🔴 Défis de la cyberdéfense : présentation d’une communication

pour cette nouvelle année madame la rapporteur monsieur le rapporteur mes chers collègues nous sommes réunis ce matin pour entendre les conclusions des rapporteurs de la mission flash et des défis de la cyber défense avant toute chose je tiens à excuser monsieur le Président Tomas gassillou pour son absence il est en effet actuellement en déplacement en Afrique avec nos collègues Benoît Bordas François piicmal et Anna pic la commission de la Défense nationale et des forces armées a créé une mission flash sur les défis de la cyberdéfense le 15 mars 2023 elle en a désigné rapporteur Madame Anne leenanf et Monsieur Frédéric Mathieu ici présent dans le cadre de leur mission flash les rapporteurs ont conduit 25 auditions à l'occasion desquelles ils ont auditionné des représentants du ministère des armées mais également de l'ENC du SGDSN du ministère de l'intérieur du ministère de l'Éducation nationale et du ministère de l'enseignement supérieur et de la recherche ils ont également pu s'entretenir avec des journalistes et des représentants d'ONG ainsi que des représentants d'entreprise de laab tt par ailleurs les rapporteurs ont effectué trois déplacements sur le territoire national et un déplacement à l'étranger sur le territoire national ils se sont notamment rendus à la DGA Mii à Bru au groupement de la cyberdéfense des armées à Saint-Jacques de la landande et à la 800e compagnie de transmission de l' de terre à Saint-Jacques de la landande également ainsi qu'au centre support cyberdfense de la Marine nationale à Brest il se sont également rendus en Finlande et en Estonie je souhaite d'emblé féliciter nos deux rapporteurs pour la très grande qualité de leur travail et pour leur investissement il s'agit d'un sujet majeur pour nos armées consacré d'ailleurs comme tel dans la LPM le cyberespace est en effet un des nouveaux champs de contractualité avec l'espace et les fonds marins nous avons hâte d'entendre vos conclusions qui au regard de votre programme de travail promett d'être particulièrement riche et danse sans plus attendre je vous laisse la parole merci monsieur le Président mes chers collègues bonjour à toutes et à tous et très bonne année à ceux que je à qui je n'aurais pas eu encore l'occasion de de de le dire je suis très heureuse de vous présenter les conclusions de notre mission flash sur les défis de la cyberdéfense mon collègue et moi souhaitons d'emblé remercier le président Thomas gassillou de nous avoir confié cette mission flash sur un sujet que nous estimons qu'il est à la fois capital et encore trop peu estimé à sa juste valeur je souhaite également remercier mon collègue corapporteur Frédéric Mathieu avec lesquelles j'ai pris plaisir à travailler nos relations de travail ont été excellentes tout au long de la mission j'espère que cet avis est partagé et en notre nom à tous les deux je souhaite remercier très sincèrement l'administrateur monsieur samioura pour son travail sa disponibilité et son écoute avant de rentrer dans le vif du sujet nous souhaitions d'emblé faire quelques remarques d'ordre méthodologique dans le cadre de notre mission flash nous nous sommes intéressés au défi de la cyberdéfense cette notion a été entendue au sens de trois doctrine de lutte informatique du ministère des armées que sont la lutte informatique défensive aussi appelée LD la lutte informatique offensive la Lio et la lutte informatique d'influence la l2i nous avons également inclus dans le périmètre de notre mission flash la cybersécurité la cyberpection et surtout la cyberrésilience notion qui nous est particulièrement cher à tous les deux en tant que membre de la commission de la défense nous avons bien entendu orienté nos travaux avec un prisme défense toutefois convaincu que nous sommes de la nécessité d'appréhender cette question au-delà du seul périmètre du ministère des armées nous avons également fait le choix de nous intéresser à cette question à l'échelle interministérielle et en l'occurrence à l'échelle du SGDSN autorité de tutelle de l'ancy comme l'a indiqué le président nous avons conduit 25 auditions à l'occasion desquelles nous nous sommes entretenus avec des représentants des état-majors direction et services du ministère des armées bien sûr mais également avec des représentants de l'any du SGDSN et du ministère de l'Intérieur en vertu de cette approche globale et j'insiste sur cette notion d'approche globale nous avons choisi d'élargir notre prisme d'analyseme en audition des représentants du ministère de l'Éducation nationale de l'Enseignement supérieur et de la recherche nous nous sommes également entretenus avec des journalistes avec des représentants d'ONG et bien sûr des représentants d'entreprises de la BITD en complément des auditions conduites à l'Assemblée nationale nous avons effectué trois déplacements sur le territoire national quatre en fait et un déplacement à l'étranger nous étions en effet convaincus qu'il était absolument indispensable de nous rendre sur le terrain pour appréhender la cyberdéfense de manière concrète opérationnelle au plus près des acteurs concernés sur le territoire national nous nous sommes rendus à la dgami à Bru cher à mon collègue Frédéric Mathieu puisque c'est sa circonscription au groupement de la cyberdéfense des armées du COM cyber et à la 800e compagnie de transmission de l'armée de terre à Saint-Jacques de Lalande au au commandement des systèmes d'information et la communication de l'armée terre à sesson sévignier ainsi qu'au centre support cyberdéfense de la Marine nationale à Brest nous avons également souhaité nous rendre à l'étranger pour nous enquérir de la manière dont la cyberdéfense est appréhendée par d'autres États nous nous sommes ainsi rendus en Finlande et en Estonie deux états particulièrement avancés dans les domaine de la cyber résilience et de la cyberdéfense qui peut s'expliquer notamment par leur situation géographique et le contexte géopolitique je pense notamment à la guerre en Ukraine fruit de ces travaux qui comme vous pouvez vous en douter ont été particulièrement denses nous formulons 35 recommandations qui vous ont été transmis hier soir regroupé en six défis que nous nous attons à vous présenter dans le cadre de ces propos introductifs ces recommandations sont évidemment le résultat des échanges nourris que nous avons pu avoir avec l'ensemble de nos interlocuteurs mais ils ont également le le fruit de notre propre expérience en ce qui me concerne de par mon expérience d'élu local à Vann en charge du numérique depuis de très nombreuses années j'ai toujours gardé à l'esprit l'importance de ce sujet pour nos territoires nous tenons à remercier l'ensemble des personnes que nous avons rencontré lors de nos travaux les échanges que nous avons eu les réflexions qu'ils ont partagé avec nous leur investissement pour nous accueillir lors de nos déplacements et leur disponibilité nous ont permis de vous présenter aujourd'hui nos conclusions merci à eux pour le temps qu'ils nous ont consacré excuse-moi monsieur le Président chers collègues avant de commencer je souhaite en prendre Hu également remercier ma collègue annef avec qui ça a été un vrai plaisir de travailler et j'ai même envie de dire un vrai confort puisque pour euh être binomé avec une député qui avait déjà une expérience une connaissance dans le domaine avec un intérêt nourri pour ce domaine ça n'est pas une mince àaire pour quelqu'un comme moi qui ne connaissait ni les contingences techniques ni l'environnement institutionnel donc merci beaucoup de de m'avoir permis de de m'acculturer rapidement à à ce milieu qui peut paraître complexe au premier abord euh je m'associe également pleinement au remerciements qui ont été formulés vis-à-vis des personnes avec lesquelles nous avons travaillé nous avons toujours reçu le meilleur accueil avec beaucoup de disponibilité et de et de de temps de la part des personnes qui ont pu soit venir en audition soit nous recevoir que ce soit sur le territoire national ou à l'étranger et j'aimerais également aussi avoir des remerciements en particulier pour notre administrateur monsieur humoura qui a été toujours d'une grande disponibilité d'une grande rigueur euh merci merci pour le le temps et toute l' ttenion que vous nous avez consacré bref ça a été un vrai plaisir de travailler sur cette mission toujours avec du sérieux mais aussi de la bonne humeur et c'est important je crois donc avant de vous présenter les défis de la cyberdéfense que nous avons identifié et les recommandations associé permettez-nous de vous présenter brièvement donc l'écosystème de cyberdéfense c'est un prérequis indispensable il nous semble la bonne compréhension de nos conclusions alors le cyber se structure en trois couches indissociables d'où procèdent toutes les menaces la première couche c'est la couche physique qui est constituée des équipements des systèmes informatiques et de leur réseau ayant une existence matérielle et donc une territorialité qui ouvre soit sur un droit national soit sur un droit international la deuxième couche c'est une couche dite logique qui est constitué de l'ensemble des données numériques des logiciels des processus et outils de traitement de G et d'administration des données ainsi que de leur flux d'échange implantés dans les matériels pour leur permettre de rendre les services attendus enfin la troisème couche c'est la couche cognitive qui est également appelée couche informationnelle et qui est constituée des informations et des interactions sociales de toutes sortes qui se trouvent dans le cyberespace et des personnes qui peuvent déclarer plusieurs identités numériques au-delà de la notion de défendabilité des systèmes la cyberdéfense au sein du ministère des armées est décliné en cohérence avec les six missions définies par la revue stratégique de cyberdéfense publiée en février 2018 donc ces six missions pour rappel c'est premièrement prévenir donc il s'agit de faire prendre conscience aux utilisateurs du risque représenté par la numérisation des organisations ou des équipements qu'il servent seconde mission anticipée là il s'agit d'évaluer en permanence ses probabilité de cyberattaque et prendre des mesures préventives lorsque la la menace paraît suffisamment forte cette mission incombe à l'Agence nationale de sécurité des systèmes d'information autrement appelé ANSI en coordination avec les services de renseignement et le commandement de la cyberdéfense que nous appellerons dans le reste du rapport comme cyber sur le périmètre donc du ministère des armées 3è mission protégée il s'agit donc de diminuer la vulnérabilité de nos systèmes informatiques à la fois en compliquant la tâche des attaquants potentiels et en facilitant la détection des cyberattaques la 4è mission justement détecté il s'agit de rechercher des indices d'une éventuelle cyberataque en cours cette mission relève de la responsabilité du COM cyber et des unités subordonnées au ministres des armées pour compléter ces informations il sollicite ses partenaires nationaux mais aussi internationaux la 5è mission réagir il s'agit donc de résister à une cyberataque afin qu'elle n'empêche pas la poursuite de notre activité dans la plupart des cas le com cyber déclenche alors une opération de lutte informatique défensive que nous appellerons peut-être aussi parabu de langage il il y a beaucoup de de sigles et de jargon lid ou lead donc ne nous ne nous envoyz pas trop puisqu'on a baigné là-dedans pendant plusieurs mois donc dans la plupart des cas donc le com cyber déclenche une opération donc de lutte informatique défensive en lesison avec l'any cette opération peut entraîner l'emploi de moyens qui sor du domaine de la cyberdéfense voire du ministère des armées donc par exemple la saisie de la justice une action diplomatique ou une mesure de rétorsion économique enfin la 6e la 6e mission c'est attribué donc l'attribution il s'agit de préciser l'auteur d'une cyber attaque par des preuves ou un faisceau d'indice les services de renseignement sont au cœur de ce processus bien évidemment de recueil d'indices et d'attributions et il est important quand même de souligner que la décision d'attribution appartient Infiné toujours aux plus hautes autorités politiques ainsi si les actions de prévention et de protection concernent les systèmes informatiques du ministère des armées tandis que les missions d'anticipation de détection et de réaction s'intéresse au système informatique appartenant aux autres catégories d'acteurs par ailleurs les opérations dans le cyberespace reposent sur trois doctrines la lutte informatique défensive idé qui regroupe l'ensemble des actions techniques ou non conduite pour faire face à un risque une menace ou à une cyberattaque réelle la seconde la lutte informatique offensive Lio qui regroupe l'ensemble des actions entreprises dans le cyberespace conduite de façon autonome ou en combinaison des moyens militair conventionnel pour produire des effets à l'encontre d'un système adverse afin d'en altérer la disponibilité ou la confidentialité des données et enfin la lutte informatique d'influence l2i qui désigent les opérations militaires conduites de façon autonome ou en combinaison avec d'autres opérations dans la couche informationnelle du cyberespace afin de détecter caractériser eter les attaques appuyer la communication stratégique renseigner ou faire de la déception le cyberespace constitue donc désormais un espace de manœuvre et de confrontation à part entière au même titre que les milieux terrestres maritime aérien et extraatmosphérique communément appelé l'espace le cyberespace est un milieu transverse dont les activités sont nécessairement en interaction avec les milieux conventionnels terre mer air espace notamment en matière de champ électromagnétique et informationnelle l'action dans ou depuis le cyberespace peut ainsi produire des effets sur l'ensemble des milieux et des champs par exemple une attaque cyberè peut faire dévier de la route un satellite réciproquement une action dans ses champs et milieux peut produire des effets dans le cyberespace comme par exemple la destruction physique d'un serveur dans ce contexte le cyberespace a acquis une valeur stratégique permettant de garantir la liberté d'action des forces dans les autres milieux et champs or la menace est multiforme