"Il faut reprendre l'initiative sur le terrain." Face aux multiples piratages qui ont frappé des administrations françaises, notamment la Direction générale des finances publiques (DGFiP) et le ministère de l'Education nationale, Sébastien Lecornu a réclamé, mercredi 19 août, la création d'une "nouvelle unité" pour lutter contre les cyberattaques visant le "système d'information de l'Etat".
Dans un courrier adressé au secrétaire général de la Défense et de la Sécurité nationale, consulté par franceinfo, le Premier ministre demande la création d'"une équipe de contact composée d'agents de l'Anssi [l'Agence nationale de la sécurité des systèmes d'information]", qui sera "chargée d'intervenir en première ligne, en cas de suspicion d'atteinte grave à l'intégrité du système d'information de l'Etat".
Une équipe qui "existe déjà" au sein de l'Anssi
D'après son courrier, Sébastien Lecornu souhaite que cette nouvelle équipe soit "engagée en amont de crises potentielles, dès la violation d'accès sensibles" aux systèmes de l'Etat, "pendant la crise et à l'issue". Elle interviendrait directement sur place, "aux côtés des équipes du ministère ciblé". "Cette équipe existe déjà, ça s'appelle le Cert-FR !", répond le député de Vendée Philippe Latombe (Les Démocrates).
Au sein de la sous-direction des opérations de l'Anssi, on trouve effectivement une "équipe de réponse aux urgences informatiques" ("Computer emergency response team" ou Cert en anglais). "Ces agents sont un peu comme des pompiers, qui peuvent être envoyés sur place ou agir à distance, pour établir un diagnostic et prodiguer les premiers gestes en cas d'attaque", explique à franceinfo une source au fait du fonctionnement de l'agence.
L'Anssi est déjà intervenue directement au sein de ministères ou de certaines entreprises, notamment celles labellisées "opérateurs d'importance vitale" par l'Etat. Ainsi, "pendant trois mois en 2011, elle est intervenue à Bercy (eh oui !) pour remédier à une intrusion à des fins d'espionnage", rappelle sur LinkedIn Christian Daviot, conseiller spécial auprès du directeur général de l'Anssi entre 2009 et 2020.
Des interventions similaires ont été déclenchées lors de la cyberattaque contre TV5 Monde en 2015, ou du service du ministère des Affaires étrangères Ariane en 2018, soulignent des experts interrogés par franceinfo. "La proposition de Sébastien Lecornu est donc une méconnaissance de l'Anssi, car il s'agit de son rôle premier", résume un analyste au sein d'un Cert privé français. Contactée par franceinfo, l'agence n'a pas souhaité commenter la création d'une nouvelle entité.
"On risque de rajouter de la confusion"
Les contours de la nouvelle brigade voulue par Sébastien Lecornu restent flous. "On est tous curieux de savoir quelle forme ça va prendre", glisse un expert au sein d'un groupe de cybersécurité français indépendant. "L'unité sera-t-elle intégrée à l'Anssi ? Dans la même sous-direction que le Cert-FR, ou en dehors ? Avec quelle coordination ? Sera-t-elle composée d'agents de l'Anssi qui remplissaient déjà ces missions, au risque de déshabiller Paul pour habiller Jacques ?", s'interroge-t-il.
Les observateurs relèvent tout de même quelques nouveautés, déjà requises par le Premier ministre. L'unité pourra ainsi être "renforcée ponctuellement par des agents des équipes des services spécialisés du ministère des Armées et des Anciens combattants et du ministère de l'Intérieur", et devra "permettre l'intégration de réservistes", écrit Sébastien Lecornu. "Il y a matière à mobiliser les réservistes civils qui ont choisi de s'engager", estime Jean-Michel Mis, vice-président du groupe d'études Cybersécurité et souveraineté numérique de l'Assemblée nationale de 2018 à 2022, désormais président du cabinet d'influence Via Publica.
"Il faut utiliser [les réservistes] à bon escient : en cas de crise, je préfère qu'on fasse appel à des agents formés à ces missions et qui en font leur quotidien."
