PLF 2027 – Cybersécurité (SGDSN, ANSSI et VIGINUM) – Questions sur les failles et responsabilités – Vidéo Q/R (11’55)

Ce 21 octobre, notre commission a auditionné Nicolas Roche, secrétaire général du SGDSN, Vincent Strubel, directeur général de l’ANSSI, et Anne-Sophie Dhiver, cheffe adjointe de Viginum.

Depuis dix ans je suis rapporteur des crédits du programme 129, j’ai donc accompagné la montée en puissance de l’ANSSI et salué ses succès. Mais les cyberattaques à répétition contre les administrations révèlent une réalité préoccupante : les règles de sécurité existent (RGS-Référentiel général de sécurité et PSSIE- politique de sécurité des systèmes d’information de l’Etat), mais leur application et leur contrôle restent défaillants.

En fin d’audition Nicolas Roche a défendu le rôle des technocrates : « Nous sommes des fonctionnaires et, j’en profite pour le dire, des technocrates. J’assume le caractère très positif de ce terme. Je pense que l’état a besoin de techniciens et c’est ce que nous sommes pour l’état et dira à l’autorité politique ce que nous estimons être la hiérarchie des priorités que nous devons mettre en œuvre (…) et je suis convaincu que le modèle de cybersécurité qu’on a mis en place depuis maintenant 15 ans et dans lequel l’ANSSI a un rôle central est le bon ».

VERBATIM de mon intervention

M. le Secrétaire général,

Depuis 10 ans que la commission m’a confié le suivi des crédits du programme 129, j’ai accompagné la montée en puissance de l’ANSSI dans la lutte contre les menaces cyber. J’en ai salué les succès, notamment lors des Jeux olympiques de 2024, mais j’ai aussi soulevé des interrogations sur son articulation avec le GIP Acyma en charge de cybermalveillance, avec les centres de réponse aux crises cyber en régions. Avec mon collègue co-rapporteur Michaël Vallet, avant le renouvellement sénatorial, nous avions alerté sur le fait que le réseau de supervision de l’ANSSI ne couvrait pas tous les ministères.

L’actualité de cet été a éclairé d’une lumière crue les défaillances de l’État dans la protection de ses applications les plus sensibles : entre juin et août, le système d’information de la direction générale des finances publiques a subi trois intrusions successives majeures via une usurpation d’identifiants légitimes (aucune faille logicielle complexe n’a été exploitée). L’attaque a visé 678 000 comptes au total, compromettant les données de particuliers et de professionnels. Cela s’ajoute aux attaques de l’Urssaf en janvier impactant les données de 12 millions de salariés ; au vol et la publication sur le dark web de 2,1 millions de dossiers de ressortissants étrangers détenus par l’Office français de l’immigration et de l’intégration ; et à la compromission de données (passeports, cartes d’identité, cartes grises) dans les systèmes de l’Agence Nationale des Titres Sécurisés. Sans compter l’an dernier les intrusions dans des systèmes du ministère de l’Intérieur.

Cela pose de nombreuses questions :

– Quelles ont été les responsabilités respectives de l’ANSSI et des ministères concernés dans ces failles de sécurité ? Au-delà des excuses du ministre des Comptes publics sur les défaillances et les responsabilités, après un tel fiasco, comment accepter zéro responsable, zéro démission ?
– Un article du Canard enchaîné a révélé que l’ANSSI elle-même avait été attaquée, début août. Les victimes ont-elles été notifiées et pourquoi n’y a-t-il pas eu de transparence sur cet événement ? Avez-vous porté plainte ? La CNIL a-t-elle été saisie dans les délais ?
– Quels enseignements tirez-vous de ces séquences ? A mon sens, elles ne sont pas liées au retard pris sur la transposition de NIS 2. Ces services de l’État, opérateurs d’importance vitale sont déjà sous le contrôle de l’ANSSI. Le Référentiel général de sécurité et la politique de sécurité des systèmes d’information de l’Etat imposent depuis plus de 10 ans des mesures de sécurité numérique aux administrations centrales. Les fuites récurrentes montrent que ces textes ne sont ni appliqués, ni contrôlés. Monsieur le secrétaire général, il parait inadmissible qu’aucun directeur ne soit sanctionné, tant au niveau des ministères, tant au niveau de l’ANSSI. Avec quelle crédibilité l’Etat peut-il envisager d’imposer de nouvelles règles et des sanctions aux acteurs privés dans le cadre de NIS2 lorsqu’il ne fait pas respecter ses propres règles.

Le 12 octobre le CERT.FR a publié une alerte sur les vulnérabilités des systèmes de régulation du fabricant danois DANFOSS, c’était le lendemain de l’attaque qui a rompu la chaîne du froid de plusieurs dizaines de supermarchés. DANFOSS avait publié ces vulnérabilités dès 2023, puis en mars et août 2025. Une alerte après l’attaque pour des vulnérabilités connues depuis des années, je vous le demande : à quoi sert aujourd’hui le CERT.FR ?

Par ailleurs, l’agence avait lancé un portail « mes-services-cyber » destiné aux entreprises et collectivités qui se positionne en concurrence du 17cyber et de Cybermalveillance dont c’est la mission, pourquoi ?