Le 13 août dernier, Bercy confirmait ce que beaucoup redoutaient : la Direction générale des finances publiques a été victime d'une cyberattaque touchant plus de 700 000 particuliers et professionnels. Des données fiscales, cadastrales, parfois des numéros SIREN ou des éléments de revenu fiscal de référence, se sont retrouvées entre les mains d'un cybercriminel après l'usurpation des identifiants d'un agent et d'un tiers habilité.
Je le dis sans détour : cet épisode n'est pas un accident isolé. C'est le symptôme d'une vulnérabilité structurelle de nos administrations, que 2026 aura cruellement mise en lumière. Depuis janvier, les incidents s'enchaînent : le piratage du fichier Ficoba (environ 1,2 million de comptes bancaires), puis trois intrusions distinctes visant le ministère de l'Éducation nationale — le système COMPAS en mars (243 000 agents), le service annexe à ÉduConnect en avril (données de plusieurs millions d'élèves), et le système de formation des personnels fin juillet (données d'agents en poste depuis 2001, y compris des numéros de sécurité sociale). Et maintenant la DGFiP, deux fois en un mois.
La menace cyber est devenue un pilier de la guerre hybride moderne. Face à elle, la France est aujourd'hui dans un état de vulnérabilité qui n'a pas d'équivalent chez nos partenaires les plus sérieux.
Une lettre au Premier ministre
C'est pourquoi j'ai écrit à Sébastien Lecornu. Je salue les premières annonces de son gouvernement - la mission d'audit confiée à l'ANSSI sur la sécurisation des systèmes d'information de la DGFiP, la création d'une taskforce dédiée, l'accélération du plan de sécurisation des administrations lancé en avril. Ce sont de bonnes mesures. Mais en matière cyber, la prévention vaut mille remèdes, et je ne peux me résoudre à ce que nous continuions de réagir dans l'urgence plutôt que d'anticiper.
Car cette fragilité éclate au grand jour au moment même où la Commission européenne traîne la France devant la Cour de justice de l'Union européenne. Le 8 juillet, Bruxelles a saisi la CJUE contre notre pays pour n'avoir toujours pas transposé la directive européenne dite « NIS 2 », qui fixe les standards de cybersécurité applicables à l'échelle du continent. Vingt mois de retard sur une échéance fixée au 17 octobre 2024.
J'ai donc appelé le gouvernement à transposer d'urgence cette directive en inscrivant le projet de loi « Résilience » à l'ordre du jour de la prochaine session parlementaire - pas comme une contrainte bruxelloise de plus, mais comme une solution concrète à la crise que nous traversons. J'ai également rappelé la nécessité d'élargir dès la loi de finances 2027 les moyens de l'ANSSI, notre agence nationale de cybersécurité, et de soutenir plus fortement, dans le cadre de France 2030, la filière française de solutions souveraines de cybersécurité et d'hébergement des données.
NIS 2 : qu'est-ce que cela aurait changé ?
NIS 2 impose en substance trois choses simples aux administrations et grandes entreprises :
- Verrouiller les accès. Une authentification renforcée à plusieurs facteurs pour tous les accès sensibles, et un contrôle strict des droits accordés aux agents comme aux prestataires extérieurs.
- Encadrer les accès des tiers. Les prestataires et « tiers habilités » qui ont accès aux systèmes doivent faire l'objet d'une vigilance spécifique - exactement le type d'accès qui a été détourné dans l'affaire de la DGFiP.
- Alerter vite. En cas d'incident, l'administration doit prévenir l'ANSSI sous 24 heures, et non attendre qu'un pirate revendique publiquement son forfait, comme cela a été le cas cet été, près d'un mois et demi après les premiers accès frauduleux.
Si ces règles avaient déjà été transposées en droit français et appliquées à la DGFiP, l'usurpation d'identifiants — le point d'entrée de cette attaque — aurait été rendue plus difficile, l'intrusion aurait sans doute été détectée plus tôt, et les pouvoirs publics auraient dû en informer les autorités compétentes bien avant que l'affaire n'éclate sur la place publique.
Aucun texte ne rend une cyberattaque impossible. Mais nous avons, sous la main, un cadre européen taillé pour combler précisément les failles qui viennent de nous coûter cher. Il est temps de cesser de le laisser dans un tiroir.
Mon courrier au Premier ministre Sébastien Lecornu