Menaces cyber : quelles résiliences pour les collectivités territoriales ?

nous puissions commencer. Bien euh monsieur le président et mes chers collègues, avant de de débuter nos travaux, je souhaite que nous rendions hommage à l'adant chef Arnaud Frion du 7e bataillon de chasseur alpin de Vars, tombé pour la France le 12 mars dernier en Irak. déployé depuis fin janvier dans le cadre de l'opération Inerance Resolve pour la formation des forces iraakiennes dans le cadre de la lutte contre le terrorisme.

Il a été mortellement blessé lors d'une attaque de drone ayant visé la base de Malakara dans la région d'Herbile. L'adante chefon servait nos armées avec un dévouement exceptionnel. Depuis plus de 20 ans maintenant, membre des commandes montagnes, il était un combattant horspère et un chef reconnu pour son groupe et son sens tactique.

Du Tchad à l'Estonie en passant par la Côte d'Ivoire, l'Afghanistan et le Mali, il a multiplié les engagements. Nous gardons tout particulièrement en mémoire son action exemplaire au Sahel au sein de l'opération Barkan où il s'est illustré lors d'action de sauvetage de soldats alliés pris sous le feu ennemi. Au nom de notre commission, je veux dire toute notre émotion et notre soutien profond à sa famille, à ses proches ainsi qu'à ses frères d'armes du 7e BCA.

Nos pensées se tournent également vers les six autres militaires français qui ont été blessés lors de cette même attaque. en mément de l'adant chef Arnaud Frion et de son sacrifice pour la France. Je vous invite, mes chers collègues, à vous lever, à observer une minute de silence si vous voulez Bien monsieur monsieur le président, cher Cédric, chers collègues, monsieur le directeur général, cher Cédric, j'aimerais jouir tout d'abord de t'introduire avec toi cette audition conjointe sur un sujet qui est à la croisée des chemins euh et de nos champs d'intervention respectifs, les collectivités territoriales face aux enjeux de défense et de sécurité.

Je vous remercie, monsieur le directeur général de l'ANSI. pour votre présence. Cette audition conjointe euh nous permettra de vous entendre et d'échanger sur des enjeux qui ont une résidence particulière pour les collectivités territoriales dans le contexte actuel.

Les propos tenus par le chef d'état-major des armées, le général Fabien Mandon, lors de l'ouverture du congrès des maires le 18 novembre 2025 ont suscité un vif et moi chez les élus locaux. Mais il nous a alerté et nous amène à nous interroger sur la capacité des collectivités territoriales à faire face au risque qui les menace et sur la bonne articulation entre l'État et les collectivités en la matière. La guerre déclenchée par la Russie en Ukraine sur le sol européen à nos portes, les cyberattaques répétées contre nos hôpitaux et nos collectivités.

La persistance de la menace terroriste nous rappelle une évidence. La sécurité nationale se joue aussi dans nos territoires et dans ce combat, les maires sont en première ligne. Ils sont les premiers touchés par les crises, les premiers interpellés par les citoyens et souvent les premiers à devoir improviser des solutions face à des menaces qu'ils connaissent parfois mal ou pour lesquelles ils sont peu formés ou outillés.

La revue nationale stratégique actualisée en 2025 et la stratégie nationale de cybersécurité pour 2026-2030 souligne l'importance de la résilience territoriale. Mais entre les principes et la réalité, il y a parfois de l'écart. Beaucoup d'élus se sentent isolés, parfois démunis face au risque.

Comment un maire d'une commune de moins de 1000 habitants, par exemple, peut-il faire face à une cyberattaque paralysant ses services ? Comment peut-il identifier signaler suffisamment tôt les signes de radicalisation de certains agents ou habitants ? Comment peut-il lutter contre les tentative de déstabilisation sur les réseaux sociaux ?

Il me semble qu'on est encore loin du haut niveau de préparation que doivent acquérir les collectivités territoriales. Des éléments de réponse existent bien sûr déjà, mais elles ne sont pas toujours connues par tous les maires. Combien de maires savent par exemple qu'ils peuvent s'appuyer sur un correspondant défense sécurité dans leur département ?

Nous pourrions évoquer aujourd'hui des sujets très concrets tels que les questions que se posent beaucoup d'élus. Qui contacté en cas de crise ? Sur quelle personne ressources appuyé ?

Quelle procédure d'urgence suivre ? Quelles ressources et moyens pour nos élus en première ligne ? Sans trahir les dispositions du projet d'actualisation de la loi de programmation militaire que le Conseil national d'évaluation des normes a examiné.

La question de la répartition des rôles entre l'État et les collectivités territoriales nous paraît devoir attirer notre attention. La sécurité de la France se construit avec les mairies, avec les intercommunalités, avec les départements. Il faut donner aux maires qui sont en première ligne et aux collectivités territoriales les moyens de pouvoir protéger nos territoires et leurs habitants.

Cher Cédric, je te passe sans plus attendre la parole. Merci Bernard, monsieur le président. Merci d'abord pour cette initiative de la délégation aux collectivités qui est évidemment une initiative importante dans ces période compliqué.

Euh et donc je partage évidemment les les préoccupations des des collectivités territoriales. Je me félicite que ces sujets qui sont habituellement traités par la commission des affaires étrangères, de la défense et des forces armées et qui nous réunissent aujourd'hui puissent être largement diffusé auprès des élus locaux et de la population. Monsieur le directeur général, avant de vous donner la parole euh pour la deuxième fois en un an, euh vous êtes maintenant habitué de l'exercice.

Je rappelle que vous étiez venu en novembre dernier dans le cadre de la du projet de loi de finance pour 2026 sur les sujets de résilience et de cybersécurité. Cette audition présente un intérêt plus particulier cette année parce que outre le suivi particulier du programme 129 relatif à la coordination de la sécurité et de la défense suivi par Olivier Cadic et Michael Valet qui en sont les capporteurs pour avis, je vous informe que la commission a décidé de confier à Huxori Mariette Carlotti Philippe Paul une mission d'information sur la résilience de la nation face aux menaces nouvelles. Ce qui intègre également la modernisation de la défense opérationnelle du territoire ainsi que le prévoit la revue nationale stratégique de 2025.

Et donc ces sujets ne relèvent pas de de l'anci mais peut-être que vous pourrez nous apporter un éclairage sur le volet cyber qui vous concerne. À l'heure où l'état du monde se dégrade considérablement, la résilience s'impose comme un impératif de robustesse pour permettre à la nation de résister aux conséquences d'évituelles crises majeures sur notre territoire national comme enrre Mer. L'actualisation de la revue nationale stratégique en 2025 a d'ailleurs érigé les fonctions de protection résilience de la population comme des objectifs de premier plan.

Que cela signifie-t-il concrètement ? Vous pourrez nous le dire. Et dans ce sillage, vous avez publié une stratégie nationale de cybersécurité 2025.

Là encore, au-delà des concepts, pour-vous nous présenter des exemples concrets et des enjeux que cela suppose pour une diffusion des bonnes pratiques dans toutes les composantes de la société ? Et nous sommes donc particulièrement intéressés par l'état d'avancement de vos travaux face à l'accélération des basculements géostratégiques et des menaces hybrides qu'elles impliquent dès aujourd'hui en terme de cyberattaque, d'ingérence étrangère ou de sabotage et blocage de nos infrastructures critiques. Pour tout vous dire, je peine à avoir l'efficacité des stratégies nationales qui s'empilent et ne parlons pas de nos concitoyens qui pour la plupart n'ont pas entendu parler parler du fameux guide de résilience tous responsables pour savoir quoi faire en cas de crise et là encore ce sujet ne relève pas de votre agence mais c'est un exemple parmi d'autres sur lequel des questions pourront vous être posées par nos collègues après vos interventions liminaires et peut-être que dans le cadre des travaux de la de la délégation on aura l'occasion d'avoir peut-être une synthèse quand nous pourrons diffuser à nos élus. euh avec les éléments de cette de cette de cette discussion.

Monsieur le directeur, avant de vous donner la parole, je rappelle que cette audition fait l'objet d'une captation vidéo qui est retransmise sur le site du Sénat et ses réseaux sociaux et donc consultable en vidéo à la demande. Donc je vous laisse la parole et ensuite je crois qu'on le président et moi-même auront l'occasion de donner la parole à nos collègues pour plus de détails. Merci.

Merci monsieur le président de la commission des affaires étrangères de la défense et des forces armées, monsieur le président de la délégation sénatoriale au collectivité territoriale et à la décentralisation. Mesdames et messieurs les sénateurs, mesdames et messieurs, euh je tiens tout d'abord à vous remercier pour cette invitation un planché devant vous. Alors, c'est un exercice auquel vous l'avez rappelé, monsieur le président.

Je je me livre régulièrement et très volontiers, mais je je salue le format nouveau de cette audition qui euh fait tire un pont entre les affaires de défense et de sécurité nationale et les affaires la déclinaison dans les territoires. un sujet qui est plus que jamais d'actualité, sur lequel je n'ai pas eu l'occasion de plancher dans ce format, mais qui s'inscrit dans une collaboration euh déjà riche, quoique pas forcément très ancienne, mais de plus en plus riche et de plus en plus étroite entre l'ANC et les différents échelons territoriaux, collectivité en premier lieu, mais mais pas que, aussi avec les services déconcentrés de l'État pour pour traiter ces ces sujets qui n'épargnent plus personne. Avant de rentrer dans le vif du sujet, je je vous réitère, messieurs les présidents, mesdames et messieurs, les les plus plates excuses de Nicolas Roche, secrétaire général de la défense et de la sécurité nationale qui devait également plancher devant vous à cette occasion, qui a été malheureusement retenu par un impératif opérationnel impondérable, mais qui m'a demandé de vous répéter qu'il se tenait bien évidemment à la disposition de vos de c de la commission de la délégation pour à son tour vous parler de ces sujets dans un avec évidemment un champ bien plus vaste que celui que je pourrais est traité aujourd'hui qui est celui de la cybersécurité et avec des constats qui se rejoignent assez largement, je le je le précise, sur la le champ plus vaste de l'hybité.

