Audition de Vincent Strubel, directeur général de l'ANSSI

Merci beaucoup. Donc pour notre dernière réunion de commission des affaires économiques et donc notre dernière audition de cette session ordinaire, nous avons le plaisir d'accueillir aujourd'hui monsieur Vincent Strubel qui est directeur général de l'Agence nationale de la sécurité des systèmes d'information connu sous le vocable Dansy depuis janvier 2023 afin d'évoquer avec vous monsieur le directeur général l'état de la menace qui pèse sur nos entreprises la situation des entreprises du secteur de la cybersécurité en France ou bien encore les questions soulevé par les progrès exponentiels des modèles d'intelligence artificielle en matière de cybersécurité. Ce sont des sujets qui nous préoccupent de plus en plus et il y a quelques semaines à la demande de notre collègue Yannick Jadeau qui m'avait donc sollicité pour que nous puissions organiser une audition pour permettre à la commission d'être mieux informée.

Considérant à juste titre que les questions dont vous avez la charge et la responsabilité ne relevaient pas uniquement de la défense, mais qu'il y avait aussi beaucoup de questions qui étaient en lien avec les sujets et les thèmes que nous abordons régulièrement au sein de la commission des affaires économiques, en tout cas dans le milieu économique. Donc l'Agence nationale de la sécurité des systèmes d'information a été créée en 2009 et elle est chargée de coordonner le champ de la défense et de la protection. des systèmes d'information de la nation face aux cyberattaques.

C'est un service du premier ministre qui est placé sous l'autorité du secrétaire général de la défense et de la sécurité nationale qui est chargé non seulement de la sécurité et de la résilience des administrations en matière cyber, mais également de celle de l'économie et de la société dans son ensemble. Ces derniers mois, plusieurs cyberattaques de grande ampleur touchant des services de l'État où des entreprises ont marquer les esprits entraînant pour certaines d'elles des fuites de données massives. Fédération française de tir en octobre 2025, fichier de police du ministère de l'intérieur en décembre.

Le groupe la Poste au moment des fêtes de fin d'année. L'Agence nationale des titres sécurisés. la NTS en avril 2026 pour n'en citer que quelques-unes.

Ces quelques exemples ont donné l'impression que notre pays était très vulnérable et que des sites internet stratégiques pouvaient être bloqués ou nos données les plus sensibles être volées. Aussi souhaiterions-nous que vous puissiez nous indiquer, monsieur le directeur général, dans un premier temps, les cyber menaces auxquelles sont exposés nos acteurs économiques en matière d'extorsion, d'espionnage, de sabotage et votre évaluation de notre niveau de cybersécurité face à ces menaces qui sont de plus en plus élaborées. Nos entreprises sont-elles suffisamment protégées ?

Comment les aidez-vous lorsqu'elles sont confrontées à des cyberattaques susceptibles d'entraîner des pertes financières considérables ou des perturbations de leur chaîne d'approvisionnement ? La cybersécurité est également un marché qui représente plus de 11 milliards d'euros. Le tissu industriel français de la cybersécurité qui compte plus de 50000 emplois concentre des expertise clé dans de nombreuses dans de nombreux domaines.

Détection de menaces, analyse de code, cryptologie. Il est composé de grands groupes leaders mondiaux Airbus, Capgemini, Orange Cyberdéfense, Talès, mais aussi d'un vivier de start-up, de PME et de TI. Quel regard portez-vous sur ces différents acteurs ?

Sont-ils aujourd'hui à la pointe mondiale de la technologie et en capacité de rivaliser avec leurs concurrents étrangers ? Peut-on considérer qu'ils permettent d'assurer la souveraineté numérique de la France dans le domaine de la cybersécurité ou sommes tout sommes-nous malgré tout dépendants de technologies et d'acteurs américains comme dans d'autres secteurs du numérique ? La cybersécurité n'échappe pas non plus aux bouleversements qui sont engendrés par l'intelligence artificielle comme nous avons pu le voir récemment avec le modèle Mythos de l'entreprise américaine anthropique capable de détecter des vulnérabilités dans des logiciels qui n'avaient jamais été identifiés auparavant.

L'ANC a-t-elle pu avoir accès à Mythos ? Considérez-vous que les IA vont permettre d'élever considérablement notre niveau de cybersécurité ou les voyez-vous avant tout comme des outils susceptibles à la fois de démocratiser les cyberattaques et de les rendre toujours plus puissantes ou sophistiqué. Enfin, je souhaiterais que vous nous disiez comment la stratégie nationale de cybersécurité pour la période 2026-2020 il y a présenté il y a quelques mois entend répondre dans les dans la durée à ces différents défis.

Voilà, à la suite de votre intervention liminaire, je donnerai la parole à Anne Catherine Loisier qui est particulièrement investi sur les sujets du numérique. Notre collègue Patrick Chaz n'étant pas là et à la suite d'un Catherineoisier, je la décéderai directement à Yannique Jadeau. Et ensuite bien évidemment nous ouvrirons le débat et les échanges à l'ensemble de nos commissaires.

Je rappelle que votre audition, monsieur le directeur général, fait l'objet d'une captation vidéo et qu'elle est diffusée en direct sur le site du Sénat. Voilà, je vous laisse bien volontiers la parole et je vous remercie encore de votre présence parmi nous. Merci madame la présidente, mesdames et messieurs les sénateurs, mesdames et messieurs, euh je crois que c'est la première fois que j'ai le plaisir et l'honneur de plancher devant votre commission.

Euh je planche régulièrement devant d'autres commissions, notamment celles de la défense. Euh mais euh c'est important aussi de d'avoir ce moment de de d'approfondissement du sujet dans cette configuration là parce que vous l'avez rappelé madame la présidente à fort juste titre. La cybersécurité, c'est un enjeu qui a longtemps été contaminé à la sphère très régalienne qui continue à avoir des répercussions potentiellement fondamental voire existentielle sur nos questions de défense et de sécurité nationale sur la la sphère régalienne dans son ensemble mais qui est aussi de plus en plus un phénomène aux impacts économiques nombreux, multiples et potentiellement très structurant qui est aussi un phénomène sociétal qui est quelque chose qui prend une ampleur telle que quelque part ça concerne tout le monde.

Alors, je je vais m'efforcer de répondre à aux différents angles que vous avez mis en évidence, madame la présidente. Je suis pas certain d'arriver à à voilà et je ne doute pas que ça ça reviendra dans les questions mais peut-être pour vous faire un tour d'horizon à la fois de la du problème, la menace à laquelle nous sommes confrontés, celle que nous anticipons, les réponses que nous y apportons et un focus bien naturel sur le le secteur économique, notamment la filière industrielle de la cybersécurité qui est une de nos forces et sur laquelle il y a il y a énormément de choses à dire. Euh pour commencer par la source du problème, la menace.

Euh nous sommes aujourd'hui et depuis déjà quelques années dans une euh configuration de menaces fortes, élevées et surtout et ça c'est peut-être une nouveauté de ces cinq dernières années peu prou une menace qui n'épargne plus personne. Euh elle a longtemps été concentrée sur quelques acteurs stratégiques. Aujourd'hui, elle touche potentiellement toute organisation de l'État, toute administration, toute collectivité, toute entreprise, toute même organisation de la société civile.

On a des associations qui sont victimes et évidemment nos concitoyens et concitoyennes. Euh nous sommes dans cette menace face à un triptique de de trois types d'attaquants euh poursuivant des finalités différentes. Les États, des services étatiques.

Ça c'est le cœur historique de la menace cyber. C'est l'espionnage auquel nous sommes confrontés de manière permanente depuis au moins une vingtaine d'années avec une prépondérance d'acteurs affiliés à la Russie ou à la Chine en particulier, mais pas que. euh qui euh se servent régulièrement dans les données les plus sensibles de l'État mais aussi des entreprises.

Nos entreprises stratégiques sont des cibles désignées et régulières de ces ces attaques-là depuis euh une vingtaine d'années au moins. Euh cette menace étatique, je le dis en passant, évolue également sans abandonner le l'espionnage vers des logiques de sabotage que nous voyons à l'œuvre en Ukraine depuis une bonne dizaine d'années que nous voyons aussi se rapprocher de nous sous différentes formes. Cette menace historique étatique qui perdure, elle s'est doublée plus récemment de la criminalité organisée qui s'est énormément structuré ces dernières années, qui est passé dans un un mode de fonctionnement très industriel qui attrape tout le monde qui a commencé par s'en prendre aux grandes entreprises qui maintenant s'en prend à tout le reste.

Nos hôpitaux parfois même s'ils ne peuvent pas payer de rançon, ils en font ils en font ils en ont fait les frais. Nous avons réussi à mieux les protéger ces dernières années, mais ils en ont été des victimes très visibles au départ. Euh nos entreprises, notamment les PME, euh nos collectivités sont euh la cible d'attaque en ce qu'on appelle le rançongiciel, c'est-à-dire le blocage des infrastructures et les la demande d'une rançon pour les débloquer et de plus en plus de vols de données sur lesquels je reviendrai un petit peu.

Et puis 3è p de cette menace, la menace dite activiste qui a des contours beaucoup plus flous, qui est plutôt dans des logiques réputationnelles, qui cherche à provoquer la sidération, en tout cas à marquer les esprits, à faire des actions d'éclat euh qui euh se revendique de différentes causes, qui est quand même parfois aussi dans une logique qui pourrait s'assimiler à des proxis pour des intérêts étatiques et qui euh se manifeste de manière très bruyante, notamment en lien direct avec l'actualité géopolitique. quand la à chaque fois que la France a fait un geste de soutien envers l'Ukraine, elle a fait les frais notamment de d'attaque de ce type-là, très visible, pas forcément grave, mais en lien direct. Euh cette menace, elle évolue de manière permanente.

Elle continue à se structurer, euh à s'industrialiser, à se structurer selon les chaînes de valeur. On est vraiment sur des des entreprises criminelles, hein, avec une forme de spécialisation, des groupes criminels qui se spécialisent dans l'exploitation des données, d'autres dans l'accès initial. euh et euh des logiques de franchise qui ressemblent presque au McDonald's de la de la cybersécurité avec des gens qui fournissent des outils d'attaque à des franchisés qui ensuite respectent quelques règles euh notamment en terme de cible mais qui ensuite font leur leurs affaires.

Euh les frontières entre ces trois pans de la menace, je le dis en passant, se brouillent de plus en plus. C'est pas totalement nouveau. Évidemment, les États restent à la pointe des des capacités d'attaque les plus avancées, mais il y a une forme de ruissellement de ses capacités vers les autres pont de la menace.

Euh il y a une réutilisation très large d'outils d'infrastructure qui fait queon a parfois du mal à savoir qui nous attaque de manière précise. Il y a des logique d'alignement idéologique, hein. Certains groupes cybercriminels euh sont euh depuis toujours en Russie pas embêtés par les autorités locales et se revendiquent d'une forme de patriotisme.

Donc ce qui interroge sur les liens potentiellement plus profonds entre ces ces groupes et et l'État russe. Il y a un mélange des genres. on voit des acteurs de la menace cybercriminelle agir au profit d'État ou des États agir dans le registre cybercriminel à des à des fins d'extorsion.

Donc il y a voilà, on est on est sur un paysage qui est certes est structuré par ce triptique mais qui est de plus en plus complexe à analyser et surtout en à à lire en cas de en cas d'attaque pour savoir qui nous attaque. Tout ça fait néanmoins que nous sommes face à une pression extrêmement forte depuis déjà quelques années permanente. Il y a pas de répi et qui s'en prend à l'ensemble des pendom.

Plus personne n'est à l'abri. Moi je l' a notamment parmi ses missions celui de cyberpompier de porter assistance à des victimes. Ce n'est pas notre seul rôle et nous nous focalisons surtout sur la prévention.

Mais dans ce rôle de cyberpompier, nous sommes très régulièrement confrontés à des victimes qui nous demandent "Mais pourquoi moi ?" Mais il y a pas forcément de raison. C'était parce que c'était possible et que c'est tombé sur vous et que ça tombera sur quelqu'un d'autre et que fondamentalement sur le long terme, ça tombera sur tout le monde.

Donc ça arrivera à tout le monde. Donc on est sur une marée haute de menaces mais une marée qui continue à monter dont on ne sait pas quel est le sommet. Euh la volumétrie s'acroit d'année en année.

Nous hommes euh nous avons traité en 2025 pour fixer les idées 1366 incidents. Ça veut dire qu incidents par jour en moyenne 7 jours sur 7 24h sur 24 euh et avec en perspective récente une augmentation de volumétrie de de 60 % hein par rapport à 2022. On a en 3 en 3 ans cru de 60 % en volumétrie d'incidents traités par l'ANC.

Sachant que l'ANC ne traite évidemment pas tous les incidents. Nous n'intervenons que dans les cas les plus graves et quand on demande notre aide. Euh ça continue à à augmenter notamment à la faveur de l'épidémie de vol de données qui est une évolution plus récente, même si des vols de données ça a toujours existé mais là il y a une forme de de régularité et de systématisation des vols de données euh qui est en partie le résultat d'une réorganisation de l'écosystème cybercriminel organisé. un des groupes qui pratiquaient l'extorsion par le rangiciel sont passés au vol de données parce que c'est plus simple, parce que ça marche, parce que ça rapporte qui est aussi le fruit et ça c'est un phénomène plus français parce que la la réorganisation du crime organisé c'est un phénomène mondial mais on a par-dessus ça un phénomène plus français qui m'interpelle également qui est une forme de criminalité endogène de très jeunes français euh généralement peu socialisés euh qui se lancent dans des actions d'éclat à la fois par appat du gain ou par recherche d'une d'une forme de mise en valeur et qui sont à l'origine un certain nombre de ces attaques contre l'État notamment, mais pas que.

Euh ces vol de données, je le dis en passant, accroissent encore l'asymétrie fondamentale des cyberattaques. Ça a toujours demandé beaucoup plus de travail de répondre à une cyberattaque que de la mener. Les attaquants ont moins de travail que les défenseurs.

Dans les vols de données, c'est encore plus flagrant et ça allait d'autant plus qu'une part de ces vols de données s'inscrivent dans des logiques de bluff ou d'exagération parce que tous les vols de données ne sont pas avérés. Il y en a beaucoup qui sont avérés mais dans ce qu'on a traité en 2025, il y en a quand même 60 % qui étaient du bluff. Ça donne exactement le même travail euh aux équipes de LANC ou des entreprises qui se font attaquer euh d'investiguer un bluff que d'investiguer une réelle attaque.

