Protéger face aux ingérences numériques étrangères

Bonjour à toutes et à tous, c'est 100 % Sena. Il y a quelques jours, des pirates ont pris le contrôle à distance des systèmes de réfrigération de centaines de supermarchés français en exploitant des failles de sécurité provoquant la perte de tonnes de denrées alimentaires. Un exemple flagrant de nos vulnérabilités et de la massification des attaques hybrides. Notre pays est-il prêt face à ces nouvelles menaces à l'approche de l'élection présidentielle ? Les sénateurs ont posé la question à un panel d'experts. Écoutez mes chers collègues, nous recevons ce matin monsieur Nicolas Roche, secrétaire général de la défense et de la sécurité nationale GDSN dans le cadre du programme 129 coordination du travail gouvernemental pour l'examen des crédits

de l'action numéro 2 coordination de la sécurité et de la défense. Monsieur le secrétaire général, bienvenue à la commission. Euh je vous souhaite la bienvenue monsieur le secrétaire général et je peux déjà vous dire que votre présence était évidemment attendue par nos collègues car vos compétences vous place au cœur de la tourmente tant sur le plan géopolitique que purement national. Vous êtes accompagné aujourd'hui comme les années passées par monsieur [grognement] Vincent Strubel directeur général de l'Agence nationale de de sécurité des systèmes d'information LANC et pour la première fois cette année madame madame Anne Sophie d'hiver chef adjointe du service de vigilance et de protection contre les ingérences numériques étrangères Viginum qui assure l'intérim depuis le départ en

septembre dernier de monsieur Marc-Antoine Brillant chef du service pour une agence privée. Bienvenue à vous deux et j'en profite en début de cette séance pour vous remercier pour le travail que vous faites. Même si vous êtes parfois dans le cœur du au cœur du cyclone, c'est parce qu'évidemment l'activité que vous exercez désormais est particulièrement scrutée compte tenu des nombreuses attaques dont nous sommes malheureusement victimes. Je sais, monsieur le secrétaire général que vous êtes sur tous les fronts à la manœuvre à l'étranger avec nos alliés et partenaires pour mettre en œuvre les coopérations indispensables à nos intérêts de défense et de sécurité nationale. vous assurer en quelque sorte le service aprèsvente de la revue nationale stratégique et le service

aprèsvente aprèsvote de la loi de programmation militaire et vous assurez la coordination interministérielle au profit des conseils de défense, des autorisations d'exportation de matériel de guerre et des nombreuses stratégies de cybersécurité, de résilience ou encore de lutte contre les manipulations de l'information. sujet sur lequel le Sénat a adopté hier en première lecture le projet de loi de lutte contre les ingérences étrangères dans la vie démocratique. Nous pouvons donc aisément comprendre que vos services ont été très occupés par les cyberattaques de l'été qui se sont concentré sur des services de l'État et en particulier à l'administration fiscale. Vous n'avez pas été en reste sur le volet des ingérences numériques étrangères puisque Viginum a détecté des manipulations de

l'information lors des campagnes des élections municipales. puis cet été sur des candidats aux prochaines élections présidentielles. Et à ce sujet, il serait particulièrement intéressant que vous puissiez ici présenter le dispositif de protection de cette élection majeure à bientôt 6 mois du scrutin. Et je ne doute pas que mes collègues auront de nombreuses questions à vous poser sur les cyberattaques et les manipulations de l'information qui commence qui concernent pardon tous nos concitoyens dans l'hexagone et les outres maires notamment les rapporteurs pour avis du programme 129 monsieur Cadic et désormais Frédéric Burel. Pourquoi il m'ont écrit buval ? Buval, excusez-moi. Pour ma part, c'est que j'ai pas encore suffisamment l'habitude. Tu me pardonneras. [grognement] Pour ma

part, avant de vous donner la parole ainsi qu'à vos chefs de service, je m'interroge à la lumière des événements inadmissibles et intolérables qui se sont déroulés ces derniers jours sur le territoire national sur les moyens et les réponses pour les prévenir et pour y faire face. Certains ont alerté ont parlé d'état d'urgence. Est-ce un nouvel état d'alerte de sécurité nationale qui a été voté en loi de programmation militaire euh qui est une réponse possible ? En matière de renseignement, disposez-vous des moyens nécessaires. Nous avions attiré l'attention de la sur la sous-budgétisation des fonds spéciaux dans le dernier budget. Nous notre recommandation semble avoir été entendue puisque l'enveloppe est réévaluée à 100 millions d'euros pour 2027 au lieu des

67 millions d'euros de 2026. Mais le nouvel obstacle n'est-il pas maintenant ? l'usage très large des messageries sécurisées [grognement] dont nous avions soulevé le problème à l'occasion de la loi sur le narcotrafic. Ça fait fait l'objet, rappelez-vous, d'un amendement de ma part. problème qui se pose également face aux groupuscules radicaux et autres black blocks. C'est un sujet sur lequel la délégation parlementaire au renseignement a rendu des travaux ainsi que plus récemment notre ami et collègue député Florent Bouier et je serai donc intéressé par votre analyse sur les solutions que d'autres pays auraient pu mettre en œuvre avec les plateformes de messagerie cryptées. C'est évidemment un sujet majeur qui devient de plus en plus d'actualité malheureusement. Monsieur le secrétaire

général, madame, monsieur, avant de vous céder la parole, je rappelle à toutes et à tous que cette audition fait l'objet d'une captation vidéo qui [grognement] est retransmise donc sur le site internet du Sénat et ses réseaux sociaux puis consultable en vidéo à la demande. Monsieur le secrétaire général, je vous laisse la parole et je vous laisse la distribuer à vos collègues de gauche et de droite pour que cette audition soit la plus, j'allais dire fluide possible. Vous avez la parole. Merci beaucoup. Merci infiniment monsieur le président. Mesdames et messieurs les sénatrices et sénateurs, c'est un plaisir de de vous retrouver aujourd'hui. Je vous propose, monsieur le président, de faire un certain nombre de propos liminaires pour l'ensemble de du périmètre du SGDSN, y

compris Ansy et Viginum. Et et en revanche, comme je suis certain qu'il y aura de très nombreuses questions euh et un certain nombre de questions qui viseront la question des ingérences numériques étrangères d'une part, la question des cyberattaques d'autre part, je laisserai pour partie mes mes amis et collaborateurs répondre à toute une série de de vos questions. Tout d'abord, monsieur le président et et mesdames et messieurs les sénatrices et les sénateurs, permettez-moi à l'issue du renouvellement de la moitié des sénateurs et des élections qui ont qui ont eu lieu de de vous présenter toutes les toutes les félicitations de de l'ensemble des des agents du SGDSN au sein pour tous ceux qui viennent de vous rejoindre et et y compris pour vous monsieur le président pour votre

réélection y compris à la tête de cette commission. Nous avons une longue tradition de coopération, de collaboration très étroite entre l'ensemble de votre commission et l'ensemble des service du SGDSN et soyez certain que nous continuerons dans cette logique là euh puisque tout simplement ce qu'il s'agit de faire collectivement c'est de continuer cette longue entreprise de rehaussement des défenses et de la sécurité de notre pays face à l'ensemble des risques et des menaces auxquelles nous nous faisons face. Euh nous avons comme vous l'avez dit en introduction, monsieur le président, une longue une longue tradition d'études, de questionnement, de travaux collés ensemble sur toutes ces questions

fondamentales et je je suis depuis un an et demi que je suis rentré en France à la tête du du AGDSN, objectivement impressionné par la qualité de l'ensemble des travaux et de nos de nos travaux communs sur l'ensemble des questions de défense et de sécurité nationale. Vous avez eu monsieur le président des mots très aimables pour les agents du SGDSN, de l'ANC, de Vigénum, de l'ensemble des services et vraiment je veux vous en remercier en leur nom à tous et vous confirmez ici l'investissement absolu, total, sans faille, permanent nuit et jour parfois dans l'accomplissement des missions nombreuses qui nous sont confiées et que effectivement un certain nombre

d'acteurs extérieurs en particulier ça s'acharne à surcharger un peu plus et à nous faire sortir de notre routine. Et je dis dans tout cela des événements imprévus mais imprévu mais pas inattendus car le contexte international que nous avons eu l'occasion de décrire dans cette même commission à de très nombreuses reprises et de plus en plus dur, corrosif pèse sur l'ensemble des composantes de la de la société et de la nation et votre commission le connaît mieux que personne. qui a été si impliquée dans l'élaboration de la revue nationale stratégique qui a été publiée le 13 juillet 2025 et notamment de ce scénario central de la revue nationale stratégique que nous avons élaboré

ensemble au paragraphe 112 et des 11 objectifs stratégiques qui décrivent les efforts à consentir dans l'ensemble des domaines de la défense et de la sécurité nationale pour être à la hauteur des enjeux qui sont décrits et de ce scénario central. Je ne vous ferai pas l'insulte de revenir sur la substance de ce scénario central que vous connaissez. tous autour de cette table tout aussi bien que nous. Mais peut-être pour commencer euh mes propos vous dire euh où nous estimons en être euh presque 18 mois après la publication de la revue nationale stratégique. Et si nous prenons un tout petit peu de recul, regarder ce que nous avons fait dans l'année qui vient de s'écouler entre le mois de juillet 2025 qui a marqué la publication de la revue nationale stratégique et ce mois d'octobre où nous

sommes. Quel bilan en tirons-nous et qu'est-ce que nous en tirons pour l'avenir et les moyens qui nous sont alloués pour 202 ? Et j'essaierai à ce à cette fin de répondre à une partie de de vos questions. Le scénario central, pour le dire simplement, a été validé par les faits et par la réalité, je dirais malheureusement. Soyons précis, vous rappelez que la partie militaire du scénario, cette partie qui dit dans le paragraphe 112 de la RNS que nous devons préparer nos armées à être engagé dans des actions de guerre à la périphérie de l'Europe ou en Europe à l'extérieur du territoire hexagonal. Fort heureusement, vous constaterez avec moi que d'évidence la France n'est pas en guerre et que nos armées ne sont pas en guerre. En

revanche, dans cette première partie, la poursuite de la guerre en Ukraine, de cette guerre illégale d'agression russe contre l'Ukraine, la poursuite du conflit entre Israël et les États-Unis d'un côté et l'Iran d'autre part continue d'exercer une forte pression et nous avons été à la à la manœuvre en terme d'assistance, de soutien et d'aide à nos partenaires et à nos alliés, mais je le redis, cette première partie du scénario, fort heureusement, elle ne s'est pas mise en œuvre et nous ne sommes aujourd'hui pas dans cette situation dans laquelle nos armées seraient engagé dans des actions de guerre. En revanche, s'agissant de la deuxième partie du scénario, celle qui concerne le territoire national à la fois hexagonal et outreemè, je pense que vous aurez constaté avec moi l'idée que

les modes de conflictualité variés, opportunistes, dur aujourd'hui continuent de toucher le territoire national et je dirais de façon croissante et massive. Je dirais même qu'une forme de cap a été franchie dans le courant de l'année 2026. Permettez-moi juste ici de rappeler un certain nombre d'événements qui se sont passés en Europe et qui viennent illustrer la matérialisation des attaques hybrides qui ont été conduites contre un certain nombre de systèmes en Europe et parfois en France. Au mois d'août dernier, le centre polonais de réponse aux incidents informatiques, le Cert Polska, a révélé qu'une cyberattaque avait touché une centrale thermique lors de la vague de froid

