapport, elle constate une forte croissance des cybermenaces, de plus en plus sophistiquées et diversifiées.
Elle appelle notamment à renforcer la gouvernance interministérielle et à adapter les moyens consacrés à la cybersécurité. En langage courant, cela signifie qu’elle estime que les différents ministères et services de l’État doivent être mieux coordonnés, disposer de règles claires et employer des moyens adaptés à la menace.
Source : Cour des comptes, 16 juin 2025 :
La Cour relève également que l’évaluation approfondie de la maturité cyber des administrations centrales était encore récente et que les outils, dispositifs et acteurs de la cybersécurité publique devaient continuer d’être rationalisés et coordonnés. La « maturité cyber » désigne simplement le niveau réel de préparation d’une organisation face aux risques numériques : procédures, compétences, moyens, contrôles, réactions aux incidents et capacité à corriger les faiblesses.
Source : Cour des comptes, rapport complet :
UN POINT CAPITAL : L’ARTICLE 16 BIS N’EST PAS UNE EXIGENCE DE NIS2
Pourquoi parle-t-on d’un « article 16 bis » ? Le mot « bis » signifie simplement qu’un nouvel article a été inséré entre deux articles existants au cours du travail parlementaire. L’article 16 bis n’était donc pas une obligation imposée par le texte européen NIS2. Il a été ajouté par le Sénat au projet de loi français.
Le projet de loi français ne transpose d’ailleurs pas seulement NIS2. Il regroupe plusieurs ensembles européens relatifs à la résilience et à la cybersécurité, notamment la directive REC, la directive NIS2 et des adaptations liées au règlement DORA pour le secteur financier.
DORA est un règlement européen consacré à la résilience opérationnelle numérique du secteur financier. Contrairement à une directive, un règlement européen est en principe directement applicable dans les États membres. Le projet de loi français comporte néanmoins des adaptations nationales nécessaires pour articuler ce cadre avec le droit français.
Source : Assemblée nationale, rapport n° 1779 sur le projet de loi :
https://www.assemblee-nationale.fr/dyn/docs/RAPPANR5L17B1779-tI.raw
Cela rend la question politique encore plus précise : une disposition nationale additionnelle, étrangère aux obligations minimales de transposition de NIS2, a-t-elle contribué à bloquer le texte qui contient précisément la transposition que la France devait avoir terminée depuis octobre 2024 ? À ce stade, cette causalité doit être établie. Mais elle mérite une réponse publique.
On parle parfois de « véhicule législatif » pour désigner ce projet de loi. L’expression est du jargon parlementaire. Elle signifie simplement que le même texte sert de support juridique pour faire entrer plusieurs réformes dans le droit français. Si ce véhicule reste bloqué, plusieurs ensembles de règles restent donc suspendus avec lui.
ET PUIS APPARAÎT L’ARTICLE 16 BIS : LE CŒUR DU CONFLIT SUR LE CHIFFREMENT
L’article 16 bis vise à empêcher que l’on puisse imposer aux fournisseurs de services de chiffrement l’intégration de mécanismes destinés à affaiblir volontairement la sécurité de leurs systèmes. Le rapport de l’Assemblée nationale explique que cet article vise notamment les fameuses « portes dérobées », ou backdoors, ainsi que les clés maîtresses permettant de contourner le chiffrement.
Une porte dérobée est un mécanisme permettant de contourner les protections normales d’un système pour accéder à des informations autrement protégées. Une « clé maîtresse » est, par analogie, une clé capable d’ouvrir plusieurs accès protégés. L’idée peut sembler séduisante si cet accès est réservé aux autorités. Le problème est qu’une faiblesse volontairement créée reste une faiblesse. Si un cybercriminel ou un service étranger la découvre, la vole ou la détourne, elle peut devenir une porte d’entrée pour celui qu’elle devait précisément empêcher d’entrer.