Euh dans ce propos liminaire, je je me permettrai de commencer de manière peu originale par un un petit état de la menace euh avant de rentrer dans dans la stratégie que nous comptons déployer euh pour y répondre et la et sa déclinaison territoriale. La menace je je le répète d'année en année est forte aujourd'hui. sans que ce soit une réelle nouveauté la superposition d'action de service étatique d'état adverse qui soit nous espionne soit de plus en plus nous sabote ou du moins se prépare à nous saboter le cas échéant elle est le fait d'acteur du registre criminel qu'il s'agisse de crimes organisé ou pas si organisé que ça mais qui sont guidés par des visées lucratives et elle est le fait d'acteurs au contour beaucoup plus flou qui sont les acteurs qu'on regroupe sous le terme de d'activistes qui sont là pour euh porter un message, défendre une cause, mais souvent surtout défendre leur réputation et se mettre en lumière.

Euh cette audition intervient de semaines après la publication de du panorama annuel de la menace par la par l'ANC. C'est un exercice auquel nous nous livrons tous les ans de euh consistant à décortiquer en quelque sorte tout ce que nous avons pu observer au cours de l'année passée. Donc nous avons publié le bilan de l'année 2025 euh sans en faire l'exégèse complète et c'est un document que dont je recommande la lecture au demeurant.

Ce panorama, il fait le constat d'une menace qui se maintient à niveau haut, qui n'explose pas, même si certains pendent de la menace particulièrement visible ont pu donner cette impression là. On est sur un niveau d'incidentologie qui se maintient au même niveau que 2024. Alors ça pourrait sembler rassurant, ça ne l'est pas parce que 2024 était une année record pour nous.

C'était une année une année olympique dans laquelle nous avons fait face à une à une forme de déferlante de de cyberattaque et donc le fait que ce ça se maintienne au même niveau en 2025 à quelques incidents près et n'est pas forcément une une nouvelle très rassurante. Pour donner un ordre de grandeur, ça veut dire que l'ENC a traité au cours de l'année 2025 un peu plus de 3600 signalement, c'est-à-dire des appels à l'aide à l'ANC euh qui est ouverte et qui répond à ce type d'appel 7 jours sur 7 24 heures sur 24. Euh donc une dizaine d'appels par jour.

Euh tous ne sont pas confirmés mais on est sur un volume de 1366 incidents avérés qui ont nécessité une intervention de l'ANC sous une forme ou une autre car un attaquant avait réussi effectivement à mener une cyberattaque. Donc on est là encore sur un volume conséquent de quatre incidents par jour, ce qui est quand même une pression permanente. au-delà de la volumétrie, ce qui ce qui frappe euh mais qui est une constante depuis quelques années euh c'est euh le caractère omniprésent de cette pression qui n'épargne personne, qui euh touche tous les pans de la société, de notre économie, qui touche tout particulièrement les collectivités territoriales.

Parmi ce volume de 1366 incidents traités au cours de l'année, il y en a plus de [raclement de gorge] 300 qui étaient euh qui concernaient des collectivité territoriale qui sont de facto le deuxème secteur le plus touché en volumétrie globale après l'éducation et la recherche devant la santé. Alors précise qu'il y a toujours des billets de sélection dans ces dans ces choses-là des il y a des secteurs d'activité qui reportent rapportent plus d'incidents à l'ANC étant donné qu'il n'y a pas aujourd'hui de d'obligations large de notification à l'ANC des incidents de sécurité. Donc il y en a qui sont plutôt euh enclins à déclarer Alan d'autres moins.

Donc il y a sans doute un un bia de sélection mais il y a une réalité tangible et qui je pense est mesurée par de nombreux de nombreuses collectivités malheureusement qui est la réalité d'une menace qui n'épargne plus les collectivités et qui les touche de plein fouet depuis déjà quelques années. Euh cette menace elle a pris par exemple la forme du ranongiciel. action non ciblée d'acteurs guidés par le la recherche du profit qui consiste à paralyser des leurs victimes sur le plan informatique et à exiger une rançon pour la libération si je je poursuis dans cette cette ligne là de l'informatique les collectivités sont toujours le deuxième public le plus le plus touché par ces types d'attaque qui ont toujours des impacts très conséquents sur la délivrance des services publics parce que aujourd'hui il y a plus réellement de services publics qu'il soit au niveau central ou au niveau au niveau local qui ne soit pas adossé d'une manière ou d'une autre à au numérique. le un fait nouveau dans ce domaine cybercriminel de l'année 2025, c'est celui qui a été je pense le plus en visibilité, c'est la recruescence ou l'augmentation significative des vols de données que nous expliquons en tout cas dans le diagnostic que nous en faisons pour l'année 2025 par une forme de changement d'approche de la part des acteurs criminels qui là encore sont guidés par la pas du gain qui ont constaté que le rangongciel marchait de moins en moins et ça je pense qu'on peut s'en réjouir mais qui du coup ont pivoté en quelque sorte pour voler des données là encore dans une une recherche d'extorsion de fonds he ou de demande de rançon pour ne pas publier ces données la plupart des cas ou de revente simple pure et simple de ces données qui change un petit peu la donne en terme de victimologie parce que finalement c'est voler des données, c'est pas forcément très compliqué malheureusement ça ça concerne tout le monde.

L'État central, les administrations n'y ont pas échappé pas plus que les grandes entreprises, pas plus que les petites entreprises, les collectivités, les associations, les fédérations de tout genre. Donc c'est une forme de là encore de de menace qui n'épargne personne euh qui s'accompagne, je le précise sans que ce soit une manière de minimiser les choses hein évidemment euh d'une forme de médiatisation, une stratégie de médiatisation par les euh les attaquants qui euh revient à là aussi à une recherche de profit et qui fait que pour fixer les idées là encore 60 % des attaques de ce type traité par l'ANC étaient du bluff au cours de de l'année 2025. Ça c'est la partie visible de la menace.

Mais évidemment derrière tout ça, il y a des choses qui nous inquient encore plus. Il y a un lien évident entre le contexte géopolitique et la réalité de la menace. un fait majeur de l'année 2025 est quand même la première attaque de sabotage attribuée, je ne commenterai pas cette attribution qui a été fait par nos homologues polonais mais attribué à euh la Russie euh contre des infrastructures critiques de manière coordonnée puisque le 29 décembre 2025, une attaque simultanée a été menée contre une trentaine de points d'interconnexion entre des équipements de production d'électricité renouvelable et le réseau électrique polonais. simultanément, une attaque a été menée contre une centrale thermique et donc il y a il y avait là une manœuvre préparée de longue date déclenché de manière simultanée coordonné le jour J à l'heure H et à un moment où couper le courant en Pologne n'est pas forcément unin avec cette finalité à l'évidence de perturber le la distribution d'électricité et ça c'est quelque chose qui est le témoin d'une désinhibition qu'on voit à l'œuvre de manière croissante dans les cyberattaques depuis déjà quelques années qui ne fait que se confirmer et qui nous projette quelque part dans un scénario ou la menace qu'on connaît haute et qui est grave aujourd'hui peut très significativement empirer.

Et c'est ça le scénario central qui est posé dans le cadre de la revue nationale stratégique publiée en juillet dernier. Celui d'un scénario qui verrait au gré d'une escalade détention géopolitique simultanément nos forces armées engagées dans un conflit dit de haute intensité à la périphérie de l'Europe et une déferlante d'attaque du domaine hybride. Le terme d'hybride est pas forcément très très bien précisément défini, mais il renvoie à des choses qui je pense nous nous parlent à tous et toutes, qu'il s'agisse de cyberattaque, de euh de manipulation de l'information, de sabotage ciblé de drone.

Et je me livrerai pas une liste exhaustive là encore, mais je pense qu'on a on a on regorge malheureusement d'exemples en la matière ces dernières ces derniers mois et ces dernières années, mais tout ça coordonné de manière à nous déstabiliser de manière générale, à paralyser le fonctionnement de la société française et de son économie, à nous faire réfléchir potentiellement ou à compliquer la logique de prise de décision dans un moment de grande intensité. euh qui sous la forme en matière de cybersécurité prendrait, si j'ose me me projeter un peu dans ce scénario catastrophe, la forme de ce qu'on observe au quotidien mais totalement coordonné, c'est-à-dire à la fois des attaques de service étatique adversaire visant à paralyser, détruire, bloquer nos infrastructures critiques comme l'attaque subie par la Pologne en est un exemple, mais également le tissu cybercriminel et le tissu activiste mobilisé de manière coordonnée parce qu'il y a quand même des liens de cohabitation qui interrogent dans la matière pour euh paralyser tout le reste euh les acteurs euh du fonctionnement quotidien de la nation, euh des écoles, des collectivités, des centres hospitaliers, des PME et donc maximiser la pression et quelque part nous submerger sous sous le sous et les attaques. Euh ce scénario, il n'a rien d'une d'une prédiction, hein. pas on est pas dit dans la revue nationale stratégique que il allait forcément se produire mais c'est quand même quelque chose dont la probabilité s'accroit au regard de l'évolution tant des technologiques du contexte géopolitique à laquelle il faut se préparer à l'horizon 2030 qui est un vrai défi, qui a quelque chose de vertigineux mais il vaut mieux poser les choses clairement qui euh nous pose nous projette aussi dans une une réalité nouvelle face à ces défis de menace hybride cybersécurité mais plus généralement je pense que je peux me permettre d'étendre ça à toutes les menaces hybrides l'État seul ne sera pas capable de faire face.