permanente non territorialisée et peut avoir des conséquences à tous les niveaux tactiques à l'avant comme à l'arrière ce milieu doit par conséquent être pris en compte dans la manœuvre pour se protéger et pour saisir les opportunités d'agir surtout il doit être pris en compte dès la phase de compétition du continuum compétition contestation affrontement au quartier comme en mission en outre il existe des spécificités de milieu évidente dans l'exploitation du volet cyber par les trois armées un sous-marin n'est pas soumis à la même menace cyber qu'un PC de division installé en zone industrielle d'une ville par exemple ou qu'un avion militaire posé sur une base aérienne de théâtre de même l'environnement numérique adverse d'une force navale terrestre ou aérienne est intimement lié à son milieu les trois volets de la politique de cyberdéfense du ministère des armées LD Lio l2i permettre aux trois armées de prendre en compte ces dimension se protéger se défendre et agir de manière adaptée et complémentaire grâce à une organisation assurant la cohérence d'ensemble du modèle cyber du ministère tout en respectant les spécificités des armées mais si les doctrines sont une référence ell ne constituent pas un carcan elles définissent les principes et les responsabilités et doivent s'adapter à l'emploi dans un domaine aussi jeune que les opérations dans le cyberespace il est pertinent qu'elle soit revue régulièrement avec l'ensemble de la communauté cyber mais aussi plus largement la communauté militaire des opérations car tout évolue très rapidement l'apparition dans le champ doctrinal du concept des opérations multimilieu multichamp dans le concept d'emploi des forces de 2021 traduit d'ailleurs bien cet état de fait on va afficher un schéma je vous avais prévenu al quand je dis que ça étit confortable de commencer une mission avec quelqu'un qui avait déjà en tête cette architecture là je ne je n'ai pas parlé en l'air donc le schéma qui s'affiche derrière vous derrière nous pardon vous présente une version simplifiée de l'écosystème de la cyberdéfense à l'échelle de l'État ça fera sans doute l'objet de question tout à l'heure je ne sais pas donc s'agissant des acteurs de la cyberdéfense au sein du ministère des armées l'acteur centrale euh donc c'est le commandement de la cyberdéfense comm cyber qui est placé directement sous l'autorité du chef d'état major des armées le com cyber donc c'est un commandement opérationnel qui rassemble l'ensemble des forces de cyberdéfense sous une autorité interarmée qui est déployé sur plusieurs emprises à Paris et à Rennes le com cyber effectue ses missions par délégation de l'Agence nationale de la sécurité du système d'information qui est responsable de la cyberdéfense et de la cybécurité des administrations publiques des entreprises et singulièrement des opérateurs d'importance vitale qu'on appellera OIV des opérateurs de services essentiels les ose cré en mai 2017 le com cyber est en charge de la conception de la planification et de la conduite des opération de cyberdéfense ainsi que de la défense des systèmes d'information des armées direction et services du ministère des armées exception faite de ceux de la DGSE et de la drsd il est également en charge de la stratéie de cyberdéfense par la coordination des contributions des armées et organismes interarmé à la politique nationale et internationale de cyberdéfense et par la mise en cohérence du modèle de cyberdéfense du ministère des armées et il est en charge de la dimension capacitaire de la politique de cyberdéfense par l'élaboration de la politique des ressources humaines de cyberdéfense par la coordination de la définition des besoins techniques spécifiques à la cyberdéfense et par la gestion de la réserve de cyberdéfense autrement dit c'est vraiment des missions d'état-major au sens plein du terme donc autre acteur de la cyberdéfense au sein du ministère des armées bien entendu vous la connaissez tous la DGA qui qui constitue l'expert technique référent du ministère de manière générale laadga est responsable de la conception de la réalisation des systèmes permettant de garantir aux forces dans la durée la résilience cyber des capacités qu'elles opèrent et d'acquérir de conserver leur liberté d'appréciation et d'action dans le cyberespace donc cette mission se décline selon qure axes le premier axe il s'agit de porter un niveau adapté au niveau de la menace à Cyb sécurité des systèmes numériques et des systèmes d'armes afin d'être résilient face aux agressions cyber en second lieu équiper nos forces armées de système leur permettant d'acquérir et de conserver leur liberté d'appréciation et d'action dans cyberespace c'est-à-dire de conduire des actions dans les trois domaines de lutte informatique que nous avons exposé troisièmement orienter maintenir et développer les capacités technologiques et industrielles nécessaires en cohérence avec la stratégie nationale de cyberdéfense enfin et quatrièmement accroître la cybersécurité de la BITD et contribuer à la cyberdéfense de la nation de manière plus globale enfin le 3oisème acteur principal du ministère des armées dans le domaine de la cyberdéfense c'est bien entendu la DGSE donc qui participe à la protection des intérêts fondamentaux de la France par des actions de renseigne ainsi qu'à la compréhension et à la réduction de la de la menace cyber que cette menace soit d'origine criminelle ou d'origine étatique au titre de cette mission la DGSE est membre du centre de coordination des crises cyber autrement appelé aussi C4 donc on continue dans les sigles et et le jargonnage je vous avais prévenu aussi donc le C4 qui regroupe outre la DGSE lany la DGA le com cyber et la DGSI et donc la DGSE partage s renseignement au au sein de cette comitologie interministérielle sur le territoire national sur autorisation du Premier ministre après avis de la CNCT la DGSE met en œuvre toutes les techniques de recueil du renseignement autorisé par le code de la sécurité intérieure selon le principe de proportionnalité à l'étranger la DGSE utilise bien sûr tout type de techniqu de recueil de du renseignement dont elle dispose par anticipation sur une action HTI pouvant toucher la France au renseignement sur la menace cyber cherche à informer sur les acteurs étatiques ou criminels connu pour nourrir des projets agressif dans l'espace numérique ainsi que sur les outils et les services commercialisés pour mettre en œuvre ces projets en complément par réaction à une action hostile ayant touché la France le renseignement sur la menace aura pour mission d'identifier l'auteur de l'action et également son donneur d'ordre d'autres acteurs au sein du ministère des armées joue un rôle prépondérant en matière de cyberdéfense la dirisie la drsd la dpid ou encore la dégénum sont autant d'entités qui participent directement ou indirectement aux capacités de cyberdéfense du ministère les trois armées sont évidemment également partie prenante de la cyberdéfense du ministère des armées selon des modalités en cours d'évolution mais nous y reviendrons au-delà du ministère des armées est l'acteur principal de la cyberdéfense au sein de l'État créé en 2009 et rattaché au Secrétariat Général de la défense et de la sécurité nationale lgdsn la principale mission de l'any est d'assurer la sécurité des systèmes d'information de l'État et de veiller à celle des administrateurs des administrations des opérateurs d'importance vitale ou des opérateurs de service essentiel auprès desquels elle exerce par ailleurs une mission de conseil et de soutien de son côté la DGSI membre du premier cercle des services de renseignement est la seule entité qui peut exercer sa mission de cyberdéfense sur le territoire national aussi bien dans un cadre judiciaire que de renseignement lorsqu'une cyberattaque menace les intérêts fondamentaux de la nation la DG s agissant au titre de ces missions de contreingérence de contre-espionnage et de contreterrorisme peut mettre en uvre des techniques de recueil du renseignement dans le cadre de ces investigations plus spécifiquement la DGSI suit les modes opératoires de nos attaquants cyber susceptibles de porter atteinte aux intérêts fondamentaux de la nation et agit de manière proactive ou réactive pour contrer ses menaces après cette présentation des concepts de la doctrine et des acteurs de la cyberdéfense venons-en au défi que nous avons identifier avec mon collègue Frédéric Mathieu et que le ministère des armées plus largement l'ensemble des services de l'État devra relever pour doter la France d'une puissance cyber de tout premier rang ces défis sont au nombre de 6 premièrement le défi de la gouvernance deuxièmement le défi des ressources humaines 3è défi le défi juridique 4è défi le capacitaire le le 5è défi concerne la prospective et enfin le défi de la transparence le premier défi est le défi de la gouvernance à l'issue de nos travaux nous avons acquis la conviction que la politique de cyberdéfense de l'État gagnerait à être plus lisible vous allez allez pas nous contredire et devrait être appréhendé de manière globale pour renforcer la cyberrésilience de la nation nous avons en effet la conviction que la culture de la cybersécurité ne peut pas se décréter depuis un sommet et diffusé au sein de la société sans une approche globale cela impliquera notamment de renforcer les relations entre l'an et les armées en cas de crise cyber majeur dans le secteur civil ce rapprochement est en cours avec la perspective des Jeux Olympiques et parallympique de 2024 mais il devra encore être renforcé pour faire face au défis de demain au demeurant au-delà de la sele ans c'est bien l'ensemble des entités du secteur civil collectivité territorial et leurs établissements publics établissement de santé mais également les opérateurs d'importance vitale les opérateurs de servicees essentiels qui devrai pouvoir bénéficier des savoirfaire des armées en cas de crise cyber majeure ce rapprochement est d'autant plus pertinent de notre point de vue que les effectifs de l'an sont limités et singulièrement ceux de son centre de veille et d'alerte et que la charge de travail qui pèera sur elle ne aura qu'augmenté avec la directive Nice 2 le recours par l'insi à des prestataires privés de réponse aux incident de sécurité est d'ailleurs la preuve qu'elle ne peut répondre seule à l'ensemble des cyberataques qui frappe notre pays cyberattaques qui ne vont cesser de se multiplier nous sommes d'ailleurs favorables à une augmentation des effectifs de ce centre d'alerte et de veille de l'an excuse-moi alors bon on vient d'évoquer l'ANC de leur côté les les armées sont en train d'adquérir des compétences nouvelles en matière de de cyberdéfense notamment grâce à la mise en place de la communité cyber desésarmées donc communauté cyber qui avait été annoncé en en filigran lors des débats sur la sur la LPM la création de cette communauté cyber a été officialisée en novembre 2023 en effet au-delà des Mo financier humain le com cyber indiqué en avril 2023 devant notre commission qu'un effort particulier serait fait pour adapter les modalités les niveaux d'action de la cyberdéfense si certaines actions peuvent être conduites de loin dans le cyberespace d'autres nécessitent d'être à proximité des cibles cette diffusion de la cyberdéfense au sein des trois armées au plus près des bases et des régiments contribuera sans doute au renforcement de la cyberrésilience du ministère et plus globalement de la nation s'agissant plus spécifiquement des collectifs activité territoriale de leurs établissements publics et des établissements de santé nous estimons qu'il est temps de franchir un nouveau cap en matière de cybersécurité les trop n nombreux exemples de cyberattaques ayant frappé des collectivités territoriales et des établissements de santé prouvent qu'il est désormais urgent de rehausser le niveau d'ambition en la matière concrètement nous estimons qu'il faut instaurer l'obligation de diligenté à intervalle régulier des sortes de contrôle techniqu en cybersécurité notamment en lien avec le ministère de l'Intérieur et le commandement du ministère de l'Intérieur dans le cyberespace qui est le nouveau nom du commandement gendarmerie dans le cyberespace donc sous le tout sous la responsabilité à notre sens des préfets des zones de défense et des préfets de région nous avons pu apprécier concrètement les compétences et les savoir-fa des gendarmes en matière de cyberdéfense nous savons ce qui peuvent apporter à ces entités et se faisant contribuer à la cyber résilience de la nation mais la cyberrésilience de la nation impliquera également de renforcer l'éducation à la cybersécurité à l'école en vue de diffuser une culture de l'hygiène numérique au sein de la population de ce point de vue l'école a un rôle primordial à jouer en formant les jeunes au risques cyber dès l'école un très grand nombre de cyberattaque pourrait être invité évité il n'est en effet plus à démontrer que la sensibilisation accompagné de l'adoption de réflexes simple avant pendant et après une attaque de nature cber permet d'en limiter les impacts voire d'éviter celle-ci le ministère de l'Éducation nationale devra donc prendre selon nous toute sa part à cet effort global de la nation en outre renforcer la cyberrésilience de la nation impliquera de féminiser les recrutements des agents numériques et Cyb de l'État afin d'élargir le vivier de compétences et de talent ouvert au recrutement cela vaut évidemment pour les services de l'État mais également dès l'école secondaire en luttant efficacement contre les stéréotypes de genre et en incitant les jeunes filles à s'engager dans cette voie professionnelle par ailleurs afin d'améliorer le niveau de cyberrésidence de la nation la par participation des exercices est à notre sens absolument indispensable dans le cadre de nos travaux nous avons été alertés sur la faible participation des armées et des services de l'État aux exercices cyber organisés à l'échelle internationale nous n'avons par ailleurs pas eu connaissance d'exercices cyber organisés par la France et en France à destination de nos partenaires nous estimons pourtant cela indispensable d'ailleurs s'agissant de la nature de ces exercices nous avons acquis la conviction qu'il était nécessaire d'organiser des exercices en conditions réelles à la fois à l'échelle interministérielle