Budget 2026 : cybersécurité et ingérences étrangères

C'est bien. Prenez des bonnes Bon, allez, je vous propose de démarrer par respect pour ceux qui sont à l'heure et pour nos invités. Mes chers collègues, nous recevons cet après-midi monsieur Nicolas Roche, secrétaire général de la défense et de la sécurité nationale, le SGDSN, cette fois dans euh un cadre des dans le cadre des auditions plères de la commission sur le projet de loi de finance pour 2026 et je le précise parce qu'il s'agit de votre 2e audition devant notre commission depuis votre nomination le 26 mars dernier.

Votre première venue s'est en déroulée à HClos le 21 mai dernier sur l'actualisation de la revue nationale stratégique dont vous avez eu la charge lors de votre prise de fonction. Il s'agit aujourd'hui plus particulièrement de vous entendre sur les crédits du programme 129 relatif à la coordination de la sécurité et de la défense. Raison pour laquelle vous êtes accompagné de vos deux principaux responsables de service à compétences nationales que nous avons maintenant coutume de recevoir.

Monsieur Vincent Strubel directeur général de l'Agence nationale de sécurité des systèmes d'information LANC et monsieur Marc Antoine Brillant chef du service de vigilance et de protection contre les ingérences numériques étrangères Viginum. Plus largement, ces crédits visent à soutenir également d'autres actions telles que l'organisation des conseils de défense et la sécurité et de sécurité nationale, la coordination interministérielle pour prévenir les crises ainsi que la sécurisation des activités d'importance vitale, la protection du potentiel scientifique et technique de la nation et la sécurité des transmissions gouvernementales dont l'opérateur des systèmes d'information interministériel classifié à la charge. Ces crédits servent également à financer d'une part les fonds spéciaux consacrés aux diverses actions liées à la sécurité extérieure et intérieure des services de renseignement et d'autre part le groupement interministériel de contrôle qui centralise et exploite les techniques de renseignement nécessaires au recueil des données auprès des opérateurs de téléphonie et fournisseurs de services de communication sur internet.

Le rôle du SGDSN est donc bien plus large que la seule sécurité des systèmes d'information est la protection contre les ingérences numériques étrangères. Mais indiscutablement, les cyberattaques comme la guerre informationale sont devenus des sujets grands publics qui touchent voire même menace tous les Français. C'est pourquoi nous nous étions émus l'an dernier de la baisse des crédits de paiement de l'action numéro 2 coordination de la sécurité et de la défense qui était passé de 438 millions d'euros en 2024 à 406 millions d'euros pour 2025.

J'ai en mémoire évidemment de larges débats en commission comme en séance sur la nécessité de conforter les moyens de viginum pour lutter contre la manipulation de l'information. Un amendement de crédit consensuel avait été adopté en ce sens dans le cours de la discussion et en revanche les avis étaient plus partagés concernant l'ANC dont il était question de faire évoluer les missions en cohérence avec la loi résilience et cybersécurité qui est toujours bloquée à l'Assemblée nationale. Enfin, je dois dire que les avis étaient également moins consensuels sur le soutien que la plupart d'entre nous souhaitions apporter à l'institut et aux études de la défense nationale l'IPEDN dont les effectifs avaient été revus à la baisse.

Au final, ces discussions initiatives parlementaires ont été balayées lors du vote du budget intervenu en février dernier à la suite d'une CMP qui n'a tenu aucun compte des de nos positions. Monsieur le directeur, comment est-ce que vos services ont-ils fonctionnés dans ce contexte budgétaire exceptionnellement contraint ? Je pense que nous sommes tous intéressés par votre retour d'expérience sur l'exécution 2025 dans la mesure où cela pourrait se reproduire en 2026.

Je ne l'espère évidemment pas, mais c'est euh évidemment une hypothèse et c'est pourquoi il est important que vous puissiez nous exprimer sur les difficultés voir les dangers que représenterait l'absence de budget avant la fin de l'année. Vous pourrez ensuite nous dire quelles orientations vous pourrez prendre en 2026 avec un budget qui devrait remonter de 406 millions d'euros à 431 millions d'euros. Et je ne serai pas plus long évidemment.

Mes collègues auront euh certainement beaucoup de questions. Euh à commencer évidemment par Olivier Cadic et Michael Valet qui sont nos deux corpporteur sur le P129. Donc monsieur le directeur, monsieur le secrétaire général, messieurs les directeurs, avant de vous céder la parole, je rappelle que toute cette audition fait l'objet d'une captation vidéo qui est retransmis sur le site internet du Sénat et ses réseaux sociaux et consultable ensuite en vidéo à la demande.

Je vous laisse la parole et après vous on vous répartirez, j'imagine, je vous laisse faire et après nous passerons aux questions. Merci monsieur le président. Euh mesdames les sénatrices et messieurs les sénateurs, c'est un plaisir pour moi de revenir devant votre commission.

Effectivement, comme vous l'avez dit euh monsieur le président, j'avais eu le le plaisir et l'honneur de d'être parmi vous au moment où nous étions en train d'élaborer la revue nationale stratégique. J'y reviendrai. Mais je voulais tout d'abord, messieurs les rapporteurs et monsieur le président et mesdames et messieurs les sénateurs, vous vous évidemment vous remercier pour vos propos, pour le soutien constant dont vous avez fait preuve dans votre commission à l'égard de l'ensemble des agents et des services du SGDSN.

Je vais exposer devant vous à la fois, comme vous l'avez souligné, monsieur le président, l'exécution 2025 en revenant en détail sur les décisions de gestion qui ont été prises dans le courant de l'année et qui je pense répondent à un certain nombre de questions que vous avez posé et puis sur le budget 2026 et les priorités qui sont les nôtres aujourd'hui. Comme vous l'avez dit, je suis accompagné à la fois du directeur général de l'AN et du chef de service Viginum qui complèteront mon propos qui va se concentrer essentiellement sur la partie budgétaire et sur les grands axes de la revue nationale stratégique que nous sommes amenés maintenant à mettre en œuvre et 2026 est la première année de pleine mise en œuvre des priorités telles qu'elles ont été finies dans la dans la RNS. Mais pour chacun, ce qui qui les concerne, euh il ils complèteront mon propos sur les grandes priorités qui sont qui sont les leurs des deux côtés.

Comme vous l'avez dit euh monsieur le président, je n'étais pas en fonction au SGDSN à l'époque où vous avez eu ces débats euh sur le le budget qui est devenu la loi de finance initiale de 2025, mais je n'ignore pas comme vous l'avez rappelé que les moyens du SGDSN ont été traités par vous tous avec la plus grande attention l'année passée. J'ai je informé par mon prédécesseur Stéphane Bouillon à qui je veux rendre une nouvelle fois hommage ici de l'amendement de relèvement de crédit que vous aviez adopté et il m'en a fait part comme une marque de confiance de la part de la commission et et de l'ensemble de de chacun et chacune d'entre vous à l'égard de la structure que j'ai l'honneur de diriger désormais et de l'ensemble de ces agents. Je reprends en même temps à mon compte comme Stéphane Bouillon avait coutume de le dire, l'exigence de rigueur qui va avec la confiance que vous nous faites dans l'accomplissement des missions qui sont les nôtres et dans l'utilisation des crédits qui nous ont été confiés.

Euh pour le cas euh spécifique du SGDSN et de l'ensemble du programme 129 euh dont nous avons la charge, je vais revenir sur d'abord les mouvements euh de la gestion 2025 euh parce que ces mouvements reflètent en cours d'année la mise en œuvre des objectifs stratégiques qui ont été fixés au SGDSN et qui ont été réaffirmés à l'été par la revue nationale stratégique. et il matérialise dans le courant même de l'année 2025 un effort significatif qui a été fait en direction des opérateurs et en particulier des opérateurs que vous avez bien voulu citer que sont l'ANC logique, viginum et logique et qui ont été enclenchés dès cet été par des arbitrages du premier ministre et qui vont se poursuivre en tout cas je l'espère si vous décidez d'adopter ce budget dans les arbitrages qui en tout cas ont été rendus par le gouvernement dans la préparation du PLF 2026 et qui forme le cadre de notre réflexion sur nos priorités d'action pour l'année 2026. Premièrement, sans sans chercher à vous abreuver de chiffres et je pense que à la fois dans les les questions qui nous seront posées et puis dans la poursuite de notre dialogue fructueux et des questions que vous pourrez avoir, je vais revenir sur les grandes masses.

La loi de finance pour 2025 qui a été promulguée le 14 février prévoyait en effet, comme vous l'avez rappelé 110,1 million d'euros en crédit de rémunération en T2 et en charge sociale 228,3 million d'euros en AE et 229 millions en CP sur le hors T2. Euh, il est apparu très rapidement dans la dans la gestion de 2025 et dans l'exécution de la loi de finance initiale de 2025 que la dotation en crédit de T2 était insuffisante pour assurer la rémunération des agents de l'ensemble du périmètre du SGDSN sur l'ensemble de l'année. Et nous avons dans un premier temps tiré les conséquences de cette situation très tôt dans la gestion de 2025 pour prendre un certain nombre de mesures d'économie qui nous permet de tenir l'enveloppe de T2 qui nous avait été allouée.

Je ne reviens pas sur le détail, mais une des mesures par exemple de gestion qui n permettait de tenir le T2 était d'augmenter la vacance frictionnelle qui nous permet de gagner un tout petit peu de masse de T2 en allongeant la durée des des vacances entre deux recrutements, ce qui n'est pas sans lien et sans effets en terme opérationnel, mais dans dans la bonne gestion, nous avons pris un certain nombre de ces mesures. Malgré l'ensemble de ces mesures, j'ai été amené à à exposer que de façon structurelle, nous avions au regard de notre plafond d'emploi une difficulté de gestion. Raison pour laquelle le cabinet du premier ministre et le premier ministre ont décidé d'arbitrer dans le courant de l'été une dotation complémentaire de crédit de T2 à hauteur de 5 millions d'euros dans le cadre du schéma de fin de gestion qui nous permet donc de boucler correctement sur la partie du T2 et des emplois notre budget pour 2025.

Je rappelle que le schéma d'emploi pour 2025, tel qu'il avait été alloué, était initialement de - 10 ETP. Vous aviez interrogé mon prédécesseur Stéphane Bouillon sur ce point l'année dernière, vous l'avez rappelé, et il avait eu l'occasion de s'engager à ce que cette diminution des effectifs soit absorbée en minimisant les effets délétaires sur l'accomplissement des missions opérationnelles du SGDSN. Euh il s'avère que au début de l'année 2025, les grands opérateurs du SGDSN euh et en particulier euh les deux qui sont euh autour de moi, LAN et Viginum, mais euh je n'oublie pas l'ique.

Euh son euh son directeur n'est pas avec nous aujourd'hui, mais il est tout aussi important. On reçu un certain nombre de nouvelles missions, j'y reviendrai après ou dans les questions si vous le souhaitez euh dans leur mission opérationnelle. Euh j'ai été amené euh dans cet environnement-là à euh souligner que le schéma d'emploi du SGDSN pouvait être euh légitimement augmenté en cours de gestion à hauteur de 30 TP qui ont été notifiés dans la lettre plafond qui nous a été euh envoyée le 13 août 2025 par le Premier ministre.

Les coûts de cette mesure sont modérés et très modérés en fait en 2025 parce que les délais de recrutement sont tels que l'essentiel arrive en fin de gestion et en fait vont plutôt être reportés en année pleine sur l'année 2026. Mais je vous rassure, l'ensemble de ces mesures ont été bien prises en compte dans la préparation du projet de loi de finance pour 2026. Ça c'est pour les crédits de T2 qui ont donc des facto à la fois en terme de plafond d'emploi et de crédit de T2 évoluer positivement pour le SGDSN en cours d'année au titre de la gestion 2025 et qui nous permettent de consacrer nos moyens sur un certain nombre de missions opérationnelles qui sont fondamentalement les missions opérationnelles de Viginum, de l'Ozic, du Jic et de Lanci. euh le cœur historique euh des deux grandes directions centrales du SGDSN ayant été laissé largement voire totalement à l'écart de ces efforts de renforcement pour prioriser euh le renforcement en cours d'année des moyens qui nous ont été alloués sur les seules missions opérationnelles prioritaires et définies comme prioritaires dans la revue nationale stratégique.

Pour les autres crédits, de la même façon, un certain nombre de mesures sont intervenues en cours de gestion. Je rappelle qu'en entrée de gestion, en plus de la loi de finance initiale, deux mises en réserve obligatoires étaient intervenues pour un total de 8 % des crédits, c'est-à-dire 18 millions d'euros mis en crédit. Au mois de juillet, le cabinet du Premier ministre, dans la même logique que ce que j'ai rappelé sur les crédits de T2, a pris une décision d'abondement global de 52 millions d'euros de crédit complémentaire qui nous a été notifié et qui est intervenu en deux en deux étapes, je parle en AE.

Un déjel est d'abord intervenu au mois d'août qui a d'abord libéré 8 millions d'autorisations d'engagement et 15 millions d'euros de crédit de paiement. Et au mois de septembre, un décret d'ouverture de crédit a transféré 44 millions d'euros en AE et 12,4 millions d'euros en CP depuis la mission dépenses accidentelles et imprévisible vers les crédits du SGDSN. ce qui devrait nous amener à avoir un simple report de 12,3 millions de d'euros de crédit en CP dans la fin de la fin de gestion 2025 sur la gestion 2026, ce qui au regard de l'ensemble des masses que vous avez rappelé et que j'ai rappelé est tout à fait gérable et par ailleurs tout à fait compréhensible au regard du rythme d'exécution du budget 2025 et de la date à laquelle ces décisions complémentaires ont été prises à l'été et mises en œuvre au mois de septembre d'août et de septembre.

De la même façon que sur les crédits de T2, ces crédits complémentaires ont été utilisés au financement exclusif d'opérations très spécifiques qui porte à la fois sur le financement d'un certain nombre de programmes interministériels de renseignement technique. Je fais juste une parenthèse, nous n'avons pas la responsabilité, monsieur le président, des fonds spéciaux qui relèvent du cabinet du Premier ministre. Je je n'en je n'en dispose pas et je ne n'ai pas en connaître.

