« Protéger nos données est une condition de notre cohésion nationale et de notre souveraineté »

Il y a des retards qui ne coûtent que des points de croissance. Et il y a ceux qui débouchent aussi sur des hôpitaux paralysés, des mairies rançonnées et des données de citoyens éparpillées sur le dark Web, comme l’a une nouvelle fois démontré la fuite massive de données de contribuables consécutive à l’attaque contre la direction générale des finances publiques [révélée jeudi 13 août]. Cela fragilise la structure et la réputation de l’ensemble du tissu économique et institutionnel national. Le retard français concernant la directive européenne NIS 2 [« Network and Information Security », sécurité des réseaux et de l’information] appartient à la seconde catégorie. Les faits sont têtus. L’échéance de transposition de cette directive était fixée au 17 octobre 2024. Vingt-deux mois plus tard, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui permet cette transposition, pourtant voté par le Sénat le 12 mars 2025 et adopté à l’unanimité en commission à l’Assemblée nationale, en septembre de la même année, dort dans un tiroir. Il était absent de la session extraordinaire de juillet, et son examen a été renvoyé au mois de septembre, « au mieux ». Résultat : les vols de données se poursuivent, et l’Etat lui-même en est victime. Incidemment, la France révèle une nouvelle fois sa faiblesse en faisant partie des derniers pays de l’Union européenne à ne pas avoir encore transposé la directive, aux côtés de l’Espagne, de l’Irlande et des Pays-Bas. Désormais, chaque jour de passivité se paie très cher.

Combat décisif

Ce manquement est le symptôme d’un mal plus profond, celui de l’inconscience des décideurs face à un risque devenu systémique. Grâce à l’intelligence artificielle, n’importe qui est aujourd’hui en mesure de lancer des attaques simultanées et quotidiennes contre des centaines de cibles. De l’aveu même du directeur général de l’Agence nationale de la sécurité des systèmes d’information (Anssi), Vincent Strubel, la question, pour chaque entreprise, collectivité, institution et service public, n’est plus de savoir s’ils seront visés, mais quand. Or, notre doctrine publique reste bâtie sur une illusion : pouvoir tout empêcher, partout, pour des centaines de milliers d’entités. C’est impossible. Le combat décisif se joue ailleurs, dans le temps. Détecter automatiquement, circonscrire au plus vite, limiter les dégâts : voilà le changement de stratégie qu’exige la réalité de la menace. Voilà ce que l’Etat ne peut accomplir seul. Il est temps de faire confiance à l’écosystème cyber français privé, riche de solutions souveraines, ajustables et immédiatement déployables, compatibles avec nos contraintes budgétaires et à l’abri des risques que pose l’extraterritorialité du droit américain. L’urgence est d’autant plus grande que l’appareil public est à bout de souffle. La Cour des comptes l’a documenté [dans un rapport daté de juin 2025] : une Anssi « seule contre tous », surchargée de missions ni priorisées ni financées, pendant que la NIS 2 fait passer les entités régulées de 600 à plus de 15 000. Autour d’elle, un empilement de guichets aux missions redondantes et au financement précaire. Ces vingt-deux mois de brouillard juridique, associés à cette fragilité structurelle, ont gelé les investissements cyber de milliers de petites et moyennes entreprises ainsi que d’entreprises de taille intermédiaire, tandis que les assaillants, eux, ne reportent jamais leurs actions.

Confiance érodée

Au bout du compte, c’est le contrat social qui s’effrite. Les organisations publiques détiennent une part immense des données personnelles et professionnelles des Français. Chaque fuite massive issue de ces bases érode un peu plus la confiance entre l’Etat et les citoyens, entre les entreprises et leurs clients, entre la France et ses partenaires. Dans un contexte politique déjà fragile, protéger nos données n’est pas un sujet technique, c’est une condition de notre cohésion nationale et de notre souveraineté. Nous, élus de sensibilités diverses, experts et acteurs de la cybersécurité et chefs d’entreprise, demandons au gouvernement, alors que se profile déjà une NIS 2 bis, d’inscrire à l’ordre du jour, dès la rentrée, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, et de ne pas attendre sa promulgation pour lancer une campagne nationale clarifiant les risques, les responsabilités des dirigeants et les mesures de mise en conformité. Nous lui demandons, en outre, d’engager la rationalisation de l’écosystème public que préconise la Cour des comptes, et d’assumer une nouvelle doctrine fondée sur la détection, la rapidité et l’alliance avec le secteur privé français. La France n’est pas seulement en retard d’une loi. Elle est en retard d’une stratégie. Le temps du débat est passé ; celui de la responsabilité et de l’action est venu. Qui détient les infrastructures hébergeant et traitant nos données détient le pouvoir. Au cœur de cette stratégie réside donc l’autonomie stratégique de la France. Sandra Aubert, élue municipale déléguée à la sécurité, à la cybersécurité et à l’hygiène numérique à Thorigny-sur-Marne (Seine-et-Marne) ; Geoffroy Boulard, vice-président de la Métropole du Grand Paris chargé de l’attractivité économique, de l’innovation et du numérique, maire du 17e arrondissement de Paris ; Vincent Cesario, directeur associé chez Skyfall Protection ; Léonidas Kalogeropoulos, délégué général de l’Open Internet Project ; Philippe Latombe, député (Mouvement démocrate) de Vendée, président de la commission spéciale chargée d’examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ; Catherine Morin Desailly, sénatrice (Union centriste) de la Seine-Maritime, vice-présidente du groupe d’études numérique du Sénat ; Vanina Paoli-Gagin, sénatrice (Les Indépendants) de l’Aube, vice-présidente de la commission spéciale sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ; Marie-Agnès Poussier-Winsback, députée (Horizons) de la Seine-Maritime, vice-présidente de l’Assemblée nationale ; François Verryden, expert en cybersécurité, fondateur de Skyfall Protection.