CYBER 2027 Cyberattaques : l’État face à son devoir d’exemplarité

Fin décembre 2025, une faille technique sur ÉduConnect, la plateforme d’authentification de l’Éducation nationale, expose les données de plus de trois millions d’élèves. Elle sera révélée seulement quatre mois plus tard, le 14 avril 2026. Le lendemain, l’Agence nationale des titres sécurisés (ANTS), devenue France Titres, est victime d’une intrusion sur son portail en ligne, exposant les données de 11,7 millions de comptes d’usagers ayant sollicité une carte d’identité, un passeport ou un permis de conduire.

Ces deux épisodes ne constituent pas des cas isolés. La Direction générale des finances publiques (DGFiP) a enchaîné trois incidents durant l’été 2026 : un accès illégitime à des données fiscales concernant 678 000 particuliers et professionnels fin juin, une compromission de son service cadastral, avec 1,8 million de comptes touchés fin juillet, puis une vulnérabilité exposant certaines données du portail des successions vacantes, découvertes en août, dont le périmètre reste alors à évaluer.

Une responsabilité publique difficile à localiser

Selon Cédric Mermilliod, Cofondateur & Co-CEO d’Oodrive, cette accumulation d’incidents – notamment pendant l’été – a produit un effet de seuil : « Les incidents liés à la DGFiP ont constitué une prise de conscience très importante. Tout le monde en a parlé. Je n’ai jamais eu autant de retours à ce sujet ». Pour lui, la responsabilité première revient à l’État dès lors qu’il collecte et conserve des données de citoyens, même lorsque l’exécution technique mobilise plusieurs acteurs : “L’État, qui collecte des données sur les citoyens, est le seul responsable de leur fuite en cas de cyberattaque”.

Cette position tranche avec celle de Servane Augier, directrice Affaires Publiques chez Numspot. Avant d’interroger la responsabilité de l’État, elle rappelle que le risque cyber n’épargne aucun acteur, quel que soit son niveau de maturité : « Même avec les référentiels SecNumCloud, qui garantissent la mise en place des mesures les plus avancées et une réduction du risque et des impacts, personne ne peut dire qu’il ne sera pas la prochaine cible ». Cette humilité affichée ne dédouane pas pour autant l’État de ses obligations. Servane Augier pose plutôt le principe suivant : celui de distinguer l’incident technique, auquel n’importe quelle organisation reste exposée, de l’arbitrage organisationnel, qui relève directement des choix faits par chaque organisation.

Hicham Ben Hassine, dirigeant d’AlgoSecure, cabinet de conseil en cybersécurité, déplace quant à lui le débat vers la question qui structure l’ensemble de la problématique : « Qui prend concrètement la responsabilité en cas de cyberattaque ? Est-ce le RSSI local de l’entité en question, l’Agence nationale de la sécurité des systèmes d’information (ANSSI), un service qui dépend d’un ministère, le fournisseur ou le haut fonctionnaire de défense et de sécurité ? » Hicham Ben Hassine justifie cette difficulté par le nombre d’acteurs impliqués : « Chacun a des contraintes juridiques vis-à-vis de l’autre. Dans un écosystème comptant de nombreux fournisseurs, la responsabilité est multiple ».

Le paradoxe d’un État qui exige sans toujours s’appliquer les mêmes règles

À la complexité de la chaîne d’acteurs s’ajoute une seconde problématique : l’écart entre les exigences imposées aux prestataires privés et celles que l’État applique à ses propres services. Servane Augier résume cette particularité en une phrase : « Fais ce que je dis, pas toujours ce que je fais ». Ce principe trouve une illustration concrète dans les environnements internes de l’État, baptisés Pi et Nubo. 

“La doctrine Cloud au centre impose aux administrations d’utiliser ces environnements. Elle prévoit aussi le recours à une offre qualifiée SecNumCloud pour héberger les données sensibles. Mais l’administration ne s’est jamais appliquée la règle qu’elle impose pourtant aux autres : que Pi et Nubo soient SecNumCloud”. Un constat que confirme la fiche officielle de l’État sur son propre cloud interne, qui précise que ces deux offres restent, à ce jour, “non soumises à la qualification SecNumCloud”.