En revanche, ce que nous appelons un certain nombre de programmes de renseignement technique sont portés de façon interministérielle en partie par les crédits du SGDSN sur le programme 129, en autre partie par les crédits du ministère des armées. Mais donc une partie de renforcement des programmes interministériels de renseignement technique ont été financés par l'abondement en cours d'année des crédits que j'ai mentionné. Un certain nombre de programmes classifiés sur lesquels je ne m'étendrai pas ici de communication au profit des services de renseignement ont également été financés de façon complémentaire et un certain nombre d'actions de renforcement des capacités opérationnelles de l'ANSI et de l'OIC sur la partie de la gestion des systèmes d'information classifiés ont également été amenés et enfin et je pense que Vincentrebel reviendra sur le sujet un certain nombre de dispositifs d'amélioration de la cyber résilience des territoires ont été financés à travers ces crédits complémentaires en exécution 2025.

Je peux vous confirmer à l'heure où nous parlons que la totalité des crédits seront effectivement engagés d'ici la fin de la gestion 2025 et engagé exclusivement conformément aux priorités que j'ai rappelé et qui sont des priorités purement opérationnelles. Encore une fois, aucun de ces crédits n'est allé à d'autres que des opérateurs pour des programmes opérationnels, essentiellement renseignement technique, ANSI, Viginum et OSIC. Voilà pour la gestion 2025.

Pour le projet de loi de finance 2026, je voudrais faire plusieurs remarques. La première chose, c'est que les arbitrage qui ont été rendus par le Premier ministre et qui se figure dans la copie qui vous a été présentée sont en parfaite cohérence avec les décisions de gestion de 2025 que je viens d'évoquer. Il aurait été illogique et incohérent que les décisions tout à fait exorbitantes et exceptionnelles qui ont été prises en 2025 sur l'ensemble des missions du SGDSN et dont nous sommes comptables de la rigueur dans dans l'exécution n'est pas été traduit dans le PLF 2026.

C'est le cas. Le budget opérationnel du SGDSN, JC compris, s'établira, en tout cas, c'est ce qui vous est proposé, à 362,21 million d'euros en autorisation d'engagement en AE et 362,91 en crédit de paiement. Tout ça évidemment hors T2.

En matière de crédit de rémunération, la principale évolution à signaler est une hausse de 13,6 million d'euros de la ressource du SGDSN par rapport à à la LFI 2025 qui constitue en fait le rebasage des crédits de masse salariale par rapport aux crédits complémentaires qui ont été apportés sur le T2 en masse salariale en 2025 et qui fera donc porter l'ensemble des crédits T2 de masse salariale charge sociale comprise à 123,7 millions d'euros. à ce rebase. S'ajoute enfin de façon marginale, mais pour être parfaitement complet et transparent, j'ajoute que des transferts de crédit correspondent au transferts de h emplois qui sont la matérialisation ou plus exactement la fin de la matérialisation du transfert des effectifs du haut commissariat à l'énergie atomique qui a rejoint le SGDSN le 1er janvier 2024 et ça pour 7 TP et un agent supplémentaire qui a été affecté à un programme de téléphonie sécurisé euh dans le cadre de l'OIC. le tout pour un total de 1,7 million d'euros.

Donc c'est c'est des petits montants et des petits ETP mais qui sont finalement la traduction la fin de la traduction logique d'un certain nombre de redéfinitions de périmètre du SGDSN et en particulier de du transfert des des du commissariat lui-même et des services du commissariat énergie atomique OSG DSN depuis le 1er janvier 2024. Je fais juste une parenthèse pour expliquer que pour vous dire à quel point à mon arrivée dans mes fonctions effectivement comme vous l'avez rappelé en à la fin du mois de mars 2025 euh j'ai pu mesurer toute l'importance qui s'attache à au fait que les les le haut commissaire et l'ensemble de ces services en tout petits effectifs contribuent directement à notre capacité au SGDSN à préparer, piloter et suivre l'exécution des décisions du conseil de politique nucléaire présidé par le président de la République public et que comme dans comme beaucoup d'autres conseils nous préparons le schéma d'emploi pour rester sur les crédits d'emploi et de masse salariale. Le schéma d'emploi prévoit 18 ETP supplémentaires en 2026 et vont donc porter le plafond d'emploi de 1295 ETP en 2025 à 1329 ETP en 2026.

Tout cela évidemment hors euh ETP pardon mis à disposition par les armées. S'agissant des autres crédits, c'est-à-dire 239 millions de crédits de paiement et sensiblement la même chose en en AE, le le SGDSN est compris dans l'effort qui a été défini par le président de la République, le premier ministre et le gouvernement en faveur des politiques de défense et de sécurité de la nation. en particulier dans deux grands mouvements que je veux vous signaler.

Un relèvement tout d'abord des crédits qui sont destinés au programme de renseignement technique et plus généralement des capacités interministérielles de renseignement technique et de programmes de communication et réseaux classifiés dont bénéficient les services de renseignement. Pour des raisons évidentes, je je ne rentrerai pas dans cette séance publique beaucoup plus avant sur les détails techniques, mais c'est une partie importante de l'augmentation des crédits qui sera absorbé dans cette priorité absolue que représente le soutien que le SGDSN apporte à la fois au réseaux classifiés de gestion de l'information au sein de l'État et des crédits de renseignement. Et la deuxème partie portera euh sur un certain nombre de points sur lesquels euh mes deux collègues ici présents reviendront sur la mise en œuvre de la stratégie nationale de cybersécurité d'un côté et de lutte contre les manipulations de l'information de l'autre.

Pour conclure sur la question des moyens, je voudrais simplement signaler que je suis personnellement dans mes dans mes nouvelles fonctions au bout de 6 mois, mais je peux vous garantir que l'ensemble des collaborateurs du SGDSN sont extrêmement conscients de du réel effort qui a été consenti par le Premier ministre, le gouvernement et par la nation si vous l'acceptez, qui vont nous permettre de faire plus dans la droite ligne des orientations de la revue nationale stratégique et que cette confiance nous oblige. en terme d'exigence de maîtrise de la dépense et en terme de priorisation de la dépense à des fins strictement opérationnelles. Nous avons tout à fait confiance conscience que comme le ministère des armées, nous bénéficions d'une situation tout à fait spécifique qui nous permettent, nous pensons, de répondre aux objectifs et aux priorités qui ont été définies dans la revue nationale stratégique.

La deuxième chose, c'est que nous avons cherché dans le contexte que vous connaissez parfaitement et mieux que moi-même à évaluer nos besoins au plus juste et au plus près des stricts besoins opérationnels après un travail approfondi mené en interministériel de façon collective, précise et documentée. Et j'espère que dans les discussions, nous pourrons vous convaincre que cet effort qui a été consenti, il est au plus juste. Et pour répondre directement à votre question nous donne les moyens d'assumer nos missions sur l'ensemble de l'année 2026 conformément à la RNS.

Avant de céder la parole au directeur général de l'ANSI et et à à Marc-Antoine Brillant pour Virginum, je voudrais peut-être juste, si vous le voulez bien, conclure en disant quelques mots en partant du budget vers notre cadre stratégique et la revue nationale stratégique parce que dans l'ensemble des travaux que j'ai eu le l'honneur de conduire depuis ma prise de fonction le 27 mars 2026, il est évident que le pardon Ouais, je sais plus si je suis arrivé le 26 ou le 27, le jeudi matin en tout cas. Euh 2025, pardon. Ouais, je je me perd dans les dates.

Euh euh dans l'ensemble de ces missions-là, évidemment euh nous avons des moyens humains, des compétences euh des moyens juridiques euh extrêmement importants au SGDSN, mais qui n'ont de sens que s'ils sont replacés dans un cadre stratégique précis et qui fait sens collectivement au regard non seulement de l'ensemble de l'interministériel, mais plus généralement de l'ensemble de l'effort de la nation en matière de politique, de défense et de sécurité nationale. Pour nous, le cadre qui est le cadre permanent, l'alpha et l'oméga de l'action du SGDSN, c'est aujourd'hui la revue nationale stratégique publiée le 14 juillet et la mise en œuvre de ce cadre là. Je ne reviendrai pas, monsieur le président et mesdames et messieurs les sénateurs sur cet exercice puisque nous l'avons largement conduit ensemble.

Je veux juste vous redire ici à quel point nous avons nous du côté du SGDSN mais au-delà du côté de l'ensemble de l'État plus qu'apprécier la contribution que vous avez bien voulu donner à nos travaux. Je pense que nous en sommes beaucoup plus riches. L'actualisation à la fois en terme de méthode et de fonds a bénéficier directement du soutien et de l'apport de vos travaux comme du côté de vos homologues de la commission de la défense nationale et des forces armées de l'Assemblée nationale qui aura été tout à fait incomparable.

J'espère, en tout cas, j'en suis convaincu que nous avons pris le meilleur des deux méthodes. Celle des commissions du livre blanc qui sont des commissions larges de consultation mais qui nous amènent à des travaux très longs et celle de d'une approche beaucoup plus ramassée centrée sur quelques administrations de l'État. Euh nous avons en 5 ou 6 mois finalement euh bouclé un travail euh stratégique euh qui nous donne à nous SGDSL notre cadre d'action pour les années qui viennent et en particulier pour 2026 mais qui a euh été entièrement euh tourné autour de la prise en compte euh de l'ensemble de vos contributions euh et de euh des consultations qui ont été menées.

J'en profite pour souligner ici puisque je ne l'avais pas fait puisque la dernière fois que je suis me suis présenté dans votre commission, nous étions en pleine élaboration de la revue nationale stratégique pour dire que après les consultations avec vous-même au Sénat et vos collègues de l'Assemblée nationale, nous avons, y compris pris le temps de consulter les associations des maires départements et régions de France dans la mesure où il y a une déclinaison territoriale de la revue nationale stratégique qui est tout à fait essentielle et qui par ailleurs fera l'objet objet, je pense d'un certain nombre de précisions que à la fois l'ANC sur la déclinaison territoriale de notre stratégie de cybersécurité et viginum et en particulier dans les outre mè prévoit en terme de mise en œuvre pour 2026. Je vais m'arrêter ici pour ne pas revenir sur l'ensemble du scénario central de la RNS de l'ensemble de ce que nous avons à faire. Ce que je voudrais juste conclure, c'est que dans cette RNS, il y a une troisème partie sur les voies et moyens qui est aujourd'hui au quotidien notre cadre d'action, à la fois sur la partie juridique, c'est-à-dire législative et réglementaire sur lesquelles il y a beaucoup de travaux en cours.

Il y a plusieurs vecteurs. Évidemment, une actualisation de la loi de programmation militaire est un vecteur potentiel pour la mise en œuvre d'une partie des politiques de résilience dont nous avons la charge du pilotage au sein du SGDSN dans la coordination interministérielle en terme organisationnel. euh en terme budgétaire et financier évidemment euh et en terme de mise en œuvre opérationnelle des opérateurs du SGDSN qui chacun dans leur champ de compétence ont avec cette revue nationale stratégique leur feuille de route opérationnelle pour 2026 mais dans une planification de moyen terme qui nous amène à la fin de la décennie et qui nous amène nous GDSN à nous projeter dans les 4 ou 5 ans qui viennent sur chacun de ces axes d'action des voies et de la partie vo et moyens de la RNS de façon parfaitement cohérente avec l'exécution budgétaire 25 et ce qui vous est présenté dans le PLF F26.

Est-ce que je peux demander au directeur général de l'ANSI de compléter et ensuite euh au chef de Viginum ? Je Merci monsieur le secrétaire général, monsieur le président, euh messieurs les rapporteurs, mesdames et messieurs les sénateurs et sénatrices. Euh très très rapidement pour rapporter quelques éléments de complément en m'inscrivant dans la continuité.

D'abord euh pour vous dire que le scénario central de la RNS est euh à la fois pour nous une réalité tangible au quotidien et un horizon lequel auquel nous nous préparons qui représente un réel défi. Réalité tangible parce que c'est un état de fait déjà dans le paysage de la menace auquelle nous sommes confrontés depuis plusieurs années. celui d'une superposition d'une menace étatique essentiellement ciblée et d'une menace non étatique qui touche tout le reste et massive fait que depuis déjà quelques années plus personne ne peut se considérer à l'abri de cette menace. superposition qui s'accompagne d'un de lien de cohabitation voire d'alignement idéologique entre ces différents ps de la menace étatique et non étatique qui sont de plus en plus appars et qui doivent nous interroger quand même sur la possible coordination un jour de ces de ces ces différents ps de la menace.

Euh réalité tangible aussi dans l'évolution qui se dessine année après année de ce paysage de la menace euh que nous observons chaque année plus massive, plus rapide dans le délai qu'elle laisse aux défenseurs pour réagir à la moindre vulnérabilité, plus désénibé dans les conséquences qu'elle cherche à provoquer euh en évoluant naturellement de l'espionnage qui a été le cœur historique de la menace cyber à et qui perdure évidemment mais à des logiques de déstabilisation de sabotage beaucoup plus désinhibé qui s'inscrit potentiellement dans des convergences avec d'autres types de menaces hybrides de de campagnes de global de déstabilisation plus large qui nous amène à travailler très régulièrement et de plus en plus régulièrement avec nos collègues de de Viginum qui voi un autre aspect de cette même menace parfois. Donc une réalité tangible, mais un défi aussi euh sur lequel j'aimerais attirer votre attention parce que nos vulnérabilités ne sont pas nouvelles. Le contexte de menace étendue et intense n'est pas nouveau.

Ce qui est peut-être un peu plus nouveau, c'est ce qui pourrait être fait de cette menace dans un contexte géopolitique qui se durcit et qui nous amène plus que jamais à nous préparer à la tempête parfaite qui verrait se déch déchaîner toutes ces menaces de manière simultanée, à la fois de manière très ciblée dans une logique de sabotage sur nos infrastructures critiques et de manière beaucoup plus large sur tout le reste dans une logique de déstabilisation ou de paralysie de notre société et de notre fonctionnement démocratique. Euh j'ai eu l'occasion de dire que l'hiver arrivait, il fallait s'y préparer. Une autre manière de dire les choses, c'est que le le pire a toujours été une possibilité, mais qu'il est plus que jamais une possibilité et que ça ne va pas changer malheureusement.