He quand je dis qu'il y a du bluff, c'est pas une manière de minimiser les choses, c'est une manière de mettre en en valeur cette asymétrie flagrante qui a un effet de saturation sur les équipes. Euh c'est d'autant plus grave queil y a une forme de réaction en chaîne qui apparaît de manière assez évidente, hein. Quand on vole des données, on vole notamment des mot de passe, des choses comme ça et la le vol de données d'aujourd'hui nourrit le vol de données de demain dans de quelque manière.

Donc c'est une une réaction en chaîne euh tant que nous resterons dans une situation de vulnérabilité qui est assez universelle he dans l'état, dans les entreprises des des bonnes pratique de base qui ne sont pas systématiquement appliquées. Euh je ne ferai pas l'impasse sur le volet économique mais pour vous dire quelque chose qui est pas forcément très rassurant, évidemment ces attaques ont un coût économique. personne ne sait le mesurer pour plusieurs facteurs parce que déjà c'est un un phénomène très diffus he qui touche notamment nos PME qui touche tout le monde.

Les impacts sont multiples. Il y a des coûts directs he quand on se une entreprise se fait attaquer. La simple remédiation a un coût hein.

Il faut parfois réinstaller beaucoup d'ordinateurs, beaucoup de de systèmes. Il y a une perte de chiffre d'affaires qui peut aller jusqu'à la faillite potentiellement. Il y a des pertes réputationnelles qui sont beaucoup plus difficiles à estimer.

Il y a euh des enjeux de de boules d'effets de boules de neige hein dans les chaîne de valeur euh dont on a aussi du mal à mesurer les impacts. Je citerai néanmoins un exemple. Parmi les attaques marquantes, non pas en France, mais au Royaume-Uni de l'année 2025, il y a une attaque subie par Jaguar Land Rover.

Donc pour le coup, une analyse économique complète a été menée qui aboutit à un coût total cumulé de plus de 2 milliards de livres de cette attaque là avec pour la première fois un impact mesuré calculé de l'attaque sur le PIB britannique, hein. Donc, il y a eu un impact mesurable sur l'économie, sur la macroéconomie. Donc, on on vire d'un phénomène microéconomique à un phénomène macroéconomique de ce point de vue-là.

Euh donc on a'ura pas de moi je suis bien incapable de vous donner des statistiques précises, même s'il y en a qui circulent, mais euh elles aboutit tout à des des résultats différents. Il est évident que le coût global des cyberattaques se chiffre en milliards d'euros. Ça c'est une certitude.

Et il est évident que il y a derrière tout ça un coût caché que personne n'arrivera jamais sans doute à mesurer qui est le coût de l'espionnage parce qu'au-delà de le du coût direct de la perturbation des entreprises par des cyberattaques, le coût des secrets technologiques, industriels, commerciaux, stratégiques de nos entreprises, de notre économie au sens large qui ont été volés par des attaquants stratégiques, par des États depuis ces ces 20 dernières années et vraisemblablement astronomique et vraisemblablement incalculable. Euh donc je je suis conscient du du côté frustrant de tout ça, mais euh je n'ai pas mieux à à dire sur ce sujet, mais je suis convaincu que ça écrase tous les autres coups hein, fondamentalement. Euh donc tout ça n'est pas très rassurant.

Malheureusement, ça va, on se prépare à ce que ça soit pire. On se prépare à ce que ça soit pire pour plusieurs choses parce que les progrès de l'intelligence artificielle vont accroître la menace. Euh la l'intelligence artificielle, elle va agir en premier lieu sur deux plans.

Elle est d'ors et déjà un multiplicateur de force au profit des attaquants. Les mêmes attaquants nous attaquent beaucoup plus efficacement, beaucoup plus vite grâce à l'IA parce qu'ils automatisent comme tout le monde un certain nombre de tâches récurrentes. Et donc on a on n pas forcément d'exemples très convaincants aujourd'hui d'attaque totalement autonome par l'IA, mais des attaquants compétents peuvent attaquer beaucoup plus de cibles à la fois grâce à l'IA.

Et ça c'est déjà une réalité qui accroit la pression. Euh l'autre facteur, c'est celui qui est mis en évidence par Mythos, c'est l'explosion des vulnérabilités identifiées dans l'ensemble de nos logiciels. Euh donc, on trouve des vulnérabilités qui existent potentiellement depuis 20 ans.

Fondamentalement, c'est une bonne chose. Ça va nous aider à résoudre le problème. Mais euh à court terme, cette explosion du nombre de vulnérabilités à corrigé dans un temps très très court va nous poser un problème de cadence, de simplement potentielle saturation de toutes les équipes cybersécurité et informatiques.

Et ça va, pour le dire comment, ça va secouer pendant les trois prochaines années au moins peut-être pour à l'issue être beaucoup mieux parce qu'on aura corrigé énormément des vulnérabilité qui font les cyberattaques aujourd'hui. Mythos sur ce plan-là a beaucoup concentré l'attention. Euh nous n'y avons pas eu accès.

Euh très peu de gens y ont eu accès, à vrai dire. Euh mais Mythos, faut se rendre compte que c'est un peu l'arbre qui cache la forêt, hein. Mythos, c'est une illustration d'une tendance générale euh qui est déjà avérée qui était déjà avéré avant Mythos.

He des modèles d'IA autres euh avaient des des performances euh impressionnantes en matière de cybersécurité. Mythos sera dépassé si ce n'est pas déjà le cas par les modèles suivants. Et donc nous avons une action de manière générale de test de l'ensemble des modèles auquels nous pouvons accéder, ceux qui sont en accès libre. d'autres qui nous sont qui nous ouvrent des accès spécifiques pour mesurer cette cet accroissement de la de la des performances des modèles d'IA.

Euh derrière tout ça, la solution euh à court terme c'est pas c'est en partie de de d'anticiper de et d'encaisser la vague des des cyberattaques et des vulnérabilités nouvelles. C'est surtout les bonnes pratiques de cybersécurité et on ne le dira jamais assez. Elles ne sont pas systématiquement appliquées aujourd'hui.

C'est ce qui fait notre malheur. Et face à l'IA, bien appliquer de manière systématique les bonnes pratiques élémentaires de cybersécurité, de cloisonnement, de gestion des accès, des identités, de mise à jour des logiciels et cetera, c'est notre premier rempart et c'est le plus efficace. C'est ce que nous martelons, c'est ce que martellent nos homologues étrangers euh européens comme américains.

Euh dans les dans les sources de menace à venir, il y a aussi d'autres rupture sur lesquelles je ne m'étendrai pas forcément dans ce proposiminaire, mais l'ordinateur quantique est une possibilité à un horizon de 10 ans qui apportera bien plein de bienfaits à l'humanité mais qui du point de vue de la cybersécurité nous posera potentiellement un gros problème parce qu'il cassera toute une partie de la cryptographie sur laquelle repose nos protections. Et donc c'est aussi quelque chose auquel nous nous préparons parce que si nous ne l'anticipons pas, tout ce que nous pourrons faire d'ici là sera réduit à néant par l'arrivée de l'ordinateur quantique. Et puis évidemment le contexte géopolitique se reflète directement dans le paysage de la menace.

Euh je pense que c'est une explication de la la pression permanente que nous ressentons, hein. La pression accrue, encouragée ou en tout cas toléré par un certain nombre d'États dans sa dimension y compris cybercriminelle est une réalité et une réalité qui se lie aussi à l'ône du contexte géopolitique et nous nous préparons évidemment à des scénarios d'escalade où tout ça se coordonnera pour nous paralyser le plus possible, déstabiliser la France. C'est un scénario qui a été écrit et décrit dans la la revue nationale stratégique de 2025.

Face à tout ça, alors le constat est vertigineux, nous avons quand même des vraies réponses et des vraies forces. la stratégie nationale de cybersécurité qui a été publiée en début d'année et la réponse à ce défi fondamental avec des priorités claires, avec un enjeu de résilience à l'échelle de l'ensemble de la nation pour être capable d'encaisser ces vagues à venir de cyberattaque nourri par l'IA, nourri par l'ordinateur quantique, nourri par le contexte géopolitique. Dans tout ça, c'est une mobilisation extrêmement forte de l'État mais pas que.

La stratégie pose le constat que l'État seul n'y arrivera pas et qu'il faut mobiliser l'ensemble de la société de ses forces vives avec un axe majeur qui reste la prévention, hein. La la meilleure défense en cybersécurité, ça reste la défense. He ça c'est contreintuitif mais euh sans prévention efficace, les contre-attaques, la le volet offensif ne sert ne sert pas à grand-chose.

Cette prévention, elle concerne en premier lieu l'État, hein. Évidemment, l'État a une obligation de faire mieux qui a été mise en évidence par les vols de données successives de ces derniers ces derniers mois. faire mieux pour préserver nos missions les plus critiques dans un contexte d'accroissement de la menace, faire mieux pour rétablir quelque part le contrat social implicite qui fait que quand on construit des données à un/ers et en particulier à l'État, on s'attend à ce qu'elles soit protégée et donc il y a une à l'évidence une marge de progression à la matière.

Euh ça passe par deux choses. Ça passe par une feuille de route euh qui a été rendue publique pour la première fois, qui fixe les priorités des ministères avec euh des bonnes pratique à systématiser, notamment en matière de gestion des authentifiants, la l'authentification double facteur, la lutte contre l'obsolescence qui peuvent sembler des des évidences mais qui sont un chantier titanesque à l'échelle d'un numérique de l'État qui est une qui qui n'a pas son pareil, hein. d'État en France, vous le savez, et porte de nombreuses missions et euh on est face à des milliers et des milliers d'applications mis en œuvre ou de services numériques opérés par l'État qu'il faut sécuriser de manière systématique.

Le pendant de cette feuille de route, c'est la réforme du numérique de l'État annoncée par le Premier ministre lors de sa visite à la NTS, la création d'une future Ariane, autorité de l'IA et du numérique qui est une réforme non pas de l'ANSI mais de la DINUM, la DSI de l'État en quelque sorte pour rationaliser pour essayer d'œer aussi sur cette complexité qui est notre principal facteur limitant aujourd'hui pour déployer de la cybersécurité, donc un un numérique de l'État plus efficace, plus maîtrisé et donc plus sécurisable. Mais évidemment, le sujet va bien au-delà de l'État. On a cet enjeu fondamental de sécuriser tout le tissu économique et sociétal, de développer, moi j'aime bien cette image, une immunité immunité collective, hein.

Le le parallèle avec l'épidémiologie se fait assez naturellement. C'est pas éviter les maladies dans l'absolu, c'est pas éviter les cyberattaques dans l'absolu, il s'en produira toujours. C'est éviter euh les épidémies galopantes, c'est éviter la propagation qui pourrait menacer des pas entiers de notre économie. euh limiter les impacts, limiter euh la vulnérabilité de nos entreprises, de nos collectivités, de nos administrations.

Ça passe par de la formation, de la sensibilisation, de l'entraînement à grande échelle. Ça passe euh par euh une extension du cadre réglementaire, notamment à travers la transposition euh d'une directive Nice 2 qui est un peu suspendue au calendrier parlementaire, qu'il ne demande qu'à être instruit inscrite pour son examen en en séance publique à l'Assemblée nationale. Cette directive, elle est essentielle.

C'est pour ça que la France, on a été l'un des principaux sponsors en 2022 quand elle a été élaborée au direct au niveau européen. Elle vise à fixer les règles pour à peu près 20000 entités, y compris entrepris de taille intermédiaire ou moyenne en France. euh règle de sécurité de base, elle vise aussi, et c'est un enjeu essentiel à donner à l'ANC l'autorité qui lui fait cruellement défaut aujourd'hui.

Aujourd'hui, nous sommes une une agence qui préconise, qui conseille, qui accompagne, mais qui euh n'a le pouvoir d'imposer que dans des cas très réestreints. Nous n'avons le pouvoir d'imposer des choses qu'aux opérateurs d'importance vitale, c'està-dire à peu près 300 opérateurs hautement stratégiques. Demain, la directive Nice 2 nous donnera la possibilité d'imposer, de contrôler, de sanctionner le cas échéant dans un chambre beaucoup plus élargi et je pense qu'il faut en passer par là pour obtenir cette maturité nécessaire.

Évidemment, la régulation ne fait pas tout et nous avons un vrai enjeu de matérialiser la valeur économique de la cybersécurité par des logiques de certification, de labellisation, par le travail avec les assureurs qui n'est pas nouveau, par le travail avec les banques qui quand elles prêtent de l'argent en dosse qu'elle le veuille ou non, un risque de de défaillance de l'emprunteur suite à une cyberattaque. Et donc transformer cette logique de de cybersécurité en logique d'investissement. Moi, je suis convaincu euh par l'expérience quotidienne de l'ANC que investir dans la cybersécurité, ça coûte beaucoup moins cher que faire du rattrapage quand les attaques se produisent.

Donc c'est un vrai message à faire, je pense euh percoller dans les dans les les sphères de gouvernance économique de manière générale. Et puis nous avons un enjeu de sécurisation des technologies. euh le volet à moins porter des exigences vis-à-vis des éditeurs de logiciel notamment le CRA, autre règlement européen va nous permettre de le faire pour les exigence de base.

Mobiliser l'IA qui est un une source de d'inquiétude pour nous mais aussi un levier de sécurisation parce que trouver des vulnérabilités, ça veut dire les corriger, rendre ça systématique, ça peut euh tariir au moins une partie du problème à la source en limitant les vulnérabilités dans les logiciels qui sont mis sur le marché. anticiper les ruptures comme le quantique. Et dans tout ça, nous avons et et ce sera mon dernier pan de propos, euh un atout majeur en France et c'est une chance que nous avons que non pas certains de nos partenaires.

C'est une filière industrielle euh développée, compétente, experte, riche de sa diversité et de son excellence technique. C'est cette filière industrielle, c'est un partenaire clé de l'ANC et ce n'est pas nouveau. C'est au cœur d'un modèle français de cybersécurité qui est un peu original dans laquelle nous avons cet acteur central interministériel LANCI spécialisé sur le volet défensif sans missions offensives qui sont portées par le ministère des armées qui intervient dans tous les champs qui est souvent le cheffre d'orchestre d'une d'une équipe de France au sens au sens large dans laquelle la filière industrielle joue un rôle clé.

Euh c'est ce qui nous permet, ce modèle assez distribué, assez collectif, euh de faire, je ne manque jamais aucune occasion de le rappeler, aussi bien que nos homologues allemands qui sont trois fois plus nombreux que nous, hein. Et donc, nous avons un modèle qui est hautement optimisé aujourd'hui et qui repose en grande partie sur l'excellence de nos partenaires industriels avec un recours très systématique à des prestataires de services certifiés qui font le même métier que l'ANC et qui interviennent partout où la l'intervention de l'ANC n'est pas strictement nécessaire. Donc quand on n'est pas face à une menace euh de niveau étatique extrêmement avancé, l'essentiel du travaux des du travail de remédiation par exemple est fait par des prestataires privés qui travaillent main dans la main avec l'ENAN.