survenue du rang l'hiver 2526 après le 29 décembre 2025. Cette incident s'inscrivait dans une série d'attaques coordonnées qui avaiit touché une trentaine d'installations d'énergie renouvelable. L'objectif était bien d'atteindre un certain seuil systémique visant à provoquer un blackout électrique en Pologne sur le modèle de la grande panne accidentelle, celle-là qui avait feé qui avait affecté l'Espagne et le Portugal, vous vous en souvenez, en mars 2025 et a privé d'électricité des centaines de milliers de Polonais. Les autorités polonaises, fort heureusement, ont réussi à parer cette attaque, à empêcher ce sabotage et vous le savez, ça a été dit publiquement. Elles l'ont attribué à la Russie. Dans la nuit du 4 au 5 août, deux petits drones des ces petits drones

issus des technologies civiles classiques qui sont en vente dans le commerce portant des charges explosives ont manœuvré sur un aéroport civil, celui de Lipsich pour tenter d'exploser au contact d'avion de ligne civile. Et un troisème drone chargé d'explosif a été trouvé un peu plus tard à une dizaine de kilomètres de l'aéroport. Et les autorités allemandes là aussi ont pu démontrer que ces attaques ont échoué parce qu'elles n'étaient pas suffisamment organisées. Mais en revanche, l'intention du sabotage et de la destruction était présent. Et là aussi, vous le savez, les autorités allemandes ont attribué la responsabilité de cette opération de sabotage d'un aéroport civil par l'utilisation de petits drones kamikaz avec de l'explosif à la Russie. En France, depuis le mois de juillet, et

nous y reviendrons lors des questions-réponses, j'en suis certain, des campagnes d'ingérence numérique étrangère contre de nombreux candidats à l'élection présidentielle se sont d'ors et déjà multipliés afin de semer la confusion, d'alimenter le chaos, de perturber notre débat démocratique sur les réseaux et dans l'espace numérique. Ce ne sont là que quelques exemples de ce que nous avons pu constater en Europe, de la matérialisation, de la massification du volume d'attaque hybride dans toute la diversité, sabotage, cyber, drone, espionnage évidemment que nous voyons se matérialiser en Europe. Monsieur le président, mesdames et messieurs les sénatrices et les sénateurs, je ne vois aujourd'hui aucune raison pour que ce type d'attaque s'arrête à la frontière

de notre pays et ne continue pas dans les quelques mois qui viennent de nous toucher. Un an après la publication de la revue nationale stratégique, je constate que la vitesse à laquelle l'adversité se durcit augmente et nourrit à tous notre sentiment d'urgence. notre responsabilité, la responsabilité du SGDSN et de l'ensemble de ces institutions rattachées et donc d'accélérer nos propres efforts de protection dans le domaine qui relève en particulier des attaques hybrides. Je pense à la protection des sites, des infrastructures critiques, des opérateurs d'importance vitale et au-delà de l'ensemble des entités qui sont essentielles à la continuité de la vie de la nation, notamment dans le domaine de la protection physique et de la lutte contre les sabotages. Je pense

à la protection des systèmes d'information et Vincent Strubel en parlera davantage sur l'état d'évolution de la menace cyber qui pèse sur nous, à la fois sur le trèshaut du spectre et cette mutation de la menace du trèshaut du spectre sophistiqué d'origine étatique qui visait jusqu'à présent essentiellement des actions d'espionnage ou de prépositionnement et qui est en train de muter vers des actions organisées de sabotage. Et cette deuxième mutation que nous avons constaté ces dernières ces derniers mois et sur lequelle là aussi le directeur général de l'AN a eu l'occasion de s'exprimer publiquement et reviendra, j'en suis sûr, pour répondre à votre question, sur des menaces de très faible sophistication mais à très fort impact politique qui relèvent plutôt de la

criminalité individuelle endogène jeune, non plus simplement de la criminalité organisée telle que nous la connaissons avec des groupes criminels transnationaux, mais de cette petite criminalité finalement faible faiblement sophistiquée sur le plan technique. mais a très fort impact politique sur la confiance que nos concitoyens peuvent accorder à la capacité de l'État à les protéger. Je pense évidemment ici à la question de la détection des ingérences numériques étrangères dans le domaine de Viginum que nous avons d'ors et déjà vu se multiplier et il n'y a aucune raison que nos adversaires fassent une trève électorale et ne multiplient pas évidemment dans les semaines qui viennent, dans les mois qui viennent jusqu'à l'été 2027 la multiplication de l'ensemble de ces de ces éléments.

pour autant, depuis cette année qui vient de s'écouler depuis la publication de la revue nationale stratégique et qui malheureusement a confirmé nos anticipations, a confirmé notre analyse de la menace et de son aggravation qui par ailleurs a confirmé que cette aggravation se déroulait rapidement, plus rapidement que ce que nous avions anticipé. Nous ne sommes pas restés les bras croisés et toute une série d'actions et vous en avez rappelé certaines monsieur le président, certaines étaient du niveau législatif, j'y reviendrai, qui dotent l'ensemble des institutions de l'État d'un certain nombre de pouvoirs et d'autorités renforcées et supplémentaires pour nous permettre de faire face. Mais au-delà de ces dispositions législatives qui ont été intégrées dans la loi de

programmation militaire, je vais revenir sur certaines d'entre elles et dans d'autres projets de loi qui sont en cours d'examen qui effectivement ont été votés. D'ailleurs, je l'ai noté, à une plus que large majorité, à une très très grande unanimité dans le domaine des ingérences nous donne des autorités supplémentairire et continueront leur parcours législatif. Permettez-moi juste de revenir sur quelques exemples de ce qui nous a occupé au sein du SGDSN dans l'année qui vient de s'écouler sur la base des moyens qui nous avaient été alloués dans cette même commission par le Parlement l'an dernier. Euh premièrement, vous savez, je sais votre attachement, monsieur le président, mesdames et messieurs les sénatrices et les sénateurs, à la question de l'engagement et des réserves. Euh les

réserves aujourd'hui, grâce à la loi de programmation militaire sont réparties en trois viviers. les réserves opérationnelles que la loi de programmation militaire qualifie désormais de réserve de sécurité nationale et auxquelles nous avons ajouté au-delà des réserves opérationnelles militaire de la police de la gendarmerie la réserve sanitaire et les réserves opérationnelles des douanes et de l'administration pénitentiaire qui nous dotent aujourd'hui d'une capacité de gestion de crise supplémentaire avec une vraie réserve opérationnelle élargie. Une deuxième réserve que sur laquelle je veux insister ici que nous avons requalifié qui vise à nous nous donner les moyens d'assurer les missions indispensables à la continuité de la vie de la nation et qui comme son nom

l'indique sont destinés à assurer la continuité de l'action de l'État des collectivités territoriales des organismes qui leur sont rattachés les entreprises les établissements publics les établissements privés opérateurs d'importance vitale les entités essentielles dont l'activité et la continuité de l'activité contribuent à la sécurité nationale et à la continuité de la vie de la nation. Et puis cette troisème réserve de solidarité nationale qui issue de la mobilisation citoyenne en période de crise et que nous avons tous pu constater au moment des incendies notamment dans le sud-ouest de la France correspond à l'engagement des bénévoles lorsque surviennent des difficultés de proximité. Ces trois réservesl sont désormais clairement établies. Nous avions discuté dans cette

même commission il y a 1 an de la complexité du dispositif de réserve, de la nécessité de simplifier, de sincériser, de dynamiser. Ce travail-là est en cours pour, au-delà des capacités de l'État et de la puissance publique, permettre à nos compatriotes de trouver les voies et moyens de l'engagement qui continue d'être nécessaire et qui continue d'avoir du du succès. Je sais aussi un certain nombre de de préoccupations qui sont les vôtres dans l'exécution au-delà de cette question des réserves et d'un certain nombre de dispositions législatives sur l'exécution du budget de 2027 et la préparation de de celui de de 2026. Comme vous le savez, l'entrée en gestion en 2026 avait été adéquée par une adoption plus tardive que d'habitude de

la loi de finance initial et nous avions bénéficié dans ce dans ce contexte, je le redis ici et nous savons à quel point nous avons été bénéficiaires de la solidarité nationale d'un traitement favorable qui correspondait aux missions particulières de la défense et de la sécurité nationale dont le SGDsN à la charge. Un transfert de crédit de la part du ministère des Armées au mois d'avril est venu abonder un certain nombre de crédits pour financer un certain nombre de capacités techniques notamment au profit de nos services de renseignement. Et une réallocation de crédit nous a permis de en cours d'année développer l'ensemble de nos actions destinées à préparer le territoire national à la lutte contre ces petits drones, à la lutte antidrone. Je sais, monsieur le président que vous y êtes

particulièrement attaché. Euh ces travaux-là sont en cours, euh j'y reviendrai sur le site de Brettini surorge en terme de labellisation d'un certain nombre de solutions industrielles qui pour mettre en œuvre en particulier les dispositions très novatrices de la loi de programmation militaire qui a permis à des opérateurs privés euh de de d'opérateurs d'importance vitale de se doter de capacité de détection et de neutralisation qui permettront, je l'espère, à la nation d'être davantage prêt, en tout cas plus rapidement à l'évolution de la menace. Et nous allons continuer au sein du SGDSN notre travail de mobilisation, de dynamisation, d'accélération de la préparation du territoire national sur l'ensemble des crises de sabotage et en particulier de sabotage sur la question des drones. Euh

vous savez, je le sais euh je vais pas y insister de trop euh mais les questions logistiques immobilières sont essentielles. Un certain nombre de décisions ont été prises qui permettront de doter de façon pérenne l'ANCI d'un site permanent à horizon de l'année 2030 de la prochaine décennie qui nous permettront de continuer à donner à l'ANSI les moyens de la protection cyber dans le cadre des responsabilités de notre modèle cyber tel qu'il a été développé. Et je veux dire ici que nous sommes très conscients au sein du SGDSN euh de euh la la les éléments extrêmement positif que nous avons pu obtenir dans des périodes compliquées, y compris de restriction budgétaire qui nous obligent euh tous. pour donner

quelques exemples simplement de ce que nous avons fait cette année dernière et qui vont répondre en particulier à un certain nombre de questions que vous avez posé monsieur le président et je ne doute pas que vous voudrez revenir dans vos questions sur certains de ces éléments-là sur la dimension des ingérences numériques étrangères avec Vieginum, avec LANY, avec un certain nombre de d'institutions de l'État, nous avons mis en dis en place un dispositif durci de protection des cycles électoraux. Je pense en particulier aux élections municipales mais ex également aux élections provinciales en en Nouvelle-Calédonie et évidemment aux élections sénatoriales avec le souci permanent de la coordination interministérielle, de l'information des candidats et des partis politiques et de

l'information du public. Euh vous le savez, au moment des élections municipales, nous avons mis en place le réseau de coordination et de protection des élections qui a rassemblé autour du SGDSN un certain nombre d'institutions, vigénum évidemment sur la question des ingérences numériques étrangères, mais une série d'autres euh institutions de l'État qui nous ont permis d'avoir en place un dispositif efficace, robuste, agile, permanent de détection, de caractérisation et d'information sur les élections municipales en matière d'ingérence numérique étrangère. Nous pourrons revenir si vous le souhaitez sur le bilan que nous avons tiré de l'ensemble. Un rapport a été rendu public par Virginum et le SGDSN sur le bilan que nous avons tiré de la mise en place à la fois du RCPE et de la nature

