Ces services étaient représentés par MM. Stéphane Bouillon, secrétaire général du SGDSN, Vincent Strubel, directeur général de l’ANSSI et Marc-Antoine Brillant, chef du Service de vigilance et de protection contre les ingérences numériques étrangères (Viginum), lors de leur audition budgétaire annuelle devant notre commission des Affaires étrangères et de la Défense, le 6 novembre dernier.

Face aux contraintes budgétaires, j’ai interrogé nos responsables sur deux points majeurs :

Sur le Name & Shame :
Stéphane Bouillon (SGDSN) a distingué deux types de réponse : soit l’attribution, lorsqu’on est sûr que tel ou tel état est en cause, soit l’imputation, lorsque l’attaque utilise des « modes d’action habituels des services chinois, russes ou autres ». Quoi qu’il en soit, les dossiers remontent au sommet de l’État, car nommer l’agresseur demeure du ressort de l’autorité politique « dans un système où il y a le jeu des relations internationales ».
Pour sa part, Vincent Strubel (ANSSI) estime que dénoncer publiquement une manipulation de l’information est une réponse très naturelle pour rétablir la vérité, mais que dans le domaine cyber, le Name and Shame « n’est pas forcément très dissuasif ». En revanche, il met en avant la pratique du partage de l’information, associée à celle du « démantèlement d’infrastructures techniques de l’attaquant ». Une pratique « qui se développe de plus en plus, en lien avec nos principaux alliés ».

Je tiens tout d’abord à m’associer aux propos du président pour saluer votre action et celle de vos services au cours de cette année 2024. Vous avez relevé le défi des Jeux olympiques dans un contexte géopolitique extrêmement tendu, rendu encore plus compliqué en politique intérieure par la succession des élections européennes et législatives.

Je veux donc saluer l’action de l’ANSSI, de Viginum et, évidemment, de tout l’écosystème qui vous entourait, ceux qui étaient en première ligne et qui ont répondu aux menaces cyber et informationnelles.

On pourrait dire que le dôme cyber a tenu.

Je disais l’an dernier qu’il n’y aurait pas de médaille d’argent en cas de défaillance de nos systèmes d’information ou de déstabilisation du bon déroulement des opérations électorales. Il n’en a rien été malgré des attaques bien réelles, vous l’avez rappelé. Il faut s’en féliciter et, comme vous M. Strubel, c’est effectivement une médaille d’or pour vos services et toutes vos équipes. Il est important de leur manifester toute notre reconnaissance d’avoir gagné cette bataille.

En qualité de sénateur de Français de l’étranger, je veux en profiter, comme Hélène, de vous exprimer notre gratitude pour le vote internet pour les Français de l’étranger qui a été très performant et qui montre aujourd’hui qu’il est devenu incontournable à l’étranger pour avoir une élection réussie.

Ce satisfecit ne doit pas nous empêcher de penser l’avenir. Ce budget pour 2025 ne répond manifestement pas aux besoins exprimés antérieurement par vos services :
– L’Anssi escomptait une croissance de ces effectifs et de son budget afin d’assumer les missions supplémentaires qui lui seront confiées après l’examen à venir du projet de loi relatif à la résilience des activités d’importance vitale, à la protection des infrastructures critiques, à la cybersécurité et à la résilience opérationnelle numérique du secteur financier. Au lieu de réguler l’activité d’environ 500 entités, cette agence devra changer d’échelle pour en gérer environ 15 000 ;
– Dans le même ordre d’idée, Viginum devait poursuivre sa croissance pour atteindre 65 ETP en 2025. Ce ne sera pas le cas et ses effectifs resteront identiques.

Ces deux cas de figure posent la question des priorités et des ajustements que vous devrez assumer. Cela pose également la question du périmètre des missions de l’ANSSI. Est-ce que l’agence pourra continuer à mener de front ses activités de régulateur, mais aussi d’acteur et parfois de prestataire de sécurité ?
On pourrait parler pour 2025, mais on ne peut pas regarder 2025 sans se projeter dans la suite et c’est ce qui est important.

J’ai une deuxième question sur la procédure. Lorsqu’on a discuté sur les attaquants, on avait dit que s’il y avait un podium, le premier pays des attaquants ce serait la Chine, ensuite la Russie et, en troisième position, l’Iran. Viginum agit aujourd’hui comme une force de réaction rapide pour contrer la désinformation et, on l’a vu, avec efficacité pour anticiper. Vous avez dénoncé, vous avez fait du “Name and Shame”, comme on dit en bon français. Effectivement, il faut nommer qui nous attaque, mais cela n’est pas toujours le cas. J’aimerais donc savoir quelle est la procédure qui détermine le fait que nous allons pouvoir nommer l’attaquant, puisqu’on voit bien que certaines attaques nous arrivent d’un certain endroit, mais elles ne sont pas dénoncées.

Sophie de Ravinel, Nicolas Quenel, journalistes, et Anthony Bellanger, éditorialiste à France Info TV sont venus enrichir le débat qui m’a permis de pointer que la Chine constituait le danger majeur, puisque la Russie ou l’Iran sont devenus ses proxys.

Quelque 250.000 personnes travaillent pour les services secrets chinois. Depuis 2017, une loi oblige les Chinois à collaborer avec ces services, ce qui concerne 60 millions de ressortissants résidant à l’étranger. Tous, loin de là, ne sont pas en faveur du Parti communiste chinois. Comment les aider à ne pas être instrumentalisés contre leur gré ?

En matière d’Ingérences étrangères, si la Russie est la tempête, le changement climatique est la Chine.

S’il existe différents dispositifs pour prévenir ou contrer ces actions, les auteurs de la proposition de loi constatent que « ces outils demeurent parfois insuffisants au regard de l’intensification de la menace que font peser les ingérences étrangères sur l’exercice de la souveraineté nationale ».

Je suis intervenu à différentes reprises lors des débats.

Pour appuyer un amendement communiste afin d’obtenir un rapport annuel du gouvernement sur les ingérences étrangères, plutôt que tous les deux ans.

Ou pour faire échouer un amendement communiste et écologiste destiné à s’opposer à l’utilisation d’algorithmes par nos services pour détecter automatiquement des ingérences étrangères.

L’objectif de ce texte est louable. Il faut effectivement combattre les ingérences étrangères et nous en sommes tous les témoins : de plus en plus, on voit que notre démocratie est attaquée. Pas seulement notre démocratie, toutes les démocraties.

Pour rejoindre M. Savoldelli, on a fait un texte, on va voter des articles, mais il y a aujourd’hui un organisme qui fait de l’ingérence étrangère, ouvertement, qui s’appelle le site de l’ambassade de la république de Chine qui a déclaré, en son temps, que nous laissions mourir nos retraités dans les EHPAD, qui attaque directement la liberté de la presse suite à l’émission « Envoyé spécial » qui faisait part des menaces contre une personne qui allait être emmenée en Chine.

Je vous invite à lire l’article : c’est une attaque en règle, une leçon sur la liberté de la presse venant d’un État qui pointe pratiquement à l’avant-dernière place en termes de liberté de la presse dans le monde.

Cette ingérence étrangère est là, elle existe et on ne fait rien. C’est ce que je vois et c’est ce qui m’inquiète.