Budget 2027 : cybersécurité et ingérences étrangères

Chers collègues, nous recevons ce matin monsieur Nicolas Roche, secrétaire général de la défense et de la sécurité nationale SGDSN dans le cadre du programme 129 coordination du travail gouvernemental pour l'examen des crédits de l'action numéro 2 coordination de la sécurité et de la défense. Monsieur le secrétaire général, bienvenue à la commission. Je vous souhaite la bienvenue monsieur le secrétaire général et je peux déjà vous dire que votre présence était évidemment attendue par mes collègues car vos compétences vous placent au cœur de la tourmente tant sur le plan géopolitique que purement national. Vous êtes accompagné aujourd'hui comme les années passées par monsieur Vincent Strubel, directeur général de l'Agence nationale de de sécurité des systèmes d'information

l'Anssi et pour la première fois cette année madame madame Anne-Sophie Divert chef adjointe du service de vigilance et de protection contre les ingérences numériques étrangères Viginum qui assure l'intérim depuis le départ en septembre dernier de monsieur Marc-Antoine Brillant, chef du service pour une agence privée. Bienvenue à vous deux et j'en profite en débutant cette séance pour vous remercier pour le travail que vous faites même si vous êtes parfois dans le cœur du au cœur du cyclone, c'est parce qu'évidemment l'activité que vous exercez désormais est particulièrement scrutée compte tenu des nombreuses attaques dont nous sommes malheureusement victimes. Je sais monsieur le secrétaire général que vous êtes sur tous les fronts à la manœuvre à l'étranger avec nos alliés et

partenaires pour mettre en œuvre les coopérations indispensables à nos intérêts de défense et de sécurité nationale. Vous assurez en quelque sorte le service après-vente de la revue nationale stratégique et le service après-vente après vote de la loi de programmation militaire. Et vous assurez la coordination interministérielle au profit des conseils de défense, des autorisations d'exportation de matériel de guerre et des nombreuses stratégies de cybersécurité, de résilience ou encore de lutte contre les manipulations de l'information, sujet sur lequel le Sénat a adopté hier en première lecture le projet de loi de lutte contre les ingérences étrangères dans la vie démocratique. Nous pouvons donc aisément comprendre que vos services ont été très occupés par les cyberattaques de l'été qui se

sont concentrées sur des services de l'État et en particulier l'administration fiscale. Vous n'avez pas été en reste sur le volet des ingérences numériques étrangères puisque Viginum a détecté des manipulations de l'information lors des campagnes des élections municipales puis cet été sur des candidats aux prochaines élections présidentielles. Et à ce sujet, il serait particulièrement intéressant que vous puissiez ici présenter le dispositif de protection de cette élection majeure à bientôt 6 mois du scrutin. Et je ne doute pas que mes collègues auront de nombreuses questions à vous poser sur les cyberattaques et les manipulations de l'information qui commence qui concernent pardon tous nos concitoyens dans l'Hexagone et les outre-mers notamment les rapporteurs pour avis du programme 129

messieurs Kadik et désormais Frédéric Burelle. Pourquoi ils m'ont écrit ? Buval, excusez-moi. Pour ma part, j'ai j'ai pas encore suffisamment l'habitude, tu me pardonneras. [grognement] Pour ma part, avant de vous donner la parole ainsi qu'à vos chefs de service, je m'interroge à la lumière des événements inadmissibles et intolérables qui se sont déroulés ces derniers jours sur le territoire national sur les moyens et les réponses pour les prévenir et pour y faire face. Certains ont alerté, ont parlé d'état d'urgence. Est-ce un nouvel état d'alerte de sécurité nationale qui a été voté en loi de programmation militaire qui est une réponse ? En matière de renseignement, disposez-vous des moyens ? Nous avions attiré l'attention de la sur la sous-budgétisation des fonds spéciaux

dans le dernier budget. Nous notre recommandation semble avoir été entendue puisque l'enveloppe est réévaluée à 100 millions d'euros pour 2027 au lieu des 67 millions d'euros de 2026. Mais le nouvel obstacle n'est-il pas maintenant l'usage très large des messageries sécurisées dont nous avions soulevé le problème à l'occasion de la loi sur le narcotrafic, ça a fait le fait l'objet rappelez-vous d'un amendement de ma part. Problème qui se pose également face aux groupuscules radicaux et autres Black Blocs. C'est un sujet sur lequel la délégation parlementaire au renseignement a rendu des travaux ainsi que plus récemment notre ami et collègue député Florent Boudié et je serai donc intéressé par votre analyse sur les solutions que d'autres pays auraient pu mettre en

œuvre avec les plateformes de messagerie cryptée, c'est évidemment un sujet majeur qui devient de plus en plus d'actualité malheureusement. Monsieur le secrétaire général, mesdames et messieurs, avant de vous céder la parole, je rappelle à toutes et à tous que cette audition fait l'objet d'une captation vidéo qui est retransmise donc sur le site internet du Sénat et ses réseaux sociaux puis consultable en vidéo à la demande. Monsieur le secrétaire général, je vous laisse la parole et je vous laisse la distribuer à vos collègues de gauche et de droite pour que cette audition soit la plus j'allais dire fluide possible. Vous avez la parole, merci beaucoup. Merci infiniment monsieur le président, mesdames et messieurs les sénatrices et sénateurs, c'est un plaisir de

de vous retrouver aujourd'hui. Je je vous propose monsieur le président de de faire un certain nombre de propos limi- -naires pour l'ensemble de du périmètre du SGDSN y compris ANSSI et Viginum et et en revanche comme je suis certain qu'il y aura de très nombreuses questions et un certain nombre de questions qui viseront la question des ingérences numériques étrangères d'une part, la question des cyberattaques d'autre part, je je laisserai pour partie euh mes mes amis et collaborateurs répondre à toute une série de de vos questions. Tout d'abord monsieur le président et et mesdames et messieurs les les séna- -trices et les sénateurs, permettez-moi à l'issue du renouvellement de la moitié des sénateurs et des élections qui ont qui ont eu lieu de de vous présenter

toutes les toutes les félicitations de de l'ensemble des des agents du du SGDSN au sein pour tous ceux qui viennent de vous rejoindre et et y compris pour vous monsieur le le président pour votre réélection y compris à la tête de cette commission. Nous avons une longue tradition de coopération, de collaboration très étroite entre l'ensemble de votre commission et l'ensemble des services du SGDSN et soyez certains que nous continuerons dans cette logique là puisque tout simplement ce qu'il s'agit de faire collectivement c'est de continuer cette longue entreprise de rehaussement des défenses et de la sécurité de notre pays face à l'ensemble des risques et des menaces auxquelles nous nous faisons face.

Nous avons comme vous l'avez dit en introduction monsieur le président une longue une longue tradition d'études de questionnement de travaux ensemble sur toutes ces questions fondamentales et je je je suis depuis un an et demi que je suis rentré en France à la tête du du SGDSN objectivement impressionné par la qualité de l'ensemble des travaux et de nos de nos travaux communs sur l'ensemble des questions de défense et de sécurité nationale. Vous avez eu monsieur le président des mots très aimables pour les agents du du SGDSN de l'ANSSI de Viginum de l'ensemble des services et vraiment je je veux vous en remercier en leur nom à tous et vous confirmer ici l'investissement absolu total sans

faille permanent nuit et jour parfois dans l'accomplissement des missions nombreuses qui nous sont confiées et que effectivement un certain nombre d'acteurs extérieurs en particulier s'acharnent à surcharger un peu plus et à nous faire sortir de notre routine. Et je dis dans tout cela des événements imprévus mais imprévus mais pas inattendus car le le contexte international que nous avons eu l'occasion de décrire dans cette même commission à de très nombreuses reprises est de plus en plus dur corrosif pèse sur l'ensemble des composantes de la de la société et de la nation et votre commission le connaît mieux que personne elle qui a été si impliquée dans

l'élaboration de la revue nationale stratégique qui a été publiée le 13 juillet 2025 et notamment de ce scénario central de la revue nationale stratégique que nous avons élaboré ensemble au paragraphe 112 et des 11 objectifs stratégiques qui décrivent les efforts à consentir dans l'ensemble des domaines de la défense et de la sécurité nationale pour être à la hauteur des enjeux qui sont décrits et de ce scénario central. Je ne vous ferai pas l'insulte de revenir sur la substance de ce scénario central que vous connaissez tous autour de cette table tout aussi bien que nous. Mais peut-être pour commencer mes propos, vous dire où nous estimons en être presque 18 mois après la publication de la revue nationale stratégique. Et si nous prenons un tout petit peu de

recul, regardez ce que nous avons fait dans l'année qui vient de s'écouler entre le mois de juillet 2025 qui a marqué la publication de la revue nationale stratégique et ce mois d'octobre où nous sommes, quel bilan en tirons-nous et qu'est-ce que nous en tirons pour l'avenir et les moyens qui nous sont alloués pour 2027 et j'essaierai à ce à cette fin de répondre à une partie de de vos questions. Le scénario central, pour le dire simplement, a été validé par les faits et par la réalité, je dirais malheureusement. Soyons précis. Vous vous rappelez que la partie militaire du scénario, cette partie qui dit dans le paragraphe 112 de la RNS que nous devons préparer nos armées à être engagées dans des actions de guerre à la

périphérie de l'Europe ou en Europe à l'extérieur du territoire hexagonal, fort heureusement, vous constaterez avec moi que d'évidence la France n'est pas en guerre et que nos armées ne sont pas en guerre. En revanche, dans cette première partie, la poursuite de la guerre en Ukraine, de cette guerre illégale d'agression russe contre l'Ukraine, la poursuite du conflit entre Israël et les États-Unis d'un côté et l'Iran d'autre part continue d'exercer une forte pression et nous avons été à à la à la manœuvre en terme d'assistance, de soutien et d'aide à nos partenaires et à nos alliés, mais je le redis, cette première partie du scénario, fort heureusement, elle ne s'est pas mise en œuvre et nous ne sommes aujourd'hui euh pas dans cette situation dans laquelle nos armées

seraient engagées dans des actions de guerre. En revanche, s'agissant de la deuxième partie du scénario, celle qui concerne le territoire national, à la fois hexagonal et outre-mer, je pense que vous aurez constaté avec moi l'idée que les modes de conflictualité variés, opportunistes, durs euh aujourd'hui continuent euh de toucher le territoire national et je dirais de façon croissante et massive. Je dirais même qu'une forme de cap a été franchie dans le courant de l'année 2026. Permettez-moi juste ici euh de rappeler un certain nombre d'événements qui se sont passés en Europe et qui viennent illustrer la matérialisation des attaques hybrides qui euh ont été conduites contre un certain nombre euh de systèmes en Europe et parfois en France.

Au mois d'août dernier, le centre polonais de réponse aux incidents informatiques, le CERT Polska, a révélé qu'une cyberattaque avait touché une centrale thermique lors de la vague de froid survenue durant l'hiver 25-26 euh après le 29 décembre 2025. Cet incident s'inscrivait dans une série d'attaques coordonnées qui avaient touché une trentaine d'installations d'énergies renouvelables. L'objectif était bien d'atteindre un certain seuil systémique visant à provoquer un blackout électrique en Pologne sur le modèle de la grande panne accidentelle celle-là qui avait affecté qui avait affecté l'Espagne et le Portugal, vous vous en souvenez, en mars 2025 et a privé d'électricité des centaines de milliers de Polonais. Les autorités polonaises, fort heureusement, ont

réussi à parer cette attaque, à empêcher ce sabotage et vous le savez, ça a été dit publiquement, elles l'ont attribué à la Russie. Dans la nuit du 4 au 5 août, deux petits drones des ces petits drones euh issus euh des technologies civiles classiques euh qui sont euh en vente dans le commerce portant des charges explosives, ont manœuvré sur un aéroport civil, celui de Leipzig pour tenter d'exploser au contact d'avions de ligne civile et un 3e drone chargé d'explosifs a été trouvé un peu plus tard à une dizaine de kilomètres de l'aéroport et les autorités allemandes, là aussi, ont pu démontrer que ces attaques ont échoué parce qu'elles n'étaient pas suffisamment organisées mais en revanche, l'intention du sabotage et de la destruction était présente et là aussi, vous le savez les autorités

allemandes ont attribué la responsabilité de cette opération de sabotage d'un aéroport civil par l'utilisation de petits drones kamikazes avec de l'explosif à la Russie. En France, depuis le mois de juillet et nous y reviendrons lors des questions-réponses, j'en suis certain des campagnes d'ingérence numérique étrangère contre de nombreux candidats à l'élection présidentielle se sont d'ores et déjà multipliées afin de semer la confusion, d'alimenter le chaos, de perturber notre débat démocratique sur les réseaux et dans l'espace numérique. Ce ne sont là que quelques exemples de ce que nous avons pu constater en Europe de la matérialisation, de la massification du volume d'attaques hybrides dans toute la diversité sabotage, cyber, drone espionnage évidemment que nous voyons se

matérialiser en Europe. Monsieur le président, mesdames et messieurs les les sénatrices et les sénateurs, je ne vois aujourd'hui aucune raison pour que ce type d'attaque s'arrête à la frontière de notre pays et ne continue pas dans les quelques mois qui viennent de nous toucher. Un an après la publication de la revue nationale stratégique, je constate que la vitesse à laquelle l'adversité se durcit augmente et nourrit à tous notre sentiment d'urgence. Notre responsabilité, la responsabilité du SGDSN et de l'ensemble de ses institutions rattachées est donc d'accélérer nos propres efforts de protection dans le domaine qui relève en particulier des attaques hybrides. Je pense à la protection des sites, des infrastructures critiques, des opérateurs d'importance vitale et

au-delà de l'ensemble des entités qui sont essentielles à la continuité de la vie de la nation, notamment dans le domaine de la protection physique et de la lutte contre les sabotages. Je pense à la protection des systèmes d'information et Vincent Strubel en parlera davantage sur l'état d'évolution de la menace cyber qui pèse sur nous, à la fois sur le très haut du spectre et cette mutation de la menace du très haut du spectre sophistiquée d'origine étatique qui visait jusqu'à présent essentiellement des actions d'espionnage ou de prépositionnement et qui est en train de muter vers des actions organisées [grognement] de sabotage et cette deuxième mutation que nous avons constaté ces dernières ces derniers mois et sur lesquelles là aussi le directeur général de l'ANSSI a