de la menace telle qu'elle évolue et que nous avons vu manifester des préoccupations et des volontés d'ingérence étrangère dans notre débat numérique électoral. Comme je le disais, ce dispositif du RCPE est un dispositif sur lequel nous sommes en train de réfléchir pour la mise en place à nouveau pour le cycle électoral de 2027. Vous savez aussi qu'un certain nombre de dispositions ont été prises de nature réglementaire pour celle-là qui vise plutôt un éventuel cycle législatif puisqu'un décret a été adopté par le gouvernement le 22 juillet 2026 qui permet là aussi de durcir notre dispositif. l'élection présidentielle faisant elle l'objet d'un dispositif séparé, spécifique, tout à fait particulier entre les mains du Conseil constitutionnel et de la CNCCEP. Ce

dispositif durci qui a montré ses son efficacité, je pense, pendant les élections municipales nous donne la direction dans laquelle nous devons continuer à préparer et à durcir et à rendre plus robuste notre dispositif de protection des élections contre les ingérences numériques étrangères dont nous constatons que la menace continue d'évoluer, de se durcir et d'augmenter. Je suis certain que nous reviendrons en détail sur les questions de cybersécurité, mais nous avons publié la stratégie nationale de cybersécurité actualisée. Nous avons avec l'ANSY et l'ensemble de la communauté interministérielle de la cyber étit pleinement mobilisé dans cette guerre hybride du haut du spectre et qui nous a vu voir, comme je l'ai dit, la menace cyber mutée dans ces deux directions

vers le trèshaut du spectre et le sabotage vers le la partie moins sophistiquée de la criminalité organisée vers la criminalité endogène et individuelle qui font peser euh un rythme opérationnel sur les équipes de cybersécurité tout à fait spécifique et qui nous a amené à conforter et à durcir le modèle français de cybersécurité sur lequel nous reviendrons qui organise la répartition des responsabilité entre ce que fait l'ANC en propre, ce qu'elle fait en elle-même et ce sur quoi elle est un conseil, un expert, un contrôleur, le cas échéant pour que d'autres fassent. Vous savez, je sais qu'un certain nombre d'entre vous autour de cette table sont très attentifs à ces éléments-l. Nous avons continué et c'est un un point qui avait été évoqué dans cette même commission au

même moment l'an dernier à la poursuite du financement de ce dispositif de réaction de proximité qu'on appelle les cirtes régionaux que sur les crédits supplémentaires que nous avons obtenus en 2025 et 2026 nous ont permis de continuer à organiser en région un dispositif de proximité qui permet de traiter un certain nombre d'incidents cyber de premier niveau qui ne requètent pas les capacités techniques les plus sophistiquées que la nation a confié à l'ENC. Dans tous ces domaines là, il y a un bouleversement qui est en cours sur lequel nous travaillons d'arrache-pied et qui tout cela jusqu'à présent n'a pas été rendu public mais nous a fait constater de très profonds progrès dans l'année qui viennent de s'écouler notamment dans les 9 derniers mois en

matière d'intelligence artificielle à la fois de compréhension beaucoup plus fine de l'impact que les modèles d'intelligence artificielle de frontière font peser sur la menace cyber et à l'inverse du durcissement de notre dispositif de cybersécurité à l'aide des modèles d'intelligence artificielle. Une des choses qui a été rendue publique pour le coup et je suis certain que Vincent Strubol y reviendra, c'est l'utilisation de certains éléments euh d'intelligence artificielle nationale en particulier en appui au dispositif d'audit euh de la deuxème phase d'audit qui est en cours par la DG FIP sur les systèmes d'information de la DG FIP. Le tout sous la supervision technique de l'ANSI. Pour se préparer au scénario central de la RNS, nous avons finalisé au mois de juillet de cette année et là

aussi ça a été rendu public une nouvelle planification de défense et de sécurité nationale, le PDSN dans notre jargon qui associe étroitement l'évaluation de la menace, l'ensemble des mesures pour y faire face et que nous sommes en cours d'activation au regard de l'évolution de la menace hybride. Mais nous n'avons pas simplement actualisé et durci notre planification de défense et de sécurité nationale. Nous avons également d'ors et déjà organisé des exercices. Vous êtes familier et un certain d'entre vous y ont participé à à l'exercice Orion 26 et et qui est un exercice d'abord militaire organisé par l'étatmajor des armées mais sur lequel nous avons décidé, nous GDSN, d'amener la communauté interministérielle de la défense et de la sécurité nationale pour jouer

précisément les deux volets du scénario central de la RNS, à la fois la montée de nos armées vers l'engagement majeur et la mobilisation de l'ensemble de la communauté interministérielle de la sécurité nationale pour être en meilleure position pour être capable de répondre à des attaques hybrides massives et donc pour durcir le territoire national. Je le disais, je le redis ici, nous avons financé des moyens nouveaux en matière de lutte contre les petits drones et qui nous qui ont pour objectif de nous permettre de mettre en œuvre plus efficacement et plus rapidement l'article 25 de la loi de programmation militaire. Et j'espère que dans les semaines qui viennent, nous aurons l'occasion euh de démontrer euh que nous passons euh de la théorie à la

pratique. Nous sommes en train de le faire depuis le début du mois de janvier, je l'ai déjà dit à Brettini surorge avec un terrain d'expérimentation en milieu périurbain que nous avons ouvert à la participation de tous les industriels français de la détection et de la lutte antirrone pour qu'ils viennent tester en conditions réell dispositif de détection et de lutte antirrone et ensuite de le labelliser et de le certifier dans des conditions qui correspondent à la réalité de façon à ce que ensuite ces solutions là soient disponibles et validées pour durcir progressivement le le territoire national face à cette menace drone. Vous le savez, vous l'avez dit, dans notre dispositif finalement que je qualifierai de planification juridique de la sécurité nationale, la

loi de programmation militaire a validé et acté, je sais qu'il y a eu des débats nourris sur ce sujet, un nouvel état, un état d'alerte de sécurité nationale qui ouvre des possibilités d'apénagement juridique pour faire face à une montée des crises hybrides qui affectent la sécurité nationale. Et ce dispositif, je le dis ici, monsieur le président, il a été pensé pour les menaces hybrides et construit, conçu à la fois dans ses critères de déclenchement, dans ses modalités d'encadrement et dans les dérogations de nature du pouvoir réglementaire qui autorise pour le durcissement du territoire national face à des menaces hybrides et à ce scénario spécifique, c'est-à-dire à la deuxième partie du scénario central de la RNS. Euh je ne m'aventurerai pas ici devant

votre commission à commenter l'actualité brûlante euh qui euh va bien au-delà de cette question et des compétences du SGDSN euh spécifiquement. Je l'ai dit, je le redis ici. Euh nous avons beaucoup travaillé ces dernières ces derniers mois et c'est vrai dans le domaine cyber, mais je dirais que c'est le vrai dans l'ensemble des domaines qui relèvent de la sécurité nationale sur le bouleversement que représente l'intelligence artificielle en matière de sécurité nationale. J'ai mentionné la façon bonne ou mauvaise dont les grands modèles de langage de frontière peuvent être utilisés dans des domaines du cyber. Mais je veux aussi ici dire que nous dans l'ensemble du périmètre du SGDSN, nous continuons à être extrêmement attentifs et je [grognement] je vous il est possible que vous ayez

des questions sur ce sujet euh sur la la façon dont nous évaluons la possibilité pour des agresseurs étrangers d'utiliser des modèles d'intelligence artificielle à des fins de manipulation de l'information dans le cadre du mandat de Viginum. et nous avons mis en place un laboratoire d'intelligence artificielle au sein de Virginum comme nous l'avons fait au sein de l'ANSI sur la partie cyber et dans des domaines qui sont tout à fait aussi préoccupants qui relèvent de la prolifération des armes nucléaires, radiologiques, bactériologiques, chimiques ou des explosifs. Là aussi, de très des travaux extrêmement approfondis ont été menés ces derniers mois pour mesurer l'état exact de l'impact de des modèle d'intelligence artificielle sur les risques de prolifération et notamment

dans les domaines biologiques, chimiques et d'explosifs. Toutes ces choses-là n'ont pas encore été rendues publiques. Ce sont des travaux que nous avons fait dans un environnement classifié et donc vous me pardonnerez, j'espère, de pas aujourd'hui être en mesure de vous dévoiler l'ensemble des résultats de l'ensemble de ces évaluations que nous avons faites. Je rappelle ici que au titre du sommet sur l'intelligence artificielle que le président de la République pardon avait organisé en mars 2025, un institut a été créé l'Institut national d'évaluation et de sécurité de l'intelligence artificielle Linésia dont le SGDSN a la direction pour les menaces de sécurité nationale. Nous avons activé opérationnalisé cette nouvelle mission dans l'année 2025 et dans l'année 2026

qui nous mettent aujourd'hui en mesure d'avoir une capacité autonome et souveraine d'évaluation des modèles d'intelligence artificielle et de leur impact sur la sécurité nationale. Je pense et j'espère que nous serons en mesure dans les les mois qui viennent avant la fin de l'année de rendre publique un certain nombre de nos évaluations et de déclassifier une partie pour alimenter votre réflexion sur ce bouleversement technologique qui a un impact direct sur l'état des menaces qui pèsent sur notre sécurité nationale et aussi sur la façon dont nous pouvons utiliser l'ensemble de ces modèles à des fins de défense ou de protection de notre démocratie et de notre sécurité nationale. Je sais que vous aurez beaucoup de questions de substance, mais c'est aussi

une audition qui permet de revenir sur les questions budgétaires et c'était d'abord son objectif premier. [grognement] Euh et donc je je ne peux pas ne pas finir euh ma présentation initiale sans vous dire que dans le projet de loi de finance qui vous a été présenté pour 202 et qui euh nous le savons bien, nous ne sommes pas naïfs même si nous sommes euh des technocrates, euh nous savons qu'il est entouré d'un certain nombre d'incertitudes mais en l'état des choses, je constate qu'il est marqué par une volonté de maîtrise des dépenses que nous comprenons évidemment totalement et cette volonté s'applique y compris au service du premier ministre et et au SGDSN. Euh et donc euh nous euh nous sommes euh tout à fait euh à la manœuvre pour faire en sorte de mettre en œuvre

euh les crédits qui euh je l'espère nous seront octroyé sur l'année 2027 qui sont euh pour dire les choses euh euh à constance par rapport à 2026 et là aussi nous avons conscience au SGDSN et en terme de titre 2 et en terme d'ETP et en terme de hors titre 2 dans cette condition qui nous est faite de rester au niveau de l'année 2026 d'être particulièrement favorisé au regard de l'ensemble des mesures de restriction budgétaires qui ont été portées sur un certain nombre de services de l'État et nous serons dans l'enveloppe et le plafond d'emploi qui nous seront alloués en 2026 extrêmement présent [grognement] et attentif à ce que nous puissions mettre en œuvre