Source : Assemblée nationale, rapport n° 1779, article 16 bis :
https://www.assemblee-nationale.fr/dyn/docs/RAPPANR5L17B1779-tI.raw
L’argument des défenseurs de l’article 16 bis est donc simple : créer volontairement une possibilité de contournement pour les autorités peut aussi créer une vulnérabilité exploitable par un acteur malveillant. L’Assemblée nationale n’a d’ailleurs pas supprimé cette disposition en commission. Elle l’a élargie pour viser également certains « processus » pouvant produire le même effet qu’une porte dérobée technique.
D’OÙ VIENT CE CONFLIT ? LE PRÉCÉDENT DE LA LOI NARCOTRAFIC
Le conflit ne naît pas dans le vide. Au début de 2025, lors de l’examen de la proposition de loi visant à sortir la France du piège du narcotrafic, le Sénat avait introduit un article 8 ter imposant aux opérateurs de messageries chiffrées des obligations destinées à permettre l’accès au contenu intelligible de certaines communications.
En clair, le débat portait sur la capacité des autorités à obtenir le contenu lisible de communications pourtant protégées par du chiffrement. Cette disposition a suscité de fortes inquiétudes sur la sécurité globale du chiffrement. Elle a été supprimée au cours du processus parlementaire et n’a finalement pas survécu à la commission mixte paritaire.
Une « commission mixte paritaire », souvent abrégée CMP, réunit des députés et des sénateurs lorsque les deux chambres n’ont pas adopté exactement le même texte. Son rôle est d’essayer de trouver une rédaction commune.
Source : Assemblée nationale, amendement CL392 supprimant l’article 8 ter :
https://www.assemblee-nationale.fr/dyn/17/amendements/0907/CION\_LOIS/CL392
Source : Sénat, débats d’avril 2025 confirmant la suppression de l’article 8 ter par la commission mixte paritaire :
https://www.senat.fr/seances/s202504/s20250428/s20250428\_mono.html
La chronologie devient alors beaucoup plus intelligible : proposition très intrusive sur le déchiffrement, contestation, suppression, réaction parlementaire avec l’article 16 bis, inquiétude des services de renseignement, puis conflit institutionnel autour de la rédaction à retenir. Cette histoire n’établit pas à elle seule pourquoi NIS2 n’a pas été adoptée. Elle explique en revanche pourquoi le chiffrement est devenu l’un des points les plus sensibles du dossier.
Source : Assemblée nationale, rapport n° 1779 :
https://www.assemblee-nationale.fr/dyn/docs/RAPPANR5L17B1779-tI.raw
MAIS POUR LES SERVICES DE RENSEIGNEMENT, CET ARTICLE POSE UN PROBLÈME MAJEUR
La DPR, ou Délégation parlementaire au renseignement, n’est pas un service secret. C’est un organe du Parlement chargé de suivre et de contrôler l’action des services de renseignement français. Lorsqu’elle écrit qu’une disposition représente un « risque majeur pour la politique publique du renseignement », il ne s’agit donc pas d’un commentaire anonyme sur Internet, mais d’une position institutionnelle émanant de parlementaires chargés précisément de ce contrôle.
Dans une communication officielle de mai 2026, la DPR considère effectivement que la rédaction de l’article 16 bis pourrait fragiliser le cadre juridique permettant certaines techniques de renseignement et d’enquête et rendre leur mise en œuvre plus difficile. Elle estime également nécessaire de poursuivre le dialogue avec les plateformes et envisage qu’une intervention législative puisse être nécessaire si la coopération demeurait insuffisante.
Source : Délégation parlementaire au renseignement, communication de mai 2026 :
La DGSI, citée dans ce dossier, est la Direction générale de la sécurité intérieure. C’est le service français chargé notamment du contre-espionnage, de la lutte antiterroriste et de la protection contre certaines menaces touchant la sécurité nationale. Pour ces services, le problème du chiffrement de bout en bout est concret.
