Delta-Sierra — Comprendre aujourd’hui, construire demainCATÉGORIE 09 · SOUVERAINETÉ NUMÉRIQUE & IA
Sécurité des données, résilience de l’État, souveraineté cyber et défense face aux IA offensives de classe Mythos.
Principe directeur : ne plus promettre l’inviolabilité. Construire un État qui suppose la compromission, la détecte vite, la contient automatiquement, limite l’exfiltration et sait reconstruire ses fonctions vitales.
En 2025, la CNIL a reçu 6 167 notifications de violations de données et indique qu’environ un incident déclaré sur deux relevait d’un piratage. L’ANSSI a eu connaissance de 1 366 incidents et place l’éducation/recherche, les ministères/collectivités, la santé et les télécommunications parmi les secteurs les plus visés. Ces chiffres ne représentent pas toute la criminalité : ils représentent ce qui est connu des autorités. CNIL · ANSSI
Le gouvernement a lui-même indiqué au printemps 2026 que la France enregistrait en moyenne trois vols de données par jour depuis le début de l’année. La Cour des comptes constate parallèlement l’absence de cartographie des données sensibles par administration et des dépendances encore fortes à des solutions extra-européennes pour certaines données sensibles. Plan gouvernemental 2026 · Cour des comptes
Une administration qui concentre des données fiscales, bancaires, foncières, professionnelles ou sociales impose aux citoyens une asymétrie de confiance : elle collecte parce que la loi l’y autorise ; elle doit donc protéger à un niveau proportionné au pouvoir et à la sensibilité de ce qu’elle détient. La puissance de collecte de l’État ne peut pas coexister durablement avec une sécurité traitée comme une fonction auxiliaire.
Il serait inexact d’attribuer en bloc à l’administration fiscale les pouvoirs juridiques des services antiterroristes. En revanche, la lutte contre la fraude, les échanges inter-administrations et l’écosystème Bercy/TRACFIN donnent accès, dans des cadres légaux précis, à des informations fiscales, bancaires et patrimoniales particulièrement sensibles. Cette puissance légale de collecte et de recoupement doit avoir un symétrique : une obligation de sécurité, de traçabilité et de limitation des accès à la hauteur de la donnée concentrée.
Source officielle de la victime, CNIL, ANSSI, SGDSN, juridiction ou autorité compétente.
Plusieurs sources techniques crédibles convergent, sans confirmation publique complète.
Publication d’attaquant, forum clandestin, échantillon ou source de veille : signal utile, pas preuve judiciaire.
Scénario de risque ou proposition politique : présenté comme tel, jamais comme fait acquis.
| Incident | Date | Ce que cela montre | Source |
|---|---|---|---|
| France Travail | 2024 / sanction 2026 | Comptes de conseillers Cap Emploi usurpés ; authentification, journalisation et habilitations insuffisantes ; CNIL : 5 M€ de sanction. | [O13] |
| Viamedis / Almerys | 2024 | Plus de 33 millions de personnes concernées ; identité, date de naissance, numéro de sécurité sociale, assureur et garanties. | [O14] |
| France Titres | 2026 | 11,7 millions de comptes potentiellement concernés ; identité, courriel, date de naissance et, pour certains, adresse et téléphone. | [O08] |
| Éducation nationale – COMPAS | mars 2026 | Environ 243 000 agents ; identité, coordonnées et données liées à l’activité professionnelle après usurpation d’un compte externe. | [O10] |
| Tchap | juin 2026 | 73 467 agents potentiellement concernés ; compte utilisateur compromis par usurpation. | [O09] |
| DGFiP / FICOBA | février 2026 | 1,2 million de comptes bancaires potentiellement concernés après usurpation des identifiants d’un fonctionnaire ; RIB/IBAN, identité et adresse. | [O23] |
| DGFiP — services fiscaux | juin-juillet / confirmé 14 août 2026 | Environ 678 000 particuliers et professionnels ; identifiants d’un agent et d’un tiers habilité usurpés, avec consultation ou extraction de données fiscales et professionnelles. | [O07] |
| AEFE – ORION | août 2026 | Incident de cybersécurité affectant l’intranet collaboratif ; les informations publiées doivent être distinguées des revendications non confirmées. | [O12] |
FrenchBreaches apporte de la vitesse, de l’agrégation et une mémoire publique des revendications. Son bilan des 70 premiers jours de 2026 recense 225 services compromis et 212 761 786 enregistrements exposés, tout en précisant qu’il ne s’agit ni de 212 millions de personnes uniques ni exclusivement de résidents français. FrenchBreaches
Dans l’entretien consacré à la série DGFiP / Intermarché / EVA / Handball, FrenchBreaches donne la parole à ZeroBytes tout en distinguant explicitement ce qui relève du périmètre confirmé, de la revendication et de l’interprétation. Cette séparation est conservée ici : les propos de l’attaquant servent à comprendre la logique de monétisation et la perception des défenses, pas à certifier à eux seuls l’ampleur d’une compromission. Lire l’article analysé.
