Accueil      En circonscription      Sénat      Bilan de mandat      Revue de Presse          Parcours      Contact     
    

Matinale du CyberCercle : “17 Cyber” et Cybermoi/s autour de Jérôme Notin

Belle Matinale de rentrée, organisée par le CyberCercle au Sénat, ce 12 septembre, en présence de Jérôme Notin, directeur général du GIP ACYMA (*) (Cybermalveillance.gouv.fr).

Au coeur des discussions le futur “17 Cyber” qui viendra compléter les dispositifs déjà mis en place pour répondre aux victimes (citoyens et organisations) de cyberattaques. Un dispositif d’appel 24h/24 qui, rappelons-le, permettra de qualifier la menace, poser un constat, donner des conseils, faire la mise en relation avec des prestataires et, enfin, accompagner les victimes dans l’étape de judiciarisation.

Je remercie Jérôme Notin d’avoir rappelé que je porte publiquement, depuis janvier 2019, cette « très belle idée d’un équivalent numérique du 17 police secours », reprise par le président de la République, début 2022, qu’il met cette année en place avec le ministère de l’Intérieur.

Ce fut également l’occasion pour les participants d’échanger sur la dynamique du Cybermoi/s. 1200 structures se sont engagées cette année, au mois d’octobre, pour relayer la campagne de sensibilisation auprès de leur réseau (#CyberEngagés).

L’accent a été mis en direction des entreprises, avec des vidéos à relayer, des messages-visuels sur les réseaux sociaux, et un mémento présentant des cas d’attaques et des recommandations issues des résultats d’une étude sur la maturité cyber des TPE-PME. +d’infos sur le site Cybermalveillance

Enfin, les discussions se sont orientées sur l’incontournable sujet de la transposition de NIS 2 qui mobilise toujours toutes les attentions (et passions !). A lire à ce propos Paroles de CyberCercle

Merci à Bénédicte Pilliet, présidente du CyberCercle, et à ses membres pour leur contribution à ma mission de contrôle de l’action du gouvernement.

(*) Créé en 2017, le groupement d’intérêt public Actions contre la Cybermalveillance (GIP ACYMA) a trois grandes missions : assister les victimes d’actes de cybermalveillance / prévenir les risques et sensibiliser les populations sur la cybersécurité / observer et anticiper le risque numérique par la création d’un observatoire.

Sénat – Cyber – Table ronde sur la transposition de la directive NIS 2

Dans la perspective de l’examen du projet de loi relatif « à la résilience des activités d’importance vitale, à la protection des infrastructures critiques, à la cybersécurité et à la résilience opérationnelle numérique du secteur financier », le Sénat avait envisagé la création d’une commission spéciale.

Compte tenu de la dissolution de l’Assemblée nationale, les travaux législatifs au Parlement ont été suspendus et le texte n’a toujours pas été adopté en Conseil des ministres.

En qualité de co-rapporteur, avec mon collègue Mickaël Vallet, pour avis sur le volet « Cyber » du programme 129 « Coordination du travail gouvernemental » du projet de loi de finances, j’ai néanmoins souhaité organiser, ce 20 juin, au Sénat, une table ronde réunissant les grands acteurs de la cybersécurité autour de l’Alliance pour la confiance numérique (ACN), du Cybercercle et de la Cyber task force, pour un échange de vues sur les problématiques de la transposition de la directive NIS 2 pour la filière de cybersécurité.

Il y a urgence. Chaque État membre de l’UE dispose d’un délai pour transposer NIS2 dans son droit national qui doit être respecté avant le 17 octobre 2024.

J’ai présidé les débats divisés en deux séquences :
. Démarche et agenda de transposition de la directive NIS 2
. Impact pour les entreprises et pour la filière de cybersécurité

Nos échanges ont permis de croiser les points de vue en donnant la parole aux représentants de l’écosystème des entités essentielles et des entités importantes (BITD, étatiques, collectivités et PME … ) sur la transposition de la directive NIS2 dans le droit français (*).

Cette directive vise à renforcer le principe de responsabilité (accountability) des acteurs économiques, avec des sanctions financières substantielles à la clé.

Aussi, l’intelligence collective, le dialogue et la concertation seront des socles essentiels pour ceux qui auront la responsabilité de mettre oeuvre ces nouveaux dispositifs et pour ceux qui devront les accompagner. « Et, au-delà, la question centrale de la place de la sécurité numérique dans les politiques publiques », a conclu Bénédicte Pilliet.