Euh cette filière industrielle c'est une filière d'excellence. Elle s'est structurée ces dernières années à travers les visas de l'ANCI, c'est-à-dire des des garanties des assurances apportées par l'ANCI suite à vérification de la qualité des produits ou des prestations. Euh de manière générale, nos visas sont parmi les plus exigeants du monde voire les plus exigeants du monde.

Et donc c'est un vrai gage de qualité que d'avoir autant d'offres françaises qui ont obtenu ces visas de sécurité qui sont l'attestation qu'elles atteignent le plus haut niveau de sécurité vérifiable à l'échelle mondiale. C'est évidemment un enjeu de souveraineté aussi d'avoir alors nous n'avons pas la capacité de fonctionner en autarsie dans le domaine numérique mais nous avons aujourd'hui la chance d'avoir dans le paysage industriel français des offres de trayante qualité qui couvrent les enjeux les plus fondamentaux notamment la cryptographie ou l'évaluation de sécurité. Donc il faut veiller au moins à préserver ces fondamentaux qui sont les choses les technologies sans lesquelles on ne construit pas de de souveraineté.

Évidemment, on ne sera jamais totalement autarsique. Ce serait ni réaliste ni ni désirable, mais maîtriser quelques points clés est un enjeu essentiel. Euh et puis euh c'est un partenaire clé.

Cette filière industrielle, ça va le devenir de plus en plus dans ce changement d'échelle, dans ce cet effort de mobilisation générale parce que l'État là encore ne fera pas tout seul. Euh donc ça c'est la version euh c'est tous les les atouts de cette filiale. Euh évidemment, il y a aussi des difficultés euh aujourd'hui euh je tiens à souligner que c'est une filière qui souffre de manière conjoncturelle euh en particulier de la non transposition de la directive Nice 2.

Alors qui nous pose nous un problème en terme de capacité de l'ANC à mener ses missions mais qui a aussi un effet économique, un effet d'éviction sur les carnets de commande des acteurs industriels qui proposent des solutions de cybersécurité parce que la réalité et nous nous battons tous les jours pour faire passer le message qu'il faut pas attendre la loi pour se préparer mais la réalité est que les entreprises qui sont les futurs assujettis à Nice 2 attendent la loi pour investir et du coup reportent des investissements dans la dans la cybersécurité ce qui se voit et ce qui est rapporté de manière assez récurrente par la filière de cybersécé sécurité qui ont tout nos acteurs industriels dans ce domaine ont vu leur carnet de commande se vider euh dans l'attente d'une d'un cadre réglementaire qui tarde à arriver. Euh ce n'est pas la seule source de problème. On a une filière qui est aujourd'hui qui souffre en partie de son morcèlement.

Nous avons quelques grands acteurs, vous en avez cité un certain nombre, madame la présidente, mais nous avons aussi une galaxie de pépites toute excellente euh mais qui souffre face à des leaders mondiaux qui sont beaucoup plus gros, beaucoup plus intégrés et qui peuvent fournir à travers un seul carnet de commande l'ensemble des solutions là où en France on a on peut composer quelque chose qui est la la somme de plusieurs offres cumulées qui sont toutes excellentes mais qui sont plus compliquées à acheter. [grognement] Euh donc face à ces ces enjeux, il y a plusieurs opportunités fondamentalement dans la phase que nous vivons qui sont celles sur lesquelles je concentre l'attention de l'ANC. D'abord la consolidation des offres.

Alors il y a un enjeu de consolidation des acteurs sur lesquels je suis convaincu que l'État n'a pas forcément un rôle dominant. C'est surtout les acteurs économiques. Je on n'est pas là pour imposer des fusions acquisition ou des ou des fusions entre acteurs économiques.

Mais il y a sans doute un enjeu là derrière. Nous nous agissons aussi sur la la consolidation des offres en tant que tel sans réunir les entreprises, au moins réunir les offres et faire des offres communes euh pour répondre à ce changement d'échelle, pour répondre le mieux possible à un appel d'air qui sera créé tôt ou tard par la réglementation par Nice 2 euh sur le marché domestique avec un rôle clé d'acteurs qui sont bien positionnés pour aider dans la matière sont les campus cyber. On a en France un certain nombre de campus cyber, un qui a été créé à l'initiative de l'État à vocation nationale en région parisienne, mais d'autres qui ont émergé spontanément dans les régions et qui travaillent tous ensemble.

Et c'est une force de créer ces lieux où se rencontrent les offreurs et les demandeurs de solutions et où peut se s'articuler un dialogue pour faire converger au mieux les besoins et les solutions. Euh une autre opportunité évidente, la filière française de cybersécurité peut et doit être en pointe sur les enjeux de sécurisation en amont, sur la sécurité par design. C'est son marqueur historique.

Elle s'est positionnée sur ce segment d'excellence. Elle doit être au rendez-vous du CRA, règlement européen qui va porter ses exigences au niveau européen. Elle doit être au rendez-vous de la transition de postconquantique et nous y travaillons avec eux quotidiennement pour ne pas être en retard et si possible être en avance à la matière.

Elle doit s'emparer le plus vite possible des outils de l'IA et des possibilités offertes par l'IA pour euh améliorer sa sécurité. Et puis nous avons toujours un champ à investir au niveau de l'Europe. Le marché intérieur se structure à travers la réglementation.

Il y a des opportunités à ne pas manquer dans un certain nombre de textes qui sont aujourd'hui en discussion. la révision du cyber security act pardon pour l'anglicisme qui est le cadre de certification européen, mais le la négociation en cours du CADA, le le règlement européen sur le cloudia qui sont des opportunités fondamentales de faire valoir euh à la fois nos spécificités, nos enjeux de souveraineté, mais aussi la valeur euh technique euh fondamentale de nos offres européennes. Donc je je ne serai pas plus long, je l'ai sans doute déjà été trop dans ce proposiminaire, mais nous avons face à nous évidemment un défi énorme.

Ce n'est pas nouveau mais il se structure et il prend une ampleur sans précédent. Ça appelle un jeu plus collectif que jamais. La bonne nouvelle, c'est que c'est dans nos habitudes que nous avons ce ce collectif très fort, très soudé aujourd'hui, des forces réelles qu'il faut coordonner au mieux pour répondre à ce défi et j'ai été ravi de pouvoir en donner les quelques éléments principaux devant vous.

Merci beaucoup monsieur le directeur général de ces propos liminaires fort intéressants. Alors bon voilà inquiétant aussi mais on va rester optimiste au regard de de la fin de vos propos avec les les atouts et en tout cas qui permettent à à ceux qui sont moins familiarisés euh dont je fais partie de mieux pouvoir appréhender ce sujet éminemment important et qui concerne directement notre souveraineté. Donc je vais laisser la parole comme je l'ai annoncé à Anne-Catherine Loisier et ensuite à Yannique Jadon.

On vous proposera de répondre et ensuite on ouvrira à l'ensemble de nos collègues. Anne- Catherine. Merci madame la présidente.

Merci beaucoup monsieur le directeur de venir nous éclairer sur ces ces menaces et ces ces enjeux cyber. C'est vrai que c'est une course permanente à la dernière technologie et finalement c'est un exercice compliqué pour nos élus de se tenir informés de de tout cela en permanence. Euh juste quelques points préliminaires.

Vous avez évoqué donc le le poste quantique. Est-ce que vous pensez que la crypto post quantique est aujourd'hui d'actualité ? Est-ce que c'est une réalité ?

Vous l'avez évoqué à la fin de votre intervention. Est-ce que j'ai cru comprendre qu'on s'y préparait ? Voilà.

Est-ce qu'on est dedans en fait ou est-ce qu'on a encore un petit peu de marge de manœuvre pour s'adapter à une menace postquantique grandissante ? Et puis de la même manière, vous évoquez souvent le la maîtrise de nos dépendances numériques. Vous avez parlé d'autarsie et d'impossibilité d'être en autarsie réelle.

Mais pour autant, est-ce que selon vous les efforts qui ont été faits ces dernières années euh nous permettent d'avoir un certain niveau de de dépendance par rapport à au grands fournisseurs étrangers ? Et puis trois points très pratiques. Vous avez beaucoup évoqué, madame la présidente l' évoqué les cyberm sur un certain nombre de de grandes infrastructure, mais moi je voulais revenir sur les infrastructures critiques.

C'est vrai que c'est peut-être plus la commission défense qui vous interroge sur ces sujets habituellement, mais nous on est particulièrement intéressé ici sur les aspects énergétiques et télécom notamment. On a vu que des actes de cybermona se se multiplient en Pologne, en Norvège dernièrement. Donc et la France est-elle en capacité de de faire face à des attaques de grande ampleur sur son réseau électrique, sur ses centrales nucléaires, sur ses barrages, enfin comment vous appréhendez ces ces réalités sur le Secnum Secnum Cloud, LANY a observé ces derniers temps des attaques de plus en plus importantes contre les environnements cloud avec des cas de chiffrement des données hébergées chez Amazon Websit ou chez d'autres fournisseurs.

Or seulement cinq à ma connaissance cinq offresum club sont aujourd'hui qualifié. Vrai ou pas vrai ? Vous allez me me dire ça.

Donc comment comptez-vous accélérer en fait la la qualification des solutions cloud souverain et notamment pour les données sensibles de l'État ? Et enfin sur le Cyber Résilience Act que vous avez aussi évoqué et qui entrera en application en 2027 et qui donc imposera aux fabricants des produits numériques de signaler à l'anciulnérabilités de plus en plus exploitées sur leurs produits. À ce jour-là aussi, seulement une quinzaine de vulnérabilité significative auraient été déclarées.

Est-ce vrai ou pas ? Est-ce qu'on doit comprendre derrière cela ce que vous pointiz du doigt ? c'est-à-dire aujourd'hui un un manque de sensibilisation peut-être un manque de de vigilance, de prise de conscience de la part des des entreprises sur la nécessité vraiment d'anticiper les risques et et de de partager en fait de collaborer avec l'ANC pour que nous puissions pour nous puissions développer des parfeux en tout cas s'adapter à ces attaques.

Voilà. Merci monsieur. Merci Anne-Catherine et Yannique Jadu.

Merci madame la présidente. Merci monsieur le directeur et et c'est vrai que c'est un peu gloui mais euh c'est bien que on s'y intéresse parce que euh évidemment la menace est est forte. Il y a une dizaine quinzaine d'années quand on discutait avec les services de sécurité et de renseignement, il y avait quand même cette idée que la France par rapport à un certain nombre de ses partenaires européens sous-estimait la menace russe.

Est-ce que vous considérez que d'une certaine façon évidemment mais on a rattrapé notre retard par rapport à cette à cette menace russe qui au fond et on voit bien à quel point la politique et l'économie sont intimement liées. On peut imaginer qu'à travers des vols de données, c'est aussi la possibilité de ce qu'on appelle aujourd'hui les compromates, c'est-à-dire de de d'interférer dans la politique mais aussi dans l'économie. à travers le chantage sur un certain nombre de personnes qui pourraient être coupable par ailleurs d'autres d'autres faits.

Mais évidemment le vol des données permet ça. [raclement de gorge] ce qui nous renvoie à à la fois à on parle beaucoup de souveraineté et on défend cette idée de la souveraineté numérique, mais est-ce qu'il y a pas là une forme de de de dilemme pour nous à construire de la souveraineté ? Et on voit à quel point par exemple notre dépendance à la au numérique [grognement] américain devient un enjeu ?

Mais être souverain, c'est potentiellement, je sais pas, j'attends votre réponse, être plus vulnérable. Est-ce qu'il vaut mieux pas dépendre de Microsoft en se disant que Microsoft a quand même les moyens de protéger son logiciel, des moyens extraordinaires de protéger ses logiciels ? Alors que si on développe nos propres outils, est-ce qu'ils vont être aussi costaud ou est-ce qu'à l'inverse, développer nos propres outils européens du numérique en mettant cette question de la cybersécurité au cœur de nos outils numériques nous permet peut-être de d'acquérir un un avantage comparatif.

Ce que je veux dire, c'est que vous voyez bien, il y a construire nos propres outils moins dépendent des Américains, on l'a vu sur Palentir et sur d'autres choses. Est-ce que c'est nous renforcer ou est-ce que c'est nous rendre plus vulnérable ? De la même façon, aujourd'hui, le commerce de données est un commerce majeur.

On peut pas prendre un un billet de musée aujourd'hui sur internet sans créer un compte. sans donner des informations personnelles dont on voit pas bien l'utilité ne serait-ce que pour acheter un billet. Donc on est pris aussi dans le fait qu'on donne en permanence des données personnelles partout et évidemment on est vulnérable sur le vol des données.

Donc est-ce qu'il y a pas un moment un encadrement beaucoup plus strict à avoir sur le fait de donner en permanence nos informations personnelles, nos données. Il y a quelque chose d'encadrement de ce business là. Et puis dernier point, la question de la coopération internationale, la question des contre-attaques.

Quand il s'est avéré que effectivement il y avait toute une série d'organisations mafieuses sous, j'allais presque dire l'autorité du pouvoir russe. À un moment donné Biden avait dit "Si vous continuez, les États-Unis lanceront d'énormes cyberattaques sur l'économie et le pouvoir russe." Et il avait semblé qu'à ce moment-là, ça avait un peu atténué la les menaces russes.

Est-ce qu'il y a pas un moment donné où est-ce que ça se fait peut-être ? Ah, c'est un monde du renseignement qui est pas forcément, faut peut-être ne pas toujours dire ce qu'on fait, mais est-ce qu'il y a à un moment donné des États où l'Union européenne qui à partir du moment où des d'autres États des rog state abritent des entreprises de de cybermenace, est-ce qu'il y a pas à un moment donné aussi un un capacité de contreoffensive ou d'offensive qui nous permet d'atténuer la menace. Merci monsieur le directeur général. de nombreuses questions.

Je vais m'efforcer de répondre à toutes ces questions éventuellement les regroupant un petit peu. J'en évacue simplement une euh sur la sur la collecte des informations personnelles, monsieur Jadeau. Non pas pour me me défiler mais simplement pour rappeler que la réglementation relative au données personnelles et plutôt du ressort de l'ACNIL et donc je ne me prononcerai pas par rapport à la place de l'ACNIL sur la la collecte ou non de telle ou telle donnée personnelle, c'est plus c'est plus à l'ACNIL qu'il appartient de de donner sa vision des choses sur le sur le sujet.

Euh peut-être pour commencer par le le sujet de de souveraineté numérique au sens large qui euh transparaît dans dans vos questions, madame Lausier, monsieur Jade également. Euh déjà pour rappeler que la la alors le le terme de souveraineté numérique, il a été très galvodé ces derniers temps. C'est un et c'est il est louable fondamentalement qu'on en discute, qu'on en parle parce que c'est un vrai sujet.