Euh donc l'ANC s'y prépare, elle s'y prépare activement euh en faisant deux choses qui d'apparence contradictoire. déjà en élargissant notre champ d'action pour essayer de de tirer l'ensemble de la société vers le haut, de développer une maturité cyber, une résilience cyber dans l'ensemble des pendant de société, tout en approfondissant par ailleurs ce que nous faisons depuis toujours, c'est-à-dire la protection de ce qu'il y a de plus essentiel et en améliorant nos capacités opérationnelles pour répondre à une menace qui elle-même s'améliore. Euh on s'y prépare évidemment à moyen contraint, même si on est conscient est obligé par les efforts qui ont été consentis.

Ces moyens contraints, ils imposent évidemment une transformation permanente qui n'est pas nouvelle mais qui prend une une actualité plus plus forte que que jamais de nos mode d'action. euh par exemple pour chercher à mobiliser plus que jamais des relais dans les services de l'État, dans les territoires, dans le secteur privé pour trouver d'autres acteurs qui interviennent à la place de l'ANC lorsque c'est possible, lorsque l'intervention de l'ANC n'est pas n'est pas nécessaire pour renforcer le tissu d'accompagnement au plus près de nos concitoyens, de nos entreprises, y compris les plus petites d'entre elles, de nos collectivités qui sont des victimes récurrentes de de la menace au moins non ciblée. donc de créer ce réseau de de premiers répondants qui sont les six surt régionaux dont vous j'ai déjà eu l'occasion de de parler devant votre commission, les le GIP Asima que j'ai l'honneur de présider par ailleurs qui fait aussi un travail formidable de coordination de tout ce tissu-là mais également le secteur privé qui intervient quasi systématiquement dans toutes les les traitements d'attaque en premier répondant quit à ce que l'ANC prenne la main ensuite parce que c'est suffisamment grave pour justifier l'intervention de l'ANC.

Nous trouvons aussi cette optimisation dans la mise en œuvre d'un cadre réglementaire qui va nous donner des nouveaux leviers et une mission de supervision qui permet de démultiplier quelque part notre action et au plus au profit de d'un au profit, c'est peut-être pas la l'appellation qui retiendrait mais au profit de bénéficiaires ou d'assugujetti qui seront bien plus nombreux qu'avant. Euh et puis euh nous cherchons aussi la transformation dans l'optimisation de nos infrastructures numériques qui sont un pan essentiel de notre action qui consomme d'ailleurs une part significative de nos crédits parce que le métier de l'ANC de capitalisation, de détection, de compréhension de la menace, c'est essentiellement un métier de de traitement de données et de volume massif de données. Donc c'est des choses sur lesquelles nous avons des leviers d'optimisation engagés par exemple pour améliorer notre capacité de supervision des systèmes d'information de l'État, faire plus à coût égal voire moindre si possible en travaillant sur des nouvelles logiques techniques.

Au-delà de ces optimisations, il y a évidemment des choix permanents et des renoncements parfois choix dans les types de menaces que nous suivons parce que nous devons avoir perman en permanence un regard sur les menaces qui sont d'intérêt pour nous et celles que nous pouvons nous permettre d'ignorer. Je serai pas évidemment plus détaillé sur le sur le sujet dans cette enceinte. euh choix dans les missions sur lesquelles nous nous positionnons, celles que nous déléguons euh nous positionnons ou celle que nous déléguons euh pour donner quelques quelques exemples sur le champ de la certification par exemple qui est une activité importante et un levier important de l'action de l'ANC mais sur lequel nous avons fait le choix de ne nous positionner que sur le niveau le plus élevé de certification et de laisser tous les autres champs de certification de sécurité au secteur privé au sens large avec un encadrement à minimal puisque la NCI reste dans le son rôle de chef d'orchestre mais ne fait pas elle-même sur ces sujets-là.

Euh nous aurons le même choix sur la mise en œuvre du CRA du règlement européen sur la résilience cyber qui va imposer un certain nombre de d'éléments de conformité à tous les fournisseurs de produits numériques sur le marché intérieur sur lequel nous allons assurer une coordination d'ensemble, un rôle d'expertise mais pas la supervision de marché qui sera portée par d'autres autorités dont c'est déjà le métier à des fins d'optimisation tant des moyens de de l'État que des parcours pour les utilisateurs. Donc dans tout ça et je pense qu'il y aurait bien d'autres choix sur lesquels nous avons eu ce type de réflexion, il y a une logique d'ensemble qui se dessine. Il y a un certain nombre de choses que seul LANC peut faire quand on est confronté à une menace étatique extrêmement pointue tant dans la remédiation que dans la prévention. c'est le rôle de l'ANC et le rôle de l'ANC exclusivement que de faire ça.

Dans tout le reste, nous cherchons autant que possible à faire, voire à aider à faire, voire dans certains cas à laisser faire simplement parce que il faut concentrer nos moyens sur les les enjeux les plus les plus dimensionnants. quelques mots au-delà de cette transformation d'ensemble qui va nous amener probablement un horizon 2030 qui est celui de de la RNS sur les enjeux plus particuler de l'année 2026 année chargé à plusieurs titres en terme de grandes échéances à sécuriser. Nous aurons des élections municipales qui donneront lieu à une mobilisation de l'ANC comme toujours sur un scrutin d'importance pour assurer la la sécurité du scrutin et de tout ce qui est sous-jacent du scrutin, c'est-à-dire y compris des équipes de campagne si elles le souhaitent.

Euh nous aurons aussi euh la présidence du G7, donc un événement majeur à accueillir en 2026 sur lequel nous avons déjà commencé à travailler pour en assurer la sécurité. Et puis même si c'est pas en 2026, nous commençons déjà à travailler à la préparation des Jeux Olympiques d'hiver euh un peu plus loin mais euh nourri par l'expérience des Jeux Olympiques d'été de 2024. Nous savons qu'il faut prendre le sujet à bras le corps le plus tôt possible pour pouvoir le traiter au mieux.

Euh nous aurons un important travail réglementaire qui se poursuivra en 2026 dans la finalisation, je l'espère, du projet de loi résilience euh qui s'il est voté euh en javier 2026, tel que s inscrit au calendrier parlementaire aujourd'hui de de l'Assemblée nationale, euh donnera lieu à une entrée en vigueur fin 2026 compte tenu des délais incompressibles de de textes d'application, mais qui nous mobilise de manière permanente dans la préparation de tout cela, dans l'accompagnement, dans la concertation avec l'ensemble des des acteurs concernés, des fédérations professionnelles, des associations d'él que nous voyons très régulièrement. Euh nous lancerons d'ailleurs prochainement la plateforme de pré-enregistrement parce que ce sera la première étape de mise en œuvre concrète du de cette nouvelle réglementation euh qui amènera les entités à sujetter à sansregistrer au prél. Rien ne nous empêche de commencer dès à présent à tester cette plateforme pour être en mesure de le faire le plus rapidement possible le jour venu.

Nous aurons également un enjeu sur lequel nous avons moins eu l'occasion d'échanger mais la mise en œuvre du CRA là encore le Cyber Resilience Act qui fixera des obligations qui sont le pendant de Nice 2 transposé par le projet de loi résilience. Euh là, on est dans un règlement qui s'applique sur les fournisseurs de services numériques qui euh aura une ampleur peut-être encore plus importante d'ailleurs que Nice 2 puisque là il il englobe tous les produits numériques et qui vise à euh une juste répartition fondamentalement des responsabilités entre les fournisseurs du numérique et les utilisateurs numériques qui sont eux concernés par Nice 2. Au niveau européen, nous avons un dossier majeur qui est l'actualisation du CSA, du Cyber Security Act qui fonde aussi une part importante du cadre européen, notamment le mandat de l'ENISA, l'agence homologue au niveau européen, aussi le cadre de certification et un champ nouveau qui s'ouvre qui est d'une importance toute particulière dans le cadre des débats que nous avons régulièrement au niveau national sur la souveraineté numérique qui est la prise en compte des risques liés à nos dépendances numériques et qui est un nouveau champ qui s'ouvre au niveau européen et sur lequel nous avons sans doute des intérêts à défendre.

Euh tout ça sans oublier des démarches de simplification qui s'imposent sur le niveau réglementaire, non pas pour renier sur le niveau d'exigence, mais probablement pour articuler un peu mieux les différents textes qui ont été pris dans le dans au niveau européen ces dernières années, voir clarifier certaines choses parce que je pense que j'ai eu l'occasion de de m'étaler sur certains devant un certain nombre d'entre vous sur les les clarifications manquantes à Nice 2 par exemple. C'est la bonne occasion de de clarifier certaines choses sur Nice 2 dans ce travail de simplification. Euh dernier dernier aspect dans ce ce plan chargé de l'année 2026, euh la préparation, l'accompagnement de ruptures technologique majeur que nous ne devons pas perdre de vue.

Euh nous avons engagé une stratégie de migration vers la cryptographie post-quantique euh pour préparer une échéance que nous savons pas positionner précisément dans la dans le futur mais qui est l'arrivée de l'ordinateur quantique. Le jour où ça se produira, ça cassera toute la crypto ou en tout cas la moitié de la crypto et tout le reste ne fonctionnera plus bien non plus. Euh donc nous devons engager dès à présent une transition qui peut se faire encore dans la sérénité.

Euh attendre plus serait se se retrouver au pied du mur. Donc c'est quelque chose que nous avons lancé avec quelques échéances à 2027 pour les fournisseurs, à 2030 pour les utilisateurs et que nous allons mettre en musique en 2026. Je n'oublie pas le sujet évidemment d'importance qui est l'intelligence artificielle sur lequel nous avons des travaux à lancer dans le cadre de Linésia, l'Institut national d'évaluation de la sécurité de l'IA dont l'ANC fait partie mais également la préparation du règlement sur l'IA sur lequel l'ANC sera amené à régler à jouer un rôle non pas de régulateur mais de centre de compétence mutualisé au profit des régulateurs.

Donc c'est aussi quelque chose que nous prenons à cœur. Donc nous avons évidemment du pain sur la planche. Je suis bien conscient pour réitérer les propos qui ont été tenus par le Nicolage des efforts significatifs qui ont été faits et qui sont encore demandés à notre profit.

C'est des choses qui nous oblige évidemment et qui nous guideront dans la la consécration des moyens éventuels qui nous seraient accordés sur quelques priorités simples qui sont celles de la RNS. Nos capacités de supervision, de régulation du marché ou des opérateurs régulés, nos capacités opérationnelles évidemment qui sont le cœur de tout. le réseau de proximité qui permet de démultiplier notre action et de la reproduire dans les territoires avec une logique de proximité qui est importante, j'insiste là-dessus, et la capacité que nous aurons à appréhender les grands changements techniques qui se profilent, qui se dessinent déjà ou ceux que nous n'avons pas encore identifié et qui nous faudra identifier.

Je ne serai pas plus long. Monsieur le président, messieurs les rapporteurs, mesdames et messieurs les sénateurs. Donc c'est ma 3e audition donc devant vous depuis 2023 et sans surprise, je dois vous avouer que les nouvelles du froid informationnel ne sont pas très bonnes.

Malheureusement, la menace d'ingérence numérique étrangère, elle s'est renouvelée à la faveur d'un contexte géopolitique est fortement dégradé. Elle s'est également accélérée du fait de la numérisation croissante de tous nos usages, notamment notre consommation d'information et particulièrement notre capacité inégalée aujourd'hui grâce à l'intelligence artificielle à être soi-même un producteur d'information. Et enfin cette menace s'est imposée comme un véritable défi pour nos sociétés démocratiques pour une raison relativement simple, c'est que d'une part nous avons en quelque sorte perdu le contrôle de notre débat public numérique qui est aujourd'hui principalement hébergé sur des plateformes en ligne qui ne sont pas européennes et qui semblent ces plateformes assumer davantage le contentieux que la mise en conformité à nos règles.

Et d'autre part parce que nous craignons tous de tomber dans le piège tendu par les acteurs étrangers de la manipulation de l'information, le risque d'être perçu par nos concitoyens comme des senseurs de notre propre liberté d'expression. Ce que je vous propose, c'est de vous faire un bref état de la menace, de venir ensuite sur la stratégie que nous avons mis en œuvre pour faire face à cet état de la menace et un rapide état des lieux de nos moyens, notamment dans la perspective de 2026. Sur l'état de la menace, la raison d'être de Viginum, c'est la protection du débat public numérique français.

Et ce débat public numérique français, il est soumis aujourd'hui à trois facteurs de pression distincts. Le premier facteur de pression, je vais le qualifier de nature stratégique du fait de l'activité persistante des acteurs étrangers malveillants dans notre débat public numérique. Alors ces acteurs, ils profitent bien évidemment de la conflictualité que l'on vit aujourd'hui depuis notamment le 24 février 2022 mais qui s'est accru à la suite des événements de la fin de l'année 2023.

Et ces acteurs, ils exploitent tout simplement nos principes démocratiques d'ouverture et de transparence dans notre débat pour s'y ingérer au travers de ce qu'on appelle chez Viginum des modes opératoires informationnels, des procédés techniques tout simplement qui leur permettent d'être persistant. Et les finalités de ces modes opératoires informationnels, ils sont simples à comprendre. C'est de brouiller la distinction entre une information manipulée et l'opinion. c'est d'instrumentaliser de manière opportuniste, puisqu'ils sont présents dans notre débat des faits d'actualité, infiner, polariser l'opinion.

Un cas concret que Viginum a dénoncé en mai 2025, c'est le mode opératoire prorusse Storm 1516 qui a la particularité de viser notamment les contextes électoraux, d'exploiter l'intelligence artificielle générative, parfois d'usurper l'identité de médias et on en a entendu récemment parler il y a un peu moins de 3 semaines, vous savez, sur les fameux sites d'information locales qui ont pu être dénoncés par des médias et donc qui sont des sites créés de manière artificielle par ce mode opératoire. Le deuxième facteur, je vais le qualifier de systémique. Et pourquoi je le qualifie de systémique ?

Il n il est pas lié à l'activité de l'acteur. Il est lié au fait aux mutations profondes du terrain numérique de notre espace informationnel. Et ce deuxième facteur en fait, il a trois dynamiques qui sont propres.

La première dynamique et on l'observe depuis à peu près 2 ans maintenant, c'est l'émergence d'un nouvel écosystème informationnel qui se caractérise par un rôle croissant des influenceurs dans la production d'information, par l'apparition de réseaux sociaux que je vais appeler partisans et enfin par la multiplication de médias alternatifs. Ces changements, ils accentuent en fait l'érosion de notre consommation de médias traditionnel et il contribue à brouiller directement la frontière entre ce que j'appelle l'information factuelle et l'opinion. La deuxième dynamique, c'est le développement de l'intelligence artificielle générative.