mais également avec des états alliés dans le cadre de coopération bilatérale nous pensons d'ailleurs que cela permettrait de renforcer utilement le lien armée nation et que les populations seraient d'autant plus sensibilisé face au risque cyber si les conséquences d'une cyber attaque par exemple l'arrêt d'une centrale électrique pendant quelques heures sont ressorties in cononcretto par les population dans le cadre de ces exercices enfin lorsque nous appelons de nos vœux un renforcement de la cyber résilience de la nation nous pensons évidemment à l'ensemble du territoire national et y compris donc les territoires ultramarins de ce point de vueu nous pensons qu'il est impératif d'élaborer une stratégie spécifique pour renforcer la cybersécurité des dromcom qui sont particulièrement vulnérable face au risque de cyberataque venons-en désormais au deuxème défi le défi des ressources humaines les difficultés de recrutement et de F istion du ministère des armées dans le domaine de la cyberdéfense sont connu toutefois le ministère des armées possède de nombreux atouts pour attirer les talents et plusieurs pistes permettraient de mieux recruter former et fidéliser les Agen cyber du ministère tout d'abord même si cela peut paraître évident il convient de rappeler que le ministère des armées est en concurrence avec les secteurs publics et privés dans le cadre du des talents cyber de ce fait les difficultés de recrutement du ministère ne le sont pas exclusivement imputable il est notamment tributaire du manque d'offre de formation dans les établissements d'enseignement supérieur même si on note ces dernières années un développement accru de ces offres et une ouverture à un panel plus large d'étudiants j'en veux pour preuve la création par le com cyber d'un parcours universitaire entre l'école polytechnique et l'pita dédié à la cyberdéfense toutefois au-delà des seules grandes écoles il est absolument indispensable que l'offre de formation en matière de cybersécurité et de cyberdéfense soit étendue c'est cette mission incombra en premier lieu au ministère de l'Enseignement supérieur et de la recherche par ailleurs les études démontrent que le recours à l'apprentissage est un moyen très efficace pour recruter et fidéliser les agences cyber le ministère des armées est pleinement engagé dans cette voie avec la création d'un BTS à sincir l'école et au lycée naval à Brest cette politique doit être renforcée une seconde piste pour améliorer le recrutement et la fidélisation et celle relative au développement des parcours croisés au sein des services de l'État si le critère de la rémunération est souvent mis en avant pour iier les difficultés de recrutement et de fidélisation l'absence de visibilité sur la carrière joue également aujourd'hui ces parcours croisés restent encore trop peu développés et la concurrence entre les services reste de mise ces derniers peuvent également s'effectuer sous forme d'aller-retour entre les armées et le secteur privé dans le respect des règles déontologiques qui qui encadrent ces départs et notamment de l'article 4 de de la loi de programmation militaire que nous avons voté et qui permet de lutter notamment contre les ingérences étrangères dans le cadre des recrutements en outre la feuille de route relative à la féminisation des des agents cyber de l'État que nous appelons de nos vux gagneraient à être déclinés au sein du ministère des armées celui-ci prend d'ors et déjà des initiatives dans le cadre du plan relatif à l'égalité professionnelle entre les femmes et les hommes qui doivent être poursuivis les agents cyber comprennent également les réservistes de cyberdéfense qui peuvent jouer un rôle et je vois le regard perçant de notre collègue Blanchais sur la question j'en étais sûr donc les réservistes de la cyberdéfense qui peuvent jouer un rôle fondamental à la fois pour le ministère des armées dont il pourrait être de véritables ambassadeurs dans le plan réserve 2035 la trajectoire est fixée à 500 réservistes de cyberdéfense le ministère des armées indique qu'elle sera consolidée en fonction des besoins et si elle est soutenue par la création de postes permanents des à l'animation ou à la formation cette trajectoire nous semble insuffisante pour irriguer l'ensemble des armées nous estimons donc qu'il est indispensable de recruter davantage de réservistes cyber venons-en désormais au 3ème défi le défi juridique même si cela est peu connu la cyberdéfense comprend une dimension juridique relativement forte en particulier s'agissant du cadre juridiqu des opérations militaires dans le cyberespace nous avons identifié quatre enjeux dans ce domaine le premier enjeu a trait à la prise en compte des spécificités des armées dans le cyber dans le cyberespace dans le processus d'élaboration des normes il s'agit là d'un impératif absolu notamment à l'échelle européenne qui doit être pleinement pris en considération le deuxième enjeu att tré au recours par les agents du ministère des armées aux réseaux sociaux nous ne nous étendrons pas sur les exemples précis qui ont été portés à notre attention dans le cadre de nos travaux à cet égard toutefois nous sommes en mesure de vous indiquer qu'il s'agit d'un véritable enjeu et singul parmi les plus jeunes recru sans rentrer dans les détails nous déplorons qu'une utilisation trop légère des réseaux sociaux et pu parfois aboutir involontairement à une divulgation d'information protégé par le secret de la défense nationale un guide du bon usage des réseaux sociaux a été adopté en 2021 par les agents du ministère pour les agents pardon du ministère des armées il rappelle le principe de discrétion professionnelle des agents du ministère militaire comme civil une interdiction pure et simple ne serait ni possible ni souhaitable en revanche la conduite d'une réflexion sur les voies juridiques envisageables pour mieux encadrer le recours aux réseaux sociaux singulièrement en OPEX ou lors des exercices de préparation opérationnelle nous paraît souhaitable le troisième enjeu att trit à notre politique d'exportation des biens à double usage dans le domaine cyber et singulièrement des armes des armes cyberofensives et des logiciels à base d'intelligence artificielle dans le domaine informationnel deux affaires ont défrayé la chronique ces dernières années s'agissant des logiciels de cyberespionnage à savoir d'une part l'affaire Pegasus et d'autre part l'affaire Prédator sans rentrer dans les détails ces deux affaires montrent qu'il est indispensable de réfléchir à une meilleure régulation des armes cyberoffensives et de leurs exportations s'agissant de la cyberdéfense la DGA a indiqué que la France n n'exporte pas d'autres systèmes que les produits sur étagères proposés par des sociétés duales dans le cadre de du régime de contrôle de l'exportation des biens à double usage d'une part et d'autre part les systèmes de cyberprotection et de lutte informatique défensive en tant que constituant d'un système d'armes aérien ou naval par exemple dont l'export relève du régime de contrôle des matériels de guerre elle a également indiqué que la France n'exporte aucun système ou sous-système cyberoffensif enfin nous estimons nous estimons pardon nécessaire de de procéder à une évaluation juridique afin de déterminer notre capacité à répondre par notre corpus juridique national et international actuel au mer dans la cyberdfense nous ne sommes pas convaincus que le droit et singulièrement le droit international répondent à l'émergence de cette nouvelle catégorie d'acteurs nous ne sommes toutefois pas en mesure d'arrêter clairement notre opposition et reconnaissons que le débat est ouvert la clarification de cette situation nous semble donc indispensable eu égard la multiplication de ces acteurs et à leur potentielle nuisance le 4è défi est le défi capacitaire un premier ensemble d'enjeux attraait à notre souveraineté numérique vous n'êtes pas sans ignorer les risques que fait peser le recours à des logiciels étrangers dans nos systèmes d'information et nos systèmes d'armes et singulièrement eu égard aux règles d'extr territorialité du droit américain par exemple mais pas que ou encore des dispositions législatives adoptées par des états comme les États-Unis ou la Chine pour collecter en toute légalité nos données à ce jour le ministère des armées n'exclut pas le recours à des solutions étrangères y compris sur étagère et ce tant pour ces systèmes d'armes que pour ces systèmes d'information dès lors qu'elle estime que le risque est maîtrisé en ce qui nous concerne nous pensons qu'il est absolument indispensable de limiter au strict nécessaire le recours aux solutions étrangères dans nos systèmes d'armes la présence de portes dérobées dans des solutions étrangères permettant à l'état fournisseur d'espionner l'état client n'est un secret pour personne les mesures prises pour réduire les risques sont salutaires mais cela suppose d'être en mesure de détecter les nouvelles portes dérobées installées sur les solutions étrangères or comme nous avons pu l'entendre en audition si on estime qu'il n'y a pas de cyberataque cela peut vouloir dire deux choses soit il n'y en a effectivement pas et tout va bien soit il y en a une que nous ne détectons pas et c'est beaucoup plus gênant nous pensons donc qu'il est nécessaire de limiter autant que possible le recours à des solutions étrangères cette ambition va de paire avec l'élaboration d'une feuille de route pour réduire l'empreinte gafam au sein du ministère des armées nous nous sommes particulièrement intéressés au recours par celui-ci du système d'exploitation Windows nous sommes parvenus à la conclusion que le ministre ministère des armées est aujourd'hui piégé aucune alternative crédible n'existe à ce système d'exploitation et le recours au logiciel libre présente de nombreuses limites même si l'exploration d'un recours plus accru à Linux nous semble souhaitable en outre compte tenu de l'incapacité actuelle du ministère des amâé a assumé seul le maintien en condition de sécurité d'un système exploitation alternatif il est directement tributaire de Microsoft ce qui signifie qu'elle est dépendante pour la correction des vulnérabilités informatiques potentiellement exploitées par les acteurs malveillants cette dépendance sera d'autant plus grave si demain cette entreprise décidait de fournir ses services sur le mode dit SAS logiciel en tant que service Software as a service ce risque est une véritable épée de damoclè selon nous qui pèse sur la protection des données des services de l'État mais surtout sur notre souveraineté cela est dû au fait que le modèle émergent consiste au seul achat de droit d'utilisation de solution hébergé à l'étranger d'ailleurs Microsoft a indiqué que d'ici 2030 voire 2027 il n'y aura plus que des logiciels sous forme SAS le ministère des armées compte tenu de ses exigences en matière de sécurité et de souveraineté ne peut accepter cette situation et aujourd'hui il est difficile d'estimer l'ampleur des risques en outre la feuille de route du ministère des armées en matière de défense en profondeur des systèmes d'information doit être poursuivi comme entendu en audition si le ministère a bâti des forteresses il s'agit désormais de bâtir des villes aujourd'hui il y a un périmètre de sécurité fort autour de l'ensemble des systèmes d'information du ministère l'enjeu désormais est d'empêcher que demain quelqu'un qui a réussi à pénétrer la forteresse puisse avoir accès à tout ce qu'on appelle la défense en profondeur dont l'objectif est d'affiner les portes d'entrée cela implique de mieux les sécuriser afin d'empêcher que n'importe quelle personne est tout les droits d'accès en fonction par exemple de l'identifiant et du lieu de connexion attribué selon les fonctions occupées au ministère une personne donnée ne pourra pas avoir accès à l'ensemble des informations qu'elle souhaite y compris sur la durée ce qui n'est pas le cas aujourd'hui pour cela il faudrait mettre en œuvre un processus de transition important afin de changer l'architecture numérique du ministère ce qui ne sera pas a priori le cas avant 2031 ce que nous regrettons fort logiquement un autre sujet de préoccupation majeure est celui relatif à l'hébergement informatique en nuage ou Claude cloud Cloud pour les anglicistes bref vous connaissez le il y a beaucoup d'anglicisme dans ce domaine donc actuellement le ministère des armées met en œuvre une stratégie visant à exploiter tout le potentiel des technologies d'hébergement en nuage afin de satisfaire les besoins des systèmes d'information non ééligible à une migration dans les clouds externes le ministère des armées développe et exploite plusieurs clouds privés selon divers niveaux de sensibilité et de classification donc qui vont du non protéger au secret en passant par la diffusion restreinte des solutions de stockage de données différenciées en fonction des performances attendues sont déployé ou en cours de construction sur ces divers clouds cet enjeu a été en a été cet enjeu a été entamé mais il faut aujourd'hui faire basculer les systèmes d'information un à un sur des systèmes d'hébergement en nuage or le ministère des armées comprenant plus de 1500 systèmes d'information ce processus prendra du temps et on estime que d'ici 2030 entre 50 et 60 % de l'architecture du de de réseau du ministère seulement aura basculé sur un système de stockage en nuage nous estimons qu'il est nécessaire d'accélérer cette feuille de route relative à la migration vers un hébergement informtique en nuage souverain nous insistons bien sur souverain cet impératif vaut également pour les entreprises de la BITD les OIV et les ose dont les données sont au moins aussi stratégiques que celles des services du ministère des armées et au-delà d'ailleurs s'agissant des entreprises de BITD nous estimons qu'il est nécessaire de franchir une nouvelle étape pour Enforcer leur cyber résilience et singulièrement les entreprises de la chaîne de sous-traitance lors de nos auditions il nous a été il nous a clairement été indiqué que les entreprises de la BITD sont les cibles régulières de cyberattaquants plus encore que les rançongiciel qui frappent aussi les entreprises d' BITD ce sont surtout les logiciels de cyberespionnage qui frappent en premier lieu ces entreprises il s'agit là d'un enjeu capital quel est l'intérêt d'investir des milliards