Et donc ça pose une nouvelle équation quelque part qui est ce qu'on essaie de mettre en œuvre depuis déjà quelques années en matière de cybersécurité. C'est une une répartition des rôles, une partage des compétences, des connaissances, de l'expertise et des capacités d'agir pour que tout le monde se protège au juste niveau et pour que si un jour la déferlande devait arriver, chacun soit en capacité d'apporter sa pierre à l'édifice de la protection collective, hein, que personne ne soit une victime facile, que des relais soient trouvés pour répondre à la crise et que l'AN, l'État de manière générale puisse remplir son rôle mais sans être totalement submergé par une déferlante d'attaque. C'est euh finalement ce qui a guidé la rédaction de la stratégie nationale de cybersécurité qui n'est pas un exercice purement d'écriture parce que je pense je partage monsieur le président la méfiance vis-à-vis des stratégies incantatoires he qui est quelque chose qui s'inscrit dans ce qui a été fait jusqu'à jusqu'à présent qui est dans la continuité d'un certain nombre d'actions menées par l'ANC depuis déjà quelques temps mais qui nous donne des caps clairs des priorités clairs qui actent aussi le rôle primordial des collectivités et de de la déclinaison territoriale dans cette réponse collective euh avec euh des changements en matière de gouvernance.

Alors, je referai pas forcément dans ce propos liiminaire toute la gouvernance des différentes chaînes opérationnelles qui fonctionnent déjà bien, de sécurisation de l'État, qui est et qu'on met en œuvre au sein des administrations, mais avec une extension de cette gouvernance à une coordination des politiques publiques en matière de cybersécurité et à l'ensemble des parties prenantes dont les collectivités territoriales et leurs représentants, les différentes associations d'élus qui doivent plus que jamais être associé à tout cela pour trouver quelque part un modèle qui pose le bon équilibre. entre un cadre général et une mobilisation des services de l'État dans les territoires, des préfets, des services du dernier kilomètre que sont notamment les forces de sécurité intérieure qui donnent des orientations et du soutien aux collectivités qui se saisissent de ces sujets sans fermer la porte à des initiatives locales évidemment et à une déclinaison adaptée à chaque territoire. Je je balaye rapidement et je pourrais y revenir si vous le souhaitez les les les cinq priorités de la de la stratégie nationale.

La première et peut-être la plus déterminante, c'est la la le travail sur un vivier de compéten parce que c'est quelque part le le facteur limitant universel pour l'ANC, pour les collectivités, pour les entreprises, pour tout le monde. Il y a pas assez de gens formés à la cybersécurité. Malheureusement, il en manque sur le marché de l'emploi et donc on doit travailler plus que jamais à ce à résoudre ce problème qui détermine tous les autres.

Le deuxième est un chantier que nous appelons le changement d'échelle depuis déjà quelques quelques années qui est là encore ce ce le fait de relever la maturité et le niveau de sécurité de tout le tissu sociétal économique bien au-delà des acteurs opérateurs d'importance vitale par exemple sur lesquels nous avons concentré notre action jusqu'à présent. Un un troisème pan porte sur la mobilisation tous les leviers d'action possibles pour être sûr que attaquer la France a un coût et donc les leviers judiciaires de sanctions économiques diplomatiques jusqu'à au militaire le cas échéant doivent plus que jamais être mobilisés non pas pour pas forcément pour dissuader les attaquants, mais pour les faire réfléchir en tout cas et leur imposer un coup quand ils mènent des attaques contre la France. Je je termine rapidement ces ces cinq objectifs en rappelant que tout ça s'inscrit aussi dans un pilier européen, fondamental et international qui doit nous renforcer dans dont on découle une bonne partie du cadre réglementaire que nous mettons en œuvre et dans un une logique technologique qui doit nous permettre aussi d'assurer que nous maintenons une maîtrise des technologies notamment émergentes qu'il s'agisse d'intelligence artificielle de d'ordinateur quantique et de ses pardon ses ses conséquences sur la cybersécurité.

Donc nous assurer que nous ne perdons pas au gré des évolutions des technologies les leviers d'action que nous pouvons mettre en œuvre aujourd'hui. Peut-être euh est-il utile, certainement l'-il, de de me pencher sur sur un certain nombre d'actions prioritaires qui euh concernent éminemment les territoires. Quelque part, c'est c'est quelque chose qui qui guide toutes les actions de de déclinaison de cette stratégie, mais c'est tout particulièrement le cas de la mise en œuvre d'un cadre réglementaire étendu et je pense en particulier à la directive Nice 2 qui poursuit son examen parlementaire malgré quelques retards et qui doit nous permettre dans sa par sa transposition dans le droit national de porter des exigences fondamentales de sécurité auprès d'un tissu très étendu d'entités qu'il s'agisse de collectivités pas toutes mais celles les plus grosses d'entre elles euh ou d'entreprises privées euh et également évidemment des administrations euh d'un programme d'un déploiement de programme d'accompagnement qui tire les leçons et les enseignements de ce que nous avons réussi à faire jusqu'à présent.

Je pense notamment à ce qui avait été fait dans le cadre du programme France-Rance qui nous avait permis d'accompagner et de sécuriser euh 945 entités dont une grande majorité de collectivité et d'établissements de santé avec un dispositif d'accompagnement adapté à des structures dont la maturité initiale est par nature même relativement faible et qui ont besoin d'être d'être guidé dans le le développement de cette cette cybersécurité. Euh je pense aussi à ce que nous avons fait qui est assez similaire dans le cadre de la préparation des Jeux Olympiques et Paralympiques 2024 qui avait plutôt bien marché au profit d'acteur d'une nature un peu différente mais là encore partant potentiellement d'un niveau de maturité assez faible. Euh je pense au particulier aussi dans les dans les grands objets prioritaires de cette stratégie au à la pérénisation, à la structur structuration du réseau de ce qu'on appelle les Cirites, c'est-à-dire les centres de réponse à incident que nous avons euh soutenu dans leur développement selon des logiques sectorielles parce que certains secteurs d'activité se structurent bien mais aussi local avec le soutien à l'émergence de centre de réponse à incident de cette teinture de ces cirtes auprès des régions des territoires d'outreem. une expérience qui je considère aujourd'hui comme réussie et à péréniser car ils apportent un réel soutien de proximité sans créer de redondances particulières.

Évidemment tout en veillant à les intégrer dans un dispositif national qui permett d'avoir une lisibilité de tout cela. Euh dans les acteurs également nouveaux mais qui je pense ont fait leur preuve à ce stade, nous comptons également développer le réseau des campus cyber qui sont d'un objet un peu différent. euh un campus cyber national, mais aussi des campus cyber régionaux qui sont nés à l'initiative des régions euh qui permettent de créer des lieux de rencontrre entre les porteurs de besoins de cybersécurité et les porteurs de solutions de cybersécurité, les services de l'État, des entreprises qui conçoivent des solutions de cybersécurité mais aussi des porteurs de besoins qui s'agissent de collectivité ou d'entreprise qui permet cette rencontre et qui je pense est plus que jamais nécessaire à une époque où nous devons et je pense que vous l'avez souligné dans vos dans vos dans vos interventions liminaires adapter une offre de solution de cybersécurité à un public plus large qui n'a pas la même maturité, qui n'a pas vocation à l'avoir parce que on va pas demander à des patrons de PME ou de collectivité de devenir des experts en cybersécurité.

Donc ça, il faut aussi que ça percole dans le tissu industriel. Dernier objet que je mentionnerai ici, le le déploiement à grande échelle d'un programme d'entraînement qui là encore est un objet qui a fait ses preuves, notamment dans la préparation des Jeux Olympiques et Paralympiques, qui permet de mettre en situation des gens dont le métier n'est pas la cybersécurité mais qui peuvent être confrontés un jour à une crise cyber. Nous l'avons fait par exemple en euh septembre dernier avec l'exercice rempart 2025 qui était une première pour nous parce qu'on a fait on a entraîné simultanément 1263 organisations au dernier décomtes dans toutes les régions hexagonales dans sep territoires d'outreem dans h fuseaux horaires simultanément pour les projeter dans une crise cyber.

Donc c'est quelque chose qu'on a vocation à reproduire mais qui surtout a vocation à se à se se développer et à être repris. Le cadre d'exercice que nous avons mis en œuvre à ce moment-là, nous l'avons partagé, réutilisable, librement pour guider des initiatives locales dans des entreprise, dans des collectivités pour là encore généraliser ce processus d'accompagnement. Euh pour ne pas être trop long, je conclurai aussi en faisant un petit état des lieux des ressources d'ors et déjà mises à disposition, notamment des collectivités territoriales pour les accompagner dans la cybersécurité.