Les travaux de renseignement de menace accessibles publiquement convergent sur trois signaux : l’abondance d’identifiants et de sessions volés, l’industrialisation des fuites et rançongiciels, et la hausse des revendications visant la France. CloudSEK décrit notamment une activité France marquée par les identifiants volés, les infostealers, le rançongiciel et l’hacktivisme. Ces données privées sont des indicateurs de menace, pas un registre officiel de victimes. CloudSEK
Élever le niveau du socle numérique de l’État, préparer les crises, renforcer les compétences, partager le renseignement de menace et réduire les dépendances dans le chiffrement, le cloud et l’évaluation de sécurité.
Cartographier les données sensibles, mieux piloter les dépendances et renforcer la souveraineté réelle des systèmes d’information civils.
Passer à l’échelle : mutualisation, financement stable, accompagnement des collectivités et PME, professionnalisation de la réponse et de la gouvernance.
KELA, Yarix/YLabs et CloudSEK montrent l’intérêt d’une veille structurée des identifiants volés, infostealers, forums de fuite et revendications, à utiliser comme renseignement précoce et non comme preuve officielle.
La convergence la plus forte n’est pas sur un produit miracle : elle porte sur l’inventaire, les identités, les droits, la détection, les fournisseurs, la remédiation rapide, les sauvegardes testées et la capacité de continuer lorsque le système principal tombe.
Hameçonnage hyperpersonnalisé, usurpation d’identité, fraude différée, chantage, doxxing et risque physique facilité par la connaissance patrimoniale ou géographique.
Une adresse, une date de naissance ou un numéro d’identification ne se réinitialisent pas comme un mot de passe.
Les métadonnées professionnelles permettent de cartographier qui travaille où, avec qui, dans quelle fonction et quel prétexte paraîtra crédible. Des données ordinaires deviennent stratégiques lorsqu’elles sont agrégées.
Fiscalité, marchés, dirigeants, aides, certifications et pièces justificatives peuvent enrichir la fraude au changement de coordonnées bancaires, l’ingénierie sociale ou le renseignement économique hostile.
Une IA peut trouver une faiblesse en quelques heures. Cela ne signifie pas qu’elle inventorie toutes les dépendances, identifie chaque propriétaire de compte, corrige sans casser la production, vérifie les sauvegardes, reteste puis établit une preuve de résilience. Les 100 jours sont une date butoir, pas une période d’attente.
Un contrôle purement numérique du type « plus de dix personnes = blocage » produirait beaucoup de faux positifs sur des traitements légitimes et ne regarderait ni la sensibilité de la donnée, ni le rôle de l’utilisateur, ni le contexte. Le bon système additionne plusieurs signaux et applique une réponse graduée.