d'euros pour se doter de système d'armes performant à même de donner à nos armées une supériorité opérationnelle sur le terrain c'est les entreprises qui conçoivent ces systèmes d'armes se font piller leur savoir-faire la la drsd vous savez est en charge de la sensibilisation des entreprises de la BITD face à ce risque et notamment le centre de veille d'alerte dédié aux entreprises de défense créées récemment toutefois nous estimons qu'il est désormais nécessaire d'aller plus loin c'est pourquoi nous pensons qu'il faudra fixer des critères de cybersécurité aux entreprises de la BITD et leur sous-traitant en contrepartie de l'obtention de marchés publics enfin nous estimons qu'il faudra à l'avenir encadrer de manière très stricte les relations entre le ministère des armées et les entreprises qui vendent des armes cyberoffensives s'agissant de ces relations avec les brokers de vulnérabilité informatique la DGA a indiqué que le niveau de confiance envers ce-ci est extrêmement faible il est en effet quasiment impossible de connaître le cycle de vie d'une vulnérabilité ou d'un code exploitant celle-ci par exemple qui l' a trouvé à combien de personnes il a été vendu est-ce qu'il contient des marquants dans le domaine de la iio la stratégie de la déja est donc aujourd'hui de privilégier le recours à des études réalisées par les entreprises de la BITD cette approche permet d'avoir une confiance forte dans les vulnérabilités nécessaires à la réalisation d'armes numériques car ce faisant il n'y a pas de risque d'intoxication et de vente à de multiples acteurs nous estimons que cette ligne est la bonne et qu'elle devrait être tenue à l'avenir le 5e défi porte sur l'innovation et la prospective deux domaines en particulier ont retenu notre attention les technologies quantiques et l'intelligence artificielle s'agissant de l'émergence des technologies quantiques c'est la DGA qui pilote la feuille de route du ministère des armées en finançant des projets de Recherche et Technologie en évaluant la menace que ces technologies prévisibles ou proba feront porter sur les systèmes à l'avenir et enfin en développement en développant ses compétences techniques et scientifiques si l'identification des enjeux et la feuille de route semble claire nous nous sommes cependant pter à la question spécifique de l'ordinateur quantique personne n'a été en mesure de nous indiquer si l'avènement de cette nouvelle technologie était imminent ni si les budgets pour son développement étaient nécessaire c'est pourquoi nous estimons indispensable de procéder à une évaluation des coûts moyens et délais nécessaire à cette nouvelle technologie ainsi qu'à une estimation de la capacité de la France à s'en doter en propre ou si nous avons besoin d'un partenariat européen pour y parvenir par ailleurs nous avons été alertés lors de nos travaux sur l'influence croissante de l'intelligence artificielle et singulièrement de l'intelligence artificielle générative dans le domaine de la cyberdéfense les avancées récentes significatives sont à la fois une opportunité et une menace dans le domaine cyber elles peuvent constituer une opportunité pourquoi la Ld donc lutte informatique défensive par exemple pour l'analyse et la caractérisation de malware ou la détection de scénarios d'attaque pour la l2i la lutte informatique d'influence qui permettra d'aider à détecter des manœuvres informationnelles par exemple pour l'aide à la formulation de contre-argument face à une campagne de désinformation un enjeu important en cas d'utilisation di générative pour la sécurité et de s'assurer que les données utilisées pour l'apprentissage n'ont pas été empoisonné s'assurer de la robustesse et de la qualité des défenses de l'IA mais elle peut également constituer une menace dans le sens où elle apporte une capacité décuplée à l'attaquant notamment dans les domaines de la Lio et de la l2i elle peut par exemple aider un attaquant à générer des courriels pour du fishing usurper une identité ou encore simplifier la création d'une cyberattaque pourtant complexe donnant ainsi la capacité à des personnes moins expérimentées d'en créer la menace également est la possibilité d'automatiser ces cyberattaques de générer des fausses informations ou encore de faciliter des attaques informationnelles massives or tous ces apports et toutes ces menaces sont encore exploratoires quoi que plus tangibles que les technologies quantiques l'élaboration d'une feuille de route relative aux influences mutuelles entre l'intelligence artificielle générative et la cyberdéfense nous paraît indispensable enfin le dernier défi est celui de la transparence ce défi est avant tout le résultat notre expérience dans le cadre de notre mission le sujet de la cyberdéfense est singulièrement dans les domaines offensifs et informationnel et d'une sensibilité particulière nous avons pu le mesurer lors de nos auditions au cours desquelles les questions relatives à la Lio et et à la l2i sont très vite heurté à une absence de réponse comp tenu du fait que les informations relatives à ces deux domaines de lutte informatique sont bien entendu classifié et revêent une sensibilité forte cette précaution peut s'entendre mais il n'en demeure pas moins que le défaut de transparence vis-à-vis des parlementaires que nous sommes sur les activités des armées et des services de renseignement en matière de Lio et l2i pose question si les parlementaires votent la loi y compris donc les lois de finances ils doivent logiquement disposer d'un niveau d'information suffisamment élevé pour pouvoir consentir ou non de manière éclairée à l'adoption de dispositions législative relative à la politique de cyberdéfense or à l'heure actuelle ça n'est pas le cas le ministère des armées a fait un effort de transparence salutaire en 2019 en assumant publiquement de conduire des actions offensives dans le cyberespace par ailleurs si les doctrines de lutte informatiqu sont classifié des éléments publics de doctrine ont été mis à la disposition du grand public ce qui ne peut-être que salué il nen demeure pas moins indispensable de franchir une nouvelle étape dans ce domaine et singulièrement vis-à-vis des parlementaires représentants de la nation nous estimons donc nécessaire d'associer davantage le Parlement au suivi de la politique de cyberdéfense du ministère des armées en matière de Lio et de l2i et suggérons pour se faire de créer une commission parlementaire chargée du suivi de la politique de cyberdéfense de l'État danst les membres seraient autorisés escalité à connaître des informations classifiées relatives à la dite politique sur le même modèle que nous connaissons déjà dans d'autres commissions ad hoc voici donc chers collègues les les conclusions de nos travaux merci pour votre attention religieuse nous espérons que nous vous avons pas assommé en tout cas nous sommes à votre disposition pour répondre à toutes vos questions ou les remarques qu'ont pu susciter euh notre propos merci [Applaudissements] encore merci merci Madame merci monsieur je crois que c'était un rapport bien posé clair et précis et je vous en remercie nous allons passer à la partie des questions et je vais laisser la parole au groupe pour Renaissance avec Monsieur Mounir bamiti merci monsieur le Président Madame et monsieurs les rapporteurs au nom du groupe Renaissance je tiens à vous remercier pour la qualité de votre travail pour la pertinence de de vos propositions de vos recommandations dans ce rapport sur les les défis de la cyberdéfense et c'est pas un hasard si deux députés bretons en tout cas de la région Bretagne sont sont mobilisés sur cette sur cette question je crois que le Grand Ouest est assez euh de manière consensuelle le fer de lance de de la cyber défense en France et je crois que c'est quelque chose qu'il faut aussi saluer il y a des territoires qui se mobilisent et c'est le cas de la région Bretagne et plus généralement du Grand Ouest euh des défis vous l'avez dit il y en a les menaces dans son domaine dans ce domaine de plus en plus sophistiqué qui évolu en plus rapidement j'imagine la difficulté qui a été la vôtre de suivre tout au long de ces mois d'études et d'auditions bah les les changements et et l'actualité qui qui qui est qui est constamment en mouvement qui cible nos infrastructures stratégiques qui visent à déstabiliser notre démocratie bref un un un champ de conflictualité en tant que tel la France et l'Europe sont confrontés à à des enjeux complexes tels que la cord ation des efforts entre les États le partage efficace des renseignements la capacité à anticiper et répondre aux attaques d'origine national ou international quand elles ne sont pas combinées les lacunes et les faiblesses potentielles dans la collaboration entre les entités publiques et privé le besoin d'investissement significatif vous l'avez dit dans la formation des experts en cybersécurité en cyberdéfense et bref dans l'informatique au sens large les besoins d'investissement significatifs dans la formation je l'ai dit ainsi que les questions norme de sécurité numérique la question de la régulation technologique émergente bon autant de défis qui se présentent devant nous et que vous avez pu dresser la LPM répond en partie évidemment à cette question à ce nouveau paradigme puisque c'est 4 milliards d'euros qui sont programmés en investissement sur la sur la cyber dééfense ça s'inscrit dans une véritable démarche d'économie de guerre souhaité par le ministre des Armées et le président de la République et je crois que c'est quelque chose qu'il faut saluer mais qu'il faut constamment suivre et je crois que c'est aussi notre rôle de de parlementaire de le faire la le la question qui qui qui se pose en lien avec cette thématique c'est plus particulièrement sur la prise en compte des des critères de de cybersécurité applicaes aux entreprises de la BITD sur votre défi capacitaire que vous avez souhaité souligner évidemment toute la chaîne la Supply chaîne de la BITD la question des sous-traitants est aussi est aussi posée à votre avis est-ce que la commande publique les marchés publics sont sur ce point en tout cas à la hauteur des enjeux est-ce que les critères normatifs les critères de sélection techniques fonctionnels sont sont sont à la hauteur est-ce que nous sommes assez vigilants notamment dans la chaîne de sous-traitance on a des éditeurs parfois qui sont voilà singuliers et dans certaines niches qui ne font pas l'objet de certains de certains traitement en tout cas d'une certaine d'un certain suivi est-ce qu'on accompagne assez ces ces entreprises bref en clair est-ce qu'on a les outils nécessaires pour protéger nos entreprises de la de la BITD en cas d'attaque massive sur le sol français en cas de crise cyber massive sur le sol français je vous remercie il y a un d'Avord vous répondez tout de suite comme vous voulez qu'estce que vous voulez dire ouou oui oui je pense que c'est bien très bien merci euh merci beaucoup chers collègues pour pour tes tes remarques je veux dire ça a [Musique] été ça a été un travail passionnant long on a essayé avec mon collègue de vraiment rentrer en profondeur parce que il faut quand même préciser que notre cyberdéfense est une cyberdéfense d'excellence on a pu le voir et l'entendre notamment en Finlande en Estonie il y a une vraie admiration pour les décisions et l'organisation qui a été faite par la France et les investissements comme vous avez souligné reconfirmé par la LPM moi je vais parler plus spécifiquement et je laisserai mon collègue sans doute compléter sur la BITD peut-être effectivement sur les marchés publics les marchés publics c'est un vrai frein aujourd'hui et pas que dans le domaine de la cyberdéfense dans d'autres domaines on serait assez favorable et on nous dit parfois que c'est un marché enfin une mission un projet colossal de remettre à plat les marchés publics en France mais le code des marchés publics aujourd'hui quand même est un souci pour notamment en matière de cybersécurité cyberdéfense il devrait être possible pour une commune pour un hôpital public pour tout équipement public devrait être possible grâce au code des marchés publics mais il faudrait s'y atteler chers collègues si on est prêt à le faire tous ensemble et bien de pouvoir introduire des des des critères de notation liés à l' à l'achat et notamment par exemple un critère cybersécurité un critère Environnmental et cetera il y a plusieurs sujets qui sont concernés donc moi je pense vraiment que aujourd'hui effectivement le code des marchés publics alors que le monde finalement n'est plus celui de du moment où il a été écrit ce ce code des marchés publics n'est plus adapté à l'environnement et notamment aux nouvelles menaces et la cyberrésilience selon moi ne peut passer que par l'accompagnement des acteurs du territoire et les marchés public on le sait tous les communes c'est c'est elles qui achètent les logiciels c'est elles qui et donc la facilité c'est finalement d'acheter sur étagère c'est de pour les les entreprises de la BITD bah voilà de de de de répondre au marché public dans le cadre du code du marché public qui est selon moi un vrai vrai frein à la cybersécurité et à la cyberrésilience pour compléter pour compléter euh bon je sais pas si les si les les organisations criminelles ou étatiques qui font du cyberespionnage sur la BITD ont lu la la mythologie grecque mais ils connaissent bien la le principe du cheval de tro et notamment de de porter l'effort sur les entreprises des plus petites et les plus faibles c'est-à-dire sur on l'a dit sur la chaîne de sous-traitance et ça c'est une c'est une question qui est bien bien prise en compte par les gros acteurs de la BITD qui savent très bien que leurs sous-traitants peuvent peuvent présenter des faiblesses euh en effet la question et nous le proposons hein de de de de de mettre des critères de sécurité nous semble nous semble être une une question absolument essentielle et finalement ce serait d'envisager ça puisqu'on nous dit bon c'est des coûts supplémentaires pour les entreprises oui certes mais à un moment c'est peut-être le la question du modèle économique euh de ces entreprises qui s'engageant dans des marchés de défense doivent prendre en compte comme coût d'entrée sur un marché comme dans n'importe quel autre secteur économique le fait d'être à la hauteur en terme de en terme de cyberdéfense et