eu l'occasion de s'exprimer publiquement et reviendra, j'en suis sûr, pour répondre à votre question sur des menaces de très faible sophistication mais à très fort impact politique qui relèvent plutôt de la criminalité individuelle, endogène, jeune, non plus simplement de la criminalité organisée telle que nous la connaissons avec des groupes criminels transnationaux, mais de cette petite criminalité finalement faiblement sophistiquée sur le plan technique, mais à très fort impact politique sur la confiance que nos concitoyens peuvent accorder à la capacité de l'État à les protéger. Je pense évidemment ici à la question de la détection des ingérences numériques étrangères dans le domaine de Viginum que nous avons d'ores et déjà vu se multiplier et il n'y a aucune raison que

nos adversaires fassent une trêve électorale et ne multiplient pas évidemment dans les semaines qui viennent, dans les mois qui viennent, jusqu'à l'été 2027 la multiplication de l'ensemble de ces de ces éléments. Pour autant, depuis cette année qui vient de s'écouler, depuis la publication de la revue nationale stratégique et qui malheureusement a confirmé nos anticipations, a confirmé notre analyse de la menace et de son aggravation qui par ailleurs a confirmé que cette aggravation se déroulait rapidement, plus rapidement que ce que nous avions anticipé, nous ne sommes pas restés les bras croisés et toute une série d'actions, et vous en avez rappelé certaines, monsieur le président, certaines étaient du niveau législatif, j'y reviendrai, qui dotent l'ensemble

des institutions de l'État d'un certain nombre de pouvoirs et d'autorités renforcées et supplémentaires pour nous permettre de faire face. Mais au-delà de ces dispositions législatives qui ont été intégrées dans la loi de programmation militaire, je vais revenir sur certaines d'entre elles, et dans d'autres projets de loi qui sont en cours d'examen qui, effectivement, ont été votés, d'ailleurs je l'ai noté, à une plus que large majorité, à une très très grande unanimité dans le domaine des ingérences, nous donnent des autorités supplémentaires et continueront leur parcours législatif. Permettez-moi juste de revenir sur quelques exemples de ce qui nous a occupés au sein du SGDSN dans l'année qui vient de s'écouler sur la base des moyens qui nous avaient été alloués

dans cette même commission par le Parlement l'an dernier. Premièrement, vous avez, je sais, votre attachement, Monsieur le Président, Mesdames et Messieurs les les sénatrices et les sénateurs, à la question de l'engagement et des réserves. Les réserves aujourd'hui, grâce à la loi de programmation militaire, sont sont réparties en trois viviers. Les réserves opérationnelles que la loi de programmation militaire qualifie désormais de réserves de sécurité nationale et auxquelles nous avons ajouté, au-delà des réserves opérationnelles militaires, de la police, de la gendarmerie, la réserve sanitaire et les réserves opérationnelles des douanes et de l'administration pénitentiaire qui nous dotent aujourd'hui d'une capacité de gestion de crise supplémentaire avec une

vraie réserve opérationnelle élargie. Une deuxième réserve que sur laquelle je veux insister ici, que nous avons requalifiée, qui vise à nous nous donner les moyens d'assurer les missions indispensables à la continuité de la vie de la nation et qui, comme son nom l'indique, sont destinées à assurer la continuité de l'action de l'État, des collectivités territoriales, des organismes qui leur sont rattachés, les entreprises, les établissements publics, les établissements privés, les opérateurs d'importance vitale, les entités essentielles dont l'activité et la continuité de l'activité contribue à la sécurité nationale et à la continuité de la vie de la nation. Et puis cette troisième réserve de solidarité nationale qui, issue de la mobilisation citoyenne en période de crise et que

nous avons tous pu constater au moment des incendies notamment dans le sud-ouest de la France correspond à l'engagement des bénévoles lorsque surviennent des difficultés de proximité. Ces trois réserves-là sont désormais clairement établies. Nous avions discuté dans cette même commission il y a un an de la complexité du dispositif de réserve, de la nécessité de simplifier, de s'insérer, de dynamiser. Ce travail-là est en cours pour au-delà des capacités de l'État et de la puissance publique permettre à nos compatriotes de trouver les voies et moyens de l'engagement qui continue d'être nécessaire et qui continue d'avoir du succès. Je sais aussi un certain nombre de de préoccupations qui sont les vôtres dans l'exécution au-delà de cette question des réserves et d'un certain

nombre de dispositions législatives sur l'exécution du budget de 2027 et la préparation de celui de 2026. Comme vous le savez l'entrée en gestion en 2026 avait été adoptée été marquée par une adoption euh plus tardive que d'habitude de la loi de finances initiale et nous avions bénéficié dans ce dans ce contexte je le redis ici et nous savons à quel point nous avons été euh bénéficiaire de la solidarité nationale d'un traitement favorable qui correspondait aux missions particulières de la défense et de la sécurité nationale dont le SGDSN a la charge. Un transfert de crédits de la part du ministère des armées au mois d'avril est venu abonder un certain nombre de crédits pour financer un certain nombre de capacités techniques notamment au profit de nos services de renseignement

et une réallocation nous a permis de en cours d'année développer l'ensemble de nos actions destinées à préparer le territoire national à la lutte contre ces petits drones à la lutte anti-drones. Je sais monsieur le président que vous y êtes particulièrement attaché. Ces travaux-là sont en cours. J'y reviendrai sur le site de Brétigny-sur-Orge en terme de labellisation d'un certain nombre de solutions industrielles qui pour mettre en œuvre en particulier les dispositions très novatrices de la loi de programmation militaire qui a permis à des opérateurs privés de de d'opérateurs d'importance vitale de se doter de capacités de détection et de neutralisation qui permettront je l'espère à la nation d'être davantage prêt en tout cas plus rapidement à l'évolution de la menace et nous

allons continuer au sein du SGDSN notre travail de mobilisation de dynamisation d'accélération de la préparation du territoire national sur l'ensemble des crises de sabotage et en particulier de sabotage sur la question des drones. Vous savez je le sais je vais pas y insister de trop mais les questions logistiques immobilières sont essentielles un certain nombre de décisions ont été prises qui permettront de doter de façon pérenne l'ANSSI d'un site permanent à horizon de l'année 2030 de la prochaine décennie qui nous permettront de continuer à donner à l'ANSSI les moyens de la protection cyber dans le cadre des responsabilités de notre modèle cyber tel qu'il a été développé et je veux dire ici que nous sommes très conscients

au sein du SGDSN de la la les les éléments extrêmement positifs que nous avons pu obtenir dans des périodes compliquées y compris de restriction budgétaire qui nous oblige tous pour donner quelques exemples simplement de ce que nous avons fait cette année dernière et qui vont répondre en particulier à un certain nombre de questions que vous avez posé monsieur le président et je ne doute pas que vous voudrez revenir dans vos questions sur certains de ces éléments-là. Sur la dimension des ingérences numériques étrangères avec Viginum avec l'ANSSI avec un certain nombre de d'institutions de l'État nous avons mis en en place un dispositif durci de protection des cycles électoraux je pense en particulier aux élections municipales mais également aux élections provinciales en

Nouvelle-Calédonie et évidemment aux élections sénatoriales avec le souci permanent de la coordination interministérielle de l'information des candidats et des partis politiques et de l'information du public. Vous le savez au moment des élections municipales nous avons mis en place le réseau de coordination et de protection des élections qui a rassemblé autour du SGDSN un certain nombre d'institutions, Viginum évidemment sur la question des ingérences numériques étrangères, mais une série d'autres institutions de l'État qui nous ont permis d'avoir en place un dispositif efficace, robuste, agile, permanent de détection, de caractérisation et d'information sur les élections municipales en matière d'ingérence numérique étrangère. Nous pourrons revenir si vous le souhaitez sur le

bilan que nous avons tiré de l'ensemble. Un rapport a été rendu public par Viginum et le SGDSN sur le bilan que nous avons tiré de la mise en place à la fois du RCPE et de la nature de la menace telle qu'elle évolue et que nous avons vu manifester des préoccupations et des volontés d'ingérence étrangère dans notre débat numérique électoral. Comme je le disais, ce dispositif du RCPE est un dispositif sur lequel nous sommes en train de réfléchir pour la mise en place à nouveau pour le cycle électoral de 2027. Vous savez aussi qu'un certain nombre de dispositions ont été prises de nature réglementaire pour celles-là qui visent plutôt un éventuel cycle législatif puisqu'un décret a été adopté par le gouvernement le 22 juillet 2026 qui permet là aussi de durcir notre

dispositif. L'élection présidentielle faisant elle l'objet d'un dispositif séparé, spécifique, tout à fait particulier entre les mains du Conseil constitutionnel et de la CNCCEP. Ce dispositif durci qui a montré ses son efficacité, je pense, pendant les élections municipales nous donne la direction dans laquelle nous devons continuer à préparer et à durcir et à rendre plus robuste notre dispositif de protection des élections contre les ingérences numériques étrangères dont nous constatons que la menace continue d'évoluer, de se durcir et d'augmenter. Je suis certain que nous reviendrons en détail sur les questions de cybersécurité, mais nous avons publié la stratégie nationale de cybersécurité actualisée. Nous avons avec l'ANSSI et l'ensemble de la communauté interministérielle de la cyber

était pleinement mobilisée dans cette guerre hybride du haut du spectre et qui nous a vu voir comme je l'ai dit la menace cyber muter dans ces deux directions vers le très haut du spectre et le sabotage vers le la partie moins sophistiquée de la criminalité organisée vers la criminalité criminalité endogène et individuelle qui font peser un rythme opérationnel sur les équipes de cybersécurité tout à fait spécifique et qui nous a amené à conforter et à durcir le modèle français de cybersécurité sur lequel nous reviendrons qui organise la répartition des responsabilités entre ce que fait l'Anssi en propre, ce qu'elle fait en elle-même et ce sur quoi elle est un conseil, un expert, un contrôleur le cas échéant pour que d'autres fassent. Vous savez,

je sais qu'un certain nombre d'entre vous autour de cette table sont très attentifs à ces éléments-là. Nous avons continué et c'est un un point qui avait été évoqué dans cette même commission au même moment l'an dernier à la poursuite du financement de ce dispositif de réaction de proximité qu'on appelle les CERT régionaux que sur les crédits supplémentaires que nous avons obtenus en 2025 et 2026 nous ont permis de continuer à organiser en région un dispositif de proximité qui permet de traiter un certain nombre d'incidents cyber de premier niveau qui ne requièrent pas les capacités techniques les plus sophistiquées que la nation a confié à l'Anssi. Dans tous ces domaines-là, il y a un bouleversement qui est en cours sur lequel nous travaillons d'arrache-pied et qui tout

cela jusqu'à présent n'a pas été rendu public mais nous a fait constater de très profonds progrès dans l'année qui vient de s'écouler notamment dans les 9 derniers mois en matière d'intelligence artificielle à la fois de compréhension beaucoup plus fine de l'impact que les modèles d'intelligence artificielle de frontière font peser sur la menace cyber et à l'inverse du durcissement de notre dispositif de cybersécurité à l'aide des modèles d'intelligence artificielle. Une des choses qui a été rendue publique pour pour et je suis certain que Vincent Strubal il il reviendra, c'est l'utilisation de certains éléments euh d'intelligence artificielle nationale en particulier en appui au dispositif d'audit euh de la 2e phase d'audit euh qui est en cours euh par la DGFIP sur

les systèmes d'information de la DGFIP euh le tout euh sous la supervision technique euh de l'ANSSI. Pour se préparer au scénario central de la RNS, nous avons finalisé au mois de juillet de cette année et là aussi ça a été rendu public une nouvelle planification de défense et de sécurité nationale, le PDSN dans notre jargon, qui associe très étroitement l'évaluation de la menace, l'ensemble des mesures pour y faire face euh et que nous sommes en cours d'activation euh au regard de l'évolution de la menace hybride, mais nous n'avons pas simplement actualisé et durci notre planification de défense et de sécurité nationale, nous avons également d'ores et déjà organisé des exercices, vous êtes familiers euh et un certain d'entre vous y ont participé euh à l'or à

l'exercice Orion 26 et et qui est un un exercice d'abord militaire organisé par l'état-major des armées, mais sur lequel nous avons décidé, nous euh SGDSN, d'amener la communauté interministérielle de la défense et de la sécurité nationale pour jouer précisément les deux volets euh du scénario central de la RNS, à la fois la montée de nos armées euh vers l'engagement euh majeur et la mobilisation de l'ensemble de la communauté interministérielle de la sécurité nationale pour être euh en meilleure position pour être euh euh capable de répondre à des attaques hybrides euh massives et donc pour durcir le territoire national. Je le disais, je le redis ici, nous avons financé des moyens nouveaux en matière de lutte contre les petits drones et qui nous qui ont pour objectif de nous

permettre euh de mettre en œuvre plus efficacement et plus rapidement l'article 25 de la loi de programmation euh militaire et j'espère que euh dans les semaines qui viennent, euh nous aurons l'occasion euh de démontrer euh que nous passons euh de la théorie à la pratique. Euh nous sommes en train de le faire depuis le début du mois de janvier, je l'ai déjà dit à Brétigny-sur-Orge avec un terrain d'expérimentation en milieu périurbain que nous avons ouvert à la participation de tous les industriels français de la détection et de la lutte anti-drone pour qu'ils viennent tester en conditions réelles l'efficacité de leur dispositif de détection et de lutte anti-drone et ensuite de le labelliser et de le certifier dans des conditions qui correspondent à la réalité de façon