Mais euh la contrepartie est que parfois ça ça on est sur des simplifications à l'extrême d'un d'un sujet extrêmement complexe, voire une lecture un peu marketing hein pour certains et c'est normal, il y a pas il y a rien de péjoratif à cela. Euh moi je je commencerai par rappeler que la souveraineté c'est plusieurs choses. C'est pas juste avoir des logiciels ou du numérique français ou européen.

Euh c'est d'abord ne pas être une victime facile des cyberattaques. Euh ne pas avoir des vulnérabilités techniques teles que on soit à la mercie du premier attaquant venu. Donc ça c'est le cœur du métier de l'ANC hein. faire la prévention, faire la réaction également, mais surtout la prévention en tant que possible pour éviter pour relever ce niveau de maturité pour tendre vers cette immunité collective que j'ai j'ai mentionné et ne pas être à la mercie des premières premières attaques venues.

Euh c'est ensuite faire respecter notre droit, imposer nos règles he qui sont élaborées par le peuple souverain euh représenté par ses ses représentants élus. Enfin, je voilà, tout ça figure au au vers le le début d'une d'un document important que vous avez aussi bien en tête que moi. Euh et donc ça c'est ne pas subir des règles qui sont décidées par d'autres, ce qui sont les règles potentiellement du marché ou les règles d'autres états à porortter extraterritorial.

Et puis c'est évidemment avoir une liberté de choix et d'usage de la technologie sur des technologies critiquées. Donc il faut agir sur ces trois pans là. À la fois porter un niveau d'exigence technique, imposer nos règles à l'exception voilà enfin sans sans être soumis aux règles des autres. et puis disposer de suffisamment d'alternatives qui soient soit des offres européennes, soit de la technologie libre d'accès en open source ou des choses comme ça, soit une intensité concurrentielle suffisante sur certains types de de produits qui peut suffire à ne pas être pieds et points liés entre les mains d'un monopole non européen ou d'un monopole européen, c'est pas non plus pas remplacer un monopole par un autre.

Et donc il faut agir sur ces trois plans là. Le dernier est celui qui est le moins dans le champ de la de la SIGE. Il y a des enjeux de politique industrielle sur laquelle l'ANC n'est pas euh contribue n mais n'est pas meneuse des enjeux de construction ou de soutien aux offres européennes.

He c'est plus le travail de de Berim. Mais évidemment nous y contribuons et nous en mesurons bien l'importance. Euh les autres pans sont au cœur de ce que nous avons fait notamment sur Secum Cloud.

Vous avez mentionné madame Laisier le Secum Cloud. c'est que cloud, c'est ça, c'est la réponse à ces enjeux-là sur le cloud qui est un un une évolution très structurante depuis une bonne dizaine d'années de du paysage numérique euh sur lequel nous avons imposé un référentiel qui fait référence, qui est le plus exigeant là encore au monde vraisemblablement qui porte à la fois des exigences techniques pour ne pas être à la mercie d'une cyberattaque technique, ne pas avoir des vulnérabilités et des exigences de droits applicables pour garantir autant qu'on puisse le faire que les données qu'on confie à à un prestataire qui bénéficie de cette certification, cette qualif ification de l'ANC ne sont pas captables par des autorités étrangères au regard du droit extraterritorial que le service ne peut pas être coupé brutalement avec ce qu'on a appelé le kill switch pardon pour l'anglicisme mais ce qui a été subi par la Cour pénale internationale suite à une demande de voilà de blocage d'exportation de l'administration Trump. Donc tout ça nous le prenons en compte sur le cloud.

Évidemment, ce n'est qu'un pan du problème. Évidemment, ça ne répond pas et ce n'est pas la vocation au besoin de créer des géants européens du cloud de compétitif face à au géant américain notamment. Mais c'est déjà ça traite un pan du problème et un un pan important avec des vraies garanties.

Et un vrai succès aujourd'hui, c'est quelque chose qui est au centre de la politique de l'État en matière d'usage du cloud, de la circulaire cloud au centre qui fixe les enjeux en la matière de notre cadre légal puisque la loi Sen a imposé le recours à ces offresl pour les usages sensibles de l'État et de ces des établissements publics. C'est aussi quelque chose dont s'empare beaucoup le secteur privé et c'est une très bonne chose. des grands opérateurs privés, des grandes entreprises françaises utilisent de plus en plus ce label de confiance qui est Secum Cloud pour leurs usages les plus sensibles.

Et nous avons aujourd'hui, je crois 17 offres qualifiées aux dernières nouvelles. Donc il y a un vrai succès et un vrai emballement. Donc c'est c'est à la fois je m'en félicite tout en gardant à l'esprit que nous avons et ça illustre la la question du morcèlement que j'ai évoqué dans mon propos liiminaire 17 offres françaises euh ou européennes qualifiées c'est KNUM Cloud alors que le marché du cloud est quand même très largement dominé par trois acteurs.

Voilà et donc il y a peut-être aussi des enjeux derrière tout ça de consolidation sur lequel c'est pas le rôle de l'État de d'être à la manœuvre mais il faut garder cette réalité en tête. Mais le le signe très positif dans tout ça, c'est que à travers ces knum cloud comme d'autres visas délivré par l'ine, nous pouvons attester que des offres françaises obtiennent et arrivent au meilleur niveau de sécurité. Donc oui, il y a un enjeu de ne pas remplacer des offres non européennes soumises aux droits extraterritoriales mais de très haut niveau de qualité par des offre européenne mieux lot en terme de droit applicable mais qui serait d'un d'un niveau technique inférieur.

La réalité est que les offres européennes et les offres françaises sont d'un niveau technique très compétitif et réellement excellent dans un certain nombre de domaines. Donc il faut plutôt se rassurer sur ce plan-là. Euh les infrastructures critiques font partie aussi des enjeux de souveraineté, hein, quand je dis ne pas être une victime facile, évidemment si un état euh tiers peut couper le courant en France ou couper nos réseaux de télécommunication par une simple cyberattaque, nous ne pouvons pas nous prétendre souverain.

C'est euh un sujet sur lequel la France a été en pointe. On a été les premiers dans le monde à imposer des règles de cybersécurité à nos opérateurs critiques. Ça a été le fait par la loi de programmation militaire de 2013 qui porte un certain nombre d'articles dans le code de la défense.

Donc c'est ça le cadre de régulation dont dispose aujourd'hui l'ANC auprès des opérateurs d'importance vitale. Donc c'est là-dessus que nous avons focalisé nos efforts. Ça ne veut pas dire que tout est vert et que il faut dormir tranquille.

Euh la cybersécurité, c'est une grande école d'humilité permanente. Donc nous poursuivons nos efforts d'accompagnement euh de ces opérateurs d'importance vitale, mais c'est peut-être le pan qui m'inquiète le moins. Et donc le le défi aujourd'hui, c'est tout le reste euh qui est beaucoup plus vulnérable et qui euh euh peut être euh en tant que tel un une source de problème.

Enfin, une manière crue de le dire. Si nos centrales électriques et nos réseaux de télécommunication, nos réseaux de transport fonctionnent, mais que tout le reste est mis à plat par des cyberattaques, s'il y a plus d'école, s'il y a plus de magasin, s'il y a plus d'économie de manière générale, bah nous serons quand même dans une situation un peu réjouissante. Donc on c'est le le l'angle de notre travail aujourd'hui, c'est de porter à l'échelle ces mesures de de sécurité.

Euh et le le secteur de la de la finance fait partie de ceux qui sont les plus murs en la matière. Je ça fait partie, vous avez mentionné l'électricité, l'énergie au sens large, euh le les télécom et la finance, c'est pour moi trois secteurs super critiques parce que euh non seulement ils sont critiques en tant que tel, mais leurs défaillances entraînent des défaillances ensuite en boule de neige. Donc c'est ceux sur lesquels nous avons porté nos efforts en particulier.

Euh les opérateurs télécomes raisons. Donc nous les pratiquons au quotidien. Euh le secteur financier a investi très tôt dans la cybersécurité parce que il a de l'argent à mettre sur le sur la table naturellement et parce que il a très vite perçu le risque direct en en terme financier.

Un risque sur lequel nous devons continuer à travailler, c'est le risque macroéconomique. C'est-à-dire que les banques sont très bien sécurisées. Mais si tout les entreprises àquelles elles ont auxquelles elles ont prêté de l'argent font faillite suite à des cyberattaques, elles auront un autre type de problème.

Et donc il faut faire percoller là encore ce risque cyber dans le risque opérationnel financier. C'est un un vrai sujet de travail aujourd'hui. sur peut-être la menace russe.

Alors moi je ne pense pas que nous l'ayons à quelques moment sous-estimé dans le dans le le cyber. En tout cas, je peux je peux parler de de la cybersécurité. Nous y sommes confrontés de manière quotidienne.

Euh donc nous y nous y travaillons depuis toujours. Ce n'est pas la seule source de menace et quelque part la le travail que nous menons notamment en matière de prévention est agnostique. Nous nous préparons pas nous nous protégeons pas d'une menace spécifique.

Nous nous protégeons de l'ensemble des menaces. Dans les faits constatés, les acteurs affiliés d'une manière ou d'une autre à la Russie. J'ai toujours des précautions de langage parce que c'est plutôt à l'autorité politique qu'il appartient de désigner euh nommément un état comme nos attaquants.

Euh les acteurs affiliés à la Russie comme les acteurs affiliés à la Chine sont une présence permanente dans le paysage et nous nous travaillons en permanence sur des opérations d'espionnage notamment mené par ce type d'acteur et c'est des choses qui se construisent dans le temps long. Nous avons d'ailleurs pour la première fois en 2025 et ce n'est qu'une première dénoncer formellement au niveau politique les menaces et les attaques menées par un groupe d'attaquants russes émanation du GRU du renseignement militaire russe depuis une dizaine d'années. Donc avec des attaques qui ont ciblé nos entreprises, nos réseaux diplomatiques, nos campagnes électorales également.

Et donc voilà, c'est c'est une manière de mettre en évidence cette cette menace. Ce qui m'amène sur la la question de la forme de dissuasion vis-à-vis des États qui nous attaquent. Évidemment, quand nous faisons une attribution publique de cette nature là, il ne s'agit pas de dissuader.

Je pense que personne ne s'imagine que quand la France dénonce les attaques menées par la Russie, la Russie va présenter ses excuses et promettre de ne pas recommencer. Euh on n'est pas dans cette situation-là à l'échelle mondiale. Euh en revanche, c'est utile pour documenter cette menace, pour la rendre plus visible, plus détectable, plus euh donc affaiblir quelque part l'attaquant parce que on on contribue à cette immunité collective.

C'est utile pour mettre la Russie face à ses contradictions. Elle porte elle-même dans les enceintes onusiennes un certain nombre de de propositions relatives à la responsabilité des États en matière de lutte contre les cyberattaques. Euh bah, il s'agirait d'être cohérent puisque euh voilà, les attaques qui ont été menées par ces acteurs russes ne sont pas du tout tolérables au regard de ces propositions formulées dans les dans le cadre onusien.

Plus généralement, l'État français a une doctrine claire en la matière qui est de mobiliser en tant que besoin et au cas par cas l'ensemble des leviers pour répondre à un état qui qui attaquerait la France. Le levier cyberofensif en fait partie mais et nous disposons de capacités qui ne sont pas de la responsabilité de l'inime et du ministère des armées. Donc il y a des capacités offensives dont l'usage est couvert par le secret de la défense nationale mais dont l'existence n'a rien de secret [grognement] qui sont portés par le ministère des armées.

Donc néanmoins, il faut être très prudent face à une lecture qui verrait dans les les attaques cyber une manière de répondre à d'autres attaques cyber. Euh c'est pas le levier le plus efficace euh déjà parce que c'est pas forcément des choses qui ont le même impact. Enfin, pour prendre un exemple simple, plutôt que de rester sur la la théorie euh si euh un hôpital français était attaqué et paralysé par des acteurs russes, alors on est plutôt dans le registre cybercriminel, mais il y a de fait une forme de tolérance de l'État russe vis-à-vis des organisations criminelles qui mènent ce type d'attaque.

Peut-on imaginer que notre réponse serait de mener une attaque contre un hôpital moscovite ? Je ne pense pas d'une part que ce soit conforme à nos valeurs. Euh je ne pense pas non plus malheureusement que ça ait le même pouvoir déuasif compte tenu voilà d'une perception de ces enjeux qui est différente dans nos sociétés démocratiques et dans la société russe.

Voilà donc il y a d'autres leviers qui peuvent être mobilisés. levier économique, les sanctions économiques notamment au niveau européen. C'est un sujet euh sur lequel nous travaillons parce que voilà, c'est une bonne manière de répondre à des à des attaques étatiques, les leviers diplomatiques, à l'extrême, le levier militaire parce que il y a rien qui dit que les attaques cyberes restent forcément sous le seuil.

Donc voilà, on est sur une posture qui est la mobilisation de l'ensemble des leviers possibles. Euh tout comme face à la menace cybercriminelle, le levier judiciaire est naturellement privilégié et porte ses fruits, hein. On arrive à à arrêter des cyberattaquants quand ils sont en France ou dans des pays qui qui ont des accords d'extradition et même quand ils sont en Russie, on arrive quand même à leur compliquer la vie, hein.

Et donc à leur empêcher de franchir des frontières, à saisir leurs avoirs, à démanteler leur leurs infrastructures numériques. C'est un travail collectif et de coopération internationale qui est mené notamment par le parquet sa section J3 par l'ensemble des services enquêteurs et auquels contribue l'ANC. Et la coopération internationale, elle se structure aussi à travers ces coopérations judiciaires mais pas que.

Nous avons une coopération riche avec nos partenaires européens avec nos partenaires de l'OTAN aussi pour nous alerter mutuellement des attaques, pour mettre en commun notre connaissance, publier en commun et attribuer en commun. C'est une c'est une logique aussi intéressante pour documenter la menace. Donc c'est une réalité et c'est ça nous rend plus fort.

Euh pour me tourner un peu vers l'avenir en espérant ne ne rien oublier, euh alors le le CRA est un avenir très proche. Euh il entrera en application complète en 2027 mais dès le 11 septembre 2026 euh l'obligation de notification à l'ANC à ses homologues européens des vulnérabilités dans le logiciel sera applicable. Donc c'est une une application graduée.

Euh c'est une extrêmement bonne chose. Alors aujourd'hui beaucoup d'entreprises, beaucoup d'éditeurs de logiciels signalent proactivement leur vulnérabilité. C'est quand même il y a une une bonne pratique assez répandue en la matière mais tous ne l'appliquent pas et donc il y a un besoin de systématiser.