Je remercie chacun des participants pour avoir contribué à la réussite de cette réunion que j’ai eu le plaisir de co-animer avec Bénédicte Pilliet, présidente du CyberCercle, Yoann Kassianides, délégué général de l’ACN et Sébastien Garnault, fondateur du CyberTaskForce et du Paris Cyber Summit.

(à l’image) Plus tôt dans la matinée, toujours au Sénat, j’avais eu l’honneur de présider la 130ème Matinale mensuelle du CyberCercle, aux côtés de sa présidente Bénédicte Pilliet, sur la stratégie d’intelligence économique et de sécurité numérique développée par la DGA – Direction générale de l’armement – au service de la BITD. A ce titre, nous avons reçu Jean-Baptiste Kerveillant et Camille Lanet de la DGA. +d’images

– – – – –
(*) Julien Lopizzo de Semkel, Muriel de Marcos de MGM Solutions, Marc Bothorel de la CPME nationale, David Dany et Christophe Curtelin de La Preuve Numérique©, Mylene Jarossay du Cesin, Quentin Nicaud d’Elysium Security, Eric Hohbauer de Stormshield, Pierre Kirchner d’Equans Digital, et des représentants de Poste Groupe, le CEA, le ministère des Armées… sans oublier les senior advisors du CyberCercle : Stéphane Meynet, Christian Daviot et Yann Magnan.

Quelle est la date officielle d’entrée en vigueur de NIS 2 ?
La directive NIS 2 a été publiée le 27 décembre 2022 au Journal Officiel de l’Union européenne et elle prévoit un délai de 21 mois pour que chaque Etat membre transpose en droit national les différentes exigences réglementaires. NIS 2 rentrera donc en vigueur en France au plus tard en octobre 2024. Il est utile de préciser que la date d’entrée en vigueur ne correspond pas à la date d’application de l’ensemble des exigences réglementaires qui seront imposées aux entités régulées : certaines exigences seront d’application directe et d’autres seront soumises à un délai de mise en conformité. (Source ANSSI)

Cyber – Les 4 défis de la cybersécurité française en 2024

Ce 15 novembre, en qualité de co-rapporteur pour avis avec mon collègue Mickaël Vallet, j’ai défendu le budget du programme 129 « Coordination du travail gouvernemental » devant notre commission des Affaires étrangères, de la Défense et des Forces armées, qui a été approuvé à l’unanimité.

Les crédits du programme 129 que nous présentons chaque année portent sur l’action relative à la coordination de la sécurité et de la défense, et plus précisément sur la cybersécurité et la lutte contre les manipulations de l’information.

La cybersécurité mérite d’être érigée au rang de grande cause nationale et d’être dotée d’une stratégie nationale, incluant tout l’écosystème, pour répondre à 4 défis criants.

Mon intervention

Après consultation de personnalités de la sphère publique comme du secteur privé, nous voyons quatre défis principaux pour la cyber française en 2024 :

Défi 1 – D’abord, assurer la cybersécurité des Jeux olympiques et paralympiques 2024. Il n’y aura pas de médaille d’argent ou de bronze pour la France dans cette discipline ;

Défi 2 – Ensuite, coordonner l’ensemble des acteurs publics et privés de l’écosystème cyber autour d’une révision de la stratégie nationale de cybersécurité (la dernière datant de 2018) et du lancement de la plateforme numérique « 17 Cyber » en mars 2024 ;

Défi 3 – Dans le prolongement,  réussir la transformation de l’ANSSI en vue de la transposition de la directive NIS 2 (Network and Information Security). Celle-ci prévoit un accroissement du périmètre de compétence de l’agence de quelque 500 OIV à environ 15 000 entreprises dont le suivi constitue un changement d’échelle pour l’agence et nécessite une reconfiguration de son offre de services ;

Défi 4 – Enfin, s’ajoute un 4ème défi que nous avions développé dans notre rapport préparatoire à la LPM et qui concerne l’organisation, ou plutôt la réorganisation du dispositif de coordination pour répondre au « changement d’échelle » annoncé par l’ANSSI qui est de passer à une cybersécurité de masse.