à ce que ensuite ces solutions-là soient disponibles et validées pour durcir progressivement le le territoire national face à cette menace ce drone. Vous le savez, vous l'avez dit, dans notre dispositif finalement que je qualifierais de planification juridique de la sécurité nationale, la loi de programmation militaire a validé et acté, je sais qu'il y a eu des débats nourris sur ce sujet, un nouvel état, un état d'alerte de sécurité nationale qui ouvre des possibilités d'apaisement juridique pour faire face à une montée des crises hybrides qui affectent la sécurité nationale et ce dispositif, je le dis ici monsieur le président, il a été pensé pour les menaces hybrides et construit, conçu à la fois dans ses critères de déclenchement, dans ses

modalités d'encadrement et dans les dérogations de nature du pouvoir réglementaire qui l'autorisent pour le durcissement du territoire national face à des menaces hybrides et à ce scénario spécifique, c'est-à-dire à la deuxième partie du scénario central de la RNS. Je ne m'aventurerai pas ici devant votre commission à commenter l'actualité brûlante qui va bien au-delà de cette question et des compétences du SGDSN spécifiquement. Je l'ai dit, je le redis ici, nous avons beaucoup travaillé ces dernières ces derniers mois et c'est vrai dans le domaine cyber, mais je dirais que c'est le vrai dans l'ensemble des domaines qui relèvent de la sécurité nationale sur le bouleversement que représente l'intelligence artificielle en matière de sécurité nationale. J'ai mentionné la façon bonne ou

mauvaise dont les grands modèles de langage de frontière peuvent être utilisés dans des domaines du cyber, mais je veux aussi ici dire que nous dans l'ensemble du périmètre du SGDSN, nous continuons à être extrêmement attentifs et je je vous il est possible que vous ayez des questions sur ce sujet sur la la façon dont nous évaluons la possibilité pour des agresseurs étrangers d'utiliser des modèles d'intelligence artificielle à des fins de manipulation de l'information dans le cadre du mandat de Viginum mais nous avons mis en place un laboratoire d'intelligence artificielle au sein de Viginum comme nous l'avons fait au sein de l'ANSSI sur la partie cyber et dans des domaines qui sont tout à fait aussi préoccupants qui relèvent de la prolifération des armes nucléaires, radiologiques,

bactériologiques, chimiques ou des explosifs. Là aussi de très des travaux extrêmement approfondis ont été menés ces derniers mois pour mesurer l'état exact de l'impact de des modèles d'intelligence artificielle sur les risques de prolifération et notamment dans les domaines biologiques, chimiques et d'explosifs. Toutes ces choses-là n'ont pas encore été rendues publiques, ce sont des travaux que nous avons fait dans un environnement classifié et donc vous me pardonnerez j'espère de pas aujourd'hui être en mesure de vous dévoiler l'ensemble des résultats de l'ensemble de ces évaluations que nous avons faites. Je rappelle ici que au titre du sommet sur l'intelligence artificielle que le président de la République pardon avait organisé en mars 2025, un institut a été créé, l'Institut

national d'évaluation et de sécurité de l'intelligence artificielle, l'INESIA dont le SGDSN a la direction pour les menaces de sécurité nationale. Nous avons activé, opérationnalisé cette nouvelle mission dans l'année 2025 et dans l'année 2026 qui nous mettent aujourd'hui en mesure d'avoir une capacité autonome et souveraine d'évaluation des modèles d'intelligence artificielle et de leur impact sur la sécurité nationale. Je pense et j'espère que nous serons en mesure dans les les mois qui viennent avant la fin de l'année de rendre public un certain nombre de nos évaluations et de déclassifier une partie pour alimenter votre réflexion sur ce bouleversement technologique qui a un impact direct sur l'état des menaces qui pèsent sur notre sécurité nationale et aussi sur la façon dont

nous pouvons utiliser l'ensemble de ces modèles à des fins de défense ou de protection de notre démocratie et de notre sécurité nationale. Je sais que vous aurez beaucoup de questions de substance mais c'est aussi une audition qui permet de revenir sur les questions budgétaires et c'était d'abord son objectif premier. Et [grognement] donc je je ne peux pas ne pas finir ma présentation initiale sans vous dire que dans le projet de loi de finances qui vous a été présenté pour 2027 et qui nous le savons bien nous ne sommes pas naïfs même si nous sommes des technocrates nous savons qu'il est entouré d'un certain nombre d'incertitudes mais en l'état des choses je constate qu'il est marqué par une volonté de maîtrise des dépenses que nous comprenons évidemment totalement et

cette volonté s'applique y compris au service du Premier ministre et au SGDSN et donc nous nous sommes tout à fait à la manœuvre pour faire en sorte de mettre en œuvre les crédits qui je l'espère nous serons octroyés sur l'année 2027 qui sont pour dire les choses euh à constance par rapport à 2026 et et là aussi nous avons conscience au SGDSN et en terme de titre 2 et en terme de TP et en terme de hors titre 2 dans cette condition qui nous est faite de rester au niveau de l'année 2026 d'être particulièrement favorisé au regard de l'ensemble des mesures de restrictions budgétaires qui ont été portées sur un certain nombre de services de l'État et nous serons dans l'enveloppe et le plafond d'emploi qui

nous seront alloués en 2026 extrêmement présent et [grognement] attentif à ce que nous puissions mettre en œuvre rapidement avec agilité avec souci de l'opérationnel l'ensemble de ce que sont nos priorités et comme je l'ai déjà dit et je ne n'hésiterai pas à le dire à l'intérieur nous serons amenés à faire des choix de priorisation de hiérarchisation de nos priorités qui seront toujours je veux le redire ici conforme à notre analyse de la menace et à la façon dont nous évaluons l'évolution de la menace qui pèse sur notre sécurité nationale, ça sera vrai dans le domaine cyber, ça sera vrai dans le domaine des manipulations d'information, ça sera vrai dans le domaine de la lutte contre la prolifération, ça sera vrai dans la domaine de la lutte contre les menaces

hybrides et de la planification de défense et de sécurité nationale. Je voudrais juste monsieur le président terminer ici peut-être par deux remarques. La première comme je l'ai dit au début et je ne crois pas l'avoir fait depuis que j'ai pris mes fonctions depuis un an et demi témoigner ici devant votre commission de mon constat de l'engagement des agents de l'ensemble du SGDSN de leur professionnalisme de leur dévouement nuit et jour de leur capacité à être sur la brèche et on le fait très souvent pour nos amis des armées, pour nos amis des services de sécurité dans la période qui est la nôtre qui est dure, qui est compliquée,

ils sont là ils sont au rendez-vous avec le professionnalisme et l'engagement qui est le leur et avec la diversité des profils qui est le leur. Je voudrais ici devant vous leur rendre hommage et le faire évidemment aux deux patrons de deux des services qui sont avec moi aujourd'hui à l'ensemble de leurs équipes qui ont été éprouvées dans les semaines qui viennent du côté de cyber comme du côté des ingérences numériques étrangères mais vous dire que les équipes sont là, elles résistent, elles ont le sens de la mission et elles sont engagées au profit de notre sécurité nationale avec toute la diversité des statuts qui sont les leurs et qui font la richesse du SGDSN que je le constate tous les jours et et donc permettez-moi ici publiquement de leur adresser mes remerciements

chaleureux parce que évidemment la période que nous vivons est une période dure mais pour nous au SGDSN c'est pour cela que nous avons été construits, organisés, c'est pour ça que la nation nous confie des moyens et euh continuerons d'être aussi bien que nous le pouvons euh et avec toute la capacité dont nous sommes euh capables, être au rendez-vous des menaces de la sécurité nationale. [grognement] La deuxième remarque que je voudrais faire est plus de substance euh et euh ici euh je pense que nous devons être attentifs dans la période qui vient euh à la rigueur des analyses euh des concepts et de l'utilisation des mots. Euh nous avons beaucoup utilisé le terme d'attaque hybride. Euh vous savez, je l'ai déjà dit dans cette commission, les doutes que nous pouvons avoir certains

d'entre nous euh sur la notion elle-même. Elle a pour autant une valeur opératoire dans ce qu'elle décrit un certain nombre de menaces concrètes, opérationnelles, très concrètes, très très matérielles euh qui visent à casser la continuité de la vie de la nation et qui visent euh à décrire ce que sont des stratégies adverses d'acteurs étatiques ou non étatiques étrangers qui visent à perturber la continuité de la vie de la nation depuis l'étranger. Mais évidemment euh toute euh tout ce qui se passe sur notre territoire national ne relève pas nécessairement d'une intention stratégique de nos adversaires et donc nous devons faire attention à ne pas tout regrouper euh dans le vocable d'attaque hybride, d'attaque hybride étrangère. Euh et nous au SGDSN, notre

travail et notre périmètre, c'est celui de la sécurité nationale interprétée comme la préparation du territoire national euh au scénario central de la revue nationale stratégique. Autrement dit et pour le dire, il y a parfois une tentation de faire intégrer et d'embarquer dans le périmètre du SGDSN la totalité des politiques publiques. Nous avons euh un champ spécifique qui est défini dans le code de la défense, qui est défini dans le code de la sécurité intérieure. Nous attachons à mettre en place l'ensemble de nos responsabilités et croyez croyez-moi, nous y sommes attachés nuit et jour. Mais euh euh qui trop embrasse mal étreint. Euh notre champ est celui de la sécurité nationale. Merci monsieur le euh secrétaire général pour ces propos liminaires mais particulièrement complets. Juste

peut-être pour euh rebondir sur ce que vous avez me dire à l'instant et je l'ai fait tout à l'heure dans mon propos liminaire, saluer évidemment la présence de Vincent Strubel et et et et de Madame D'Iver pendant la la période de d'intérim. Euh, on on vit quand même dans un pays où où dans un système qui manque totalement de cohérence puisque je me permets je peux permettre de le dire puisque je ne suis pas technocrate comme vous le disiez et pourtant ça a pas forcément une euh une valeur péjorative dans votre bouche évidemment. Euh, celles et ceux qui ont beaucoup critiqué l'ANSSI, celles et ceux qui ont beaucoup critiqué Viginum sont malheureusement les mêmes qui ont contribué à la baisse des budgets il y a quelques mois. Voilà. Et donc je crois qu'il faut aussi

le rappeler. Puisque le seul en- la seule enceinte euh qui a qui s'est mobilisée l'assembl- enceinte nationale qui s'est mobilisée pour sauver les budgets de l'ANSSI et de Viginum, c'est le Sénat. Et c'est la commission des Affaires étrangères et de la Défense ici présente. Je me rappelle que dans le cadre du budget 2026, le Premier ministre avait annoncé une baisse de 40 millions d'euros du budget de l'ANSSI et de Viginum au moment où les attaques cyber n'avaient jamais été aussi nombreuses et où la lutte informationnelle était un sujet majeur. Et donc celles et ceux qui aujourd'hui critiquent vertement ces institutions euh seraient bien un un comment dire inspirés de réfléchir à ce qu'ils ont fait il y a quelques années puisque aujourd'hui on essaie de

rattraper le retard qu'ils nous ont fait perdre en baissant drastiquement les budgets. Voilà. Euh, on a un certain nombre de questions, on va essayer d'avancer assez rapidement. Euh, d'abord les les rapporteurs pour avis du 129 donc Olivier Cadic et ensuite Frédéric Buval. Euh, donc je laisse la parole dans l'ordre que vous souhaitez, peut-être d'abord Olivier. Merci Monsieur le Président. Euh, Monsieur le Secrétaire général, depuis 10 ans que la commission m'a confié le suivi des crédits du programme 129, j'ai accompagné la la montée en puissance de l'ANSSI dans la lutte contre les menaces cyber. J'en ai salué les succès, notamment lors des Jeux olympiques de 2024, mais j'ai aussi soulevé des interrogations sur son articulation avec le GIP ACMSI chargé de

cybermalveillance, et les centres de réponse aux crises cyber en région. Avec mon collègue corapporteur Mikaël Vallet, avant le renouvellement sénatorial, nous avions alerté sur le fait que le réseau de supervision de l'ANSSI ne couvrait pas tous les ministères. L'actualité de cet été a mis en pleine lumière les défaillances de l'État dans la protection de ses applications les plus sensibles. Entre juin et août, le système d'information de la direction générale des finances publiques a subi trois intrusions successives majeures par usurpation d'identifiants légitimes. Aucune faille logicielle complexe n'a été exploitée. L'attaque a touché 678000 comptes au

total, compromettant les données de particuliers et de professionnels. Cela s'ajoute à l'attaque de l'URSSAF en janvier, affectant les données de 12 millions de salariés, au vol et à la publication sur le dark web de 2,1 millions de dossiers de ressortissants étrangers détenus par l'Office français de l'immigration et l'intégration, et à la compromission de données passeports, cartes d'identité, cartes grises dans les systèmes de l'Agence nationale des titres de sécurité. Sans compter l'an dernier les intrusions dans les systèmes du ministère de l'Intérieur. Cela pose plusieurs questions. Quelles sont les responsabilités respectives de l'ANSSI et des ministères concernés dans ces failles de ? Au-delà des excuses du ministère du

ministre des Comptes publics, quels sont les résultats des enquêtes sur les défaillances et les ? Après un tel fiasco, comment accepter zéro responsable, zéro ? Un article du Canard enchaîné a révélé que l'ANSSI elle-même avait été attaquée début août. Les victimes ont-elles été ? Pourquoi n'y a-t-il pas eu de transparence sur cet ? Avez-vous porté ? La CNIL a-t-elle été saisie dans les ? Quels enseignements tirez-vous de ces ? À mon sens, elles ne sont pas liées au retard de la transposition de NIS 2. Ces services de l'État, opérateurs d'importance vitale, sont déjà sous le contrôle de l'ANSSI.