C'est c'est là qu'intervient le levier réglementaire. Euh tout comme l'ANC est habitué avant même le CRA à recevoir des informations de cette nature là de la part des entreprises, de la part de lanceur d'alerte aussi. Nous avons des cadres de protection des lanceurs d'alerte qui nous signalent quelques centaines de vulnérabilités par an à l'ANC, des hackurs éthiques par exemple qui sont que l'ANC protège s'ils ont besoin d'être protégés parce qu'ils ont un tout petit peu mordu la ligne du droit euh et qui font œuvre œuvre pour le bien commun en nous signalant des vulnérabilités que nous faisons corriger ensuite.

Mais de fait le CRA va nous permettre de rendre ça systématique tout comme il permettra de systématiser d'autres bonnes pratiques. le fait de fournir des mises à jour de sécurisé des correctifs gratuitement et pendant une durée garantie. Ça c'est une c'est une bonne pratique mais pas systématique.

Le rendre obligatoire est nécessaire. Et pour nous tourner un peu plus loin vers le futur, l'ordinateur quantique, la réalité est que personne ne sait dire quand un ordinateur quantique sera mis au point. En tout cas, un ordinateur quantique permettant de casser la cryptographie que nous utilisons tous les jours.

Mais l'estimation généralement euh consensuel, c'est que c'est un pas de temps d'une dizaine d'années. Donc, on s'attend à ce que ça émerge dans les la décennie à venir. Euh, il faut pas attendre ce moment-là.

Il faut s'y préparer parce que au moment où ça émergera, ça cassera toute la cryptographie qui est la base de tout ce qu'on fait en matière de cybersécurité, hein. Toute la cybersécurité tôt ou tard se rappelle se ramène à un mécanisme de cryptographie qui sera potentiellement cassé par l'ordinateur quantique. Euh les solutions existent.

La cryptographie post-quantique a été normalisée au niveau international avec comme d'habitude dans ce genre d'exercice l'école de cryptographie française qui a brillé et qui a été à l'origine de bon nombre de propositions standardisées aujourd'hui. Euh le problème devant nous c'est un problème de déploiement et donc de faire en sorte que ces mécanismes soient intégrés dans l'ensemble des logiciels. Euh nous avons plusieurs leviers que nous mobilisons en la matière en parler.

On trouve que je fais une fixation sur la la cryptographie postquantique c'est pas une fixation, c'est juste qu'il faut en parler régulièrement. pour ne pas oublier cette urgence de long terme, hein, parce que on a plein d'urgences de très court terme, mais il faut aussi se mobiliser sur cette urgence de de long terme. Euh, utiliser le levier de la certification à partir de 2027, l'ANC n'acceptera plus d'étudier la certification de solution de cybersécurité qui ne serait pas résistante à l'ordinateur quantique.

C'est un levier simple et efficace. et puis une politique de l'État qui est de euh renouveler progressivement tous nos logiciels, tout notre numérique et de systématiquement rechercher la protection postcontique dans ce renouvellement qui va s'opérer sur les 10 ans à venir. Et donc se dire qu'à partir de 2030 en particulier, on n'acceptera plus rien qu'il ne soit pas protégé contre l'ordinateur quantique.

Merci beaucoup. Donc on va attaquer les questions de l'ensemble de nos commissaires et on commence avec Martine Berté. Merci beaucoup madame la présidente, monsieur le directeur général, un grand merci pour les éléments que vous nous apportez et pour le travail réalisé sur le volet de notre souveraineté économique.

On voit bien que les attaques des puissances étrangères sont de plus en plus nombreuses. Elles peuvent être doubles, hybrides avec [raclement de gorge] par exemple une attaque cyber couplée à de la désinformation ou de la prédation économique. Comment l'ANC aborde-t-elle ses menaces ?

Avez-vous des moyens suffisants ? Vous nous avez parlé de la transposition de la directive Nice 2 dont vous nous dites avoir un besoin essentiel. Également la filière qui vous accompagne, quels sont les obstacles pour sa mise en œuvre puisque c'était une demande de la France au départ.

Et puis peut-être revenir sur le sujet que vous venez de traiter le Cantique. J'assistais à une conférence du prix Nobel de physique 2025 Michel Devoret récemment. Je pense que le canting arrive très très vite et que vraiment c'est un quelque chose d'important et je me satisfait de voir que vous avez pris ce sujet à bras lecor parce qu'il y a bien sûr des apports très intéressants du quantique mais aussi des menaces qui peuvent être réelles.

Merci. Merci Martine Anne Chalarcher. Oui monsieur le directeur, déjà on voudrait vous remercier pour non seulement votre clairvoyance mais votre honnêteté intellectuelle qui nous amène bien sûr à pas prendre conscience mais en tout cas de voir l'ampleur des difficultés que nous avons à affronter dans notre pays.

Je voudrais relater tout simplement un moment où avec l'association des maires de mon département, de notre département, Pierre Cupers et moi-même, nous sommes allés en Finlande il y a environ 18 mois et nous avons eu une large conférence sur les menaces hybrides, la Finlande qui est à la moitié de de de ses frontières frontalières avec la Russie et qui vit vraiment dans une angoisse permanente et voir à quel point ce pays était à la pointe justement de de la cyberdéfense et après ça de se poser des questions. D'autant plus que le département de Cénémarne n'a été victime d'une cyberattaque qui a totalement neutralisé la vie du département pendant des mois avec une demande de rançon qui n'a pas été acceptée. Donc cet aspect mercantile qui vient s'ajouter aux dégâts politiques est redoutable. rendson que le département a bien sûr refusé de payer et la perte de données qui sont comme on peut l'imaginer des données essentielles.

Alors, vous avez largement exprimé ce que vous faisiez auprès des grandes entreprises stratégiques de notre pays. Moi, je voudrais revenir sur les élections présidentielles qui s'annoncent en France et sur les les les risques que nous avons et qui sont déjà, à mon avis, plus qu'à l'état de risque une réalité d'ingérence étrangère. Alors, on parle beaucoup de la Russie mais les États-Unis, la Chine et d'autres puissances seront certainement intéressés pour venir s'ingérer euh dans ces élections présidentielles aujourd'hui.

Quelle est votre stratégie ? Vous avez tout à l'heure parlé de l'ACNIL en disant que c'était du ressort de l'ACNIL. Mais ce qui nous paraît un peu inquiétant, c'est de euh voilà, la question qui se pose, c'est de savoir si vous travaillez tous autour de ces sujets-là et si il n'y a pas des sujets réservés à un organisme plutôt qu'à un autre, mais s'il y a une sorte de collectif qui nous amène dans un contexte où les enjeux sont considérables à être bien défendus.

Voilà ce que je voulais vous dire. Merci Anne. Et on termine cette série de trois questions avec Marie Lier Ousso.

Merci madame la présidente. Monsieur le directeur général, je voudrais vous interroger sur un sujet très pratique. Euh le 1er septembre 2026 euh on va passer à la facturation électronique et ce qui veut dire que toutes les factures fournisseurs et clients devront être stockées sur des plateformes agréées par l'État.

Et au total c'est ce sont 10 millions d'acteurs économiques qui sont concernés. et donc des flux gigantesques de factures qui vont être stockées sur ces plateformes avec ben des risques de fraude tout aussi élevé. Euh le monde économique est est assez inégalement préparé euh à cette grosse réforme et je voudrais savoir comment l'ANC a été associé et quel regard vous portez sur les risques qui sont générés.

Merci. Voilà. Monsieur le directeur général pour cette série de premières questions.

Alors peut-être en à titre liminaire une une un éclaircissement sur la sur l'ACNIL, hein. Il y a il y a une répartition assez claire des responsabilités. L'ACNIL est euh en charge de la mise en œuvre et du contrôle du RGPD qui est le règlement relatif au aux données personnelles.

Donc je je voilà je m'abstiens de commenter les questions de protection spécifique des données personnelles qui sont du ressort de l'ACNIL. Mais évidemment euh LANC est chargé de la l'autorité nationale de la cybersécurité et euh beaucoup plus positionné sur tous les enjeux régaliens de manière générale. Et quand il s'agit de protéger un scrutin électoral, il est évident qu'on s'est au cœur de nos missions.

Euh je précise au passage que euh au-delà de cette différence de mission et différence de statut hein, l'ANC est une émanation de l'exécutif, c'est une administration, la clinique est une autorité indépendante. La coopération est régulière quotidienne entre nos équipes notamment sur les référentiels techniques parce que avec des finalités légèrement différentes, nous préconisons généralement la même chose. Et donc il y a un certain nombre de de guides qui sont coélaborés, cosignés, coportés par l'ACNIL et LANC, chacun dans sa dans sa responsabilité propre mais avec une convergence assez naturelle et un travail quotidien des équipes entre elles. le le continuum d'hybridé euh qui a été évoqué par vous madame Berté mais également par madame Chincher sur le le le cas spécifique de la de la Finlande.

C'est au cœur du scénario central auquel nous nous préparons. Autre horizon stratégique, c'est le scénario central de la revue nationale stratégique de 2025 qui verrait alors rien d'une certitude mais c'est ce à quoi on se prépare à la fois un engagement militaire de haute intensité de nos forces armées à la périphérie de l'Europe en soutien de nos alliés de ceux notamment qui ont des frontières avec des adversaires potentiels. mais aussi sur le front domestique la tempête parfaite, c'est pas écrit comme ça, mais c'est c'est l'intention, deux menaces hybrides, celle qui serait susceptible de rester sous le seuil d'une escalade encore plus radicale, même si rien n'est garanti en la matière.

Et dans c cette tempête parfaite, nous nous attendons à une déferlante de cyberattaque extrêmement coordonnée des États du d'impace cybercriminelle, d'impre la menace activiste se répartissant les cibles pour paralyser, saturer nos défenses à très très grande échelle, mais aussi avec une extension naturelle dans le domaine de la manipulation de l'information, de l'amplification de manière générale et donc avec une coopération qui existe déjà face à ce risque là avec nos confrères de Virginum. La France a fait ce choix avisé, j'en j'en suis convaincu, de ne pas mélanger la cybersécurité et la lutte contre la manipulation de l'information. Nous sommes deux structures jumelles, ANSY et Viginum, en charge de ces deux problèmes avec un chef commun qui est le SGDSL, le secrétariat général de la défense et de la sécurité nationale, mais avec des cadres d'action qui sont très différents parce que dans la lutte contre la manipulation de l'information, on touche beaucoup plus vite à des sujets de débat politique ou des sujets de liberté d'expression qui conduisent mes confrères de Viginum à une transparence totale sur leur mission qui ne serait pas euh adaptée au traitement de d'affaires d'espionnage comme nous en traitons à la à l'ANC.

Donc la répartition est bonne et la coopération n'est pas empêchée par cette séparation euh des deux structures. Euh tout comme nous coopérons avec des finalités très différentes et des rôles très différents avec les services de renseignement. Si nous sommes en mesure d'identifier, de pointer du doigt et d'attribuer formellement certaines attaques à au GRU russes, c'est que nous avons mis en commun ce que l'ANC a vu du côté des victimes euh et ce que les services de renseignement voient du côté des attaquants et que nous sommes capables de faire le lien.

Donc cette coopération, elle est elle est fondamentale et c'est une réalité. J'ajoute que nous avons déjà été confrontés à ce type de menace. Euh nous avons fait de la cyberre de haute intensité pour reprendre un un vocable militaire pendant les Jeux Olympiques et paralympiques.

Le LANC était en charge non seulement de la protection de la préparation de l'ensemble de l'écosystème olympique pour faire face à menaces cyber qui se sont révélées particulièrement intenses, mais aussi de la conduite de des réponses, de la coordination des réponses et cetera. Et pendant les Jeux olympiques et paralympiques, une des menaces à laquelle nous avons fait face, c'était un attaquant activiste prorusse qui est assez clairement improxi euh qui s'en est pris aux stations d'épuration pour essayer de polluer la scène, qui n'y est pas arrivé parce que nous l'avions anticipé, parce que nous avions travaillé avec l'ensemble des acteurs qui traitent les eaux les eaux usées et les eaux de manière générale de la scène, mais qui n'a pas pour autant renoncé à proclamer qu'il était arrivé. Donc ils n'y sont pas arrivés mais ils ont fait croire qu'ils ont essayé de faire croire qu'ils étaient arrivés.

Donc on a travaillé sur ces deux plans et avec une un travail étroit aussi avec les médias que nous avons associé dans ces travaux-là. Donc voilà, ça prototype un peu ce qui pourrait être notre réponse coordonnée face à ce genre de chos et ça démontre qu'on peut y arriver. Alors évidemment avec la facilité d'une unité de temps et de lieu des Jeux Olympiques et de d'un alignement parfait de tout le monde.

Mais mais on peut y arriver. Le le même constat se pose un petit peu sur les élections présidentielles sur lesquelles il faut évidemment s'attendre à un continuum de menace cyber et euh et manipulation de l'information et autres. Le volet cyber n'est pas nouveau pour nous.

Ça fait 10 ans au moins que nous nous structurons et nous nous mobilisons à chaque scrutin électoral pour protéger ces élections avec cette chance en France que le scrutin est essentiellement papier. Donc il y a très peu d'adhérence numérique du vote lui-même et donc le nombre de systèmes d'information portant le la collecte des résultats par exemple est très limité. Donc nous avons un focus tout particulier sur les systèmes qui font la concaténation des résultats du vote papier sur ceux qui gèrent les listes électorales.

Donc là il y a un focus très particulier mais évidemment aussi un facteur j'allais dire de vulnérabilité mais par construction qui sont les partis politiques. Les partis politiques sont des cibles. Les équipes de campagne sont des cibles.

C'est avéré. Euh et donc nous avons depuis 10 ans une offre d'accompagnement euh parce que émanation de l'exécutif LANC ne peut rien imposer évidemment et nous marchons sur des œufs dans nos interactions avec les partis politiques, mais nous avons une une offre de service transpartisane. Nous allons nous faisons une action de sensibilisation avant chaque scrutin et nous nous tenons à la disposition de tout de tout parti politique.

Et je sans rentrer dans les détails, nous avons été amenés à travers les années à accompagner des partis politiques de tout bord qui ont fait face à des cyberattaques en phase électorale ou non. Et nous tenons évidemment à informer le juge de l'élection euh le Conseil constitutionnel en l'occurrence de tout événement qui aurait un impact sur la sincérité du scrutin. Euh ça c'est le cadre existant en matière de cybersécurité.