| Signal | Contrôle | Réaction possible |
|---|---|---|
| Volume anormal pour le rôle | Limites glissantes par heure/jour et par niveau de sensibilité | Challenge, approbation ou blocage |
| Action très sensible | Réauthentification forte et, si nécessaire, double validation | Refus si absence de seconde preuve |
| Compte légitime mais comportement inhabituel | Détection comportementale, terminal et historique | Révocation du jeton, isolement du poste, alerte SOC |
| Traitement batch légitime | Liste blanche nominative, fenêtre prévue, propriétaire métier, journalisation | Autoriser mais surveiller et borner |
Ce qui est publiquement établi : Anthropic décrit Mythos Preview puis Mythos 5 comme des modèles extrêmement performants en cybersécurité. Project Glasswing indique plus de dix mille vulnérabilités de sévérité élevée ou critique détectées chez ses partenaires et l’analyse de plus de mille projets open source ; Anthropic explique que le goulot d’étranglement se déplace vers la vérification, la divulgation et le correctif. Anthropic
Un responsable américain a déclaré à l’Associated Press que Mythos avait identifié en quelques heures des vulnérabilités dans des systèmes gouvernementaux américains hautement sensibles lors d’un test avec des agences de renseignement ; le même responsable a précisé que cela ne signifie pas que le modèle les avait exploitées dans ce délai. Reuters rapporte ensuite que CISA utilise Mythos pour auditer du code gouvernemental. Ces informations rendent le scénario « Mythos-class » suffisamment sérieux sans inventer une version secrète distincte. AP/Washington Post · Reuters
La Maison-Blanche a en outre ordonné un benchmark cyber classifié, une coordination fédérale de découverte/remédiation des vulnérabilités et un cadre permettant jusqu’à 30 jours d’accès anticipé du gouvernement à certains modèles frontières avant d’autres partenaires de confiance. Executive Order du 2 juin 2026
Doctrine française : raisonner comme si, demain, un adversaire disposait au minimum des meilleures capacités cyber automatisées de 2026 — mais avec davantage d’autonomie, de contexte et de parallélisme. La réponse ne peut pas être seulement un meilleur scanner : elle doit accélérer la chaîne complète découvrir → confirmer → corriger → tester → déployer → restaurer.
Ces 67 actions constituent une décomposition opérationnelle du chantier « Souveraineté numérique & IA » ; elles ne modifient pas le dénominateur gelé des 155 mesures du programme principal et ne doivent pas être additionnées comme 67 nouvelles mesures politiques.
Décision. Créer sous 24 h une cellule interministérielle temporaire de commandement, mandatée pour prioriser les systèmes, lever les blocages administratifs et exiger des preuves de correction.
Pourquoi. Sans commandement unique, chaque ministère avance à son rythme et les dépendances transverses restent invisibles.
Décision. Interdire la création de nouveaux comptes externes permanents sur les SI sensibles ; n’autoriser que des accès temporaires, nominatifs et journalisés.
Pourquoi. La DGFiP et la CNIL montrent que les identités de tiers et sous-traitants sont une surface d’attaque récurrente.
Décision. Construire sous 72 h la liste des administrateurs, comptes de service, comptes d’urgence et comptes fournisseurs des périmètres Tier 0/1.
Pourquoi. On ne peut défendre un droit que l’on ne sait pas attribuer.
Décision. Imposer clefs matérielles, certificats ou mécanismes équivalents résistants au phishing pour les accès administratifs et distants critiques.
Pourquoi. Les attaques récentes reposent sur l’usurpation d’identifiants ; la MFA traditionnelle réduit le risque mais doit être conçue contre l’interception et la fatigue MFA.
Décision. Remplacer les comptes partagés par des identités nominatives ; les exceptions doivent être temporaires, documentées et surveillées.
Pourquoi. La CNIL identifie les comptes génériques/partagés parmi les causes courantes de compromission.
Base documentaire : [O02]
Décision. Déployer une gestion des accès privilégiés où le droit n’existe que pendant la fenêtre d’intervention, avec approbation et expiration automatique.
Pourquoi. Un compte privilégié permanent est une porte permanente.
Base documentaire : [O02]
Décision. Interdire l’administration des SI critiques depuis un poste bureautique ordinaire ; utiliser des postes et réseaux d’administration séparés.
Pourquoi. Réduit le risque qu’un malware bureautique devienne une compromission d’administration.
Base documentaire : [O15]
Décision. Reconstituer qui peut accéder à quoi, directement ou par groupes, rôles, délégations et rebonds.
Pourquoi. Les droits hérités et les chaînes d’autorisation sont souvent plus dangereuses que le compte initial.
Décision. Exiger une nouvelle preuve forte pour une action très sensible : gros export, modification de droits, création de compte, accès à une base nationale.
Pourquoi. Une session volée ne doit pas suffire à exécuter une action de masse.
Base documentaire : [O02]
Décision. Imposer une validation à deux personnes pour les exports massifs de données classées au plus haut niveau métier.
Pourquoi. Le contrôle de volume et la séparation des responsabilités limitent l’impact d’un compte compromis.
Base documentaire : [O02]
Décision. Appliquer par utilisateur, service et API des limites de requêtes, pagination, volumes et fréquence ; blocage ou challenge en cas d’anomalie.
Pourquoi. La CNIL identifie explicitement l’absence de limitation comme facteur d’extraction massive.