Hicham Ben Hassine met en avant le même paradoxe, mais sous l’angle des sanctions. Les entreprises s’exposent aux amendes de la Commission nationale de l’informatique et des libertés (CNIL) en cas de manquement au Règlement général sur la protection des données (RGPD). L’État, de son côté, n’est que très rarement inquiété pour ses propres défaillances, même s’il arrive que des entités publiques soient sanctionnées : la CNIL a ainsi infligé une amende de 5 millions d’euros à France Travail en janvier 2026, après une faille de sécurité ayant exposé les données de millions de demandeurs d’emploi.

Audit, souveraineté, réversibilité : trois leviers d’exemplarité

Face à ce constat, les trois experts interviewés convergent vers des réponses opérationnelles. Hicham Ben Hassine propose de systématiser le contrôle indépendant. « Tous les accès externes des services sensibles doivent être vérifiés, a minima une fois par an », déclare-t-il. Il insiste également sur la nécessité de surveiller en continu tout ce qui reste exposé sur Internet, plutôt que de se limiter à un contrôle ponctuel : « La plupart des fuites ne viennent pas de l’intérieur, mais d’une porte d’entrée externe : un compte compromis, ou une vulnérabilité non corrigée et finalement exploitée. C’est pour cela qu’il faut analyser en continu la surface d’attaque externe, c’est-à-dire l’ensemble des portes d’entrée visibles depuis Internet pour un système d’information ». Il associe par ailleurs cette exigence à des critères de souveraineté et de réversibilité. « Même en choisissant une solution souveraine, vous pouvez tomber sur un acteur qui détient le monopole en France, et vous retrouver trop dépendant de lui. Il faut donc garder la maîtrise, et savoir comment ‘sortir’ si le service ne convient pas », note-t-il.

Servane Augier constate de son côté que les projets d’intelligence artificielle accélèrent la migration des administrations vers des clouds de confiance, portés par des besoins croissants en puissance de calcul. Elle signale toutefois un angle mort réglementaire : « La certification d’hébergement de données de santé (HDS) n’embarque aujourd’hui aucun critère réglementaire contraignant sur la souveraineté des données ». L’enjeu consiste donc à classer les informations selon leur sensibilité, puis à concentrer les efforts sur les environnements où une compromission aurait des conséquences directes pour les citoyens, les services publics ou l’économie.

Quant à Cédric Mermilliod, il défend une réponse organisationnelle à travers la centralisation de la politique cyber de l’État sous l’autorité d’un ministère du Numérique. Il propose qu’Hexatrust, l’association qu’il représente, participe directement à l’élaboration de cette doctrine commune : « La France dispose de tout ce qu’il faut. Chez Hexatrust, nous recensons un nombre considérable de pépites capables de fournir aux services de l’État les bonnes solutions ». Sur le plan budgétaire, il conteste l’idée qu’une telle réorganisation coûterait davantage à l’État : « Chaque ministère dépense aujourd’hui isolément, sans économie d’échelle, pour un résultat équivalent. Nous pourrions consacrer la même somme à une doctrine commune qui fonctionnerait mieux. Ce que nous disons, ce n’est pas de dépenser plus, mais de dépenser mieux, en orientant ce budget vers les entreprises – françaises et souveraines – qui ont les bonnes solutions ».

À l’approche de l’élection présidentielle, ces attentes convergent vers une même exigence : que l’État se soumette aux mêmes obligations d’audit, de transparence et de responsabilité qu’il impose au secteur privé. La confiance numérique ne peut pas reposer uniquement sur des annonces après incident. Elle suppose une doctrine lisible, des contrôles réguliers, une chaîne de décision identifiable et la capacité, pour les citoyens comme pour les acteurs économiques, de savoir qui répond lorsque les données publiques sont exposées.