Il s'inscrit maintenant dans un cadre étendu, y compris au aux menaces de manipulation de l'information avec un un modus opérandi qui a été prototypé pour les élections municipales qui sera renouvelé en tirant les leçons de cette premier ce premier mode de fonctionnement qui nous met au côté de Viginum et d'autres entités comme l'ARCOM pour avoir une vision d'ensemble sur de toutes les menaces qui pourraient affecter la le la sincérité d'un scrutin. H vous avez posé aussi la question des moyens de LAN. Alors euh il est évident que euh bon il faut de manière générale, il faut jamais demander à un directeur d'administration centrale s'il a suffisamment de moyens hein.

Ça c'est une évidence, on aura jamais assez de moyens et je pense qu'il y a besoin de moyens complémentaires. Nous avons porté des demandes en ce sens, notamment pour accompagner cette extension du champ de mission, pas pour euh l'ANC va passer une fois que NIS 2 sera transposé de 500 acteurs régulés aujourd'hui au IV opérateur d'importance vitale et opérateur de services essentiels de Nice 1 à 20000. Le but est pas de multiplier par 40 les moyens de l'ANC.

Donc il faut trouver des nouvelles logiques d'action, d'utiliser ce levier réglementaire et de contrôle pour passer à l'échelle. Mais évidemment, ça nécessitera sans doute soit des réaffectations de moyens, soit des compléments de moyens. Tout comme nous avons une logique de pilotage très fine de nos moyens pour investir le champ de LIA sans pour autant euh désinvestir totalement les autres domaines d'expertise qui n'en perdent pas pour autant leur leur utilité.

Je pense que dans la question des moyens, pour le dire très simplement, il y a pas que des enjeux de millions d'euros de budget ou de dizaines ou de centaines de TP. Il y a la question des moyens légaux d'action et je pense que c'est peut-être le plus urgent, c'est de nous donner les moyens d'agir à travers la transposition de de Nice 2 et euh et et la finalisation du du de l'adoption du projet de loi résilience. Euh et évidemment, je ne me prononcerai pas sur le calendrier parlementaire et son inscription ou non au calendrier de l'Assemblée nationale parce que là c'est sujet sur lesquels un fonctionnaire comme moi n'a pas à se prononcer mais je ne peux que répéter l'importance de ce texte et et l'urgence de l'adopter. euh autant pour nous doter de nos moyens d'action que pour euh lever une incertitude qui nuit gravement à nos industries de cybersécurité aujourd'hui.

Euh et sur le quantique euh ça arrive très vite mais ça dépend ce qu'on regarde. Euh le quantique c'est plein de choses. Il y a déjà des calculateurs quantiques qui de manière théorique accélère certains calculs.

Nous ce qui nous inquiète c'est l'ordinateur quantique significatif sur le plan cryptographique. Il a des tas d'acronymes barbares en la matière, mais c'est celui qui sera capable de d'accélérer très significativement des calculs applicables à la cryptographie dans ses usages réels. Et donc ça, on est plutôt sur un horizon à 10 ans euh qui n'est pas euh ça passe très vite disant et 10 ans quand il s'agit de tout renouveler euh ça peut passer très vite.

Pour ça qu'il faut s'y mettre maintenant, mais on n'est pas au pied du mur et il faut se faut veiller à ne pas s'y retrouver parce que aujourd'hui, on a le temps de le faire de manière sereine et dans le cycle naturel de renouvellement du numérique en lissant les coûts. Si on attend trop, ce sera une urgence et ce sera un chantier titanesque voire cataclysmique à l'échelle du numérique. Et évidemment, il y a plein d'autres usages du du quantique.

Je je précise au passage que le quantique et a aussi des applications à la protection des communications. parle aussi de de cryptographie quantique ou de distribution de clés quantique qui est un autre domaine d'intérêt pour la recherche qui permettrait potentiellement de rajouter des cordes à notre arc mais qui n'est pas une priorité pour nous parce que ce n'est pas la réponse à l'arrivée de l'ordinateur quantique. C'est ce qu'on appelle la cryptographie post-quantique.

Désolé pour le jargon mais on a des tas de constructions déjà existantes qui permettent de se protéger contre l'ordinateur quantique sans changer compte totalement la manière dont nous faisons de la du numérique et de la cryptographie. sur la facturation électronique. Ah pardon, je sur la facturation électronique.

Alors, je je bien en tête cette cette échéance qui pour moi ne fait que renforcer l'enjeu de protection de l'ensemble de nos entreprises à très grosse à très grande échelle de manière systématique contre les cyberattaques parce que ça crée une dépendance numérique de plus mais c'est déjà une réalité sans même la facturation électronique, sans même ces plateformes sur lesquelles nous aurons évidemment un travail de d'accompagnement de vérification de leur sécurité mais euh la réalité c'est qu'aujourd'hui L'une des premières conséquences d'une cyberattaque, quelle qu'elle soit dans une entreprise, c'est qu'elle n'est plus capable de faire fonctionner sa comptabilité, de éditer des factures, de payer ses fournisseurs et de recevoir les paiements de ses clients. Et c'est une c'est le facteur qui met en danger le plus rapidement la la survie d'une entreprise, surtout les plus petites d'entre elles parce que une cyberattaque aujourd'hui avec ou sans la facturation électronique, ça empêche une entreprise de manipuler de l'argent, de le faire rentrer, de le faire sortir. Donc c'est c'est une réalité et je pense qu'au-delà de sécuriser les plateformes en tant que telles qui ont un rôle central et qui sont qui sont d'intérêt particulier, le vrai défi c'est là encore de systématiser nos protections dans l'ensemble de nos entreprises.

Et c'est pas des choses très très sorcières qu'on leur demande he c'est des protections de base. Se protéger contre un ranongiciel, ne pas perdre toutes ces données, c'est horrible à dire, mais c'est pas forcément très compliqué. Il suffit d'avoir des sauvegardes hors ligne testé régulièrement.

Euh voilà donc il y a et la réalité c'est que ces bonnes pratiques, elles sont connues depuis longtemps euh mais elles ne sont pas appliquées systématiquement ni par l'État, ni par les collectivités, ni par les entreprises parce que toujours des questions de priorité, il y a toujours une c'est des sujets un peu ingrat hein, un peu orphelins de manière générale et que donc raison de plus de réglementer pour encourager encore plus les les structures à se à adopter ces bonnes pratiques. Je j'ajoute aussi que là encore ces bonnes pratiques de base qui ne sont pas nouvelles sont aussi le premier rempart et le plus efficace contre l'émergence de l'IA et tout ce que ça va changer dans le dans l'accroissement de l'intensité de la menace parce que fondamentalement s'il y a des cyberattaques, c'est parce queil y a des vulnérabilités élémentaires qui sont assez omniprésentes et beaucoup trop omniprésentes. Merci beaucoup.

On continue avec Philippe Grovallé. Merci. La peur n'évite pas le danger.

Euh nous nous voyons bien au travers de votre exposé et je vous en remercie que on agit à la fois dans dans l'instant et et chaque seconde des milliers de risques et puis la nécessité de se projeter dans le temps long. On agit dans l'espace du cyberespace jusqu'au local. Je voudrais juste moi témoigner d'une attaque qui a [raclement de gorge] eu lieu dans ma ville à Saint-Azer.

La ville de Saint-Azer et la Caren 130000 habitants été attaqué en 2024. Et je voudrais à cette occasion vous remercier vous remercier vos services à la fois pour leur compétences techniques, leur réactivité et aussi le soutien moral. Je voudrais dire aussi combien au fond ça touche le quotidien de nos habitants parce que cette attaque tout a été immédiatement stoppé. le service de l'eau, les restaurations scolaires, les marchés publics, donc des des reports de d'investissement très lourd.

Bref, ça a traumatisé un territoire et c'est un peu le sens de de ma question, c'est est-ce que dans vos stratégies au fond très vertical où on parle de défense au plus haut niveau des très grandes entreprises, comment est-ce que vous envisagez une stratégie plus locale de de protection locale où on pourrait associer justement tous les acteurs, les collectivités locales, les plus petites aux plus grandes, les entreprises, même chose et puis les services de l'État et pourquoi pas les acteurs de la société civile sur des stratégies territoriales parce que à l'appui de ce témoignage, ça a traumatisé un territoire et tout le monde avait cette envie de se protéger. Ça fait peur à tout le monde et en même temps voilà donc voilà le sens de ma question. La deuxième qui est un peu aussi liée à cette expérience euh sur vos ressources humaines ou en tout cas les ressources humaines qui en France, pas simplement les vôtres, celles qui sont dans les services de gendarmerie, de la défense et cetera, qui luttent contre ces attaques et qui sont venues à notre soutien.

Euh comment allons-nous trouver des ressources humaines dans un monde aussi concurrentiel où les enjeux financiers pour ceux qui attaquent seraient évidemment bien supérieur à ce que nos conditions publiques peuvent offrir à des à des agents de très haut niveau et que au-delà de du service de l'État et de la République, les la concurrence pourrait devenir très très rude entre le gendarme et le voleur. Merci Philippe. Éveline Renault Garabédian.

Merci madame présidente. Monsieur le directeur général, je suis sénateur des Français de l'étranger et je voulais vous poser deux questions. L'une qui porte sur le vote électronique par internet pour les élections législatives et les élections consulaires parce que le les Français qui vivent à l'étranger ont leur résidence qui est très éloignée des bureaux de vote.

Ensuite, j'ai une question à vous poser également sur l'agence pour l'enseignement du français à l'étranger qui a fait l'objet en 2023 de deux cyberattaques. Au titre de sa mission d'accompagnement du système d'information critique de l'État, Lanci apporte son expertise en cybersécurité à chaque scrutin. au-delà des prestations du prest du choix du prestataire et de l'homologation du système en passant par l'audit du code les tests grandeur nature et la supervision du vote pour le dépouillement aux dernières élections consulaires qui sont intervenues au mois de mai 2026, de nombreux électeurs n'ont pourtant pas pu voter.

SMS jamais reçu, identification impossible à récupérer, portail difficile d'accès, des difficultés de même ordre avait déjà conduit le Conseil constitutionnel en 2023 à annuler les élections de deux députés des Français de l'étranger. Des recours ont d'ailleurs été engagés concernant les élections consulaires du mois de mai 2026. Ces pannes ne touchent pas la plateforme spécifique elle-même mais tout ce qui l'entoure.

Les SMS acheminés par des opérateurs télécomés par les filtres antispam. Comment Landy prend-elle en compte dans son évaluation ses ses maillons extérieurs et notamment l'arrivée effective des codes chez chez les lecteurs ? et quels enseignements vous tirez de 2026 dans la perspective d'une éventuelle extension du vote en ligne à d'autres scrutin concernant l'agence la FE en novembre 2023 un rançon logiciel a touché son application financière son application financière et LAAP avec une fuite de données significatives qui ont été signalées à LANSI et au Knil.

Le mois suivant, une attaque est intervenue contre le logiciel Scola qui a bloqué l'instruction de dossiers des bourses scolaire qui sont affecté aux familles des Français qui vivent à l'étranger, contraignant au report de la commission nationale des bourses et laissant des familles dans l'attente. Dans les deux cas, ce ne sont donc pas les systèmes de l'AEFE qui ont été attaqués, mais ceux des prestataires privés. Ces attaques n'ont pas simplement compromis des données, elles ont interrompu des démarches des démarches essentielles pour les usagers.

Comment l'anci accompagne tel les opérateurs publics comme la FE, la Efe en amont pour prévenir ces attaques, y compris chez leurs prestataires et lorsqu'elles surviennent pour rétablir le service au plus vite ? Merci de vos réponses. Merci Éveline.

Et dernière question de cette série avec Antoinette Gull. Oui, madame la présidente, monsieur le directeur, moi j'ai une question plus spécifique sur les hôpitaux et enfin plus généralement sur la santé puisque nous savons que c'est un secteur qui compte d'après vos statistiques 10 % des cyberattaques de France. Euh nous savons également que 15 % des hôpitaux ont déjà subi une cyberattaque, ce qui met en danger euh la non seulement bien sûr la donnée des patients, les données des patients, mais aussi leur santé puisque c'est quelquefois plusieurs jours euh d'actes qui doivent être reportés et cetera.

Donc, j'aimerais avoir moi votre avis sur la principale vulnérabilité de notre système hospitalier. Est-ce que c'est la technologie ? Est-ce que c'est l'organisation ?

Est-ce que ce sont les ressources humaines ? Est-ce que c'est le budget alloué ? euh alloué à cette protection.

Voilà, je voulais avoir votre avis sur ce sujet en particulier. Je sais que vous l'avez euh vous l'avez abordé un peu. J'aurais aimé qu'on y que vous l'abordiez plus spécifiquement.

Merci monsieur le directeur général. Oui. Alors, je commence par la par la fin. les hôpitaux, c'est pour moi un un un succès au moins partiel et donc c'est une lueur d'espoir.

J'ai pris mes fonctions au moment où où les hôpitaux souffraient particulièrement des du ranongiciel et nous avons connu des vraies catastrophes hein euh notamment à l'hiver 2022 quand deux grands hôpitaux de la plaque parisienne ont été simultanément paralysés pendant de nombreux mois. euh par des ranongiciels en plein pic Covid, grippe, bronchiolite. Donc voilà, on on laisse à votre imagination le genre de conséquence que ça peut avoir ce genre de ces choses-là.

Et donc ça a été notre priorité. Ça l'était déjà avant que je je ne prenne mes fonctions, he c'est pas mon œuvre à moi, mais c'est c'est une source de fierté pour l'œuvre collective de l'ANC qu'on a on a réussi à progresser nettement là-dessus. On a réussi à travers un plan qui s'appelle CER qui a qui a été engagé par le ministère de la santé pour euh financer financer des améliorations de cybersécurité, [grognement] de l'équipement, des ressources humaines, des choses comme ça.

Il y a pas une vulnérabilité spécifique he dans les hôpitaux, c'est juste la complexité même de l'informatique d'un hôpital. Ce sont des centaines et des centaines d'applications différentes. C'est extrêmement interconnecté avec la médecine de ville, avec les cases d'assurance, avec les universités, enfin par nature même par la mission des des hôpitaux.

C'est euh à une échelle un peu différente, mais le même genre de problème qui se pose pour sécuriser l'État dans son ensemble. C'est extrêmement vaste, extrêmement diversifié, en prise directe avec tout le tout le reste et donc c'est complexe à sécuriser avec des prestataires qui sont aussi des sources de d'attaque. Euh mais nous avons réussi à mobiliser des moyens.

Nous avons mobilisé aussi la gouvernance et c'est un enjeu essentiel et ça ça montre que ça peut marcher. Euh les équipes dirigeantes des hôpitaux se sont mobiliser sur ces sujets-là à travers aussi les témoignages de leurs collègues qui avaient subi les premières attaques euh pour ne pas laisser ce sujet aux seuls informaticiens parce que et ça vaut pour tous les autres sujets de cybersécurité au-delà des hôpitaux, ce n'est pas un sujet de technicien, c'est un sujet de gouvernant, c'est un sujet de dirigeant au sens large parce que quand la crise arrive, c'est à eux de prendre les bonnes décisions. Et donc nous avons aussi entraîné les hôpitaux euh entraîné à réagir vite euh à couper internet par exemple.

