Face à l’explosion des cyberattaques, ce dossier met en lumière les nouveaux défis auxquels sont confrontés les assureurs et les entreprises, entre prévention, résilience et adaptation aux exigences de la réglementation européenne, notamment DORA et NIS2. Un éclairage particulièrement utile sur un enjeu stratégique devenu majeur pour notre souveraineté économique.

Extrait :

« La France laisse s’installer une zone grise »
Olivier Cadic, sénateur (Union centriste) des Français établis à l’étranger

« La directive européenne NIS 2 devait être transposée en droit français avant le 17 octobre 2024. Pendant que les cyberattaques se multiplient, la France laisse s’installer une zone grise : celle d’un cadre juridique incomplet, d’obligations encore théoriques, et d’une responsabilité publique qui s’efface au moment où la menace s’intensifie. Le projet de loi dit “Résilience & Cybersécurité” qui transpose NIS 2 aux côtés de Dora impose notamment au secteur bancaire et de l’assurance un délai de deux mois pour installer un patch [processus pour organiser les mises à jour logicielles, corriger les vulnérabilités et maintenir la protection des systèmes d’information, NDLR]. Ce délai est fixé à une semaine aux États-Unis. Si l’entreprise française n’installe pas un patch rapidement, les cyberattaquants vont s’engouffrer dans la faille. Un assureur ne peut attendre que la loi soit appliquée. La France est aujourd’hui en retard, alors même que certains de nos partenaires comme la Belgique ont déjà transposé NIS 2 depuis dix-huit mois. Pour donner une garantie aux assureurs, je suis favorable à la norme ISO 27001 qui constitue aujourd’hui un référentiel reconnu en Belgique, car elle permet de répondre aux exigences de la directive NIS 2. »

Une cinquantaine de ministres, responsables gouvernementaux, parlementaires et experts internationaux de la cybersécurité m’ont fait l’honneur de participer à ces échanges. Tous étaient réunis à Paris à l’occasion du Paris Cyber Summit, organisé par Sébastien Garnault, fondateur de la Cyber Task Force.

En ouverture de cette rencontre, j’ai rappelé que les Balkans occidentaux ne sont pas à la porte de l’Europe : ils sont au cœur de sa sécurité démocratique. Confrontés quotidiennement aux cyberattaques, aux campagnes de désinformation et aux tentatives d’ingérence, ces pays constituent une véritable ligne de front dont l’expérience est précieuse pour l’ensemble des démocraties européennes.

Face à ces menaces, nous partageons une même exigence : renforcer notre résilience collective, réduire nos dépendances technologiques et développer une capacité crédible de dissuasion dans le cyberespace.

Plusieurs responsables gouvernementaux des Balkans occidentaux nous ont ensuite présenté l’état de la menace dans leurs pays respectifs ainsi que les réponses mises en œuvre pour y faire face : M. Stefan Andonovski, ministre de la Transformation numérique de la Macédoine du Nord ; M. Marash Dukaj, ministre de l’Administration publique du Monténégro ; M. Lulëzon Jagxhiu, ministre de la Numérisation et de l’Administration publique du Kosovo ; ainsi que Mme Enkeljeda Muçaj, vice-ministre des Infrastructures et de l’Énergie de l’Albanie.

Lors de cette journée, j’ai eu le plaisir de revoir M. Phil Stupak, ancien directeur adjoint national pour la cybersécurité à la Maison-Blanche et directeur principal Advocacy à l’ISC.

Cette rencontre a également été l’occasion de retrouver avec mon collègue Philippe Latombe. Nous présidons respectivement, à l’Assemblée nationale et au Sénat, les commissions spéciales chargées d’examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

Je remercie l’ensemble des intervenants et des participants pour la qualité des échanges, qui ont contribué au succès de cette rencontre placée sous le signe de la coopération, du partage d’expérience et de la défense de nos démocraties.

MON INTERVENTION (traduite en français) :

Avec Sébastien Garnault, fondateur de la Cyber Task Force et David Lashway, partner at Sidley Austin

Mesdames et Messieurs les ministres, vice-ministres, secrétaires d’État, directeurs,
Mesdames, Messieurs,
Chers partenaires et amis,

Bienvenue à Paris. Bienvenue au Sénat français.

C’est un grand plaisir et un honneur de vous accueillir aujourd’hui dans cette institution afin d’échanger sur des sujets de la plus haute importance : les défis technologiques, la cybersécurité, la résilience démocratique et, plus encore aujourd’hui, les profondes transformations induites par les progrès rapides de l’intelligence artificielle.

