Cybersécurité : nous avons besoin d’une politique de santé numérique publique

Par Jean-Noël de Galzain, Président d’Hexatrust

En janvier dernier, j’évoquais l’année 2026 comme celle du « sursaut ou du chaos » numérique. Lors des vœux 2026 devant les parlementaires au Sénat, nous appelions à une véritable « campagne de vaccination numérique nationale » pour préparer notre tissu économique à résister aux cyber attaques et à déployer la directive NIS2 pour la Résilience. Aujourd’hui, alors que la communauté européenne de la cybersécurité se réunit au Forum INCYBER, il est temps de dépasser l’incantation pour passer aux actes. La situation le réclame !

La Stratégie Nationale de Cybersécurité 2026-2030, dévoilée en ce début d’année, pose le bon diagnostic : la sécurité numérique est désormais une « exigence vitale » pour la Nation. Cette stratégie reste pourtant sans objectifs chiffrés et sans moyens ce qui, dans le contexte actuel, interroge sur la mesure du risque. Autre motif d’étonnement : a-t-on renoncé à impliquer l’industrie dans un contexte où les cyber attaques se multiplient ? Impactant la Poste, France Travail, les Ministères, les entreprises… Et même les français, avec une fraude bancaire en explosion. Pour que cette ambition ne reste pas vaine, il faut désormais équiper les soignants sur le terrain, et administrer les remèdes qui existent pour revenir à une situation où le numérique bénéficie à tous.

Certes le bilan est partagé (la menace est endémique), la méthode, elle, doit radicalement changer. Pendant quinze ans, la France a excellé dans la médecine de guerre avec la création de traitements, de médicaments et de remèdes portés par autant de startups, de PME et d’ETI de croissance au service d’un numérique cyber sécurisé. Sous l’égide de l’ANSSI, nous avons créé un écosystème fort de campus, de groupements et d’écoles qui forment des soignants et des chirurgiens capables d’intervenir sur les plaies de nos Opérateurs d’Importance Vitale (OIV) après chaque incident. Nous avons appris à réagir en urgence sur des systèmes d’information en risque. Cette approche a permis d’éviter le pire, mais elle a laissé un angle mort : la santé publique des utilisateurs au quotidien face au risque de pandémie.

Le syndrome du patient négligé

Le diagnostic est pourtant sans appel : la cybercriminalité prolifère. Dopée par l’intelligence artificielle générative (identifiée par la Stratégie Nationale comme un facteur d’amplification des risques) elle est devenue plus contagieuse, plus rapide et capable de contourner les barrières de sécurité traditionnelles.

Les chiffres parlent d’eux-mêmes : l’ANSSI a traité 15 % d’événements de sécurité supplémentaires en 2024, un chiffre qui ne reflète que la partie émergée de l’iceberg. Plus inquiétant encore pour nos libertés, les notifications de violations de données à la CNIL ont bondi de près de 30 % sur la même période. Nous sommes devenus le premier pays victime de fuites de données en Europe alors que nous avons inventé le RGPD, la réglementation qui protège les données personnelles. Ce fléau ne vise pas seulement les organes vitaux de l’État, mais le système immunitaire global de l’économie. Si les grands groupes parviennent à stabiliser la menace, près de la moitié des entreprises françaises déclarent encore avoir subi au moins une cyberattaque réussie l’an dernier. Le risque se déplace vers la chaîne de sous-traitance des organisations et des entreprises, particulièrement les petites et moyennes moins dotées en ressources et en moyens.

Or, face à cette épidémie silencieuse, nos dirigeants d’entreprises sont, pour beaucoup, dans la posture du patient qui doit choisir une boîte noire produite hors d’Europe, sans ordonnance et sans recommandation du médecin. Un paradoxe s’installe : 79 % des organisations considèrent désormais la souveraineté numérique comme un critère de choix, elles restent attentistes face à l’action concrète. Or la Résilience devenant un standard à atteindre, le chef d’entreprise d’une ETI industrielle en région se retrouve aujourd’hui en difficulté. À ce stade, le risque devient critique, avec la nécessité de se faire vacciner. 

Le résultat ? Une forme de sur-médication coûteuse et parfois inefficace pour ceux qui empilent les solutions, avec un prix à payer : la dépendance. À ce stade, le pronostic vital de l’entreprise est engagé.

