QAG - Quelles réponses aux cyberattaques ? - Catherine Morin-Desailly - 25 mars 2026

Catherine Morin de Sayi pour le groupe de l'Union centriste, vous avez la parole. Merci monsieur le président. Ma question s'adresse à madame la ministre chargé du numérique.

Hier, nous avons appris que la base Compa logiciel de ressources humaines du ministère de l'éducation nationale avait été attaqué entraînant le piratage de données personnelles d'environ 243000 agents. Cette cyberattaque est malheureusement la N d'une longue liste d'attaques ciblant le cœur de l'État, nos administrations et nos infrastructures critiques. Comment expliquer une telle vulnérabilité ?

Quelle réponse le gouvernement compte-t-il apporter à nos concitoyens ? Désormais vraiment inquiet de savoir tantôt leur numéro de sécurité sociale, leur dossier médical, tantôt leur adresse, leur numéro de portable ou encore leurs données bancaires partis dans la nature aux mains de cybercriminel en tout genre ou de puissances étrangères. Pour quelle utilisation ?

Au nom de mon groupe, je vous remercie pour votre réponse. La parole est au ministre de l'éducation nationale, Édouard Gefrey. Merci monsieur le président, monsieur le sénateur, même la sénatrice Morin Deailler.

Merci pour votre question. Alors, je je réponds au nom et pour le c gouvernement parce que vous avez abordé le sujet de Compasse. Compass, c'est donc une base de données qui gère les stagiaires, donc les professeurs stagiaires et qui les affectent.

Elle a comme vous le savez été finement piratée. Nous avons au total donc ce sont plusieurs années en fait de stagiaire affectés dont les données ont été ont été capté capturé par des pirates très concrètement, c'est-à-dire les noms, les prénoms, les adresses, les lieux des premières affectations. D'abord en terme de réaction pour vous dire que nous sommes ce que nous faisons dans ce type d'yothèse et ce que nous avons fait en l'espèce.

Détection le 19 mars, accès évidemment fermé immédiatement, cellule de crise, notification acn dès le 21 mars, plainte dès le 24 et information des 243000 personnes concernées d'ici le 1er avril. Donc nous avons aujourd'hui une infrastructure qui permet de réagir. Deuxième élément et vous l'avez dit, tout ça s'inscrit dans un contexte et dans un contexte aussi géopolitique où on a on fait des attaques qui sont comme on dit hybrides et qui se traduisent par des formes d'attaques multiples.

On a des attaques en déniserice pour bloquer nos outils. On a des attaques de type tiratage ou cheval de 3. En l'espèce, on a exactement cette hypothèse là.

C en fait c'est une personne qui a dû ouvrir une pièce jointe frauduleuse dans un mail et dont les accès ont en fait été captés. Donc c'est un agent qui avait droit d'accéder aux données mais qui s'est fait capter ses accès par des tiers. Donc très concrètement deux choses qui pour pour les pour les mois à venir.

D'abord nous avons mis en place un plan de sécurisation à la fois au niveau de notre ministère mais de manière générale interministériel avec double authentification c'est-à-dire deux rangs au lieu d'un meilleure sectorisation meilleure compartimentation et différentes données et évidemment réduction donc de l'exposition des applications au nombre de d'utilisateurs potentiels. Et puis surtout, nous avons une stratégie nationale interministérielle et je me permets de dire que ça se traduit par le projet de loi relatif à la résilience des infrastructures critiques qui visent à transposer notamment les directives Nice 2 que vous connaissez directives européennes et qui nous permettront d'avoir à la fois un plan de résilience dans tous les infrastructures d'importance vitale et également de pouvoir mieux sanctionner ceux qui s'y soustrairent ainsi que les pirates. Je vous remercie.

Madame, merci monsieur le ministre pour vos réponses précises. Je savais que vous alliez me parler de la transposition de Nice 2 et du projet de loi et de transposition de la directive en droit français avec le le projet de loi relatif à la résilience des infracritiques et au renforcement de la cybersécurité. Mais j'insiste ici, le texte a été voté il y a plus d'un an et nous impatientons de son inscription à l'Assemblée nationale.

D'ailleurs, il croisera bientôt peut-être un autre texte relatif à la cybersécurité, à l'étude à Bruxelles. Mais surtout, je veux souligner un angle dans le cadre de la stratégie globale que doit mettre en place le gouvernement. Euh il y a un angle mort que constitue le facteur humain, source de vulnérabilité au cœur de nombreuses cyberattaques.

Il est temps que la montée en compétence numérique de tous soit vraiment érigée au ranges causes nationales. Il est urgent que chacun de nos concitoyens, tous les personnels de l'administration de nos entreprises et des collectivités territoriales soient cyberformés pour être cyber résilient comme le rappelle d'ailleurs très régulièrement l'ACNIL dans ses recommandations. J'avais écrit en ce sens suite à un rapport sur la formation au numérique en 2019 au président de la République sans réponse avec mon col mon collègue Olivier Cadiic, nous avons réitéré ce courrier à François Baou et à Clara Chapas en l'état aujourd'hui.

Nous espérons que le gouvernement va enfin se saisir de cette grande cause de compétences numériques. Nous comptons sur vous pour passer le message, monsieur le ministre. Merci.