Cyberattaques contre l’État : deux ans de retard sur la directive censée les prévenir
Au-delà des fuites de données, le retard de transposition de la directive NIS 2 en France menace la continuité du service public et la capacité de gestion de crise de l’État.
par
Bruno Gourevitch - Président, Altaïr Conseil
Publié le: 19 août 2026
La directive européenne NIS 2 devait être transposée au plus tard le 17 octobre 2024. La France n’y est toujours pas parvenue, au point d’être renvoyée le 8 juillet dernier devant la Cour de justice de l’Union européenne.
Entre-temps, l’Agence nationale des titres sécurisés, l’Éducation nationale et la Direction Générale des Finances Publiques ont toutes trois reconnu des intrusions : 11,7 millions de comptes pour la première, trois incidents distincts pour la deuxième, 678 000 particuliers et professionnels pour la troisième. Le 12 août, la DGCCRF signalait l’exfiltration, presque inaperçue, de trois millions de numéros de téléphone du service Bloctel.
Le 17 août, quatre jours après la revendication publique de l’attaquant, Sébastien Lecornu a présidé depuis Matignon une cellule interministérielle de crise décidant d’un audit approfondi, de l’information individuelle des personnes concernées et de l’accélération du plan de sécurisation lancé le 30 avril. Aucun compte rendu écrit n’a été publié. Le lendemain, à Bercy, le gouvernement présentait ses excuses, « parce que ce qui est arrivé est insupportable pour les Français », et révélait une troisième fuite, détectée le 17 août, c’est-à-dire le jour même de la cellule de crise.
Détecter ne suffit pas
Les communiqués officiels déplacent le problème. Dans tous ces incidents, les attaquants n’ont pas forcé les lignes de défense : ils se sont appuyés sur des identités disposant déjà de droits légitimes. « L’accès frauduleux a été réalisé à la suite de l’usurpation d’un compte professionnel », écrit l’Éducation nationale. La DGFiP évoque « des usurpations d’identifiants d’un agent et d’un tiers habilité ».
Le cas de la DGFiP va plus loin. Les intrusions avaient été repérées et les comptes bloqués, mais les contrôles n’avaient pas permis d’établir qu’une exfiltration avait eu lieu. Il a fallu la revendication publique, puis des investigations approfondies, pour que le vol soit confirmé. L’administration a reconnu ses manquements le 18 août : l’authentification à plusieurs facteurs (MFA) n’était pas généralisée, le VPN pas obligatoire sur certaines applications, et le taux de conformité de ses systèmes est passé de 25 % en 2020 à 50 % aujourd’hui.
Détecter une intrusion et savoir en qualifier l’impact sont deux compétences distinctes. La seconde procède de la gestion de crise : le délai d’information des victimes, la communication publique, la capacité à décider vite. Une administration qui met des semaines à savoir ce qui est sorti de ses systèmes ne subit pas un incident de sécurité, elle entre en crise.
Un texte qui n’existe toujours pas
L’article 21 de NIS 2 énumère dix familles de mesures qui recouvrent mot pour mot les manques reconnus cet été, à commencer par le contrôle d’accès et l’authentification à plusieurs facteurs. L’article 20 en rend les dirigeants responsables.
Ce régime n’est pas applicable en droit français. Le projet de loi, adopté par le Sénat en mars 2025, puis à l’unanimité en commission spéciale de l’Assemblée en septembre 2025, n’a jamais été inscrit en séance. Aucun décret n’existe. Le texte ne fixe par ailleurs aucune échéance de mise en conformité, et l’État, les collectivités et leurs établissements publics sont expressément exclus du régime des amendes applicables.
Deux cents millions d’euros annoncés en avril, dont le fléchage reste opaque quatre mois plus tard, et une nouvelle gouvernance du numérique de l’État : c’est un signal, pas une stratégie. Celle-ci se mesure à des résultats.
Le retard ne porte pas seulement sur la cybersécurité. Le même texte transpose la directive REC sur la résilience des entités critiques, qui pose une question plus large : une organisation peut-elle continuer d’assurer ses missions quand son système d’information ou son prestataire devient indisponible ? En Allemagne, une attaque contre un prestataire mutualisé a privé une centaine de collectivités de la délivrance des cartes d’identité pendant des mois. Ce n’est plus un problème de sécurité informatique, mais de continuité du service public dont il s’agit.
Des chantiers peuvent être menés sans aucune loi nouvelle. Cartographier les services essentiels et leurs dépendances réelles, rejouer des plans de continuité que beaucoup d’administrations n’ont pas rouverts depuis leur rédaction, revoir les habilitations. Et entraîner les décideurs : quand l’intrusion réussit, ce qui se joue est de l’ordre du décisionnel, et non de la technique. Un plan de gestion de crise ne vaut que s’il a été éprouvé sous contrainte, avec les dirigeants autour de la table.
Deux cents millions d’euros annoncés en avril, dont le fléchage reste opaque quatre mois plus tard, et une nouvelle gouvernance du numérique de l’État : c’est un signal, pas une stratégie. Celle-ci se mesure à des résultats. Délai de détection et de qualification d’une compromission, temps nécessaire pour isoler un système critique, part des habilitations sensibles réellement revues. Le Sénat a demandé à Bercy des réponses écrites pour le 24 août. Ce sont ces chiffres qu’il faudra lire.
Altaïr Conseil accompagne les organisations publiques et privées en gestion de crise et en résilience opérationnelle. gestiondecrises.com
Pour approfondir sur Gestion de la sécurité (SIEM, SOAR, SOC)