NIS2 : un protocole sanitaire à grande échelle

C’est dans ce contexte qu’arrive la directive NIS2. Il ne faut pas s’y tromper : ce texte n’est pas une énième contrainte administrative bruxelloise. C’est l’acte fondateur d’une politique de prévention sanitaire numérique à l’échelle européenne. En faisant basculer de 20 000 à 25 000 entités françaises dans le champ de la régulation, 150 000 sur tout le continent, l’Europe nous dit une chose simple : la cybersécurité ne se traite plus aux urgences une fois le mal déclaré, elle exige une hygiène de vie quotidienne et rigoureuse, avec de l’investissement dans le personnel soignant, des vaccins et des remèdes.

Ainsi la prévention ne suffit pas. La mise en conformité NIS2 nécessite un accompagnement humain et des protections pour passer du traitement post cyber attaque, à l’analyse continue du risque, l’équipement (le vaccin) et le suivi médical. Pour éviter une cyber fracture numérique, la prise de conscience étant déjà là, il s’agit de transformer cette intention en réflexe clinique.

L’urgence du diagnostic vital

Alors, par où commencer ? En matière de prévention, on ne prescrit pas sans diagnostic. C’est également la règle dans le monde cyber. 

Bien sûr, l’enjeu de la maturité des utilisateurs est là, tout autant que la nécessité de se remettre d’une cyber attaque au plus vite. L’État l’a compris en inscrivant dans sa stratégie la création d’un maillage territorial avec un « portail national » pour le citoyen. Pour peu que l’on ne se contente pas d’un maillage bénévole et que l’on y implique les campus et les ESN locales, il s’agit du réseau de « médecine de ville » qui fait le lien entre l’hôpital central de pointe (l’ANSSI) et le patient.

Au sein d’Hexatrust nous fédérons les industriels français de la cybersécurité et du cloud de confiance, 165 entités qui fabriquent des médicaments et des vaccins. Nous militons également pour une généralisation du « check-up » numérique. C’est notre contribution à l’intérêt général. Nous avons donc travaillé à outiller cette démarche en créant l’Hexadiag, un outil en ligne en français qui s’appuie sur de l’IA pour aider les organisations et les entreprises, même les plus petites, à faire leur diagnostic cyber. Nous le présentons au FIC pour la seconde année. L’idée est de simplifier radicalement l’accès à l’état de son système d’information et des risques cyber en moins de trente minutes, que l’on soit dirigeant d’ETI, directeur d’hôpital, maire ou patron de PME. Est-ce que mes sauvegardes sont en sécurité ? Mes accès sont-ils contrôlés ? Mes mots de passe bien gérés ? Mes systèmes industriels protégés ? Suis-je compétitif par rapport aux règles et celles de mes clients ? Mes collaborateurs sont-ils régulièrement formés ? 

Cet outil de « diagnostic cyber », conçu par la filière avec le concours de notre partenaire le CESIN, est une réponse pragmatique à l’angoisse des dirigeants face au risque cyber. Il permet de savoir immédiatement et gracieusement si son entreprise est en danger, en convalescence, ou en bonne santé numérique. Enfin quel investissement prioriser pour y parvenir.

Industrialiser la confiance

Ce passage à l’échelle du diagnostic est clé dans le chemin pour notre résilience. Aujourd’hui, le marché de la confiance est guidé par des agences de notation extra-financières américaines, qui viennent auditer nos entreprises avec leurs critères et leurs intérêts. 

Si nous voulons rester maîtres de nos choix et de notre autonomie, nous devons nous, Européens, être en mesure d’utiliser nos outils de mesure, de protection et de remédiation ainsi que nos diagnostics, nos vaccins et nos remèdes. 

La France possède une filière d’excellence en matière de solutions numériques et de cybersécurité. Nos éditeurs, nos intégrateurs, nos experts sont reconnus mondialement. Mais après avoir longtemps travaillé entre experts, nous voulons permettre aujourd’hui à chaque organisation de s’approprier sa sécurité, en toute simplicité.

La bonne nouvelle, c’est que depuis 20 ans, la France a fait émerger des solutions portées par l’industrie à même de vacciner, de protéger ou de traiter la plupart des attaques cyber.

SI nous arrivons à les orienter vers les organisations pour couvrir leurs besoins de résilience, à organiser la vaccination à l’échelle nationale et européenne, c’est notre industrie qui pourra grandir et devenir l’instrument de notre immunité et de notre souveraineté.

Sources et chiffres :

– ANSSI, Rapport d’activité 2024 : 4 386 événements de sécurité traités (+15 % vs 2023). 

– CNIL, Bilan 2024 : augmentation de 29 % des notifications de violations de données personnelles. 

– CESIN Baromètre 2025 : 47 % des entreprises déclarent avoir subi au moins une cyberattaque. 

– Hexatrust, Baromètre de la souveraineté numérique, septembre 2025

– Et bien sûr la SNC sortie cette semaine