Dans un système réellement chiffré de bout en bout, le message est rendu illisible chez l’expéditeur et ne redevient lisible que chez le destinataire. L’intermédiaire qui transporte le message ne possède normalement pas la clé lui permettant d’en lire le contenu. C’est excellent pour protéger les citoyens, les entreprises, les journalistes ou les secrets industriels. Mais cela peut aussi compliquer fortement l’accès légal aux communications d’une personne surveillée.
Nous avons donc bien deux préoccupations de sécurité qui entrent en collision :
les spécialistes de la cybersécurité et les défenseurs du chiffrement redoutent qu’une porte créée pour les autorités devienne aussi une vulnérabilité exploitable par des cybercriminels ou des États hostiles
les services de renseignement expliquent qu’un chiffrement de bout en bout très robuste peut empêcher l’accès à certaines communications pourtant recherchées légalement dans le cadre d’enquêtes sur des menaces graves
Les deux camps parlent donc de sécurité, mais ils ne protègent pas exactement le même risque. C’est précisément ce qui rend l’arbitrage si difficile.
LE 1ER JUILLET 2026, OLIVIER CADIC ACCUSE PUBLIQUEMENT LE GOUVERNEMENT
Le 1er juillet 2026, lors d’une réunion officielle de la commission des affaires étrangères, de la défense et des forces armées du Sénat, Olivier Cadic prend la parole. Il est l’auteur de l’article 16 bis. Il explique avoir rencontré la DGSI, le ministre de l’Intérieur et plusieurs personnalités au plus haut niveau de l’État sur ce dossier.
Source : Sénat, compte rendu de commission du 1er juillet 2026 :
https://www.senat.fr/compte-rendu-commissions/20260629/etran.html
Puis il porte publiquement une accusation très précise. Selon lui, après l’adoption de son amendement par le Sénat et son renforcement en commission à l’Assemblée nationale, le Gouvernement empêche désormais l’inscription du projet de loi à l’ordre du jour de l’Assemblée, ce qui bloque son adoption définitive. Il affirme également qu’aucune rédaction alternative de l’article ne lui aurait été proposée.
L’« ordre du jour » désigne simplement la liste des textes que l’Assemblée nationale doit effectivement examiner en séance. Un texte peut donc avoir été étudié et adopté en commission sans jamais devenir une loi s’il n’est pas ensuite inscrit pour être débattu et voté dans l’hémicycle. C’est pour cette raison que l’accusation concernant l’inscription à l’ordre du jour est politiquement importante.
Source : Sénat, compte rendu officiel :
https://www.senat.fr/compte-rendu-commissions/20260629/etran.html
Cette déclaration n’est ni un tweet anonyme ni une rumeur. Elle figure dans le compte rendu officiel du Sénat. Mais il faut rester rigoureux. C’est l’accusation d’Olivier Cadic. Ce n’est pas un aveu du Gouvernement. Nous ne disposons pas aujourd’hui d’un document gouvernemental disant : « Nous avons bloqué NIS2 à cause de l’article 16 bis. » Nous devons donc nous garder de présenter cette causalité comme un fait démontré.
CE QUI EST EN REVANCHE DÉSORMAIS IMPOSSIBLE À NIER
Plusieurs faits documentés peuvent être placés côte à côte :
le conflit sur l’article 16 bis existe
la Délégation parlementaire au renseignement le considère comme un enjeu majeur pour les services
l’auteur de l’article indique avoir rencontré directement la DGSI et le ministre de l’Intérieur
cet auteur accuse publiquement le Gouvernement de bloquer l’ensemble du projet
le Gouvernement invoquait auparavant l’instabilité politique et l’encombrement de l’ordre du jour
la commission spéciale de l’Assemblée avait pourtant adopté le projet à l’unanimité dès septembre 2025
le Gouvernement annonçait encore en mars 2026 un examen en juillet
cet examen n’a pas eu lieu et, en août 2026, le texte n’a toujours pas été adopté
Source : Assemblée nationale, DPR mai 2026 :
QUELLE PART EXACTE LE CONFLIT SUR LE CHIFFREMENT A-T-IL PRISE DANS LE RETARD DE NIS2 ?
