Dans le cadre du projet de loi de finances 2026, je suis intervenu ce 10 décembre en qualité de rapporteur pour avis de la commission des Affaires étrangères, de la Défense et des Forces armées pour le programme 129 « Coordination du travail gouvernemental » (gestion de crises, cyberdéfense, renseignement).
VERBATIM
Cela fait neuf ans que je présente le budget du programme 129 « Coordination du travail gouvernemental », et désormais, nul besoin d’expliquer son utilité : chacun connaît ou a subi une cyberattaque, qu’elle vise France Travail, l’Urssaf, un hôpital ou prenne la forme d’un faux message bancaire ou d’un faux colis.
L’objet de l’action n°2 « Coordination de la sécurité et de la défense » entre dans le champ de compétence de la commission des Affaires étrangères, de la Défense et des Forces armées au titre des fonctions de cybersécurité, de protection contre les ingérences numériques étrangères et de soutien aux services de renseignement, prévus par la Revue nationale stratégique 2025.
C’est d’ailleurs par ce qu’il concerne la défense et la sécurité nationale que ce budget est l’un des rares à augmenter par rapport à 2025, avec 431 millions d’euros pour 2026.
Seront donc confortés les moyens du SGDSN et avec lui : l’ANSSI, Viginum, l’OSSIC et les fonds spéciaux pour le financement des actions couvertes par le secret de la défense nationale.
La commission a proposé l’adoption des crédits de la mission « direction de l’action du Gouvernement ».
Je voudrais pour conclure évoquer plusieurs questions restées sans réponses qui sont autant de points d’alerte :
– de nouvelles stratégies nationales de cybersécurité et de lutte contre les manipulations de l’information avaient été annoncées l’an dernier.
Quand nous seront-elles communiquées et publiées ?
– les cyberattaques et les manipulations de l’information concernent toute la population, quand aurons-nous les retours d’expériences de l’ANSSI sur les attaques massives que j’ai évoquées ?
– en ma qualité également de président de la commission spéciale relative au projet de loi « Résilience et cybersécurité », j’évoque le problème des points d’entrée dans le dispositif de lutte contre les cyberattaques et surtout la manière dont l’ANSSI envisage la mise en œuvre réglementaire de la directive NIS 2.
Dans ce cadre, il est essentiel de rappeler que la norme ISO 27001, relative aux systèmes de management de la sécurité de l’information, constitue aujourd’hui un référentiel reconnu permettant de répondre aux exigences de la directive NIS2, notamment en Belgique où elle fait déjà office de standard de conformité.
La récente attaque contre l’Ursaf fait apparaître que les administrations comme les entreprises devraient s’y conformer au plus vite pour garantir un niveau homogène de protection et de résilience.
La question centrale est de savoir en quoi d’autres obligations imposées aux entreprises et aux collectivités leur permettront d’être mieux protégées ?
Il y a ici une révolution des esprits à mener au sein des services de l’État pour que la résilience et la sécurité ne soient pas l’affaire de quelques-uns mais de tous, comme la publication du guide « tous responsable » que je salue en espérant qu’il ajoute bientôt dans les numéros d’urgence le 17Cyber qui fêtera son premier anniversaire dans une semaine.
Jean-Noël Barrot : Une diplomatie française en mouvement, entre modernité et ambition
Madame, Monsieur, chers élus, chers amis,
La France, puissance d’équilibre et de dialogue, doit incarner une diplomatie à la hauteur des défis du XXIᵉ siècle. Dans un monde marqué par les tensions géopolitiques, les crises climatiques et les ingérences étrangères, une diplomatie moderne exige des moyens à la mesure de ses ambitions.
La diplomatie est à la Défense ce que la justice est à l’Intérieur : un pilier indispensable. Depuis son arrivée à la tête du Quai d’Orsay, Jean-Noël Barrot a impulsé une dynamique sans précédent. La stratégie French Response contre la désinformation, la lutte renforcée contre les narco-trafics, ou encore le sommet France-Afrique au Kenya en 2026 illustrent une volonté claire : réinventer notre partenariat avec l’Afrique et renforcer notre influence. Les Assises de la diplomatie parlementaire et de la coopération décentralisée complètent cette vision, en mobilisant tous les acteurs de notre rayonnement.
Ces avancées méritent d’être amplifiées.
Pourtant, un domaine cristallise les tensions : l’Agence pour l’enseignement français à l’étranger (AEFE). Avec 12 % du budget de l’action extérieure et des subventions passées de 200 à 400 millions d’euros en 15 ans, son modèle économique est devenu insoutenable.
Seuls 20 % des élèves scolarisés dans son réseau sont français, et les classes moyennes en sont progressivement exclues. La réforme engagée par Jean-Noël Barrot doit reposer sur trois principes : un juste coût, un juste prix, et une cohérence tarifaire internationale.
L’enjeu ? Réorienter les subventions vers les bourses et les outils garantissant l’accès à la langue et à la culture pour tous les enfants français.
Nos compatriotes de l’étranger, souvent sous-estimés, forment un réseau d’influence unique. Leur engagement quotidien renforce le rayonnement de la France. Il est temps de les considérer comme des partenaires stratégiques, et non comme des bénéficiaires passifs.
Si l’augmentation symbolique de 0,01 % des crédits (3,45 milliards d’euros) peut sembler modeste, l’ambition portée par Jean-Noël Barrot transcende ces contraintes. Preuve en est : il a été récompensé ce 10 décembre par le prix CEPR du décideur politique de l’année 2025, en reconnaissance de sa contribution exceptionnelle à l’élaboration des politiques publiques.