Ces questions ne sont plus de simples sujets techniques. Elles touchent à la souveraineté, à la sécurité, à la stabilité démocratique et à la coopération internationale. Elles concernent notre capacité, en tant que démocraties, à protéger nos institutions, nos citoyens, nos infrastructures critiques ainsi que l’intégrité du débat public.

En tant que vice-président de la commission des Affaires étrangères, de la Défense et des Forces armées du Sénat, et rapporteur pour avis du budget de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), je suis profondément convaincu que la cybersécurité est devenue l’une des dimensions essentielles de notre sécurité nationale et collective.

La France est engagée de longue date en faveur de la sécurité internationale et de la stabilité de l’Europe, aux côtés de ses partenaires, que je remercie également pour leur présence aujourd’hui.

Cet engagement est particulièrement fort lorsqu’il s’agit des Balkans occidentaux. Pour la France, les Balkans occidentaux ne constituent pas une région lointaine. Ils font partie intégrante de l’environnement stratégique européen. Leur stabilité, leur résilience et la solidité de leurs institutions démocratiques sont directement liées à la sécurité de l’ensemble du continent européen.

C’est pourquoi la France, comme l’Union européenne, a développé une stratégie claire en faveur des Balkans occidentaux, en soutenant les réformes, la coopération régionale, le renforcement de la résilience, la cybersécurité et la lutte contre la désinformation.

C’est également la raison pour laquelle le Parlement français, et tout particulièrement le Sénat, a soutenu et voté les investissements nécessaires au renforcement de ces efforts…

Lire la suite de mon intervention en français (traduction) / en anglais

J’assume pleinement cette position. Le chiffrement n’est pas un obstacle : c’est un pilier de la sécurité numérique. Introduire des « portes dérobées » reviendrait à créer des vulnérabilités exploitables par tous, bien au-delà des seuls services de renseignement.

Je n’ignore pas les impératifs opérationnels de nos services, mais des outils existent déjà, notamment via l’accès ciblé aux terminaux. Ma ligne est constante : protéger efficacement les Français sans compromettre la robustesse de nos systèmes numériques, qui est une condition de notre souveraineté et de la confiance de tous.

Médias – Blocage au Parlement sur l’interception des messageries chiffrées (TradingView, 05/05/2026)

Cyberattaques : la fragilité des administrations

Alors que des cyberattaques siphonnent les données de millions de Français sur les sites public qui sont pourtant sensibles et se devraient d’’être des bunkers (ANTS, ministère de l’Intérieur, de l’Éducation nationale, DGFIP etc.), le sénateur centriste Olivier Cadic déclare que « la priorité, c’est de responsabiliser les ministres et les fonctionnaires de ces administrations. Qui est responsable lorsqu’il y a une attaque ? Personne ne sait. Les responsabilités sont diluées. La France a une faiblesse au niveau de ses administrations publiques (…) Ces attaques altèrent la confiance des citoyens envers leurs gouvernants ». Il appelle à revoir la chaîne des responsabilités en plaçant à la tête des administrations un unique responsable de la cyberdéfense.

Cette réunion avait un objectif clair : alerter et sensibiliser l’ensemble de mes collègues sénateurs, tous conviés à cette séquence. Car la menace cyber est désormais omniprésente. Les attaques se multiplient, touchant en priorité nos PME, nos collectivités et nos établissements de santé. En 2024, pas moins de 420 000 demandes d’assistance ont été enregistrées par Cybermalveillance.gouv.fr, tandis que le phishing demeure le premier vecteur d’attaque.

J’ai rappelé l’urgence d’agir sur le plan législatif. Plus d’un an après son adoption au Sénat, le projet de loi de transposition des directives européennes NIS2, REC et DORA attend toujours d’être voté l’Assemblée nationale, alors même que la France accuse un retard préoccupant.

Cette audition visait à faire prendre conscience que la cybersécurité n’est plus seulement une affaire d’experts, mais un enjeu collectif. La pédagogie et la prévention sont, à cet égard, essentielles.

DOCUMENTAIRE – Don’t Go to the Police, réalisé par Ludoc, est un documentaire inédit produit par Orange Cyberdefense. Il plonge au cœur de la cybercriminalité mondiale à travers la traque du groupe Lockbit. Entre enquête internationale et témoignages d’experts, il montre comment une simple attaque peut paralyser des centaines de milliers d’entreprises et met en lumière les conséquences économiques, psychologiques et sociétales de cette « pandémie numérique ».
Voir la vidéo Don’t Go to the Police sur Youtube

Tout versement de rançon finance le terrorisme et incite les criminels à poursuivre leurs activités.

Je regrette que le Sénat se soit rangé à la vision d’une opportunité de marché pour les assurances afin de justifier le versement de rançons.