Euh en précisant bien à ce stade que euh vu de l'ANC, les collectivités territoriales sont évidemment des potentiels victimes à accompagner dans leur sécurité, mais aussi des acteurs de la cybersécurité qui peuvent être mobilisés, qui peuvent y contribuer et que nous pouvons outiller dans le développement euh de logique de cybersécurité. Euh moi, je fais le constat aujourd'hui qu'il n'est plus possible d'attendre d'attendre. hein, on a un horizon euh celui posé par la par la revue nationale stratégique et même à bien plus court terme une réalité de la menace qui doit conduire tout le monde à se mettre en mouvement et à développer la cybersécurité et la résilience cyber.

C'est dans cet esprit-là que nous avons la semaine dernière publié dans une version préliminaire puisque le l'examen parlementaire n'est pas terminé. ce que nous envisageons d'imposer comme règle de sécurité au titre de la directive Nice 2, mais qui a vocation à s'appliquer à un champ bien plus large puisqu'il s'agit d'un travail conséquent mené en concertation avec des dizaines de fédérations professionnelles, avec toutes les associations d'élus pour trouver le bon niveau d'exigence de cybersécurité à porter auprès de petites structures de collectivités, de petites et moyennes entreprises pour répondre en priorité à ce qui sont les vulnérabilités qui font la réalité de la menace aujourd'hui sans porter un niveau d'exigences qui seraient déraisonnable. Euh donc c'est ça que nous essayons de faire et que nous allons continuer à faire dans l'accompagnement du quotidien.

Euh évidemment Nice 2 n'épuisera pas le sujet et donc nous avons un travail complémentaire avec d'autres acteurs, d'autres d'autres relais. Je mentionnerai ici parce que je pense que vous les avez auditionné l'Agence nationale de la cohésion des territoires avec laquelle nous avons également avec le ministère de l'intérieur mis en place un programme de de création de ressources adaptées, y compris sur le plan numérique. Je pense notamment à la suite territoriale qui n'est pas alors qui n'a pas vocation à épuiser le sujet de l'équipement numérique des collectivités, mais de mettre à la disposition, sans l'imposer, mais d'offrir à celles qui le souhaitent une solution intégrée pour les petites, en particulier les petites communes ou les petites intercommunalités, une solution de base d'hébergement, de messagerie qui permet de couvrir des services numériques essentiels et de mutualiser un peu l'effort de sécurisation.

Euh je pense euh aussi au travail que nous menons quotidiennement avec d'autres acteurs de la de la mutualisation qui s'agissent des intercommunalités, qu'il s'agissent des OPSN de réseaux comme le réseau Déclic qui fait un travail formidable pour mobiliser ces acteurs-là également et euh de tout le travail que nous menons à travers nos euh délégués territoriaux qui sont euh la chance la Nancy a aujourd'hui la chance d'avoir un délégué dans chaque région de France hexagonale et un délégué Globotter pour les les outresemes qui permettent aussi de faire ce lien avec les réalités de terrain et les acteurs locaux. Je ne serai pas plus long parce que je pense que je le suis déjà beaucoup sur ce propos liminaire, mais je conclurai simplement en vous disant que nous sommes au début d'une d'une aventure de changement d'échelle et de déploiement dans tous les pans de la société, notamment dans les territoires de cette cybersécurité. Je pense que Nicolas Roche pourrait vous dire la même chose de plus généralement de la protection contre des menaces hybrides car la logique est la même avec un réel partage des tâches et un vrai enjeu collectif qui mobilise également le secteur privé que je n'ai pas beaucoup évoqué ici mais qui est aussi un un un monde avec lequel nous travaillons et plus que jamais.

Merci pour votre écoute et je monsieur le directeur je j'ai quelques demandes de prise de parole je propose de les distribuer d'abord peut-être les rapporteurs pour ravi du 129. On va commencer par Olivier Cadic et ensuite son collègue Michael Valet. Je vous en prie.

Allez-y. Merci monsieur président, monsieur le directeur général de l'ANSI. Merci beaucoup pour ce propos.

L'appel à manifestation d'intérêt à Émir Alec lancé le 22 août dernier posait des exigences explicites, une forte proximité territoriale et la gratuité de l'assistance aux victimes de cyberattaque au titre d'une mission d'intérêt général. Or, dans les faits, plusieurs dispositifs territoriaux reposent largement sur des opérateurs privés, notamment Orange Cyberdéfense dans le cas des Cirtes. Dans ces conditions, comment garantissez-vous que l'argent public ne finance pas indirectement des prestations privées qui s'éloigneraient de l'esprit initial de cet appel à manifestation d'intérêt ?

Et plus directement, considérez-vous que les dispositifs retenus sont pleinement conformes aux engagements que vous aviez vous-même fixés ? S'agissant des Cirtes, quel est leur modèle économique réel ? Quelle est la part exacte de financement public ?

Et à terme, ces structures ont-elles vocation à être pérénisées par la subvention ou à évoluer vers un modèle concurrentiel ? Par ailleurs, l'État finance déjà des dispositifs nationaux, notamment cybermalveillance.gouff.fr.

Comment justifie justifiez-vous la coexistence de ces structures avec cyber malveillance sans qu'il y ait doublon, voire dispersion des moyens publics ? Une évaluation de cette efficacité globale a-t-elle été conduite ? Dans une interview que vous avez donné à un grand quotidien, vous précisez que le rôle de l'État est de traiter la menace du haut du spectre avec les attaquants d'autres États.

Pourquoi en ce cas l'ANC développe-t-elle des outils et services comme les services cyber plutôt destinés aux entreprises qui font concurrence aux acteurs économiques de l'écosystème ? Quel budget ? Quel montant de sous-traitance ?

Combien de ressources humaines et de temps sont consacré à mes services cyber ? J'env au cadre européen la directive Nice 2. Directive qui aurait dû être transposée il y a plus de 18 mois.

Nous assistons également à la multiplication de vols massif de données. Comment comptez-vous imposer Nice 2 aux administrations et collectivités qui ne respectent déjà pas les textes comme le RGS, référentiel général de sécurité ou du RGPD règlement général sur la protection des données par exemple ? Comment prévoyez-vous de décliner la stratégie nationale de cybersécurité auprès de l'ensemble de la population au-delà de la seule sphère des ministère et services concernés ?

La France est aujourd'hui en retard alors même que certains de nos partenaires comme la Belgique ou l'Italie ont déjà transposé Nice 2 depuis 18 mois. Quelles en sont les conséquences concrètes pour la France en matière de retard pour notre niveau de cybersécurité ? Disposez-vous d'éléments objectifs permettant de comparer la situation française qui n'a pas transposé avec celle des pays qui ont déjà transposé depuis 18 mois.

Enfin, j'aimerais vous entendre sur un point de cohérence. Si ce retard n'a pas d'impact mesurable à ce stade, comment justifier l'ampleur des obligations que cette directive impose aux entreprises françaises ? Autrement dit, sommes-nous face à une exigence réellement structurante en matière de cybersécurité ou à une contrainte normative dont l'efficacité resterait à démontrer ?

Merci. J'ai cinq questions. Je vous propose de répondre individuellement à chacun.

Merci. Euh alors, je je peux je peux essayer de répondre aux questions évidemment toujours pertinentes de de monsieur Cadic. euh sur ces sur ces différents sujets dans l'ordre euh sur sur la lairc euh le le alors je peut-être que je je prendrai le temps de de préciser ce qui est'est cette Airc parce que le terme est un est un est un un peu semblait un peu barbare.

C'est un appel à manifestation d'intérêt que l'ANS a lancé au cours de l'été 2025 pour soutenir des dispositifs locaux ancré dans le dans la réalité territoriale. C'était un des critères d'assistance aux victimes. Pense avec une une pensée évidente pour le dispositif déjà en place dans un certain nombre de régions de ces cirégionaux mais avec des critères assez larges. nous a permis de recueillir euh 90 candidatures, je crois, dont nous avons retenu 16 avec une logique de couverture territoriale évidemment qui nous a permis de apporter un soutien renouvelé à un certain nombre de ces cirtes préexistants aussi de combler des manques.

Euh je pense notamment à la région Auvergneur Ronalpe qui n'avait pas pu être embarqué euh dans le dans le le dispositif initial de soutien au CIRT. Je pense tout particulièrement à Mayotte. qui était un territoire qui a tout particulièrement, je le pense, besoin euh d'une d'une capacité de proximité dans le traitement des cyberattaques.

Car ça vaut pour tous les territoires ultramarins. L'insularité ne fait que magnifier les conséquences des cyberattaques. Un regret dans tout ça, c'est que nous n'avons pas pu faire la même chose pour le la Polynésie française et que c'était quelque chose sur nosquels nous devrons revenir parce que je pense qu'il est important de compléter cette couverture régionale.

Euh nous avons eu des critères d'analyse assez assez clairs. Euh nous sommes je pense pouvoir dire que nous sommes dans un un bon usage des deniers publics. Évidemment ces cessir ne travaillent pas en concurrence avec les acteurs du secteur privé.

Ils font appel en tant que de besoin et renvoie à des prestataires privés pour le traitement d'incidents comme peut le faire au demeurant la plateforme nationale cybermalveillance.gov.fr FR qui renvoie aussi sur des prestataires privés euh là où ceux-ci sont pertinents et donc le but n'est pas du tout de créer une concurrence mais en revanche de créer un une un interlocuteur de niveau régional ou local qui soit intégré et je pense que c'est le bilan très positif que nous en tirons intégrer notamment dans les dispositifs d'accompagnement au développement économique porté par les régions comme un interlocuteur de référence même de manière très très basique en s'assurant que toute entreprise accompagnée par la région dans son développement économique, reçoit bien les coordonnées du Cirt, a bien en tête que il y a là quelqu'un qu'elle peut appeler en cas de crise, euh quelqu'un vers qui elle peut se tourner en cas de question qui sont aussi des relais permanents de messages de sensibilisation au-delà de la simple réponse à incident.