Le référentiel général de sécurité et la politique de sécurité des systèmes d'information de l'État imposent depuis plus de 10 ans des mesures de sécurité numérique aux administrations centrales. Les fuites récurrentes montrent que ces textes ne sont ni appliqués ni contrôlés. Monsieur le secrétaire général, il paraît inadmissible qu'aucun directeur ne soit sanctionné tant au niveau des ministères qu'au niveau de l'ANSSI. Avec quelle crédibilité l'État peut-il envisager d'imposer de nouvelles règles et des sanctions aux acteurs privés dans le cadre de NIS 2 lorsqu'il ne fait pas respecter ses propres ? Le 12 octobre, le CERT-FR a publié une alerte sur les vulnérabilités vulnérabilités des systèmes de

régulation du fabricant danois Danfoss. C'était le lendemain de l'attaque qui a rompu la chaîne du froid de plusieurs dizaines de supermarchés. Danfoss avait pourtant publié ses vulnérabilités dès 2023, puis en mars et en août 2025. Une alerte après l'attaque pour des vulnérabilités connues depuis des années. Je vous le demande, à quoi sert aujourd'hui le ? Par ailleurs, On peut faire un point rapide si vous je finis. Par ailleurs, l'agence a lancé un portail MesServicesCyber destiné aux entreprises, aux collectivités qui se positionne en concurrence du 17 Cyber et de Cybermalveillance, dont c'est la mission. ? Enfin, concernant Viginum, j'ai bien noté que le service avait identifié quatre actions d'ingérence étrangère lors de la campagne des

municipales, mais mesurez-vous les effets de ces ? Comment expliquez-vous que certains candidats voient leur notoriété démultipliée par ? Je passe la parole à mon collègue corapporteur, Frédéric Buval. C'est moi qui passe la parole, ce sera donc à Frédéric Buval et ensuite vous aurez une réponse pour les deux rapporteurs, s'il vous plaît, merci. Merci monsieur le président de me passer la parole. Monsieur le secrétaire général, la commission m'a confié la charge de corapporter avec mon collègue Olivier Cédric Cadic, le programme 129 et je m'en réjouis car en tant que sénateur de la Martinique, je souhaite plus particulièrement m'intéresser au sort des outre-mers de la coordination interministérielle du travail gouvernemental dont je comprends que le SGDSN

est la tête de réseau. Disposez-vous dans votre organisation de services spécifiquement compétents sur les questions ultramarines de défense et de sécurité ? J'ai en mémoire la carte de l'Amérique du Nord publiée par le président Trump qui recouvre du drapeau américain aussi bien le Canada, le Mexique que Saint-Pierre-et-Miquelon et les Antilles françaises. Cette provocation participe de phénomène d'ingérence étrangère hostile de la part d'un pays allié. Cela s'ajoute à l'activisme de l'Azerbaïdjan sur la Nouvelle-Calédonie ou la Russie sur Mayotte. Comment vos services traitent-ils la désinformation qui vise les populations

dans les pays et départements ? Plus largement, je voudrais souligner la vulnérabilité propre aux territoires insulaires face aux phénomènes climatiques, aux risques de cybersécurité sur les services publics tels que les hôpitaux, l'énergie, l'eau ou les approvisionnements. Comment sont-ils abordés du point de vue de la ? Sur la cybersécurité ultramarine, qui est compétent et qui faut-il ? Est-ce le délégué territorial de l'ANSSI, un centre de réponse cyber, le 17 cyber ou cybermalveillance ou une entreprise désignée par l'ANSSI pour le renforcement de l'accompagnement

local aux enjeux de cybersécurité. Enfin, à 6 mois de l'élection présidentielle, quel dispositif allez-vous mettre en œuvre pour protéger le débat public des des ingérences ? Je vous remercie. Merci monsieur Bival. Je j'appelle chacune et chacun à la concision. Je suis intervenu tout à l'heure pour Olivier mais j'ai 16 demandes de prise de parole et euh on a encore une quarantaine de minutes donc si on veut que tout le monde puisse s'exprimer euh une fois que les rapporteurs pour avis se seront exprimés, j'invite chacune et chacun à prendre en compte la règle de cette commission qui veut que on pose une question sur une minute. Merci beaucoup monsieur le secrétaire général, la parole est à vous. Merci beaucoup euh monsieur le président euh mes messieurs les sénateurs,

peut-être on va faire ça à deux voix. Euh je vais répondre en partie et je laisserai Vincent Strubel revenir sur un ensemble de questions euh qui sont tout à fait légitimes sur euh je pense euh et qui sont aussi l'occasion euh monsieur le sénateur de rappeler euh le modèle de cybersécurité qui a été établi maintenant euh depuis plus de 15 ans euh et qui repose sur une répartition des responsabilités assez claires que je trouve on a parfois tendance à oublier et je ne sais pas si cet oubli est volontaire ou involontaire mais en tout cas il permettra au directeur général de l'ANSSI de rappeler euh comment est organisé notre euh dispositif de cybersécurité nationale entre euh l'ANSSI euh les euh ministères responsables des services des systèmes d'information qui sont les leurs et le

privé euh puisque là aussi je constate parfois euh un peu de schizophrénie si vous me passez l'expression euh entre euh le fait d'être responsable euh de ses propres systèmes d'information et le fait euh d'appeler systématiquement l'ANSSI dès qu'il y a un problème. Euh pour dire les choses ici euh l'ANSSI n'a pas pour mission et n'aura pas pour mission d'aller réparer tous les frigos de France et de Navarre. Mais je pense que le directeur général reviendra plus précisément sur cette question-là de la répartition des responsabilités qui permet euh de rappeler comment on a organisé les choses et après il peut y avoir des évolutions de notre modèle et de notre dispositif de cybersécurité qui a été remarquablement stable depuis l'année 2008 et l'année 2009. Peut-être un point

spécifique que je voudrais faire ici pour répondre plus directement sur la question des outre-mers qui est une une une question tout à fait légitime et et vous avez raison monsieur le sénateur j'aurais dû mentionner dans mes propos introductifs à quel point l'outre-mer et l'ensemble des problématiques ultramarines sont centrales dans notre réflexion sur le durcissement du territoire national face aux menaces qui pèsent sur notre sécurité nationale. Pour le résumer d'une phrase, ce que nous avons constaté c'est que les outre-mers sont surexposés à un certain nombre de menaces et souvent sous-préparés à au durcissement qui est devant nous. Vous avez parfaitement monsieur le sénateur mis le doigt sur un certain nombre de ces éléments. Je voudrais insister en particulier sur la

question des ingérences numériques étrangères. Nous avons rendu public grâce au travail technique de détection de Viginum un certain nombre d'agressions, d'attaques, d'informations, d'ingérences numériques étrangères qui ont visé un certain nombre de nos outre-mers dans le Pacifique à la Réunion en particulier et c'est un rapport qui a été rendu public d'un groupe qu'on appelle le Big qui est originaire d'Azerbaïdjan et qui a montré une vulnérabilité spécifique des outre-mers ou en tout cas une exposition spécifique à la menace d'ingérence numérique étrangère. Un certain nombre d'actions de Viginum sont spécifiquement destinées aux territoires outre-mers et en particulier à l'ensemble des préfets et des hauts commissaires pour les doter des capacités, des compétences, de

l'expertise qui leur permettent au plus près du terrain et en pleine conscience des spécificités de chacun de nos territoires ultramarins de organiser la détection et surtout la protection de l'ensemble du débat numérique et donc Viginum là aussi est à la manœuvre pour durcir tant qu'on le peut ces territoires, c'est la même chose dans le domaine de la résilience et sur la partie cyber et donc à chaque fois d'ailleurs on l'a dit dans la revue nationale stratégique mais dans le plan de défense et de sécurité nationale, la question ultramarine est toujours au cœur de nos préoccupations et en terme d'organisation, il y a à l'intérieur du SGDSN une direction qui s'appelle protection et sécurité de l'État PSE qui a sa tête un préfet qui par ailleurs a une compétence tout à fait spécifique

dans le domaine des outre-mers de par son parcours et qui est au contact quotidien avec le haut fonctionnaire de défense et de sécurité qui au sein du ministère de l'Intérieur a la responsabilité aussi de la mise en œuvre opérationnelle de notre politique de défense et de sécurité nationale visant spécifiquement les outre-mers donc le dispositif administratif est en place mais on a un gros travail à faire de durcissement de nos outre-mers pour les adapter à la menace de sécurité nationale que j'ai décrite initialement. Peut-être si vous êtes d'accord monsieur le président, je passe la parole à à Vincent Strubel. Bien, peut-être pour revenir en premier lieu sur l'évolution du paysage de la menace comme l'a souligné le secrétaire général, nous avons deux évolutions majeures à

l'œuvre aujourd'hui. Premièrement, celle qui est la plus visible qui est le vol de données qui est l'apparition qui est pas totalement nouvelle mais qui est une évolution à la fois du du crime organisé qui bascule vers ça avec un certain nombre de grands groupes Shiny Hunters et cetera qui font de l'extorsion qui le faisait hier à travers des rançongiciels, c'est-à-dire la paralysie qui le font aujourd'hui à travers l'extorsion de rançon contre la non publication de données volées. Ces groupes-là ciblent peu l'État, ils s'en prennent essentiellement au privé. S'y ajoute aujourd'hui une dimension endogène celle des jeunes Français qu'on a vu à l'œuvre contre l'État qui est motivée essentiellement par des enjeux réputationnels. Ces jeunes ne gagnent

pas d'argent ou très peu avec euh ces vols de données. Euh ils pratiquent un un modus operandi qui est nouveau, qui nous prend parfois au dépourvu, qui euh n'est pas celui contre lequel ont été forcément pensés tous les systèmes de défense et ça vaut autant pour l'État que pour le secteur privé. Je dis ça non pas pour dédouaner l'État, mais pour rappeler que cette menace est persistante sur l'ensemble des euh du périmètre des activités publiques privées, hein. Il s'agit surtout pas de Je voudrais surtout éviter qu'on s'imagine que ce problème est limité à l'État et que le secteur privé s'en désintéresse parce qu'il est euh aussi très fortement con- euh concerné. Euh Pour donner quelques chiffres là-dessus, euh nous publions depuis Nous avons publié, dans l'effort de transparence

qui nous est demandé par le Premier ministre depuis la rentrée, des statistiques euh et euh des incidents détaillés. Euh nous avons, pour actualiser un tout petit peu les informations qui ont été publiées au début euh début octobre, euh traité depuis le 1er août 165 violations de données notifiées à l'ANSSI, c'est pas l'exhaustivité de ce qui s'est passé en France. Ça concerne tant le secteur privé que le secteur public. 97 sont confirmées. Donc je constate encore, même si euh j'ai été fortement critiqué pour l'avoir souligné par le passé, il s'agit absolument pas de limiter ou de minimiser la menace. Ça n'a pas plus de sens de Pour un directeur général de l'ANSSI, de minimiser la menace que pour un directeur des pompiers de dire que les incendies c'est pas grave et qu'il

faut pas s'en préoccuper. Euh je constate qu'il y a toujours une part de euh de bluff parfois. Donc dans les 165 de violations de données que nous avons traitées, il y en a 97 qui sont confirmées. Euh quand je dis ça, euh ça veut dire que nous avons travaillé 165 fois, hein. Euh le une fausse attaque ou une vraie attaque donne absolument autant de travail aux équipes cyber de l'ANSSI, des ministères, des entreprises privées euh dans leur investigation. Là encore, pour fixer les idées, dans ces 97 confirmées, il y en a moins du quart qui concerne l'État, hein. Euh le les violations de données, c'est aussi le secteur privé et c'est aussi euh l'ensemble du du tissu économique et social, des collectivités, des associations, des fédérations, tout ça. Donc on est sur un fléau

qui par ailleurs, je veux aussi lever ce cette perception qui est parfois biaisée, n'est pas un phénomène franco-français. Nos partenaires européens font les mêmes constats. Le Danemark a vu l'exfiltration il y a deux ou trois semaines de des données d'état civil de 50 % de sa population, c'est-à-dire les vivants mais aussi les morts. Voilà pour le dire crûment. Donc la Pologne a fait l'objet de telles d'attaques similaires, les pays baltes, l'Allemagne et cetera. Donc on est quand même dans un phénomène qui est une évolution globale même si elle se fait à un rythme différent et si comme souvent la France est peut-être a peut-être été le canari dans la mine qui se prend le premier le coup de grisou. Pour venir sur les sur vos questions plus spécifiques monsieur monsieur Cadic,

l'article du Canard enchaîné n'a pas révélé une cyberattaque contre l'Anssi, c'est nous qui l'avons révélée à travers notre point de situation réactive publiée début octobre. Nous avons choisi de la révéler dans cet effort de transparence et il est il est bien entendu que la transparence ça s'applique en premier lieu à soi-même. Pour revenir sur l'attaque elle-même, elle s'est déroulée le 8 le 8 août dans la traînée de d'exploitation d'une vulnérabilité dans l'outil Metabase qui a concerné une dizaine d'administrations dont le ministère de la transition écologique, dont la Dinum, dont l'Anssi. L'attaque que nous avons subie nous n'était pas grave. Elle concernait non pas les systèmes d'information de l'Anssi mais un système de développement externalisé donc il est sous-traitons

son hébergement, nous sous-traitons sa maintenance applicative. Nous l'avons détecté le 10 août parce que c'est un système qui n'était pas supervisé H24 7 jours sur 7 étant non critique. C'est un système qui nous permet de développer un certain nombre de nos outils. Elle a conduit à l'exfiltration des adresses email d'agents de l'Anssi et de 30 partenaires extérieurs qui sont des agents notamment des gendarmes ou des agents des collectivités qui contribuent au co-développement ou à la mise en œuvre conjointe de cet outil. Ils ont tous été notifiés. Nous avons notifié la Cnil qui nous a confirmé qu'il n'y avait n'y avait au demeurant de faire cette notification mais nous l'avons fait par principe et nous avons porté plainte. Donc euh voilà, mais c'est une attaque

parmi d'autres et c'est une attaque que nous avons choisi de révéler au titre de cet effort de transparence qui nous a vu publier un point de situation euh euh au début août au début octobre, pardon, euh concernant l'ensemble des services de l'État. Et cet effort de transparence, évidemment, se limite aux services de l'État, nous n'allons pas révéler les attaques euh que des entreprises nous ont euh notifié euh nous à faire nous efforçons de retenir de de rester dans une logique de secret médical ou de son équivalent. Euh sur la sur la DGFiP, euh nous avons fait ce même travail de transparence publié fin des fin septembre un une analyse détaillée. Analyse conduite sous l'angle des missions de l'ANSSI, c'est-à-dire comprendre le phénomène technique, qu'est-ce qui s'est passé, quelles sont

les défaillances. Il y en a eu un certain nombre, c'était pas une attaque sophistiquée, c'est une attaque que j'ai que j'ai décrite comme persistante parce que ça s'est passé pendant 3 mois euh avec la mobilisation d'une trentaine de comptes compromis. Donc nous avons fait cet état des lieux que j'assimile au travail que fait le bureau enquête et analyse suite à un incident euh dans la dans l'aéronautique, euh on récupère les boîtes noires, on comprend ce qui s'est passé, on en tire les leçons pour éviter que ça se reproduise. Euh il ne nous appartient pas à nous de définir les responsabilités individuelles, ça c'est un autre travail. Il n'est pas exclusif, c'est pas c'est pas les mêmes entités qui le mènent et il faut pas confondre. Là encore, euh c'est un voilà, ce ce que

ce qui transparaît dans euh ce rapport d'analyse, c'est des défaillances techniques, euh des défauts de sécurisation qui sont ceux qu'on retrouve partout ailleurs, hein, c'est pas c'est pas le euh c'est pas propre à la DGFiP, mais c'est une réalité, malheureusement, qui est assez universelle et qui nous faut euh contrer. Euh pour l'État, le principal vecteur pour faire ça, c'est la feuille de route décidée, validée et rendue publique par le Premier ministre à la fin du mois d'avril suite à l'attaque euh de l'ANSSI. Donc c'est ça qui concentre nos efforts aujourd'hui, en plus du travail supplémentaire de gestion opérationnelle et de réactivité pour bloquer plus vite les attaques, qui est celui mis en place depuis la rentrée avec une bascule d'efforts, hein, le