Base documentaire : [O02]
Décision. Vérifier côté serveur le droit d’un appelant pour chaque ressource demandée, sans dépendre d’un identifiant fourni par le client.
Pourquoi. Une API doit empêcher l’énumération ou l’accès horizontal à des données non nécessaires.
Base documentaire : [O02]
Décision. Journaliser accès applicatifs, API, systèmes, réseau et opérations privilégiées avec identité, terminal, heure et volumétrie.
Pourquoi. La CNIL demande une journalisation permettant de générer des alertes et une levée de doute humaine.
Décision. Envoyer les journaux critiques vers un stockage séparé et protégé contre l’altération.
Pourquoi. Un attaquant ayant pris des privilèges ne doit pas pouvoir effacer facilement ses traces.
Base documentaire : [O02]
Décision. Établir une ligne de base par profil : volumes, horaires, ressources, géographie, terminal ; alerter sur les écarts significatifs.
Pourquoi. L’identité peut être valide alors que le comportement est malveillant.
Décision. Autoriser, sur scénarios précisément définis, la suspension automatique d’une session ou d’un jeton et l’isolement du terminal.
Pourquoi. À vitesse machine, une validation humaine systématique peut arriver après l’exfiltration.
Décision. Imposer à chaque administration un registre technique indiquant type de donnée, propriétaire, localisation, durée, accès et sous-traitants.
Pourquoi. La Cour des comptes a relevé l’absence de cartographie des données sensibles par administration.
Base documentaire : [O04]
Décision. Établir un classement public/interne/sensible/souverain-vital, sans remplacer les classifications défense existantes.
Pourquoi. Les exigences de cloud, chiffrement, audit et accès doivent découler de la criticité des données.
Décision. Supprimer les données qui n’ont plus de finalité active ; déplacer l’historique nécessaire dans des environnements à accès plus restreint.
Pourquoi. La CNIL identifie la conservation excessive comme facteur d’ampleur des fuites.
Base documentaire : [O02]
Décision. Segmenter les données pour éviter qu’une seule identité ou une seule API expose un jeu national complet.
Pourquoi. Réduit le « blast radius », c’est-à-dire le périmètre affecté par une compromission.
Base documentaire : [O02]
Décision. Découvrir en continu domaines, sous-domaines, services, certificats, API et actifs exposés de l’État.
Pourquoi. Les actifs inconnus ne sont ni patchés ni surveillés.
Base documentaire : [O03]
Décision. Utiliser outils classiques et IA défensive pour prioriser les vulnérabilités réellement atteignables depuis Internet.
Pourquoi. La vitesse d’exploitation exige une cadence plus rapide que l’audit annuel.
Décision. Fixer des délais : vulnérabilité activement exploitée immédiatement ; critique exposée 24–72 h ou mesure compensatoire ; élevée 7 jours ; significative 30 jours.
Pourquoi. Le modèle mensuel uniforme est trop lent face à l’automatisation.
Décision. Automatiser construction, tests, déploiement progressif et retour arrière pour raccourcir le temps entre découverte et correction.
Pourquoi. Mythos déplace le goulot d’étranglement vers vérification et patching.
Décision. Analyser en continu les dépôts autorisés avec IA dans un environnement sécurisé ; résultats confirmés par experts.
Pourquoi. L’IA peut trouver des défauts subtils, mais les faux positifs et impacts de patch exigent validation humaine.
Décision. Exiger une nomenclature logicielle — SBOM, Software Bill of Materials — pour savoir quelles bibliothèques composent chaque application.
Pourquoi. Une vulnérabilité dans une dépendance doit permettre d’identifier immédiatement tous les systèmes exposés.
Base documentaire : [O06]
Décision. Signer versions, paquets et déploiements ; sécuriser les chaînes CI/CD et secrets de compilation.
Pourquoi. Protège contre la compromission de la chaîne de fourniture logicielle.
Base documentaire : [O06]
Décision. Centraliser rotation et délivrance temporaire des secrets techniques ; interdire les mots de passe et clefs en dur dans les dépôts.
Pourquoi. Un secret dormant dans du code ou une configuration peut ouvrir plusieurs environnements.
Base documentaire : [O15]
Décision. Documenter et filtrer chaque flux entre zones ; principe « deny by default » pour les nouveaux chemins sensibles.
Pourquoi. Une compromission locale ne doit pas devenir une compromission interministérielle.