Sous son impulsion, j’observe que la diplomatie française avance, alliant rigueur budgétaire et vision stratégique. Le cap est tracé : celui d’une France offensive, moderne et solidaire.
Fidèlement,
Olivier Cadic
Sommaire :
HOMMAGE . Attentats du 13-Novembre 2015
SÉNAT – COMMISSION DES AFFAIRES ÉTRANGÈRES, DE LA DÉFENSE ET DES FORCES ARMÉES . PLF2026 – Action Extérieure de l’État – Discussion générale . MEAE – Assises de la diplomatie parlementaire . Budget 2026 – DFAE, AEFE, projets immobiliers . IPAC – Procès de Jimmy Lai – Réponse du Président de la République
FRANÇAIS DE L’ÉTRANGER . Face aux risques : lancement du guide « Tous responsables » . Enseignement du français : ma question écrite sur l’avenir du dispositif “PELF” . CA de l’AEFE (27/11/25) – Déclaration de l’ANEFE . Accueil des élèves du Collège du Léman – International School . TV5Monde au service du rayonnement culturel francophone
EN CIRCONSCRIPTION
> ÉTATS-UNIS – Floride / Miami (24-27 oct. 2025)
> ÉTATS-UNIS – Illinois / Chicago (28-29 oct. 2025)
> ÉTATS-UNIS – Massachusetts / Boston (30 oct. – 01 nov. 2025)
> ÉTATS-UNIS – New York (2-4 nov. 2025)
> PAYS-BAS – Amsterdam (6-7 nov. 2025)
> ROYAUME-UNI – Londres (8-12 Nov. 2025)
> DANEMARK – Copenhague (12 nov. 2025)
SÉNAT – CYBERSÉCURITÉ & IA . Cybersécurité – L’État doit renforcer sa culture qualité . Cybersécurité et ingérences étrangères – SGDSN, ANSSI et VIGINUM . Cybersécurité – Olvid
SÉNAT – BUDGET & IA . PLF2026 – Mon amendement pour supprimer le CEHR . PLF2026 – Mon amendement en faveur d’un “Bouclier fiscaL”
SÉNAT – RELATIONS INTERNATIONALES – GROUPES D’AMITIÉ . Institut français – Lancement de la Saison de l’Ukraine . Taiwan – Visite du ministre François Wu . Taiwan – Un budget de défense exceptionnel . La France au rendez-vous de la nouvelle économie irakienne . Roumanie – Fête nationale . Japon – Hommage à S.E. Makita Shimokawa . Liban – Fête nationale
MÉDIAS . Olivier Cadic : “Les Jeux Olympiques ont réussi puisqu’on les a préparés, la guerre c’est pareil” (Public Sénat – 03/12/2025) . Le Service volontaire sera-t-il utile ? (France24 – 27/11/2025) . “Déploiement d’un service militaire volontaire ?” (Public Sénat – 21/11/2025) . Olivier Cadic : “Flam est ce que la démocratie participative peut faire dans sa plus belle expression” (Françaisdanslemonde.fr – 15 nov. 2025) . “Nouvelle pratique mafieuse à Marseille ?”– Le Temps (Suisse) – 14 nov. 2025) . Olivier Cadic : « “La France, comme tous les autres pays, est victime d’ingérences étrangères extérieures” (Public Sénat – 06/11/2025)
Ce 19 novembre, en qualité de co-rapporteur pour avis avec mon collègue Mickaël Vallet, j’ai défendu le budget du programme 129 «Coordination du travail gouvernemental» (gestion de crises, cyberdéfense, renseignement) devant notre commission des Affaires étrangères, de la Défense et des Forces armées.
Ce programme repose sur trois piliers essentiels : la résilience cyber, l’autonomie d’appréciation et la capacité d’action dans les champs hybrides. Les crédits du SGDSN augmentent de 23 millions d’euros, incluant l’ANSSI, Viginum et l’OSIIC, tandis que ceux dédiés au renseignement progressent légèrement.
Mon exposé a pointé plusieurs préoccupations majeures. L’absence de publication des stratégies nationales de cybersécurité et de lutte contre les manipulations informationnelles, pourtant annoncées depuis un an, demeure inexpliquée.
L’ANSSI, de son côté, ne fournit pas suffisamment de retours d’expérience sur les cyberattaques massives ayant frappé France Travail, la DGFiP ou encore l’Urssaf. J’ai d’ailleurs proposé de lancer une mission flash sur le dernier incident concernant l’Urssaf, après avoir projeté le reportage de France Télévision (lien).
Alerté également sur le retard pris par la France dans la transposition des directives NIS2 et REC, un décalage susceptible d’entraîner une sanction européenne de 50 millions d’euros. S’agissant des ingérences numériques, on observe un contraste entre la capacité d’analyse de Viginum sur des élections à l’étranger et l’insuffisance d’investigations équivalentes lorsque cela se passe sur notre propre territoire.
Pour conclure, j’ai appelé à davantage de transparence, de réactivité et de culture qualité au sein de l’action publique.
Alors que les crédits consacrés à la sécurité et la défense, dont je suis le rapporteur avec mon collègue Mickaël Vallet (*) ne devrait pas subir de baisse de crédit (+6%), j’ai néanmoins fait remarquer que les budgets affectés à la cybersécurité par certaines entités privées sont sans commune mesure avec ceux de la nation !