secrétaire général euh mentionnait le fait que nous ajustions en permanence nos priorités, ben nous avons ajusté notre priorité pour mettre plus de monde sur cette menace-là et moins potentiellement sur d'autres menaces. Euh, pour finir sur euh l'affaire des frigos. Euh, petite précision, la vulnérab- l'alerte qui a été publiée par l'Anssi le 12 octobre euh et renouvelée le 13 octobre pour l'étendre à d'autres d'autres éléments, ne signalait pas une vulnérabilité spécifique, ce n'est pas le but d'une alerte de l'Anssi, c'est de signaler une campagne d'attaque en cours. Nous le faisons une vingtaine de fois par an euh pour signaler des mesures urgentes qui doivent être prises par l'ensemble de l'écosystème euh en réaction à une attaque en cours. La vulnérabilité spécifique qui a euh été

employée pour mener cette attaque, il faut être très prudent, j'ai vu circuler, mais là encore ça ren- ça renvoie à cet enjeu de de rigueur et d'objectivité dans la description des choses, euh j'ai vu circuler différentes analyses tierces euh disant euh "Moi, je sais que c'est l'attaque la CVE 2025 quelque chose ou 2026 quelque chose", c'est-à-dire des vulnérabilités rendues publiques par différents chercheurs en cybersécurité au cours des deux années précédentes. Notre analyse aujourd'hui est que ce ne sont pas ces vulnérabilités-là qui ont été exploitées, ce sont des défauts de sécurisation élémentaires, à commencer par l'exposition directe sur Internet d'équipements frigo- frigorifiques et leur administration sans sécurisation particulière, des mots de passe faibles,

ce genre de choses. Donc des là encore des menaces enfin des vulnérabilités assez classiques. Donc je ne peux m'empêcher de signaler qu'elles font l'objet euh de recommandations depuis 2014, depuis 2014 l'Anssi publie et met à jour un guide sur euh la euh sécurisation des systèmes industriels, dont la première recommandation est de pas les exposer directement sur Internet, euh mais à l'évidence, nos recommandations ne sont pas systématiquement respectées. Euh ce qui est l'occasion pour moi de rappeler, comme vous l'avez appelé euh de vos vœux, monsieur le secrétaire général, la responsa- la respon- la répartition des responsabilités, euh l'Anssi euh ne va pas contraindre, n'a pas de pouvoir aujourd'hui de contrainte euh des supermarchés dans le déploiement de leurs frigos. Euh

nous édictons des des des des règles, nous édict- édictons recommandations, nous éditons aussi ou publions des alertes quand il y a une attaque mais euh à chacun ensuite d'appliquer ses règles, d'aller de de respecter les alertes, de prendre en compte les mesures d'urgence. Pour le dire à l'échelle de l'État, l'ANSSI édicte des règles, les ministères homologuent leur système d'information et font l'état des lieux des des vulnérabilités résiduelles, décident de mettre en service des services des systèmes d'information peuvent faire appel à l'ANSSI si besoin pour auditer tester la sécurité des systèmes d'information qu'ils mettent en œuvre mais sont responsables de leur mise en œuvre. Et à plus forte raison dans le secteur privé hors cadre réglementaire

très spécifique des opérateurs d'importance vitale qui concerne 300 environ entreprises et un petit millier de systèmes d'information au sein de ces entreprises, ce sont pas l'ensemble des systèmes d'information, nous n'avons pas de pouvoir de contrôle aujourd'hui et la responsabilité d'une entreprise, c'est de déployer ses systèmes de manière sécurisée en appliquant ou pas les règles de l'ANSSI mais en faisant en sorte qu'il soit sécurisé. Voilà. Merci beaucoup, je je je vous ai laissé développer mais vous aurez compris que le temps nous est compté. Je vais laisser la parole à Luc Sorieul pour les deux rapporteurs de la mission d'information sur la sur la de la commission sur la résilience rapidement, ensuite une réponse et puis je passerai à des séries de cinq questions

pour qu'on essaie d'avancer rapidement. Merci. Merci monsieur le président, monsieur le secrétaire général Marie-Arlette Carlotti et moi-même travaillons sur un rapport consacré à la résilience et la défense opérationnelle du du territoire et dans ce cadre nous avons eu l'occasion de d'auditionner monsieur Xavier Brunetière donc pour mes collègues directeur de la protection et de la sécurité de l'État au SGDSN ainsi que des associations de d'élus et de nombreux acteurs de la société civile. Le constat à ce stade qui s'impose à nous est que les élus et la population ne se sentent pas suffisamment informés des enjeux liés à la résilience et à la préparation de crise et encore moins associés à cette préparation. Le guide tous responsables a eu une diffusion

confidentielle et récemment la journée de résilience qui est a eu lieu donc le le 13 octobre a eu un impact médiatique très restreint. Ne serait-il pas important que le SGDSN communique davantage autour des travaux menés au sein de l'administration sur ce sujet et qu'il s'agisse de l'exercice Orion dont vous avez dit un mot Orion 2026, des stades de défense ou de la stratégie nationale de résilience. Le SNR ne mériterait-elle pas la SNR ne mériterait-elle pas d'être publiée ou à minima d'être communiqué aux parlementaires. Mais par ailleurs, on voit que de nombreux pays européens se sont engagés dans un ensemble d'actions visant à associer étroitement la population à ces sujets, ne serait-il pas utile de nous en ? Je vous remercie.

Ouais, je pose la question de manière honnête ou ? Si ça dure 10 secondes, ça va. Ça va durer 10 secondes. Donc il y a eu une expérimentation qui a été menée en 2025 dans la zone de défense ouest consistant à faire assurer la surveillance des points d'importance vitale par des réservistes. Est-ce que vous pouvez nous donner le bilan de cette de cette ? Je vous remercie. Je vous en prie. Très rapidement monsieur le président, je partage intégralement vos remarques et votre frustration si je puis le dire. Euh [grognement] et donc tout tout tout ce que vous dites sur le besoin de communication nous le partageons au SGDSN intégralement. Mon constat, c'est que dans l'année qui vient de s'écouler, nous avons beaucoup publié. Et nous avons beaucoup communiqué. J'ai passé beaucoup de temps

dans des déplacements en région pour aller au-delà de notre public habituel, faire des conférences y compris publiques, sensibiliser des maires, sensibiliser les préfets. Nous avons pris contact avec l'ensemble des entreprises, avec les représentants du MEDEF, avec les syndicats et et donc nous avons entièrement partagé votre constat qui consiste à faire sortir les sujets de sécurité nationale et de résilience du petit périmètre des seuls acteurs de l'État central qui ont cette responsabilité directe pour les raisons exactes que vous définissez, c'est-à-dire que nous ne serons pas au rendez-vous de la résilience et de la sécurité nationale si nous ne sommes pas capables d'embarquer l'intégralité de la société civile et in fine chacun des des des des de de nos compatriotes. Ce

que je constate, c'est que euh euh c'est une œuvre difficile, cette œuvre de sensibilisation. Nous avons publié le 8 juillet euh deux documents complets qui font le point sur l'intégralité des décisions prises par le gouvernement euh sur le comité interministériel de la résilience nationale et la publication d'un petit mémento sur la défense et la sécurité nationale. Vous l'avez dit, monsieur le sénateur, nous avons publié le guide Tous responsables. Nous en faisons la promotion partout où je vais. Euh mais euh je dirais que aujourd'hui euh nous avons besoin de vous euh pour faire en sorte que euh notre voix soit davantage entendue. Je constate malheureusement que dans bien des cas, euh nous commençons à préparer collectivement à partir du moment où

nous avons vécu la crise. Notre enjeu, comme vous le dites, c'est d'arriver à communiquer de façon suffisamment large, précise, technique, non anxiogène sur la préparation et il y a énormément de choses qui nous rendent optimistes sur la préparation et le durcissement du territoire national. Euh et je ne peux que partager votre volonté et votre souci de communication croissante. Nous nous y employons avec les moyens qui sont les nôtres. Euh nous avons besoin de relais euh et en particulier euh dans les territoires. Euh nous avons effectivement, euh vous l'avez dit euh dans le cadre d'Orion 26, euh pris le parti euh de faire des expérimentations euh territorialisées, locales. Euh c'est vrai en particulier pour les réserves. Euh et nous sommes en train euh de euh à partir de ces de ces

expériences en particulier pour la zone ouest sur la question de la dynamisation et de la sanitarisation des réserves de répliquer ce modèle là dans notre dispositif de gouvernance et de pilotage des réserves sur toute la France. De la même façon, nous avons demandé avec le ministre de l'Intérieur à ce que l'ensemble des préfets de zone puisse organiser des exercices de sécurité nationale dans les semaines et les mois qui viennent. Le ministre de l'Intérieur d'ailleurs a communiqué publiquement après le comité des préfets de zone sur le sujet et à partir de ces exercices là, il y a une mutualisation des bonnes pratiques entre les différentes zones de défense qui est au cœur de nos activités en ce moment. Merci beaucoup. On passe maintenant à la série des questions une minute une question

et donc une série de 5 et je commence avec Ludovic et Merci monsieur le président monsieur le secrétaire général, mesdames et messieurs directeurs et directrices, mes chers collègues, vous le savez comme moi la la résolution de problèmes sécuritaires sur le territoire national passe aussi par l'anticipation de ce qui se passe au-delà de nos frontières et bien que la causalité en matière d'ingérence ne soit pas officiellement établie, les violences commises en France ce weekend par certains groupes se se réclamant de la mouvance des Black Blocs constituent un défi récurrent pour nos forces de l'ordre. Au-delà de la gestion de ces violences sur le terrain, la question de leur prévention et de la préparation de l'État se pose. Nous devons mieux détecter les prémices d'actions

violentes et mieux comprendre les réseaux qui se forment afin de mieux identifier les individus en amont de leurs exactions. Les nouvelles technologies, vous le savez comme moi même mieux que moi offrent aujourd'hui les capacités considérables en matière d'analyse de données, d'utilisation d'intelligence artificielle, vous l'avez dit monsieur le secrétaire général avec l'utilisation de nouveaux modèles et je j'en me réjouis de détection des signaux faibles et d'exploitation de renseignement numérique. Elles pourraient notamment permettre d'analyser les communications accessibles, de mieux cartographier les réseaux de coordination et ce dans le cadre légal applicable peut-être trop restreint mais nous sommes là pour y travailler de mieux exploiter les informations ou

la désinformation parfois issues de moyens de surveillance et de renseignement. Ma question s'adresse donc conjointement à vos trois entités. Quels sont aujourd'hui les moyens technologiques et opérationnels dont dispose l'État pour agir à la source de ces phénomènes, en particulier pour mieux anticiper les actions violentes organisées sur les réseaux sociaux et les canaux de ? Dans un second temps, quels sont les obstacles techniques, juridiques et organisationnels qui limitent aujourd'hui l'utilisation de ces ? Je vous remercie. Merci beaucoup. Roger Karoutchi. Bon, moi ce sera très bref. Monsieur le secrétaire général, le ministère de l'Intérieur, dès lundi, a affirmé que les événements de ce weekend avaient été en partie liés à des interférences de l'Iran, de l'Algérie, de la Russie.

Est-ce que vous confirmez ce ? Et qu'est-ce que vous avez fait pour contrecarrer ces ? Merci. Hélène Conway-Mouret. Oui, monsieur le président. [raclement de gorge] Je vous emmener un un petit peu à à l'étranger. La stratégie nationale de lutte contre les manipulations de l'information de 2026-2030 prévoit l'intégration du réseau diplomatique et militaire au dispositif de veille de direct de détection, pardon, et de caractérisation des ingérences numériques étrangères. Donc, j'aimerais savoir comment cette coopération s'est traduite avec nos ambassades, notamment dans les pays où la France est particulièrement exposée à des campagnes de désinformation, et comment nous pouvons protéger nos communautés françaises ciblées par ces campagnes. Et euh un un point sur les élections euh

consulaires qui ont eu lieu en mai 2026. Nous avions un travail assez conséquent avec la DFAE quant à aux difficultés d'authentification et de réception des codes de de vote en ligne qui a été euh réalisé, mais par contre, nous n'avons aucune information dysfonctionnements techniques, de tentatives de cyberattaques, d'intrusions ou de manipulations susceptibles d'affecter la disponibilité ou l'intégrité euh du scrutin. Alors, est-ce que vous avez eu des tentatives de ? Et euh si c'est le cas, que mettez-vous en place pour les élections législatives de 2027 puisque vous savez qu'à l'étranger, 85 % des Français votent par Internet. Merci.

Merci Hélène. Guillaume Chevrollier. Merci monsieur le président, monsieur le secrétaire général. Dans dans le contexte de de guerre hybride et de conflit informationnel, vous l'avez dit, la défense c'est pas uniquement une affaire de professionnel, il faut de l'engagement. Vous avez parlé des des différentes réserves. Nous représentons les les élus locaux, donc quelle place les élus locaux doivent avoir selon vous dans dans la sécurité ? Et deuxième question, s'agissant de de Viginum, est-ce que vous avez les les moyens d'agir auprès des plateformes et quels moyens vous manquent-ils en la ? Merci et pour terminer cette série de cinq, Loïc Kervran. Merci monsieur le monsieur le président, monsieur le secrétaire général, madame

la directrice, monsieur le directeur. Je voulais vous interroger sur un principe qui est très clair en droit mais qui est pourtant assez massivement ignoré en pratique, qui est celui de la minimisation des données. Donc ce principe qui veut que une administration, une collectivité ne demande et ne conserve que la donnée dont elle a réellement besoin. Et ce que je voudrais savoir si c'est si c'est un volet, c'est sans doute plutôt pour le directeur de l'Anssi, de l'analyse que vous faites a posteriori des attaques qui ont eu lieu. Est-ce que ce principe a été respecté, est-ce que les règles du droit ont été respectées et ce que éventuellement vous faites des signalements au titre par exemple de l'article 40 lorsque vous voyez que les principes de droit sur ce point

particulier, moi je pense à l'attaque de Pôle emploi où il y a des données qui dataient de plus 20 ans qui ont été exposées. Si vous faites des signalements lorsque ces principes de droit ne sont pas respectés. Je vous laisse prendre la parole. On va répondre si vous en êtes d'accord monsieur le président à trois voix. Peut-être juste peut-être deux deux ou trois précisions de de mon point de vue avant de de demander à Anne-Sophie d'Iver de de répondre plus précisément. La première chose, je le redis ici, euh tout ce qui se passe sur les réseaux sociaux ou en terme de désinformation ou de manipulation de l'information ne relève pas nécessairement des ingérences numériques étrangères. Une ingérence numérique étrangère est définie en droit par quatre critères