rapidement avec agilité, avec souci de l'opérationnel l'ensemble de ce que sont nos priorités et comme je l'ai déjà dit et je n'hésiterai pas à le dire. À l'intérieur, nous serons amenés à faire des choix de priorisation, de hiérarchisation de nos priorités qui seront toujours, je veux le redire ici, conforme à notre analyse de la menace et à la façon dont nous évaluons l'évolution de la menace qui pèse sur notre sécurité nationale. Ça sera vraie dans le domaine cyber, ça sera vrai dans le domaine des manipulations de l'information, ça sera vrai dans le domaine de la lutte contre la prolifération, ça sera vrai dans la domaine de la lutte contre les menaces hybrides et de la planification de défense et de sécurité nationale. [grognement] Je voudrais juste, monsieur

le président, terminer ici peut-être par deux remarques. La première, comme je l'ai dit au début et je ne crois pas l'avoir fait depuis que j'ai pris mes fonctions, depuis un an et demi témoigner ici devant votre commission de mon constat de l'engagement des agents de l'ensemble du SGDSN, de leur professionnalisme, de leur dévouement nuit et jour, de leur capacité à être sur la brèche et on le fait très souvent pour nos amis des armées, pour nos armées des services de sécurité dans la période qui est la nôtre, qui est dure, qui est compliqué. euh ils sont là, ils sont euh au rendez-vous euh avec le professionnalisme et l'engagement qui est leur et avec la diversité des

profils euh qui est leur euh je voudrais ici euh devant vous euh euh leur rendre hommage euh et euh le faire euh euh évidemment euh euh au aux deux patrons de deux des services qui sont avec moi aujourd'hui, à l'ensemble de leurs équipes qui ont été éprouvés dans les semaines qui viennent du côté de Cyber comme du côté des ingérences numériques étrangères. Euh mais vous dire que les équipes sont là, elles résistent, elles ont le sens de la mission euh et elles sont euh engagées au profit de notre sécurité nationale avec toute la diversité des statuts qui sont euh les leurs et qui font la richesse du SGDSN que je constate tous les jours et et donc permettez-moi ici publiquement euh de leur adresser euh mes remerciements euh chaleureux euh parce que évidemment

la la période que nous vivons est une période dure mais pour nous au SGDSN c'est pour cela que nous avons été construit organisés c'est pour ça que la nation nous confie des moyens et euh nous continuerons d'être aussi bien que nous le pouvons et avec toute la capacité dont nous sommes capables être au rendez-vous des menaces de la sécurité nationale. La deuxième remarque que je voudrais faire est plus de substance et ici je pense que nous devons être attentifs dans la période qui vient à la rigueur des analyses des concepts et de l'utilisation des mots. Nous avons beaucoup utilisé le terme d'attaque hybride. Vous savez, je l'ai déjà dit dans cette commission, les doutes que nous pouvons avoir, certains d'entre nous, sur la notion elle-même. Elle a pour autant une valeur opératoire

dans ce qu'elle décrit un certain nombre de menaces concrètes, opérationnelles, très con très très matériell qui vise à casser la continuité de la vie de la nation et qui vise à décrire ce que sont des stratégies adverses d'acteur étatiqu ou non étatiqu étrangers qui visent à perturber la continuité de la vie de la nation depuis l'étranger. Et évidemment, toute tout ce qui se passe sur notre territoire national ne relève pas nécessairement d'une intention stratégique de nos adversaires. Et donc, nous devons faire attention à ne pas tout regrouper dans le vocable d'attaque hybride, d'attaque hybride étrangère. Euh et nous au SGDSN, notre travail et notre périmètre, c'est celui de la sécurité nationale, interprété comme la préparation du territoire national euh

au scénario central de la revue nationale stratégique. Autrement dit, et pour le dire, il y a parfois une tentation de faire intégrer et d'embarquer dans le périmètre du SGDSN la totalité des politiques publiques. Nous avons un champ spécifique qui est défini dans le code de la défense, qui est défini dans le code de la sécurité intérieure. Nous attachons à mettre en place l'ensemble de nos responsabilités et croyez croyez-moi, nous y sommes attachés nuit et jour, mais qui trop embrasse malin notre champ et celui de la sécurité nationale. Merci monsieur secrétaire général pour ces propos liminaires mais particulièrement complets. Juste peut-être pour rebondir sur ce que vous venir à l'instant et je l'ai fait tout à l'heure dans mon propos liinaire, saluer évidemment la présence de Vincent

Strubel et et et de madame d'hiver pendant la période de d'intérim. Euh on on vit quand même dans un pays où où ou dans un système qui manque totalement de cohérence puisque je me je peux permettre de le dire puisque je ne suis pas technocrate comme vous le disiez et pourtant ça pas forcément une euh une valeur péjorative dans votre bouche évidemment celles et ceux qui ont beaucoup critiqué celles et ceux qui ont beaucoup critiqué Viginum sont malheureusement les mêmes qui ont contribué à la baisse des budgets il y a quelques mois. Voilà. Et donc je crois qu'il faut aussi le rappeler puisque la seule la seule enceinte qui a qui s'est mobilisé l'enceceinte nationale qui s'est mobilisé pour sauver les budgets de l'anci et de Viginum, c'est le Sénat et

c'est la commission des affaires étrangères et de la défense ici présente. Je rappelle que dans le cadre du budget 2026, le premier ministre avait annoncé une baisse de 40 millions d'euros du budget de l'ancier de Viginum au moment où les attaques cybernes n'avaient jamais été aussi nombreuses et où la lutte informationnelle était un sujet majeur. Et donc celles et ceux qui aujourd'hui critiquent vertement ces institutions seraient bien comment inspiré de réfléchir à ce qu'ils ont fait il y a quelques années puisqueaujourd'hui on essaie de rattraper le retard de qui nous ont fait perdre en baissant drastiquement les budgets. Voilà, on a un certain nombre de questions, on va essayer d'avancer assez rapidement. D'abord les rapporteurs pour avis du 129, donc Olivier Cadiic et ensuite

Frédéric Buval. Donc je laisse la parole dans l'ordre que vous souhaitez. Peut-être d'abord Olivier. Merci monsieur le président. Euh monsieur le secrétaire général, depuis 10 ans que la commission m'a confié le suivi des crédits du programme 129, j'ai accompagné la la montée en puissance de l'ANS dans la lutte contre les menaces cyber. J'en ai salué les succès notamment lors des Jeux Olympiques de 2024, mais j'ai aussi soulevé des interrogations sur son articulation avec le GIP à SIMA chargé de cyber malveillance et les centres de réponse aux crises cyber en région. Avec mon collègue corrapporteur Michael Valet, avant le renouvellement sénatorial, nous avions alerté sur le fait que le réseau de supervision de l'ANSY ne couvrait pas

tous les ministères. L'actualité de cet été a mis en pleine lumière les défaillances de l'État dans la protection de ces applications les plus sensibles. Entre juin et août, le système d'information de la direction générale des finances publiques a subi trois intrusions successives majeures par usurpation d'identifiants légitimes. Aucune faille logicielle complexe n'a été exploitée. L'attaque a touché 678000 comptes au total compromettant les données de particuliers et de professionnels. Cela s'ajoute à l'attaque de l'Ursaf en janvier affectant les données de 12 millions de salariés, au vol et à la publication sur le dark web de 2,1 million de dossiers de ressortissant

étrangers détenus par l'Office français de l'immigration et l'intégration et à la compromission de données, passeport, carte d'identité, carte grise dans les systèmes de l'Agence nationale des titres de sécurité, sans compter l'an dernier les intrusions dans les systèmes du ministère de l'intérieur. Cela pose plusieurs questions. Quelles sont les responsabilités respectives de l'ANI et des ministères concernés dans ces failles de sécurité ? Au-delà des excuses du ministère du ministre des comptes publics, quels sont les résultats des enquêtes sur les défaillances et les responsabilités après un tel fiasco, comment accepter zéro responsable, zéro démission ? Un article du canard

enchaîné a révélé que LANY elle-même avait été attaquée début aoûo les victimes ont-elles été notifiées ? Pourquoi n'y a-t-il pas eu de transparence sur cet événement ? Avez-vous porté plainte ? L'ACNIL a-t-elle été saisie dans les délais ? Quels enseignements tirez-vous de ces séquences ? À mon sens, elles ne sont pas liées au retard de la transposition de Nice 2. Ces services de l'État, opérateurs d'importance vitale, sont déjà sous le contrôle de l'AN. Le référentiel général de sécurité et la politique de sécurité des systèmes d'information de l'État impose depuis plus de 10 ans des mesures de sécurité numérique aux administrations centrales. Les fuites récurrentes montrent que ces

textes ne sont ni appliqués ni contrôlés. Monsieur le secrétaire général, il paraît inadmissible qu'aucun directeur ne soit sanctionné tant au niveau des ministères qu'au niveau de l'ANS. Avec quelle crédibilité l'État peut-il envisager d'imposer de nouvelles règles et des sanctions aux acteurs privés dans le cas de Nice 2 lorsqu'il ne fait pas respecter ses propres règles ? Le 12 octobre, le CERT FR a publié une alerte sur les vulnérabilités des systèmes de récupération du fabricant danois d'enfos. C'était le lendemain de l'attaque qui a rompu chaîne du froid de plusieurs dizaines de supermarchés. Donfos avait pourtant publié ses vulnérabilités dès 2023, puis en mars et

en août 2025. Une alerte après l'attaque pour des vulnérabilités connues depuis des années. Je vous le demande à quoi sert aujourd'hui le CERT FR ? Par ailleurs, on peut faire rapide ? Oui. Oui, je finis. Par ailleurs, l'agence a lancé un portail Mes services cyber destiné aux entreprises, aux collectivités qui se positionnent en concurrence du 17 cyber et de cyberveillance dont c'est la mission. Pourquoi ? Enfin, concernant Viginum, j'ai bien noté que le service avait identifié quatre actions d'ingérence étrangère lors de la campagne des municipales. Mais mesurez-vous les effets de ces ingérences ? Comment expliquez-vous que certains candidats voient leur notoriété démultiplié par TikTok ? Je passe la parole à mon collègue corrapporteur Frédéric Buval.

C'est moi qui passe la parole. Ce sera donc à Frédéric Buval et ensuite vous aurez une réponse pour les deux rapporteurs, s'il vous plaît. Merci. Merci monsieur le président de me passer la parole. Monsieur le secrétaire général, la commission m'a confié la charge de coapporter avec mon collègue Olivier Cédric Cadic le programme 129 et je m'en réjouis car en tant que sénateur de la Martinique, je souhaite plus particulièrement m'intéresser au sort des outres dans la coordination interministérielle du travail gouvernemental dont je comprends que le SGDs DSN est la tête de réseau. Disposez-vous dans votre organisation de services spécifiquement compétents sur les questions ultramarines de défense et de sécurité nationale.