Mon intervention s’est articulée autour de plusieurs axes : la stratégie nationale de cybersécurité et la stratégie de lutte contre les manipulations de l’information ; l’organisation nationale du dispositif cyber français en me référant aux Etats-Unis ; certains choix budgétaires de l’ANSSI ; la transposition de NIS2 ; les recommandations du rapport de la Cour des comptes et les mesures concrètes attendues, comme le filtre « anti-arnaque ».
Notre administration était représentée par MM. Nicolas Roche, secrétaire général du SGDSN, Secrétariat général de la défense et de la sécurité nationale ; Vincent Strubel, directeur général de l’ANSSI, Agence nationale de sécurité des systèmes d’information et Marc-Antoine Brillant, chef du Service de vigilance et de protection contre les ingérences numériques étrangères (Viginum), lors de leur audition budgétaire annuelle devant notre commission des Affaires étrangères et de la Défense, ce 4 novembre.
Votre rôle est central dans l’élaboration des stratégies nationales de défense et de sécurité de notre pays.
Après l’actualisation de la Revue nationale stratégique que vous étiez venu nous présenter au printemps dernier, comme notre président l’a rappelé, je me réjouis de vous entendre, cette fois en audition publique, sur les crédits de la coordination de la sécurité et de la défense du programme 129 de « coordination du travail gouvernemental ».
Le grand public ne vous connait pas. Pourtant vos services rendent des services essentiels à la population contre les cyberattaques et les ingérences étrangères ;
je pense évidemment à l’Agence nationale de sécurité des systèmes d’information (ANSSI) pour la cybersécurité, de l’ensemble des organismes d’intérêts vitaux (infrastructures, énergies, transports, etc.), des hôpitaux, des services publics et au sens large de tout le tissu socio-économique ;
et au service VIGINUM de lutte contre les ingérences numériques étrangères qui dévoile des menaces très concrètes orchestrées depuis l’étranger, que M. le chef de service de Viginum vient d’illustrer parfaitement.
D’après les données budgétaires pour 2026 les crédits de paiement de la coordination de la sécurité et de la défense soient confortés (et même en hausse de 6 % à 431 millions d’euros, contre 406,1 M€ en 2025).
On pourrait s’en réjouir, cependant à titre de comparaison, le budget cyber de la seule banque JP Morgan est de 1 milliard de dollars sur un budget IT de 15 milliards de dollars.
J’ai plusieurs questions sur l’utilisation de nos crédits.
– En premier lieu, à la même époque l’an dernier, il nous avait été annoncé pour 2025 d’abord l’actualisation de la stratégie nationale de cybersécurité, ensuite l’élaboration d’une stratégie de lutte contre les manipulations de l’information.
C’était également une demande de notre excellent collègue Rachid Temal en qualité de rapporteur de la commission d’enquête sur les politiques publiques face aux influences étrangères.
Qu’en est-il des stratégies de cybersécurité et de lutte contre les manipulations de l’information ?
Quand seront-elles publiées et a minima communiquées au Parlement ?
Cette question de la stratégie rejoint un constat que nous avons déjà fait sur l’organisation qui apparaît anarchique et inutilement coûteuse : nous avons des points d’entrée avec une multiplication des interlocuteurs institutionnels face aux cyberattaques : ANSSI, cyber-malveillance, les CERT sectoriels (computer emergency response team), et les CSIRT régionaux (computer security incident response team).
À titre de comparaison, aux Etats-Unis, le bureau local du FBI est le seul point d’entrée. Les USA ont unifié l’ensemble du dispositif pour tracer les cyber-attaquants.
On remplit une plainte et le FBI bloque les transactions de paiement des rançons.
Nous pensions que la création du 17Cyber et que le projet de loi Résilience & Cybersécurité allait conduire l’ANSSI à mettre de l’ordre et de la lisibilité sur le rôle des différents acteurs.
Bien au contraire, nous avons appris au cours de nos auditions préparatoires que l’ANSSI avait lancé pendant l’été 2025 un appel à manifestation d‘intérêt (AMI) pour le renforcement de l’accompagnement local aux enjeux de cybersécurité, doté de quelque 7 millions d’euros.
Ces fonds contribuent au financement des CSIRT, alors même que le directeur de l’Anssi avait pris l’engagement en juillet devant le président Philippe Latombe de la commission spéciale à l’AN, de ne plus les financer.
Par contre pour GIP ACyma : rien.
Pourquoi ce revirement et ce dispositif qui ne figurait pas au PLF 2025 ?
Quels sont les résultats attendus qui justifient cette dépense et l’arrivée de nouveaux intervenants ?
Concernant la mise en œuvre du projet de loi relatif à la résilience des entités critiques et au renforcement de la cybersécurité, le Sénat a rempli sa mission.
Il a adopté dès mars dernier, sous ma présidence, un texte modifié en première lecture, qui attend toujours de passer à l’Assemblée nationale…
L’ANSSI n’a toujours pas indiqué en quoi consisterait NIS2 pour les entreprises françaises.
Ne craignez vous pas de mettre nos entreprises en retard ou en danger en faisant planer l’incertitude, voire en ne leur suggérant pas d’être certifiés ISO 27001, pour s’aligner sur nos voisins belges puisque nous parlons d’une directive européenne ?
Pour nos banques qui officient aux Etats-Unis, les attentes du régulateur américain sont supérieures au règlement européen Dora.
À titre d’exemple, pour le Vulnérability Patch Management, le délai de réponse exigé par la FED est d’une semaine.
Il est de 3 mois chez nous.