Base documentaire : [O06]
Décision. Isoler applications, bases, administration et sauvegardes selon l’identité et la finalité.
Pourquoi. Réduit les déplacements latéraux et l’impact d’une identité compromise.
Base documentaire : [O06]
Décision. Maintenir plusieurs copies dont au moins une non modifiable et une hors ligne ou fortement isolée.
Pourquoi. La disponibilité et la reconstruction font partie de la sécurité nationale.
Base documentaire : [O06]
Décision. Ne pas valider une sauvegarde sur la seule existence des fichiers ; restaurer réellement un environnement représentatif et mesurer le temps.
Pourquoi. Une sauvegarde jamais restaurée est une hypothèse, pas une capacité.
Base documentaire : [O06]
Décision. Définir comment continuer sans cloud principal, sans fournisseur majeur ou sans réseau interministériel.
Pourquoi. La souveraineté signifie pouvoir continuer lorsque le fournisseur devient indisponible.
Décision. Simuler attaque massive + indisponibilité cloud + perte d’un fournisseur + crise informationnelle.
Pourquoi. Les plans non testés échouent souvent dans la première heure réelle.
Base documentaire : [O06]
Décision. Pour les SI sensibles, imposer un seuil minimal de sécurité et de souveraineté avant toute comparaison de prix.
Pourquoi. Une offre moins chère mais non maîtrisable crée une dette de risque payée plus tard.
Décision. Imposer sous-traitants déclarés, droit d’audit, notification rapide, logs, réversibilité, effacement certifié, gestion des privilèges, coopération ANSSI.
Pourquoi. Le risque fournisseur doit devenir contractuellement contrôlable.
Décision. L’entreprise qui construit ou opère un SI critique ne peut être le seul acteur attestant sa sécurité.
Pourquoi. Le conflit d’intérêts affaiblit la valeur de l’audit.
Décision. Rendre un audit qualifié externe obligatoire avant ouverture d’un SI à impact souverain ou après changement majeur.
Pourquoi. La France dispose déjà du référentiel et de prestataires qualifiés.
Décision. Aucune faille critique n’est considérée fermée sur déclaration du développeur ; une seconde équipe vérifie.
Pourquoi. Évite les correctifs incomplets ou contournables.
Base documentaire : [O15]
Décision. Chaque ministère et opérateur critique dispose d’un contrat de réponse à incident mobilisable sans marché d’urgence improvisé.
Pourquoi. Les heures administratives perdues pendant une crise sont irréversibles.
Décision. Mutualiser supervision et réponse pour collectivités, établissements scolaires, hôpitaux ou opérateurs sans taille critique.
Pourquoi. Toutes les structures ne peuvent recruter un SOC complet ; l’absence de surveillance reste dangereuse.
Décision. Surveiller légalement forums, marchés, Telegram/Discord, dépôts et réutilisations de données ; diffuser des alertes aux victimes.
Pourquoi. La CNIL recommande la recherche de fuite sur Internet dans le respect du droit.
Décision. Archiver légalement les indicateurs publics afin de relier les alias, récurrences et cibles dans le temps.
Pourquoi. Le renseignement de menace gagne en valeur avec la mémoire historique.
Base documentaire : [P05]
Décision. Créer un portail unique pour chercheurs de bonne foi : périmètre, règles, chiffrement, délai de réponse et protection juridique adaptée.
Pourquoi. Réduit le risque que des failles restent sans interlocuteur ou soient publiées faute de réponse.
Base documentaire : [M04]
Décision. Après audit initial, ouvrir des programmes de récompense sur périmètres maîtrisés, avec règles strictes.
Pourquoi. Complète l’audit par une diversité de regards sans exposer les systèmes non préparés.
Base documentaire : [M04]
Décision. Renforcer l’INESIA avec un cyber-range sécurisé pour évaluer capacités offensives et défensives des modèles avancés.
Pourquoi. L’Institut existe déjà ; il faut étendre sa capacité d’évaluation à la réalité de la menace cyber.
Décision. Créer un banc d’essai protégé évaluant autonomie, découverte de vulnérabilités, chaîne d’actions et capacité de correction des IA.
Pourquoi. Les États-Unis ont explicitement prévu un benchmark classifié ; la France ne doit pas dépendre de leur seule mesure.
Décision. Négocier avec les fournisseurs un accès précoce ou une évaluation sous contrôle pour savoir ce qu’un adversaire pourra bientôt automatiser.