nous pensons nous avons l'espoir que une évolution sur code des marchés publics pourra influencer favorablement les pratiques en ce domaine là et la responsabilisation des acteurs ça peut pas être l'INC qui arrive toujours en secours curatif euh au demeurant avec les moyens du contribuable pour compenser des moyens qu'une entreprise n'a pas voulu mettre dans sa sécurité alors qu'elle bosse dans un dans un milieu extrêmement sensible et ça ça nous a été dit par l'an he par exemple et c'est logique hein ils ont ils ont tout à fait raison là-dessus merci je laisse la parole au rassemble national avec madame Caroline Colombier merci merci monsieur le Président madames et Messieurs les rapporteurs mes chers collègues tout d'abord nous souhaitons bien sûr saluer le travail de grande qualité que vous nous avez présenté ce matin fort de de nombreuses auditions à ce que j'ai compris que vous avez mené au cours de ces derniers mois j'ai deux deux questions dont la première probablement vous avez pour partie répondu mais pourra peut-être compléter la cyberdéfense constitue comme vous l'avez souligné une nouvelle dimension complexe de la conflictualité moderne impactant tant le domaine civil que militaire comme vous nous l'avez expliqué face à cette situation une mutation psychologique capacitaire et opérationnelle doit s'imposer et le développement du numérique comme de l'intelligence artificielle nécessite un renforcement des moyens d'évolu à la cyberdéfense ainsi les armées génèent une masse de données qui est toujours plus conséquente dont la maîtrise et la protection sont souvent déléguéés à des prestataires privés il est pourtant essentiel qu'ell conserent une maîtrise tant de leur données que de leur système d'information dans un intérêt évident de souveraineté ce que vous avez souligné voici donc ma première question quelles sont vos pistes de réflexion vous en avez donné certaines pour aider nos armées à reprendre la main sur les systèmes d'information par ailleurs nous souhaitons recueillir votre avis sur la crise actuelle traversé par l'entreprise atthos si vous avez pu avoir ce ces renseignements en dété de plus de 5 milliards d'euros elle elle doit en rembourser la moitié avant 2025 et ces derniers jours son action a totalement plongé pourtant Atos c'est non seulement un pressateur technologique de premier ordre dans le cadre des Jeux olympiques mais l'entreprise a surtout un rôle essentiel dans notre dissuasion dans la mesure où elle fournit les super calculateurs nécessaires aux simulation des sèes nucléaires or pour enfluer la dette Atos souhaite vendre sa branche cyberécurit et infogérance cette crise traverse traversée par ce fluron Français vous inquiète-t-elle quels outils vous envisageriez pour la remettre à flot afin qu'il poursuive le rôle qu'il occupe depuis 1997 dans la défense et la souveraineté nationale je vous remerci merci pour vos vos questions je vais peut-être répondre à la première partie mon mon collègue je lui laisse si je vouleis bien alors concernant les les systèmes d'information des armées on bon je l'ai expliqué pendant la présentation mais ce que je peux le dire de de manière en échange entre vous et et nous c'est que euh le ministère des armées travaille beaucoup sur ce sujet-là euh je dire on leur a rien appris on le sait euh et et et ils en sont conscients c'est-à-dire qu'ils ont la volonté de faire évoluer euh cela ceci dit par exemple Linux on nous a aussi dit que en l'état on peut pas euh transposer les systèmes d'information Windows en linux d'abord en très peu de temps si c'était le cas ça demanderait quasiment des années et puis ensuite il y aura de toute façon à travailler sur Linux en l'état on peut pas le mettre et puis il est opérationnel il y aura donc des des des je dirais des des travaux de de des actions de sécurité de de de logiciel d'application à faire donc il y aura un coût il faudra du temps mais ce que je peux vous dire et vous rassurer c'est que le ministère des armées est tout à fait conscient de cette dépendance mais on nous a aussi dit parce que ce ne sont pas les militaires des des gens quand même inconscient que ils util on utilisait finalement ces logiciels ces systèmes d'information euh dans des domaines non sensible et qu'à partir du moment où des actions sont considérées sensibles secrètes que des informations ne doivent pas circuler il y a au sein des armées les compétences l'expertise on a pu le constater lors de nos auditions qui permettent de sécuriser les systèmes d'information et d'inviter d'éviter l'intrusion par des personnes extérieur dans des domaines que les armées ne souhaitent pas rendre accessies et heureusement il y a plusieurs cercles si vous voulez c'est concentrique il y a le tout venant il y a le déjà plus souverain européen on peut dire et le intra armé et et on peut s'en s'en réjouir mais malgré tout c'est c'est un constat oui madame la députée assuratos B vous avez décrit en effet le le la situation actuelle économique difficile de l'entreprise moi jeis pas m'étendre là-dessus parce que ça mériterait je pense une commission une commission en soit d'ailleurs je crois qu'il y a des des sénateurs LR qui avaient envisagé de déposer une commission d'enquête au Sénat sur la question la question d'Atos et de son éventuelle reprise par un fond un fond d'investissement dont on a appris ces derniers jours que cette reprise était promise euh que dire en tuyau de sortie on a en effet un fleuron industriel on a en effet un fleuron industriel qui est d'ailleurs l'héritier he de l'engagement de la France de longue date he sur les technologies informatiques et de télécommunication et qui euh finalement euh se retrouve dans une situation qui est extrêmement difficile nous l'avons dit nous sommes très préoccupés par la question de solutions souveraines et notamment d'architecture ce qu'on appelle le hardware euh le fait d'avoir des calculateurs le fait d'avoir des des euh des des des de la cryptographie le fait d'avoir des des serveurs et cetera et cetera donc c'est vrai que l'exemple d'Atos ne fait que à mon sens confirmer la nécessité que l'État redevienne un état stratège dans le domaine il y a des députés he qui ont déposé durant euh durant les lois de les lois de finances le proj les nos débat sur les lois de finances des amendements pour faire voilà une nationalisation préventive provisoire de se temps de reprendre la main moi-même j'ai déposé une proposition de loi là pour le coup pour faire en sorte que l'État puisse participer durablement au capital d'Atos euh ce qui per voilà bon je vais pas faire la publicité de ma proposition no voilà si vous vous voulez aller la lire vous vous vous vous pouvez aller voir mais ce que je veux dire c'est que quels que soient les groupes politiques en effet c'est quelque chose c'est c'est une question qui préoccupe puisqu'on voit bien que derrière en dehors d'Atos spécifiquement derrière c'est euh l'après c'est euh la vision stratégique en ce domaine c'est euh l'avenir de se dire mais voilà est-ce que la France peut se permettre d'être dépouillé industriellement industriellement de capacité qui puisse permettre d'assurer notre souveraineté puisque on le voit bien c'est j'espère on on on on réussira à c'est pas votre cas mais je veux dire auprès du grand public ou peut-être d'un public sans être spécialisé curieux de faire comprendre que le numérique on est passé en fait de la fonction support concrètement il y a 30 40 ans la machine écire super pratique sur laquelle on peut faire des erreurs effacer et revenir à une fonction stratégique c'est plus une fonction support ça peut être une arme en soi et ça peut être un moyen de défense en soi comme n'importe quel système d'armes et que ça le sentiment qu'on a c'est que c'est mal prise en compte en terme de vision stratégique voilà je sais pas si j'ai répondu à votre question en tout cas j'ai essayé de le faire du mieux que je pouvais je vais laisser la parole au rapporteur auorateur de la France insoumise Aurélien saintoule merci Monsieur Merci monsieur le Président merci Madame la rapporteur merci monsieur le rapporteur évidemment votre travail a un mérite particulier c'est qu'il est quasiment exhaustif je dis quasiment parce que il met peut-être un peu de côté la question de la dissuasion à laquelle évidemment personne ne vous a ne vous donnera de réponses dans le domaine de la défense euh mais je pense qu'il faut pour commencer avoir aussi à l'esprit que peut-être les question de cyber et de dissuasion auront doivent nous faire réfléchir je n'en dis pas davantage mais je pense que c'est un sujet sur lequel il faut faire la connexion parce que je suis un peu taquin je je réponds aussi à notre collègue bami qui a évoqué une LPM qui répond en partie au défi et j'en profite pour dire que répondre en partie à un défi c'est ne pas répondre à un défi euh néanmoins euh je note que votre rapport dresse l'ensemble des perspectives et montre qu'il y a un enjeu de dépendance extrêmement fort et que il n'y a pas d'autre façon d'y répondre qu'en ayant une ambition euh à la même hauteur et euh j'entends dans votre travail des choses qui consonnent énormément avec le programme de la France insoumise et avec la valorisation que nous accordons à la notion notamment de planification donc je je m'en réjouis euh sans transition de fait je passe à plusieurs questions vous avez évoqué le cantique et comme vous connaissez ma prédilection je vais commencer par là euh vous suggérer un audit en réalité de de nos politiques est-ce que vous avez quand même un aperçu des euh de la stratégie qui existe qui a été mise en œuvre jusqu'à présent et et des est-ce que vous avez perçu une cohérence si vous voulez dans l'appréciation que l'État a de ce de ce sujet où vous vous avez plutôt l'impression qu'on a quelque chose qui relève d'une approche un peu impressionniste première question la deuxième question sur disons les les ressources humaines on sait que c'est l'un des grand défi euh est-ce que une école comme polytechnique en réalité fournit par exemple le contingent nécessaire dans le domaine de la cyber où est-ce que on pourrait faire mieux euh d'autres écoles d'autres écoles devraient aussi être mobilisé mais je crois que Polytechnique on a peut-être un sujet là-dessus il y avait évidemment une question sur Atos à laquelle vous avez globalement répondu qui portait sur l'idée que peut-être que c'est l'ensemble du système de du système économique ou de l'écosystème des entreprises qui devraient être consolidé en tout cas c'est notre conviction petit rappel c'est que euh je pense que nous nous manquons un peu de de profondeur de vue si on ne se rappelle pas que Atos a sauvé Bull et que Bul était pourtant publique puis avait été pr et a été privatisé et cetera et que c'est peut-être l'ensemble de ces mouvements de capitaux et ces stratégies erratique au fil des années que nous devrions interroger et la dernière question pose porte sur la lutte informatique d'influence est-ce que vous avez pu avoir des éléments tangibles de de des des des restrictions éthiques que nous que nous appliquons c'est une question que je pose assez souvent mais est-ce que vous avez pu rentrer un petit peu dans la machine sur ce sujet merci oui sur sur la lutte informatique d'influence comme on l'a dit c'est non c'est compliqué de rentrer dans la machine comme vous dites euh puisque de toute façon on est sur un domaine on est sur un domaine hyp sensible on est passé quand même du stade quand je dis on hein c'est bien avant nous hein il y a en 2019 au moins on est passé du stade à on ne pratique pas à on pratique bon très bien euh mais mais il est certain que voilà on a les informations sont classifiées justement c'est c'est c'est en rapport avec notre dernière proposition qui est de créer une commission parlementaire àoc qui permettrait aussi d'avoir des membres de la représentation nationale qui a une vision éclairée sur la question et je dis selon les mêmes modalités les mêmes les mêmes types de fonctionnement que nous connaissons aujourd'hui pour la commission la délégation parlementaire sur le renseignement ou la commission de contrôle des techniques de renseignement euh concernant le quantique bon on dit il nous faut il nous faut absolument lancer lancer des étude sérieuse sur la question euh je va je vais vous confier une anecdote sans vous en citer les acteurs mais en l'espace d'une matinée durant laquelle nous avions décidé de discuter entre autres choses de l'éventuelle dotation d'un ordinateur quantique nous avons auditionné dans deux auditions séparées des euh très haut décideurs qui était censé à notre sens avoir les idées claires sur la question euh première partie de matinée on nous dit ah là là mais madame la députée monsieur le député vous ne vous rendez pas compte ça coûterait très cher ah ok combien au moins 100 millions d'euros ah 100 million d'euros c'est très cher dans le même moment on apprenait que le surcût du déménagement de la DGSE de mortier au château de Vincenne c'est 185 millions d'euros donc là un petit peu un étonnement ok bon l'audition qui a suivi nous reposons les mêmes questions et nous avons droit à ah bah non c'est c'est c'est très très cher ah bon combien ah ben on sait pas c'est tellement énorme qu'on ne sait pas donc dans la même matinée de la part de déci de de haut décideurs nous avons eu une fourchette entre 100 million 100 millions d'euros et plus infini en dilatation constante on est dans le quantique c'est normal on est dans le quantique donc on passe de infiniment petit à l'infiniment grand c'est tout à fait normal non mais plus sérieusement c'est c'est c'est assez triste parce que on est persuadé qu'il y a des personnes au sein des services qui savent très bien et en tout cas on a la capacité en interne de pouvoir faire ce type d'évaluation mais le problème c'est que soit l'information ne remonte pas soit on ne se pose même pas la question rentré au lieu et euh moi ça m'inquiète pour le conseil politique qu'on peut prodiguer au président au gouvernement mais aussi nous ce queon peut avoir comme comme information donc pour ça qu'on préconise qu'il y ait quand même une étude sérieuse à un moment pour qu'on puisse voir coû délai capacité tout seul avec des partenaires européens pourquoi pas j'ai le sentiment mais c'est c'est c'est un sentiment personnel que en ce qui