Comment justifier cette distorsion qui fait courir un risque de responsabilité important à nos établissements financiers vis à vis des autorités américaines ?
Enfin, la cour des comptes a publié un rapport relatif à “La réponse de l’État aux cybermenaces sur les systèmes d’information civils”, dont plusieurs des 11 recommandations rejoignent nos sujets de préoccupation, notamment la nécessité de mettre en place à court terme un observatoire national de la cybermenace, centralisant à l’échelle nationale les données et analyses utiles.
Les vols de données massives chez France Travail, DGFIP, Santé nous inquiètent et révèlent des échecs cuisants pour nos systèmes qui affectent des dizaines de millions de compatriotes.
Quand disposerons-nous de cet observatoire pour suivre concrètement l’efficacité de notre réponse aux attaques cyber ?
Le filtre « anti-arnaque » qui existe dans de nombreux pays a été voté en France en 2024 dans la loi SREN promulguée depuis 18 mois. Nous déplorons 50 800 dépôt de plainte via la plateforme dédiée aux e-escroqueries en 2024. Quand est-ce que le filtre entrera en vigueur ?
Cela fait déjà beaucoup de questions, principalement dans le domaine cyber, et mon collègue Mickaël Vallet pourra les compléter.
(*) Rapport pour avis sur les crédits de l’action n°2 du programme 129 « Coordination du travail gouvernemental » (gestion de crises, cyberdéfense, renseignement), au nom de la commission des Affaires étrangères et de la Défense.
Participation à deux séquences, ce 19 novembre, ayant trait à mon activité dans le domaine cyber.
1️⃣ Tout d’abord, un échange à Matignon avec François Cornut-Gentille, chef du pôle Défense au cabinet du Premier ministre, en présence de Thierry Perardel, conseiller technique défense.
J’ai remercié François Cornut-Gentille de m’offrir, pour la première fois depuis 2017, l’opportunité de partager mon expérience de 7 années, en qualité de co-rapporteur pour avis du programme 129 “Coordination du travail gouvernemental”.
Nous avons évoqué le budget du SGDSN, l’évolution de l’ANSSI et les défis imposés par les conséquences de la transposition de la directive NIS2, la création réussie de Viginum, l’impérative nécessité de lancer le “17 cyber” et de renforcer le GIP ACYMA, les retards du filtre anti-arnaque, l’IHEDN…
2️⃣ première réunion de travail avec Patrick Chaize et Hugues Saury, rapporteurs de la commission spéciale chargée d’examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, ce 19 novembre.
Notre objet était de fixer la répartition des articles entre les rapporteurs et les prochaines dates de réunions et d’auditions.
Le dôme cyber a tenu ! Je n’ai pas manqué l’occasion de féliciter nos services pour leur action émérite durant les Jeux Olympiques et les scrutins électoraux qui a résisté aux attaques cyber et informationnelles à grande échelle observées en 2024.
Ces services étaient représentés par MM. Stéphane Bouillon, secrétaire général du SGDSN, Vincent Strubel, directeur général de l’ANSSI et Marc-Antoine Brillant, chef du Service de vigilance et de protection contre les ingérences numériques étrangères (Viginum), lors de leur audition budgétaire annuelle devant notre commission des Affaires étrangères et de la Défense, le 6 novembre dernier.
Face aux contraintes budgétaires, j’ai interrogé nos responsables sur deux points majeurs :
Sur le Name & Shame :
Stéphane Bouillon (SGDSN) a distingué deux types de réponse : soit l’attribution, lorsqu’on est sûr que tel ou tel état est en cause, soit l’imputation, lorsque l’attaque utilise des « modes d’action habituels des services chinois, russes ou autres ». Quoi qu’il en soit, les dossiers remontent au sommet de l’État, car nommer l’agresseur demeure du ressort de l’autorité politique « dans un système où il y a le jeu des relations internationales ».
Pour sa part, Vincent Strubel (ANSSI) estime que dénoncer publiquement une manipulation de l’information est une réponse très naturelle pour rétablir la vérité, mais que dans le domaine cyber, le Name and Shame « n’est pas forcément très dissuasif ». En revanche, il met en avant la pratique du partage de l’information, associée à celle du « démantèlement d’infrastructures techniques de l’attaquant ». Une pratique « qui se développe de plus en plus, en lien avec nos principaux alliés ».
Sur les ajustements du périmètre de l’ANSSI pour tenir compte des contraintes budgétaires liées à NIS 2
M. Bouillon s’est loué du rôle de coordination interministérielle de l’ANSSI, qui est également une structure opérative. Il faut préserver cette possibilité de réunir tous les ministères, évaluer les cyber-précautions de chacun et, au final, « proposer des orientations et actions à mener au Premier ministre ». Une mission de « chef d’orchestre » également saluée par M. Strubel « qui permet d’intervenir dans tous les champs et qui est garant d’une forme de cohérence dans l’ensemble des réponses de toute nature à la cyber-menace ». Pour ce faire, le directeur de l’ANSSI a mentionné qu’il délègue « énormément au secteur privé le traitement des incidents », tout en gardant la main sur les opérations.
VERBATIM de mon intervention
Je tiens tout d’abord à m’associer aux propos du président pour saluer votre action et celle de vos services au cours de cette année 2024. Vous avez relevé le défi des Jeux olympiques dans un contexte géopolitique extrêmement tendu, rendu encore plus compliqué en politique intérieure par la succession des élections européennes et législatives.
Je veux donc saluer l’action de l’ANSSI, de Viginum et, évidemment, de tout l’écosystème qui vous entourait, ceux qui étaient en première ligne et qui ont répondu aux menaces cyber et informationnelles.