ET PENDANT CE TEMPS, LES FUITES CONTINUENT
La DGFiP est la Direction générale des Finances publiques, autrement dit l’administration fiscale française. Elle gère notamment l’impôt, une partie du recouvrement public et de nombreux fichiers fiscaux ou financiers extrêmement sensibles. « Bercy » est le nom couramment utilisé pour désigner le ministère de l’Économie et des Finances, installé dans le quartier de Bercy à Paris.
Le 18 février 2026, Bercy annonçait déjà des accès illégitimes au fichier national des comptes bancaires, FICOBA. FICOBA est le Fichier national des comptes bancaires et assimilés. Il recense l’existence de comptes ouverts en France et l’identité de leurs titulaires. Il ne s’agit pas d’un relevé détaillé de toutes les dépenses d’un citoyen, mais les informations qu’il contient restent très sensibles.
Selon Bercy, un acteur malveillant avait usurpé les identifiants d’un fonctionnaire disposant d’un accès dans le cadre d’échanges entre ministères. Les consultations et extractions concernaient environ 1,2 million de comptes. Les informations accessibles comprenaient notamment l’identité du titulaire, son adresse et ses coordonnées bancaires RIB ou IBAN.
Un RIB est le relevé d’identité bancaire. L’IBAN est l’identifiant international d’un compte bancaire. Ces éléments ne suffisent pas, à eux seuls, à vider un compte bancaire. Mais associés à d’autres informations personnelles, ils peuvent rendre certaines fraudes et tentatives d’usurpation beaucoup plus crédibles.
Source : Ministère de l’Économie, communiqué FICOBA du 18 février 2026 :
https://presse.economie.gouv.fr/?p=171314
Puis, le 13 août 2026, nouvelle communication officielle de Bercy. Cette fois, un acteur malveillant avait obtenu un accès illégitime au système d’information de la DGFiP après une usurpation d’identité. Les premières investigations ont confirmé que cet accès avait permis la consultation et l’extraction de données concernant des particuliers et des professionnels.
Un « système d’information » ne désigne pas seulement un ordinateur ou un serveur. C’est l’ensemble formé par les logiciels, les bases de données, les comptes utilisateurs, les réseaux, les procédures et les personnes qui permettent à une organisation de traiter ses informations. Et une cyberattaque ne signifie pas toujours qu’un pirate a « cassé » techniquement un serveur. Il peut voler des identifiants, tromper une personne, détourner une session ou se faire passer pour un utilisateur autorisé. C’est ce que recouvre notamment l’usurpation d’identité numérique.
Source : Ministère de l’Économie, communiqué DGFiP du 13 août 2026 :
https://presse.economie.gouv.fr/?p=182374
Au moment où cet article est écrit, la DGFiP indique encore chercher à déterminer précisément quelles données ont été compromises et combien d’usagers sont concernés. Les personnes identifiées doivent être informées individuellement. La DGFiP a annoncé une notification à la CNIL et un dépôt de plainte.
Il serait donc faux d’écrire aujourd’hui que toutes les données fiscales de tous les Français sont dans la nature. Nous n’en savons rien. En revanche, il serait tout aussi faux de minimiser ce qui est officiellement reconnu : des données ont été extraites, et ce n’est pas la première fois en 2026.
Source : Ministère de l’Économie, communiqué DGFiP du 13 août 2026 :
https://presse.economie.gouv.fr/?p=182374
NIS2 AURAIT-ELLE EMPÊCHÉ LA COMPROMISSION DE LA DGFiP ?
Personne ne peut sérieusement l’affirmer. Même un système très bien protégé peut être attaqué. NIS2 n’est pas un bouclier magique. Une loi peut imposer des règles, des contrôles et des obligations, mais elle ne peut garantir qu’aucune attaque ne réussira jamais.