Ce 5 octobre, j’ai interrogé en commission des Affaires étrangères au Sénat, Stéphane Bouillon, secrétaire général du SGDSN (Secrétariat général de la défense et de la sécurité nationale) et Guillaume Poupard, directeur général de l’ANSSI (Agence nationale de la sécurité des systèmes d’information).

Ce programme comprend les moyens destinés au Secrétariat général de la défense et de la sécurité nationale (SGDSN), les fonds spéciaux et les crédits du groupement interministériel de contrôle (GIC).

Nos remarques et suggestions ont été reprises par la presse :

– La Lettre A : Les cyberattaques contre les ministères en hausse de 58 % en 2020. (02-12-2021)

Extrait : Chargée de contrer les attaques informatiques visant les réseaux de l’Etat, l’Agence nationale de la sécurité des systèmes d’information (Anssi) a connu une année 2020 particulièrement chargée. Selon les données que l’agence dirigée par Guillaume Poupard a transmises au sénateur Olivier Cadic, les cyberpompiers ont traité 128 incidents informatiques ciblant les ministères, contre 81 en 2019, soit une hausse de 58 %.
(…)
L’agence est beaucoup moins intervenue pour le compte du ministère des armées, une diminution qui ne laisse pas présager un nombre d’attaques en baisse. Le périmètre de l’Hôtel de Brienne est en effet couvert par le commandement de la cyberdéfense, mené par le général Didier Tisseyre. Or contrairement à celui portant sur l’année 2019, le rapport du sénateur Olivier Cadic occulte le nombre d’interventions réalisées par les cybermilitaires pour défendre leur ministère.
(…)
Enfin, si Olivier Cadic a vanté la réponse de l’Etat face aux cybermenaces, il a toutefois déploré le manque de financement du groupement d’intérêt public Acyma. Lire l’article

– L’Usine digitale : Les ministères ont connu une hausse des cyberattaques de 58% en 2020. (02-12-2021)

Extrait : Les cyberattaques visant les ministères ont connu une augmentation notable pendant la pandémie de Covid-19 en 2020 (…) 128 incidents ont été relevés par l’Agence nationale de la sécurité des systèmes d’information (Anssi), contre 81 en 2019 (+58%).
(…)
La pression ne faiblit pas en 2021, bien au contraire. “Selon le Secrétariat général de la défense et de la sécurité nationale, sur les neuf premiers mois de l’année 2021, le nombre de cyberattaques recensées a doublé par rapport à celui qui avait été dénombré sur l’ensemble de l’année 2020”, a précisé Olivier Cadic, toutes cibles confondues. Lire l’article

– Next Impact : Cybermalveillance.gouv.fr : un rapport parlementaire demande plus de moyens pour le GIP Acyma. (03-12-2021)

Extrait : Les sénateurs Olivier Cadic et Mickaël Vallet applaudissent le travail du groupement d’intérêt public (GIP) Actions contre la Cybermalveillance. Ce GIP ACYMA est derrière cybermalveillance.gouv.fr, site lancé en 2017 qui a connu une progression fulgurante.
(…)
Pour les auteurs du rapport parlementaire, il est désormais “urgent d’augmenter significativement ses moyens », pour les porter à au moins 3 millions d’euros. “Au vu des enjeux et de l’ampleur des risques encourus dans le champ cyber, un tel effort est indispensable et ne paraît pas hors de portée, surtout s’il est partagé entre ses différents membres”. Lire l’article

– Siècle Digital : Les cyberattaques visent plus régulièrement les ministères français. (06-12-2021)

Extrait : 20 millions d’euros seront consacrés à la mise en place de solutions nationales automatisées comme la création d’une plateforme antivirus qui devrait être utile pour les ministères. En parallèle, le gouvernement souhaite également accélérer le déploiement de l’open source au sein de l’administration.
(…)
Pour ce qui est de 2021, les résultats sont déjà alarmants alors que l’année n’est pas encore terminée. “Selon le Secrétariat général de la défense et de la sécurité nationale, sur les neuf premiers mois de l’année 2021, le nombre de cyberattaques recensées a doublé par rapport à celui qui avait été dénombré sur l’ensemble de l’année 2020”, a précisé Olivier Cadic, l’un des sénateurs ayant travaillé sur ce rapport. Lire l’article

En ma qualité de rapporteur pour avis pour les crédits budgétaires du SGDSN, j’ai interrogé Stéphane Bouillon sur la mise en place du plan de relance cyber.

Voir l’audition dans son intégralité et la réponse de Stéphane Bouillon à ma question >>> (12:02:02) LIEN