HÉRITAGE FONDATEUR : LA FRANCE, BERCEAU D’UNE TRADITION CRYPTOGRAPHIQUE
L’histoire de la cybersécurité naît en France bien avant l’ère numérique. En 1883, Auguste Kerckhoffs énonce le principe selon lequel la sécurité d’un système repose sur la clé et non sur le secret de sa conception. Cette exigence de transparence et de rigueur irrigue une trajectoire institutionnelle précoce : Commission du chiffre (1889), Bureau civil au Quai d’Orsay (1891), Section militaire du chiffre (1912). Durant la Grande Guerre, Givierge et Painvin hissent la cryptographie au rang d’arme stratégique. En 1928, l’Amicale des officiers du chiffre organise la transmission des savoirs : la France dispose d’une avance doctrinale et opérationnelle rare sur les puissances anglo-saxonnes.
Après 1945, l’État consolide cet héritage : en 1957, le Service du chiffre lance un diplôme d’excellence (BECS) ; en 1966, l’IGI 1300 formalise la protection du secret de la défense et structure la sécurité des organismes sensibles. Avant même Internet, un maillage humain et procédural protège l’information. Les années 1970-1980 prolongent ce mouvement : anticipation de la convergence télécoms-informatique (1977), fondation du CLUSIF (1982/1992), méthode MARION (1983). En 1986, la création du SCSSI dote la France d’un service civil spécifiquement consacré à la sécurité des systèmes d’information ; l’État, acteur organisateur, installe un socle long.
LE PARADOXE FRANÇAIS : EXCELLENCE INSTITUTIONNELLE, FAIBLESSE INDUSTRIELLE
Les années 1990 exposent une tension durable. Le Minitel incarne la réussite technique confinée, quand l’Allemagne et les États-Unis nourrissent des cultures « hacker ». De bons éditeurs émergent (Netasq, Arkoon, DenyAll, BeeWare), des projets libres s’illustrent (NuFW, Prelude IDS), mais l’écosystème ne franchit pas l’échelle industrielle. La technique excelle, la capacité commerciale échoue.
La filière méthodologique demeure pourtant féconde : EBIOS (1995), MEHARI (1996). En 2001, le SCSSI devient DCSSI, prélude à l’ANSSI (2009), qui étend la doctrine française et en exporte les guides. La contribution open source française, remarquable de TestDisk à Scapy, de Prelude à Mimikatz, prouve la vitalité des talents, mais confirme l’impossibilité récurrente de transformer l’excellence en puissance industrielle domestique. À l’orée des années 2010, quelques PME d’élite se maintiennent, sans atteindre l’hypercroissance qui aurait permis de réinternaliser la chaîne de valeur.
L’ANSSI ET LA SOUVERAINETÉ CONTRAINTE
L’ANSSI installe une autorité reconnue : effectifs renforcés, doctrine claire, guides diffusés, influence internationale. En 2018, EBIOS Risk Manager renouvelle l’analyse des risques dans une logique d’ouverture. En 2024, l’agence cosigne des recommandations de haut niveau pour la mise en œuvre des Software Bill of Materials (SBOM), inscrivant la traçabilité logicielle au cœur de la résilience et l’alignant avec la dynamique européenne du Cyber Resilience Act. Dans le même temps, la qualification SecNumCloud fixe les exigences de souveraineté pour les données sensibles.
Mais l’économie réelle impose ses compromis : S3NS (Google/Thales) et Bleu (Microsoft/Orange/Capgemini) visent à concilier technologies étrangères et gouvernance nationale. La promesse d’immunité juridique bute sur l’extraterritorialité (Cloud Act, FISA 702) et sur une dépendance technique structurelle. La souveraineté change de visage : elle devient conditionnelle, rhétoriquement affirmée, mais encadrée par des rapports de force industriels et juridiques défavorables.
Anne-Emmanuelle Lejeune
La Stratégie nationale de cybersécurité 2026-2030, présentée le 29 janvier 2026 sous l’égide du SGDSN, confirme cette tension sans la résoudre. Construite avec l’ensemble des ministères et un panel d’experts industriels et académiques, elle décline cinq piliers et 14 objectifs dont l’ambition déclarée est de faire de la France une « Nation cyber de premier rang ». Le document investit dans la formation (premier vivier de talents européen), la résilience des infrastructures critiques, la mobilisation de tous les leviers étatiques contre la cybermenace, et la structuration d’un marché européen des produits de sécurité. Son quatrième pilier reconnaît explicitement la nécessité de « réduire les dépendances technologiques » dans le chiffrement, le cloud et l’évaluation de sécurité. Or cette reconnaissance, aussi tardive que lucide, ne s’accompagne ni d’investissements chiffrés, ni de mécanismes de préférence européenne, ni de calendrier contraignant. La stratégie coïncide avec la prise par l’ANSSI de la présidence du Groupe de travail cybersécurité du G7, dont les priorités (IoT industriel, IA, cryptographie post-quantique, partenariats public-privé) dessinent un agenda ambitieux, mais l’absence de tout mécanisme de réversibilité ou de traçabilité opposable révèle la persistance du même paradoxe : l’État français sait nommer ses dépendances, il ne sait pas encore les défaire.