Mais NIS2 impose précisément une logique de cybersécurité dans laquelle on ne protège plus seulement le serveur. On protège également les identités, les droits d’accès, la chaîne d’approvisionnement, les procédures de crise, la continuité d’activité, la formation, les mécanismes de détection, l’authentification et l’efficacité réelle des mesures de sécurité. Les dirigeants doivent superviser ces dispositifs.
Source : EUR-Lex, directive NIS2, notamment articles 20 et 21 :
https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX%3A02022L2555-20221227
QUELLES MESURES COMPARABLES ÉTAIENT DÉJÀ EFFECTIVEMENT APPLIQUÉES À LA DGFiP ? ET SURTOUT, QUELLES MESURES NE L’ÉTAIENT PAS ?
L’ABSENCE DE NIS2 N’EST PAS UNE EXCUSE. MAIS SON RETARD RESTE UN PROBLÈME.
La DGFiP n’avait pas besoin d’une nouvelle loi européenne pour comprendre qu’un compte informatique disposant de droits élevés devait être fortement protégé. L’État n’avait pas besoin d’attendre 2026 pour limiter les droits d’accès, surveiller les comportements anormaux ou renforcer les procédures d’authentification. L’ANSSI elle-même encourageait les futurs assujettis à anticiper NIS2 avant son entrée en vigueur nationale.
Un « compte privilégié » est un compte informatique disposant de droits plus élevés qu’un compte ordinaire. Il peut consulter davantage de dossiers, modifier des paramètres ou administrer certaines parties d’un système. Plus un compte possède de pouvoir, plus sa compromission peut être grave. C’est pourquoi ces comptes doivent normalement être particulièrement protégés, surveillés et limités au strict nécessaire.
Source : ANSSI, NIS2 et ReCyF :
Mais la transposition donne autre chose. Elle transforme des principes et bonnes pratiques en obligations juridiques structurées et modifie la portée du dispositif :
elle étend les mécanismes de supervision
elle renforce les pouvoirs de contrôle
elle organise les notifications d’incidents
elle crée un cadre national harmonisé
elle renforce la responsabilité des dirigeants
elle élargit considérablement le nombre d’acteurs soumis à la réglementation
Le rapport de l’Assemblée nationale estime que l’entrée en vigueur du titre NIS2 multiplierait environ par trente le nombre d’entités régulées en France, en passant d’environ 500 à 15 000. Près de vingt-deux mois de retard sur un tel changement ne sont donc pas neutres.
Source : Assemblée nationale, rapport n° 1779 :
https://www.assemblee-nationale.fr/dyn/docs/RAPPANR5L17B1779-tI.raw
À ce stade, on peut résumer tout le dossier en langage simple. L’Europe a demandé aux États de renforcer juridiquement leur cybersécurité. La France a commencé le travail mais n’a pas achevé la transposition dans les délais. Un article ajouté au texte français pour protéger le chiffrement a provoqué un conflit documenté avec les préoccupations du renseignement. Nous ne savons pas encore quelle part exacte ce conflit a prise dans le retard global. Mais pendant que cette question reste non tranchée, les cyberattaques et les compromissions, elles, continuent.
UN CAS D’ÉCOLE POUR LES AUTRES PAYS : CE QU’IL NE FAUT PAS FAIRE
Cette affaire devrait aussi être étudiée au-delà de nos frontières comme un cas d’école de ce qu’il ne faut pas laisser arriver. Lorsqu’un pays connaît la menace, dispose d’un cadre européen, possède une agence nationale de cybersécurité, a déjà préparé ses référentiels et voit néanmoins émerger un différend institutionnel majeur dont un parlementaire directement impliqué affirme qu’il contribue au blocage de l’ensemble, la responsabilité politique commande d’établir exactement ce qui s’est passé.
