Cybersécurité de l’État, un changement d’échelle stratégique pour sanctuariser les moyens opérationnels

Le Gouvernement français a annoncé un nouveau plan d’actions pour renforcer la protection numérique de l’État. Présenté par le Premier ministre lors d’une visite à l’ANSSI, ce plan marque la volonté d’accélérer significativement les investissements et de renforcer la gouvernance cyber au niveau national.

Cette annonce intervient dans un contexte de menaces croissantes sur les systèmes d’information publics : augmentation continue des risques liés aux fuites de données, aux rançongiciels et aux attaques ciblant les opérateurs publics. Les récentes compromissions touchant plusieurs services étatiques d’importance, dont l’ANTS, ont mis en lumière les limites de socles numériques pourtant gérés par des ministères régaliens (intérieur…) dont l’ADN premier est justement de gérer la sécurité sous toutes ses formes.

Points clés

• Comment l’État français prévoit-il de renforcer durablement ses investissements en cybersécurité ?
• Pourquoi la cybersécurité est-elle devenue un enjeu stratégique de souveraineté nationale pour l’État ?
• Quelles nouvelles mesures opérationnelles et de gouvernance le gouvernement veut-il mettre en place pour mieux protéger les systèmes publics ?
• Quels enseignements les récentes cyberattaques contre les services publics tirent-elles sur les limites actuelles de la protection numérique de l’État ?

Le plan présenté repose sur plusieurs mesures structurantes (1)  dont la mise à disposition de ressources budgétaires dédiées à la cybersécurité :

• Premièrement, une enveloppe immédiate de 200 millions d’euros sera mobilisée afin de financer des investissements dans les outils de détection, les applications sécurisées et la cryptographie post-quantique.
• Deuxièmement, le Gouvernement souhaite renforcer durablement le financement de la cybersécurité publique via la création d’un fonds de modernisation numérique alimenté par les amendes prononcées par la CNIL. Cette mesure illustre une volonté de sanctuariser les budgets cyber dans un contexte de forte tension budgétaire.
• Par ailleurs, chaque ministère devra consacrer 5 % de son budget numérique à la cybersécurité à partir de 2027.

Ce plan propose également une évolution de la gouvernance cyber de l’État grâce à la fusion envisagée entre la Direction Interministérielle du Numérique (DINUM) et la Direction Interministérielle de la Transformation Publique (DITP). C’est un retour en arrière : il y a plus de 10 ans, existait en effet le Secrétariat Général pour la Modernisation de l'action Publique (SGMAP) qui cumulait les deux rôles (systèmes d’information et transformation). En outre, les missions actuelles de la DINUM et de la DITP vont bien au-delà de la cybersécurité. Vont-elles être préservées ?

La dernière mesure du plan propose une doctrine de protection renforcée avec des axes très opérationnels comme des exercices d'auto-attaque. Les services de sécurité de l'État devront tester eux-mêmes leurs propres vulnérabilités, afin d'identifier les failles avant les adversaires. Le recours à l'intelligence artificielle est recommandée notamment pour la détection des vulnérabilités.

Cette initiative s’inscrit plus largement dans la continuité de la stratégie nationale de cybersécurité 2026-2030, qui positionne désormais la cybersécurité comme un enjeu de souveraineté nationale, de stabilité démocratique et de compétitivité économique. Parmi les priorités affichées figurent le renforcement des talents cyber, l’élévation du niveau global de protection des infrastructures critiques et la préparation de la Nation aux crises cyber majeures. Précédemment en 2021, une stratégie nationale d'accélération pour la cybersécurité (2) avait déjà consacré 136 millions d’euros pour élever significativement le niveau de sécurité numérique de l’État et des services publics. Des centres d'alerte et de réaction aux attaques informatiques (CSIRT) destinés aux entreprises ou aux administrations de plusieurs régions avaient été déployés.

Cette nouvelle séquence gouvernementale met en lumière les limites des dispositifs existants. La France dispose déjà d’acteurs structurants comme l’ANSSI, la DINUM ou encore d’un cadre réglementaire parmi les plus avancés d’Europe. Pourtant, les incidents récents rappellent que les difficultés résident souvent moins dans l’absence de doctrine ou d’organisation que dans leur application concrète. Les vulnérabilités exploitées ces derniers mois montrent que certaines failles continuent d’exister au sein de systèmes critiques de l’État.

Pourtant les décideurs publics interrogés par Exaegis placent la cybersécurité en tête du top 10 de leurs projets numériques prioritaires. La prise de conscience est bien là, c’est probablement encore l’application concrète qui fait défaut. Leurs 7 actions privilégiées pour renforcer leur protection sont :

• La mise en place de plan de reprise ou continuité d’activités (PRA/PCA),
• L’authentification multi-facteurs,
• La surveillance et la détection des menaces (SOC),
• La gestion des identités et des accès (IAM),
• Les tests d’intrusions (pentests),
• Les audits cyber,
• La formation à la cybersécurité.

Il reste encore beaucoup à faire et pour l’écosystème cyber français, ce plan constitue néanmoins un signal fort. Il devrait accélérer les investissements publics dans les SOC, la détection avancée, la CTI, l’IA appliquée à la cybersécurité et les solutions de cyber-résilience. Il ouvre également des perspectives importantes pour les MSSP, les éditeurs spécialisés et les acteurs capables d’accompagner les administrations dans la modernisation de leurs capacités de défense. Exaegis estime le marché des logiciels et services numériques dédié à la cybersécurité pour le secteur public en France à plus de 700 millions d’euros en 2025 et devrait approcher le milliard d’euros en 2028.

L’enjeu n’est désormais plus uniquement stratégique ou budgétaire. Il devient profondément opérationnel. La réussite de ce plan dépendra autant des investissements engagés que de la capacité de l’État à sécuriser durablement ses pratiques numériques, à accélérer la remédiation des vulnérabilités et à renforcer la responsabilisation des différentes administrations face au risque cyber.