L'Anssi prend un rôle plus important en cybersécurité après une fuite de données majeure et obtient de nouveaux pouvoirs pour imposer la sécurité numérique dans l'État et au-delà.
L'Anssi adopte une position plus ferme
Vincent Strubel, directeur général de l'Anssi, l'Agence nationale de la sécurité des systèmes d'information, a déclaré que l'agence adopte une approche plus affirmée face au gouvernement en raison de la hausse des menaces pesant sur la cybersécurité. Ce changement fait suite aux critiques formulées après une fuite de données à la DGFiP, l'administration fiscale française, en août 2026, que l'agence était accusée de ne pas avoir détectée à temps.De nouveaux pouvoirs d'urgence accordés
La Première ministre Sébastien Lecornu a autorisé Vincent Strubel à lancer l'opération REACTIV, une action interministérielle contre les fuites de données. Elle permet à l'Anssi d'imposer des mesures urgentes aux ministères en cas de fuite. Toutefois, ce pouvoir ne repose sur aucune base juridique formelle et il est accordé directement par le Premier ministre, dans l'attente que les ministres se conforment aux directives de cybersécurité de l'agence.Nécessité d'un renforcement juridique
Vincent Strubel a insisté sur la nécessité de formaliser les mesures REACTIV dans la loi et de les étendre aux collectivités territoriales et aux entreprises privées par le biais de la directive NIS 2. Il a noté que les administrations publiques font souvent face à des mandats contradictoires, et que REACTIV vise à placer la cybersécurité en priorité parmi ceux-ci. Certains projets de transformation numérique pourraient toutefois être retardés en conséquence.Une nouvelle autorité au titre de NIS 2
La directive NIS 2, que la France met en œuvre, confère à l'Anssi une autorité sur les administrations de l'État et potentiellement sur les entités privées. Elle comprend le pouvoir d'infliger des amendes aux entreprises non conformes et d'exiger que les administrations rendent publiques leurs insuffisances en matière de cybersécurité. Vincent Strubel a déclaré que l'Anssi agira à la fois comme juge et partie dans ces affaires, mais que ce double rôle n'est pas perçu comme un conflit.Mise en place d'une structure interne
Pour se préparer à NIS 2, l'Anssi développe une fonction de contrôle dédiée au sein de l'agence, assortie de procédures claires pour son fonctionnement. Vincent Strubel a insisté sur l'importance de séparer les rôles au sein de l'agence afin d'éviter toute confusion et de garantir une gouvernance efficace.Rôle de communication de crise
REACTIV confie également à l'Anssi la responsabilité de gérer la communication de crise en cas de cyberattaque pour l'ensemble des administrations publiques. Vincent Strubel a relevé que le principal défi consiste à garantir la transparence, en citant le rapport public sur la fuite de la DGFiP publié en septembre 2026. Il a déclaré que la Première ministre a appelé à davantage d'ouverture dans de telles situations, et que l'Anssi adapte son approche en conséquence, même si cette responsabilité ne s'étend pas aux entreprises privées.Ressources limitées et priorités
Vincent Strubel a reconnu que l'Anssi fonctionne avec des ressources limitées, son effectif n'représentant qu'un tiers de celui de son homologue allemand. Il a indiqué que l'agence doit constamment arbitrer entre ses priorités et que, avec REACTIV, les efforts doivent se concentrer sur moins d'aspects des cybermenaces. Il a toutefois souligné que les nouveaux pouvoirs réglementaires permettront à l'Anssi d'amplifier l'impact de ses actions malgré ces contraintes.