Cette nécessité de refonte de la stratégie résulte des nombreux points d’attention que les services et entreprises que nous avons auditionnées ont soulevés :
– À commencer par un brouillard quant à l’organisation de la réponse aux incidents cyber entre l’ANSSI responsable des systèmes de l’Etat et des opérateurs d’importance vitale, la plateforme cybermalveillance responsable de tout le reste mais sans les moyens associés, et l’amorçage par l’ANSSI de centres régionaux ou sectoriels dont ni les services, ni le financement ne sont à ce jour garantis dans leur efficacité et leur pérennité.
– En réalité, chaque ministère et chaque entité s’est doté d’un coordinateur : l’ANSSI qui est à la fois un régulateur et un acteur, le Secrétariat général pour l’investissement dont nous avons rencontré ce matin le coordinateur, M. Florent Kirchner, mais aussi Cybermalveillance dont c’est le rôle d’être à la croisée de tous les chemins, et maintenant le ministère de l’Intérieur qui a pris la charge financière de la création de la future plateforme « 17 cyber » en application des annonces du Président de la République.

Le fait que la menace cyber soit largement prise en compte va en soi dans le bon sens comme le rappelait le directeur général de la Gendarmerie nationale. En revanche, il nous semble qu’une chaîne claire de traitement et d’escalade des incidents soit définie. Il nous a été certifié que ce travail était en cours. Nous prenons date pour le lancement du « 17 cyber » prévu en mars 2014. Mais à quelques mois de ce rendez-vous important il reste encore à définir les services offerts par cette plateforme numérique apportera à la population, et surtout comment la population sera informée de sa mise en service, selon quelle communication, avec quels crédits ?

Le message de l’ANSSI est de dire qu’il est encore trop tôt pour dessiner un « jardin à la française » et qu’il faut d’abord laisser l’écosystème public/privé de la cybersécurité se développer avant de tailler les haies. C’est une approche qui laisse certaines entreprises sur leur faim (Orange ou Thales), car elles ont besoin d’une feuille de route claire et d’y être associées notamment pour la transposition de la directive NIS 2 qui interviendra en octobre 2024.

Nous partageons ce besoin de clarification. Pour reprendre la métaphore du jardin à la française, il nous semble au contraire urgent de définir une organisation de coordination et de suivi de la qualité, bref de dessiner les allées du jardin dès maintenant, sinon le risque est de voir se développer une jungle. Si cette orientation perdure, il est à craindre que tout le monde soit perdu en cas d’incident national majeur et que  l’engorgement de nos services sera amplifié par des sollicitations multiples à différents endroits. J’ajoute que l’enjeu de sécurité des Jeux Olympiques justifie l’urgence de la concertation, ce qui est un métier nouveau pour l’ANSSI.

C’est pourquoi, parmi nos propositions figurent celles :
– Tout d’abord d’actualiser la stratégie nationale de cybersécurité (l’actuelle date de 2018) en y associant en amont tout l’écosystème sans oublier les collectivités locales, ni vos serviteurs ;
– Et de s’inspirer de la grande cause nationale de la sécurité routière qui a permis de réduire drastiquement le nombre de morts sur nos routes en confiant à un coordinateur unique la responsabilité de coordonner tous les moyens disponibles.

Est-ce le rôle de l’ANSSI ou d’un délégué interministériel clairement identifié ? C’est à l’exécutif de le décider mais c’est à nous de signaler que l’année 2024 est le bon moment pour le faire.

Au bénéfice de ces observations, nous vous proposons l’adoption des crédits de la mission « Direction de l’action du gouvernement ».

Audition – Cybersécurite et lutte contre les menaces hybrides – Q/R Vidéo 16m

Ce 18 octobre, la commission des Affaires étrangères, de la Défense et des Forces armées, présidée par Cédric Perrin, a consacré une audition à la cybersécurité et la lutte contre les menaces hybrides, en invitant les responsables du SGDSN, de l’ANSSI et de Viginum.

Avec mon collègue Mickaël Vallet, nous sommes intervenus en qualité de rapporteur pour avis sur les crédits du programme 129 « Coordination du travail gouvernemental » (gestion de crises, cyberdéfense, renseignement).

Mes questions ont porté sur quatre points principaux :
– La mise en œuvre de la directive européenne dite NIS 2 qui devrait conduire l’ANSSI à décupler son champ d’intervention
– La protection du grand public, des collectivités et des PME/TPE au travers du GIP ACYMA Cybermalveillance
– La définition des missions des CSIRT régionaux et leur coordination
– Le déploiement des activités de Viginum et sa visibilité

Je remercie chaleureusement nos interlocuteurs pour leurs réponses précises et circonstanciées à nos interrogations :
> Stéphane Bouillon, secrétaire général de la défense et de la sécurité nationale (SGDSN)
> Emmanuel Naëgelen, général de brigade aérienne, directeur adjoint de l’Agence nationale de sécurité des systèmes d’information (ANSSI)
> Marc-Antoine Brillant, chef du service de vigilance et de protection contre les ingérences numériques étrangères (Viginum)

VERBATIM

Merci monsieur le Président. Avant de commencer mon propos, je voudrais vous remercier, M. le Secrétaire général, vous trois, pour la clarté de votre propos. L’audition est captée, mais vous n’avez pas hésité à appeler un chat, un chat et caractérisé effectivement les états qui ne nous veulent pas que du bien. Je pense que c’est intéressant que vous puissiez le faire de la sorte.