J'ai en mémoire la carte de l'Amérique du Nord publiée par le président Trump qui recouvre du drapeau américain aussi bien le Canada, le Mexique que Saint-Pierre et Miclon et les Antilles françaises. Cette provocation participe de phénomènes d'ingérence étrangère hostile de la part d'un pays allié. Cela s'ajoute à l'activisme de l'Azerbaïdjan sur la Nouvelle-Calédonie ou la Russie sur Mayotte. Comment vos service traitent-il la désinformation qui vise les populations dans les pays et départements d'outre mer ? Plus largement, je voudrais souligner la vulnérabilité propre au territoire face au phénomènes climatiques, au

risque de cybersécurité sur le services publics tels que les hôpitaux, l'énergie, l'eau ou les approvisionnements. Comment sont-ils abordés du point de vue de la résilience sur la cybécurité ultramarine ? Qui est compétent et qui faut-il appeler ? Est-ce le délégué territorial de LANC un centre de réponse cyber le 17 cyber ou cyber malveillance ou une entreprise désignée par l'I pour le renforcement de l'accompagnement local aux enjeux de cybersécurité ? Enfin, à 6 mois de l'élection présidentielle, quel dispositif allez-vous mettre en œuvre pour protéger le débat public des des

ingérences étrangères ? Je vous remercie. Merci monsieur Buval. Je j'appelle chacune et chacun à la concision. Je suis intervenu tout à l'heure pour Olivier, mais j'ai 16 demandes de prise de parole et on a encore une quarantaine de minutes. Donc si on veut que tout le monde puisse s'exprimer, une fois que les rapporteurs pour avis se seront exprimés, j'inite chacune et chacun à prendre en compte la règle de cette commission qui veut queon pose une question sur une minute. Merci beaucoup monsieur le secrétaire général. La parole est à vous. Merci beaucoup monsieur le président, mais messieurs les sénateurs. Peut-être on va faire ça à deux voix. Je vais répondre en partie et je laisserai Vincent Schtrreubel revenir sur un simple de questions qui sont tout à fait

légitimes sur je pense et qui sera aussi l'occasion monsieur le sénateur de rappeler le modèle de cybersécurité qui a été établi maintenant depuis plus de 15 ans et qui repose sur une répartition des responsabilités assez claires que je trouve on a parfois tendance à oublier et je ne sais pas si cet oublié est volontaire ou involontaire mais en tout cas il permettra au directeur général de l'ANC de rappeler comment est organiser notre dispositif de cybersécurité nationale entre l'ANCI, les ministères responsable des services des systèmes d'information qui sont les leurs et le privé puisque là aussi je constate parfois un peu de schizophrénie si vous me passez l'expression entre le fait d'être responsable de ses propres

systèmes d'information et le fait d'appeler systématiquement l'ANC dès qu'il y a un problème. Pour dire les choses ici, l'ANS n'a pas pour mission et n'aura pas pour mission d'aller réparer tous les frigos de France et de Navar. Mais je pense que le directeur général reviendra plus précisément sur cette question là de la répartition des responsabilités qui permet de rappeler comment on a organisé les choses et après il peut y avoir des évolutions de notre modèle et de notre dispositif de cybersécurité qui a été remarquablement stable depuis l'année 2008 et l'année 2009. Peut-être un point spécifique que je voudrais faire ici euh pour répondre plus directement sur la question des outres qui est une une question tout à fait légitime et vous avez raison monsieur le sénateur. J'aurais dû

mentionner dans mes propos introductifs à quel point l'outreemer et l'ensemble des problématiques ultramarines sont centrales dans notre réflexion sur la le durcissement du territoire national face aux menaces qui pèsent sur notre sécurité nationale. Pour le résumé d'une phrase, ce que nous [grognement] avons constaté, c'est que les outremères sont surexposés à un certain nombre de menaces et souvent sous-préparé euh à au durcissement qui est devant nous. Vous avez parfaitement, monsieur le sénateur, mis le doigt sur euh un certain nombre de ces éléments. Je voudrais insister en particulier sur la question des ingérences numériques étrangères. Nous avons rendu public, grâce au travail technique de détection de viginum un certain nombre d'agressions, d'attaques,

d'information, d'ingérence numérique étrangère qui ont visé un certain nombre de nos outresemes dans le Pacifique euh euh à la Réunion euh en particulier et c'est un rapport qui a été rendu public d'un groupe qu'on appelle le Big qui est originaire d'Azerbaïdjan et qui a montré une vulnérabilité spécifique des outresemes ou en tout cas une exposition spécifique à la menace d'ingérence numérique étrangère. Un certain nombre d'actions de viginum sont spécifiquement destinées au territoire Outrem et en particulier à l'ensemble des préfets et des haut commissairire pour les doter des capacités, des compétences, de l'expertise qui leur permettent au plus près du terrain et en pleine conscience des spécificités de chacun de nos territoires ultramarins

euh de organiser la détection et surtout la protection de l'ensemble du débat numérique. Et donc Viginum là aussi est à la manœuvre pour durcir tant qu'on le peut ces territoires. C'est la même chose dans le domaine de la résilience et sur la partie cyber. Et donc à chaque fois, d'ailleurs on l'a dit dans la revue nationale stratégique, mais dans le plan de défense et de sécurité nationale, la question ultramarine est toujours au cœur de nos préoccupations. Et en terme d'organisation, il y a à l'intérieur du SGDSN une direction qui s'appelle protection et sécurité de l'État, PSE qui a à sa tête un préfet qui par ailleurs a une compétence tout à fait spécifique dans le domaine des outremèes de par son parcours et qui est au contact quotidien avec le haut

fonctionnaire de défense et de sécurité qui au sein du ministère de l'intérieur a la responsabilité aussi de la mise en œuvre opérationnelle de notre politique de défense et de sécurité nationale visant spécifiquement les outremères. Donc le dispositif administratif est en place mais on a un gros travail à faire de durcissement de nos outreemires pour les adapter à la menace de sécurité nationale que j'ai décrite initialement. Peut-être si vous êtes d'accord monsieur le président, je passe la parole à Vincent Schtrumel. Bien, peut-être pour revenir en premier lieu sur le l'évolution du paysage de la menace comme l'a souligné le secrétaire général, nous avons deux deux évolutions majeures à l'œuvre aujourd'hui. Premièrement, celle qui est la plus visible qui est le vol de données, qui

est l'apparition alors qui est pas totalement nouvelle mais qui est une évolution à la fois du euh du crime organisé qui euh bascule vers ça avec un certain nombre de grands groupes shiny hunters et cetera qui font de l'extorsion qui le faisaient hier à travers des rançongsicielles, c'està-dire la paralysie, qui le font aujourd'hui à travers l'extorsion de de rançons contre la non publication de de données et volées. C'est ces groupes-là ciblent peu l'État. Ils s'en prennent essentiellement au privés. s'y ajoute aujourd'hui une dimension euh endogène euh celle des jeunes français qu'on a vu à l'œuvre contre l'État qui est motivé essentiellement par des enjeux réputationnels. Ces jeunes ne gagnent pas d'argent ou très peu avec ses vols de données. Il pratique une un modus

opérandi qui est nouveau, qui nous prend parfois au dépourvu, qui n'est pas celui contre lequel ont été forcément pensés tous les systèmes de défense et ça vaut autant pour l'État que pour le secteur privé. Je dis ça non pas pour dédoiner l'état, mais pour rappeler que cette menace est persistante sur l'ensemble des du périmètre des activités publique privé, hein. Il s'agit surtout pas de Je voudrais surtout éviter qu'on imagine que ce problème est limité à l'État et que le secteur privé s'en désintéresse parce qu'il est aussi très fortement concerné. Euh pour donner quelques chiffres là-dessus, euh nous publions depuis nous avons publié dans l'effort de transparence qui nous est demandé par le Premier ministre depuis la rentrée des statistiques euh et euh des

incidents détaillés. Euh nous avons pour actualiser un tout petit peu les informations qui ont été publiées au début euh début octobre traité depuis le 1er août 165 violations de données notifié à l'ANY. C'est pas l'exhaustivité de ce qui s'est passé en France. Ça concerne tant le secteur privé que le secteur public. 97 sont confirmés. Donc je constate encore, même si j'ai été fortement critiqué pour l'avoir souligné par le passé, il s'agit absolument pas de limiter ou de minimiser la menace. Ça n'a pas plus de sens de pour un directeur général de l'ANC de minimiser la menace que pour un directeur des pompiers de dire que les incendies c'est pas grave et qu'il faut pas s'en préoccuper. Je constate qu'il y a toujours une part de de bluff parfois. Donc dans les 165

de violation de données que nous avons traité, il y en a 97 qui sont confirmés. Euh quand je dis ça, euh ça veut dire que nous avons travaillé 165 fois hein. Le une fausse attaque ou une vraie attaque donne absolument autant de travail aux équipes cyber de l'ANC, des ministères des entreprises privées dans leur investigation. Là encore, pour fixer les idées, dans ces 97 confirmés, il y en a moins du quart qui concerne l'État, hein. Le les violations de données, c'est aussi le secteur privé et c'est aussi l'ensemble du tissu économique et social, des collectivités, des associations, des fédérations, tout ça. Donc, on est sur un fléo qui par ailleurs, je veux aussi lever ce cette perception qui est parfois biaisée, n'est pas un phénomène franco-français.

Nos partenaires européens font les mêmes constats. Le Danemark a vu l'exfiltration il y a 2 3 semaines de des données d'état civil de 150 % de sa population, c'est-à-dire les vivants mais aussi euh les morts. Voilà pour le dire crument. Donc la Pologne a fait l'objet de d'attaque similaire, les pays baltes, l'Allemagne et cetera. Donc on est quand même dans un phénomène qui est une évolution globale, même si elle se fait un rythme différent. Et si comme souvent la France est peut-être a peut-être été le canarie dans la mine qui se prend le premier, le coup de Grisou. Euh pour revenir sur les sur vos questions plus spécifiques, monsieur monsieur Cadic, euh l'article du canard enchaîné n'a pas révélé une cyberattaque contre l'ANC. C'est nous qui l'avons révélé à travers notre point de

situation réactive publié début octobre. euh nous avons choisi de la révéler dans cet effort de transparence et il est il est bien entendu que la transparence, ça s'applique en premier lieu à soi-même. Euh pour revenir sur l'attaque elle-même, elle s'est déroulée le 8 le 8 août euh dans euh la traînée de d'exploitation d'une vulnérabilité dans l'outil métabase qui a euh concerné une dizaine d'administrations dont le ministère de la transition l'écologique, dont laadinum, dont l'ANCI. L'attaque que nous avons subi nous n'était pas grave. euh a concerné non pas les systèmes d'information de LANC, mais un système de développement externalisé. Donc il est nous sous-traitons son hébergement, nous sous-traitons sa maintenance applicative. Euh nous l'avons détecté le 10 août euh parce que

c'est un système qui n'était pas supervisé H24 7 jours sur 7 étant non critique. C'est un système qui nous permet de développer un certain nombre de nos outils. Elle a conduit à l'exfiltration euh des adresses email d'agents de l'ANC et de 30 partenaires extérieurs qui sont des agents notamment des gendarmes ou des des agents des collectivités qui contribuent à au codéveloppement ou à la mise en œuvre conjointe de cet outil. Ils ont tous été notifiés. Nous avons notifié l'ACNIL qui nous a confirmé qu'il n'y avait pas lieu au demeurant de faire cette notification, mais nous l'avons fait par principe et nous avons porté plainte. Donc euh voilà, mais c'est une attaque parmi d'autres et c'est une attaque que nous avons choisi de révéler au titre de cet effort de transparence qui nous a vu

