Les services de l’État français ont encaissé coup sur coup. Vol de données fiscales, intrusion dans l’éducation nationale, fichier de la santé : les annonces se sont enchaînées en 2025. La cybersécurité des ministères est passée sous les projecteurs. Mais derrière les promesses, quelle réalité ?
Le gouvernement a publié une feuille de route pour 2026-2027. Le ton se veut ferme. Mais les experts doutent. Peut-on vraiment protéger les données publiques avec des moyens qui restent limités ? Retour sur une année chaotique et les défis qui attendent l’administration.
Des fuites en série qui ébranlent les administrations
L’administration fiscale a confirmé une cyberattaque majeure. Jusqu’à 678 000 personnes ont vu leurs données personnelles exposées. Une brèche immense. Les fichiers concernés contenaient adresses, numéros de sécurité sociale et déclarations.
Le ministère de l’Éducation nationale a lui aussi été frappé. Un vol massif de données a été revendiqué. L’ampleur réelle de la fuite n’a pas été mesurée immédiatement. Le temps de réaction des équipes techniques s’est avéré trop lent.
La CNIL a recensé plus de 6 100 fuites de données en 2025. Les administrations publiques figurent parmi les principaux touchés. Les mairies, les hôpitaux, les préfectures : aucun niveau n’est épargné.
Ces incidents répétés posent une question simple. les responsables politiques ont-ils pris la mesure de la menace ? Les annonces se succèdent, mais les moyens suivent rarement.
La feuille de route 2026-2027 : un électrochoc tardif
Il a fallu attendre avril 2026 pour voir une réponse structurée. Le secrétaire général de la défense et de la sécurité nationale (SGDSN) et l’ANSSI ont dévoilé leur copie. Quatre priorités : sécurité des identités, détection des attaques, protection des données et résilience des réseaux.
Le Premier ministre Sébastien Lecornu a envoyé un courrier aux ministères. Son message est direct : « Il faut reprendre l’initiative sur le terrain. » Une manière de reconnaître que l’État a perdu la main face aux attaquants.
La directive européenne NIS 2 sert désormais de boussole. Elle impose des contrôles stricts sur la sécurité des systèmes. Les ministères devront s’y conformer. Mais le chemin est long.
Des objectifs ambitieux, des moyens flous
La feuille de route fixe des caps. Par exemple, réduire de moitié le délai de détection des intrusions. Aujourd’hui, une attaque informatique peut passer inaperçue pendant des mois. C’est trop.
Mais les financements restent flous. Chaque ministère doit trouver son budget. Dans un contexte de restrictions, la cybersécurité passe souvent après d’autres urgences. La protection des données n’est pas encore considérée comme vitale.
Le recrutement d’experts est un autre défi. Les salaires du privé n’ont rien à voir avec ceux de la fonction publique. Attirer des profils pointus relève du parcours du combattant. La gestion des risques exige pourtant des compétences rares.
Le facteur humain, maillon faible des ministères
Les techniques des pirates évoluent. Mais la porte d’entrée reste souvent la même : un agent piégé par un email ou un clic malheureux. La sensibilisation n’est pas une option, c’est une urgence.
En 2025, plusieurs intrusions ont commencé par un hameçonnage réussi. Un attaché d’administration ouvre une pièce jointe. Le malware se propage. Les données sensibles sont exfiltrées en silence.
Des exercices ont été organisés dans certains ministères. Ils révèlent des lacunes criantes. Le personnel n’arrive pas à identifier les signaux d’alerte. Les bons réflexes ne sont pas ancrés.
La cybersécurité ne se règle pas seulement avec des outils techniques. Elle réclame un changement culturel. Chaque agent doit devenir un acteur de la protection des données. Le chemin est encore long.
Les mots de passe, première faille
Les mots de passe administrateur partagés persistent. Des comptes sans double authentification restent actifs. Les annuaires se remplissent de comptes obsolètes. Autant de brèches évitables.
Une enquête interne a montré que plusieurs ministères utilisaient encore des mots de passe de type « admin123 ». Difficile de croire que de telles pratiques survivent en 2026. Elles facilitent pourtant la tâche des pirates.
La gestion des risques, parent pauvre de l’administration
Cartographier les risques, c’est la base. Savoir quels fichiers méritent une protection renforcée. Identifier les circuits d’information sensibles. Peu de ministères jouent réellement le jeu.
Selon un rapport parlementaire, moins de cinq départements ministériels disposent d’un référentiel complet de leurs systèmes d’information. Les autres avancent à l’aveugle. Une attaque informatique devient alors un événement sans précédent, géré dans l’urgence.
Les audits externes sont rares. Les contrôles internes se contentent souvent de cases à cocher. La confidentialité des données apparaît comme une contrainte administrative, pas comme un enjeu vital.
Les ministères régaliens s’en sortent mieux. L’intérieur et la défense ont l’habitude du secret. Les ministères sociaux et culturels, eux, accumulent les retards.
Des pistes concrètes pour sortir de l’ornière
Quelques mesures simples feraient une différence nette. Les voici.
- 🗝️ Imposer la double authentification pour tous les agents, sans exception
- 📋 Réaliser un inventaire annuel des comptes et des accès privilégiés
- 🛡️ Mettre en place un centre de veille partagé entre les ministères
- 🎓 Former chaque agent à la détection des messages piégés
- 🔐 N’autoriser que des mots de passe longs et gérés par un coffre-fort numérique
Ces gestes paraissent évidents. Ils ne sont pourtant pas généralisés. La fiabilité des services publics en ligne dépend de ces détails. Un unique jour de défaillance peut effacer des années de confiance.
Vers une cyberdéfense sous budget contraint
La stratégie nationale affiche des ambitions. Le budget suit-il ? Les annonces ne prévoient pas de hausse massive pour 2026. Les ministères devront se débrouiller avec leurs dotations actuelles.
Cette situation crée une forme de loterie. Certaines administrations investissent dans des pare-feu performants. D’autres bricolent avec des logiciels obsolètes. La sécurité des systèmes dépend alors de la conscience d’un directeur informatique trop isolé.
Les conséquences ne sont pas virtuelles. Un vol de données dans une caisse d’allocations peut bloquer des paiements. Une intrusion dans un hôpital retarde des opérations. Chaque défaillance porte atteinte au lien entre l’État et les citoyens.
L’exemple des collectivités locales est éclairant. Beaucoup ont été attaquées en 2025, sans disposer d’aucune équipe dédiée. Des mairies se sont retrouvées paralysées pendant des semaines. Elles paient aujourd’hui des rançons, faute de sauvegardes.
La priorité intermittente doit devenir constante. Les déclarations d’intention ne suffisent plus. Les citoyens attendent des actes, pas des prospectus. La confiance dans l’administration numérique se joue maintenant.
Ancien imprimeur familial à Tours devenu rédacteur en chef. Douze ans de freelance pour TPE et agences, passé à l’écriture pour traduire deux mondes : papier et pixel.