Jean-Michel Mis, président du cabinet d'influence Via Publica
à franceinfo
Le Premier ministre affirme également que cette unité lui "adressera systématiquement une analyse après action, afin de tirer tous les enseignements de ces attaques". "Apparemment, il considère que la chaîne opérationnelle actuelle ne produit pas les effets escomptés en termes de vitesse de réaction ou de qualité de la réponse à un incident", analyse pour franceinfo l'expert d'un groupe de cybersécurité indépendant.
Certains pointent toutefois un risque : augmenter encore la complexité du millefeuille de structures chargées d'une partie de la cybersécurité publique. Chaque ministère dispose en effet déjà de son propre Cert (ou d'un équivalent appelé CSIRT). Il existe aussi des CSIRT territoriaux ou sectoriels, le Commandement de la cyberdéfense (Comcyber), le Centre de coordination des crises cyber (C4)… Sans parler des services d'enquête côté police et gendarmerie. "En créant une nouvelle unité, on risque de rajouter de la confusion et d'avoir besoin d'une couche de coordination supplémentaire", avertit l'expert d'un groupe de cybersécurité indépendant.
Plus de moyens et plus de protections
La dimension politique de cette annonce n'échappe pas aux observateurs. D'après le courrier de Sébastien Lecornu, le secrétaire général de la Défense et de la Sécurité nationale doit remettre au Premier ministre "une proposition d'organisation et de règle d'engagement de cette nouvelle unité cyber, ainsi que les moyens qui lui sont alloués et le chef [qui sera désigné] à sa tête". L'échéance était fixée au vendredi 21 août. "Trois jours pour remettre un tel avis, c'est extrêmement court", souligne l'ex-député (LREM) de la Loire Jean-Michel Mis.
"Le Premier ministre voulait montrer qu'il réagit tout de suite, pour éviter de devoir gérer le dossier cyber en plus du budget 2027 à la reprise des travaux parlementaires."
Jean-Michel Mis, président du cabinet d'influence Via Publica
à franceinfo
Pour les experts interrogés, cette "nouvelle unité" n'est toutefois pas suffisante pour résoudre les problèmes de sécurité informatique en France. Nombre d'entre eux appellent plutôt à augmenter le budget de l'Anssi – dotée en 2025 d'une enveloppe de 44,2 millions d'euros et d'environ 650 agents, selon son rapport annuel. "On demande à une équipe de surveiller l'ensemble de la France, en ayant beaucoup moins de moyens que la majorité des entreprises qui dépendent d'elle", critique un analyste au sein d'un Cert privé. "Le marché du travail en cybersécurité est extrêmement concurrentiel, et les salaires de la fonction publique ne sont pas forcément au niveau pour attirer et conserver les talents sur le long terme", renchérit Jean-Michel Mis.
En amont des cyberattaques, "il faut plus de protections : imposer la généralisation de l'authentification multi-facteurs, le changement rapide des identifiants qui fuitent… Sinon, on cherchera à remplir une baignoire percée", recommande un expert au sein d'un groupe de cybersécurité français indépendant. Et en aval, "il faudrait tester les défenses des systèmes publics en permanence, avec des audits en conditions réelles, des conclusions transparentes et des amendes pour les entités qui ne sont pas au niveau", réclame l'analyste d'un Cert privé.
"L'Anssi doit être confortée dans son rôle"
"L'Anssi peut recommander des mesures de cybersécurité à un ministère, mais à la fin, c'est ce ministère qui tranche, et qui va aussi arbitrer en fonction des budgets ou d'autres facteurs", décrit une source au fait du fonctionnement de cette administration. L'agence "doit être confortée dans son rôle, pouvoir imposer des sanctions et se substituer à une autorité défaillante", abonde Jean-Michel Mis. "Il faut que le gendarme ait un sifflet et un revolver."
Le secteur est unanime sur un autre point : il faut transposer dans le droit français la directive européenne NIS 2, qui renforce les obligations en matière de cybersécurité (protection, formation, déclaration d'incident...) pour de nombreuses entités publiques et privées, sous peine de sanctions financières. Le texte a été adopté au niveau européen en 2024, mais est actuellement perdu dans les limbes de la navette parlementaire – au point que la Commission européenne a saisi la justice face aux lenteurs de la France.