publier un point de situation euh euh au début août début octobre, pardon, concernant l'ensemble des services de l'État. Et cet effort de transparence évidemment se limite au service de l'État. Nous n'allons pas révéler les attaques euh que des entreprises nous ont notifié. euh nous a fait nous efforçons de retener de de rester dans une logique de secret médical ou de son équivalent. Euh sur la sur la DG FIP, nous avons fait ce même travail de transparence publié fin des fin septembre un une analyse détaillée analyse conduite sous l'angle des mission de l'ANC, c'est-à-dire comprendre le phénomène technique. Qu'est-ce qui s'est passé ? Quelles sont les défaillances ? Il y en a eu un certain nombre. C'était pas une attaque sophistiquée, c'était une attaque que

j'ai que j'ai décrite comme persistante parce que ça s'est passé pendant 3 mois. euh avec la mobilisation d'une trentaine de comptes compromis. Donc nous avons fait cet état les lieux que j'assimile au travail que fait le bureau enquête et analyse suite à un incident dans la dans l'aéronautique. On récupère les boîtes noires, on comprend ce qui s'est passé, on en tire les leçons pour éviter que ça se reproduise. Il ne nous appartient pas à nous de définir les responsabilités individuelles. Ça c'est un autre travail. Il n'est pas exclusif. C'est pas c'est pas les mêmes entités qui le mènent et il faut pas confondre. Elle encore euh c'est un ce que ce qui transparaît dans euh ce rapport d'analyse, c'est des défaillances techniques euh des défauts de sécurisation qui sont ceux qu'on

retrouve partout ailleurs, hein. C'est pas c'est pas c'est pas propre à la DG FIP, mais c'est une réalité malheureusement qui est assez universelle et qui nous faut euh contrer. Euh pour l'État, le principal vecteur pour faire ça, c'est la feuille de route décidée, validée et rendue publique par le Premier ministre à la fin du mois d'avril suite à l'attaque de la NTS. Donc c'est ça qui concentre nos efforts aujourd'hui. En plus du travail supplémentaire de gestion opérationnelle et de réactivité pour bloquer plus vite les attaques qui est celui mis en place depuis la rentrée avec une bascule d'effort hein. Le secrétaire général mentionnait le fait que nous ajustions en permanence nos priorités. Ben nous avons ajusté notre priorité pour mettre plus de monde sur cette menace- là et

moins potentiellement sur d'autres menaces. Euh pour finir sur euh l'affaire des frigos, euh petite précision la vulnéra l'alerte qui a été publiée par l'Ancy le 12 octobre. euh et renouveler le 13 octobre pour l'étendre à d'autres d'autres éléments. Ne signalez pas une vulnérabilité spécifique. Ce n'est pas le but d'une alerte de l'INCI, c'est de signaler une campagne d'attaque en cours, si nous le faisons une vingtaine de fois par an, pour signaler des mesures urgentes qui doivent être prises par l'ensemble de l'écosystème en réaction à une attaque en cours. La vulnérabilité spécifique qui a été employée pour mener cette attaque, il faut être très prudent. J'ai vu circuler mais là encore ça ça renvoie à cet enjeu de de rigueur et d'objectivité dans la description des

choses. Euh j'ai vu circuler différentes analyses tierces disant moi je sais que c'est l'attaque la CVE 2025 quelque chose ou 2026 quelque chose c'est-à-dire des vulnérabilités rendues publiques par différents chercheurs en cybersécurité au cours des deux années précédentes. Notre analyse aujourd'hui est que ce ne sont pas ces vulnérabilités là qui ont été exploitées. Ce sont des défauts de sécurisation élémentaire. À commencer par l'exposition directe sur internet d'équipement frigorifique et leur administration sans sécurisation particulière, des mots de passe faible, ce genre de choses. Donc des là encore des menaces enfin des vulnérabilités assez classiques. Donc je ne peux m'empêcher de signaler qu'elles font l'objet de recommandation depuis 2014.

Depuis 2014, LANC publie et met à jour un guide sur la sécurisation des systèmes industriels dont la première recommandation ne pas les exposer directement sur internet. Euh mais à l'évidence, nos recommandations ne sont pas systématiquement respectées. Euh ce qui est l'occasion pour moi de rappeler, comme vous l'avez appelé de vos vœux, monsieur le secrétaire général, la la répartition des responsabilités. Euh l'ANC euh ne va pas contrainte, n'a pas de pouvoir aujourd'hui de contrainte euh des supermarchés dans le déploiement de leur frigo. Euh nous édictons des des des règles, nous dictons des recommandations, nous éductons aussi ou publions des alertes quand il y a une attaque. Mais euh à chacun ensuite d'appliquer ses règles,

d'aller de de respecter les alertes, de prendre en compte les mesures d'urgence. Pour le dire, à l'échelle de l'État, l'ANC édicte des règles. Les ministères homologuent leur système d'information et font l'état de l'eu des des réser des vulnérabilités résiduelles, décident de mettre en service des des services et des systèmes d'information, peuvent faire appel à l'ANC si besoin pour auditer, tester la sécurité des systèmes d'information qu'il mettent en œuvre, mais sont responsables de leur mise en œuvre. et à plus forte raison dans le secteur privé. Hors cadre réglementaire très spécifique des opérateurs d'importance vitale qui concerne 300 environ entreprise et un petit millier de systèmes d'information au sein de ces entreprises. He ce sont pas l'ensemble

des systèmes d'information. Nous n'avons pas de pouvoir de contrôle aujourd'hui et la responsabilité fondamentale d'une entreprise c'est de déployer ses systèmes de manière sécurisé en appliquant ou pas les règles de l'ANC mais en faisant en sorte qu'il soit sécurisé. Euh voilà. Merci beaucoup. Je je vous ai laissé développer mais vous aurez compris que le temps nous est compté. [grognement] Je vais laisser la parole à Huxori pour les deux rapporteurs de la mission d'information sur la commission sur la de la commission sur la résilience. Rapidement, ensuite une réponse et puis je passerai à des séries de cinq questions pour qu'on essaie d'avancer rapidement. Merci. Merci monsieur le président, monsieur le secrétaire général. Marie Harlette Carletier et moi-même travaillons sur un

rapport consacré à la résilience et à la défense opérationnelle du territoire. Après dans ce cadre, nous avons eu l'occasion de d'auditionner monsieur Xavier Brunier, donc pour mes collègues directeurs de la protection et de la sécurité de l'État OSGDSN, ainsi que des associations de d'élus et de nombreux acteurs de la société civile. Le constat à ce stade qui s'impose à nous et que les élus et la population ne se sont pas suffisamment informés des enjeux liés à la résilience et à la préparation de crise et encore moins associés à cette préparation. Le guide Tous Responsable a eu une diffusion confidentielle et récemment la journée de résilience qui a eu lieu donc le le 13 octobre a eu un impact médiatique très restreint.

Ne serait-il pas important que le SGDSN communique davantage autour des travaux menés au sein de l'administration sur ce sujet qu'il s'agisse de l'exercice Orion ? Donc vous avez dit un mot Orion 2026 des stades de défense ou de la stratégie nationale de résilience. Le SNR ne mériterait-elle pas la SNR ne mériteraitelle pas d'être publié ou à minima d'être communiqué au parlementaire ? Mais par ailleurs, on voit que de nombreux pays européens sont engagés dans un ensemble d'actions visant à associer étroitement la population à ces sujets. Ne serait-il pas utile de nous en inspirer ? Je vous remercie. Ouais, je pose la question de Marielette ou pas ? [grognement] Si ça dure 10 secondes, ça va. Ça va durer 10 secondes. Euh donc il y a eu

une expérimentation qui a été menée en 2025 dans la zone de défense ouest consistant à faire assurer la surveillance des points d'importance vitale par des réservistes. Est-ce que vous pouvez nous donner le bilan de cette de cette expérience ? Je vous remercie. Je vous en prie. Donc très rapidement, monsieur le président, je partage intégralement vos remarques euh et votre frustration, si je puis le dire. Euh et [raclement de gorge] donc tout tout ce que vous dites sur le besoin de communication euh nous le partageons au DSN intégralement. Euh mon constat, c'est que dans l'année qui vient de s'écouler, nous avons beaucoup publié et nous avons beaucoup communiqué. J'ai passé beaucoup de temps euh dans des déplacements en région euh pour aller au-delà de notre public habituel, faire

des conférences y compris publiques, sensibiliser des maires, sensibiliser les préfets. Nous avons pris contact avec l'ensemble des entreprises, avec les représentants du MEDF, avec les syndicats et donc nous avons entièrement partagé votre constat qui consiste à faire sortir les sujets de sécurité nationale et de résilience du petit périmètre des seuls acteurs de l'État central qui ont cette responsabilité directe pour les raisons exactes que vous définissez. C'est-à-dire que nous ne serons pas au rendez-vous de la résilience et de la sécurité nationale si nous ne sommes pas capables d'embarquer l'intégralité de la société civile et infiner chacun des des [grognement] des compatriotes. Ce que je constate c'est que

euh c'est une œuvre difficile cette œuvre de sensibilisation. Nous avons publié le 8 juillet euh deux documents complets qui font le point sur l'intégralité des décisions prises par le gouvernement sur le comité intermissel de la résilience nationale et la publication d'un petit même sur la défense et la sécurité nationale. Vous l'avez dit, monsieur le sénateur, nous avons publié le guide tous responsables. Nous en faisons la promotion partout où je vais. Euh mais euh je dirais que aujourd'hui euh nous avons besoin de vous euh pour faire en sorte que notre voix ça a davantage entendu. Je constate malheureusement que dans bien des cas, nous commençons à préparer collectivement à partir du moment où nous avons vécu la crise. Notre enjeu,

comme vous le dites, c'est d'arriver à communiquer de façon suffisamment large, précise, technique, non anxiogène sur la préparation. Il y a énormément de choses qui nous rendent optimistes sur la préparation et le durcissement du territoire national. Euh et je ne peux que partager votre volonté et votre souci de communication croissante. Nous nous y employons avec les moyens qui sont les nôtres. Euh nous avons besoin de relais euh et en particulier euh dans les territoires. Nous avons effectivement, vous l'avez dit dans le cadre d'Orion 26, pris le parti de faire des expérimentations territorialisées local, c'est vrai, en particulier pour les réserves et nous sommes en train de à partir de ces de ces expériences en particulier pour la zone ouest sur la question de la dynamisation et de la

sincérisation des réserves, de répliquer ce modèle-là dans notre dispositif de gouvernance et de pilotage des réserves sur toute la France. De la même façon, nous avons demandé avec le ministre de l'intérieur à ce que l'ensemble des préfets de zone puisse organiser des exercices de sécurité nationale dans les semaines et les mois qui viennent. Le ministre de l'intérieur d'ailleurs a communiqué publiquement après le comité des préfets de zone sur le sujet et à partir de ces exercices là, il y a une mutualisation des bonnes pratiques entre les différentes zones de défense qui est au cœur de nos activités en ce moment. Merci beaucoup. On passe maintenant euh au à la série des questions 1 minute, une question et donc une série de 5 et je commence avec Ludovic. Et

merci monsieur le président, euh monsieur le secrétaire général, mesdames et messieurs directeurs et directrices, mes chers collègues, vous le savez comme moi, la résolution de problèmes sécuritaires sur le territoire national passe aussi par l'anticipation de ce qui se passe au-delà de nos frontières. Et bien que la causalité en matière d'ingérence ne soit pas officiellement établie, les violences commises en France ce weekend par certains groupes se réclamant de la mouvance des black block constitue un défi récurrent pour nos forces de l'ordre. Au-delà de la gestion de ces violences sur le terrain, la question de leur prévention et de la préparation de l'État se pose. Nous devons mieux détecter les prémisses d'action violente et mieux comprendre les réseaux qui se forment afin de mieux