Pourquoi. Réduire le décalage entre capacités du marché et préparation défensive.
Base documentaire : [O20]
Décision. Financer une capacité européenne focalisée sur analyse de code, détection, correction et sécurité d’infrastructure, sans chercher nécessairement à battre tous les modèles généralistes.
Pourquoi. La dépendance à un fournisseur extra-européen unique est un risque stratégique.
Décision. Classifier les usages : données publiques, internes, sensibles, souveraines ; les niveaux élevés ne quittent pas des environnements approuvés.
Pourquoi. Un prompt peut constituer une sortie de données.
Décision. Chaque agent logiciel dispose d’un compte distinct, de droits minimaux, de jetons temporaires et de journaux d’action.
Pourquoi. Un agent IA ne doit jamais hériter implicitement des droits illimités d’un humain.
Base documentaire : [O17]
Décision. Suppression massive, modification de droits, déploiement ou accès à certaines données requièrent un humain ou un contrôle à deux clefs.
Pourquoi. L’autonomie défensive doit rester bornée par l’architecture.
Base documentaire : [O17]
Décision. Identifier les produits sans alternative et construire pour chacun un mode dégradé, une réversibilité ou un remplacement réaliste.
Pourquoi. Le Gouvernement reconnaît la nécessité de scénarios de rupture d’accès à des outils sous licence étrangère.
Décision. Pour les données sensibles, imposer une qualification et une maîtrise juridique proportionnées au risque, sans dogme uniforme pour toutes les données.
Pourquoi. Souveraineté = capacité de contrôle et de continuité, pas autarcie technique.
Décision. Recenser algorithmes, certificats, clefs, durées de confidentialité et dépendances avant migration.
Pourquoi. Les données capturées aujourd’hui peuvent être conservées pour déchiffrement futur.
Décision. Contractualiser à l’avance des experts du privé et de la recherche mobilisables pendant une crise majeure.
Pourquoi. Les compétences rares ne peuvent être recrutées le jour de l’incident.
Base documentaire : [O06]
Décision. Créer une filière où un expert peut progresser sans devenir manager ; rémunération ajustée aux compétences rares.
Pourquoi. La rétention est aussi importante que le recrutement.
Base documentaire : [I01]
Décision. Achever le cadre juridique et fournir un calendrier opérationnel aux milliers d’entités concernées.
Pourquoi. NIS2 structure gouvernance, gestion du risque et notification ; le retard fragilise l’harmonisation.
Base documentaire : [O19]
Décision. Chaque dirigeant d’entité critique signe ses risques cyber non traités et dispose d’objectifs chiffrés.
Pourquoi. France Travail montre qu’identifier une mesure sans l’appliquer ne suffit pas.
Base documentaire : [O13]
Décision. Publier patching, MFA, restauration, incidents, systèmes obsolètes et délais de confinement sans exposer de détail exploitable.
Pourquoi. La transparence force l’exécution tout en préservant les informations sensibles.
Base documentaire : [O06]
Décision. Classer chaque application ancienne : conserver, rénover, isoler, remplacer, supprimer ; date et budget obligatoires.
Pourquoi. Les systèmes anciens augmentent surface, dépendances et difficulté de patch.
Décision. Après le choc des 100 jours, maintenir un audit externe annuel et après changement majeur.
Pourquoi. La sécurité est un état dynamique ; le contrôle ponctuel se périme.
Décision. Faire tester les chaînes d’attaque de bout en bout sur environnement maîtrisé, avec équipe de défense évaluée.
Pourquoi. Un système peut être conforme et néanmoins contournable.
Base documentaire : [O15]
Décision. Créer un régime volontaire/sectoriel permettant d’identifier données industrielles critiques, bénéficier d’appui et imposer des contrôles aux fournisseurs.
Pourquoi. La sécurité économique est une composante de la souveraineté, même hors données personnelles.
Base documentaire : [O06]
Décision. Exiger périodiquement preuves de MFA, segmentation, sauvegarde, restauration, logs, fournisseurs, exercices — pas seulement un questionnaire.
Pourquoi. La conformité documentaire ne remplace pas la preuve technique.
Base documentaire : [O19]
Décision. Centraliser la coordination lorsqu’une vulnérabilité touche de nombreux ministères/organismes : identification des utilisateurs, correctif, diffusion sous embargo, retest.