On pourrait dire que le dôme cyber a tenu.
Je disais l’an dernier qu’il n’y aurait pas de médaille d’argent en cas de défaillance de nos systèmes d’information ou de déstabilisation du bon déroulement des opérations électorales. Il n’en a rien été malgré des attaques bien réelles, vous l’avez rappelé. Il faut s’en féliciter et, comme vous M. Strubel, c’est effectivement une médaille d’or pour vos services et toutes vos équipes. Il est important de leur manifester toute notre reconnaissance d’avoir gagné cette bataille.
En qualité de sénateur de Français de l’étranger, je veux en profiter, comme Hélène, de vous exprimer notre gratitude pour le vote internet pour les Français de l’étranger qui a été très performant et qui montre aujourd’hui qu’il est devenu incontournable à l’étranger pour avoir une élection réussie.
Ce satisfecit ne doit pas nous empêcher de penser l’avenir. Ce budget pour 2025 ne répond manifestement pas aux besoins exprimés antérieurement par vos services :
– L’Anssi escomptait une croissance de ces effectifs et de son budget afin d’assumer les missions supplémentaires qui lui seront confiées après l’examen à venir du projet de loi relatif à la résilience des activités d’importance vitale, à la protection des infrastructures critiques, à la cybersécurité et à la résilience opérationnelle numérique du secteur financier. Au lieu de réguler l’activité d’environ 500 entités, cette agence devra changer d’échelle pour en gérer environ 15 000 ;
– Dans le même ordre d’idée, Viginum devait poursuivre sa croissance pour atteindre 65 ETP en 2025. Ce ne sera pas le cas et ses effectifs resteront identiques.
Ces deux cas de figure posent la question des priorités et des ajustements que vous devrez assumer. Cela pose également la question du périmètre des missions de l’ANSSI. Est-ce que l’agence pourra continuer à mener de front ses activités de régulateur, mais aussi d’acteur et parfois de prestataire de sécurité ?
On pourrait parler pour 2025, mais on ne peut pas regarder 2025 sans se projeter dans la suite et c’est ce qui est important.
J’ai une deuxième question sur la procédure. Lorsqu’on a discuté sur les attaquants, on avait dit que s’il y avait un podium, le premier pays des attaquants ce serait la Chine, ensuite la Russie et, en troisième position, l’Iran. Viginum agit aujourd’hui comme une force de réaction rapide pour contrer la désinformation et, on l’a vu, avec efficacité pour anticiper. Vous avez dénoncé, vous avez fait du “Name and Shame”, comme on dit en bon français. Effectivement, il faut nommer qui nous attaque, mais cela n’est pas toujours le cas. J’aimerais donc savoir quelle est la procédure qui détermine le fait que nous allons pouvoir nommer l’attaquant, puisqu’on voit bien que certaines attaques nous arrivent d’un certain endroit, mais elles ne sont pas dénoncées.
Avec mon collègue Mickaël Vallet, en qualité de rapporteurs du programme 129 “Coordination du travail gouvernemental” (gestion de crises, cyberdéfense, renseignement), nous avons présenté notre avis budgétaire devant notre commission des Affaires des étrangères et de la Défense, le 15 novembre dernier.
Notre rapport a été publié et il en ressort que l’exercice 2024 se caractérise par un renforcement des moyens de l’agence nationale de la sécurité des systèmes d’information (ANSSI) et du service de vigilance et de protection contre les ingérences numériques étrangères (Viginum), constituant ainsi le volet civil de l’effort prévu par la loi de programmation militaire 2024-2030 (4 milliards d’euros de besoins programmés sur la période).
Pour répondre au « changement d’échelle » annoncé par l’ANSSI qui est de passer à une cybersécurité de masse, nous avons ont identifié 4 principaux défis à relever :
– assurer la cybersécurité des Jeux olympiques et paralympiques 2024. Pour l’image internationale de la France, il n’y aura pas de médaille d’argent ;
– coordonner l’ensemble des acteurs publics et privés de l’écosystème cyber autour d’une révision de la stratégie nationale de cybersécurité (la dernière datant de 2018) et du lancement de la plateforme numérique « 17 Cyber » en mars 2024 ;
– réussir la transformation de l’ANSSI en vue de la transposition de la directive NIS 2 (Network and Information Security3(*)). Celle-ci prévoit un accroissement du périmètre de compétence de l’agence de quelque 500 OIV à environ 15 000 entreprises dont le suivi constitue un changement d’échelle pour l’agence et nécessite une reconfiguration de son offre de services ;
– réorganiser le dispositif de coordination en s’inspirant de la grande cause nationale de la sécurité routière qui a permis de réduire drastiquement le nombre de morts sur nos routes en confiant à un coordinateur interministériel clairement identifié la responsabilité de coordonner tous les moyens disponibles.
Ce 18 octobre, la commission des Affaires étrangères, de la Défense et des Forces armées, présidée par Cédric Perrin, a consacré une audition à la cybersécurité et la lutte contre les menaces hybrides, en invitant les responsables du SGDSN, de l’ANSSI et de Viginum.
Avec mon collègue Mickaël Vallet, nous sommes intervenus en qualité de rapporteur pour avis sur les crédits du programme 129 « Coordination du travail gouvernemental » (gestion de crises, cyberdéfense, renseignement).