Vincent l'a l'a évoqué. Et pourquoi en fait ce développement est entre guillemets peut-être préoccupant ? C'est parce qu'il transforme en fait les usages numériques et redéfinit l'économie de la tension. affecte la production, la distribution, la consommation, mais aussi la monétisation de l'information et que l'accès au technologie de l'IA aujourd'hui qui est relativement accès gratuit en fait facilite bah la production à grande échelle de contenu et souvent de contenus faux réalistes, de contenu faux, crédible.

Et enfin, dernière dynamique liée à cette à ce facteur systémique qui est une conséquence évidente de ce que je vous ai un petit peu évoqué juste avant, c'est qu'il conviendra probablement de s'interroger à l'avenir sur la responsabilité des opérateurs de plateforme en ligne dans la propagation des ingérences numériques étrangvers. concrètement au travers de leurs algorithmes, des fonctionnalités qu'ell proposent, des politiques de modération ou plutôt de l'abaissement des politiques de modération ou de leur relation, j'allais dire commerciales. Ces plateformes aujourd'hui sont en capacité d'agir directement sur le débat public numérique en France et ne doivent en tout cas c'est la vision de Virginum aujourd'hui ces opérateurs plateforme ne doivent plus seulement être considérés comme des vecteurs mais comme des acteurs de la menace informationnelle.

Enfin, le 3è et dernier facteur de pression, de contrainte sur notre débat public, je vais le qualifier de discursif et il est lié à l'arsenalisation de plus en plus croissante de thématiques puissantes dans notre débat public. À la fin des années 2010, l'accusation d'une France né néocolonialiste s'est largement diffusée en Afrique, certes à la faveur de situations locales particulières, mais surtout à l'initiative d'acteurs étrangers malveillants qui étaient soucieux de s'assurer de l'éviction durable de la France dans cette partie du monde. Observant le relatif succès de ces manœuvres informationnels, d'autres acteurs étrangers ont cherché à exporter cette thématique de la France néocolonialiste dans nos territoires ultramarins pour déstabiliser la souveraineté de la France et plus largement atteindre l'image de la France auprès de nos concitoyens d'outre mer.

Et aujourd'hui, c'est plus en ouverture, il peut sembler assez utile de s'interroger quant à la portée de l'instrumentalisation de la thématique de la liberté d'expression dans les débats publics européens. Cette volonté d'importer cette thématique dans nos débats publics probablement pour atteindre à terme notre capacité collective à réguler certaines activités numériques. Face à ça, comment la France répond à ce phénomène ?

Donc le constat que je viens de vous délivrer, est relativement préoccupant et comme je vous le disais, la menace elle est croissante et préoccupante. La conviction du SGDSN et donc de de Viginum, c'est de lutter contre cette menace de manière résolue, déterminée et surtout dans le cadre attendu d'un état de droit. Et en vertu de notre rôle de chef de fil, Virgin m'a déployé une stratégie que je pourrais qualifier de défense active au travers de trois grands axes au cours de l'année 2025.

Le premier, c'est d'imposer davantage de coûts à nos adversaires. Le deuxième axe, c'est d'assister nos partenaires, notamment européens et internationaux. Et le troisème axe, c'est de renforcer ou de contribuer au renforcement de la résilience démocratique de notre société.

Imposer davantage de coûts aux adversaires. Conformément à notre décret, vous savez que le viginum assiste le secrétaire général dans sa mission d'animation des travaux interministériels de protection contre cette menace d'ingérence numérique étrangère. Et à ce titre, le service Viginum va coordonner à la fois le travail d'appréciation objective du niveau de menace et ensuite contribuer à élaborer des options de réponse pour y faire face. sans détailler toutes les options, je pense que l'option de réponse la plus visible aujourd'hui est celle de la dénonciation publique des opérations et campagne malveillante caractérisé action de communication stratégique du quai d'Orset que nous appuyons au travers notamment de la publication de rapports public depuis le 1er janvier 2025 nous en avons publié cinq pour dénoncer des acteurs étrangers dans notre débat public axe c'est celui de l'assistance à nos partenaires.

Cette menace, elle touche pas que la France. Aujourd'hui, elle touche l'ensemble des sociétés démocratiques, notamment européennes, mais pas uniquement. Et donc, face à l'intensification de cette menace, un besoin à émerger, un besoin croissant qui est de mettre en commun avec différents partenaires notre connaissance de la menace, nos techniques, nos procédés, nos méthodes.

Et donc, nous avons multiplié au cours de l'année 2025 les échanges avec tous nos partenaires étrangers dans les enceintes multilatérales, mais pas que. et ça a notamment donné lieu à l'établissement de feuilles de route bilatérales avec certains pays notamment pour les accompagner parfois dans la montée impuissance de leur propre structure. Au-delà de contribuer à ce renforcement de la résilience de nos partenaires, il nous a semblé utile que nous puissions fort de l'approche française de la lutte contre les manipulations de l'information qui est une approche opérationnelle fondée sur un cadre éthique et juridique. fort de cette approche qu'on puisse essayer de l'exporter de les semaimer auprès d'autres partenaires pour qu'on puisse tous à terme disposer non seulement d'une grammaire commune mais d'être inter interopérable face à la menace.

Et enfin, sur toujours cet axe d'assister nos partenaires, nous avons renforcé nos liens avec les autorités de régulation à l'échelle nationale. Donc c'est notamment l'ARCOM, mais aussi au niveau européen, la Commission européenne, notamment la DG Connect qui est en charge de la mise en œuvre du DSA en contribuant notamment au suivi de la mise en œuvre des obligations de modération de contenu préjudiciable pesant sur les plateformes au titre du DSA. Enfin, dernier axe de stratégie de réponse que nous avons mis en œuvre, c'est celui du renforcement de la résilience démocratique de notre pays.

On a entamé depuis l'été 2023, donc ça fait à peu près 2 ans, une démarche de rapprochement avec les acteurs de la société civile. Alors, notamment le monde académique et scientifique, mais pas uniquement, aussi nos médias. L'idée était à la fois de les sensibiliser, d'accompagner la recherche dans la prise en compte de cette menace et peut-être demain à terme de former et c'est un peu le l'objectif qui m'a été fixé par le secrétaire général de former une digue, une ligne défense qui ne soit pas que viginume mais qui soit collective.

C'est ça la résilience. Et donc dans la droite ligne des recommandations de la commission d'enquête du Sénat, je vois le le sénateur Rachid Temal juste là, donc sur les politiques publiques face aux opérations d'influence étrangère qui a été publié en juillet 2024. C'est ça, je dis pas de B.

Exact. Tout à fait très bonne lecture. Et donc, Virginum, nous avons multiplié les actions de sensibilisation à cette menace à destination de tout un tas de publics, en particulier les plus jeunes publics.

Donc, nous avons produit de la ressource pédagogique qu'on a mis à leur profit et nous allons continuer à le faire, mais aussi au profit des médias en terme de sensibilisation et d'accompagnement de leur capacité d'investigation. Euh on a très récemment signé des conventions notamment avec la direction générale à l'enseignement scolaire de l'éducation nationale et bien évidemment puisqu'on en a parlé avec France Télévision pour pouvoir à la fois former les journalistes, produire du contenu pédagogique pour différents types de ressources et ensuite les appuyer dans leurs enquêtes. Ces actionsl qui tiennent à cœur au secrétaire général, à l'ensemble des agents de Viginum, elles vont être appelées non seulement à se renforcer mais à se multiplier l'année prochaine.

J'en viens maintenant à la question avec quel moyen nous agissons ? Donc manière extrêmement rapide. Euh donc Viginum a des moyens qui sont structurés en deux parties, le HOR T2 et le T2.

Sur le hors T2 aujourd'hui, nous avons euh deux grandes enveloppes. La première, c'est ce qu'on appelle des crédits métiers qui nous permettent surtout de mettre en œuvre notre infrastructure numérique et l'ensemble de notre outillage à hauteur de 2,4 million d'euros. Et ensuite notre partie fonctionnement courant à hauteur de 500000 €.

Sur la partie des ETP, donc le T2, le service dispose aujourd'hui d'une soixantaine d'agents et m'appuyant sur les éléments donné par le secrétaire général. Donc cette partie-là sera appelée à croître l'année prochaine. Pour 2026, l'objectif de cette croissance en moyen et je rejoins ce qu'a dit secrétaire général et Vincent Schtrrebble sur la gratitude d'avoir des moyens supplémentaires pour continuer à accomplir notre mission.

Ces moyens nous permettront d'accomplir trois choses principales en 2026. La première, c'est la création d'une académie de la lutte contre les manipulations de l'information qui permettra à la fois d'accompagner nos partenaires étrangers dans la structuration de leurs réponse, de produire de manière plus massive et industrielle du contenu de la ressource pédagogique et de pouvoir commencer à avoir une première offre de formation au profit de partenaire choisi. La deuxème objet de 2026, c'est la montée en puissance d'un centre d'excellence sur l'intelligence artificielle et la désinformation.

Et là le encore une fois l'objectif est de pouvoir appuyer le monde de la recherche, développer des outils et à l'image de ce qu'on a fait lors du sommet sur l'IA de février 2025, pouvoir outiller la société civile, donc donner des outils à la société civile pour qu'elles mèneent elles aussi leur propre combat contre l'ingérence numérique étrangère. Et enfin, un dernier axe, le renforcement du volet, j'allais dire technoc-opérationnel. Je vous ai dressé un tableau qui est relativement préoccupant de la menace informationnelle avec notamment des évolutions technologiques.

Il convient pour nous d'y faire face, de monter en puissance, d'être capable de mieux la détecter, de mieux la caractériser et de mieux la partager. J'en ai terminé. Merci beaucoup.

Je vais passer la parole à nos deux rapporteurs du P129. Je commence par Olivier Cadic. Merci monsieur le président.

Moi, c'est la 9e fois que j'ai l'honneur d'être le rapporteur de ce programme 129. Et monsieur le secrétaire général, monsieur le directeur général de l'ANC, monsieur le chef de service Viginum, monsieur le secrétaire général, votre rôle est central dans l'élaboration de des stratégies nationales de défense et de sécurité de notre pays. Après l'actualisation de la revue nationale stratégique que vous étiez venu nous présenter au printemps dernier, comme notre président l'a l'a rappelé, je me réjouis aussi de vous entendre cette fois en audition publique sur les crédits de la coordination. de la sécurité de et de la défense du programme 129 de coordination du travail gouvernemental.

Le grand public ne vous connaît pas assez sûrement. Pourtant, vos services rendent euh vos services rendent des services essentiels à la population contre les cyberattaques et les ingérences étrangères. Je pense évidemment à l'Agence nationale de sécurité des systèmes d'information LANCI pour la cybersécurité de l'ensemble des organismes d'intérêt vitaux infrastructure énergie transport des hôpitaux des services publics au sens large de tout le tissu socio-économique et bien sûr au service vigun de lutte contre les ingérences numériques étrangères qui dévoilent des menaces très concrètes orchestrées depuis l'étranger que monsieur le chef de service de Virginum a parfaitement illustré à l'instant d'après les données budgétaires pour 2026, les crédits de paiement de la coordination de la sécurité de la défense sont conforté et même en hausse, on l'a dit, de 6 % à 431 millions d'euros compte 406,1 million d'euros en 2025.

On pourrait s'en réjouir et on s'en réjouit. Cependant, à titre de comparaison, le budget cyber de la seule banque GP Morgan est de 1 milliard de dollars sur un budget de 15 milliards de dollars. Alors, j'ai plusieurs questions sur l'utilisation justement de nos crédits.

En premier lieu, à la même époque l'an dernier, il nous avait été annoncé pour 2025 d'abord l'actualisation de la stratégie nationale de cybersécurité, ensuite l'élaboration d'une stratégie de lutte contre les manipulations de l'information. C'est également une demande de notre collègue, de notre excellent collègue Rid Temmal en donc en qualité de rapporteur de la commission d'enquête sur les politiques publiques face aux influences étrangères. Qu'en est-il des stratégies de cybersécurité et de lutte contre les manipulations de la formation ?

Quand seront-elles publiées et à minima communiqué au parlement ? Cette question de la stratégie rejoint un constat que nous avons déjà fait sur l'organisation qui peut apparaître anarchique et inutilement coûteuse. Nous avons des points d'entrée avec une multiplication des interlocuteurs institutionnels face aux cyberattaques.

Asi cybermalveillance les certes sectoriels, les cessirts régionaux. À titre de comparaison, aux États-Unis, le bureau local du FBI est le seul point d'entrée. Les USA ont unifié l'ensemble du dispositif pour tracer les cyberattaquants.

On remplit une plainte et le FBI bloque les transactions de paiement des rançons. Nous pensons que la création du 17 cyber et que le projet de loi résilience et cybersécurité allait conduire l'ANSI à mettre de l'ordre et de la lisibilité sur le rôle des différents acteurs. Bien au contraire, nous avons appris au cours de nos auditions préparatoires que l'ANC avait lancé pendant l'été 2025 un appel à manifestation d'intérêt pour le renforcement de l'accompagnement local aux enjeux de cybersécurité doté de quelques 7 millions d'euros.

Ces fonds contribuent au financement des Cirtes alors même que le directeur de l'ANSI avait évoqué devant le président Philippe Lat de la commission spéciale à l'Assemblée nationale qui ne serait plus financé. Par contre pour GIP à SIMA rien. Pourquoi ce revirement et ce dispositif qui ne figuerait pas au PLF 2025 ?

Quels sont les résultats attendus qui justifient cette dépense et l'arrivée de nouveaux intervenants ? Concernant la mise en œuvre du projet de loi relatif à la résilience des entités critiques et du renforcement de la cybersécurité, le Sénat remplit sa mission. Il a adopté dès mars dernier sous ma présidence un texte modifié en première lecture qui attend toujours de passer à l'Assemblée nationale.

L'ANSI n'a toujours pas indiqué en quoi consisterait Nice 2 pour les entreprises françaises. Ne craignez-vous pas de mettre nos entreprises en retard, voire en danger en faisant planer l'incertitude, voire en ne leur suggérant pas d'être certifié ISO 27001 pour s'aligner sur nos voisins belges puisque nous parlons d'une directive européenne. Pourquoi nos banques qui officient aux États-Unis, pardon pour nos banques qui officient aux États-Unis, les attentes du régulateur américain sont supérieur au règlement européen d'OURA ?