dont un critère d'extranéité euh qui implique des acteurs étrangers étatiques ou non étatiques. Tout ce qui se passe sur nos réseaux sociaux n'est pas substantiellement, nécessairement une ingérence numérique étrangère. Et donc euh l'essentiel des questions que vous nous posez ne relève pas des INE, monsieur le sénateur. Et donc il y a des questions de régulation des plateformes, de régulation des réseaux sociaux, y compris de la violence en ligne, qui occupent euh les administrations, qui occupent essentiellement euh d'autres ministères que nous, dont la qui ont le cœur de la compétence. Là où nous, SGDSN, nous pouvons avoir un rôle, il est plutôt dans la coordination, c'est-à-dire notre rôle, comme vous l'avez dit, monsieur le président, de préparation des conseils

restreints de défense et de sécurité nationale, c'est-à-dire de veiller à ce que cette coordination soit faite. La compétence, au fond, euh notamment sur la question de la régulation de la violence en ligne, relève davantage du ministère de l'Intérieur, du ministère de la Culture euh et de de ces ministères-là. Tout encore une fois, nous, notre mandat dans le champ de la sécurité nationale sur la question des manipulations de l'information, il est défini en droit par les INE et par un critère d'extranéité euh qui porte euh effectivement la possibilité, enfin la la nécessité d'un acteur étatique ou non étatique étranger mettant à l'origine des des manœuvres. Euh monsieur le le sénateur, euh pour répondre à votre question, euh ce que nous constatons d'une manière générale,

euh au moment des mouvements sociaux, et c'est vrai de tous les mouvements sociaux ou de tous les mouvements qui se passent sur le territoire national, et maintenant nous commençons, depuis la création de Viginum en 2021, à avoir une expérience euh assez longue, finalement, euh de la façon dont des mouvements euh d'opinion sur les réseaux sociaux se développent et de l'interaction entre le domestique et le national et l'étranger. Ce nous Ce que nous constatons aujourd'hui à date sur l'ensemble encore une fois sur une longue période de de ces mouvements, c'est que la principale dynamique, [grognement] elle est d'abord nationale et endogène. Et c'est donc d'abord quelque chose de national. Là où il y a et nous le constatons aussi et les deux morceaux de de de ma phrase vont en même temps,

nous constatons que il y a un caractère opportuniste d'un certain nombre d'acteurs de la menace d'ingérence numérique étrangère qui viennent se greffer, se surajouter comme une espèce de de surcrise à un mouvement endogène et national et domestique. Et donc il y a il y a eu et je n'ai aucun doute qu'il y aura encore des acteurs de la menace informationnelle étrangère, des acteurs de des ingérences numériques étrangères, des modes opératoires informationnels que Viginum documente et suit qui de façon opportuniste vont chercher à venir surajouter de la polarisation à un débat déjà polarisé dans notre débat numérique. La question qui nous est posée et elle est très compliquée techniquement à objectiver, elle

consiste à savoir mesurer quelle est la part de surajout dans la visibilité ou dans l'impact en terme de d'opinion que peut avoir la mobilisation d'infrastructures numériques inauthentiques d'acteurs de la menace étrangère sur une un mouvement d'opinion et d'information numérique qui est fondamentalement domestique et nationale. Et et cette cette part, ce qu'on voit aujourd'hui d'une manière générale, c'est que elle est J'hésite à mettre un adjectif parce que tout tout tout tout est susceptible d'être interprété mais ce que nous constatons en général, c'est que la la cette ces mouvements-là sont d'abord domestiques avec un surajout qui n'est pas énorme. Il y a des tentatives et la question de la mesure de l'impact est très

compliquée à faire, pour savoir concrètement si vous avez un énorme mouvement national et domestique avec une petite part de surajout opportuniste étranger, c'est plutôt ça qu'on qu'on observe aujourd'hui, mais il y a une forme de mélange et on constate que d'une manière générale ça me permet de faire un point important dans les stratégies notamment en période électorale mais pas que que les acteurs étrangers de la menace informationnelle mettent en œuvre, on pense souvent parce qu'on pense à partir du concept de désinformation au fait que ça ça va chercher à avantager ou à nuire à un parti ou un candidat ce que nous constatons nous techniquement c'est que la plupart du temps ce que ça cherche à faire c'est à polariser, à amplifier le la confusion plutôt que c'est donc on est plutôt dans

le domaine de la confusion et du chaos que dans le domaine de la propagande classique et c'est plutôt cette nature opportuniste de d'acteurs étrangers qui viennent se greffer et se surajouter à des à des éléments nationaux et qui sont qui ont une dynamique profondément domestique. Peut-être dernier point et je laisserai ensuite mes mes deux collègues compléter sur vous posez monsieur le sénateur la question des élus locaux je dirais centrale fondamentale. Je n'ai qu'une conviction c'est que en terme de résilience et de sécurité nationale nous ne serons pas au rendez-vous du scénario central de la revue nationale stratégique si les seuls à s'occuper de ce scénario central c'est le SGDSN.

Et donc nous avons besoin de tous les ministères, nous avons besoin de tous les services déconcentrés de l'État et nous avons besoin des collectivités territoriales, nous avons besoin des acteurs et des partenaires sociaux et nous avons besoin in fine des entreprises. Et donc territorialement, je pense que le vrai le cœur comme comme souvent dans notre organisation c'est le couple préfet maire qui est au cœur de la du durcissement du territoire national, ça fait partie des choses que nous SGDSN nous faisons, on sort un peu de nous-mêmes en cherchant à déclassifier, à communiquer davantage, à aller euh les collectivités territoriales, euh mais nous avons besoin de construire un vrai partenariat entre les services de l'État, notamment territoriaux, déconcentrés, et les collectivités

territoriales, et et je pense en particulier aux maires, euh dans cette construction d'un euh d'un État plus résilient de notre société face au durcissement des des menaces. Peut-être Anne-Sophie sur quelques sujets, y compris sur la partie euh euh informationnelle étrangère et l'articulation avec le le Quai d'Orsay. Euh mesdames et messieurs les sénateurs, donc euh effectivement, dans la stratégie nationale de lutte contre les les manipulations de l'information, qui a donc été coordonnée par le SGDSN en lien avec euh de nombreuses entités au sein de l'État, auprès des parlementaires, mais aussi auprès de la société civile, euh une des euh priorités est notamment le renforcement des capacités nationales de détection et de caractérisation. Donc en fait, nous

avons euh euh à l'occasion de euh cette stratégie nationale, renforcé nos mécanismes de coopération au niveau interministériel, qui existaient largement déjà, euh pour permettre d'avoir une meilleure action en terme de détection, caractérisation, mais aussi d'agir en terme de riposte contre ces acteurs malveillants. Euh donc aujourd'hui, en fait, euh nous avons une intrication étroite avec le Quai d'Orsay pour agir à deux niveaux. Euh le Quai d'Orsay euh opère un travail de veille qui euh intègre notamment des éléments qui vont être issus des postes euh et des ambassades. Euh du côté de Viginum, nous menons donc des actions de euh caractérisation, de détection et de caractérisation des

ingérences numériques étrangères, qui vont viser donc à caractériser des comportements inauthentiques, ainsi que euh des un caractère d'extranéité euh de ces opérations. Et en fait, cette double action nous permet en fait d'agir collectivement pour imposer à un coût à nos adversaires, qui vont être par exemple en exposant euh réputationnellement euh des acteurs, comme nous l'avons fait à plusieurs reprises avec le Quai d'Orsay et en dévoilant des modes opératoires informationnels étrangers qui ont mené des actions dans notre débat public. Euh, ça peut se faire aussi par le biais d'actions diplomatiques qui vont être menées par le Quai d'Orsay. Et enfin, ça peut être aussi par le biais de mise sous sanction d'individus ou d'organisations affiliées

à des dispositifs étrangers, nous l'avons fait à plusieurs reprises avec le Quai d'Orsay. Euh, s'agissant maintenant de la deuxième question sur le sujet des des plateformes. En vérité, aujourd'hui, une tendance majeure de l'évolution de la menace est une intrication étroite et croissante de la menace d'ingérence numérique étrangère avec le modèle même des plateformes en ligne, ainsi que les nouveaux usages technologiques qui rendent cette menace de facto systémique. Euh, pour donner un peu plus de corps à mon propos, s'agissant de l'intelligence artificielle, ce que nous observons, c'est que l'intelligence artificielle

génère un saut quantitatif et qualitatif majeur des opérations d'ingérence numérique étrangère. Aujourd'hui, la plupart des modes opératoires informationnels que nous suivons utilisent largement les outils dits à générative pour produire du contenu de manière à soutenir leur narratif, que ce soit dans un objectif de mensonge par la création de contenu hyperréaliste, dans un objectif d'amplification avec une publication en masse de contenu à un rythme très rapide sur de nombreuses plateformes et en plusieurs langues, mais aussi dans un objectif de persuasion, c'est ce que nous observons beaucoup plus que de la création de faux, d'avoir donc des des visuels qui vont appuyer un narratif pour appuyer notamment sur une corde

émotionnelle, par exemple, générer plus d'engagement. Par ailleurs, l'évolution aussi des usages en matière d'IA crée de nouvelles surfaces d'attaque. Comme monsieur le secrétaire général vous vous vous vous l'exposez, euh nous nous intéressons particulièrement à euh l'usage des modèles et des chatbots, donc des agents conversationnels d'IA, comme des vecteurs potentiels euh d'ingérence numérique étrangère euh via des manipulations en boîte noire, c'est-à-dire par des acteurs externes, ou des manipulations en boîte blanche, c'est-à-dire par des biais euh inscrits par nature dans les modèles eux-mêmes. La deuxième chose, et c'est une tendance qui est très préoccupante, c'est la la croissance des ingérences numériques

étrangères à vocation lucrative. Nous l'avons vu dans le cas des municipales, mais c'est un phénomène encore plus massif euh où nous assistons aujourd'hui à l'émergence d'une économie alternative dans des pays d'Afrique de l'Ouest, d'Asie du Sud-Est avec de nouveaux euh acteurs créateurs de contenu euh dont en fait le modèle économique consiste à diffuser du contenu de manipulation de l'information à destination d'audiences françaises non pas a priori dans un dans dans un objectif de déstabilisation, encore qu'on ne peut pas l'exclure euh mais en tout cas dans un but qui est principalement lucratif en exploitant notamment les fonctionnalités de monétisation euh offertes par les plateformes qui cherchent à attirer des

créateurs et euh via l'activité et l'engagement. Et donc aujourd'hui, en fait, plus largement, ça génère une forme de marchandisation de notre débat public qui est extrêmement préoccupant, où finalement la valeur publicitaire prime sur la fiabilité du contenu. Et ça invite plus largement à questionner aussi la compatibilité du modèle de ces plateformes avec notre modèle de démocratie euh participative et délibérative. Donc euh le ce tout ça nous invite à considérer depuis un petit moment maintenant ces plateformes comme des acteurs finalement de cette menace et non pas comme de simples vecteurs. Donc aujourd'hui sur sur les plateformes, nous agissons à trois niveaux. D'une part, nous menons des coopérations techniques avec la plupart d'entre elles, puisque nous avons une

définition technique de la menace et euh pouvons leur signaler euh des des des des des des comptes inauthentiques notamment. Euh deuxièmement, nous agissons en terme d'évaluation des risques systémiques. Nous avons structuré donc un centre d'excellence en intelligence artificielle qui nous permet notamment de mener des évaluations s'agissant notamment euh des modèles d'IA. Enfin, nous agissons au niveau de la régulation en lien notamment avec l'Arcom euh pour pouvoir euh faire respecter cette régulation et renforcer cette régulation. Et donc il y a un travail aussi en cours sur les lignes directrices du DSA en contexte électoral pour pouvoir renforcer justement la responsabilité de ces plateformes face euh aux enjeux démocratiques euh à venir. Sur sur sur les deux les deux questions,

donc sur le neuf questions. Je Alors je je vais j'avais j'avais Madame Connemara sur les euh sur le les élections par internet des Français de l'étranger, euh c'est un sujet un sujet qui est suivi de près, vous le savez, euh et sur lequel j'ai un peu d'historique puisque j'étais euh associé dans mes précédentes fonctions à la décision douloureuse en 2017 de renoncer au vote par internet compte tenu de la vulnérabilité et du niveau de la menace qui ne permettait pas de de garantir la la sincérité du scrutin. Nous sommes sortis de cette euh phase de difficulté. Nous avons aujourd'hui un système qui est euh suivi de très près par l'ANSSI, qui fonctionne bien, qui est sécurisé. Et donc j'étais à vos côtés lors du déploiement des élections consulaires cette année au titre du bureau de vote

électronique. Euh nous n'avons pas constaté de tentatives d'attaques autres que le seul bruit de fond d'internet habituel et aucune tentative d'attaque n'a connu de succès ou n'a remis en cause le bon déroulement du du scrutin. Donc c'est euh à ce titre-là que, tout comme d'autres membres du bureau de vote électronique, nous avons conclu à la sincérité du scrutin et au bon déroulement de ce scrutin. Et on peut s'en féliciter. Euh et c'est le fruit d'un travail de longue haleine, hein, au demeurant, des équipes du du du Quai d'Orsay autant que de l'ensemble des participants. Monsieur Kervensur sur la question la minimisation des données Alors je je je ne me prononcerai pas en droit à la place de la CNIL qui est l'autorité de contrôle légitime en matière de respect du RGPD en

l'occurrence qui s'est saisi de l'ensemble des exemples que vous avez énoncé donc c'est à eux et à cette commission indépendante qu'il appartiendra de se prononcer. Évidemment les agents de l'ANSSI et moi-même sommes tous soumis à l'article 40 du code de procédure pénale et nous le respectons par construction. Sur la minimisation des données quelques éléments quand même. Évidemment ça fait partie des enjeux et des bonnes pratiques à mettre en œuvre et je pense sont rappelées dans le guide très complet que nous avons publié hier en complément de tous nos retours d'expérience spécifiques sur différentes attaques récentes. Nous avons republié toutes les recettes de cuisine détaillées pour protéger mieux les données et ça fait partie ça ne suffit pas mais ça en fait partie. Euh

il faut y voir aussi le fruit enfin c'est c'est pas c'est pas par la le fait de conserver ce genre de données ou de les rendre accessible est aussi un effet de bord de d'une intention légitime de faciliter la vie de nos concitoyens dans leurs démarches numériques. Nos concitoyens ont horreur et ils ont bien raison qu'on leur redemande quatre fois les mêmes pièces justificatives les mêmes informations et cetera. Ça répondre à ça répondre à cette exigence légitime ça veut dire que des données sont accessibles de manière croisée entre administration. Ça fait partie de nos facteurs de vulnérabilité tout comme le fait que les systèmes inter attaqués récemment sont des systèmes notamment de relation avec les usagers. À la DGFIP ce qui a été attaqué ce n'est pas le système qui

