P01 (FR) (2/5) - Discours de Xavier Bertrand, Président de Région Hauts-de-France

Merci Marc et merci Guillaume, à la fois pour votre présentation tout à l'heure. Marc d'avoir été précurseur, visionnaire et de montrer aussi qu'aujourd'hui encore, après toutes ces années, il a toujours des idées et une vision d'avance. Merci aussi parce que ce FIC ne pourrait pas avoir lieu sans le concours de la gendarmerie et votre présence, monsieur le directeur général, mon général, est importante.

Et plus que cela, puisque nous aurons l'occasion de signer, à nouveau tout à l'heure, un nouvel engagement pluriannuel. Je voudrais bien évidemment saluer, ça a été dit, la ténacité. Parce qu'il en faut de la ténacité.

Les organisateurs qui ont voulu la tenue de cette 13e édition, malgré les conditions délicates, très délicates, qui sont imposées pour ce type d'événement. Mais la ténacité, vous n'en manquez pas. Il a fallu aussi beaucoup d'inventivité pour que plusieurs FIC virtuelles puissent se tenir, afin de garder toute cette communauté, toute cette grande communauté mobilisée, au-delà même de ce grand auditorium.

Il a déjà été beaucoup question d'attaques informatiques dans ces lieux depuis hier. Pour être focalisé sur les attaquants, vous êtes plus expert que moi, vous en parlerez mieux que moi. J'aimerais revenir sur les différents profils de victimes de ces attaques.

Ce sera aussi pour moi l'occasion d'illustrer des orientations locales, nationales, européennes, internationales, qu'il me semble absolument nécessaire de mettre en œuvre dans le cadre d'une politique de cybersécurité, qui à la fois protège dans la durée l'ensemble des Français. C'est l'idée de cybersécurité pour tous à laquelle je crois, sur laquelle je travaille, et également participe à la sécurité et à la stabilité du cyberspace. Nous le savons toutes et tous, l'an dernier, des milliers d'artisans, de commerçants, d'entreprises, des PME, des ETI, centaines de collectivités territoriales, d'établissements publics, mais aussi de petites communes, ont été victimes d'attaques informatiques.

Beaucoup de ces acteurs ont été livrés à eux-mêmes lorsqu'il s'est agi de réagir, parce qu'ils ne savaient pas comment faire. Si les précautions minima n'avaient pas été prises, et même parfois malgré elles, certaines de ces victimes n'ont eu d'autres solutions que de déposer le bilan s'est arrivé, ou de repartir d'une page blanche avec tout le retard que ça occasionne. Je voudrais faire écho, et un ami m'en parlait ce matin, au ministre américain de la Défense, Léon Panetta, qui avait évoqué il y a dix ans la possibilité d'un perle-arbor numérique.

Il y a un hebdomadaire national, titré il y a quelques jours, « Cyberattaque, la nouvelle pandémie ». Vous le savez toutes et tous, mais le grand public n'en a pas forcément conscience. Oui, la prochaine pandémie sera cyber, mais il y a aussi un autre aspect, c'est qu'elle sera certainement répétitive.

Vous, vous le savez, le grand public n'en a pas forcément conscience ni connaissance. Et informer le grand public est à mon avis une exigence, non pas que ça là, mais qui montrera bien l'état de préparation, mais aussi les moyens que nous aurons besoin de déployer pour être à la hauteur de ces enjeux, de ces défis, de ces dangers. Posons-nous quand même cette question.

Que se passera-t-il demain quand cette pandémie arrivera ? Quand des dizaines, voire des centaines de milliers d'entreprises, de collectivités, de particuliers, seront touchées par exemple par une attaque de type rançongiciel, quelle que soit l'origine de cette attaque. Si nous ne nous y préparons pas, en cas de pandémie informatique, entreprises, collectivités et particuliers ne pourront pas réagir seuls.

Et l'État ne pourra pas forcément intervenir partout où ce sera nécessaire. Vous le savez, je plaide pour qu'il y ait une nouvelle répartition dans notre pays, où l'État assure ses fonctions, ses missions, son cœur de métier, qui sont les fonctions régaliennes, mais où nous puissions avoir un nouveau partenariat entre l'État et les autres acteurs, au premier rang desquels les collectivités territoriales. Et c'est, à mon avis, ce qui permettra de donner tout un contenu au concept de cybersécurité collective et collaborative.

C'est bien, si je ne me trompe pas, le thème de ce FIC. Le choix récent qui a été fait par le gouvernement de subventionner temporairement les collectivités territoriales les plus avancées ou les plus importantes pour un accompagnement technique ou la création de CSIRT, j'ai d'ailleurs accepté la proposition de l'ANSI de confier à la région Hauts-de-France la responsabilité du fonctionnement du CSIRT. Je le dis très clairement, c'est quelque chose d'important, c'est vrai, mais il faut aussi veiller à ce que, dans cette idée de cybersécurité pour tous, nombre de collectivités, même si ce sont les plus petites, ne soient pas oubliées.

