viperagp - stock.adobe.com

Actualites

Cybersécurité nationale : une feuille de route alignée sur la réalité des menaces

La feuille de route de la cybersécurité de l’État pour la période 2026-2027 apparaît ancrée dans la réalité des menaces actuelles, avec notamment un accent sur la sécurité des identités et des accès, ainsi que sur la détection.

Valéry Rieß-Marchive
par
Publié le: 10 avr. 2026

La feuille de route de la cybersécurité de l’État pour la période 2026-2027 vient d'être publiée. Elle marque un tournant dans la gestion des risques publics. Face à la persistance de vulnérabilités graves, illustrée par les « multiples intrusions et fuites de données qui ont affecté en 2025 les systèmes d'information des ministères et des établissements dont ils ont la tutelle », l'administration accélère sa transformation pour répondre aux exigences européennes.

L'enjeu majeur réside dans l'alignement avec la directive NIS 2, qui intègre désormais les administrations publiques dans le périmètre des entités régulées. Pour garantir cette conformité, la stratégie impose une remontée de la cybersécurité au plus haut niveau décisionnel. Chaque ministère doit désormais désigner un conseiller numérique au sein de son cabinet et intégrer la sécurité dans les lettres de mission des directeurs d’administration centrale afin d'assurer « l’alignement des priorités et de sanctions en cas de manquement ».

Cette nouvelle gouvernance transforme la cybersécurité en un levier de pilotage stratégique, où chaque ministère est responsable du suivi des établissements publics sous sa tutelle.

Sécurisation des infrastructures : l'ère du Zero Trust et du Cloud sécurisé

La dispersion des systèmes d’information sur des environnements multiples impose une refonte profonde des modèles d'accès. La stratégie de l'État s'oriente vers les démarches « Zero Trust », privilégiant une gestion des identités et des accès rigoureuse.

L'accent est mis sur la fiabilisation de l'authentification. Les ministères ont pour instruction de déployer une authentification multi-facteur (MFA) sur l'ensemble des systèmes d’information (SI) à enjeux avant février 2027, puis sur l'intégralité des SI d'ici début 2028. Parallèlement, la généralisation du mécanisme ProConnect vise à remplacer les comptes locaux par une fédération d'identités permettant « une révocation homogène des accès ».

Le passage au cloud est également strictement encadré. Toute migration vers le cloud sécurisé est désormais considérée comme la mise en œuvre d'un nouveau système d'information, exigeant une homologation préalable. Les ministères doivent impérativement élaborer une politique d’hébergement garantissant que « la prise en compte de la cybersécurité dans les sélections d’offres cloud ». Enfin, la maîtrise de la chaîne logistique devient une priorité pour s'assurer que les prestataires offrent un niveau de protection équivalent à celui exigé sur site.

Résilience opérationnelle et anticipation de la menace quantique

Pour faire face à des menaces sophistiquées, l'État doit renforcer ses capacités de détection et de réponse aux incidents. L'objectif est de passer d'une posture réactive à une surveillance proactive grâce au déploiement de dispositifs avancés de type EDR ou XDR sur l'ensemble des postes de travail et des serveurs d'ici la fin de l'année 2026.

Cette montée en puissance s'accompagne d'une consolidation du réseau des CSIRT ministériels, qui devront être mis en réseau avec le CERT-FR pour fluidifier le partage d'informations sans validation préalable complexe. La résilience opérationnelle passe également par une discipline stricte : les plans de reprise d'activité doivent désormais faire l'objet de tests annuels systématiques.

Enfin, la feuille de route anticipe une rupture technologique majeure : l'arrivée de l'informatique quantique et de la menace quantique. Puisque les capacités de calcul de ces futurs ordinateurs pourraient « faire effondrer » les mécanismes cryptographiques actuels, l'État engage dès 2026 un chantier de transition vers la cryptographie post-quantique. Ce processus, qui s'étendra jusqu'en 2030, commence par un inventaire des données durablement sensibles afin de garantir leur protection contre les attaques de type « capture maintenant, déchiffrement futur ».

Pour approfondir sur Cyberdéfense