traite la collecte des impôts. C'est l'application i-contact de relation avec les usagers quand on veut demander de être en contact avec un conseiller pour remplir mieux sa déclaration savoir où on en est et cetera et cetera. Mais cette application oui a accès au revenu fiscal de référence pour faciliter l'interaction entre le conseiller de la DGFIP et euh et l'usager. Donc c'est ça qui est attaqué qui n'était pas attaqué auparavant nécessairement parce que on est dans une nouvelle nouvelle dynamique de là encore d'enjeu réputationnel. Je ferai aussi le parallèle avec l'ANTS. On a beaucoup dit que avaient été volés à l'ANTS les documents d'identité de nos concitoyens, c'est faux. Ce qui a été volé ce sont leurs adresses email adresses potentiellement courrier nom prénom sont des données de

base qui ont été volées dans le portail de relation client de l'ANTS, c'est-à-dire l'équivalent ANTS du suivi de vos livraisons de colis chez tout livreur en ligne qui vous permet de savoir où en est votre demande de carte d'identité. Donc ce sont ces systèmes-là qui n'étaient pas attaqués auparavant qui sont vulnérables mais c'est pas forcément nouveau qui sont aujourd'hui attaqués et qui ont accès à des données par construction pour faciliter la vie de nos concitoyens. Donc c'est un nouvel équilibre qui est à trouver en la matière. Merci beaucoup, je passe à la série suivante et j'insiste nouveau excusez-moi d'être lourd mais sur la rapidité. Jérôme Darasse, ensuite Michel Grégoire. Merci monsieur le président, je serai très bref. Vous avez monsieur le secrétaire général dans vos propos

introductifs rappelé la nécessaire hiérarchisation des priorités ce qui est bien normal en cette période budgétaire. L'une des priorités sinon la priorité c'est de garantir le bon fonctionnement de nos institutions en matière d'infrastructure interministérielle. Que pouvez-vous pouvez-vous nous dire du déploiement des systèmes d'information classifiés qui ont pris du retard et du nouveau système de détection destiné à se substituer au dispositif existant qui approche de ses limites ? Michel Grégoire. Monsieur le secrétaire général, face à la multiplication des attaques hybrides qui combinent cyber cyberattaques, désinformations à ingérence étrangère, sabotage et déstabilisation de nos institutions,

comment l'Anssi travaille-t-elle avec les collectivités territoriales, les services publics et les entreprises pour anticiper ces menaces et protéger nos infrastructures essentielles. De plus, à l'heure que où les administrations recourent de manière croissante à des presta des prestataires privés pour développer, héberger et maintenir leur système informatique, cette externalisation ne risque-t-elle pas d'affaiblir la maîtrise technique de l'État sur ses propres infrastructures et d'accroître sa dépendance à des fournisseurs dont il ne contrôle pas toujours les choix technologiques. Ne faudrait-il pas engager une politique de réinternalisation de certaines compétences informatiques stratégiques, notamment dans les administrations centrales et les

établissements ? Merci. Ensuite, Akim El Oulili, ce sera ensuite Nathalie Delattre. [raclement de gorge] Comme le temps nous presse, demain je vais faire très court, mais moi effectivement, vous avez parlé justement des des des enjeux aujourd'hui sur les pour risques liés au contenu généré par l'intelligence artificielle et aux campagnes coordonnées sur les réseaux sociaux. Alors ma question, puisque nous sommes dans la période budgétaire, c'est les moyens actuels permettent-ils effectivement de répondre rapidement à une campagne de grande ampleur comme nous sommes en train d'en ? Merci Akim. Nathalie Delattre. Oui, merci président. J'avais eu l'occasion de de travailler sur les moyens de l'Anssi comme rapporteur pour avis de la commission des lois. Vous m'aviez

alerté, monsieur Strubel, sur vos difficultés de recrutement et de fidélisation de vos personnels qualifiés face au privé avec un un turnover de près de 21 % en 2023. Je vous avais à cette occasion parlé de la nécessité d'avancer aussi sur le statut des hackers éthiques qui pouvaient vous épauler et vous m'aviez parlé d'une réserve citoyenne. Sur ces différents paramètres, où en ? Je pense que c'est important que que nous sachions, car comment exercer pleinement votre autorité et votre accompagnement si vous êtes confrontés à ces tensions ? Merci. Merci beaucoup. Et pour terminer, la 5e question, Élisabeth Doineau. Oui, merci monsieur le président. Merci monsieur le secrétaire général. Merci madame la directrice, monsieur le directeur. Vous l'avez montré par vos

communications, vos explications, vos réponses, combien les attaques étaient de plus en plus sophistiquées et sans doute entraînées par une IA débridée. Donc, moi ma seule question, c'est quelles sont vos interventions ou votre capacité d'intervention auprès de tout le domaine ? Parce que on sait que sur la santé, il y a beaucoup de de cyberattaques et c'est pas les données, c'est aussi les stocks stratégiques, c'est aussi les hôpitaux, les cliniques et est-ce que vous travaillez avec l'ensemble des fédérations, avec le ministère de la ? C'est là ma seule question. Je vous en prie. [grognement] Je vais je vais du coup laisser surtout Vincent et Anne-Sophie répondre. Juste un point, monsieur le sénateur, sur les les systèmes d'information classifiés.

D'ailleurs, peut-être que le le DG de l'ANSSI pourra en dire un mot aussi. Donc, c'est un travail conjoint qui est mené par LOGIC, qui est un des une des entités du du SGDSN. D'abord, la première chose à dire quand même, il faut quand même aussi dire parfois quand ça marche, c'est que l'ensemble des dispositifs d'information classifiée interministérielle dont nous avons la charge fonctionne avec un taux de disponibilité et un taux d'efficacité remarquable. Donc, ISIS sur l'ensemble des de la messagerie classifiée secret, HORUS sur la visioconférence classifiée secret et OSIRIS sur l'ensemble de la téléphonie classifiée secret avec des avancées qui ont été réalisées dernièrement en terme d'interconnexion de l'ensemble de ces messageries et de ces dispositifs de

gestion de l'information classifiée interministérielle avec les les systèmes d'information classifiée du ministère des armées qui, comme vous le savez, ne relèvent pas du périmètre du SGDSN et de LOGIC, mais mais il y a toute une série d'interconnexions qui ont été réalisées aujourd'hui et qui à la fois en administration centrale, dans les territoires avec les préfets et dans les ambassades nous permet d'avoir aujourd'hui un dispositif robuste, résilient de gestion de l'information classifiée de façon interministérielle et c'est l'un des des grands succès. L'enjeu aujourd'hui, il est de préparer la prochaine génération et qui nous ramène à à des questions sur lesquelles je pense on ne rentrera pas trop dans les détails ici, mais qui relèvent des prochaines générations de d'outils de

cryptographie et et des produits de sécurité à usage gouvernemental sur lesquels Logique, l'ANSSI et la DGA travaillent ensemble pour avoir une feuille de route qui nous permet de rester à ce niveau de protection de nos informations classifiées. Peut-être Sur C'est sur sur ce sujet des des systèmes classifiés, c'est peut-être le seul domaine sur lequel je suis serein face à la menace actuelle et future et nous avons cette chance énorme et nous sommes un des rares pays dans le monde à avoir notre capacité autonome à développer nos moyens de protection des informations classifiées y compris dans le domaine numérique avec un niveau de robustesse et de suivi par l'État extrêmement euh intense. Euh

j'enchaîne rapidement sur les sur les différents points sur le la logique d'externalisation et la les questions de maîtrise que cela pose. Ce ce sujet, il est posé à l'échelle de l'ensemble de l'État et sur les sujets numériques depuis déjà quelques quelques années, je pense, en en lien aussi avec les réflexions sur le recours à des cabinets de conseil notamment et avec une un travail de réinternalisation de compétences qui est mené qui est plus de la responsabilité de la DINUM actuelle, de la future Ariane et qui cherche à trouver un équilibre forcément subtil entre cette nécessaire réinternalisation de compétences et le fait que cette réinternalisation de compétences ne s'accompagne pas non plus de baisse de commande auprès de de la filière numérique française. Donc

c'est ce travail-là qui qui est en cours et qui est plutôt de la responsabilité de la DINUM. L'ANSSI intervient sur ce sujet-là en avec une logique d'externalisation assumée et de recours au partenaire au secteur privé quand il s'agit de sécuriser des entreprises, mais ça fait écho à ce que je disais sur les frigos Euh, c'est normal qu'une entreprise se tourne vers une autre entreprise pour sécuriser ses frigos, ses infrastructures, et cetera. Le rôle de l'ANSSI en la matière n'est pas de faire à la place du privé. Par contre, il est d'encadrer et de d'éclairer les choix en matière de de de recours à des prestataires privés. Et nous avons depuis plus de 10 ans une large gamme de certifications, notamment de prestataires, au-delà de la certification des solutions elles-mêmes,

qui fait que l'ANSSI a un catalogue de prestataires privés recommandés, sur lequel nous pouvons garantir leurs compétences, la confiance qu'on peut leur accorder, dans notamment les traitements des données qu'on leur confie. Et donc, c'est très bien comme ça et ça permet euh une Là encore, la la la France a une énorme chance d'avoir une filière industrielle de cybersécurité extrêmement euh développée, extrêmement compétente. Et nous nous avons ce rôle d'accompagnement ou d'être le tiers de confiance qui permet d'attester de la des des compétences. Euh Sur sur les enjeux de de recrutement euh Alors, je suis avec attention tout ce évidemment le le le taux de le turnover, pour le dire en mauvais français, des équipes de l'ANSSI. Il ne me choque pas euh le fait qu'en moyenne des agents de

l'ANSSI restent au sein de l'ANSSI pendant 5 ans. Euh, ça permet euh d'amortir leur formation de quelque part, tout en tout en ayant à Là encore, une dynamisation des effectifs et surtout un effet de bord dont je mesure euh quotidiennement le le les bénéfices, qui est que l'ensemble de du monde de la cybersécurité en France est irrigué par euh des gens qui se sont formés en partie à l'ANSSI parce qu'ils ont travaillé quelques années à l'ANSSI, qu'ils y ont acquis des réflexes, ils ont acquis une connaissance qu'on acquiert nulle part ailleurs parce qu'on est confronté à des niveaux de menace et à de la menace notamment stratégique que seule l'ANSSI traite par nature. Et donc, aujourd'hui, nous avons cette énorme chance euh dans l'ensemble de nos opérateurs d'importance vitale, dans

l'ensemble de notre industrie, dans l'ensemble de nos administrations, de retrouver des gens qui euh quelque part connaissent notre fonctionnement, parlent le même langage, avec lesquels l'interaction est très naturelle. Et ça fait parfois toute la différence quand il s'agit de gérer une crise euh dans la nuit de samedi à dimanche à 3h du matin. Euh et de parler avec des gens qu'on Voilà, qui qui qui parlent avec lesquels ça, ça marche naturellement. Les hackers éthiques sont aussi dans cette, dans cette équation assez, assez large. Euh, nous avons conduit un certain nombre de, d'échanges avec euh, des représentants, alors la, la, il y a pas, il y a pas une fédération des hackers éthiques, mais euh, mais avec ceux que nous identifions pour, pour voir comment mieux travailler

ensemble, sachant qu'il existe déjà des dispositifs pour travailler efficacement avec des hackers éthiques. Je mentionnais tout à l'heure l'article 40, le seul cas dans lequel nous sommes dégagés de la responsabilité ou de la nécessité d'appliquer l'article 40, c'est quand un hacker éthique nous fait un signalement responsable d'une vulnérabilité et que potentiellement ce hacker éthique, pour identifier la vulnérabilité, est allé un peu plus loin que la loi ne le permet, euh, mais de bonne foi pour trouver la vulnérabilité. Dans ce cas-là, nous protégeons son identité, mais nous avons aussi des cas de hackers éthiques qui se présentent comme hackers éthiques et dont nous découvrons qu'ils sont en parallèle en train d'exploiter la vulnérabilité qu'ils signalent et de

vendre sur le dark web l'ensemble de la base de données qu'ils viennent de, d'aspirer, euh, avant de signaler et d'espérer être protégés. Donc voilà, on a toujours ce, cette recherche de, d'un, d'un juste équilibre entre les, entre les deux, deux, deux. Euh, sur euh, le, le domaine sanitaire, euh, pour, pour le, le, le traiter sous l'angle de la, de la cybersécurité, ça a été notre priorité depuis longtemps. Euh, la précédente grande évolution dans la menace, avant les vols de données, c'était euh, le rançongiciel. Il a touché de plein fouet et de manière très brutale nos hôpitaux. Ça a été notre priorité, ça l'a été quand j'ai pris mes fonctions au début 2023. Je pense que nous nous pouvons nous prévaloir d'un certain succès en la matière à travers la préparation des

hôpitaux, à travers le plan Care qui a été co-élaboré avec le ministère de la Santé pour les, pour équiper les hôpitaux. Nous n'avons plus aujourd'hui ce que nous avons connu, euh, en 2020, 2021, 2022, c'est-à-dire des paralysies d'hôpitaux pendant une longue durée avec un impact sur l'offre de soins. Et ça a été notre priorité. Encore, nous nous, nous, nous gérons des priorités. Donc la priorité dans les hôpitaux, c'est avant tout l'offre de soins. Euh, il reste un énorme chantier sur la protection des données de santé. Mais euh, d'abord on soigne les gens. Euh, et c'est peut-être la, la, la première finalité d'un hôpital. Euh, ce travail, il est aussi, euh, un peu le prototype de ce que nous cherchons à faire dans les secteurs d'activité. Nous avons un travail extrêmement

étroit avec le CERT Santé qui est le prototype des CERT que nous déployons dans les secteurs d'activité dans les régions qui est porté par l'agence du numérique en santé et qui est notre relais auprès de ces très nombreux acteurs de l'écosystème pour parler leur langage aussi pour savoir contextualiser, pour savoir traiter un certain nombre d'incidents, pour savoir nous éclairer aussi sur les réalités du secteur quand il s'agit de traiter un incident et pour donner un exemple très récent, on a parlé récemment des frigos des frigos, il y en a dans les supermarchés mais il y en a énormément aussi dans plein d'autres secteurs et notamment dans le secteur de la santé qui s'agit depuis les laboratoires de recherche jusqu'aux pharmacies qui stockent des vaccins et donc nous avons mené un

travail extrêmement intense et très rapide et très efficace avec le CERT Santé, avec le ministère de la santé, avec l'ensemble des des acteurs de la santé pour nous assurer que ces frigos utilisés, désolé pour le terme un peu trivial, utilisés pour stocker des choses parfois dangereuses, parfois indispensables à la santé de nos concitoyens étaient bien protégés.