Mes questions ont porté sur quatre points principaux :
– La mise en œuvre de la directive européenne dite NIS 2 qui devrait conduire l’ANSSI à décupler son champ d’intervention
– La protection du grand public, des collectivités et des PME/TPE au travers du GIP ACYMA Cybermalveillance
– La définition des missions des CSIRT régionaux et leur coordination
– Le déploiement des activités de Viginum et sa visibilité
Je remercie chaleureusement nos interlocuteurs pour leurs réponses précises et circonstanciées à nos interrogations :
> Stéphane Bouillon, secrétaire général de la défense et de la sécurité nationale (SGDSN)
> Emmanuel Naëgelen, général de brigade aérienne, directeur adjoint de l’Agence nationale de sécurité des systèmes d’information (ANSSI)
> Marc-Antoine Brillant, chef du service de vigilance et de protection contre les ingérences numériques étrangères (Viginum)
VERBATIM
Merci monsieur le Président. Avant de commencer mon propos, je voudrais vous remercier, M. le Secrétaire général, vous trois, pour la clarté de votre propos. L’audition est captée, mais vous n’avez pas hésité à appeler un chat, un chat et caractérisé effectivement les états qui ne nous veulent pas que du bien. Je pense que c’est intéressant que vous puissiez le faire de la sorte.
Deuxième propos, c’est vous dire que lors des éditions précédentes, car cela fait maintenant plusieurs années que nous nous voyons, je veux vous dire que nous avons l’impression d’être écoutés et entendus. A ce titre, je voudrais vous remercier doublement.
Pour la première partie, entre les quelque 831 intrusions répertoriées en 2022 par l’ANSSI dans sa publication annuelle du panorama de la cybermenace, dont vous avez fait état, et les 170 000 demandes d’assistance reçues par le GIP Acyma Cybermalveillance, une clarification doit être apportée pour bien comprendre la stratégie du SGDSN pour atteindre l’objectif de la revue nationale stratégique d’une « résilience cyber de premier rang » aussi bien pour les opérateurs d’intérêt vital (OIV), les PME, les collectivités et les particuliers.
On a bien compris que pour le « haut du panier », l’application de la directive européenne dite NIS 2 devrait conduire l’ANSSI à décupler son champ de compétence. On part bien d’environ 700 OIV actuellement suivis par l’agence et d’après les estimations, vous nous dites désormais 15.000 entreprises pourraient être concernées lorsque la directive sera transposée d’ici fin 2024. Comment allez-vous vous confronter à ce défi pour réaliser ce passage de la cybersécurité à l’échelle industrielle, prévu par l’ANSSI ?
Avez-vous un calendrier de transposition de cette directive, une liste des obligations nouvelles qui pèseront sur les entreprises et une estimation du coût qu’elles devront supporter ? Quels services l’ANSSI leur apportera-t-elle ?
La semaine dernière, j’étais à Washington, où l’ancien président de PayPal était là. Il nous dit qu’ils subissaient 3 à 4 millions d’attaques par jour !
À l’autre extrémité du spectre, nous avons le grand public, nous avons les PME, les TPE et à peine une quinzaine de personnes et un budget de seulement 2 millions d’euros sont les moyens du GIP Cybermalveillance. Tout cela nous semble dérisoire pour couvrir les besoins du grand public, des collectivités, des PME et de ces associations. Quels objectifs fixez-vous à ce groupement notamment s’il est appelé à gérer le futur guichet unique « 17 cyber » que nous appelons de nos vœux au Sénat depuis maintenant cinq ans ? Je rappelle que le Président de la République l’a aussi demandé, il y a deux ans.
Entre les deux, vous avez fait la création de centres régionaux de réponse cyber. Ils ont été encouragés et financés dans le cadre du plan de relance. Leur montée en puissance est lente et leurs services très inégaux, d’après les remontées de terrain. Leur financement par l’État n’est pas pérenne et l’on comprend mieux pourquoi une région (Auvergne-Rhône-Alpe) n’est pas entrée dans le dispositif. Les autres régions (notamment la Nouvelle Aquitaine) redoutent de devoir reprendre à leur charge des missions de sécurité qu’elles estiment régaliennes. Quelles réponses apportez-vous sur le financement et la coordination de ces centres régionaux ? Disposez-vous d’un bilan de leurs actions ?
Enfin, je voudrais partager une réflexion, puisque j’étais il y a trois semaines à Taïwan et j’ai rencontré votre interlocuteur le SGDSN. Taïwan est certainement aujourd’hui la première destination des attaques où l’influence se combine avec l’ingérence, ces attaques venant de la Chine. Il s’avère que c’est le laboratoire des attaques cyber pour le monde et lorsqu’on a vu ces attaques testées sur Taïwan on les retrouve partout dans le monde. Taïwan organise des exercices internationaux cyber, je ne vais pas vous demander ici si vous allez y participer, mais je voudrais savoir si vous participez à des exercices internationaux au niveau de la cyber. Je vous remercie.
Il y avait aussi une question sur Viginum. Depuis la création de Viginum en 2021, il nous a semblé que ce service s’est montré très discret dans sa montée en puissance et la communication de ses résultats. À part une communication notable faite par le ministère des Affaires étrangères sur une affaire, vous l’avez évoquée, qui venait de Russie en Afrique, quelles actions pouvez-vous nous décrire pour justifier l’activité et le développement du service ?
En 2022, plus de 170 000 demandes d’assistance ont été reçues par Cybermalveillance, dont 90% émanant de collectivités territoriales… Toute vulnérabilité des systèmes (établissements de santé, collectivités territoriales et PME) est désormais exploitée par les cybercriminels.