Et donc je pense que c'est un là encore un un modèle pertinent. Je le vois aussi dans la capacité croissante de ces cessirtes régionaux ou territoriaux de manière générale à prendre à leur charge le traitement d'une certaine quantité d'incidents. Donc c'est quelque chose qui décharge je le pense l'ANC et lui permet de se concentrer sur des incidents d'une gravité plus flagrante.

Donc un certain nombre de choses peuvent être traitées au niveau des cesses cirtes territoriaux. J'observe que la transmission de relais s'opère sans grande difficulté et assez naturellement quand un incident d'apparence peu grave manifeste finalement une gravité suffisante pour justifier l'implication de l'ancier. Et donc on a on a un passage de relais naturel avec les cirtes territoriaux mais aussi avec les ccirtes d'autres natures privées sectorielles.

Je constate aussi que ces cirtes territoriaux sont aujourd'hui des citoyens à part entière si j'ose dire de la communauté des cirtes qui est manifestée à travers une association dont l'ANC a soutenu le développement initial mais qui aujourd'hui vole de ses propres ailes qui est l'intercerte France et qui compte parmi ces rangs aujourd'hui un peu plus de 120 cirtes sectoriels, territoriaux privés. les grandes banques ont toutes leur cir par exemple euh et qui sont des acteurs de la coordination immédiate des traitements d'incidents euh dans le domaine bancaire par exemple, c'est une une dynamique bien établie. Le modèle économique euh évidemment gagne à être formalisé et à péréniser compte tenu de ce retour très positif.

Nous avons traité ça de manière adog jusqu'à présent parce que c'était un dispositif émergent. Je pense que la stratégie nationale de cybersécurité prône en la matière une pérénisation sur la base d'un co-financement, d'un financement à hauteur peu ou prou de 50 % par l'État parce qu'on est alors on n'est pas dans une délégation mais dans une mission d'utilité publique que l'État peut soutenir parce qu'il y voit aussi son intérêt euh mais un financement également porté par les régions ou par des logiques de financement qu'on voit émerger dans certains cas avec une offre de base gratuite des ces cirtes territoriaux et c'est une condition effectivement de l'appel à manifestation d'intérêt que nous avions porter mais également des services payants le cas échéant ou des logiques de financement européen. Voilà, n'avons pas n'aurons pas des contraintes fortes nécessairement sur la la manière dont ce cofinancement sera exercé infiné, mais je pense qu'il faut pour le péréniser et pour s'assurer que c'est quelque chose qui à la fois rejoint le besoin ressenti par l'État mais s'inscrit logiquement dans une dynamique locale, s'orienter vers ce ce cofinancement et l'inscrire dans les dynamiques ou dans les les modèles normaux et usuels de financement des collectivités.

Euh je je fais le même constat sur euh le le dispositif porté par Cyber Malveillance euh en vous remerciant une fois de plus, monsieur le sénateur, de du soutien que vous lui apportez à chaque occasion qui euh où il l'a nécessité et je pense que je pense on peut se féliciter de ce succès collectif. Cyber malveillance aujourd'hui coexiste de manière harmonieuse et de manière de plus en plus structurée avec les cessirtes territoriaux. L'AN a financé et soutenu le GIP Cyberveillance, le groupement d'intérêts public pour intégrer les CCItes territoriaux dans sa plateforme.

Et aujourd'hui, plus la moitié des Cirtes territoriaux sont actifs dans la plateforme du GP Cybermaviance. Comme tout ça peut être un peu théorique. Cela veut dire que tout citoyen français aujourd'hui peut se tourner en cas d'acte de cybermalveillance vers une plateforme unique qui est le 17 cyber 17.goof.fr FR qui est un réflexe que je pense que nous avons intérêt à développer chez tous nos concitoyens et y être mis en relation à travers la même plateforme avec des cirtes territoriaux s'ils existent qui peuvent répondre au téléphone parce que la plateforme n'est pas une plateforme téléphonique qui peuvent appuyer apporter cet appui et ce soutien de proximité avec les forces de l'ordre qui peuvent préinstruire notamment un prédépôt de plainte et avec des prestataires privés qui sont ceux enregistrés auprès de la plateforme.

Et je trouve que ce modèle fonctionne aujourd'hui, qu'il gagne à être là encore enrichi, consolidé, structuré encore plus pour s'assurer que alors je je me méfie toujours des logiques de guichet unique, mais d'avoir un guichet de référence qui soit celui que tout le monde est en tête. Et en s'assurant que quelle que soit la nature de la victime et la nature de l'incident, quand on appelle ou qu'on contacte parce que c'est pas c'est encore pas un standard téléphonique, on contacte la plateforme 17 cyber, on arrive dans tous les cas et rapidement et efficacement à être mis entre les mains de quelqu'un qui peut aider qui peut aider efficacement. Euh le positionnement vis-à-vis de la menace du du haut du spectre euh gagne à être un tout petit peu précisé, je le pense, euh il y a un certain nombre de cyberattaques dans notre rôle de cyberpompier que seul LANC peut traiter.

Et donc moi, je suis assez vigilant à ce que nous ne nous emparions pas là encore au détriment potentiellement du secteur privé qui peut tout à fait traiter une bonne partie du des cyberattaques usuelles de d'incidents qui ne nécessitent pas nécessairement l'intervention de l'AN. C'est encore plus vrai dans la perspective du scénario central de la revue nationale stratégique. Le jour où le ciel nous tombera sur la tête, si je si j'ose dire, où toutes les cyberattaques se produiront en même temps, des attaques très avancées, des attaques moins avancées, il faudra que la puisse se concentrer sur les attaques les plus avancées qu'elle seule peut traiter qu'elle seule peut traiter dans le cadre du C4, c'est-à-dire dans une collaboration aussi avec nos partenaires des services de renseignement qui viennent nourrir notre compréhension de la menace.

Euh et donc c'est pour ça que nous avons d'ors et déjà un positionnement de de de chef d'équipe ou de coordination ou de chef d'orchestre, toutes les toutes les images sont bonnes en la matière, d'une équipe de France qui est constituée aussi de ces cirts territoriaux, privés, sectoriels, de prestataires de réponse à incident, de GIP comme le GIP cyberveillance qui tous et toutes à leur niveau traitent un pan de la menace et je trouve que ça fonctionne aujourd'hui de manière harmonieuse parce que là encore le la coordination est bonne, la circulation de l'information est fluide et le transfert de relais parce que c'est une nécessité parce que on n' pas toujours connaissance de la gravité réelle d'un cyberattaque quand on y est confronté initialement, le transfert de relais se perd de manière fluide avec l'ANC lorsque ça le nécessite. Ceci étant, l'AN a vocation à s'occuper et à à apporter une mission de service public au profit de tous nos concitoyens, à coordonner les efforts, à ne pas faire elle-même tout toute seule, mais à faire certaines choses. Et c'est dans ce sens-là par exemple que nous développons la plateforme des services cyber qui n'est autre qu'une simple mise en mise en forme et mise à disposition de l'ensemble du corpus de recommandations et des ensembles de des outils fournis par l'ANC mis en place notamment dans la perspective de la mise en œuvre de Nice 2.

Mais services cyber, c'est pas quelque chose de très nouveau. Pour répondre, sans m'avancer trop sur les chiffres parce que je ne les ai pas de manière précise en tête, mais c'est un budget total de quelques centaines de milliers d'euros pour la conception de ce nouveau service. ça a mobilisé deux ou trois ETP au sein de l'ANC pendant le temps de nécessaire à sa conception parce que c'est ce n'est autre qu'un site web qui met en forme de manière plus accessible et avec une grille de lecture qui se prête notamment à l'entrée dans le jeu de la cybersécurité d'un nouvel d'un nouvel assujetis 2 qui met en forme un certain nombre d'outils préexistants et de recommandations préexistantes.

Euh je je reste sur la sur ces questions Nice 2. Le respect de Nice 2. Évidemment, je regrette autant que vous le le retard de transposition Nice 2.

Je ne le commenterai pas parce que je il ne m'appartient pas de commenter le calendrier parlementaire, mais plus vite ça arrivera, mieux nous nous porterons. Euh est-ce que on peut objectiver la réalité de de les conséquences de ce retard ? difficile à dire de manière statistique, mais je ne peux m'empêcher de noter qu'un certain nombre d'incidents qui ont été qui ont fait l'actualité ces derniers temps sont strictement des incidents auxquels visent à répondre Nice 2, que ce soit par les mesures techniques préconisées par Nice 2, la généralisation ou en tout cas la mise en œuvre de la double authentification pour les réseaux d'administration par exemple, euh la sécurisation des bases de données, des choses comme ça qui sont quelque part des choses dont on on mesure quotidiennement le manque malheureusement. euh l'obligation de notification d'incident.

Alors, je ne reviendrai pas dans les détails, par exemple sur l'affaire CGDIM récente, mais de fait euh on observe aujourd'hui une notification parfois volontaire mais non générale des incidents à LANC et dans un certain nombre de cas euh une implication tardive des pouvoirs publics alors que nous aurions pu aider à limiter la casse si nous avions été prévenus plus rapidement. Donc oui, j'en mesure de manière anecdotique et pas statistique aujourd'hui les conséquences concrètes de ce retard et quelque part Nice 2 est une réponse collective au niveau européen à cette menace que nous observons aujourd'hui sur sur la déclinaison à la population de manière très très générale. Je vous renvoie aussi à d'autres objets que je n'ai pas évoqué dans la stratégie mais qui sont des missions qui mobiliseront, je le pense aussi, le GIP cybermalveillance d'une campagne de sensibilisation à grande échelle et d'un portail grand public pour passer des messages de prévention à destination de la population.