Rapidement, je vous en prie. Euh effectivement sur la partie intelligence artificielle, j'ai déjà eu l'occasion de de l'évoquer. Peut-être un point sur effectivement la croissance de ces opérations. Aujourd'hui, ce que nous observons en terme d'état de la menace c'est que la menace elle est non seulement très persistante, elle est protéiforme puisque j'évoquais tout à l'heure la diversification de la menace avec des des opérations à caractère lucratif et elle se professionnalise avec le la comment dire l'émergence aussi d'intermédiaires techniques qui fournissent aussi des opérations ou des services qui vont permettre davantage amplifier ou anonymiser ces opérations. Ce qui fait qu'il y a donc des enjeux à la fois

sur le plan capacitaire et sur le plan technologique face à l'évolution de cette menace. Un mot pour pour terminer là-dessus. Globalement aujourd'hui, euh, nous sommes pleinement préparés et mobilisés pour faire face à à cette évolution de la menace en vue, notamment, du scrutin de l'élection présidentielle dans 6 mois. Euh, puisque nous avons anticipé au cours de l'année 2025 et 2026, euh, un renforcement de notre modèle et de nos capacités permis par l'évolution de notre décret, mais permis aussi par l'allocation de moyens supplémentaires qui nous ont permis de structurer, donc, des capacités avancées d'analyse, de détection, d'évaluation, notamment, des risques systémiques liés aux plateformes et aux modèles d'IA. Euh, et par ailleurs, aussi, en matière de

sensibilisation, puisque nous nous avons lancé une académie de la lutte contre les manipulations de l'information, dont le rôle est de contribuer au renforcement de la résilience démocratique de des citoyens français face à cette menace. Et donc, euh, c'est c'est comment dire, cette préparation que nous avons effectuée en 2025 et 2026 fait que nous sommes aujourd'hui pleinement mobilisés, euh, pour la protection de l'élection présidentielle et nous avons avons d'ores et déjà, donc, ouvert une opération dédiée à la protection du scrutin, qui sera conduite de manière transverse entre, euh, notre bureau, donc, d'analyse de la menace, mais aussi nos équipes en charge du suivi du comportement, euh, des plateformes en ligne. Euh, et donc, nous nous sommes en train d'ores et déjà de

protéger l'élection qui a fait l'objet d'un ciblage massif et précoce, avec des opérations qui sont, à ce stade, grossières, mais euh, qui pour la vigilance doit rester de mise, puisque potentiellement, le niveau de menace pourrait s'intensifier à l'approche du scrutin. Merci beaucoup. Alors, je passe aux quatre dernières questions et on commence avec Jean-Luc Reitzer. Monsieur le président, euh, merci beaucoup, hein, monsieur le secrétaire général, pour toutes ces informations. Euh, concernant, euh, euh, précisément, hein, le rôle des diasporas, enfin, la la situation des diasporas qui sont une cible identifiée, euh, et l'exemple roumain de 2024 l'a montré, hein. Que fait concrètement Viginum pour les 11 circonscriptions de

l'étranger et pour informer nos 1,7 millions de Français inscrits sur les registres, mais en réalité euh de l'ordre de 3 millions. Et par ailleurs, nos consulats, notre enfin, notre réseau consulaire, nos lycées à l'étranger sont-ils dans le périmètre de l'AN de ? Philippe Grosvalet. Merci, président. Nous avons appris récemment qu'un cadre de tout premier plan de Viginum a quitté le service public pour créer sa propre agence de lutte contre les ingérences numériques dont l'actionnaire sera le groupe Havas. Cette nouvelle agence privée ambitionne d'accompagner les entreprises, les ONG et les médias dans la lutte contre les

manipulations de l'information. Au-delà de ce cas particulier, quelles précautions sont prises par l'administration publique pour éviter que les profils qui sont passés par des postes stratégiques ou de direction en son sein ne deviennent volontairement ou non des fragilités extérieures pour la lutte du pays contre les ingérences numériques étrangères. Merci. Annick Girardin. Merci, monsieur le président. Très rapidement, euh monsieur le secrétaire général, vous avez pu, sauf erreur, hein, souligner qu'en qu'en période électorale, intervenir pour dénoncer une manipulation peut influencer le débat, tandis que garder le silence peut la laisser prospérer. Euh comment vous arbitrez entre la nécessité d'informer le citoyen et le risque de donner une une audience supplémentaire à ? Quel

degré de certitude estimez-vous nécessaire pour prendre pour rendre publiquement euh euh pour prendre publiquement la parole, euh notamment lorsque les les les procédés sont établis euh et et comment, et on voit bien à l'approche des des élections, on a bien entendu que c'était très suivi et que les niveaux de menace euh vous en aviez pris en compte, comment vous allez arbitrer le tout dans une tension qui va fortement monter. Et puis juste une petite remarque, il y a pas besoin de réponse pour ça, moi je suis preneur d'un travail sur la vulnérabilité outre-mer parce que j'estime que véritablement là, on a un un vrai danger pour l'ensemble de notre pays. Merci et enfin pour terminer, Franck Gilet. Merci monsieur le président. Euh le projet de loi résilience va faire

passer le nombre d'entités régulées de quelques centaines à plusieurs milliers, voire 15000 collectivités comprises. Et c'est l'ANSSI qui se voit confier le l'émission de contrôle et de sanction. Mais dans le même temps, si j'ose dire, euh les moyens semblent être flat, enfin semblent être stables. Comment allez-vous aborder cette, puisqu'on est en période budgétaire, ça nous intéresse au premier lieu, aborder bah ce changement de ? Peut-être je je vais faire deux réponses et laisser euh euh mes deux collègues compléter. Euh euh euh peut-être trois réponses. Euh quand même pour ici y compris euh si vous me le permettez, monsieur le président, reprendre un peu de de recul sur l'ensemble des questions qui ont été posées. Euh pour repartir de la dernière question et je je pense que Vincent

reviendra dessus, la la question que vous vous êtes posée, c'est c'est la question qui est au cœur des réflexions du SGDSN et de l'ANSSI depuis 2 ans maintenant. Euh et qui nous ramène à la question du modèle de cybersécurité tel qu'on l'a construit depuis une quinzaine d'années. Euh l'ANSSI a fait euh sous la direction de son directeur général un travail interne euh qui est classifié, donc on va pas en parler en détail, mais extrêmement approfondi, euh extrêmement professionnel et extrêmement robuste de réflexion sur ce qu'était le modèle de l'ANSSI à horizon 2030 et ce qu'était l'évolution associée des moyens liés non pas simplement à l'ambition ou au besoin de demander toujours plus de moyens, mais de se reposer des questions fondamentales sur la nature du modèle de

cybersécurité qui est le modèle français, et c'est-à-dire de ce qui devait relever de la compétence directe de l'ANSSI dans ce qu'elle fait elle-même et de l'accompagnement de l'écosystème cyber français dans ce que l'ANSSI fait faire par d'autres en essayant de faire en sorte qu'elle le fasse mieux. Que cet écosystème le fasse mieux. Et donc la réponse c'est oui, il est possible de continuer à préserver notre modèle de cybersécurité avec la la répartition des responsabilités telle qu'on l'a définie dans une logique qui a horizon de la de la fin de la décennie devra continuer à octroyer des moyens supplémentaires à l'Anssi mais de façon lissée et avec en permanence le souci à la fois de la maîtrise des comptes publics et de la hiérarchisation et des priorités dans le

cadre des moyens qui ne sont accordés ce qui justifie le fait que je me présente ici aujourd'hui devant vous l'esprit tranquille sur le fait que si évidemment le PLF 27 est adopté, nous aurons les moyens dans les choix dans avec la hiérarchie des priorités et le le déroulement de ce modèle de cybersécurité à horizon 2030 de continuer à assurer nos nos options, ça veut dire comme le directeur général l'a très bien dit que parfois nous ferons passer en première priorité des choses qui nous feront passer en deuxième priorité d'autres choses. Voilà, nous on est des on est des fonctionnaires et j'en profite pour le dire des technocrates, j'assume le caractère très positif de ce terme. Je pense que l'État a besoin de techniciens et c'est ce que nous sommes pour l'État

et dira à l'autorité politique ce que nous estimons être la hiérarchie des priorités que nous devons mettre en œuvre mais je n'ai pas de doute que l'horizon qui nous est fixé et je sais qu'on est dans un tempo politique particulier. L'horizon qui nous est fixé en terme d'évolution de notre modèle de cybersécurité c'est l'année c'est c'est la fin de la décennie et je suis convaincu que le modèle de cybersécurité qu'on a mis en place depuis maintenant 15 ans et dans lequel l'Anssi a un rôle central est le bon et que il a pu y avoir des des réflexions, des incertitudes est-ce qu'il faut recentraliser de façon massive ou ? Je pense que notre système est le bon, il faut qu'on continue à le durcir et la l'activité de l'Anssi en terme de faire faire, c'est-à-dire d'accompagner la montée en

compétence de tout l'écosystème cyber est la bonne façon de procéder. Deuxièmement, sur Madame la sénatrice, la question de cette question centrale que vous évoquez sur qu'est-ce qu'on rend public, qu'est-ce qu'on ne rend pas public. C'est une question qui nous agite chaque seconde si je puis dire, on on a on a fait des choix collectivement qui sont comme tous les choix questionnables mais qui différencient ce qui relève du processus électoral et ce qui relève du du du tout-venant. Pour le tout-venant, on a plutôt jusqu'à présent adopté une attitude qui consiste à être économe dans la publication et la révélation publique de l'ensemble des opérations d'ingérence numérique

étrangère qu'on a qu'on a détecté. Il y a des publications qui ont été faites, il y a des attributions qui ont été faites, Viginum l'a fait dans dans le l'écosystème interministériel avec le Quai d'Orsay évidemment et l'ensemble de de l'interministériel en 2025, en 2026. On [grognement] a adopté une attitude légèrement différente au moment de la préparation et de la surveillance des élections municipales en assumant un une posture de transparence beaucoup plus affirmée. Et que pourquoi pourquoi c'est pas c'est pas un choix comment dire arbitraire, c'est parce que nous avons jugé que il était important pour la résilience de l'ensemble de la société que l'électeur soit informé. Que l'électeur ait conscience qu'il

était une cible de la menace informationnelle. Pour le caricaturer, vous pouvez dans l'action de révélation et d'attribution soit viser comme l'a dit Anne-Sophie D'Hiver à imposer un coût à l'attaquant, c'est-à-dire à élever le coût que représente pour lui la révélation d'une action clandestine et dissimulée ou nous pouvons avoir une stratégie de réponse qui vise la cible de l'ingérence numérique étrangère, en l'occurrence en période électorale l'électeur et le choix que nous avons fait et encore une fois il est il est éminemment questionnable mais le choix que nous avons fait et mon expérience c'est que ça a plutôt bien marché pour les élections municipales, c'est de prendre le parti de la transparence et de l'information en temps quasi réel de l'électeur. Ça mais ce choix il restera

en permanence un choix compliqué à faire y compris parce que les métriques la la question de l'objectivation technique de l'impact est beaucoup souvent parle simplement du nombre de vues, mais Viginum a développé toute une série de d'analyses techniques et de de paramètres techniques qui permettent d'essayer d'objectiver à partir de quel moment une ingérence numérique étrangère devient vraiment à fort impact. Dernier dernier point et vous comprendrez ici que je je vais pas en dire beaucoup, mais monsieur le sénateur, je ne partage en aucune façon les prémices de votre question. D'abord ici je veux le dire le directeur de Viginum Marc-Antoine Brillant est un fonctionnaire remarquable de l'État qui a assumé la création de Viginum, la montée en puissance de Viginum avec une

très grande compétence technique et si Viginum est aujourd'hui ce qu'il est, c'est en grande partie à lui que nous le devons. La deuxième partie c'est que de ma réponse c'est que nous sommes un État de droit et dans une République, il y a des procédures. Ces procédures sont suivies à la lettre scrupuleusement et croyez-moi monsieur le sénateur, c'est ma responsabilité d'y veiller. Les services déontologues ont été saisis, la HATVP a été saisie, tout ça se déroule dans le contexte des procédures de la République et évidemment nous attendons l'avis des autorités indépendantes et il sera suivi évidemment. Mais revenons aux fondamentaux, aux faits et je pense à la confiance que nous devons faire aux agents du SGDSN dans la conduite

difficile d'une mission exigeante et à laquelle il s'acquitte de laquelle il s'acquitte avec beaucoup de compétences. Merci beaucoup. Merci cher collègue d'avoir d'être resté présent jusqu'à la fin de cette de cette audition passionnante. Merci beaucoup monsieur le secrétaire général, monsieur le directeur de l'ANSSI, madame la chef adjointe du service de de Viginum. C'était une audition budgétaire mais finalement qui compte tenu de l'actualité s'est transformée en audition qui permet de répondre à un certain nombre d'interrogations que nous nous posons tous évidemment et nous sommes tous des victimes en puissance évidemment de cette de ces manipulations, quelles qu'elles soient des manipulations de l'information ou des des cyberattaques auxquelles malheureusement nous sommes euh

soumis, j'allais dire, puisque chacune et chacun d'entre nous a peut-être reçu son petit courrier de la DGFIP au mois de septembre expliquant qu'il avait été hacké ou pas. Euh mais en tout cas merci, c'est toujours intéressant d'avoir votre point de vue et je vous renouvelle évidemment notre notre total soutien et euh euh pour revenir sur le dernier point, je pense qu'il est important aussi que on puisse permettre à chacune et à chacun d'exercer euh j'allais dire son parcours professionnel comme il le souhaite et c'est quand c'est en plus au service d'entreprises françaises pour faire en sorte d'améliorer euh euh j'allais j'espère en tout cas évidemment euh les conditions dans dans lesquelles on met en œuvre euh la lutte contre les la désinformation et pour

et la lutte contre les attaques cyber et bien ça ne peut être que profitable à tout le monde. Donc souhaitons évidemment que ça soit comme ça que ça fonctionne. En tout cas merci monsieur le secrétaire général et nous veillerons évidemment à faire en sorte que ce budget éminemment important du 129 soit euh à minima maintenu et au mieux augmenté pour faire en sorte que nous ayons les moyens de nous défendre. Merci beaucoup et merci à vos collègues, mes chers collègues et je vous rappelle que nous avons une audition ensuite à 16h30 euh sur les midterms ici même dans cette salle. Merci beaucoup. Bon appétit.