Stratégie nationale cyber : comme un avion sans aile ?  

Beaucoup sont restés sur leur faim après les annonces d’Anne Le Hénanff, la ministre du Numérique, en déplacement l’autre jour au Campus cyber Nouvelle-Aquitaine, près de Bordeaux. On a senti, dans ses propos, l’urgence d’un État déterminé à agir face à la multiplication des cyberattaques et des campagnes de déstabilisation. Celles-ci ont visé aussi bien des services publics, comme France Travail, que de grands groupes — La Poste, quelques jours avant Noël, Auchan, TV5MONDE, Orange — sans épargner les PME. Sur le papier donc, cette stratégie est ambitieuse, voire enthousiasmante. Mais dépassera-t-elle l’étape du simple affichage ?

« Déconstruire les stéréotypes »

L’idée est de traiter la cybersécurité comme un enjeu de souveraineté, de continuité économique et de stabilité démocratique. « La mesure la plus importante à nos yeux est l’attraction et la formation de talents (pilier n°1, lire ci-dessous), assure Michael Bittan, directeur exécutif d’Accenture, responsable de l’activité cyber en France et au Benelux. Nous continuons à en manquer cruellement sur le marché français. Ils sont la base de notre savoir-faire en cybersécurité. » Inscrit dans le prolongement de la Revue nationale stratégique 2025, le plan prévoit ainsi de « déconstruire les stéréotypes sur ces métiers » en tentant d’attirer davantage de jeunes femmes en les incitant dès le plus jeune âge, à l’école, à se tourner encore plus vers le secteur de la cybersécurité.

Les moyens de ses ambitions

Pour sensibiliser le grand public, le projet inclut également le lancement d’une grande campagne à destination de toute la population pour adopter les bons gestes en cas de cyberattaque, mais là encore, sans budget précis. « Les outils sont prêts et nous avons la méthode, note Jérôme Notin, directeur général du portail Cybermalveillance.gouv.fr. Il faudrait aujourd’hui que l’ensemble des chefs d’entreprise et des élus dans les collectivités considèrent la cybersécurité comme un investissement et non comme un coût, puisque c’est le cas. » Un observatoire de la menace et de la résilience cyber devrait également voir le jour. « La cybersécurité devient un accélérateur de business, assure M. Bittan. Le numérique sans confiance ne peut exister et la cybersécurité est là pour créer et développer cette confiance. Cette stratégie consolide l’ensemble de la chaîne de valeur de nos clients. »

Activer tous les leviers de l’État

Ce nouveau plan cyber arrive après la stratégie nationale de 2015 et celle de 2021. « Cela va très vite en cybersécurité, les attaquants savent se positionner et faire évoluer leurs attaques rapidement, mais ce n’est pas pour autant qu’il ne faut rien faire, nous indique M. Notin. Le GIP ACYMA (à l’origine du portail Cybermalveillance.gouv.fr et du 17Cyber.gouv.fr) avait déjà justement été créé en 2017 suite à la stratégie cyber d’octobre 2015, parce qu’il y avait déjà une augmentation des attaques. Nous espérons que cette nouvelle stratégie cyber nous donne les moyens de passer en V2. » 

L’ANSSI affirme de son côté qu’« avec le développement d’armes cyberoffensives, il est urgent de s’entendre à l’échelle internationale pour adopter des règles minimales pour réguler ce marché. » L’agence appelle à utiliser tous les leviers à la disposition de l’État, outils judiciaires, économiques ou diplomatiques, pour limiter ces attaques en mettant sous pression leurs auteurs et « faire en sorte que les attaquants soient moins enclins à nous entraver. »  

Un point d’accès unique

« La cybersécurité ne doit plus être une affaire de techniciens, mais de tous les citoyens », martèle Anne Le Hénanff, évoquant au passage la mise en place d’une plateforme unique qui permettra à la fois, et c’est la nouveauté, aux victimes de cyberattaques, mais aussi aux curieux de s’informer et de s’orienter. Elle devrait à terme remplacer le 17Cyber. Ne va-t-on pas ainsi créer davantage de confusion que de simplification ? Au contraire, répond-on au ministère : « Le portail national sera une porte d’entrée sur tous les sujets cyber, même quand on n’est pas victime, par souci d’anticipation. Il permettra l’accès sur une même plateforme à toutes les ressources. » 

L’exécutif souhaite ainsi introduire de la cohérence en mettant à la disposition de tous des outils comme des MOOCS. « À l’échelle de la population, les actions du GIP ACYMA sont encore trop confidentielles, assure l’entourage de la ministre. Si on met sur la cybersécurité les mêmes moyens et capacités qu’on a consacré aux campagnes de la Prévention routière par exemple, cela permettra d’installer dans la durée ces actions de sensibilisation. Mécaniquement, cela réduira le risque de cyberattaques.» 

La charrue avant les bœufs 

« Tous les aspects prévention, sécurisation et assistance figurent déjà parmi nos missions, rappelle M. Notin. Et côté publics, que ce soit par exemple les jeunes avec l’opération Cactus (contre le hameçonnage sur les espaces numériques de travail) ou les entreprises avec le label ExpertCyber, nous avons déjà mené des actions. Nous espérons maitenant un passage à l’échelle  » Les experts s’accordent à dire que le projet ne manque pas de cohérence, à défaut parfois d’innovation, mais s’interrogent sur le calendrier de ce plan stratégique. Seule la date de 2030 a été annoncée par la ministre. N’a-t-on pas mis la charrue avant les bœufs ? Le projet de loi sur la cybersécurité, adopté en commission en septembre et censé transposer NIS2, REC et DORA en droit français, reste toujours bloqué à l’Assemblée nationale.