Avec mon collègue Mickaël Vallet, nous proposons de faire évoluer notre doctrine à travers un rapport intitulé “une coordination de la cyberdéfense plus offensive dans la loi de programmation militaire 2024-2030”. Ce travail a été conduit au nom de la commission des Affaires étrangères, de la Défense et des Forces armées du Sénat, présidée par Christian Cambon.
Si la chaîne de commandement militaire intègre une fonction offensive, c’est sans équivalent en cas de cyber-attaque sur des objectifs civils. C’est pourquoi la nouvelle loi de programmation militaire (LPM) prévoit un soutien militaire à l’Agence nationale de sécurité des systèmes d’information (ANSSI), en cas de crise majeure et un renforcement de ses capacités d’analyse.
Ainsi, en s’appuyant sur le potentiel de l’ANSSI et la caractérisation des attaques informationnelles relevant de Viginum, nous souhaitons, avec Mickaël Vallet, inciter le gouvernement à adopter une stratégie plus offensive, une « cyber dissuasion ».
A ce titre, nous saluons la dénonciation claire, mi-juin, du ministère de l’Europe et des Affaires étrangères d’une campagne de désinformation en provenance de Russie, liée à l’action de la France en Ukraine, qui doit préfigurer une « diplomatie de combat ».
Concernant la LPM 2024-2030, nous constatons un effort sans précédent au profit de la cyberdéfense des armées avec 4 milliards d’euros de besoins programmés (effectifs et technologies), contre 1,6 milliard d’euros pour la LPM 2019-2025.
L’enjeu qui perdure est celui de former aux métiers de la cyber-sécurité !
LPM 2024-2030
> Accompagner le développement de la cyberdéfense régalienne autour de l’écosystème de Rennes en renforçant l’offre de formation.
> Encourager les acteurs français du cloud et de la cybersécurité.
> Prioriser les recrutements sur les postes non encore « armés ».
> Harmoniser les pratiques de recrutement sur la base du référentiel de rémunération des 56 métiers de la filière numérique et des systèmes d’information et de communication pour fidéliser les agents en poste et recruter des profils expérimentés (direction interministérielle du numérique).
> Veiller à la complémentarité de l’ensemble des pôles cyber existants en rapprochant le futur pôle d’excellence de formation cyber de Polytechnique avec l’écosystème et l’académie de la cyberdéfense de Rennes.
COORDINATION CIVILO-MILITAIRE
> Clarifier le périmètre de la transposition en France de la directive NIS 2.
> Établir un plan de progression des moyens de l’ANSSI, de l’OSIIC et de Viginum en rapport avec l’augmentation du périmètre de protection de la directive NIS 2.
> Lancer une réflexion sur l’opportunité de mieux intégrer les 3 fonctions de LID, LIO et L2I dans le domaine civil.
> Affirmer une stratégie de cyber dissuasion s’appuyant sur les capacités de cybersécurité de l’ANSSI et de caractérisation des attaques informationnelles relevant de Viginum.
> Envisager la nomination d’un responsable qualité des activités de cyberdéfense.
VOLET RÉGIONAL DE LA CYBERSÉCURITÉ
> Rationnaliser l’organisation cyber vers un guichet unique « 17 cyber » pour orienter les victimes en cas d’attaque ou de conflit majeur.
> Évaluer une organisation alternative aux CSIRT en concentrant les moyens publics sur le GIP ACYMA, tout en prévoyant une contractualisation État- Région pour les régions qui souhaitent pérenniser leurs centres de réponse.
> Harmoniser, en coordination avec le GIP ACYMA, les modalités d’appel des CSIRT régionaux et les services de cybersécurité rendus.
Guerre hybride : le ministère de l’Europe et des Affaires étrangères et Viginum font tomber le rideau sur les manipulations russes contre la France
Le Sénateur Olivier Cadic se réjouit de l’action primordiale menée par Viginum dans la détection d’une campagne de désinformation orchestrée par des acteurs russes contre la France.
Le Sénateur salue également le rôle de notre diplomatie dans la dénonciation ouverte de ces agissements. “La France prend position de manière claire et courageuse en nommant ouvertement les auteurs de ces actes malveillants.
Je soutiens vivement cette diplomatie de combat menée par la ministre Catherine Colonna pour lutter contre les pratiques indignes de la diplomatie russe”, a ajouté le Sénateur Cadic.
“Je tiens à féliciter VIGINUM pour sa vigilance et son efficacité exemplaires. Son action proactive a démontré l’importance de cette agence dans la protection de nos institutions et de nos citoyens contre les tentatives de manipulation de l’information”, a déclaré le Sénateur Cadic.
VIGINUM, agence gouvernementale chargée de la détection des opérations de désinformation en ligne, a pu contrecarrer des tentatives d’usurpation d’identité sur des sites de médias nationaux et des sites gouvernementaux, allant même jusqu’à tenter d’usurper l’identité du Ministère de l’Europe et des Affaires étrangères (diplomatie.gouv.fr)
“La synthèse des enquêtes menées par VIGINUM est disponible sur les sites de France Diplomatie et du Secrétariat Général à la Défense et la Sécurité Nationale (SGDSN), et j’encourage tout le monde à en prendre connaissance”, a conclu le Sénateur Cadic.
À propos de VIGINUM : VIGINUM est l’agence de cybersécurité française responsable de la détection et de la prévention des attaques numériques visant la France. Son rôle essentiel dans la protection des intérêts nationaux et la préservation de la souveraineté numérique est reconnu à l’échelle internationale.