concerne le quantique on est un peu comme en ce qui concerne l'atome on est au milieu des années 30 on sait que ça existe on sait qu'il y a des potentialités on sait qu'on peut en faire une arme on sait pas si on pourra en faire une arme mais en fait tout ça on sait que si on décide de se lancer dans le projet manatana et aujourd'hui je pense que la France et l'Europe on est on en est à ce point-là alors si on prend l'analogie comparaison et pas raison surtout en matière historique mais si on prend l'analogie avec le projet manatan comme il a été tardif puisque céit le projet américain du du prog nucléaire il a été tardif par rapport au russes aux Japonais et aux Allemands mais c'est pourtant celui qui abouti le premier je reste optimiste je me dis si on on lance notre projet Manathan de manière tardive peut-être qu'on arrivera les premiers mais à un moment oui il faut au moins il il faut au moins s'intéresser au sujet le travailler en profondeur et puis voir sérieusement quels sont quels sont les les potentialités moi je suis je suis convaincu que si en effet le le cantique s'affirme euh comme une réalité dans les années qui viennent euh on on est face à quelque chose en potentiel offensif qui qui peut être de l'ordre de la dissuasion nucléaire donc la question c'est savoir si on veut passer à côté ou non elle est là aujourd'hui la question soyons d'assu un peu prospectif voilà alors sur vos questions concernant euh la les ressources humaines alors moi je dirais que on est finalement c'est c'est c'est c'est ce que j'ai j'ai ressenti on n'est jamais mieux servi que par soi-même et je dois dire que comme cyber le partenariat qu'il a créé et les la formation qu'il a créé entre Polytechnique et l'pita qui est une école d'ingénieur a l'avantage de répondre aux besoins notamment euh d'experts bien sûr euh de femmes aussi c'est ce sera vraisemblablement plus féminisé mais pour répondre à votre question c'est une promo la première de 30 donc c'est pas ça ça ne suffira pas mais c'est un bon début moi je trouve que des partenariats entre des écoles d'ingénieur ou des ou des BTS des IUT avec d'autres d'utres supports ont l'avantage d'avoir un programme adapté aux besoins du COM cyber et puis de de féminiser donc donc pour cela je trouve que c'est positif euh mais c'est insuffisant il faudra aller plus en avant il y a d'autres écoles il y a saint-cir l'école il y a Brest voilà et moi je nous nous croyons à une une approche aussi sectorielle euh donc adapter une formation au besoins de la Marine nationale en matière de cyberdéfense estêt opportun voilà donc une approche sectorielle me semble intéressante euh et c'est ce c'est c'est ce vers quoi nous sommes lancés donc en ce sens c'est positif mais c'est insuffisant je suis bien d'accord avec vous mais on est finalement on l'a dit en début de notre présentation sur une un nouvel espace donc il faut adapter nos formations adapter nos approches et et c'est ce que le com cyber fait de manière très volontariste et que l'ensemble des armées fait également euh sur la LI donc la lutte informatique d'influence je vais quand même préciser disait que les armées françaises interviennent dans un cadre déontologique national et international on fait pas n'importe quoi n'importe comment donc je souhaite un peu vous rassurer quand même c'est que il ne font pas comme ils veulent voilà c'est c'est il y a un cadre qui sont très respectueux je dirais d'assuré et puis on est dans une démarche pour l'instant sur la l2i beaucoup défensive on peut dire c'estàdire que c'est de la lutte informatique d'influence défensive quand il y a des vagues de désinformation qui viennent du Sahel par exemple vis-à-vis des armées françaises ou de l'État français il s'agit de rectifier la l2i ces messages faux concernant notre pays et les armées de rectifier ces messages en message de vérité en le prouvant la l2i le permet et c'est vraiment dans cet axe là que les armées françaises en tout cas j'ai j'ai on a pu constater sont orientés on ne fait pas de la désinformation gratuite ou des moyens de communication pour décrédibiliser des États ou des ou des organisations étrangères par exemple merci je laisse la parole maintenant à l'orateur du groupe des Républicains Jean-Louis Diot merci monsieur le président si Madame et et monsieur le rapporteur mes chers collègues je tiens à vous dire à quel point votre exposé de ce matin était absolument passionnant clair et surtout très pédagogique et pour quelqu'un qui ne vient pas forcément de ce secteur et je comprends très bien à quel point mon collègue Mathieu a pu trouver l'atterrissage compliqué c'était d'une exceptionnelle clarté che tiens vraiment à à vous en à vous en remercier euh quelques questions votre éclairage sera précieux vous nous avez présenté l'architecture la doctrine française est-ce que vous avez procédé à une forme de benchmark de ce que font les autres pays européens ou nos compétiteurs stratégique comment cela se passe ailleurs question lié quelle est la doctrine auto en terme de cyberdéfense et quel est le lien enfin est-ce que dès maintenant il y a des leçons de l'Ukraine qui peuvent être tirées ou pas sur ce sujet toujours dans cette question benchmarc l'évocation du quantique est évidemment un sujet majeur j'ai beaucoup aimé ce que vous avez dit sur la rupture épistémologique potentielle entre l'atô et le quantique c'est peut-être ça là où aussi que font nos nos compétiteurs stratégiques 2è question euh donc le premier ensemble c'est l'ensemble benchmark 2è série de questions le mode SAS est un sujet de préoccupation qui m'inquiète beaucoup et depuis très longtemps donc quelle solution on pourrait avoir à moyen terme et à quel coût et question corollaire comment on fait pour la dissuasion puisque j'ai la faiblesse de croire que là on a réussi à faire fa des euh évidemment des solutions totalement totalement souveraines enfin c'est un détail mais c'est vraiment un détail pour comprendre vous nous avez dit que comme cyber c'était le commandement opérationnel cyber est-ce qu'il y a un commandement organique par ailleurs et qui joue ce rôle ou est-ce qu'ils sont à la fois organiques et opérationnels dans la distinction classique organique opérationnelle merci à vous je sais que c'est une longue salve de question mais à sujet passionnant chapelet de question merci pour le compliment ça ça nous va ça nous touche évidemment c'est c'est une satisfaction qu'on a travaillé plusieurs mois d'avoir c'est retour positif merci beaucoup je vais plutôt répondre sur le mode SAS déjà pour commencer c'est que les armées seules ne pourront pas répondre à cet enjeu à ce défi ils nous l'ont clairement exprimé et c'est logique puisqueen fait cette problématique concerne tous les ministères toutes les organisations les administrations centrales ça concerne la justice ça concerne l'éducation nationale bref ça concerne toute tous les ministères bon donc ce n'est pas aux armées de trouver des solutions les les derniers échanges qu'on a pu avoir nous prouvent que ils sont en attente ils sont bien conscients de cette problématique là et ce d'autant plus si Microsoft comme on l'a dit tout à l'heure vire tout en SAS en mode SAS donc il y a une vraie prise de conscience elle ne viendra pas la solution des armées du ministère des armées seul il y a au niveau des de l'interministéri de l'interministériel laadume c'est leur travail aussi c'està-dire qu'on a des des directions qui travaillent sur les systèmes d'information des ministères des administrations centrales donc la solution elle viendra je dirais au plus haut niveau et elle ne peut être possible que si le premier ministre dit stop vous trouvez des solutions pour tous les ministères après il faut trouver le niveau dire exclure tout les T tous les services ou les logiciel extraterritoriaux c'est pas sérieux on serait même peut-être même un peu ridiculisé dans le monde si on disait la France ne travaille plus sur voilà sur sur le Microsoft ça pas de sens mais il faut trouver la juste limite et ça on peut le faire mais ça va demander un petit peu de temps donc il est grand temps de le faire il faut que ce soit une volonté forte au plus haut niveau veau de l'État et pour moi le plus haut niveau de l'État sur ce sujet là c'est le premier ministre voilà pour pour pour le mode SAS et et et et nous parlementaires on peut aussi avoir un rôle à jouer sur ce sujetl il faut il faut s'approprier ce sujet au niveau du du du benchmark si on peut pas parler ainsi des des échanges que nous avons pu avoir avec soit les études que nous avons faites sur les pratiques de manière dans nos recherches soit les gens que nous avons rencontré notamment en Finlande et en Estonie ce qui fera le lien avec l'Ukraine d'ailleurs c'est que ce que nous avons remarqué et ce que nous avons constaté constaté je ne sais pas si vous l'avez ressenti dans notre rapport mais c'est que la la la la sensibilité cyberécurité cyberdéfense de la France quand je dis de la France et de tous les Français est très loin de ce que nous avons pu constater en Finlande et en Estonie voilà pour nous ce sont vraiment des modèles pourquoi et c'est pas nouveau c'est pas lié seulement à la guerre en Ukraine ils ont déjà cette culture là on va pas faire la promotion de l'Estonie qui a voilà qui qui qui est la référence pour nous qui sommes dans le numérique depuis des des des des années parce qu'ils ont franchi une étape sur l'identité numérique du citoyen sur voilà euh nous avons été impressionnés en Finlande et en Estonie sur le fait que dès l'école primaire dès le C CE2 cma1 les petits finlandais les petits estoniens entendent parler d'hygiène numérique de d'un esprit critique sur ce qu'ils reçoivent des réseaux sociaux des réseaux sociaux ils sont partie prenantes les enfants de la cyberrésilience de la nation en France ce que nous constatons c'est que la cybersécurité la cyberdéfense est une affaire d'expert c'est une un sujet très fermé il faut nous souhaitons par ce rapport sensibiliser l'ensemble des parlementaires et finalement de des auditeurs que il est nécessaire aujourd'hui étant donné les l'état de la menace l'état de notre organisation mais aussi la de notre gouvernance de ce sujet là d'ouvrir ce sujet à la nation tout entière et je pense que c'est ce que souhaite le président de la République avec la la révision de la revue stratégique cyber il est indispensable de le faire donc le benchmark en fait je dirais c'est une prise de conscience même si on est avancé qu'en cyberdéfense on a on est reconnu comme excellent et on est envié par les pays étrangers par notre organ ation cyberdéfense mais la cybersécurité c'est supra et il faut donc embarquer la Nation toute entière sur l'Ukraine et bien en fait la Finlande et l'Estonie sont en cybergerre ils sont en cybergerre ils sont en cyberdéfense on peut dire qu' ils sont attaqués en permanence et pas attaqués par des opérations de fishing de la population on n est pas là ce sont des attaques de de de site stratégique de survie pour pour leur pays donc ils sont en mode je dirais de tension permanente depuis la guerre en Ukraine sur la cyberdéfense et nous avons des des des leçons à à à à à recevoir et ils sont demandeurs aussi ils ont une humilité par rapport à tout ça ils reconnaissent l'excellence de la France notamment le travail l'organisation la création du COM cyber ils sont demandeurs d'exercice par exemple avec la France ils sont très demandeurs parce que eux on n'attaque pas de C de là toute proportion Gardier bien sûr un hôpital nous c'est quand un hôpital en France est attaqué cyber attaqué c'est c'est une catastrophe là-bas c'est tous les jours et pas qu'un hôpital l'usine d'eau la centrale électrique les gares donc ils sont prêts je dirais donc on a beaucoup à apprendre d'eux mais en même temps ils sont demandeurs de partager avec nous la France qu'il reconnaissent comme excellente dans ce domaine des exercices en grandeur nature oui alors sur le com cyber c'est à la fois organique et opérationnel les deux mais la la création de la Communauté cyber là en novembre en novembre 2023 la communauté cyber des armées le le le but c'est vraiment de de diffuser donc c'estàdire on ne centralise pas enfin on centralise moins et finalement je sais pas on passe à une à une à une prise prise de décision un caractère opérationnel en nuage en claud pour reprendre donc voilà c'est vraiment le la la la logique c'est de c'est c'est vraiment d'amoindrir la en tout cas c'est telle qu'on nous l'a présenté et telle qu'on l'a perçu aussi une centralisation qui peut paraître excessive alors sur le retour de la guerre en Ukraine oui on a bien sûr il y a des éléments bien sûr que N nous n'y avons pas eu accès la plupart sont confidentiel mais l'un des éléments en tout cas qui nous a frappé et auudelà de la guerre en Ukraine c'est sur les les les méthodes russes nous a amené à formuler la proposition que vous avez entendu tout à l'heure d'examiner les normes nationales et internationales au regard du mercenariat numérique mercenariat cyber donc là c'est par exemple un retour très concret qu'on fait de qu'on fait de de de ce retour d'expérience de la guerre en Ukraine et de et des et de la méthode russe en la matière euh exercice en situation réelle oui bah c'est bon je n'avais que ça à dire finalement et sur la stratégie typ de nos compétiteurs il il y a peu d'infos qui circulent en fait américain chinois voilà ce qu'on sait puisque le programme le plus avancé a priori serait le programme chinois voilà il est absolument évident que les chinois ne ne se lancent pas dans un ordinateur quantique pour dessiner les futures côtes de la future contrefaçon du sacouuton je dis ça parce que quand on on a parlé quantique aussi avec certaines aut autorité nationale vous a dit ah bah faut faut à tout prix de toute façon on fera rien sans le secteur privé bah pourquoi vous avez même pas chiffré on sait pas ah bah parce que ça coûte trop cher donc on revient sur ce débat là vous voyez et là où je dis que ça manque d'ambition et contrairement par exemple ch on a peut-être pas les mêmes capacités financières ou industrielles que sais-je mais tant qu'on a pas fait l'évaluation qu'on demande au titre d'une proposition on SAA pas si on capacité moi je crois profondément que l'Europe a cette capacité mais après voilà je c'est une conviction personnelle qui part