Les chiffres confirment l’ampleur du décalage entre l’ambition et la réalité. Selon Surfshark, 40,3 millions de comptes français ont été compromis en 2025, plaçant la France, rapportée à sa population, au premier rang mondial des violations de données, avec une densité 12 fois supérieure à la moyenne internationale. Le baromètre 2026 du Forum INCYBER, adossé aux données de la CNIL, recense 8 613 violations en un an, en hausse de 45 %. Le directeur général de l’ANSSI lui-même concède, en avril 2026, que « personne n’est réellement à la hauteur » face à cette hémorragie.
L’illustration la plus récente de ce décalage est survenue le 15 avril 2026. L’Agence nationale des titres sécurisés (France Titres), établissement public rattaché au ministère de l’Intérieur et chargé de la gestion des passeports, cartes d’identité, permis de conduire et certificats d’immatriculation, a détecté un incident de sécurité pouvant impliquer une divulgation de données. Le ministère de l’Intérieur a ensuite estimé que 11,7 millions de comptes particuliers pouvaient être concernés. Parallèlement, une base revendiquée de 18 à 19 millions d’enregistrements a été mise en vente sur un forum cybercriminel. Une vulnérabilité de type IDOR (Insecure Direct Object Reference) sur l’API du portail moncompte.ants.gouv.fr a été avancée comme vecteur d’attaque, sans confirmation publique du ministère. Si ce vecteur est confirmé, il s’agit d’une faille élémentaire permettant d’accéder aux données d’un autre citoyen en modifiant un simple identifiant dans une requête. Il ne serait alors question ni d’une attaque sophistiquée ni d’un adversaire étatique, mais d’une négligence de conception sur un portail régalien. L’État qui proclame vouloir « réduire les dépendances technologiques » ne sécurise pas les infrastructures où transitent les titres d’identité de ses citoyens.
L’analyse juridique de Pierre Desmarais, publiée en avril 2026 dans la Revue Défense Nationale, enfonce le clou. Le référentiel SecNumCloud, présenté dans le débat public comme une forteresse numérique capable de résister aux législations étrangères, repose en réalité sur des engagements contractuels dont l’effectivité demeure limitée. Le référentiel lui-même écarte expressément toute garantie technique forte d’immunité. Pourtant, de Bruno Le Maire à Jean-Noël Barrot, le discours politique a investi ce label d’un rôle qui dépasse largement sa portée : celui d’une solution immunisante contre l’extraterritorialité. En décembre 2025, Vincent Strubel affirmait encore publiquement que « l’immunité aux lois extraterritoriales est garantie par cette qualification ». Desmarais montre que ce surinvestissement produit un risque stratégique induit : en concentrant les données sensibles de l’État chez un nombre restreint de prestataires qualifiés, la France accroît la prévisibilité de sa surface d’attaque et rigidifie ses choix au lieu de les diversifier. Le bouclier devient vulnérabilité.
Le diagnostic le plus radical est venu de l’intérieur du débat souverainiste. Dans un éditorial publié sur SensPo le 19 mai 2026, la thèse défendue est que l’ANSSI doit être supprimée en tant qu’institution autonome, sans que soit supprimée aucune des fonctions qu’elle porte. L’analyse s’appuie sur le rapport de la Cour des comptes du 16 juin 2025, qui établit que l’agence a crû sans projet de service, sans indicateurs de résultat et sous un pilotage interministériel jugé flou, le SGDSN étant lui-même décrit comme dépourvu d’autorité suffisante. Or la réponse prescrite par la Cour (renforcement des effectifs de 20 %, commandement interministériel supplémentaire sous le même SGDSN) revient à accélérer une machine dont personne ne tient le volant. Le modèle de substitution proposé articule quatre niveaux : une autorité stratégique nationale de cyberdéfense rattachée au Premier ministre, un noyau technique héritier des attributions de l’ANSSI (qualification, certification, CERT-FR, SecNumCloud), le COMCYBER pour l’action militaire, et le ComCyberGend comme force territoriale et judiciaire. Le relais privé n’y est légitime que qualifié, certifié et soumis au droit français. La comparaison internationale (Royaume-Uni, États-Unis, Allemagne, Israël) montre que l’anomalie française n’est pas d’avoir une agence civile, mais de la laisser en service à compétence nationale sous un SGDSN sans autorité, séparée du judiciaire et du militaire. La fenêtre de transposition de NIS2, la loi Résilience n’étant toujours pas promulguée au 19 mai 2026 et la France s’exposant à une procédure d’infraction européenne, constitue selon cet éditorial l’occasion de réassigner les attributions sans créer de vide juridique.
PROPOSITION OPÉRATIONNELLE : LE PLAN RUTTEN POUR UNE SOUVERAINETÉ MESURABLE
Sylvain Rutten propose un plan de cinq ans pour reconstruire une souveraineté numérique réelle. Son approche repose sur trois principes simples : ouvrir, mesurer, reverser. Elle commence par un inventaire national des infrastructures et des dépendances logicielles, se poursuit avec la création de Cloud Labs régionaux et d’une alliance entre recherche et industrie, et s’appuie sur une commande publique orientée « open source », financée uniquement sur preuves techniques.