Pourquoi. Évite que chaque organisme redécouvre la même vulnérabilité.
Décision. Présenter au Parlement un rapport public et une annexe classifiée sur dépendances, incidents systémiques, dette et capacité de reconstruction.
Pourquoi. La politique cyber engage des choix budgétaires, industriels et de libertés publiques qui exigent contrôle démocratique.
Base documentaire : [O06]
| Horizon | Véhicules réalistes | Objets |
|---|---|---|
| H+24 à J+30 | Instruction du Premier ministre, circulaires, décisions d’organisation, référentiels ANSSI/DINUM, clauses de marché | Cellule de crise, gel des accès permanents de tiers, inventaire Tier 0, conservation des logs, MFA privilégiée, quotas d’export, marchés d’urgence pré-négociés. |
| J+30 à J+100 | Décrets et arrêtés dans le champ réglementaire ; loi ou habilitation lorsque le domaine de la loi est touché | Classification fonctionnelle des données, responsabilités des dirigeants, obligations de preuve, dispositifs de contrôle, cadre de partage et de signalement. |
| 6 à 24 mois | Loi de programmation cyber/souveraineté, transposition NIS2/REC/DORA, réforme de la commande, dispositifs RH et budgétaires | Financement pluriannuel, filière experts, obligations des entités critiques, contrôle fournisseurs, réversibilité et souveraineté. |
Les ordonnances de l’article 38 de la Constitution ne sont utilisables que si le Parlement habilite le Gouvernement à intervenir temporairement dans le domaine de la loi. Le projet français NIS2/REC/DORA reste un véhicule central de consolidation juridique.
Le dossier de travail propose une enveloppe de programmation indicative de 1,55 à 2,25 milliards d’euros par an après audit, répartie entre destruction de dette technique, mutualisation territoriale, IA cyber/outils souverains et compétences/audits. Sur quatre ans, cela représente :
Bas : 1,55 × 4 = 6,20 milliards d’euros. Haut : 2,25 × 4 = 9,00 milliards d’euros.
Le symbole × signifie « multiplié par ». Ces montants sont une hypothèse de programmation, pas un coût certifié : le chiffrage définitif doit découler de l’inventaire des systèmes, licences, migrations, personnels, contrats et investissements réellement nécessaires.
À titre de comparaison de politique publique, l’Institut Montaigne proposait déjà un effort d’environ une centaine de millions d’euros par an pour le passage à l’échelle cyber des petites entreprises et collectivités ; le présent programme vise un périmètre beaucoup plus large incluant l’État, les systèmes critiques, les données et l’IA. Institut Montaigne
Sur cette page, les termes soulignés en pointillés affichent une définition au survol, au focus clavier ou au toucher. Le lexique complet ci-dessous reprend ces notions en langage courant.
JSON — 67 actions · CSV — 67 actions · JSON — registre des sources
Corpus arrêté au 16 août 2026. Il est large mais non exhaustif : les forums clandestins sont mouvants, parfois privés ou supprimés. Le programme privilégie donc les sources officielles et les sociétés de renseignement de menace qui surveillent ces espaces en continu.
Les sources officielles servent à établir les faits. FrenchBreaches et les sociétés de renseignement de menace servent à observer les revendications et tendances. Les études privées servent à concevoir ou comparer des politiques publiques. Une revendication d’attaquant ne devient jamais un fait officiel par simple répétition.
Aucune puissance ne peut garantir qu’aucun système ne sera jamais compromis. La promesse crédible est plus exigeante : si un compte est volé, si un fournisseur est compromis ou si une IA découvre une faille inconnue, la compromission locale ne doit pas devenir une compromission générale. L’État doit détecter, limiter, isoler, corriger, reconstruire et continuer.
La sécurité informatique doit devenir une condition d’existence du service public numérique : un responsable, une preuve, un délai et une conséquence lorsqu’une mesure critique identifiée n’est pas mise en œuvre.
Pour prolonger « Souveraineté numérique et intelligence artificielle : Analyse des 14 mesures », ces deux ouvrages détaillent la souveraineté numérique, l’IA publique, les garde-fous et leur articulation avec la réforme structurelle de l’État.
Le dossier fondateur : finances publiques, structures, calendrier et mesures.
Voir le livre et la lecture gratuite →
Comment utiliser l’intelligence artificielle pour simplifier, accélérer et améliorer les services publics.
Découvrir le livre →