Le problème ne doit jamais rester cantonné aux bureaux où les services se disputent. Lorsque plusieurs services poursuivent des objectifs légitimes mais incompatibles et qu’aucune autorité politique ne parvient à arbitrer suffisamment vite, les conséquences peuvent descendre jusqu’aux entreprises, aux administrations et finalement aux citoyens.
Si les auditions confirmaient que le conflit autour du chiffrement a contribué à immobiliser pendant des mois l’ensemble de la réforme, ce serait précisément le type d’échec institutionnel dont les autres États européens devraient tirer les enseignements. Un conflit entre sécurité du chiffrement, besoins du renseignement, calendrier parlementaire et responsabilité gouvernementale ne doit jamais faire perdre de vue l’objectif principal : protéger effectivement les systèmes et la population.
ET LE PARADOXE DEVIENT TERRIBLE
Lorsque l’on réunit toute la chronologie, le tableau devient difficile à regarder sans poser de questions :
une directive européenne adoptée dès 2022
une échéance fixée à octobre 2024
un projet français déposé en octobre 2024
un texte adopté par le Sénat
un texte adopté à l’unanimité par la commission spéciale de l’Assemblée
l’ANSSI qui a déjà produit son référentiel
la Commission européenne qui a décidé de saisir la justice de l’Union contre la France pour NIS2
un autre recours européen déjà introduit concernant la directive REC
la Cour des comptes qui explique que la gouvernance cyber de l’État doit encore être renforcée
un conflit documenté autour du chiffrement
la Délégation parlementaire au renseignement qui considère l’article 16 bis comme un risque majeur pour la politique du renseignement
son auteur qui affirme que le Gouvernement bloque le texte
FICOBA compromis en début d’année
la DGFiP qui reconnaît maintenant une nouvelle extraction de données
Source : Commission européenne, juillet 2026 :
https://ec.europa.eu/commission/presscorner/detail/en/ip\_26\_1499
À partir de là, demander des explications n’est pas du complotisme. C’est précisément ce que devrait produire le contrôle démocratique.
IL FAUT MAINTENANT UNE CHRONOLOGIE OFFICIELLE ET DES AUDITIONS
Une « audition » parlementaire consiste à convoquer des responsables, experts ou représentants d’institutions devant une commission afin qu’ils répondent publiquement aux questions des parlementaires. Dans ce dossier, il faut désormais obtenir des réponses documentées sur des points très précis :
pourquoi l’examen annoncé pour juillet 2026 n’a finalement pas eu lieu
quel rôle exact l’article 16 bis a joué dans ce retard
quelles propositions de compromis ont éventuellement circulé entre le Gouvernement, la DGSI, l’ANSSI, le ministère de l’Intérieur et les parlementaires
si l’ensemble du projet a réellement été retardé à cause d’une seule disposition ou si d’autres blocages existaient
quelles mesures du futur référentiel NIS2 étaient déjà appliquées à la DGFiP au moment des deux incidents de 2026
quelles mesures ne l’étaient pas
Parce que ce sont désormais des questions de responsabilité politique et administrative.
ET NON, DES DONNÉES FISCALES « DANS LA NATURE », CE N’EST PAS ANODIN
Beaucoup de citoyens peuvent encore penser : « Bon, mes données ont peut-être fuité. Et alors ? Je n’ai rien à cacher. » C’est une erreur fondamentale. Une fuite de données ne produit pas seulement un fichier abstrait stocké quelque part. Elle peut fournir à un fraudeur les éléments nécessaires pour rendre son attaque beaucoup plus crédible.
L’« hameçonnage », aussi appelé phishing, consiste à se faire passer pour une administration, une banque, une entreprise ou une personne de confiance afin de pousser la victime à cliquer sur un lien, communiquer un mot de passe, transmettre des informations ou valider une opération. Plus l’escroc possède déjà d’informations exactes sur sa victime, plus son scénario peut sembler authentique.