À titre d'exemple, pour le Vulnérability patch management, le délai de réponse exigé par la Fed est d'une semaine. Il est de 3 mois chez nous. Comment justifier cette irsortion du qui fait courir un risque de responsabilité important à nos établissements financiers vis-à-vis des autorités américaines ?

Enfin, la Cour des comptes a publié un rapport relatif à la réponse de l'État aux cybermences sur les systèmes d'information civile dont plusieurs des 11 recommandations rejoignent nos sujets de préoccupation, notamment la nécessité de mettre en place à court terme un observatoire national de la cybermenace centralisant à l'échelle nationale les données et analyses utiles. Les vol de données massives chez France travail DGFIP sur la santé nous inquiète et révèle des échecs cuisants pour nos systèmes qui affectent des dizaines de millions de compatriotes. Quand disposerons-nous de se c observatoires pour suivre concrètement l'efficacité de notre réponse aux attaques cyber.

Le filtre qui existe dans de nombreux pays a été voté en France en 2024 dans la loi SR promulgué depuis 18 mois. Nous déplorons 800 dépôts de plainte via la plateforme dédiée aux aux IS croqueries en 2024. Quand est-ce que le filtre entrera en vigueur ?

Cela fait déjà beaucoup de questions, principalement dans le domaine cyber et mon collègue Michael Valet pourra les compléter. Je remercie monsieur le secrétaire général, messieurs les directeurs. Euh mes questions vont rejoindre ou préciser celles d'Olivier Cadic.

Euh d'abord, comme vous l'avez dit, vous êtes dans une maison qui est préoccupée par le sujet. Toutes les chambres parlementaires le sont, mais disons que nous le sommes avec régularité et sérénité. Euh j'ai j'ai eu l'honneur de présider la commission d'enquête sur TikTok et je suis comment dire ?

Je sais pas s'il faut dire rassuré, satisfait ou en tout cas je trouve très important que des responsables comme monsieur le chef de service viginum insiste autant sur la question de la responsabilité de gens qui en fait sont des éditeurs. Mais une fois que nous avons dit cela, du haut de votre connaissance approfondie, surtout hyper concrète du sujet ou du point de vue de nos préoccupations démocratiques, on se trouve quand même face à une aporie juridique sur un sujet où nous ne pouvons pas décider seul et où pourtant s'il y a bien quelque chose qui fonde la culture européenne, c'est bien la question de la liberté d'expression, mais je dirais de la vraie liberté d'expression et pas de la liberté d'expression consistant à pouvoir manipuler les autres avant que eux ne vous manipulent. Donc si vous-même, allant peut-être plus loin qu'une simple analyse de l'information de la situation telle qu'elle est, vous appuyez sur sur ce point.

C'est peut-être quand même qu'à un moment, il va falloir qu'on se mette en ordre de bataille parce que je pense que vous butez vous dans votre quotidien sur ce problème concret là. C'est strictement la même chose que de se demander comment euh des poupées à caractère sexuel se retrouvent vendu sur une plateforme en ligne. C'est c'est strictement le même sujet. un restaurateur qui vend des produits avariés, la DGCCRF saura lui tomber dessus et il pourra pas expliquer qu'il a acheté le produit sans savoir.

Mais en revanche, quand on se retrouve avec des des manipulations d'information sur TikTok, que les responsables d'ailleurs qu'on ne peut jamais voir autrement qu'en voyant des chargés de relation publique plus ou moins avertis du sujet vous disent c'est pas moi. qu'on on bute quand même au-delà des moyens budgétaires dont on parle, des stratégies à renouveler et de la bonne volonté qu'on peut tous avoir, on bute sur des problèmes extrêmement concret. Il y a pas que la question TikTok, notre collègue Rachid Temal qui était à l'initiative de la commission de d'enquête sur les politiques publiques face aux ingérences étrangères ou bien la commission spéciale sur résilience et cybersécurité ont montré la volonté du Sénat là-dessus.

Vous avez insisté sur un point aussi où en parlant de coordination, c'est là où je voudrais approfondir le sujet, on a effectivement et également à la lecture du rapport de la Cour des comptes des interrogations qu'il faut lever sur la question de la coordination et de l'organisation globale de l'écosystème en France. On aime bien savoir, c'est un un méchant jacobin qui vous le dit, donc j'en prends ma part, mais on aime bien savoir qu'il y a quelqu'un qui qui pilote, que ça se décline derrière, de savoir exactement qui fait quoi. Mais il est vrai que on l'avait déjà pointé dans un rapport, je crois, il y a il y a de ou 3 ans, minimum 2 ans, la question de de se dire que il peut y avoir des peut-être des doublons à certains moments et que pensant qu'il y a des doublons, vaut mieux peut-être ça que l'inverse, mais qu'il puisse aussi y avoir des trous dans la raquette est une vraie préoccupation. la question du financement un peu aléatoire des centres régionaux qui ou des centres euh thématiques, je crois, invite un moment à ce qu'on ait quand même une vision un peu plus claire des choses, surtout à un moment où vous-même n'allez pas pouvoir, comme vous l'avez très bien dit, jusqu'à employer l'expression de dire et puis on peut même laisser faire quand on est sûr que les gens savent faire au moment où vous allez avoir des opérateurs et vous allez pas vous pouvoir vous occuper de de de chacun personnellement.

Donc ça c'est une vraie préoccupation que qu'on a et je crois que qu'on en dépit du caractère on va dire rassurant de la non baisse des moyens. C'est pas non plus exponentiel d'une manière extraordinaire. Les les les rapports de comment dire la comparaison des budgets avec certaines entités privées comme vient de faire mon collègue euh le montre.

Euh mais au au moment où il y a pas une baisse de moyens, je pense que vous on n'échappe pas quand même à la nécessité de rationaliser un peu tout ça. Euh j'aurais deux autres points sur lesquels vous interrogez. Vous avez évoqué le fait de faire euh comment dire barrage ou d'avoir une dig de défense contre la manipulation de de l'information.

En fait, on voit bien qu'il y a une nécessité de coordination. Je vais en parler avec le ministère des affaires étrangères, avec le ministère de l'intérieur, la ministre déléguée, faut d'ailleurs peut-être, c'est pas vous qui pouviez répondre, mais s'interroger sur la question du niveau de réponse qu'on amène. Peut-être que dans un pays comme le nôtre, aussi important que la France, ça pourrait être à un moment placé de niveau primistériel.

Je sais pas si vous avez un avis sur le sur le sujet, mais en tout cas la ministre déléguée va pas pouvoir être dans son couloir. Va falloir qu'elle coordonne en inter ministériel et on est habitué aux questions de collectivité territoriale avec les attaques cyber, question de santé avec les hôpitaux, question liée au ministère de l'intérieur sur l'organisation des élections. Mais quand vous parlez de cette digue, en fait, il y a un ministère qui peut-être est à embarquer totalement et prioritairement qui est le ministère de l'éducation nationale parce que nous n'y arriverons pas si nous n'éduquons pas les futurs citoyens sur le sujet.

Je dirais qu'une bonne partie des parents s'est perdu malheureusement, même si on peut faire de l'éducation à la parentalité, mais sur la question de l'éducation, il y a peut-être une nécessité de bien montrer comment vous fléchez vos moyens sur cet aspect-là. vous avez enclenché quelque chose et je crois que ça mérite d'être d'être euh vendu d'une manière importante auprès des différents des différents acteurs. Euh je voudrais appuyer la question de mon collègue sur la question de l'hygiène numérique du quotidien dont est chargé en partie le GIP à SIMA.

Il y a eu le lancement du 17 cyber l'année dernière. C'est quelque chose d'extrêmement concret. Nous avons et je suis sûr mes collègues également des gens qui poussent la porte de nos permanences parlementaires pour dire "J'ai été escroqué de 3500 € parce que malheureusement j'ai dit oui à une demande de ce que je croyais être ma banque.

Tout ça est le caractère le plus le plus con ou sur des ventes de voitures sur enfin j'ai j'ai tout les gens passent pour tout un tas de sujets là-dessus. Euh c'est extrêmement important. Or, nous nous interrogeons sur la question des moyens du GIP.

À un moment où on parle de redistribution à nouveau de moyens sur les Cirtes régionaux. Euh ces circs régionaux ou thématiques qu'on finit pas de découvrir. J'étais ce matin aux assistes de l'économie de la mer dans mon département et en me baladant dans les stand je découvre le le France cybermaritime.

Voyez, il y en a encore un qui m'avait échappé sur le fait que qui d'ailleurs entretient les meilleures relations avec l'ANSID d'après ce qui m'a été dit avec une très bonne réactivité mais on finit pas d'en d'en découvrir. Donc il faut des moyens là-dessus mais il faut de l'organisation et quit du GIP du GPMA. Et enfin et enfin une question très concrète.

Vous aviez parlé lors de nos dernières auditions du fait que les Jeux Olympiques et Paralympiques avaient provoqué un décalage de d'affectation de moyens sur des missions que vous vous étiez donné. Mais il a il avait fallu se concentrer et avec le succès que l'on sait, vous aviez notamment parlé de manière très concrète de question d'achat de matériel et que vous aviez décalé des achats de matériel importants. Est-ce que vous avez pu depuis rattraper ce besoin d'achat de matériel ?

Je vous remercie. Merci aux rapporteurs pour leurs questions très précises. Monsieur le secrétaire général vous laisse la parole pour une réponse à trois voix et puis ensuite j'aurai une autre question.

Merci beaucoup. Merci beaucoup messieurs les les rapporteurs. L'avantage d'être nouveau, c'est que moi je peux pas faire référence à des propos que j'ai tenu l'année dernière.

Euh en revanche, je peux vous faire part de mes convictions après simplement 6 mois dans mes fonctions et de ce que en particulier euh j'ai pu découvrir d'une dans la mise en œuvre d'une décision que j'ai prise en arrivant qui consiste à passer beaucoup de temps dans les territoires. dans la mise en œuvre de la revue nationale stratégique, euh j'ai décidé de passer très peu de temps à l'étranger, euh passer évidemment du temps à Paris, mais de partir et de me déplacer chaque fois que je le peux euh dans nos territoires euh pour assister en permanence et participer à ce travail de pédagogie et de de d'éducation dans les zones de défense. Donc, je participe à tous les comités des zones de défense qui s'organisent régulièrement, ce qui permet de traiter l'ensemble des services de l'État. mais aussi à une série de réunions publiques chaque fois que j'en ai l'occasion de présentation de la revue nationale stratégique.

La conviction que je me suis forgé euh quand je regarde le scénario central de la RNS et je vais répondre ensuite beaucoup plus précisément mais je pense que cette ce chapeau est est extrêmement important. Le scénario central de la revue nationale stratégique, il est incroyablement dimensionnant et exigeant. Il nous dit, je le rappelle dans cette séance publique que nous devons nous préparer, pas parce que c'est probable mais parce que c'est précisément le scénario le plus dimensionnant à une situation dans laquelle nos forces armées seraient engagées dans un scénario de guerre quelque part en Europe, pas sur le territoire national mais quelque part en Europe ou à la périphérie de l'Europe et où en même temps, exactement en même temps, nous serions confrontés à des agressions hybrides massives sur le territoire national métropolitain ou d'outre mer qui viseraiit à casser la continuité de la vie de la nation.

Et par menace hybride dans la revue nationale stratégique, nous listons très précisément des choses extrêmement opérationnelles et pas du tout conceptuelles qui portent sur des attaques cyberes, des attaques sur des manipulations de l'information, des attaques de nature sabotage, espionnage, manipulation et instrumentalisation de troubles à l'ordre public à des fins stratégiques et rupture d'approvisionnement stratégique euh et mise en difficulté de la résilience de la nation. notamment dans sa dimension économique. ce que le directeur général de l'AN et le chef du service Vigénum vous ont dit, ce que le chef du service de l'IC pourrait vous dire, ce que je vous dis c'est que pour être l'organe au sein de l'État qui est chargé de la coordination interministériale des questions de défense et de sécurité nationale et qui à ce titre est le réceptacle d'un grand nombre d'informations, y compris classifiées, je suis frappé de l'ampleur de la menace qui aujourd'hui pèse déjà sur nous et de l'anticipation que nous devons faire de la massification de la menace sur le territoire national.

La question qui nous est posée dans la mise en œuvre de la revue nationale stratégique, elle n'est pas de notre niveau d'ambition, elle est de notre mode d'organisation de la préparation de la nation à un niveau de menace incroyablement plus élevé qu'il ne l'est aujourd'hui, notamment dans le domaine hybride, notamment sur le territoire national. D'autres que moi, en particulier au sein du ministère des armées, le chef d'état-major des armées, la ministre des armées, seront infiniment plus qualifiés de votre commission pour vous expliquer comment on se prépare collectivement à la première partie du scénario sur le scénario de guerre. sur la partie des menaces hybrides.

L'une des convictions que je me suis forgé à la lecture quotidienne des rapports qui m'arrivent sur l'état de la menace et de mes voyages dans les territoires, c'est que nous devons repenser profondément le paradigme de la sécurité nationale et de son organisation sur le territoire national. que si nous partons du principe que pour faire face à la menace telle qu'elle se profile devant nous dans les quelques années qui viennent, nous pouvons compter sur les seuls moyens de l'État, nous serons pas à la hauteur du rendez-vous de la protection de nos concitoyens. que ça suppose une organisation de la responsabilité, de la détection, de la prévention, de l'organisation de la réponse et de la résilience de la nation face à des menaces hybrides qui est assez radicalement différente de celle que nous avons eu jusqu'à présent et qui se repose au-delà des moyens de l'État renforcés.

On peut toujours estimer que c'est jamais assez, mais dans mes responsabilités d'un service du Premier ministre, je constate que la nation, en tout cas le Premier ministre a fait le choix d'augmenter dans la couron de l'exécution 25 et en 26 les moyens de l'ensemble du périmètre SGDSN. Mais quelle que soit l'augmentation qu'on a devant nous, de toute façon, nous aurons besoin d'un point de vue vital pour faire face à ce scénario central que l'ensemble des acteurs de la du territoire national passe à l'échelle, c'est-à-dire les collectivités territoriales, les entreprises et pas simplement les opérateurs d'importance vitale, mais l'ensemble du monde économique et des entreprises et à la fin l'ensemble de nos concitoyens et de nos compatriotes. Chacun à sa place à une partie de la responsabilité de la préparation de la nation à des menaces massives affectant la sécurité nationale de la France.