Il faut savoir quand on quand est-ce qu'on le fait. Ça a des conséquences quand même sur un hôpital hein. C'est pas c'est pas anodin.

Il faut savoir comment on le fait. C'est généralement pas juste une prise à débrancher d'un mur he dans un hôpital. Mais avoir préparé ce genre de choses-là, ça permet de réagir vite et de limiter la casse.

Donc quand je dis un succès partiel, nous sommes au milieu du gay en ce sens que nous n'avons plus eu de catastrophe conduisant à une interruption de l'offre de soins. Donc les hôpitaux depuis ces ces dernières années réagissent suffisamment vite. Alors il faut savoir l'entretenir ce genre de choses pour éviter les impacts sur l'offre de soins.

Et c'est ça qui était notre priorité. Euh ça n'épuise pas le sujet parce qu'il y a évidemment la protection des données de santé qui sont aussi alors détenu pas que par les hôpitaux mais qui sont aussi les cibles. Pour le direcrument, euh le le choix était évident pour nous dans la priorité hein.

Prioriser l'offre de soins en premier lieu, les données de santé c'est important aussi mais un peu moins que la continuité de de l'offre de soin. Donc c'est comme ça. Donc nous sommes au milieu du gay, nous allons poursuivre le travail sur la les données de santé, mais je pense que nous avons quand même réussi à à obtenir un certain succès sur la l'offre de soins.

Et donc j'ai coutume de dire qu'à l'ANC, on sauve des vies sans sans s'en rendre compte et là je pense que on s'en rend compte de manière assez concrète en vrai. Euh le le ça renvoie un autre sujet qui a été qui a été évoqué dans le casadre de la FE. Oui, les prestataires sont une porte d'entrée dans beaucoup de des attaques qui ciblent y compris la sphère publique.

Donc l'État est très attaqué mais l'État est aussi attaqué indirectement par ses prestataires. Euh nous avons des actions d'accompagnement en la matière pour proposer par exemple des clauses types à mettre dans des contrats. Mais pour aller plus loin, il nous faut un cadre contraignant.

Aujourd'hui, LANC déjà ne peut pas contraindre un opérateur public, hein. Établissement public, il y a pas de pouvoir direct de LANC. Nous pouvons l'accompagner, lui faire des recommandations mais pas lui imposer des choses.

Et évidemment tout le cadre réglementaire de Nice 2 CRA va venir couvrir un bon nombre de ces usages-là, tant les entités utilisatrices du numérique qui auront des obligations claires en la matière que les fournisseurs du numérique. Et c'est important de faire les deux en même temps. le CRA, le Cyber Resilience Act, le règlement européen sur la résilience portera des exigences sur les sur les fournisseurs de logiciel par exemple qui sont souvent des portes d'entrée parce que il n'applique pas les bonnes pratiques de base de sécurité et donc avec des des impacts indirects qui peuvent être colossaux.

Euh et c'est pareil dans les collectivités comme euh comme Saint-Nazer euh dans lesquelles euh là aussi les portes d'entrée sont nombreuses. Euh nous n'avons pas qu'une stratégie verticale en la matière. Au contraire, nous avons une stratégie qui vise à euh mobiliser un collectif de plus en plus étendu.

C'est quelque part dans les dans les gènes du fonctionnement de l'ANC qui n'a jamais qui n'est jamais intervenu seul. Nous allons travaillé notamment avec le secteur privé, avec d'autres services de l'État depuis toujours. Euh le le nouveau défi qui est expliqué en détail dans la dans la stratégie nationale, c'est de mobiliser aussi l'échelon local euh au-delà des cercles des sachants, des experts en cybersécurité, des services de l'État spécialisés et donc nous travaillons de plus en plus notamment avec les régions.

Alors c'est pas totalement nouveau. a depuis déjà quelques années des délégués territoriaux présents dans chaque région de l'hexagone et un délégué globe trotter qu'il faudra sans doute doublonner ou tripler parce que il couvre de l'ensemble des outresemes avec des enjeux très particuliers aussi mais une présence dans l'ensemble des territoires, une active une une collaboration étroite avec les régions notamment à travers la les Cirt les centres de réponse à incident portés par les exécutifs régionaux que nous avons soutenu financièrement, méthodologiquement et qui sont aussi un pont de la réponse. parce que ça crée de la capacité de proximité, ça crée des acteurs de proximité qui sont dans les dans la relation de confiance, hein.

Vous vous avez souligné le facteur humain aussi dans la la réponse à un incident de cybersécurité. Quand on est face à une cyberattaque, c'est un choc psychologique. On n pas forcément envie de parler que à une obscure administration parisienne, même si même si c'est l'any formée et qu'on a ce volet d'accompagnement y compris sur vous allez dire psychologiquement soutenir les victimes, c'est c'est important. euh pouvoir parler à quelqu'un qu'on a rencontré déjà parce que c'est euh le l'acteur régional de référence, c'est important et ça fait partie de la l'efficacité de la réponse.

Donc on on travaille de plus en plus en réseau avec ces ces échelons locaux sans imposer un modèle unique mais en soutenant des initiatives régionales aussi. Euh et je dernière manière de dire les choses, euh les régions sont très impliquées dans le soutien au développement économique. C'est une très bonne manière d'attraper des PME qui ne pareront jamais naturellement à l'ANC.

Donc qu'elle soit informée euh des enjeux de cybersécurité et mis en relation avec les acteurs locaux et avec l'ANC potentiellement dans le cadre de l'accompagnement au développement économique porté par les régions est une très bonne chose. Donc ça voilà c'est ce continuum qu'on essaie de construire avec parfois des redondances, avec parfois un écosystème qui est très riche hein mais je je pour le dire très simplement, moi je préfère quelques redondan ou quelques euh quelques voilà superposition d'acteur plutôt que des trous dans la raquette. Et aujourd'hui, on a plus de trous dans la raquette à combler que de redondances à ajuster.

Euh ça, les redondances, ça s'ajuste dans la dans la durée. Euh le vote internet des Français de l'étranger est un sujet qui me tient à cœur parce que dans mes fonctions actuelles mais dans mes fonctions précédentes aussi au sein de l'ANCI, j'ai siégé depuis 10 ans dans le bureau de vote électronique qui supervise le vote par internet des Français de l'étranger. Donc c'est une solution, la solution est regardée de très près par l'ANC et aujourd'hui présente un niveau de sécurité de la plateforme centrale qui est tout à fait satisfaisant et donc je pense qu'on a on a une belle solution avec toutes les limites consubstantielles au vote par internet.

On aura jamais le même niveau de sécurité que sur un vote papier. On aura jamais le même niveau d'intelligibilité par les électeurs, hein. Une une enveloppe au PAC dans une urne transparente, ça tout le monde peut comprendre. une un scrutin dont la sincérité et le secret est garanti par de la cryptographie multivariée des protocoles zé knowledge.

Il faut faire confiance à des gens qui ont des thèses en cryptographie. Donc ça ça déporte un peu le sujet, mais dans le cas des Français de l'étranger qui ont toute cette complexité géographique pour aller voter à l'urne, c'est évidemment quelque chose qui se justifie et qui se qui se comprend bien. Euh ça pose des d'autres problèmes qui ne sont pas liés à la plateforme.

L'acheminement des SMS, les communications protégées dans un certain nombre de régions du monde. Euh c'est horrible à dire mais nous n'avons pas vraiment de levier, hein. Si euh nos nos concitoyens qui votent au Mali euh sont tributaires des opérateurs de télécommunication maliens.

Et quand les opérateurs de télécommunication malien n'acheminent pas les SMS parce qu'ils veulent pas ou simplement parce qu'ils sont soumis à des pannes régulière, il y a pas réellement de levier. Donc, il y a des choses que nous pouvons faire euh pour faciliter euh ne plus avoir besoin par exemple de SMS pour envoyer des mot de passe. Ça repose sur l'identité numérique, sur le travail de déploiement de cartes de renouvellement des cartes d'identité qui fournissent aujourd'hui une identité numérique de forte qui est la voie du futur pour permettre une authentification sans avoir besoin de fournir alors déjà des mot de passe qui sont toujours un facteur de frigilité mais à plus forte raison à nos concitoyens à l'étranger où ce problème d'acheminement des mot de passes est aujourd'hui le facteur le plus limitant dans la la capacité de nos concitoyens à voter par internet. [grognement] la plateforme fonctionne parfaitement mais les opérateurs locaux ne fonctionnent pas toujours très bien.

Et là euh l'État français dans son ensemble n'a pas forcément un levier naturel pour les leur demander de fonctionner mieux. Mais euh je pense que tout le monde en est bien conscient et j'ai moi-même passé la soirée euh avec mes collègues du ministère des affaires étrangères et avec les élus qui siégeaient au bureau de vote électronique dans lequel nous avons fait le dépouillement et aussi reparler de ces sujets-là qui sont voilà un facteur limitant en la matière. J'espère avoir couvert non les ressources humaines.

C'est un enjeu, je je ne l'oublie pas, c'est un enjeu important. Lancy a la chance de pouvoir recruter. Nous sommes un employeur attractif, ne serait-ce que parce qu'on fait à l'anciul par ailleurs.

On y apprend énormément de choses, on y sert son pays et c'est quelque chose qui motive fortement et c'est une une motivation au cœur de l'engagement quotidien des des agents et des agentes de LANC qui ne comptent pas leurs heures et qui font un travail formidable. Motivé par ça avant tout. On se sent utile à l'ancy et c'est ça qui nous fait euh qui nous fait travailler le jour, la nuit, le weekend.

Euh on ne reste pas forcément très longtemps à LANC. Donc les agents de l'ANC SM aussi euh après au bout de quelques années. C'est très bien aussi parce qu'aujourd'hui on a la chance partout dans les opérateurs d'importance vitale dans les administrations de retrouver des anciens collègues qui savent comment on fonctionne qui ont le même le même référentiel que nous.

Donc c'est une une force aussi. Le vrai enjeu et il est bien identifié aussi dans la stratégie nationale c'est une pénurie de talent et donc ça il faut le travailler à la source. On a la chance en France d'avoir des formations du supérieur de très grande qualité.

Elles ne font pas elles ne saturent pas leur leur nombre de places. Donc aujourd'hui le travail on le déplace de plus en plus vers l'amont, vers le lycée et le collège dans lequel il faut étape auquel il fait parler à nos nos jeunes françaises et français euh de cybersécurité, des réflexes de base de survie dans l'espace numérique à acquérir mais aussi de l'intérêt des métiers de la cybersécurité en déconstruisant quelques images un peu un peu récurrentes. La cybersécurité c'est un c'est un truc d'homme travaillant seul dans le noir avec un un souhaite à capuche.

C'est pas c'est pas vrai. C'est une incroyable variété de métiers. C'est des métiers du collectif, c'est des métiers du du CER quelque part.

On aide, c'est nos concitoyens et donc c'est tous ces messages là qu'il faut arriver à faire passer parce que on se prive d'opportunités, on prive nos jeunes aussi d'opportunités de d'emploi formidable. Donc c'est ça. Et quelles sont les écoles de formation ?

Les les écoles de formation. Alors je manière simple de de dire ça, nous avons une un référencement des formations qui s'appelle Secnumedu. L'ANC labellis des formations et donc sur le site web de l'ANC sur cyber.goof.fr, FR.

Il y a aussi une référence de toutes les formations recommandées par LANC. Il y en a une centaine au moins euh des licences, des masters, des BTS. Donc la formation du supérieur, elle est on a une offre riche correspondant à plein de besoins et de très grande qualité et l'enjeu aujourd'hui c'est de remplir ces formations parce qu'elles ne elles ne font pas le plein.

Merci beaucoup. où il nous reste a priori deux questions avec Pauline Martin. Merci madame la présidente.

Merci pour effectivement toutes les informations que vous avez données. Alors moi je vais être complètement structurel dans ma question. Vous savez vous connaissez l'attachement des sénateurs à la notion d'état efficace.

Alors 350 argents en 2013, 600 dans les années 2000. vous en 2020 plus exactement vous en redemandez encore et c'est probablement justifié, je remets absolument pas ça en cause mais voyez-vous un avantage dans votre activité à être détaché d'un ministère dans le format d'une agence ou pensez-vous justement que les choses iraient plus vite si vous étiez intégré directement un ministère ? Merci Poline.

Et dernière question avec Daniel Grémier. Oui, merci madame présidente. Merci pour la qualité de toutes les informations que vous avez pu nous enrichir.

Trois questions. La première question, la nouvelle génération de maire nous interroge aujourd'hui de plus en plus sur la possibilité pour certains élus dans les conseils de pouvoir faire des participer à un conseil à distance. Euh donc comment sécuriser et comment euh envisager effectivement ce genre de nouvelles relations dans un conseil municipal, peu importe.

La deuxième question suite à l'affaire le Brisol, il y a un point important qui a été développé, c'était le de développer des systèmes d'information d'alerte de l'information. l'a déjà aujourd'hui avec les alertes météo, mais là c'était plus par rapport à un risque qui pourrait subvenir et là aussi une question savoir comment on peut sécuriser ces systèmes d'information d'alerte qui vont se développer de plus en plus. Et une dernière question qui est qui n'a rien à voir, mais l'alimentaire est-il à votre avis un sujet fragile à travers la traçabilité ?

Et là aussi aujourd'hui toutes les unités de fabrication sont dans des systèmes très automatisés. Euh y a-t-il une fragilité ? Sachant que le dossier alimentaire est un dossier aussi très sensible au niveau des populations et que ça soit la traçabilité puisqu'on parle de de plus en plus de traçabilité et et je ferai un parallèle sur l'exigence que nous avons en tant que législateur d'avoir les mêmes produits, la même qualité des produits que ceux qu'on exige en France ou en Europe euh par rapport aux importations en dehors de l'Union européenne.

Merci. Je peux tenter une dernière toute petite question là. Comment vous évaluez, j'allais dire le fossé entre la technicité, la rapidité de vos sujets et la démocratie et ses institutions ?

Quand vous me parlez pour ma part d'un ordinateur quantique, je dois dire que je rentre dans un monde assez mystérieux. [rires] Mais vous dites que c'est dans 10 ans et que ça existe déjà. Non, ce que je veux dire, c'est qu'à un moment donné, vous voyez bien que sur vos sujets, on est nous élus, on est mal préparé.