pour pour l'instant pas étayé par cette évaluation qu'on appelle de nos vux euh mais il est absolument il il est absolument certain qu'il va falloir s'émanciper d'un certain nombre de de de de réflexes un petit peu dogmatiqu parce que lorsqu'on nous a parlé d'une nécessaire participation du secteur privé qui devrait avoir l'assurance qu'il peut exporter la technologie quantique dont on ne connaît pas les implications bon on a on a toussé un peu là on a calé euh moi j'ai j'ai posé une question un petit peu bête en forme si vous voulez de de de de contradiction en disant mais moi j'ai pas souvenir que démz-moi que le général de Gaulle a fait un appel à projet sur les marchés financiers pour la dissuasion nucléaire silence poly est gêné donc là il faut faut avancer faut aller à un niveau de maturité supérieure concernant quantique en ce qui nous concerne c'est absolument indispensable indispensable on peut pas rester dans dans l'obscurité c'est pas possible merci il nous reste trois orateurs et des questions donc je vous demande d'être plus précis concis mais je vous laisse la parole rassurez-vous monsieur monsieur le rapporteur merci le Président Monsieur le Président euh on s'accordera de d'utiliser le même créneau de temps que nos collègues qui ont parlé précédemment pour un point de vue d'équité vous me censurz vous me couperz le micro mes chers collègues rapporteur euh chers collègues merci vraiment pour votre exposé qui était vivant question passionnant éducant mais très inquiétant et très inquiétant sur plusieurs sujets et je vais revenir sur à travers mes quatre questions d'abord sur cette diapo millefeuille on parle du millefeuille administratif mais quand vous nous avez présenté cette diapo je je j'ai l'impression que on s'y perd soi-même il y a pas tout et donc à travers ceille vous avez dans votre rapport expliquer que ça fonctionnait mais pour autant est-ce que ça peut pas mieux fonctionner si comme dans le mifestratif on va aller chercher quelques coupes donc ce serait une réflexion à à avoir là-dessus pardon donc première question sur cefeuille votre analyse est-ce qu'on peut le rendre plus opérationnel plus fonctionnel parce que c'est peut-être un peu inquiétant deuxiè chose vous avez parlé évidemment des des des attaques cyber défense mais vous avez globalisé c'est c'est toute la population à travers des attaques cyber d'hôpitaux de collectivités est-ce que d'entreprise aussi hein est-ce que vous avez quantifié le nombre sur une année 2023 ou 2022 d'attaques globales cyber que notre pays a connu et ça aussi ça va pour notamment ce que vous avez dit Madame la rapporteur pour embarquer un maximum de population on peut embarquer la population si on connaît les chiffres et si on expose que la totalité de chiffres concerne dans nous concerne notre quotidien ma ma ma trisème question réflexion ira sur su que vous avez pas trop évoqué à l'oral mais dans votre rapport oui c'est sur les messageries cryptées les messageries privées qui font œuvre quand même de aussi de cyber des menaces là pendant votre éition je regardez sur une boucle télégram euh quand on clique sur personne à proximité on identifie les personnes qui sont à proximité qui pour autant qu'on ne connaît pas obligatoirement il y avait 10 10 personnes manifestement de 10 profils chinois qui étaiit connectés à moins de 500 m d'ici donc c'est toujours interrogatif de pouvoir voir donc quel regard est-ce que vous avez sur ces messageries cryptées qui sont télégram et WhatsApp est-ce que chap est une solution comment on l'a décliné je voudrais avoir votre ressenti là-dessus et pour conclure euh comment ne pas parler des réserves évidemment euh vous avez évoqué dans ce millefeuille de la diapo tout en bas il y avait la diapo sur sur les réserves citoyens vous avez évoqué les 500 postes en plus dans les réserves opérationnelles euh je tiens à le préciser évidemment il en faudrait en plus je suis bien d'accord avec vous pourtant sur la réserve citoyenne qui était tout en bas du pictogramme c'est une manne utile nécessaire comment est-ce que la politique de défense nationale seopère là-dessus est-ce qu'il y a vraiment un enclin on avait vu que pendant les débats LPM il y avait pas totalement une compréhension sur l'utilité notamment sur cette réserve citoyenne pour aller parler au plus près et notamment comme l' signer des écoles des écoliers parce qu'ils sont ce sont des bénévoles qui sont à disposition et qui sont passionnés qui pourraient retranscrire cette information je vous remercie oui merci merci pour pour vos questions donc sur la réserve citoyenne c'est un sujet qui qui effectivement est est est stratégique hein aujourd'hui pour sur le sujet de la cyberdéfense euh alors c'est utile et indispensable il y a effectivement un objectif sur la réserve opérationnelle pourquoi parce qu'en fait et qui contribu au lien armé nation il diffusent l'esprit cyber dans dans leur métier par ailleurs ils sont comme son leur nom le nom l'indique opérationnels ils sont en capacité de mener des opérations ils sont donc des militaires euh il ils sont dans les socs donc les les centres de supervision dans les centres opérationnels ils sont stratégiques dans la politique et de la mise en œuvre de la politique cyberdéfense française effectivement au niveau de la réserve citoyenne c'est un second sujet très important tout aussi important elle a eu exister je dirais elle a eu exister la réserve citoyenne cyber j'en ai pas j'ai échangé plusieurs fois avec le général bonne maison le patron du COM cyber sur le sujet il y a une volonté de la remettre en œuvre c'est vrai que je dirais qu'il faut hiérarchiser les priorités la priorité c'était la réserve opérationnelle et finalement la réserve citoyenne vous le savez si vous êtes engagé vous-même et des réserves citoyens il y en a beaucoup ici elle est plutôt active avec les gendarmes ils ont une réserve citoyenne qu'il font vivre et qui contribuent au quotidien euh dans leur domaine de compétence au rayonnement ou au lien armé nation il y a également des réservistes mais plutôt opérationnels dans la police nationale et puis au niveau des armées moi j'imis le vœux effectivement qu'on réarme si je peux parler ainsi la réserve citoyenne parce que dans la réserme citoyenne cyber on a des vraies compétences juridiques euh dans les collectivités locales dans les grandes entreprises donc pour la réserve citoyenne je pense et c'est ce qu' a affirmé en tout cas le général bonne maison il y avait cette volonté et le CMA de redéployer la réserve citoyenne cyber et et bien sûr on sera là à leur côté pour que pour que ce soit le le cas avec plaisir sur l'organigramme simplement le problème c'est que euh et le millefeuille on on peut on peut couper aucune compétence il ne faut couper aucune compétence par contre on a un point majeur c'est qu'il va falloir au niveau de la gouvernance ça été d'ailleurs le premier point de notre rapport il va falloir réorganiser la cyberdéfense en France et qu'on trouve que c'est extrêmement siloté trop siloté il y a des chasses gardées et ça c'est inacceptable et deuxièmement je le dis et deuxièmement c'est très pyramidal c'est du haut vers le bas nous on pense qu'il faut que soit transversal et sur sur le alors on vous a donné la diapo simplifié parce que comme soufflait notre collègue béamity il dit il en manque ah ça c'est la vraie diapo c'est ça voilà donc ça c'est le vrai cloud bon en effet le le faut voir c'est une construction chacun s'est doté de ses capacités propres et aujourd'hui on se retrouve avec un mil feuille ou je sais pas moi un montage en écaille de en écaille de de carapace de chacun a son sa capacité propre et aujourd'hui la question pardon pas de ministre non non non mais vous avez raison vous avez raison d'ailleurs c'est une question qui est posée dans le d'ailleurs c'est une question qui est posée en doctrine cyber il y a des gens qui réfléchissent là-dessus qui font des propositions sur un ministère qui est spécifiquement dédié mais bon voilà chacun s'est doté de sa capacité propre la création de la Communauté cyber des armées va dans le B bon sens justement mais Anne l'a dit nous sommes très attachés à un continuum de sécurité de résilience cyber de la nation donc on va pas pouvoir rester très longtemps et on le dit et tant pis si ça va au-delà de certains conservatismes d'habitude qui ont été prises dans dans des services va falloir prendre en compte les collectivités territoriales les établissements publics voilà de manière sérieuse et et vraiment de de de de globaliser ça de prendre ça comme une comm comme une globalité donc forcément si cette ambition arrive à maturité bah il y aura des changements dans l'organigramme et ce sera sans doute plus lisible mais en effet on a raison on peut pas on peut par contre on peut pas se priver de compétences on peut pas se priver d'effectif on peut pas couper on peut réorganiser le le le nuage mais on peut pas singulièrement couper euh voilà sur les messages récryptés on n pas eu le temps on sait que ça pose des problèmes mais voilà et puis ça dépend la propriété intellectuelle des des fournisseurs de services donc on n pas accès à ces informations là lorsqu'ils disent c'est parfaitement sûr ou en fait ça l'est pas il y a des portes dérobées et cetera on on on sait pas mais en tout cas oui c'est en tout cas en terme d'hygienne numérique euh on sait que dans les armées il y a des consignes qui sont très claires voilà ne prenez aucune messagerie soit-disant crypté comme quelque chose de sûr voilà pas toujours respecter on l'a dit mais en tout cas ça se diffuse euh et puis et puis et ben c'est non on n pas le on n pas la rapport d'activité 26 ouais ENF alors c'est nombre d'attaques connu on a insisté aussi sur cet aspect-là il y a des attaques qu'on découvre plusieurs années après hein et sachant que les attaques sont multiformes euh donc à la limite rapport de lenc mais même là une partie de l'information est confidentielle puisque il y a certains opérateurs services pour lesquels dire le nombre d'attaques dont ils ont été victimes et en soit une information confidentielle voilà l'orateur du Parti socialiste Madie Thas merci Monsieur le merci au nom du groupe socialiste je vous remercie pour votre implication dans ce travail parlementaire dans l'élaboration de ce rapport qui est force de proposition et qui fait honneur à l'audace de notre travail parlementaire donc bravo à tous les deux nous partageons le fait que l'anticipation et la lutte contre les menaces cyberes est primordial dans notre approche des conflits modernes et doit être un élément structurant de notre politique de défense nationale les attaques cyber sont à la fois discrètes et ont une portée sans limite vous l'avez très bien dit et notre service public et notre économie sont devenus des cibles de choix j'avais deux questions concernant le travail parlementaire à venir ou en tout cas le travail parlementaire qui pourrait émerger en réaction à votre rapport une première question concernant les logiciels pour reprendre votre raisonnement concernant les softwar as a service que l'on appelle en bon français les logiciels services quel dispositif législatif peut-on imaginer pour encadrer cette pratique et donc contrer leur expansion dans le paysage du logiciel pourrait-on par exemple contraindre par la loi chaque éditeur de logiciel proposant un logiciel service par abonnement a obligatoirement proposé une version sous licence propriétaire qu'en pensez-vous par ailleurs au sujet de l'intelligence artificielle un aspect intéressant soulever dans la lutte informatique offensive et dans la lutte informatique d'influence les cyberattaques peuvent avoir pour cible des bases de données euh pour des des intelligences artificielles générativ et donc pour les corrompre et aussi influencer la production de ces intelligences artificielles comment garantir la protection de ces bases de données faudrait-il imposer aux éditeurs un stockage physique en France ou à minima en Europe je vous remercie sur votre merci pour vos questions madame la députée sur sur votre dernière question faut bien avoir en en tête la localisation en soi euh n'est n n'est pas une n'est pas une garantie l'extraterritorialité de certains droits de certaines pratiques notamment l'extraterritorialité du droit américain qui est pas toujours d'ailleurs maîtrisé on a on a été surpris hein dans nos auditions une fois ou deux euh le fait d'avoir un serveur je sais pas par exemple de Microsoft ou d'Amazon sur le sol français ne nous prémunit en rien de l'ingérence du département d'État américain sur nos données voà faut être très clair là-dessus la localisation là il faut faut vraiment qu'on évacue cette cette question là la vraie question c'est celle du conflit de loi qu'on peut peut-être provoquer avec les États-Unis en mettant les opérateurs dans des situations impossibles c'est-à-dire vous ne répondez pas à la réquisition du département d'État américain vous êtes en situation d'illégalité vis-à-vis du droit pénal américain et euh vous y répondez vous êtes en situation d'illégalité dans les mêmes conditions au regard du droit français et euh alors c'est le cas mais de pousser ça en terme de conflit de loi au niveau international qui est une technique juridique qui euh qui amène les ensuite à devoir discuter sur le règlement de ce conflit dois par une convention internationale ce qui aujourd'hui n'existe pas euh sur le travail parlementaire bah le rapport vous appartient maintenant c'est l'avis d'un rapport que une fois qu'on l'a présenté bah c'est plus notre c'est plus notre uniquement notre œuvre mais on espère que ce sera votre œuvre à venir donc oui on peut imaginer des tas de choses on peut imaginer d'imposer des des systèmes propriétaires et cetera mais là encore même sur des systèmes propriétaires technologiquement parlant la question des portes dérobées euh se POS donc il y a vraiment la question aussi de se doter de solutions qui nous permettent de nous prémunir grâce à l'architecture qu'elle soit matérielle ou logiciel hardware ou software de se prémunir de de la mise en œuvre de porte dérobbé parce qu' on peut tout à fait acheter un système propriétaire et se retrouver déjà caviardé avant même de l'avoir mis en place c'est ça ça c'est c'est c'est c'est absolument c'est c'est c'est absolument évident on voilà on