À propos d’Olivier Cadic : Olivier Cadic est Sénateur des Français établis hors de France ; Vice-Président de la Commission des Affaires étrangères de la Défense et des Forces armées, Rapporteur sur le budget du programme 129 sur la coordination du travail gouvernemental (Cyberdéfense et SGDSN – Secrétariat Général à la Défense et à la Sécurité Nationale).
Cyberingérence : « Face aux puissances étrangères, les démocraties doivent contre-attaquer (..) Il faut mettre en route une politique offensive, qui s’adresse directement aux populations de ces pays là, pour leur dire qu’une autre réalité est possible » @OlivierCadic #SensPublic
Viginum est un service de vigilance et de protection contre les ingérences numériques étrangères opérationnel depuis le 15 octobre 2021
L’émission Sens Public du 8 février 2022 sur Public Sénat était consacrée à la lutte contre les influences numériques étrangères.
Réunie cette semaine, la 35ème session de l’Assemblée des Français de l’étranger (AFE) achève une année électorale pour les Français de l’étranger.
À l’issue des consultations consulaires, sénatoriales et AFE, les cinq étiquettes politiques LR, ASFE (parti dont les sénateurs sont affiliés au groupe LR), LREM, EELV et PS ont enregistré chacune un poids équivalent à un sixième de l’électorat.
Les élus indépendants, sans étiquette politique, constituent la sixième force du panel. Ils ont fait jeu égal avec les partis constitués.
Indépendance ne rime pas avec isolement. En s’alliant avec les élus de la majorité présidentielle pour fonder le groupe « Indépendants, démocrates et progressistes » à l’AFE, les élus indépendants ont adopté une démarche pragmatique pour peser et faire entendre la voix des conseillers des Français de l’étranger.
C’est à mon sens le signe d’une modernité qui en annonce d’autres. On le sait, j’appelle de mes vœux une large réforme de la représentation des Français de l’étranger.
Je ne suis pas le seul, comme en témoigne le projet de création d’une commission, au sein de l’AFE, chargée de proposer des pistes de réforme. Il me parait fondamental que ces propositions viennent des élus eux-mêmes, car c’est le premier pas vers le renforcement de leurs prérogatives et une représentation plus efficiente.
Ce mardi 14 décembre, un conseiller des Français de l’étranger indépendant a été élu à la Présidence de l’Assemblée des Français de l’étranger. Pour ne rien gâcher, cet élu est une élue. C’est donc à un double titre que l’élection d’Hélène Degryse, conseillère des Français des Pays-Bas et conseillère à l’AFE pour le Benelux, marquera l’histoire de la représentation des Français établis hors de France.
Je me félicite de ce magnifique résultat.
Élue en mai dernier face à toutes les étiquettes politiques, Hélène s’est révélée être un remarquable point d’appui pour construire un consensus.
Non seulement le visage de l’AFE est aujourd’hui celui d’une femme dont l’indépendance a toujours constitué la ligne politique, mais encore l’ensemble de la répartition des responsabilités a obéi à un impératif de proportionnalité des six groupes politiques qui composent désormais la nouvelle assemblée.
Entretien paru dans la revue Global Security Mag n°57, magazine consacré à la cybersécurité, dirigé par Marc Jacob.
Extrait (GS Mag) : “En 2022, le programme 129 prévoit le financement de nouvelles missions, à commencer par VIGINUM. Cette nouvelle agence gouvernementale aura pour mission de détecter les opérations de désinformation sur les plateformes en ligne et d’en informer les pouvoirs publics. Pour le Sénateur Olivier Cadic, la mise en place de ce nouveau service représente une avancée majeure contre la désinformation, surtout à quelques mois de l’élection présidentielle.”
Le 24 novembre, avec mon collègue co-rapporteur Mickaël Vallet, j’ai présenté devant la commission des Affaires et de la Défense le rapport pour avis consacré au programme 129 « Coordination du travail gouvernemental » de la mission « Direction de l’action du gouvernement » (mon intervention).
Ce programme du projet de loi de finances 2022 comprend les moyens destinés au Secrétariat général de la défense et de la sécurité nationale (SGDSN), les fonds spéciaux et les crédits du groupement interministériel de contrôle (GIC) qui gère les demandes d’autorisation de mise en œuvre des techniques de renseignement émises par les services. Pour l’essentiel :
> Les moyens du SGDSN, qui comprend l’Agence nationale de la sécurité des systèmes d’information (ANSSI) sont confortés pour ce budget 2022. Cette progression du budget permettra une augmentation des effectifs de 77 ETP pour la cybersécurité et le financement de nouvelles missions. > Nous saluons la création de l’agence VIGINUM qui aura pour mission de lutter contre les ingérences numériques étrangères et d’en informer les pouvoirs publics. Sa mise en place, à quelques mois de l’élection présidentielle était plus que nécessaire. > La Présidence française de l’Union européenne au premier semestre 2022 doit constituer une fenêtre d’opportunité pour faire avancer les dossiers cyber au plan européen.
“Face à cette menace en expansion, l’Etat ne cesse d’adapter sa réponse, qui vise à renforcer la sécurité des acteurs publics et à accompagner les acteurs privés dans leur démarche de sécurisation. Mais beaucoup reste à faire.”
RAPPORT D’INFORMATION & LA SYNTHESE faits au nom de la commission des affaires étrangères, de la défense et des forces armées (1) sur la coordination du travail gouvernemental (cyberdéfense, SGDSN), par MM. Olivier Cadic et Mickaël Vallet