identifier les individus en amont de leurs exactions. Les nouvelles technologies, vous le savez comme moi, même mieux que moi, offr aujourd'hui les capacités considérables en matière d'analyse de données, d'utilisation d'intelligence artificielle, nous l'avait dit monsieur le secrétaire général, avec l'utilisation de nouveaux modèles et je j'en me rendjouis, de détection des signaux faibles et d'exploitation de renseignements numériques. Elle pourrait notamment permettre d'analyser les communications accessibles, de mieux cartographier les réseaux de coordination et ce dans le cadre légal applicable. peut-être restreint mais nous sommes là pour y travailler de mieux exploiter des informations ou la désinformation parfois issue de moyens de surveillance et de renseignement. Ma question

s'adresse donc conjointement à vos trois entités. Quels sont aujourd'hui les moyens technologiques et opérationnels dont dispose l'État pour agir à la source de ces phénomènes en particulier pour mieux anticiper les actions violentes organisées sur les réseaux sociaux et les canaux de communication. Dans un second temps, quels sont les obstacles techniques, juridiques et organisationnels qui limitent aujourd'hui l'utilisation de ces capacités ? Remerci. Merci beaucoup Roger Carochier. Au moins, ce sera très bref. Monsieur le secrétaire général, le ministère de l'intérieur dès lundi a affirmé que les événements de ce weekend avaient été en partie lié à des interférences de l'Iran, de l'Algérie et de la Russie. Est-ce que vous confirmez ce fait et qu'est-ce que vous avez fait pour

contrecarrer ces interférences ? Merci Hélène Conou Mouret. Oui, merci président. Je vous emmener un petit peu à l'étranger. La stratégie nationale de lutte contre les manipulations de l'information 2026-2030 prévoit l'intégration du réseau diplomatique et militaire au dispositif de veille de détection pardon et de caractérisation des ingérences numériques étrangères. Donc, j'aimerais savoir comment cette coopération s'est traduit avec nos ambassades, notamment dans les pays où la France est particulièrement exposée à des campagnes de désinformation et comment nous pouvons protéger nos communautés françaises ciblées par ces campagnes. Et un point sur les élections consulaires qui ont eu lieu en mai 2026. Nous avons un travail assez conséquent

avec la DFA quant à aux difficultés d'authentification et de réception des codes de vote en ligne qui a été réalisé. Mais par contre, nous n'avons aucune information au-delà des dysfonctionnements techniques de tentativyattaque, d'intrusion ou de manipulation susceptible d'affecter la disponibilité ou l'intégrité du scrutin. Alors, est-ce que vous avez eu des tentatives de d'attaque et si c'est le cas, que mettez-vous en place pour les élections législatives de 2027 ? Puisque vous savez qu'à l'étranger, 85 % des Français votent par internet. Merci. Merci Hélène Guillaume Chevrolier. Merci monsieur le président, monsieur le

secrétaire général. Dans dans le contexte de guerre hybride et de conflit informationnel, vous l'avez dit, la défense c'est pas uniquement une affaire de de professionnel, il faut de l'engagement. Vous avez parlé des différentes réserves. Nous représentons les les élus locaux. Donc quelle place les élus locaux doivent avoir selon vous dans dans la sécurité nationale ? Et deuxième question, s'agissant de de Viginum, est-ce que vous avez les les moyens d'agir auprès des plateformes et quel moyen vous manquet-il en la matière ? Merci. Et pour se terminer cette série de 5, Loï Cervran. [grognement] Merci monsieur le monsieur le président, monsieur le secrétaire général, madame la directrice, monsieur le directeur. Je voulais vous interroger sur un principe

qui est très clair en droit mais qui est pourtant assez massivement ignoré en pratique qui est celui de la minimisation des données. Donc ce principe qui veut que une administration, une collectivité ne demande et ne conserve que la donnée dont elle a réellement besoin. Et ce que je voudrais savoir si c'est si c'est un volet, c'est sans doute plutôt pour le directeur de l'ANC, de l'analyse que vous faites à postériori des attaques qui ont eu lieu. Est-ce que ce principe a été respecté ? Est-ce que les règles du droit ont été respectées ? Est-ce que éventuellement vous faites des signalements au titre par exemple de l'article 40 lorsque vous voyez que les principes de droit sur ce point particulier, moi je pense à l'attaque de Pôle Emploi où il y a des données qui

dataient depuis 20 ans qui ont été exposées. Euh si vous faites des signalements lorsque ces principes de droit ne sont pas respectés, je vous laisse prendre la parole. On va répondre si vous en êtes d'accord monsieur le président à trois voix. Euh peut-être juste peut-être deux ou trois précisions de de mon point de vue avant de de demander à Anne Sophie d'hiver de de répondre plus précisément. La première chose, je le redis ici, euh tout ce qui se passe sur les réseaux sociaux ou en terme de désinformation ou de manipulation de l'information ne relève pas nécessairement des ingérences numériques étrangères. Une ingérence numérique étrangère est définie en droit par quatre critères dont un critère d'extranéité qui implique des acteurs étrangers, étatiques ou non édatique. Tout ce qui

se passe sur nos réseaux sociaux n'est pas consubstantiellement nécessairement une ingérence numérique étrangère. Et donc l'essentiel des questions que vous nous posez ne relève pas des INE, monsieur le sénateur. Et donc il y a des questions de régulation des plateformes, de régulation des réseaux sociaux, y compris de la violence en ligne qui occupe les administrations, qui occupent essentiellement d'autres ministères que nous dont la qui ont le cœur de la compétence. Là où nous, SGDSN, nous pouvons avoir un rôle, il est plutôt dans la coordination. C'est notre rôle, comme vous l'avez dit, monsieur le président, de préparation des conseils restreints de défense et de sécurité nationale, c'est-à-dire de veiller à ce que cette coordination soit faite. La compétence au fond, notamment sur la

question de la régulation de la violence en ligne relève davantage du ministère de l'intérieur, du ministère de la culture et de de ces ministères là. Tout encore une fois, nous notre mandat dans le champ de la sécurité nationale sur la question des manipulations de l'information, il est défini en droit par les INE et par un critère d'extranéité qui porte effectivement la possibilité enfin qui est la nécessité d'un acteur étatique ou non étatique étranger comme étant à l'origine des des manœuvres. Euh monsieur le le sénateur, pour répondre à votre question, euh ce que nous constatons d'une manière générale euh au moment des mouvements sociaux et c'est vrai de tous les mouvements sociaux ou de tous les mouvements qui se passent sur le territoire national et maintenant nous

commençons depuis la création de Virginum en 2021 à avoir une expérience euh assez longue finalement de la façon dont des mouvements d'opinion sur les réseaux sociaux se développent et de l'interaction entre le domestique et le national et l'étranger. Ce nous ce que nous constatons aujourd'hui à date sur l'ensemble encore une fois sur une longue période de ces mouvements, c'est que la principale dynamique, elle est d'abord nationale et endogène et c'est donc d'abord quelque chose de national. Là où il y a et nous le constatons aussi et les deux morceaux de ma phrase vont en même temps, nous constatons que il y a un caractère opportuniste d'un certain nombre d'acteurs de la menace d'ingérence

numérique étrangère. euh qui viennent se greffer, se surraajouter comme une espèce de de surcrise euh à un mouvement endogène euh et national et domestique. Et donc il y a il y a eu et je n'ai aucun doute qu'il y aura encore des acteurs de la menace informationnelle étrangère, des acteurs de des ingérences numériques étrangères, des modes opératoires informationnels que Viginum documente et suit qui de façon opportuniste vont chercher à venir surjouter de la polarisation à un débat déjà polarisé dans notre débat numérique. La question qui nous est posée et elle est très compliquée techniquement à objectiver, elle consiste à savoir mesurer quelle est la part de surjou dans la visibilité ou

dans l'impact en terme de d'opinion que peut avoir la mobilisation d'infrastructures numériques inauthentiques d'acteurs de la menace étrangère sur une un mouvement d'opinion et d'information numérique qui est fondamentalement domestique et nationale. Et et cette cette part, ce qu'on voit aujourd'hui d'une manière générale, c'est que elle est, j'hésite à mettre un adjectif parce que tout tout tout est susceptible d'être interprété, mais ce que nous constatons en général, c'est que la ces mouvements-l sont d'abord domestiques avec un surajout qui n'est pas énorme. Il y a des tentatives et la question de la mesure de l'impact est très compliquée à faire pour savoir concrètement si vous avez un énorme mouvement national et domestique avec une petite part de surjou opportuniste

étranger. C'est plutôt ça qu'on observe aujourd'hui. Mais il y a une forme de mélange et on constate que d'une manière générale, ça me permet de faire un point important dans les stratégies notamment en période électorale mais pas que les acteurs étrangers de la menace informationnelle mettent en œuvre. On pense souvent parce qu'on pense à partir du concept de désinformation au fait que ça ça va chercher à avantager ou à nuire à un parti ou un candidat ce que nous constatons nous techniquement, c'est que la plupart du temps ce que ça cherche à faire c'est à polariser, à amplifier la confusion plutôt que c'est donc on est plutôt dans le domaine de la confusion et du chaos que dans le domaine de la propagande classique. Et c'est plutôt cette nature opportuniste de d'acteurs

étrangers qui viennent se greffer et se surrajouter à des à des éléments nationaux et qui sont qui ont une dynamique profondément domestique. Peut-être dernier point et je laisserai ensuite mes mes deux collègues compléter euh sur vous posez monsieur le sénateur la question des élus locaux. je dirais centrale, fondamentale. Je n'ai qu'une conviction, c'est que en terme de résilience et de sécurité nationale, nous ne serons pas au rendez-vous du scénario central de la revue nationale stratégique s'il est seul à s'occuper de ce scénario central, c'est le SGDSN. Euh et donc nous avons besoin de tous les ministères, nous avons besoin de tous les services déconcentrés de l'État et nous avons besoin des collectivités territoriales,

nous avons besoin des acteurs et des partenaires sociaux et nous avons besoinés des entreprises. Et donc territorialement, je pense que le vrai le cœur comme comme souvent dans notre organisation, c'est le couple préfet maire qui est au cœur de la du durcissement du territoire national. Ça fait partie des choses que nous, SGDSN, nous faisons. On sort un peu de nous-même en cherchant à déclassifier, à communiquer davantage, à aller euh vers les collectivités territoriales. Euh mais nous avons besoin de construire un vrai partenariat entre les services de l'État, notamment territoriaux déconcentrés et les collectivités territoriales et et je pense en particulier au maire dans cette construction d'un état plus résilient de notre société face au durcissement des

menaces. Peut-être Anne Sophie sur quelques sujets y compris sur la partie informationnelle étranger et l'articulation avec le le Cadoret. Euh mesdames et messieurs les sénateurs, donc effectivement dans la stratégie nationale de lutte contre les manipulations de l'information qui a donc été coordonnée par le SGDSN en lien avec de nombreuses entités au sein de l'État, auprès des parlementaires mais aussi auprès de la société civile, une des priorités est notamment le renforcement des capacités nationales de détection et de caractérisation. Donc en fait, nous avons eu à l'occasion de cette stratégie nationale renforcé nos mécanismes de coopération au niveau interministral qui existait largement déjà euh pour