Alors, en tout cas pour ma part, je suis mal préparé. Mais pourtant, mais non, mais pourtant euh alors on peut on peut décider totalement de vous faire confiance, mais à un moment donné, c'est nous qui décidons des règles qui encadrent l'économie et qui vont vous permettre d'intervenir. Comment vous jugez de notre capacité à bien légiférer sur ces sujets là et comment on corrige ça à part vous recevoir régulièrement mais en 2 heures, on n'est pas totalement formé à tout ce que vous racontez.

Et voilà, [rires] je je la garderai pour la fin euh sur le modèle administratif de de l'agence. Alors je ça va vous sembler bizarre mais l'agence l'ANC n'est pas une agence même si elle elle s'appelle agence on est un service à compétence nationale formellement donc on n'est pas une agence au sens des opérateurs détachés de l'État on est vraiment voilà intérieur des services du premier ministre nous ne sommes pas indépendants et nous sommes une aux ordres de l'exécutif comme toute administration centrale ou service à compétence national et c'est très bien comme ça c'est très bien que l'accil soit soit une autorité indépendante, c'est très bien que l'ANC soit une une émanation de l'exécutif. On est sur des enjeux de sécurité et de défense nationale qui ne peuvent être délégués, qui sont la responsabilité la plus fondamentale de l'exécutif.

Ça n'aurait pas plus de sens une NC indépendante qu'une police ou une armée indépendante, hein, je pour dire très simplement. Donc moi, je suis convaincu que nous sommes dans le bon modèle, dans le bon positionnement. Notre positionnement à l'interministériel est une force que nous env beaucoup de nos nos partenaires ou homologues.

Euh notre modèle aussi qui est qui n'est pas alors c'est c'est contreintuitif hein par rapport à la la logique habituelle de l'État qui n'est pas une logique d'exclusivité. Il y a pas une intervention systématique de l'ANC, il y a pas un agent de l'ANC derrière chaque système. Il y a une mobilisation du secteur privé, il y a une mobilisation de réseaux régionaux. euh déjà est possible aussi grâce à ce positionnement intermicel un peu au-dessus de la mêlée et est un gage d'efficacité et là encore euh nous n'avons pas à rougir euh de notre de nos capacités, de nos leviers d'action, de nos nos notre expertise ou de notre action euh par rapport à nos homologues allemands.

Là où l'ANC est 650 650 ETP, les Allemands sont 2000 pour faire la même mission, les Britanniques sont 1500. Donc euh et je il s'agit pas de dire qu'il faudrait que l'ANC soit à 2000 personnes, hein. C'est mais il faut quand même avoir conscience du fait qu'on a on a un modèle qui est aujourd'hui extrêmement optimisé.

Euh je suis pas sûr qu'il y ait beaucoup de marges d'optimisation supplémentaire en l'état. Euh bonne productivité. Voilà, je on fait au mieux et c'est pas c'est pas qu'une question de ne pas compter nos heures, même si nos heures sont rarement comptées, mais on a un modèle qui fondamentalement a fait ses preuves et qui me semble le bon.

Euh sur les questions des des l'équipement des Mires. Alors, je suis pas sûr que le le sujet de le plus dimensionnant aujourd'hui pour une mairie soit de faire le conseil municipal en visio. On peut sécuriser des usages de la visio.

On a même des offres, euh, je parlais de la filière française d'excellence, il y a des offres de visio notamment TICO qui sont labellisées par LAN, qui sont françaises, qui sont de grande qualité. Euh je je pense que la la difficulté aujourd'hui et le le message que nous nous efforçons de faire passer auprès des maires, c'est de comprendre toutes les dépendances numériques d'une commune qui sont nombreuses euh et de prévoir la résilience. Un exemple très concret, je suis je suis désolé du caractère peu réjouissant hein, mais si vous n'avez pas une copie papier du cadastre du cimetière, vous avez un vrai problème le jour où il y a une cyberattaque.

Et c'est un problème qu'a rencontré la ville de Marseille qui n'est pas la plus petite d'entre elles, des communes, en plein pic de Covid quand elle a été victime d'une cyberattaque. Ils avaient perdu le cadastre des cimetières. Bon bah quand il faut enterrer les gens, c'est euh c'est un problème euh pour les maires on est quelquesuns en être en renouvelable donc on est au contact des nouveaux mairesou et c'est une question qu'on avait pas posé aujourd'hui.

On a des jeunes qui ne sont pas forcément qui habitent pas forcément au village qui sont les eu dans les équipes municipales. Et la question que je vous pose c'est pas une question de Daniel Grumier, c'est une question que j'ai eu à plusieurs reprises de maire parce qu'ils ont maintenant dans la nouvelle génération d'élus des personnes qui sont à l'étranger qui se déplacent beaucoup et qui ne peuvent pas être présents aux réunions de conseil. C'était tout. vo ça ça ça et ça mériterait un un un très long exposé mais il y a plein de choses à faire aussi avec des solutions de mutualisation hein pour les pour des petites communes.

La suite territoriale qui a été portée par la NCT à laquelle l'ANC a contribué offre certaines solutions. Le travail avec les intercommunalités est un est un axe de travail fondamental pour nous avec les opérateurs publics de services numériques aussi. Voilà, il y a plein de de manières aussi de faire émerger des des solutions.

De même nous avons une attention particulière sur les S d'alerte sans en faire un long développement. C'est pour cette raisonlà que nous avons notamment mis les 10 explicitement dans le champ de la transposition espérée de Nice 2 en France parce que c'est des acteurs essentiels et là aussi avec une gouvernance complexe mais qui doit qui porte des des des enjeux fondamentaux. L'alimentaire fait aussi partie des des secteurs d'activité d'importance vitale identifié dans le cadre actuel et dans le cadre futur de de Nice 2.

Très morcelé avec les mêmes risques que partout ailleurs, c'est-à-dire des dépendances numériques qui parfois sont sous-estimées, qu'il faut matérialiser, qu'il faut inscrire aussi dans des plans de continuité d'activité. Et j'entends trop dire, c'est je l'ai pas entendu dans l'alimentaire mais dans d'autres secteurs et je pense qu'on l'entendrai si je posais trop la question dans l'alimentaire. En fait, on a le circuit critique logistique, il n'est pas numérisé.

C'est des camions, c'est des robinets, c'est des machins, des choses comme ça. Euh l'expérience montre qu'il y a toujours une dépendance numérique, il y a toujours une dépendance critique, ne serait-ce que sur la facturation. Et quand on sait plus facturer, on ne livre plus en fait.

Donc il faut il faut et là encore c'est un sujet de gouvernance à haut niveau de l'ensemble des entreprises. Et ça m'amène sur les sujets de gouvernance au niveau de la nation. Oui, il y a il y a un besoin euh de faire percoller ces sujets numériques extrêmement complexes qui se limitent pas à la cybersécurité. euh dans le débat euh politique national.

Euh vous n'avez pas vocation à être des experts, mais euh alors je pas de ma mon rôle de vous donner des des des exigences, mais évidemment euh vous devez vous intéresser, je pense, à ces à ces sujets-là. Il est du rôle des administrations aussi de vous éclairer en la matière. Il y a pas que les administrations qui peuvent vous éclairer, mais en tout cas, moi je me livre bien volontiers à cet à cet exercice.

Je pense que je depuis que j'ai pris mes fonctions, j'ai j'ai je suis à une moyenne au moins d'une audition par mois parce que je je voilà, enfin je je pense que c'est extrêmement important de de d'apporter ces éclairages. Euh je pense que ça renvoie vous êtes par construction à l'image de la société et que vous en êtes les représentants. On a un enjeu fondamental et là aussi ça me renvoie à ces questions de de parler de cybersécurité, de parler de numérique au lycée et au collège.

La compréhension par nos concitoyens et concitoyennes de ces enjeux numériques de cyber cycécurité mais aussi de manipulation de l'information, de modèle économique, de tas de choses comme ça, c'est un enjeu critique de résilience de la société face à un monde numérique qui va être de plus en plus déterminant dans le fonctionnement général de la société. notre résilience face à la manipulation de l'information, c'est avant tout une question de compréhension de ces circuits de l'information et cetera. Donc je pense qu'il y a il y a voilà, c'est pour ça qu'on a une mobilisation forte sur ce sujet aussi parce que c'est le facteur peut-être le plus déterminant de résilience à long terme de la société que la compréhension non pas des experts, il en faudra toujours, mais aussi le le la compréhension généralisée des mécanismes de base de du monde numérique.

Merci monsieur le directeur général. Vous vous parliez du fait que la France a un atout au travers de des opérations de vote par rapport à un vote papier. Aujourd'hui, il y a pas mal de communes qui sont équipées de machines à voter.

Euh qu'est-ce que quelle est votre approche et qu'est-ce que ça peut donner ? Voilà, donc s'il y a plus de de communes qui continuent à s'équiper de machines à voter. Question question piège pour la fin. en essayant d'être concis mais clair sur le sujet euh et puis j'ai eu l'occasion de m'exprimer sur le le sujet y compris devant une commission d'enquête sur la de l'Assemblée nationale sur la sur le l'organisation des élections.

Mais euh alors déjà fondamentalement le vote électronique apportera toujours des garanties moindres que le vote papier. C'est c'est une voilà, c'est faut l'admettre, c'est extrêmement compliqué d'atteindre le un niveau équivalent au la propriété simple qu'offre une enveloppe opaque dans une urne transparente et une supervision par nos concitoyens. On peut tendre vers ce niveau de sécurité, mais obtenir simultanément la propriété de secret du scrutin et de sincérité du scrutin démontrable est extrêmement complexe.

Et quand on tend vers ce modèle- là, plus on tend vers ce modèle-là, plus on fait des choses complexes. Et là, on délègue la compréhension. Là encore, il y a pas besoin d'une thèse en mathématique pour comprendre qu'une urne transparente et une enveloppe opaque, ça apporte un certain nombre de garanties. la cryptographie multivariée, les protocoles zé knowledge, la sécurité d'un système d'exploitation et cetera, c'est une mobilisation en fait aujourd'hui pour comprendre complètement la sécurité, tous les angles de la sécurité d'une solution de vote électronique et à plus forte raison de vote par internet, il faut mobiliser plusieurs thèses dans différents domaines et donc on délègue quelque part à des experts la compréhension de la la sincérité du scrutin.

Euh donc ça c'est ce sera le facteur limitant fondamental. Il faut, ça veut pas dire qu'il faut se l'interdire, mais il faut bien peser aussi les apports qu'on a qu'on met en face. Et sur le recours à des machines à voter, au-delà du vote par internet défense de l'étranger qui a un cas de un cas très particulier sur lequel l'équilibre apport apport risque est différent, euh on a aujourd'hui un moratoire qui s'éternise dans la matière.

Donc je me prononcerai pas sur le maintien ou non de ce moratoire au-delà de dire qu'il s'éternise et que les mesures temporaires qui durent, c'est jamais forcément très bon. LANC a travaillé sur le sujet en 2021. On a on a communiqué au ministère de l'intérieur et aux communes concernés un référentiel disant si on veut faire du vote euh par machine à voter, voici l'état de l'art des euh des des mesures à déployer pour assurer le meilleur niveau de sécurité. l'état de l'art qui a beaucoup évolué dans le monde par ailleurs depuis les 20 dernières années et aujourd'hui on est quand même sur des machines en France qui euh sont euh figées dans le marbre depuis quasiment 20 ans par ce par ce moratoire.

Donc si on voulait réouvrir le débat, ma conviction d'expert technique et je me limite à ce rôle-là, c'est qu'il faudrait le faire si on devait adopter des machines à voter avec ces exigences renforcées qui sont celles appliquées par d'autres États qui pratiquent le vote par machine à voter, y compris les États-Unis. d'un bulletin papier à côté du vote par internet qui permet d'avoir une traçabilité papier par exemple d'une évaluation indépendante des machines à voter. Donc voilà et le rôle de l'ANC se limite à ça hein.

On n'est pas on n pas se à à ensuite être acteur du débat politique sur le sujet mais et et les mettre en évidence les risques, mettre en évidence les manières de contrer les risques et les limites de ces de ces contre-mesures. C'est notre rôle et je pense qu'on a fait en 2021. Et bien oui Anne- Catherine, on va pas vous laisser partir encore.

Sécurité des territoires parce que il y a des départements, moi le mien par exemple en Côte d'Or, le département est engagé au côté des communes, il a monté des data center, il clé un cloud souverain. Alors c'est peut-être un peu voilà exagéré dans la formulation. Est-ce que vous accompagnez ces ces ces démarches et qu'en pensez-vous en fait de ces démarches département ?

Il y a énormément de de débats de démarches très vertueuses portées au niveau local, départemental, régional par des intercommunalités, par des acteurs transverses. dans les dans les gens que que qui sont nos associés, nos alliés permanents, je mentionne l'association déclic aussi l'association des OPSN, des opérateurs publics de services numériques qui porte plein d'initiatives et donc euh ça fait partie de l'approche de l'ANC aujourd'hui que de d'accompagner ses initiatives locales euh de faire ce qu'on peut pour aider en partageant des avis, des éclairages, en voyant si on peut mobiliser des dispositifs de niveau national en soutien de ces ces choses-là aussi. maintenant de faire percoller ces bonnes idées et de les partager sans logique centralisatrice d'imposer un modèle unique mais mais de rappeler rappeler voilà il y a des choses qui ont marché on peut les partager avec d'autres territoires sans leur imposer mais il y a plein d'exemples et aussi voilà des actions des des exécutifs locaux mais des préfets aussi qui peuvent d'initiative prendre des initiatives qui ont marché qui ont moins moyen marché donc on est dans cette phase de consolidation euh de bonnes recettes euh sans sans sans imposer des règles mais sans mais en partageant les bonnes recettes.

Un grand merci monsieur le directeur général parce que vous avez vraiment répondu avec précision et et finement sur l'ensemble des questions et puis dans vos propos liminaires, on a mieux appréhendé on va dire et on en est encore que qu'au démarrage mais c'était extrêmement intéressant et très enrichissant. Merci pour le temps que vous nous avez consacré. Et je demande à nos collègues juste il nous reste à procéder à la désignation d'un rapporteur sur la proposition de loi numéro 217 adopté par l'Assemblée nationale pour retrouver la confiance et l'équilibre dans les rapports locatifs.

La conférence des présidents devrait inscrire ce texte à l'ordre du jour du mois d'octobre, mais comme on ne se reverra plus d'ici là et qu'il faut quand même anticiper les choses, je vous propose la candidature de notre collègue Amel Gaker. pas d'opposition. Il en est ainsi décidé.

Je vous remercie, je vous souhaite un bel été et je vous rappelle qu'il ne faut pas oublier que nous serons encore en débat à partir de 16h30 jusque dans la nuit pour terminer l'examen du projet loi relance et décentralisation du logement. Merci et bel été à vous toutes et à vous tous. Au revoir.