Deuxième propos, c’est vous dire que lors des éditions précédentes, car cela fait maintenant plusieurs années que nous nous voyons, je veux vous dire que nous avons l’impression d’être écoutés et entendus. A ce titre, je voudrais vous remercier doublement.

Pour la première partie, entre les quelque 831 intrusions répertoriées en 2022 par l’ANSSI dans sa publication annuelle du panorama de la cybermenace, dont vous avez fait état, et les 170 000 demandes d’assistance reçues par le GIP Acyma Cybermalveillance, une clarification doit être apportée pour bien comprendre la stratégie du SGDSN pour atteindre l’objectif de la revue nationale stratégique d’une « résilience cyber de premier rang » aussi bien pour les opérateurs d’intérêt vital (OIV), les PME, les collectivités et les particuliers.

On a bien compris que pour le « haut du panier », l’application de la directive européenne dite NIS 2 devrait conduire l’ANSSI à décupler son champ de compétence. On part bien d’environ 700 OIV actuellement suivis par l’agence et d’après les estimations, vous nous dites désormais 15.000 entreprises pourraient être concernées lorsque la directive sera transposée d’ici fin 2024. Comment allez-vous vous confronter à ce défi pour réaliser ce passage de la cybersécurité à l’échelle industrielle, prévu par l’ANSSI ?
Avez-vous un calendrier de transposition de cette directive, une liste des obligations nouvelles qui pèseront sur les entreprises et une estimation du coût qu’elles devront supporter ? Quels services l’ANSSI leur apportera-t-elle ?

La semaine dernière, j’étais à Washington, où l’ancien président de PayPal était là. Il nous dit qu’ils subissaient 3 à 4 millions d’attaques par jour !

À l’autre extrémité du spectre, nous avons le grand public, nous avons les PME, les TPE et à peine une quinzaine de personnes et un budget de seulement 2 millions d’euros sont les moyens du GIP Cybermalveillance. Tout cela nous semble dérisoire pour couvrir les besoins du grand public, des collectivités, des PME et de ces associations. Quels objectifs fixez-vous à ce groupement notamment s’il est appelé à gérer le futur guichet unique « 17 cyber » que nous appelons de nos vœux au Sénat depuis maintenant cinq ans ? Je rappelle que le Président de la République l’a aussi demandé, il y a deux ans.

Entre les deux, vous avez fait la création de centres régionaux de réponse cyber. Ils ont été encouragés et financés dans le cadre du plan de relance. Leur montée en puissance est lente et leurs services très inégaux, d’après les remontées de terrain. Leur financement par l’État n’est pas pérenne et l’on comprend mieux pourquoi une région (Auvergne-Rhône-Alpe) n’est pas entrée dans le dispositif. Les autres régions (notamment la Nouvelle Aquitaine) redoutent de devoir reprendre à leur charge des missions de sécurité qu’elles estiment régaliennes. Quelles réponses apportez-vous sur le financement et la coordination de ces centres régionaux ? Disposez-vous d’un bilan de leurs actions ?

Enfin, je voudrais partager une réflexion, puisque j’étais il y a trois semaines à Taïwan et j’ai rencontré votre interlocuteur le SGDSN. Taïwan est certainement aujourd’hui la première destination des attaques où l’influence se combine avec l’ingérence, ces attaques venant de la Chine. Il s’avère que c’est le laboratoire des attaques cyber pour le monde et lorsqu’on a vu ces attaques testées sur Taïwan on les retrouve partout dans le monde. Taïwan organise des exercices internationaux cyber, je ne vais pas vous demander ici si vous allez y participer, mais je voudrais savoir si vous participez à des exercices internationaux au niveau de la cyber. Je vous remercie.

Il y avait aussi une question sur Viginum. Depuis la création de Viginum en 2021, il nous a semblé que ce service s’est montré très discret dans sa montée en puissance et la communication de ses résultats. À part une communication notable faite par le ministère des Affaires étrangères sur une affaire, vous l’avez évoquée, qui venait de Russie en Afrique, quelles actions pouvez-vous nous décrire pour justifier l’activité et le développement du service ?