La question du scénario central de la revue nationale stratégique affecte chacun de nos compatriotes, chacun a sa place. Qu'il soit citoyen, qu'il soit acteur économique, qu'il soit engagé dans des forces de réserve, qu'il soit acteur de nos collectivités territoriales ou fonctionnaires de l'État. La question est celle de la différenciation de cette responsabilité mais chacun est responsable.

Ce qui m'amène à partir de cet environnement, cette remarque très générale à des choses beaucoup plus précises et je laisserai Vincent et et Marc-Antoine compléter dans le domaine cyber qui est probablement le domaine aujourd'hui le plus connu de l'ensemble de ces monas hybrides, en tout cas le plus connu publiquement en dehors de cercle classifié, ma conviction, elle est précisément que nous devrons faire avec un certain niveau de complexité, que nous ne pourrons pas tout centraliser dans un modèle modèle exclusivement ANS autocentré où concrètement on demande à l'ANSI de faire la protection de la nation de A à Z. Je passe une partie de mon temps dans les territoires et auprès de nos opérateurs économiques à leur dire aujourd'hui, au regard de l'évolution de la menace cyber, vous allez devoir faire plus pour vous-même. Nous serons là pour vous accompagner.

Nous serons là pour certifier les produits, pour vous guider, pour vous donner des informations, mais vous devz vous devrez faire plus pour vous-même. Donc tout toute initiative qui permet d'avoir au niveau territorial et en particulier dans les régions ou par secteur d'activité industrielle ou économique qui ont des spécificités particulières au regard de la nature des entreprises en question qui sont de l'organisation, moi je trouve que c'est bienvenu. On peut parler, on peut réfléchir sur le meilleur mode d'organisation et de coordination de cette affaire-là.

Moi, je pose la question et Vincent me dira peut-être le contraire, mais moi je pose la question partout où je vais, y compris dans les C régionaux, y compris dans les dans les certes, y compris dans les les entreprises. Je leur demande comment ça se passe votre organisation avec l'ANC. Euh la plupart du temps, j'ai la même réflexion et réponse que celle que vous avez faite.

Autrement dit, pour dire les choses très directement, moi je ne crois pas que nous soyons euh confrontés à une situation d'anarchie. Je crois que nous sommes confrontés à une situation dans laquelle nos compatriotes, nos acteurs économiques n'ont pas encore compris quel était l'état de la menace et à quel point ils allaient devoir investir massivement pour se mettre à l'échelle de la menace et qu'ils ne pourront pas tout attendre de l'État. L'État, comme Vincent l'a dit et c'est le cœur de la stratégie de l'ANC, va se centrer d'abord et avant tout sur le cœur de la protection des éléments régalien de la continuité de la vie de la nation et deuxièmement sur l'accompagnement de tout un écosystème cyber privé, semi-pubblic, public territorial qui devra monter en puissance et en en compéten et en moyen dans les années qui viennent.

Nous, notre engagement et je me suis battu pour ça dans le courant de l'année 2025 et dans la préparation du PLF 2026, c'est qu'on consacre une partie des moyens du SGDSN et de la cet accompagnement de la montée en puissance de tout cet écosystème cyber. Mais je crois que c'est vraiment important de revenir là-dessus. À la fin, il y a évidemment un rôle de coordination, c'est-à-dire d'évocation d'un certain nombre de menaces cyber.

Soit parce que la menace cyber, comme Vincent l'a dit, est trop sophistiquée pour être laissée à des acteurs territoriaux ou sectoriel, soit parce que la menace cyber telle qu'elle est nous apprend des choses à nous État central et ANSI sur la caractérisation d'un certain type de menace. Donc, on garde en permanence la possibilité d'évoquer un certain nombre d'actions. Et sans rentrer dans les détails classifiés, l'ANC est amené régulièrement à prendre à sa charge, à son niveau, un certain nombre d'actions et d'opérations de cybersécurité qui pourraient parfaitement être laissé au regard de leur sophistication à des acteurs locaux ou à des acteurs sectoriels mais qui viennent renforcer la compétence et la connaissance de la menace par l'ANCI.

Donc, je crois que et encore une fois, c'est pas pour me défausser, je pense qu'on a effectivement à reréfléchir à notre dispositif de coordination. Ce que je veux juste souligner ici, c'est que je pense que nous n'échapperons pas à un certain degré de complexité de notre dispositif de prévention et de protection de la nation sur l'ensemble des acteurs cyber et en particulier alors j'ai peut-être la foi du nouveau converti mais étant diplomate ayant passé beaucoup de temps à l'étranger. Et je suis convaincu que nous avons besoin de l'échelon territorial dans l'accompagnement de la montée en puissance de nos acteurs économiques et de nos concitoyens dans la préservation de la continuité de la vie de la nation en particulier pour les menaces cyber et pour les menaces manipulation de l'information et en particulier dans les outresemes où je laisserai Marc-Antoine revenir spécifiquement sur ce qu'on a fait en terme de de produits à destination de de de nos autres mères.

Euh deuxièmement, sur euh Nice 2, euh je ne peux que partager euh votre inquiétude sur le maintien d'un certain niveau d'incertitude euh qui n'est pas tellement lié d'ailleurs à l'incertitude juridique parce que euh Nice 2 est connu, euh le projet de loi, vous l'avez voté, il est connu. En revanche, ce que Vincent a dit est extrêmement important, c'est que non seulement il faut que la loi finisse d'être adoptée, par ailleurs, on est en retard. Donc, il y a un moment où nous serons confrontés à des pénalités parce que c'est le fonctionnement de l'Union européenne et où la Commission peut parfaitement nous mettre en demeure et d'ailleurs imposer des amendes très directes pour retard dans la transposition de la des trois directives, enfin directives au règlement sur REC, Nice 2 et Dora.

Mais par ailleurs parce qu'il y a toute une série de mesures réglementaires de mise en œuvre de Nice 2. Moi, je veux saluer l'action de l'ANC ici qui n'a pas attendu la fin du processus législatif et réglementaire pour commencer à anticiper tout ce qui était possible d'être anticipé. et Vincent vous en a donné un exemple avec la mise en place de ce dispositif de de de déclaration.

Mais évidemment, plus vite on ira, mieux on se portera. Pour nous, la mise en œuvre de Nice 2 en 2026, c'est une priorité absolue et qui rentre dans cette logique finalement de de gradation de la réponse et de la reposte et de la préparation. Tout le monde n'est pas égal face aux menaces cyber.

Euh il y a des opérateurs d'importance vitale, il y a des opérateurs essentiels, il y a des opérateurs qui seront pas qualifiés d'essentiel au titre de Nice 2 et qui pourtant sont des éléments importants de la continuité de la vie numérique de la nation euh dans les territoires. 3e euh 3e remarque euh spécifique sur la partie des attaques cyberes. Moi, mon sentiment, mais je je j'accepte parfaitement de de me tromper, c'est que le l'endroit dans l'État qui agrège, définit, synthétise et définit la menace cyber, elle est à ma gauche.

Et donc je je je prendrai connaissance avec intérêt de ce que vous dites que je n'avais dont je n'avais pas connaissance sur l'observatoire de la menace cyber, mais moi mon observatoire de la menace cyber, il est là. Euh il est classifié la plupart du temps parce que tout ça suppose euh un certain nombre de de besoins de protection de l'information classifiée. Je crois que l'ANC fait un effort particulier de publication et de déclassification de toute une partie.

Je fais partie des gens qui pensent qu'on a besoin, y compris dans notre processus d'éducation et d'éveil à la réalité de la menace, d'aller toujours plus loin dans l'explication publique de la menace. Donc, j'encouragerai en permanence LANC à aller dans ce sens, mais je crois que ça fait partie de notre travail de diffusion dans les secteurs économique auprès de notre de la population dans son ensemble, auprès des territoires, de la nature de la menace et et je ne cesserai en tout cas de demander à l'anci de continuer dans cette logique là. Euh 4e remarque, euh je je ne peux que partager euh ce que vous avez dit messieurs les rapporteurs, dans le domaine des ingérences numériques étrangères et des manipulations de l'information sur la dimension de ce que Marc-Antoine a appelé le facteur systémique euh de la menace informationnelle aujourd'hui.

Il peut y avoir des réflexions de nature législative ou juridique à titre national ou européen sur l'amélioration de notre dispositif. Ce que je voudrais juste dire ici, c'est que je ne crois pas que nous ayons besoin d'attendre l'évolution de notre dispositif législatif national ou réglementaire européen pour faire beaucoup. Je ne vais pas rentrer dans tous les détails là non plus ici dans une séance publique, mais quand je réfléchis à la compétence technologique que nous avons pour caractériser un certain nombre d'évolutions de ces plateformes et des biais systémiques, en particulier des biais algorithmiques, quand je regarde en détail ce qui figure dans les instruments à la main du pouvoir judiciaire en France, quand je regarde ce qui est à la main en terme juridique de police administrative et y compris des autorités administratives indépendantes qui ont une partie de la responsabilité à titre national.

Quand je regarde les instruments qui sont à nos mains en terme politique et en particulier y compris de prise de position publique et quand enfin je regarde l'état du droit et de mes discussions à Bruxelles avec les responsables compétents de la Commission européenne sur la le DSA et la mise en œuvre du DSA, je crois qu'on a un ensemble d'instruments dans nos mains qui ne demandent qu'à être utilisés et dont le souhait nôtre et que précisément nous décalquions dans le domaine des facteurs systémiques ce que nous avons fait aujourd'hui avec de plus en plus de succès sur ce que Marc-Antoine a qualifié de facteur stratégique et il y a une nature de la menace qui est technologiquement et structurellement un peu différente entre la partie stratégique et la partie systémique. Il y a probablement des améliorations législatives ou réglementaires européennes à faire, mais on a entre nos mains aujourd'hui beaucoup d'instruments. Et je ne doute pas que les instructions qui nous sont données par nos autorités politiques consisteront à nous employer toujours plus, à mobiliser ces instruments pour faire face à une une évolution de la menace qui est telle que Marc-Antoine l'a décrite et qui par ailleurs, je le je le rajoute, va être croissante et avec des problématiques beaucoup plus compliquées dans le cycle électoral en en 2026 et en 2027 auquel nous allons être confrontés.

Dernière réflexion, euh je ne peux là aussi que partager l' vie des rapporteurs sur l'importance que vous avez attaché euh à euh la prise en compte de l'ensemble du secteur de l'éducation nationale euh dans à la fois l'éveil et la la l'explication de la menace cyber et de la partie manipulation de l'information. Je veux vous rassurer sur le fait que c'est le cas. Euh il y a des travaux qui ont été engagés, des produits qui ont été euh euh mis en place, diffusés euh dans l'ensemble des euh des relais euh qui sont les nôtres.

Je passe une partie de mon temps dans les territoires à parler avec les recteurs sur l'ensemble du scénario central de la RNS et donc évidemment sur les questions cyber, évidemment sur les questions de manipulation de l'information, mais beaucoup plus généralement sur le scénario central et le besoin que tous les acteurs, y compris des acteurs qui sont assez loin du monde de la défense et de la sécurité nationale se saisissent de la RNS. Vous parliez d'éducation nationale, je ne peux que partager votre avis. Euh j'ai participé ce matin au ministère de la justice à une réunion spécifique autour de la RNS sur l'ensemble du monde judiciaire.

Il y a beaucoup d'administrations dans les territoires ou d'administration centrales qui ont besoin et je constate qu'elles le sont euh qu'elles sont demandeurs euh de produits, d'information, d'accompagnement dans la mise en œuvre du scénario de la RNS. Dernier élément et je me tais pour répondre très directement à vos deux questions, monsieur le rapporteur, sur les stratégies. Euh je crois que j'avais eu l'occasion dans notre séance à H clos de dire avec un demi-sourire que je devais avoir h ou neuf projets de stratégie sur mon bureau quand je suis arrivé fin mars.

Je peux vous redire mon engagement à toutes les sortir une par une progressivement. Euh la stratégie nationale cyber a été adoptée dans sa version classifiée. Elle est stabilisée mais elle est classifiée.

La stratégie nationale cyber dans sa version déclassifié et finalisé et elle devrait, je l'espère, ce n'est pas à moi de faire les annonces, euh être euh publiée et rendu public dans les dans les semaines qui viennent. La stratégie de lutte contre les manipulations de l'information a fait l'objet d'un travail interministérial extrêmement approfondi. On est dans une temporalité un tout petit peu différente.

Ce que je souhaiterais proposer à nos autorités politiques, c'est que une fois qu'elle est bien stabilisée et finalisée, c'està-dire dans les semaines qui viennent, en fait, elle l'est entre nous, mais il faut qu'elle soit formellement adoptée, que nous prenions le temps d'un échange, c'est-à-dire d'une consultation un peu large comme nous l'avons fait sur la RNS évidemment avec vous, mais avec l'ensemble de l'écosystème de la qui participe à la lutte contre les manipulations de l'information. Et donc, je pense que dans sa version finale finale, si je puis dire, elle sera publiée un petit peu après la stratégie nationale cyber. Euh, j'en profite pour dire que normalement nous devrions aussi, vous n'en avez pas parlé mais ça fait partie des des priorités du SGDSN qui nous ont été confiées par les autorité politiques françaises.

Finaliser une stratégie nationale spatiale qui devrait là aussi être rendue publique prochainement. Donc, j'espère que disons d'ici quelques mois euh nous aurons euh finalisé euh l'ensemble de la euh préparation et de la publication de ces stratégies et que nous pourrons nous concentrer sur l'élément le plus important qui est leur mise en œuvre opérationnelle et qui sera le cœur de toute l'action du SGDSN sur l'année 2026. Peut-être Vincent et Marcine tout petit complément sur les sujets de de SERT et et autres.

