L'Etat à découvert
Canicules, sécheresse, pénuries d’eau, incendies hors norme… Tout l’été, l’exécutif s’est vu reprocher la même chose : ne pas avoir suffisamment préparé le pays à des catastrophes pourtant annoncées depuis des années. Emmanuel Macron et le gouvernement de Sébastien Lecornu ont ainsi été accusés par les oppositions, les ONG mais aussi par beaucoup de Français exaspérés, d’avoir tardé à appliquer des recommandations pourtant formulées depuis longtemps par les scientifiques ou les rapports parlementaires.
Depuis vendredi, une autre crise, très différente en apparence, s’est ajoutée à cet été infernal : le piratage de l’administration fiscale, avec le vol des données de quelque 700 000 particuliers et professionnels, puis celui de près de deux millions de données cadastrales. Cette fois, ce ne sont plus des hectares qui brûlent ou des communes qui manquent d’eau. Ce sont des informations parmi les plus sensibles que les citoyens confient à l’État qui se retrouvent dans la nature. Car une administration qui exige du contribuable qu’il lui transmette ses revenus, sa situation familiale ou son patrimoine doit en retour lui garantir qu’elle est capable de protéger ces données. C’est au cœur du contrat de confiance avec l’État. Et ce contrat vient d’être sérieusement entamé. Il y a là une défaillance régalienne d’une exceptionnelle gravité.
Le plus inquiétant n’est d’ailleurs pas qu’une administration puisse subir une intrusion. Aucun système informatique n’est inviolable. Le problème est qu’une fois entré, un pirate puisse avoir accès à une masse considérable de données sensibles et les extraire visiblement sans être immédiatement détecté. Des données qui peuvent ensuite alimenter toute une gamme d’arnaques, d’usurpations d’identité ou de campagnes d’hameçonnage particulièrement crédibles.
En urgence, Sébastien Lecornu a rappelé samedi le plan de sécurisation des systèmes d’information de l’État engagé le 30 avril, les moyens supplémentaires qui lui sont consacrés ainsi que la réforme destinée à créer une nouvelle autorité numérique de l’État, ARIANE. Tout cela va évidemment dans le bon sens. Mais tout cela aurait aussi pu être fait plus tôt.
L’Europe avait pourtant donné l’alerte. Adoptée fin 2022, la directive NIS2, qui renforce les obligations de cybersécurité des secteurs critiques, devait être transposée dans les droits nationaux avant le 17 octobre 2024. La France est toujours en retard. Présenté le 15 octobre 2024, le projet de loi Résilience destiné notamment à assurer cette transposition a été adopté en première lecture au Sénat. Il attend toujours son examen à l’Assemblée nationale. Comme si, dans une société désormais entièrement numérisée, la sécurité informatique pouvait encore être considérée comme accessoire.
La France paie là un manque de vision. Depuis quinze ans, les administrations ont massivement dématérialisé leurs démarches, souvent avec succès. Les Français apprécient à juste titre ces services numériques qui simplifient leur quotidien. Mais chaque dématérialisation a aussi produit davantage de données, davantage d’interconnexions, davantage d’accès à distance et donc davantage de portes potentielles pour les cyberpirates.
La France a construit un État numérique… sans construire simultanément l’État capable de le défendre. Il ne suffit plus désormais de colmater les brèches les unes après les autres. Il faut se demander si l’architecture même de cet État numérique est encore adaptée aux menaces auxquelles elle doit faire face.
Car dans le numérique comme face au climat, il existe une règle que les gouvernements devraient désormais connaître : anticiper coûte toujours moins cher que réparer.
Philippe Rioux
(Editorial publié dans La Dépêche du Midi du mardi 18 avril 2026)