Deux indicateurs garantissent la sincérité du dispositif : le TtE (Time to Exit), qui mesure le délai nécessaire pour quitter un fournisseur, et le DLP (Data Loss Probability), qui évalue le risque de perte de données. Ces critères rendent tout verrouillage inacceptable, juridiquement et techniquement. L’objectif affiché : au moins 60 % des données sensibles hébergées sur des piles françaises et un TtE inférieur à 30 jours.
Cette méthode pragmatique transforme la souveraineté en résultat mesurable plutôt qu’en slogan. Mais une question demeure : un tel projet peut-il réellement voir le jour dans un cadre européen où la neutralité réglementaire masque souvent la dépendance industrielle ?
L’UNION EUROPÉENNE : RÉGULER SANS PRODUIRE
L’Union européenne a choisi la voie normative : NIS 2, Data Act, Data Governance Act encadrent résilience, portabilité et gouvernance des données. L’architecture reste cependant neutre en matière d’origine industrielle, et l’effet réel, en l’état, entérine la domination des hyperscalers. Le projet EUCS devait initialement imposer des garde-fous souverains (immunité au droit extraterritorial, contrôle européen de bout en bout, localisation stricte) ; la version de mars 2024 en a gommé la substance, se limitant à la transparence sur la localisation et les lois applicables. L’Interoperable Europe Act et eIDAS 2.0 étendent la standardisation technique et identitaire : l’harmonisation promue par Bruxelles rend lisibles et interconnectées les administrations, mais rend aussi interchangeables les infrastructures, au bénéfice des acteurs déjà dominants.
Malgré les textes, le marché reste captif : en 2024, Amazon, Microsoft et Google captaient l’essentiel du cloud européen, quand les fournisseurs européens demeuraient minoritaires. La régulation, présentée comme neutralité technologique, se traduit dans les faits par une dépendance structurelle ; la souveraineté s’y dit plus qu’elle ne s’y exerce.
Anne-Emmanuelle Lejeune
L’analyse la plus complète de ce décalage entre ambition normative et capacité réelle est venue de Franck Rouxel, CISO et fondateur de Klaerenn, dans un article publié le 23 juin 2026. Soumettant le Cyber Resilience Act et le guide technique de l’ENISA sur la gestion des dépendances logicielles à l’épreuve des incidents documentés entre janvier et avril 2026, Rouxel identifie plusieurs failles qu’il juge structurelles : les attaques ciblent désormais la composition des logiciels et non leurs composants individuels (chaque élément satisfait les contrôles, la charge malveillante n’émerge que de l’assemblage) ; l’exploitation précède systématiquement la divulgation (délai moyen de moins de 7 jours selon Mandiant), rendant l’obligation de signalement sous 24 heures plus longue que la fenêtre d’attaque ; les bases de vulnérabilités dont dépend le CRA (NVD du NIST, EUVD de l’ENISA) sont en crise ou incomplètes ; enfin, entre 84 % et 91 % des développeurs utilisent des outils de génération de code par IA, dont les productions échappent aux contrôles que le CRA définit. À la date de son article, la Single Reporting Platform, dont les obligations de signalement devaient devenir applicables le 11 septembre 2026, n’était pas encore opérationnelle. Ce point a depuis évolué : l’ENISA a déployé sa capacité opérationnelle initiale le 11 septembre 2026. Le cas de l’ENISA reste toutefois révélateur. Au début de juin 2026, plusieurs médias la donnent parmi les organisations appelées à accéder à Mythos 5 dans le cadre de Project Glasswing d’Anthropic. Le 12 juin, le département du Commerce impose des contrôles d’exportation sur Fable 5 et Mythos 5, suspendant l’accès des personnes étrangères. Ces restrictions sont levées le 30 juin après l’ajout de garanties par Anthropic. L’ENISA n’obtient finalement un accès effectif à Mythos 5 que le 10 septembre, après plus de trois mois d’attente. L’épisode ne décrit donc plus un verrou permanent, mais il montre qu’une agence européenne dépend, pour tester une capacité de détection avancée, des décisions d’un fournisseur américain et du cadre réglementaire de Washington. La conformité au CRA produit, selon Rouxel, du papier vérifiable, non de la résilience : l’Europe change ses formulaires, la condition qui rend ses organisations vulnérables demeure la même.
Face à ce désarmement européen, d’autres modèles émergent. Le Québec, sans héritage comparable à la France, illustre une voie différente : le volontarisme institutionnel rapide.
LA DOCTRINE TRUMP : QUAND L’ADVERSAIRE NOMME CE QUE L’EUROPE TAIT
La Cyber Strategy for America de mars 2026 ne constitue pas un document de doctrine sécuritaire ordinaire. Elle formalise une posture hégémonique dans le domaine numérique où les États-Unis revendiquent une supériorité technologique et opérationnelle dont l’exercice transcende les frontières souveraines des alliés comme des adversaires. Le texte revendique sans détour la destruction de réseaux