Désolé de cette longue réponse à je l'espère l'ensemble des question. Je vous en prie. C'est très intéressant mais j'appelle à la concision parce que sinon nous n'arriverons pas à terminer à donner la parole à tout le monde.

Michael Valé, écoutez, je vais être concis parce que vous avez fait un un tour de la question. Vous avez répondu sur la question du financement des cirtes régionaux, mais je voudrais simplement avoir la confirmation que c'est pas juste un souhait de votre part et que vous avez des informations, comment dire, claires sur le fait que dans la présentation par le gouvernement du prochain budget de l'État, il y a bien la volonté de ce financement à 50 %. et du fait de savoir surtout si ça sera un financement suffisant pour rester au même niveau de de on va dire d'activité.

Après, il vous reste l'inconnu de savoir si la collectivité mettra ou pas sa part. Considérant qu'on est quand même un peu dans un flou en terme de de compétence à un moment où le premier ministre dans ce qu'il envisage comme un nouvel acte de décentralisation précise qu'il faut qu'on sache qui fait quoi. Donc peut-être que vous êtes un peu en en porte àfa là sur le sujet.

Donc je voudrais bien savoir si ce que vous nous avez esquissé quelque chose qui est qui a une vraie comment dire tangibilité sur le la question des fonds. Euh sur la question de Nice, vous commentez pas le calendrier parlementaire, mais on a quand même du mal à comprendre comment on sort une stratégie nationale sans avoir la base légale euh pour le faire. Euh mais je comprends bien que vous allez pas aller plus loin sur ce sujet.

Je reviendrai sur la question de cybermavillance.gou. Nous avions euh pointé lors de des auditions à la fin de la dernière année civile notre incompréhension sur l'absence d'augmentation des moyens mais vous nous aviez répondu que c'était des moyens suffisants sur cyber cybermalveillance.

Vous dites que le 17 cyber entre dans les mœurs. Donc s'il entre dans les mœurs, il a vocation à se développer, à avoir plus de sollicitations. Vous avez évoqué le fait que ça sous la géani qui peut se concentrer non pas sur l'essentiel parce que tout est important dans ce domaine et que si on cumule le nombre de cyberarnaques auquels nos concitoyens sont confrontés à coût de 1000 ou 2000 € sur votre compte bancaire que vous vous faites détourner, ça commence à faire à la fin.

Mais vous vous avez besoin de vous concentrer sur les sujets sur lesquels vous êtes les seuls à pouvoir répondre en terme je dirais technique. La question est quand même de savoir si vous envisagez au-delà du simple la simple possibilité pour cyber la maisonance de répondre à des appels à manifestation d'intérêt qui sont parfois et ce n'est pas le cas pour vous mais c'est une méthode depuis quelques quelques années au niveau de l'État central de de gérer la pénuie en fait les appels à manifestation d'intérêt hein euh si vous envisagez une augmentation des moyens de cybermalance dont vous êtes je crois le formellement le le président quoi de de la structure Donc voilà mes questions complémentaires concises, monsieur le président. Merci.

Alors sur sur le ces questions de financement, je me hisserai très haut au-dessus de ma de ma condition si je me prononçais sur le futur budget de l'État. Je pense que là je ne suis pas le plus légitime à vous à vous en parler. En revanche, oui, c'est une réalité tangible puisque cette logique de cofinancement est inscrite dans la stratégie nationale de cybersécurité.

Donc elle fixe une intention. Le risque que des collectivités ne s'inscrivent pas dans cette dans cette logique de cofinancement est assumé et quelque part voulu en ce sens que de tels dispositifs non de sens que si les les conseils régionaux qui les mettent en œuvre et qui y contribuent, ils trouvent aussi leur intérêt et je pense que on veut se tenir à l'écart d'un modèle dans lequel l'État central imposerait et financer un modèle unique en disant toute région doit avoir son cir régional. régional.

Euh il faut que ça pour que ça ait un sens et pour que ça marche et on l'observe aujourd'hui, il faut que ça s'inscrive dans une dynamique régionale et dans tout ce que les régions peuvent faire là encore à la croisée de ces enjeux de cybersécurité, de développement économique. Pour le dire d'une autre manière, il y a un certain nombre de PME notamment que seule la région peut atteindre. En tout cas, c'est pas la NC qui arrivera à les atteindre elle-même.

Et donc, on se on on se base là-dessus aussi pour pour créer des dynamiques au niveau régional. Je je ne me prononcerai pas non plus sur le débat plus large sur les compétences des collectivités, mais je reconnais qu'il y a aussi un débat en matière de numérique et de compétences en matière de cybersécurité numérique des collectivités sur lequel je n'ai pas forcément d'avis légitime à donner mais dans lequel tout ça va s'inscrire de manière plus générale. Euh encore réitérer en réitérant que je regrette que nous n'ayons pas aujourd'hui de cadre légal national sur Nice 2.

Nice 2 n'est pas dépourvu de base légale puisque c'est du droit européen. Mais voilà donc quelque part, il nous faudra d'une manière ou d'une autre transposer Nice 2 en droit national à un moment. [grognement] Sur les moyens de cyber malveillance, je rappellerai déjà que l'ANC est depuis le début le principal financeur de de cybermalance.

En tout cas, le SGDN puisque c'est un un un un BOP unique en terme lolphific comme on dit. Euh donc on est on est contributeur depuis depuis la naissance du de ce ce groupement d'intérêt public et nous avons d'ailleurs incubé comme on dit maintenant ce ce groupement d'intérêt public à sa naissance. Ces moyens sont portés par l'État mais également par la contribution de ses membres.

Ils peuvent être renforcés au-delà des dotations usuelles reconduites d'année en année par des conventions de financement et ça a déjà été le cas. Euh la création du 17 cyber a donné la lieu à un financement supplémentaire du GIP à SIMA cyber malviance de 700000 € de mémoire initialement et un financement récurrent de 300000 € pour assurer l'exploitation de la plateforme 17 cyber euh qui est dimensionné euh à la juste taille pour le les coûts de cette plateforme. L'ANC a ajouté dans une dans le casre d'une autre convention un financement complémentaire initial et récurrent, je crois, à hauteur de 500000 € aujourd'hui pour l'intégration des Cirt régionaux de l'ANC elle-même dans cette plateforme 17 cyber pour nous assurer de la complétude de la couverture.

Donc il y a il y a des financements et des abondements au budget du GIP qui permettent aujourd'hui de porter ces ces missions nouvelles. sans trop m'avancer sur la la déclinaison concrète de la de la la stratégie nationale. Il y a des objet dans la stratégie nationale qui peuvent pourraient utilement mobiliser le GP cybermalveillance.

Qu'il s'agisse de campagne de sensibilisation à grande échelle ou de mise en place d'un portail de prévention grand public. Là encore le le GP Assima, c'est bien mieux que l'ANC parler à nos concitoyens. Il l'a démontré et il a démontré son efficacité en la matière.

Donc tout ça pourrait être confié à au GIP et faire l'objet là encore de financement supplémentaire euh dans le cadre de convention euh ou de suivi de l'extension de ces missions. Donc oui, le le GIP à SIMA est financé euh est financé en fonction de l'évolution de ces missions et continuera à l'être et je le dis euh avec une forme de schizophrénie assumée entre ma fonction de directeur général de l'ANC et de président du conseil d'administration Assim. Il n'y a pas d'inquiétude de ma part sur ce plan.

Bien merci monsieur le directeur Michel Gréum. Merci. Merci monsieur le directeur général pour toutes les informations.

Moi je vais intervenir concernant la responsabilité de l'État, l'indemnisation des victimes et notamment sur la série noire des ministères. En moins de 4 mois, depuis décembre 2025 à mars 2026, les ministères de l'intérieur, des sports et de l'éducation nationale ont subi des intrusions majeures ayant exposé des données personnelles de millions de citoyens français. La série d'attaques contre les ministères de l'intérieur concern notamment le traitement des antédents judiciaires ou des fichiers des personnes chercher.

Concernant le ministère des sports, c'est 3005 de foyers passeport en décembre 2025 et l'éducation nationale c'est le portail qu'on passe en mars 2026 qui concerne 243000 enseignants. Cette série d'attaques révèle une défaillance systémique. Le vecteur d'attaque est à chaque fois trivial. mot de passe en clair, compte non sécurisé.

Lancy avait-elle été consultée sur la sécurité de ces systèmes ? C'est ma première question. Comment expliquer que des bases de données aussi sensibles n'ai pas d'authentification multifacteur généralisé en 2026 ?

En fait, les ministères subissent des attaques. Les victimes sont des millions de citoyens, mais l'État ne voit que rarement sa responsabilité engagé ni pénalement ni financièrement. Les Français se font àquer leur données, ce qui représente un danger en terme de risque d'urpation d'identité ou de chantage en tout genre.

Alors que le RGPD impose aux entreprises privées des amendes. En cas de violation de données, les administration en sont exemptées. Ne faudrait-il pas introduire dans notre droit un mécanisme de responsabilité administrative et d'ademnisation automatique des victimes de fuite de données [raclement de gorge] publiques à l'image de mécanisme d'ademnisation des victimes d'accidents médicaux.