permettre d'avoir une meilleure action en terme de détection, caractérisation, mais aussi d'agir en terme de repost contre ces acteurs malveillants. Donc aujourd'hui, en fait nous avons une intrication étroite avec le qu d'ors pour agir à deux niveaux. Euh le quedors opère un travail de veille qui intègre notamment des éléments qui vont être issus des postes et des ambassades. Du côté de Viginum, nous menons donc des actions de caractérisation, de détection et de caractérisation des ingérences numériques étrangères qui vont viser donc à caractériser des comportements inauthentiques ainsi que un caractère d'extranéité de ces opérations. Et en fait, cette double action nous permet en

fait d'agir collectivement pour imposer un coût à nos adversaires qui vont être par exemple en exposant réputationnellement des acteurs comme nous l'avons fait à plusieurs reprises avec le qu d'ors et en dévoilant des modes opératoires informationnels étrangers qui ont mené des actions dans notre débat public. Ça peut se faire aussi par le biais d'actions diplomatiques qui vont être menées par le Kedors et enfin ça peut être aussi par le biais de mise sous sanction d'individus ou d'organisation affilié à des dispositifs étrangers et nous l'avons fait à plusieurs reprises avec le qu d'ors s'agissant maintenant de la deuxème question sur le sujet des plateformes. En vérité aujourd'hui,

une tendance majeure de l'évolution de la menace est une intrication étroite et croissante de la menace d'ingérence numérique étrangère avec le modèle même des plateformes en ligne ainsi que les nouveaux usages technologiques qui rend cette menace de facto systémique. Pour donner un peu plus de corps à mon propos, s'agissant de l'intelligence artificielle. Ce que nous observons, c'est que l'intelligence artificielle génère un saut quantitatif et qualitatif majeur des opérations d'ingérence num étrangère. Euh aujourd'hui, la plupart des modes opératoires informationnels que nous suivons utilisent largement les

outils dit à générative pour produire du contenu de manière à soutenir leur narratif, que ce soit dans un objectif de mensonge par la création de contenu hyper réaliste, dans un objectif d'amplification avec une publication en masse de contenu à un rythme très rapide sur de nombreuses plateformes et en plusieurs langues, mais aussi dans un objectif de persuasion. C'est ce que nous observons beaucoup plus que de la création de faux, d'avoir donc des des visuels qui vont appuyer un narratif pour appuyer notamment sur une corde émotionnelle par exemple et générer plus d'engagements. Par ailleurs, l'évolution aussi des usages en matière d'IA crée de nouvelles surfaces d'attaque. Comme monsieur le secrétaire général vous vous vous l'exposer, nous nous intéressons

particulièrement à l'usage des modèles et des chatbot, donc des agents conversationnels d'IA comme des vecteurs potentiels d'ingérence numérique étrangère via des manipulations en boîte noire, c'est-à-dire par des acteurs externes ou des manipulations en boîte blanche, c'est-à-dire par des biais inscrits par nature dans les modèles eux-mêmes. La deuxième chose et c'est une tendance qui est très préoccupante, c'est la croissance des ingérences numériques étrangères à vocation lucrative. Nous l'avons vu dans le cas des municipales, mais c'est un phénomène encore plus massif où nous assistons aujourd'hui à l'émergence d'une économie alternative dans des pays d'Afrique de l'Ouest,

d'Asie du Sud-Est avec de nouveaux acteurs créateurs de contenu euh dont en fait le modèle économique consiste à diffuser du contenu de manipulation de l'information à destination d'audience française non pas a priori dans un dans un objectif de déstabilisation encore qu'on ne peut pas l'exclure mais en tout cas dans un but qui est principalement lucratif en exploitant notamment les fonctionnalité de monétisation offerte par les plateformes qui cherchent à attirer des créateurs et via la vitagement. Et donc aujourd'hui en fait plus largement ça génère une forme de marchandisation de notre débat public qui est extrêmement préoccupant où

finalement la valeur publicitaire prime sur la fiabilité du contenu et [grognement] ça invite plus largement à questionner aussi la compatibilité du modèle de ces plateformes avec notre modèle de démocratie participative et délibérative. Donc euh le ce tout ça nous invite à considérer depuis un petit moment maintenant ces plateformes comme des acteurs finalement de cette menace et non pas comme de simple vecteurs. Donc aujourd'hui sur sur les plateformes, nous agissons à trois niveaux. D'une part, nous menons des coopérations techniques avec la plupart d'entre elles puisque nous avons une définition technique de la menace et pouvons leur signaler des des des comptes inauthentiques notamment. Euh deuxièmement, nous agissons en terme d'évaluation des risques systémiques.

Nous avons structuré donc un centre d'excellence en intelligence artificielle qui nous permet notamment de mener des évaluations s'agissant notamment des modèles d'IA. Enfin, nous agissons au niveau de la régulation en lien notamment avec l'ARCOM pour pouvoir faire respecter cette régulation et renforcer cette régulation. Et donc il y a un travail aussi en cours sur les lignes directrices du DSA en contexte électoral pour pouvoir renforcer justement la responsabilité de ces plateforme face aux enjeux démocratiques à venir. Peut-être sur sur les deux les deux questions j'ai encore neuf questions. Je vais je vais très vite madame Con sur les sur le les élections parané des Français l'étranger. C'est un un sujet qui est suivi de près, vous le savez, euh et sur lequel j'ai un

peu d'historique puisque j'étais euh associé dans mes précédentes fonctions à la décision douloureuse en 2017 de renoncer au vote par internet compte tenu de la vulnérabilité et du niveau de la menace qui ne permettait pas de de garantir la sincérité du scrutin. Nous sommes sortis de cette phase de difficulté. Nous avons aujourd'hui un système qui est suivi de très près par l'ANC, qui fonctionne bien, qui est sécurisé. Et donc, j'étais à vos côtés lors du dépouillement des élections consulaires cette année au titre du bureau de vote électronique. Euh, nous n'avons pas constaté de tentative d'attaque autre que le seul bruit de fond d'Internet habituel et aucune tentative d'attaque n'a connu de succès ou n'a remis en cause le bon déroulement du du scrutin. C'est à ce titre-là que

tout comme d'autres membres du bureau de vote électronique, nous avons conclu à la sincérité du scrutin et au bon déroulement de ce scrutin et on peut s'en féliciter et c'est le fruit d'un travail de longue haleine he au demeurant des équipes du du Kedors que autant que de l'ensemble des participants. Euh monsieur Cvent sur la question de la minimisation des données. Alors, je je ne me prononcerai pas en droit à la place de Lail qui est l'autorité de contrôle légitime en matière de respect du RGPD en l'occurrence qui s'est saisi de l'ensemble des exemples que vous avez énoncés. Donc c'est à eux et à cette commission indépendante qu'il appartiendra de de se prononcer. Évidemment, les agents de l'ANC et moi-même sommes tous soumis à l'article 40 du code de procédure pénale et nous

le respectons par construction. Euh sur la minimisation des données, quelques éléments quand même. Évidemment, ça fait partie des enjeux euh et des bonnes pratiques à mettre en œuvre et je pense sont euh rappelé dans le guide très complet que nous avons qu'on publié hier en complément de tous nos retours d'expériences euh spécifiques sur différentes attaques récentes. Nous avons republié toutes les recettes de cuisine détaillées pour protéger mieux les données. Euh et ça fait partie, ça ne suffit pas mais ça en fait partie. Euh il faut y voir aussi le fruit. Enfin, c'est c'est pas c'est pas par euh euh la la le fait de conserver ce genre de données ou de les rendre accessibles est aussi un effet de bord de d'une intention légitime de faciliter la vie de nos concitoyens dans leur démarche

numérique. Nos concitoyens ont horreur et ils ont bien raison qu'on leur redemande quatre fois les mêmes pièces justificatives, les mêmes informations et cetera. Ça répondre à ça, répondre à cette exigence légitime, ça veut dire que des données sont accessibles de manière croisée entre administration. Ça fait partie de nos facteurs de vulnérabilité. Tout comme le fait que les systèmes intérêts attaqués récemment sont des systèmes notamment de relation avec les usagers. À la DGFIP, ce qui a été attaqué, ce n'est pas le système qui traite la collecte des impôts, c'est la l'application i contact de relation avec les usagers quand on veut demander de être en contact avec un conseiller pour remplir mieux sa déclaration, savoir où on en est et cetera et cetera. Mais

cette application oui a accès au revenus fiscal de référence pour faciliter l'interaction entre le conseiller de la DG FIP et euh et l'usager. Donc c'est ça qui est attaqué, qui n'était pas attaqué auparavant nécessairement parce que on est dans une nouvelle nouvelle dynamique de là encore d'enjeu réputationnel. Je ferai aussi le parallèle avec la NTS. On a beaucoup dit que avait été volé à la NTS les documents d'identité de nos concitoyens. C'est faux. Ce qui a été volé, ce sont leurs adresses email, adresses potentiellement courriers, nom prénom. sont des données de base euh qui ont été volées dans le portail de relation client de la NTS, c'est-à-dire l'équivalent du suivi de vos livraisons de colis euh chez tout livreur en ligne qui vous permet de savoir où en est votre demande

de carte d'identité. Donc, ce sont ces systèmes-là qui n'étaient pas attaqués auparavant, qui sont vulnérables mais c'est pas forcément nouveau, qui sont aujourd'hui attaqués et qui ont accès à des données par construction pour faciliter la vide de constituire. Donc, c'est un nouvel équilibre qui est à trouver en la matière. Effectivement sur la partie intelligence artificielle, j'ai déjà eu l'occasion de d'en dans dans de l'évoquer peut-être un point sur effectivement la la croissance de ces opérations. Aujourd'hui, ce que nous observons en terme d'état de la menace, c'est que la menace, elle est non seulement très persistante, elle est protéiforme puisque j'évoquer tout à l'heure la diversification de la menace avec des opérations à caractère lucratif

et elle se professionnalise avec le le la comment dire l'émergence aussi d'intermédiaire technique qui fournissent aussi des opérations ou des services qui vont permettre davantage amplifier ou anonymiser ces opérations. Ce qui fait qu'il y a donc des enjeux à la fois sur le plan capacitaire et sur le plan technologique face à l'évolution de cette menace. Peut-être un mot pour terminer là-dessus. Globalement aujourd'hui, nous sommes pleinement préparés et mobilisés pour faire face à cette évolution de la menace en vue notamment du scrutin de l'élection présidentielle dans 6 mois puisque nous avons anticipé au cours de l'année 2025 et 2026 un renforcement de

notre modèle et de nos capacités permis par l'évolution de notre décret mais permis aussi par l'allocation de moyens supplémentaires qui nous ont permis de structurer donc des capacités avancées d'analyse de détection d'évaluation notamment notamment des risques systémiques liés aux plateformes et au modèle d'IA [grognement] et par ailleurs aussi en matière de sensibilisation puisque nous avons lancé une académie de la lutte contre les manipulations de l'information dont le rôle est de contribuer au renforcement de la résilience démocratique de des citoyens français face à cette menace. Voilà pour cet état des lieux de nos vulnérabilités face aux cyberattaques qui se multiplient contre notre pays. 100 % Sénat, c'est maintenant terminé. Je vous souhaite une très belle journée

sur les chaînes parlementaires.