Les risques concrets comprennent notamment :
des messages d’hameçonnage beaucoup plus crédibles parce qu’ils contiennent des informations réelles sur la victime
des escroqueries se faisant passer pour la DGFiP ou
afin d’obtenir des coordonnées bancaires, des mots de passe ou d’autres informations sensibles
des tentatives d’usurpation d’identité et l’ouverture frauduleuse de comptes ou de services au nom d’une victime
des fraudes au faux conseiller bancaire dans lesquelles l’escroc connaît déjà suffisamment d’informations pour inspirer confiance
des recoupements avec d’autres fuites permettant d’enrichir progressivement un dossier très détaillé sur une même personne
des tentatives de fraude fiscale ou bancaire beaucoup plus personnalisées
Source : CNIL, conseils après une fuite de données :
https://www.cnil.fr/fr/conseils-fuite-vol-donnees
Source :
, hameçonnage et usurpation de la DGFiP :
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/smishing-hameconnage-sms
Source : CNIL, fuite de données et IBAN :
Source :
, fraude au faux conseiller bancaire :
Source : Ministère de l’Économie, communiqué FICOBA :
https://presse.economie.gouv.fr/?p=171314
Alors non, une extraction de données fiscales n’est pas simplement un fichier informatique qui se promène sur Internet. Elle peut devenir une matière première pour fabriquer une arnaque fiscale personnalisée, usurper une identité, crédibiliser un faux conseiller bancaire, cibler un contribuable en connaissant déjà son adresse ou certaines informations financières, tenter d’obtenir d’autres informations encore plus sensibles et recouper ces données avec celles provenant d’autres fuites.
LA CONCLUSION POLITIQUE DEVIENT DIFFICILE À ESQUIVER
Nous savions que la cybermenace existait et les alertes étaient nombreuses :
nous savions que les cyberattaques existaient
nous savions que l’identité numérique était une cible
nous savions que les administrations possédaient certaines des données les plus sensibles du pays
l’Europe avait fixé une échéance
l’ANSSI avait préparé les mesures
la Cour des comptes avait alerté
les parlementaires avaient travaillé
en août 2026, NIS2 n’est toujours pas complètement transposée tandis que la DGFiP reconnaît une nouvelle extraction de données
Qu’ils aient ou non joué un rôle direct dans l’incident d’août 2026, ces défaillances, ces retards et ces arbitrages non tranchés assez vite ont une conséquence certaine : ils retardent la mise en place complète d’un cadre de cybersécurité que l’Europe jugeait nécessaire dès 2022 et juridiquement exigible depuis octobre 2024. Pendant ce temps, les incidents continuent.
Et lorsque la cybersécurité publique échoue, ce ne sont pas seulement des institutions abstraites qui sont exposées. Ce sont les données, les comptes, les identités et la sécurité concrète des citoyens.Lorsque des services se tirent dans les pattes au sommet, la responsabilité politique consiste précisément à empêcher que la population paie le prix d’un arbitrage qui n’arrive pas.
En clair, l’accusation sérieuse n’est pas de prétendre que « NIS2 aurait empêché le piratage ». Nous n’en savons rien. Elle consiste à constater qu’un cadre européen jugé nécessaire devait être pleinement transposé depuis octobre 2024, qu’un conflit institutionnel important existe autour d’une disposition ajoutée au texte français, que le parcours législatif n’est toujours pas terminé et que, pendant ce temps, des systèmes publics continuent effectivement d’être compromis.
Pour le citoyen, ce débat institutionnel n’est donc pas abstrait. Lorsqu’une protection échoue, ce sont ses données, son identité, ses comptes et parfois son argent qui peuvent finir exposés.
Il faudra donc autre chose que : « Nous tirerons les enseignements de l’incident. »
Il faut désormais répondre clairement à quatre questions:
QUI A BLOQUÉ QUOI ?
POURQUOI ?
DEPUIS QUAND ?
ET AVEC QUELLES CONSÉQUENCES POUR LES DONNÉES DES FRANÇAIS ?