Plus généralement, la France dispose-elle d'une capacité d'intervention proactive pour neutraliser les données volé sur les forums criminels et les dark web, pardon, avant qu'elle ne soit exploitée massivement. Merci. Merci.

Alors, je je je serai pas dans une lecture qui verrait la série noire limitée à au seul état. L'État a fait euh les frais au même titre que des entreprises de toute taille et des opérateurs de toute nature. Les frais de ce pivot d'une partie de la menace que je je mentionnais, c'est-à-dire des des attaquants du registre criminel qui ont fait moins de ranongiciel et qui ont compris que du vol de données, c'est malheureusement relativement facile aujourd'hui encore et ça peut être monétisé, peut-être pas dans les mêmes proportions que le rangiciel, mais ça ça marche.

Je je garde une prudence sur les chiffres là encore avec cette observation que 60 % des revendications que qu' traité LANC était fausses soit du bluff complet soit de l'ex soit de du recyclage et que dans celle qui était avérée il y a toujours une logique d'exagération hein le ceux qui portent ces revendications d'attaque les attaquants n'ont pas de raison d'être particulièrement honnête ils sont de base des criminels et ont particulièrement une motivation à exagérer les faits, voire à bluffer pour augmenter les prix, si j'ose dire. Donc on on moi je reste très prudent sur les sur ces bases de de données ou sur les les volumétries exactes, mais il y a une réalité tangible euh et euh particulièrement euh problématique évidemment de des vols de données à grande échelle qu'on subit nos concitoyens, qu'on subit des entreprises, qu'on subit un peu tout le monde euh avec parfois des logiques d'attaque qui peuvent être pas si triviales que ça ou en tout cas dont la localisation ou le fait générateur n'est pas si trivial que ça puisque ce qu'on observe de plus en plus, ce sont aussi des attaques qui se propage le long de chaînes de valeur dans lesquelles euh des sous-traitants se font attaquer et des données se font voler auprès de sous-traitants. Donc là encore, on a on a tendance à identifier une victime centrale de l'une cyberattaque, mais potentiellement elle ne s'est pas faite attaquer directement. c'est peut-être un de ses sous-traitants et de plus en plus c'est une réalité dans les attaques que nous traitons.

Mais de fait, la possibilité même de ces attaques rappelle de manière régulière et et malheureuse la réalité de vulnérabilité que nous cherchons à combler, que un cadre légal comme Nice 2 vise à combler, que d'autres ps du droit européen comme le règlement sur la cyber résilience, le cyber resilience Act Cra vise à combler sur un autre pan puisqu'il s'adresse lui au fournisseurs du numérique, aux éditeurs de logiciel qui ont aussi des responsabilités euh quand il livrent des logiciels qui sont vulnérables et qui doivent donc les corriger. Euh donc voilà, on a ce cadre à mettre en place qui fait partie de la réponse, qui n'épuisera pas la réponse mais qui doit avoir un effet assez systémique. Euh sur le le la notion de de responsabilité de l'État, il me semble que le RGPD ne protège pas nécessairement les administrations ou les opérateurs publics de sanction.

Je serai très prudent pour euh commander ce qui commenter ce qui est relève de l'action de l'ACNIL euh autorité indépendante puisque la le la régulation au titre du RGPD, les logiques de sanction sont portées par l'ACNIL, mais l'ACNIL a sanctionné récemment tant des opérateurs privés que des opérateurs publics suite à des fuites constatées au cours de l'année 2025. et je pense qu'elle continuera, en tout cas, elle en affirmé l'intention, euh de continuer à sanctionner les manquements euh flagrant à des obligation de protection des données. Mais je ne commenterai pas plus ce ce sujet qui ne relève pas de mes compétences sur la logique de de proactive d'aller euh enlever des données sur internet.

Je crois que malheureusement une fois que les données sont parties sur internet euh il est vin d'essayer de les faire disparaître. L'internet est ainsi fait que quelque chose qui figure y est reproduit à à l'infini. Et euh au demeurant, c'est ça fait partie du problème également parce que dans les fuites de données, on a un effet auto-entretenant euh puisque la fuite de données d'aujourd'hui, si elle contient des mots de passe, peut nourrir la cyberattaque de demain.

Donc ça fait partie de ce phénomène qui qu'on a bien en tête de d'accroissement et de d'intensification de la menace euh si euh on ne prend pas les mesures de sécurité élémentaire qui permettent de la contrer au moins dans cette nature là. En revanche, ce qui marche et on peut s'en réjouir, c'est l'action de la justice. Non pas pour récupérer les données parce qu'une fois dans la nature, elles sont malheureusement perdues, mais pour confronter aux conséquences de leurs actes les auteurs de ces types d'attaques.

Et je pense qu'on peut se réjouir du fait que lorsqu'ils ne sont pas à l'abri de l'action de la justice, c'est-à-dire dans des localités ou des pays qui n'ont pas d'accord d'extradition avec la France, les auteurs de ces faits sont de plus en plus régulièrement interpellés. [grognement] Euh je me risquerais même à dire que ça explique une partie de euh l'activité euh intense observée en matière de fuite de données puisque une partie de tout cela, ce n'est pas le seul fait générateur, euh relève aussi de logique de conflit réputationnel entre cybercriminels suite à des des interpellations. Je pense notamment au à la galaxie dit shiny Hunters, désolé pour leur langicisme, c'est comme ça qu'ils se sont appelés, dont un certain nombre de membres ont été interpellés par la justice française en 2025 et un certain nombre de revendications de fuite de données notamment contre l'État en 2025 ont été formulé au titre d'une forme de vengeance euh des cybercriminels, de ceux qui restent en liberté contre l'action de la justice et des forces de police française.

Je pense, j'espère mais je pense sincèrement qu'il joue un jeu perdant en la matière et que ceux qui sont à la portée de la justice finiront à être par être confrontés aux conséquences de leurs actes. Directeur, je suis désolé mais je vous invite vraiment à la concision. Il me reste quatre questions et je pense pas qu'on arrivera au bout.

Donc Philippe Paul euh d'abord qui s'exprime au nom Ducori et Mariade Carlotti semble-til. Oui, merci monsieur le président. B c'était à l'origine des questions qui étaient prévues pour monsieur Nicolas Roche.

Donc si vous voulez bien, je veux bien les les poser. Vous verrez si monsieur Strugel si vous pouvez y répondre sinon on pourra le saisir par écrit. Donc, j'interviens en tant que capporteur avec mes collègues Huxori et Marie-Harlette Carlotti de la commission sur le thème de la résilience face aux nouvelles menaces mais aussi en tant que rapporteur pour avis du programme 152 gendarmerie nationale.

Avec plus de 3000 brigades territoriales, la gendarmerie nationale dispose d'un réseau sans équivalent auprès des collectivités petites et moyennes. Sa connaissance des territoires la place en première ligne pour assurer la résilience de nos systèmes et de nos populations. Concrètement, quelle coopération a été mise en place par votre collègue Roche avec la gendarmerie sur ce volet ?

Voilà la première question. Question de ma collègue Marie-Arlette Carlotti. Il y en a deux.

Question numéro 1, outil à destination des élus. Vous proposez sur votre site des outils de formation à destination des élus notamment un guide intitulé mieux connaître de la stratégie nationale de résilience disponible sous deux formes différentes ainsi qu'un guide de la continuité d'activité. Disposez-vous de statistiques sur le téléchargement de ces documents par les élus ?

De manière plus générale, avez-vous mis en place des indicateurs permettant de suivre l'état d'avancement de la mise en place de la SNR ? Question numéro 2 de Maria Rallette Carlotti, comparaison internationale, avez-vous pour l'élaboration de la stratégie nationale de résilience pris en compte les politiques conduites par nos voisins dont certains comme la Suède, la Finlande ou les Pays-Bas semblent plus avancés dans le domaine de la préparation des populations ? Et les deux dernières questions de notre collègue Huxori.

Question numéro 1, rôle des acteurs privés. La résilience des systèmes et de l'approvisionnement implique une coordination poussée avec des acteurs privés afin de garantir une continuité en cas de crise. Euh le SGDSN s'est-il doté d'un point de contact avec ces acteurs ?

Font-ils l'objet d'action de sensibilisation sur ce sujet ? Question numéro 2, stratégie nationale de résilience. N'y a-t-il pas un paradoxe dans le fait de ne pas publier la stratégie nationale de résilience tout en demandant à un public très large de la mettre en œuvre ?

Ainsi, le guide mieux connaître la stratégie nationale de résilience mis à disposition des élus dispose un ensemble de tâches à mener à bien comme recenser les compétences disponibles dans votre territoire et susciter les vocations d'engagement pour être en mesure de répondre à une crise majeure au plus près du terrain mais sans lui indiquer les moyens ou les ressources à disposition. Voilà, j'ai fini. Je me permets de donner la parole à l'ensemble des personnes qui souhaitent poser des questions pour une réponse globale.

Ludovic est et ensuite Jean-Luc Cruel. Merci messieurs les présidents. Merci monsieur le directeur général.

Très rapidement, je vais être très concis. Donc merci déjà d'avoir rappelé monsieur le directeur général tout ce qui a été mise en place ces dernières années pour travailler justement cette organisation. on sait d'où nous partons, c'est-à-dire de pas grand-chose et il a fallu passer de la sensibilisation à à un niveau d'efficacité beaucoup plus important.