a ressenti un malaise lorsqu'on parlait de Windows quand même en insistant en insistant on finit par avoir l'argument d'autorité en disant ce sont nos alliés les Américains oui enfin ce sont nos alliés qui nous ont le plus espionné ces dernières années en tout cas manière connue par le grand public et à contrario on nous dit bah non on a nos systèmes propriétaires pour l'instant donc on a la main dessus la question que j'ai posé à chaque fois dans ces ces caslà c'est donc du coup ça ne pose aucun problème d'acheter chez Huawei ah bah si ça pose un problème d'accord donc quel problème et les problèmes qui étaient égrainé était exactement les mêmes problèmes potentiels que nous pouvions avoir avec Microsoft vous voyez ce que je veux dire donc en effet la question elle est la question elle est en effet de solutions souveraines sur lesquelles on est pleinement la main et juridiquement et matériellement je sais pas si tu veux compléter oui juste pour compléter nous avec mon collègue nous n'avons jamais en fait travaillé dans l'optique d'un travail législatif on a vécu vraiment cette mission et après effectivement on partage et il y a pas d'objectif en tout cas moi je j'en ai pas je parle pas pour mon collègue mais en tout cas je n'en avais pas donc maintenant on va voir ce qui peut ressortir préconisation on a nos préconisations mais voilà il y avait pas une un objectif législatif réglementaire ça derrière juste sur sur la protection la souveraineté on a moi je crois beaucoup quand même à notre à l'impact et au travail de l'Europe je pense qu'on va être dans le sillage de de l'Europe il y a différentes choses on a on a voté au Parlement le le la loi serine hein donc réguler l'espace numérique sécuriser réguler l'espace numérique il va y avoir une CMP avec là dans dans les semaines prochainement il y a l'iucs l'UCS qui est donc ce qui permettra finalement de fixer le niveau de cybersécurité imposé en Europe et la France contribue fortement l'an joue un rôle majeur là-dessus on souhaite que la France ce soit elle qui donne un peu le ton du niveau de cybersécurité qu'on exige en Europe j'espère qu'on atteindra cet objectif il y a ensuite Nice 2 Nice 2 mais c'est 12 15000 entités c'est pas toutes les entités françaises non plus mais c'est aussi un début et et comme mon mon collègue je pense qu'effectivement c'est pas la localisation qui compte c'est la cybersécurité des data centers ou en tout cas des des des des espaces où sont sauvegardé les données qui comptent et puis d'autre part par euh pour vous rassurer le ministère des armées détient possède en propre un data center merci pour terminer des orateurs je laisse la parole à horizon loï kvrand merci monsieur le Président euh je voudrais commencer ce propos par remercier nos deux corapporteur et saluer quelques points qui me paraissent particulièrement importants d'abord euh le fait que votre l'importance de votre travail le nombre d'auditions vos déplacements français à l'étranger sont vraiment perceptible dans la la qualité de du rendu souligner aussi que l'expérience de la coapporteur et notamment en tant qu'élu local ce à quoi nous sommes particulièrement attachés chez Horizon se reflète aussi je crois dans dans vos travaux et vos préconisations saluez également votre bonne entente et cette capacité à dépasser les différences politique que nous avons vraiment singulièrement je crois dans cette commission mais qu'on pourrait avoir utilement sur d'autres sujets qui relèvent aussi de de l'intérêt général et et aussi dire que finalement l'approche globale que vous avez adopté qui va au-delà des forces armées qui mais qui s'inscrit bien dans la question de la Défense nationale elle elle augure aussi un peu de la l'orientation des travaux de la commission cette année sur ces aspects de défense et de résilience nationale et c'est un une excellente manière de rentrer dans cette dans cette phase là euh sur la question de la gouvernance je veux saluer le vos objectifs de lisibilité de globalité pour la une cyber dééfense plus résiliente et aussi peut-être vous interroger sur cette idée de mieux partager les le savoir-faire des armées d'abord pour pour mieux comprendre est-ce que vous jugez que les armées ont une capacité ont une marge de manœuvre justement pour partager euh on le temps on les effectifs et cetera pour partager s ses savoir-faaires euh vers le civil je comprends que c'est votre votre point une question précise aussi puisque vous évoquez les effectifs du centre de veille et d'alerte et vous nous dites qu'il faudrait les augmenter est-ce que vous avez une idée du nombre de TP finalement est-ce qu'on parle de de quelques personnes quelques dizaines quelques centaines enfin quel est quel est l'enjeu pour nous législateur qui regardons aussi ces budgets là et enfin vous vous évoquez votre souhait de la création d'une commission parlementaire sur sur le sujet est-ce que vous jugez que la la délégation parlementaire au renseignement ne s'intéresse pas assez à ces questions de cyberdéfense puisque vous avez évoqué l'importance he des du rôle des services de renseignement dans dans ces questions comme vous savez les parlementaires de de la DP sonabilité es qualité et ont d'ailleurs produit un certain nombre de travaux sur les questions de de cyber finalement où est la marge de de progrès est-ce que ça justifie réellement une commission à part entière pour compléter éventuellement merci beaucoup merci chers collègue pour tes remarques et je vais plutôt intervenir moi sur au niveau de la gouvernance sur l'importance qu'on a don accorder à finalement au partage euh et au savoir-faire des armées parce qu'il s'agit bien de cela les militaires sont vraiment des acteurs d'excellence en France sur le sujet de la je dirais de la prévention la sensibilisation de leurs hommes de leur organisation jusqu'à la gestion de crise et la remédiation et l'idée c'est évidemment pas et je tiens à rassurer le com cber ou le ministre des Armées n'est pas de faire intervenir les militaires dans le civil à la demande par exemple lors de d'action ou de ou de crise cyber c'est par contre nous trouvons dommage qu'il n'y ait pas davantage de partage de pratique de feuille de route finalement de mode d'emploi si je peux parler ainsi de leur capacités et leur savoir-faire et notamment vis-à-vis des entités civiles hôpitaux collectivités établissement public voilà ou en tout cas il y ait un intermédiaire entre eux et ses acteurs pour diffuser et mettre en œuvre ces bonnes pratique par exemple l'exercice comment une commune de 100000 habitants doit réagir pour pas que ça se diffuse pour pas que ça bloque tout pour éviter le drame donc euh doit mettre en œuvre du des exercices qui sont mais en en pratique quotidienne pour les militaires oui la question de la spécificité d'une commission alors tout le renseignement n'est pas contenu dans le cyber le cyber ne ne contient pas tout le renseignement donc c'est vrai que la la délégation parlementaire en renseignement est une commission ad hoc mise sur le renseignement euh mais pour nous les les les domaines même s'il peuvent se superposer ne ne ne se confondent pas de de manière de manière totale après rvons un peu peut-être que dans 10 20 30 ans qu'on aura mis en place cette commission que nous appelons no vux on se dira bah il faut une commission plus large qui met la Commission des techniques de renseignement la délégation parlementaire au renseignement plus cette commission sur le la la cyber défense euh à notre sens bon il y a y a il y a la question de la lisibilité si vous voulez une la plupart des opérations dans le domaine cinétique comme on dit ça c'est un truc que j'ai appris c'estàdire le monde réel la plupart des opérations sont visibles il y a bien sûr des opérations clandestines qui qui ne sont pas la plupart des opérations sont visibles dans cyberespace rien est visible donc c'est vrai que en terme de fonction de contrôle parlementaire il faut à un moment qu'on ait un reporting sur l'ensemble des de ces opérations lesquelles ne sont pas toutes entièrement couvertes il y a des parties qui sont couvertes par secret de la défense mais certaines non donc c'est pour ça qu'on est plutôt sur une commission à hoc j'espère que je suis clair parce que on peut avoir quand quand on a bosser plusieurs mois sur ce type de questions on peut avoir tendance à croire que tout est tout est parfaitement limpide et n'hésitez pas franchement si il y a des demandes de précision insisté merci sur le centre de VE d'aler nous allons euh on n pas pardon oui on a oublié ça sur centre de B d'alerte on n pas les effectif alors faut voir certains ont parlé parmi vous d'audace en ce qui concerne notre rapport euh on remet en cause sur bien des aspects le modèle tel qu'il existe aujourd'hui donc il est évident par exemple que lanc va pas nous donner euh les là comme ça enfin c'est c'est pas des c'est pas des des des des réponses qu'on a de combien il manquerait de personnes pour par exemple mieux garnir la la fonction de protection dromcom comme on l'a comme on l'a expliqué donc ça c'est peut-être aussi pour répondre encore en diff à votre question l'objet de futurs travaux parlementaires sur lesquels il faudra se pencher mais c'est vrai qu'on avait pas les moyens en terme de temps euh d'aller creuser à ce niveau de détail qui nous aurait demandé de déverrouiller pas mal pas mal de choses quand même voilà je crois qu' merci mesdames et Messieurs les orateurs il y a deux questions monsieur José gonzalz vous avez une minute une minute j'en utiliserai quelques secondes de moins merci président madame monsieur le rapporteur tout d'abord félicitations pour le travail que vous avez effectué mais ça on vous l'a déjà dit et merci pour l'éclairage que vous nous avez apporté sur ce sujet aussi actuel que la cyberdéfense le général ch déclaré récemment ce qui concerne liia que l'intelligence artificielle ne changera pas la nature de la guerre or l'usage de l'intelligence artificielle dans le domaine de la cyberdéfense et de la défense s'intensifie ces applications sont diverses et le conflit actuel en Ukraine dont je ne peux que regretter le manque d'attention de la part de notre commission défense la bien mise en lumière les Ukrainiens utilisent les moyens cybè pour rattraper leur retard sur les Russes le général Grégoire de Saint-Quentin ex-patron du Commandement des Opérations Spéciales semble adopter lui la même ligne que le général chil cher rapporteur madame monsieur eu égard aux auditions que vous avez mené avec Briot durant ces semaines de travail partagez-vous cet avis ou au contraire pensez-vous que l'intelligence artificielle bouleversera la nature des conflits modernes est-ce simplement un outil complémentaire des moyens existant et enfin quelle stratégie la France doit-elle adopter pour s'adapter au nouveau défi de l'intelligence artificielle et l'intégrer pleinement à notre stratégie de défense je vous remercie je passe la parole tout de suite à Madame levre merci monsieur le Président Madame la rapporteur monsieur le rapporteur donc une question rapide pensez-vous que la montée en compétence en effectif progressif de l'an pourrait amener à combler le recours au secteur privé si oui à quelle échéance vous avez parlé vous avez évoqué je crois 2031 mais en attendant les protocoles de contrôle a sur-t la protection des données auxquelles c'est société aurait accès alors que certaines sont étrangères ou côté en bourse donc particulièrement instabl et qui peuvent même passer de changer de main de très rapidement voilà merci merci Monsieur gonzalz simplement lien finalement va modifier non pas effectivement le le le la la forme des conflits simplement la maîtrise et et la dépendance l'indépendance que nous pourrions acquérir grâce à notre propre politique euh intelligence artificielle nous permettrait d'avoir une supériorité opérationnelle c'est ça l'objectif c'est un moyen en fait supériorité opérationnelle de de mieux connaître d'anticiper nos nos adversaires nos ennemis euh et ensuite comme on l'a dit au niveau de la l2i de pouvoir mettre en œuvre des actions euh qui nous positionneraient dans une situation euh je dirais de de de métrise et d'avance par rapport à nos adversaires merci oui sur la question des des des des sociétés puisqueen fait en effet l'an intervient en propre sur des des crises suffisamment importantes des attaques ou série d'attaques suffisamment importantes pour justifier son intervention et la plupart du temps en effet en dehors de ces cas spécifiques la recours à des prestatairs privés qu'elle agrs selon un cahier descharges euh la question principale je pense c'est alors oui il y a la question de la confidentialité la conf confidentialité des données don ces entreprises auraient à connaître au cours de leur intervention nous pensons que en l'état actuel le droit pénal peut répondre euh à ces exigences de protection euh par contre ce qui peut être plus en question c'est la qualité très diverse des interventions qui peuvent avoir lieu c'est-à-dire qu'on est bien obligé d'agréer des entreprises privées selon un cahier dé chararges mais ça ne dit pas euh ni quelle est la rigueur du cahier des charges euh ni quelle est sont les contrôles qui sont mis en œuvre au long cours pour s'assurer du respect du du cahier des charges en question donc finalement je remets pas en cause le la rigueur de lanc sur la question mais il y a un défi capacitaire c'estàdire qu'il faut bien avoir des entreprises et encore une fois singulièrement aussi dans les dromcom qui puisse intervenir sur place s'il y a besoin et que là on se doute bien qu'il faut être très adaptable on peut pas placer un niveau d'exigence beaucoup trop élevé sinon on agrit personne et finalement on n' pas la capacité qu'on entend avoir à travers ces entreprises privées donc donc c'est plutôt sur cette mécanique là il me semble que les questions et les préoccupations doivent être posées merci bravo mais félicitations pour ce [Applaudissements] rapport nous allons donc procéder maintenant si vous le voulez bien au vote pour autoriser la publication de ce rapport qui est pour on peut voter oui bien sûr qui est contre qui s'abstient la commission autorise donc la publication de ce rapport je tenais à vous remercier et je vous souhaite une bonne journéeurés merci excusez-moi tu l'auras en en livr en livr en