Déjà pour pour vous remercier monsieur le rapporteur de de souligner les bons temps que peuvent consacrer certaines grandes banques à ces sujets qui me conforent dans la perception partagée qu'il y a là une un besoin de répartir les responsabilités et de mettre tout le monde à contribution parce que tout le monde est concerné. Euh j'ajouterai dans le dans les dans les chiffres à voir en tête euh l'expérience récente de nos homologues britanniques avec Jaguar Land Rover qui a conduit le bon dans la défaillance suite à une cyberattaque a conduit le gouvernement britannique à ouvrir une facilité de paiement à hauteur de plus d'un milliard de livres qui donne aussi une idée de la réelle sanction de la non prise en compte des cyberattaques qui est le coût de la cyberattaque qui peut être démentielle pour une une un acteur industriel sur sur l'organisation complexe et des des guichets de nature diverse y compris au niveau territorial. au-delà de de ce qu'a pu dire le le secrétaire général que je partage naturellement, c'est au cœur de la revue nationale stratégique de son objectif stratégique numéro 4 que de densifier sur ce réseau territorial.

C'est aussi quelque chose que qu'appelle de ses vœux la cour des comptes dont vous avez fort justement pointé le le rapport et c'est quelque chose auquel nous croyons profondément. Euh je suis conforté en ce sens par les retours réguliers que me font tant mes équipes opérationnelles qui travaillent au contact de ces six qu'ils soient régionaux, sectoriel ou autres euh et qui ont cet effet de coopération mais aussi de d'éviction potentielle quand une menace mérite l'intervention exclusive de l'ANC et ça fonctionne très bien et dans la plupart des cas ça ne nécessite pas l'intervention de l'ANC et ça se traite par des six qu'il soient sectoriel qu'il soient régionaux qu'il soient privé parce qu'il y en a une une majorité de privés aujourd'hui l'interc CERT France qui est l'association des certes français ou des six français compte plus de 120 membres dont la majorité sont des six spécifiques à des entreprise. Donc on va vers une complexité croissante mais c'est une complexité qui s'intègre bien dans un protocole uniformisé entre 6T.

Les retours sont et sont très favorables de la part de mes équipes mais également des régions qui sont aussi des acteurs de cette de ce sujet. J'étais ce matin aux assises régionales de la cybersécurité et de l'IA, première du nom euh où le mécanisme des sissurs régionaux a été une nouvelle fois plébiscité. Euh l'appel à l'appel à manifestation d'intérêt qui a été lancé en fin d'année qui a permis de soutenir un certain nombre de ces structures et plus généralement des logiques de réponse régionale s'inscrit pleinement dans cette dans cette logique là.

J'avais eu l'occasion de le dire, vous l'avez souligné en lors de la la commission spéciale à l'assemblée sur sur la transposition enfin sur le projet de loi de résilience que ces six n'étaient plus financés et que c'était quelque chose de regrettable. Euh on a résolu ce ce problème à court terme. Euh plus généralement, la RNS appelle à une logique de cofinancement à long terme de cette de cette logique de proximité et qui a énormément de sens.

Euh je ne m'inscris pas en revanche dans l'opposition entre ce dispositif de SERT et Assima. Euh et euh ayant la l'honneur par ailleurs de présider ce GIP. Euh je ne peux que vous remercier au passage pour euh euh l'importance toute particulière que vous lui accordez, mais je peux vous rassurer sur le fait que Assima est financé, continue à être financé par le SGD7 qui est son premier euh premier financeur depuis le début euh et financé et a vu son budget abondé pour des projets spécifiques, notamment le 17 cyber qui a donné lieu à un financement de lancement de 700000 € par le ministère de l'intérieur et un abondement à hauteur je crois de 300000 € par l'ANC pour y intégrer cette logique d'ensemble des 6T et faire en sorte que que lesisseurs soient accessibles à travers la plateforme du 17 cyber ce qui est le bon modèle de mon point de vue à la fois des acteurs de proximité mais aussi un acteur central de l'aiguillage quelque part qui est qui est Assima ne répond pas au téléphone n'est pas dans les régions n'est pas dans les outresemes mais assima peut orienter nos concitoyens et être ce guichet alors j'évite le terme de guichet exclusif qui renvoie des ou guichets unique qui renvoie des logiques d'exclusivité qui n'ont pas lieu d'être mais un guichet naturel qui permet à tout le monde de trouver l'acteur le plus pertinent pour l'aider et c'est c'est comme ça que nous positionnons à SIMA.

J'ajouterai par ailleurs que ASIMA a vocation à remplir d'autres missions fondamentales qui sont inscrites dans la RNS et qui aura vocation à être refinancé et financé plus abondamment au titre de ces missions spécifiques, notamment celui d'un portail de sensibilisation grand public ou de campagne de sensibilisation plus généralement. Euh je j'ajoute que euh pour faire écho à votre question, monsieur Valé, sur la sur la les trous dans la raquette, cette AMI euh nous a permis d'en combler certains qui euh me semblent particulièrement importants puisque nous aurons à travers cette AMI la capacité de de soutenir une action locale en région auver Renalpe et quelque chose qui me semble tout particulièrement important à Mayotte qui était aujourd'hui un trou dans la raquette. Donc le fait que à travers cet appel à manifestation d'intérêt, nous puissions développer des compétences de proximité à Mayotte au profit de nos concitoyens sur place avec toute la complexité de l'insularité qui ne fait que manifier les conséquences d'une cyberattaque me semble une très très bonne nouvelle.

Sur Nice 2, je rejoins évidemment le le souhait que ça ça aille plus vite ou le plus vite possible parce qu'il faut fixer ce cadre. Nous avons indiqué aux entreprises ce qu'elles doivent faire. Nous avons partagé à plusieurs reprises les versions préliminaires des référentiels d'exigences qui ne seront finalisés qu'une fois la loi soit que la loi sera votée par respect pour le législateur qui doit qui doit fixer fondamentalement l'exigence.

Mais les versions préliminaires ont été partagées euh avec efficacité. Je je me réjouis en particulier d'une étude qui a été publiée par le Sésin, je crois, au mois d'octobre, Club des experts en sécurité informatique et numérique français qui a mesuré par échantillonnage la maturité cyber dans les entreprises et qui note à la fois un décalage bien réel d'ors et déjà dans la maturité des des entités futures à sujet 2 pour autant qu'on puisse en préjuger en l'absence du vote définitif de la loi et une un cap différent également parce que ces ces entités futures assujetti ont d'ors et déjà pris le cap d'une renforcement de leur cybersécurité sans attendre la loi qui devra arriver infiné mais en tenant compte des du cap qui est de l'horizon qui est déjà fixé parce que je pense que c'est quelque chose qui de toute façon prendra des années. Je je fais aussi le lien avec le sujet de l'observatoire de la menace parce qu'une des obligations fondamentales de Nice 2 que nous attendons tout particulièrement c'est l'obligation de notifier les incidents de cybersécurité et l'observatoire de la menace évidemment nous avons un rôle de consolidation mais qui est très très partiel aujourd'hui.

Il ne pourra être élargi que à mesure que les obligations de notification des incidents seront généralisées. Le règlement CRA et qui a la beauté d'être un règlement donc de ne pas faire appel à une transposition particulière dans le droit français imposera dès décembre 2026 la notification de toutes les vulnérabilités dans les produits numériques aux six nationaux. LANC rendant ce rôle pour la France.

Nice 2 imposera des notifications similaires pour les les entités assujettes à Nice 2 et je pense que nous aurons besoin de cette obligation tout particulièrement pour consolider notre vision de la menace qui ne sera toujours pas exhaustive. Nous avons d'autres sources de d'information. Le GIP Asima est un bon capteur aussi à vocation le devenir de plus en plus à travers le DC de cyber mais il n'y a pas de capteur exclusif et tout ça est très complémentaire.

Un dernier mot pour revenir sur les la question des achats de de matériel que vous que nous avions reportés. Oui, nous avons comblé ce décalage et c'est par en partie à cela que nous avons consacré les moyens supplémentaires obtenus à l'été 2025 pour sécuriser, péréniser notre infrastructure la plus critique pour la pour le notre métier opérationnel. Donc ça c'est fait.

Et sur Dora, je ne me risquerai pas à commenter les la directive Dora dont je ne suis pas responsable. Je pense que c'est c'est plutôt à la directrice à la direction générale du trésor qu'il faut adresser cette cette questionlà. Mais je vous renvoie à des à des débats que nous avons eu lors de la commission spéciale sur le fait que à trop vouloir unifier le traitement des notifications Dora et Nice 2 ont créé plus de problèmes qu'on en réglé et notamment le fait que Dora a un calendrier une cinématique de notification bien plus lente fait que nous avons intérêt à avoir une double notification pour les entités qui sont concernées par Dora et par Nice 2 qu'elle notifie très vite Alan l'aspect cyber d'une d'un incident parce que nous pouvons agir vite pour limiter la casse.

Qu'elle notifie dans un temps plus long aux autorités de contrôle d'OAT les impacts financiers de cet incident me semble le bon équilibre et c'est sur cet équilibre que nous sommes encore dans le projet de loi euh tel qu'il est en cours d'examen. Je vous en prie monsieur. Merci monsieur.

C'est juste un complément très rapide pour répondre à vos questions avec un schéma simple. Une campagne de manipulation de la formation, ça ressemble de manière confondante à une campagne de publicité en ligne. On peut la découper en trois blocs.

Les acteurs étrangers qui sont les opérateurs de la campagne, à l'autre bout, l'audience cible, nous et au milieu, les plateformes en ligne où se déroulent les manœuvres. Pour chacun de ces trois blocs, au niveau du EGDSN, l'idée de déployer des bouettes à outils de réponses. Si je m'attache très rapidement à la première au premier bloc qui est celui des opérateurs étrangers des campagnes, là la réponse, elle relève de l'action interministérielle qui est notamment coordonnée par le VGDSN et l'objectif est d'avoir une fameuse boîte à outils dont un des leviers que je vous ai expliqué est celui de la dénonciation publique dans le casre d'une communication stratégique.

Il y a bien évidemment beaucoup d'autres leviers mais qui relèvent d'autres opérateurs ministériels. Et en tout cas, sachez que quelque chose existe et des réponses et des stratégies de réponse se font. À l'autre bout du spectre, la question de l'audience cible, celle de l'opinion qui est visée.

Nous, la l'ambition qui est portée par Virginum, c'est de répondre certes au jeune public, mais à l'ensemble des tranches d'âge d'une opinion. Et donc pour prendre deux trois cas précis pour vous ayez vraiment en tête de l'action de Virginum puisque vous avez mentionné notamment l'éducation nationale, le partenariat qu'on a lancé avec la direction générale de l'enseignement scolaire, il a un intérêt pour nous, c'est qu'on puisse insérer dans des programmes scolaires déjà très chargés des éléments de sensibilisation au profit des élèves, mais aussi des enseignants en matière de manipulation de l'information. C'est souvent une approche qui est assez ludique et on a eu la chance l'année dernière d'avoir deux manuels scolaires, donc deux éditeurs de manuel scolaires qui ont insérer dans leur manuel d'histoire géographie pour la rentrée de septembre 2025 des éléments de sensibilisation.

On a travaillé avec un opérateur en particulier de l'éducation nationale qui s'appelle le Clémi qui est dédié à l'éducation média à l'information et on a produit avec eux des podcasts dédiés plutôt à la tranche d'âge collège lycée mais qui permettent au travers de d'un travail avec l'enseignant de pouvoir toucher de manière assez pédagogique des classes d'âge. Je reviens maintenant à la partie média. la partie média, on a fait une collaboration avec un magazine qui s'appelle l'éléphant junior.

Donc là, bien sûr, qui s'adresse plutôt à la partie collège et on a une série de trois mensuels qui sont en train d'être publiés avec dedans des éléments de sensibilisation à la menace informationnelle au profit des jeunes publics. Le secrétaire général a évoqué l'attachement qu'il a eu au début de son arrivée sur la question des territoires. Donc nous évidemment nous avons embrayé derrière cette volonté du secrétaire général et en fait on a une action au travers de la qu'on va lancer très prochainement avec la PQR donc la presse quotidienne régionale qui est là nous permettra de toucher à la fois des médias dans les territoires.

Donc certains territoires qui peuvent être isolés d'une information dite un peu plus nationale mais aussi bah des tranches d'âge moins facile à atteindre. Euh la semaine prochaine, je vais moi-même à Marseille dans le cadre de un événement organisé par la tribune pour pouvoir toucher euh voilà directement certaines opinions sur cette menace-là en particulier. Euh le secrétaire général a évoqué euh l'outre mer euh et donc nos territoires qui ont été visés l'année dernière notamment par des campagnes de déstabilisation assez fortes notamment par l'acteur de l'Azerbaïdjan.

Voilà, pour être extrêmement clair. Donc, au-delà des avoir dénoncé et accompagné les autorités au local, notamment avec le relais du ministère de l'intérieur, on a souhaité pouvoir toucher au travers d'un produit construit l'ensemble des territoires ultramarins français et donc on a pu développer un guide adapté de sensibilisation au profil de nos autorités en local. la partie centrale maintenant qui est la partie des plateformes en ligne là où se déroulent les manipulations de l'information là où les manœuvres se déroule.

Bon, je pense que l'ensemble des services de l'État qui sont concernés vous dirait que la relation avec les plateformes en ligne, je la qualifierai de d'assymétrique. Voilà. et que donc il est probable qu'à l'avenir on va devoir aller beaucoup plus loin.

Euh le secrétaire général vous a évoqué déjà en fait beaucoup de choses qui existe. Et pour ne me faire que l'écho des choses qui ont déjà été communiquées publiquement, la Commission européenne a ouvert des enquêtes s'agissant de certaines plateformes. Le parquet de Paris a fait de même s'agissant de certaines plateformes et vous pouvez être assuré que sous l'autorité du secrétaire général Viginum contribue à ces investigations.

Merci beaucoup pour cette ces réponses très complètes à des questions particulièrement précises. J'ai deux demandes de prise de parole mais très rapide s'il vous plaît. Donc Philippe Folio et ensuite Jean-Marc Vessusfor et on répondra globalement.

Merci. Merci monsieur le président. 70 % du marché de l'hébergement des données en France est maîtrisé par trois trois entreprises Amazon, Google et Microsoft qui sont toutes américaines et qui sont soumises à à l'extraterritorialité du droit américain.