Euh aujourd'hui, par rapport à tout ce que vous avez évoqué, je pense que jusqu'au Cirt régionaux, pour les grandes régions qui en ont, euh on est relativement euh bien organisé avec euh ça a été dit euh un renforcement par le dispositif 17 cyber qui vient lui aussi palier un certain nombre de de lacune. Pour moi, le sujet se situe peut-être après, je dirais, sur le dernier kilomètre. Euh aujourd'hui euh il est utopique pour le l'ANSI de vouloir euh pouvoir de pouvoir intervenir sur les 36000 communes de France.

Euh chacune ayant presque sa propre configuration informatique. On imagine bien que les besoins et les problèmes sont totalement différents. Euh en revanche, on et ça a été dit aussi, on a aujourd'hui peut-être enfin c'est bien beaucoup d'acteurs qui sensibilisent sur les risques cyber.

La gendarmerie nationale par son maillage territorial, ça a été dit. Bien souvent renforcé par les chambres d'agric les chambres CCI, les chambres de commerce et d'industrie pardon et puis parfois encore renforcé par les associations d'élus. Et c'est là où peut-être un maire aujourd'hui qui rencontre un problème souvent le samedi matin ou le dimanche matin aujourd'hui avant d'arriver au Cirt et d'être guidé, c'est ce c'est ce kilomètre là qui manque et qu'est-ce qui va se passer ?

Généralement, il fait l'appel à il fait appel à son prestataire pour ceux qui ont pour ceux qui ont la chance d'en avoir un, son prestataire informatique qui après une analyse assez rapide procède à une restauration et remet en état remet en état le sujet. Voilà, donc ça c'est peut-être des choses qui ne vous qui ne remontent pas au niveau national euh en disant bon ben voilà, c'est des incidents qui sont euh euh je dirais résolus lundi. Donc ça ça se passe plutôt bien.

Mais euh en l'occurrence, je pense qu'en terme d'organisation, peut-être que les préfectures ont un rôle à jouer puisque c'est un sujet qui concerne mes collègues en ce moment, le renforcer le rôle des préfectures. La commune étant le plus petit maillon, le maillon élémentaire de la République, peut-être que la préfecture a un rôle à jouer pour organiser ce dernier kilomètre. Jean-Luc.

Merci. Merci président. Merci beaucoup monsieur le directeur général pour ces information.

Donc j'ai deux petites questions. Lune, pourriez-vous préciser si lorsqu'une collectivité territoriale est victime d'une cyberattaque, elle est soumise comme les entreprises privées à une obligation de déclaration auprès de l'ANC ? Ensuite, par ailleurs avec la directive Nice 2, certaines entités devront s'enregistrer auprès de l'ANC et notifier les incidents.

Pouvez-vous nous indiquer ce que cela changera concrètement pour les collectivités alors que les modalités précises restent encore à définir par décret ? Je vous remercie. syétique, je vais faire synthétique et alors je je vais dégainer aussi une un joker de simplification en me en m'abstenant de répondre à la place de mon chef sur un certain nombre de questions relatives à la stratégie nationale de résilience parce que je le ferai forcément beaucoup moins bien moins bien que lui et je pense qu'il serait très heureux de répondre à vos questions lui-même sur ces différents plans.

Peut-être en fusionnant un peu les certaines de ces questions et je n'oublie pas le la question sur la gendarmerie nationale, mais ça fait partie de la réponse à la au dernier kilomètres. Oui, nous avons une collaboration étroite de longue date et qui se structure de plus en plus avec la gendarmerie nationale, avec les forces de sécurité intérieure de manière général, mais euh de fait sur une grande partie du territoire, ce dernier kilomètre, il est couvert essentiellement par la gendarmerie nationale. Cette collaboration, elle prend différentes formes sur la la les messages de sensibilisation qui sont synchronisés, la mise en œuvre de d'outils de diagnostic qu'on a fait converger pour aider à poser ce premier diagnostic, hein, quand on est on veut aborder ce sujet de la cybersécurité, la première question à se poser, c'est par quoi on commence ?

Et pour ça, il faut poser un diagnostic et je trouve que ça marche très bien et que la gendarmerie y contribue par ces ces ces forces d'actives, mais aussi par ces réservistes qui sont un cadre de réserve fortement mobilisé sur ces sujets-là. Évidemment, ça n'épuisse pas le sujet du dernier kilomètre. Je pense et je souhaite que nous inscrivions dans la durée les liens noués avec les associations d'élus au gré de la consultation sur Nice 2.

On a travailler avec l'ensemble des associations d'élus depuis 2023 euh pour préparer ce cadre national de déclinaison de de Nice 2. Je pense que nous devrons garder ce lien fort dans la mise en œuvre et plus généralement dans le la sensibilisation, la diffusion de fiches réflexes ou de choses comme ça. Les chambres consulaires sont aussi des des relais importants et je pense que là encore ce ce travail et ces dynamiques régionales de manière générale ne peuvent qu'être encouragé en prenant les expériences qui ont marché en essayant de les généraliser tout en laissant une place à l'initiative locale.

Et donc cet enjeu de gouvernance renouvelée dans la stratégie nationale de cybersécurité trouve toute sa place. Il y a aussi des outils de de portée nationale qui peuvent aider à ça et donc je pense que on aura gagné énormément le jour où collectivement on aura fait en sorte que l'ensemble de nos concitoyens y compris les élus y compris les maires de petites communes mais aussi l'ensemble de nos concitoyens et concitoyennes et en tête ce ce réflexe 17 cyber. On a un formidable outil avec le 17 cyber qui permet qu'on construit, qu'on continue de construire pour permettre la mise en relation avec tous les aidants potentiel, tous les intervenants potentiels pertinents en cas d'acte de cyberveillance au sens large.

Je pense qu'il faut il faut marteler ce discours-là et l'intégrer dans la la prévention à à grande échelle euh sur les les collectivités. Alors, avec la prudence d'un projet de loi de transposition de Nice 2 qui n'est pas encore définitivement voté, mais ce qui est proposé à ce stade, c'est que certaines d'entre elles seulement soient soumises à des obligations. Sans faire toute le toute la la typologie et l'arbre de décision, les communes de moins de 30000 habitants n'y seront ne seront concernées qu'à travers leur intercommunalité de rattachement.

On n pas je pense que personne n'a envie d'imposer des contraintes fortes à des communes de petite taille. En revanche, les intercommunalités sont un endroit où on peut porter un certain nombre de de mesures mutualisées ou d'obligations mutualisées. Ces obligations, ce sont des obligations basiques pour la grande majorité d'entre elles puisque ce seront des entités importantes, c'est-à-dire le niveau de base.

Les plus grandes collectivités, les conseils régionaux par exemple, les conseils départementaux seront astreints à des obligations supplémentaires en tant qu'enté essentielle. Tout auront cette obligation d'enregistrement et de notification des incidents à l'ANC qui je pense ne représente pas une grande charge du moment qu'on est prévenu et qu'on a besoin là encore de faire passer ce message auprès de tout le monde qui nous permettra de les aider. Et là fondamentalement on est dans la mise en œuvre à grande échelle de notre rôle potentiel de cyberpompier en lien avec toute cet écosystème de premiers répondants de ces cirques territoriaux de prestataires qui peuvent être mobilisés.

Mais pour que les acteurs de toute qui peuvent aider suite à une cyberattaque se mobilisent, il faut qu'ils aient l'information et aujourd'hui cette information nous manque. Et donc identifier euh les bénéficiaires, les victimes potentielles et avoir l'information d'une attaque. Ça nous permet de les aider et ça nous permet aussi de passer des alertes à plus grande échelle parce qu'on voit forcément une forme de propagation des attaques et que donc une attaque qui a lieu peut être la prémise d'une attaque qui concernera le voisin ou un autre acteur de la même chaîne de valeur économique.

Et donc avoir ce rôle d'alerte précoce nous permettra de limiter la casse, je le pense. Merci beaucoup euh monsieur le directeur, merci pour cette intervention. Jeis peut-être je laisse la parole à Bernard, mais en tout cas moi je voulais remercier la la délégation collectivité d'avoir eu cette initiative.

Je pense que c'est important qu'on puisse défricher un peu le terrain. Donc merci monsieur le directeur et puis de toute façon nous aurons nous dans le cadre de la commission d'affaires strangères et de la défense d'autres occasions de nous de nous rencontrer et d'échanger sur ces sujets. Mais je laisse la parole à Bernard.

Merci monsieur le directeur général pour l'ensemble de ces informations et de ces réponses très précises aux questions qui ont été posées. Merci à l'ensemble des collègues et on voit bien que c'est un sujet dans lequel effectivement les collectivités se trouvent en premier lieu concerné. Euh la sécurité c'est partout, c'est dans les territoires, queles que soient d'ailleurs les formes les formes d'attaque.

Euh et donc je pense que il faut mener vraiment ce travail et je pense qu'il y a encore des progrès à faire en matière d'information, de formation, d'outillage euh auprès des maires. Nous allons commencer un nouveau mandat avec de nouveaux élus qui vont arriver. Je pense qu'il y a un travail à faire auprès de de chacun pour que chacun prenne bien d'abord la mesure euh des enjeux et puisse être efficace et avoir des des outils euh et trouver les bons interlocuteurs pour faire face aux crises qui peuvent se présenter qui ne manqueront pas même j'en suis sûr de se présenter.

Voilà. En tous les cas merci beaucoup à vous. Merci Cédric de nous avoir permis de mener ce travail en commun.

Merci.