Et je pense donc qu'il faut veiller à couvrir et à proposer une couverture pour toutes et tous. Une politique publique de cybersécurité doit donc établir un partenariat de confiance entre l'État et l'ensemble des régions et plus largement les collectivités qu'ils souhaiteront pour permettre à terme aux collectivités territoriales de prendre en main leur propre sécurité, cybersécurité et celle de leurs administrés qui ne relèvent pas d'une réglementation particulière, nationale ou européenne. Alors si je vous dis cela, il faut aussi, clairement, que la région se soit engagée dans la cybersécurité.

Autrement, ce serait un discours parmi d'autres. Mais vous le savez, je suis déjà intervenu devant vous à différentes reprises. Après les annonces du gouvernement, en 2021, nombre de collectivités ont accéléré.

Nous, nous l'avons fait avant. Parce que ces stratégies nationales d'accélération cyber, nous avions vu grâce au FIC. Et parce que nous sommes partie prenante dans le FIC, qu'il fallait avancer dans cette direction.

Nous avons donc mis en place dans la région des dispositifs concrets au service des TPE et des PME. Que ce soit les diagnostics, que ce soit le financement avec les passes cyberinvestissement, ou que ce soit également sur la formation de référents cyber dans les TPE et PME. Et c'est aujourd'hui une réalité.

Je l'avais appelé de mes voeux, voilà maintenant quelques années. C'est aujourd'hui une réalité. Et nous avons besoin de booster, encore une fois, la connaissance de ces dispositifs.

Nous y mettrons tous les moyens nécessaires. La déclinaison territoriale de cette politique s'appuiera à la fois sur les contenus et services proposés par la plateforme collaborative publique-privé cybermalveillance.gouv.fr, à laquelle Région de France vient d'ailleurs d'adhérer.

Elle pourra s'appuyer, général, vous l'avez rappelé, sur le tissu local de prestataires de cybersécurité, notamment les experts cyber, identifiés par cette même plateforme, et sur le réseau des gendarmes NTEX. Ce n'est pas la première fois, ce n'est pas la dernière fois que la région accentuera son partenariat avec la gendarmerie nationale. Enfin, cette politique publique s'appuierait sur les campus régionaux, et je pense évidemment au rôle de RAT Technologies, même si la plupart des régions françaises ont développé des campus cyber ou s'apprêtent à le faire.

Et enfin, je n'oublie pas l'idée, le projet de futur campus cyber, piloté par Michel Vandenberg, qui aura la vocation particulière d'animer ce réseau de campus, avec mon ami Damien Castelin, président de la Métropole européenne de Lille, nous aurons l'occasion très prochainement de dévoiler nos intentions et un nouveau projet en la matière, mais l'heure n'est pas à cela ce matin, nous le ferons ensemble. Vous l'avez compris, la stratégie de la région des Hauts-de-France, elle est à la fois de défense, nous protéger, protéger tous nos acteurs, protéger les particuliers, mais c'est aussi une stratégie offensive. Je souhaite que notre région soit fer de lance, dans cette nouvelle dimension. je souhaite que cette filière de la cyber, qui est à la fois synonyme d'emploi, d'innovation, de recherche, trouve toute sa place dans la région, et nous avons aujourd'hui, plus que des briques, un véritable édifice en matière de filière de cyber défense.

Je voudrais revenir maintenant sur un deuxième profil de victime, les personnes qui utilisent quotidiennement des infrastructures sous attaque informatique. Je ne reviendrai pas sur des exemples, mais si vous me permettez, ce n'est pas à vous seulement que je m'adresse, public d'experts, de professionnels. Je voudrais, au-delà de vous, faire prendre conscience au grand public de ce qui se passe, de ce qui se trame, et de ce qui peut se passer.

Les hôpitaux partout en France, en Grande-Bretagne aussi, les clients de Colonial Pipeline à l'est des Etats-Unis ou en Floride, et surtout, les consommateurs du réseau d'eau de Tampa, qui ont échappé à un empoisonnement. Car un pirate informatique avait réussi à hacker le réseau d'eau potable pour donner des instructions, pour augmenter un niveau dangereux, la concentration en un additif chimique. Tout ça, c'est une réalité d'aujourd'hui.

Mais il faut savoir également, je le dis pour le grand public, que tout cela, les professionnels de la cybersécurité s'y préparent et veillent à nous protéger. Mais aussi, nous avons en France, je le dis, la chance d'avoir l'ANSI, qui a connu une croissance importante et son expertise est aujourd'hui reconnu à l'international. C'est un choix, l'ANSI, qui a permis à la France d'être la première nation au monde à adopter une législation favorisant une meilleure protection des opérateurs d'importance vitale.

Son organisation et son évolution réglementaire nous permettent aujourd'hui d'être une référence avec nos partenaires européens. Et je voudrais saluer tout particulièrement Guillaume Poupard, qui dirige cette agence avec beaucoup de talent depuis maintenant sept années. Je tiens personnellement et publiquement à saluer le rôle qui est le vôtre aujourd'hui.