Euh nous avons et vous avez développé la doctrine du clou au centre et et plus particulièrement une qualification seclude au niveau de l'anci et qui montre que il peut y avoir des possibilités d'être je dire totalement autonome comme du reste la la l'a montré la gendarmerie nationale dans ses choix par rapport à cela. Mais à contrario, certains ministères comme euh celui de la santé avec le Data Club euh euh a montré que euh finalement il ne tenait pas compte de ces éléments, de ces orientations et avec des données qui étaient hébergées donc euh par des prestataires étrangers. Il y a une menace peut-être un petit peu plus sournoise, c'est au travers de ce qu'on pourrait appeler les offres hybride.

Je pense notamment l'offre bleue Microsoft Orange CG Gemini ou l'offre S3NS Google Talès. Ma question est simple. Est-ce que l'ANC s'apprête à euh valider, j'allais dire ce type donc d'offre hybride, ce qui à certains égards remettrait en cause euh j'allais dire la la souveraineté puis surtout les perspectives de solution alternative totalement euh nationale ou européenne donc qui pourrait se faire à jour dans ce domaine.

Merci. Merci Philippe pour ta question courte. Je laisse la parole.

Désolé monsieur le président, je vais essayer de plus court ma question porter sur cette bien malheureuse affaire de des cambriolages au au musée du Louvre. Euh des documents que la presse a pu révéler tels que des audits confidentiels portant sur la sûreté du musée du Louvre démontrent l'ampleur des brèches de la sécurité informatique de cet établissement. Cette accumulation d'obsolescence touche les serveurs, la vidéosurveillance et les contrôles d'accès, c'est-à-dire des éléments déterminants dans la protection des œuvres d'art.

Nous avons bien entendu été frappé d'apprendre que le mot de passe d'accès au système de surveillance était tout simplement le mot lourd. Déjà en décembre 2014, l'Agence nationale de sécurité des systèmes d'information avait testé le réseau de sûreté sur de la demande de du musée, avait émis des signaux d'alerte. Pouvez-vous euh nous détailler les alertes qui avaient été alors formulées et quel sort leur a été réservé ?

Euh est-ce que selon vous ces défaillances des systèmes d'information ont pu simplifier la tâche des des cambrioleurs ? Et et finalement, ne pensez-vous pas que que cette douloureuse affaire n'est pas symptomatique euh du manque de prise de conscience des des administrations et aussi parfois des collectivités locales euh de l'intensité de cette cybermona. Merci beaucoup monsieur le secrétaire général.

Je vous laisse répondre. Je vais je vais juste passer la parole très vite à à Vincent sur ces deux points. Euh j'ai j'ai pas j'ai rien à dire spécifiquement sur le Louvre.

Peut-être que Vincent aura à le dire, mais pour aller droit au but, je pense que c'est je pense qu'il y a 1000 exemples autres de la non prise en compte de la nature et de l'ampleur de la menace cyber aujourd'hui. Et c'est même pas un un cè de la partie émergée de l'iceberg. aujourd'hui et je ne parle pas de ce que j'ai dit tout à l'heure sur le scénario central de la RNS et de ce qui nous attend dans les 4 ou 5 ans qui viennent.

Donc on a un enjeu de passage à l'échelle de l'ensemble de la cybersécurité de la nation qui est assez vertigineux. Le deuxième point juste une chose que je voudrais dire et et je pense que Vincent aussi répondra plus précisément sur toute la partie secum cloud. J'ai deux remarques très rapides à faire.

La première, c'est que je crois qu'on a un impératif tous, autant qu'on est un exercice de pédagogie sur le fait que la souveraineté numérique et la cybersécurité sont deux notions qui ne se recoupent pas entièrement. Il y a beaucoup de de choses qui se recouvrent entre les deux mais pas forcément entièrement. Autrement dit, il peut y avoir des solutions qui sont très sécures en terme cyber et qui sont pas nécessairement totalement souveraines et réciproquement.

Euh et donc euh il faut qu'on fasse attention à quel est notre angle d'attaque, si c'est souveraineté numérique absolue ou si c'est cybersécurité absolue et c'est pas exactement les mêmes solutions. La deuxième chose c'est que et je crois que nous nous l'appliquons, c'est ce que Vincent disait de façon publique pour nous-mêmes, mais nous nous appliquons nous l'État, mais je crois que c'est vrai pour l'ensemble de l'écosystème numérique français euh des comment dire des stratégies de protection de nos données différenciées en fonction des données. Et d'ailleurs, je trouve que d'un point de vue simplement de bon sens, si je puis dire, ça fait ça serait pas très logique d'appliquer à toutes les données sans égard à leur sensibilité la même stratégie de protection.

Et donc ce qui est important, c'est qu'on ait une gamme de solutions de protection des données qui soient adapté à la nature et à la sensibilité spécifique de la donnée. Donc dans certains cas, ça sera du souverain cyber pur, absolument maîtrisé. Dans d'autres cas, ça sera du commercial et puis entre les deux, on a du gris.

Et c'est là que Secnum Cloud intervient et c'est là que ça je rejoins ce que je disais tout à l'heure sur le développement d'ailleurs pour Vigénum et pour LANCI de leur rôle de prescripteur, de certificateur, d'accompagnateur de l'écosystème privé. C'est qu'on a besoin dans le maquille général d'indiquer ce qui pour nous en et pour en tout cas l'ANC en terme d'autorité nationale de cybersécurité est suffisamment valable en terme de protection des données cyber. Quelques mots rapides alors sur le Louvre déjà pour pour regretter le fait que alors tout ça est né de la publication que je regrette d'un rapport d'audit conduit par l'ANC qui était marqué diffusion récente ça arrive que ça fuite ce genre de choses mais c'est jamais bien ça pas ça n'a pas vocation à à être à être utilisé comme cela surtout ce rapport qui a fuité est un rapport qui est répond à un audit en 2014, donc il a plus de 10 ans.

En 2014, le mot de passe c'était l'ouvre et le mot de passe pour les équipements de surveillance Talè, c'était Talè. C'est ce que dit le rapport comme bien d'autres choses. Et je ne peux que rejoindre ce qu'a dit le secrétaire général sur le fait que malheureusement c'est une réalité qui n'est pas limitée à un seul une seule entité ni même à l'administration hein.

C'est quelque chose qu'on retrouve malheureusement très souvent parmi les menaces qui ont qui nous ont inquiété. Par exemple, pendant les les Jeux Olympiques et Paralympiques, en 2024, il y avait des attaques contre des installations des microbarrages hydroélectriques. Alors, pas des choses forcément très graves, mais dont les mot de passe par défaut qui n'étaient jamais changés par les utilisateurs parce qu'il n'y était pas de vité était 1 1 1.

Voilà. Donc, c'est malheureusement une réalité avec laquelle on doit faire dans notre métier quotidien. J'ajouterai simplement que rien ne donne à penser que un vecteur cyber ou une cyberattaque est contribué au vol des bijex au Louvre.

Donc c'est un sujet d'une autre nature et que l'audit qui a été mené en 2014 avait été mené à la demande du Louvre, ce qui donne quand même aussi à penser qu'il y avait une certaine prise de conscience de leur côté du besoin de se faire accompagner en la matière sur les sujets de souveraineté. Alors je je rejoins naturellement ce qui a été dit par le secrétaire général sur le le la besoin de préciser ces notions de souveraineté numérique et de cybersécurité qui se rejoignent mais ne se superposent pas. Euh j'en donnerai une définition rapide pour rappeler que pour nous euh ANCY la la souveraineté numérique c'est au moins trois choses.

C'est ne pas être une victime facile des cyberattaques. Parce que prétendre qu'on est souverain quand euh nos hôpitaux peuvent être paralysés par des menaces qui ne sont même pas d'origine étatique. Euh c'est voilà ça ça demande un peu d'optimisme voire de de dénis de la réalité.

Donc c'est déjà ne pas être une victime facile et ça c'est le cœur de la mission de l'ANC. c'est pouvoir euh faire valoir nos lois, nos lois exclusivement et pas être à la mercie de lois qui ont été décidées par d'autres que ce soi des d'autres juridictions ou même les lois du marché. Et ça c'est un enjeu que nous partageons dans dans toutes sortes de domaines d'action de l'État.

C'est vrai pour l'ANC. euh Nice 2, le CR autant que des lois nationales comme SREN sont des ils sont des réponses. Je pense que Marc-Antoine a le même défi euh dans son domaine à lui.

Euh voilà, donc c'est c'est quelque chose qui est qui est un un combat permanent et sur lequel nous avons la chance de pouvoir nous inscrire dans un cadre européen dans bien des cas qui est qui est qui nous permet d'agir. Euh et puis c'est d'avoir une autarsie dans l'accès aux technologies parce que ça c'est ni réaliste ni souhaitable mais une liberté de choix et une liberté d'usage dans les technologies qui sont nécessaires et ou indispensables aux missions les plus fondamentales de l'État. Et ça, nous y veillons autant que possible euh avec toute la complexité de ce sujet.

Nous y veillons en lien avec le d'autres acteurs au sein de l'État, le SGPI, la DGE, euh la DINUM qui est en charge de coordination de coordiner le système d'information de l'État à créer des alternatives là où elles manquent ou à veiller à ne pas nous embarquer totalement en gardant à l'esprit que cette notion d'autarcite complète n'existe pas. Aucun acteur numérique ne peut euh se prévaloir de ne dépendre d'aucune technologie ni américaine ni chinoise à commencer par les microprocesseurs, hein. Je il y a pas d'acteurs 100 % français dans le numérique.

Il y a des acteurs qui ont niveau de dépendance qui sont variables mais personne n'est totalement indépendant. Il s'agit plutôt de mesurer ces dépendances et de les contourner le cas échéant mais pas de les de les résoudre de les réduire à zéro. sur l'artication de SECUM Cloud avec tout ça, SECNUM Cloud c'est un référentiel de cybersécurité donc qui vise à assurer la sécurité et pas uniquement la souveraineté.

C'est pas c'est pas une logique de prot mais dans ce cas-là il faut pas le cacher derrière des des logiques de cybersécurité qui sont d'une autre nature. C'est un référentiel qui est à la fois technique organisationnel et juridique qui compte 340 exigences avec 1200 points de contrôle qui est une grosse affaire complexe et sur laquelle nous ne jugeons pas à la tête du client. Donc une qualification, elle est délivrée et nous sommes d'ailleurs euh tenus de la délivrer selon une logique, un processus très très contrôlé.

Nous sommes nous-mêmes euh assujettis à des normes ISO qui contrôlent ce type de métier. Et donc euh est-ce que les solutions hybrides vont être qualifiées ? Alors je n'en préjugerai pas parce que là ce serait déjà tordre ce modèle. euh rien ne s'y oppose en terme de de lecture de leur situation et euh de euh la conformité à priori avec les différents critères d'évaluation qui sont ceux les 340.

Là encore, on est dans dans un critère objectif et pas dans une un jugement euh au cas par cas. Euh et je ne pense pas que ce soit une mauvaise chose au demeurant euh parce que là encore ces solutions nous apportent une possibilité d'utiliser la technologie en l'occurrence américaine à l'état de l'art avec des protections supplémentaires, avec une un ancrage européen et une capacité à opérer au niveau européen avec une immunité au droits américain qui rejoint qui remplit l'objectif de cybersécurité qui ne remplit pas peut-être un objectif de politique industrielle mais ça c'est pas le but de ces cnum cloud et moi je ne peux que me réjouir de voir une diversité de choix parce qu'il y aura pas que ces solutions là. Il y a déjà des solutions qui sont qualifiées.

C'est num cloud dans les offreurs de cloud traditionnel français, au VH, en fait partie, bien d'autres. Il faut une diversité de choix parce que là encore la résilience qu'on cherche à construire, elle ne peut que se construire avec une diversité de choix et pas en créant des dépendances uniques à des acteurs fustiles français ou même ou européens. faut une diversité de choix et une diversité de de prise en compte de ces enjeux de résilience à travers pour le dire simplement dans le cloud au personne de raisonnable aujourd'hui n'utilise qu'un seul cloud et personne ne doit utiliser qu'un seul cloud et c'est pas ce que fait l'État.

Merci messieurs le directeur, monsieur le secrétaire général pour vos interventions riches et complètes. Merci au rapporteurs également pour leurs interventions. Euh je crois que vous avez finalement largement développé l'état de la menace. les ingérences étrangères et toutes les tous ceux tous ceux à quoi nous sommes aujourd'hui confrontés.

Je suis assez d'accord avec la le constat qui est celui que sans doute il y a une sorte de non pas de déni mais de relative non prise de conscience d'absence de prise de conscience de de de l'état dans lequel nous nous sommes aujourd'hui. Donc c'est important de de rappeler ces choses-là. Je pense que ça nécessitera peut-être une audition.

On a fait quasiment 2 heures à vous entendre et c'est passionnant. Mais peut-être que ça nécessitera dans les mois qui viennent une audition plus complète. Enfin, je le dis parce que nous sommes aussi captés euh d'informer davantage encore nos nos concitoyens qui peuvent peut-être regarder cette cette audition de de des menaces auxquelles nous sommes quotidiennement confrontés.

Ça a été lié, vous l'avez dit tout à l'heure, à notre mode de consommation de l'information et notre capacité aussi à créer de l'information les uns et les autres et forcément pour les pour certains à créer de la désinformation. Donc c'est important de de l'avoir dit et puis vous savez que vous pouvez compter sur notre vigilance. Nous l'avons démontré l'an dernier lors de la du vote du budget sur la nécessité qu'il y a dans sur ces secteurs éminemment régalien de pouvoir consacrer des moyens suffisants pour pouvoir lutter efficacement. même si effectivement vous l'avez dit, il y a un besoin de de coordination et je penserai même parfois de mutualisation.

Je le disais au ministre des des affaires étrangères pas plus tard que la semaine dernière qui était assis à votre place sur la nécessité peut-être de ne pas avoir chacun son service mais de mutualiser les services. En tout cas, il y a peut-être du travail à faire de ce côté-là pour optimiser les moyens publics qui sont mis en face de de ces problématiques qui nous sont auxquelles nous sommes quotidiennement confrontés nous les institutions, les collectivités, les entreprises et je pense chaque français. En tout cas, merci pour cette audition et euh nous essaierons d'être les plus efficaces et les plus vigilants possible sur le P129 notamment et sur les moyens qui sont donnés à OEG DSN et à toutes ces jeux dire ces ramifications pour me pu résumer ça comme ça dans les semaines qui viennent.

En tout cas, merci beaucoup, bonne soirée à tout le monde et merci pour vos interventions aux uns et aux autres.