Pour le reste, nous aurons, dans les mois qui viennent, à faire évoluer, après avoir évalué, les conséquences de la mise en œuvre de la revue stratégique de cyberdéfense de 2018 sur l'efficacité et le rayonnement de notre organisation. Comme il nous faudra aussi évaluer l'efficacité de la dépense publique effectuée dans le cadre de la stratégie présentée cette année. A titre personnel, je pense que le retour au modèle interministériel initial qui plaçait le Premier ministre et l'Annecy en charge de la définition et de la mise en œuvre de la stratégie nationale, c'est pour moi ce qui est le plus souhaitable.

Vous y avez fait allusion générale. J'aurais à revenir un court instant. Troisième profil de victime, ce n'est pas forcément ce que certains retiendront, mais c'est pourtant essentiel.

La démocratie, la vie démocratique, les relations entre les États, la paix, ou plutôt, si nous ignorons la réalité des dangers, l'éventualité de la paix. L'été a été rythmé par différentes affaires, bien évidemment. l'affaire Pegasus, la pénétration des réseaux informatiques, d'infrastructures vitales d'un État pour les piéger ou les faire dysfonctionner, c'est tout simplement quelque chose d'inadmissible.

La récente demande du président américain ou du président russe de ne pas effectuer d'attaques informatiques sur 16 secteurs d'importance vitale montre clairement le niveau de tension entre États auxquels nous sommes parvenus. Nous ne sommes pas dans un film. Nous sommes tout simplement dans la réalité des rapports entre États souverains.

Tout le monde a compris qu'un conflit issu du cyberespace déboucherait inévitablement sur la guerre, de nombreux États ayant indiqué qu'ils se réservaient le droit de riposter de manière conventionnelle à une attaque numérique. C'est en 2016 que l'ANSI avait organisé une conférence internationale sur la paix et la stabilité dans le cyberespace. Initiative d'ailleurs qui avait permis à mon sens le lancement en 2018 de l'Appel de Paris, soutenu aujourd'hui par près de 80 États et plus d'un millier d'entreprises et d'ONG.

Sur ces sujets essentiels, je souhaite que l'on puisse clairement, au travers du livre blanc, dont les conclusions seront rendues demain, aller beaucoup plus loin. Nous avons une avancée en matière de régulation du marché des vulnérabilités informatiques à conduire dans la continuité des travaux de l'ECDE et initiés par la France parce que là aussi, ce sera utile pour la pacification du cyberespace. L'assèchement d'une part du trafic d'armes numériques qui en découlerait permettrait aussi aux États de consacrer leurs moyens et des moyens de plus en plus importants, assumons-le, à la lutte contre la cybercriminalité.

Et avec cette présidence française de l'Union européenne qui débutera dans quelques mois, il est évident qu'il nous faut promouvoir une vision européenne du droit international du cyberespace, de renforcer la cyberdéfense militaire de l'Union européenne, de renforcer nos capacités de lutte contre la cybercriminalité et de développer aussi une capacité européenne de réaction face à des incidents majeurs, mais aussi de faire émerger des leaders nationaux, des leaders européens en matière de cloud. Ça me semble une évidence. Mais si nous voulons des résultats en matière européenne, je le dis sans chercher querelle à personne, mais en mettant les choses sur la table, il faudra qu'il y ait une véritable entente, une véritable compréhension, une véritable coopération entre la France et l'Allemagne.

Ce moteur est toujours essentiel, nous le savons bien, mais nous ne pouvons pas tirer à U et à Dia. Et il me semble clairement que la France fait preuve aujourd'hui de toute la coopération nécessaire. Nous avons besoin que ce soit entièrement réciproque si nous voulons que l'Europe avance en la matière.

Vous l'avez compris sur ces questions de cybersécurité, il y a trois niveaux. Le niveau européen, le niveau national, parce que la protection de nos concitoyens et de nos entreprises, cela relève aussi du national et du régalien. Parce que cela concerne aussi la diplomatie.

Et si nous voulons être efficaces, parce que je n'ai pas voulu rentrer dans le détail de tout ce qui relève de la formation, des compétences et du développement d'une filière, nous avons aussi la place pour les collectivités territoriales, les régions par exemple, puissent aussi trouver toutes leurs dimensions et trouver tous leurs rôles. Je ne cherche pas ce que les collectivités locales prennent la place de l'État dans le domaine européen. Je ne souhaite pas que les collectivités locales interviennent dans un champ européen.

Mais ce que je sais pertinemment, c'est que ce qui est en jeu aujourd'hui, c'est à la fois notre protection et notre souveraineté. Que nous avons besoin aussi d'un maximum de coopération, mais nous devons avoir conscience que dans les années qui viennent, la prise de conscience par le grand public et aussi les efforts budgétaires massifs qui seront à considérer n'ont qu'un enjeu, nous protéger et nous permettre tout simplement de continuer à vivre dans la prospérité et la paix. Je remercie encore une fois le FIC quand il a lancé ses travaux d'avoir ouvert cette voie.

Peut-être qu'au tout début nous n'avions pas conscience de ce que seraient les discours en 2021, mais une chose est certaine, c'est qu'un homme averti en vaut deux, un public averti en vaut plus que deux et je remercie le FIC d'avoir permis d'éveiller ses consciences et de nous permettre au-delà de la vigilance d'être dans l'anticipation au maximum. Merci beaucoup.