Garde nationale numérique : la France doit-elle militariser sa cybersécurité ?
Face à l’explosion des cyberattaques, faut-il créer une garde nationale numérique pour protéger les infrastructures critiques, ou privilégier une approche inclusive et citoyenne ? Le débat oppose souveraineté étatique et résilience collective.
Qui a les meilleurs arguments ?
Lisez le débat puis donnez votre verdict.
La création d’une « garde nationale numérique » divise : pour Aïcha Bergmann, elle est indispensable pour protéger à la fois les infrastructures critiques et les TPE/citoyens, en brisant le faux dilemme entre sécurité étatique et résilience collective. Thomas Renault y voit une solution coûteuse, inefficace et dangereuse, qui centraliserait les risques sans régler les failles structurelles, tout en menaçant les libertés individuelles.
Les échanges ont opposé deux visions : Bergmann mise sur une approche inclusive, citant les 60 % de cyberattaques ciblant les PME pour justifier un investissement public massif, tandis que Renault pointe l’échec des régulations passées et le gaspillage de fonds publics (20 milliards prévus pour le numérique militaire d’ici 2030). Le débat a aussi révélé un clivage sur la souveraineté : faut-il privilégier une réponse nationale unilatérale ou une coopération européenne, souvent jugée trop lente ?
"Ne pas créer une garde nationale numérique, ce serait abandonner les TPE à un sort déjà écrit." — Aïcha Bergmann
- Question 1 — "Madame Bergmann, Monsieur Renault : la garde nationale numérique, si elle voit le jour, devra choisir entre deux missions impossibles à concilier — protéger les infrastructures critiques *ou* former les TPE et les citoyens. Lequel de ces deux publics mérite d’être sacrifié, et sur quel critère objectif fondez-vous ce choix ?"
- Question 2 — "Madame Bergmann, Monsieur Renault : la CNIL a rappelé en juin dernier que toute surveillance étatique doit être *nécessaire, proportionnée et encadrée* — or une 'garde nationale numérique' implique des prérogatives de collecte massive de données, y compris sur des citoyens non suspects. Qui, selon vous, doit trancher ce conflit entre sécurité et libertés : le législateur, un juge indépendant, ou les experts en cybersécurité eux-mêmes — et pourquoi ce choix ne revient-il *pas* à l’autre option ?"
- Question 3 — "Madame Bergmann, Monsieur Renault : la proposition d’une garde nationale numérique repose sur l’idée que l’État doit être le garant ultime de la cybersécurité — mais les cyberattaques les plus dévastatrices de 2023 (Viasat, MOVEit, l’hôpital de Corbeil-Essonnes) ont toutes exploité des failles *dans des logiciels souverains ou des protocoles publics*. Alors, qui a échoué : les entreprises privées qui n’ont pas patché, ou l’État qui n’a pas imposé des standards de sécurité contraignants — et pourquoi votre camp refuse-t-il de désigner clairement le responsable ?"
- Question 4 — "Madame Bergmann, Monsieur Renault : la garde nationale numérique coûterait des centaines de millions d’euros publics — or l’ANSSI a reconnu en 2023 que 80 % des cyberattaques réussies exploitent des *erreurs humaines basiques* (mots de passe faibles, absence de double authentification). Alors, qui doit assumer la responsabilité financière de ces négligences : l’État, en socialisant le coût via une nouvelle structure, ou les entreprises et citoyens, en assumant les conséquences de leurs propres manquements — et pourquoi votre camp refuse-t-il catégoriquement l’autre option ?"
- Question 5 — "Madame Bergmann, Monsieur Renault : la garde nationale numérique suppose de recruter des talents en cybersécurité — or le secteur privé offre des salaires deux à trois fois supérieurs à ceux de la fonction publique. Alors, qui a tort : l’État, qui refuse d’aligner les rémunérations et se prive ainsi des meilleurs experts, ou les entreprises, qui pillent les compétences publiques avec des offres alléchantes — et jusqu’où seriez-vous prêt à aller pour résoudre cette guerre des talents, même si cela signifie nationaliser des acteurs clés du secteur ?"
- Question 6 — "Madame Bergmann, Monsieur Renault : la garde nationale numérique, en centralisant la réponse aux cyberattaques, risque de créer un *effet d’aubaine* pour les attaquants — qui cibleront cette structure comme un point unique de défaillance, exactement comme les hôpitaux ou les collectivités aujourd’hui. Alors, qui assume la responsabilité si cette militarisation *aggrave* la menace au lieu de la réduire : l’État, pour avoir concentré les risques, ou les citoyens et TPE, pour avoir cru en une solution magique — et pourquoi votre camp persiste-t-il à ignorer cet angle mort stratégique ?"
- Question 7 — "Madame Bergmann, Monsieur Renault : la garde nationale numérique, si elle est créée, devra définir un seuil d’intervention — par exemple, ne protéger que les infrastructures critiques *au-dessus d’un certain niveau de risque*. Mais qui décide de ce seuil : des algorithmes d’analyse automatisée, comme le propose l’ANSSI, ou des humains en temps réel, avec le risque de subjectivité et de retard ? Et n’est-ce pas précisément le genre de choix technocratique que votre camp dénonce chez l’adversaire ?"
- Question 8 — "Madame Bergmann, Monsieur Renault : la garde nationale numérique, si elle est déployée, devra gérer des *incidents transfrontaliers* — comme une attaque lancée depuis la Russie contre une PME française via des serveurs américains. Dans ce cas, qui a le dernier mot : la souveraineté nationale, qui imposerait un blocage unilatéral des flux suspects au risque de violer le droit international, ou la coopération européenne, qui privilégierait une réponse coordonnée mais plus lente — et n’est-ce pas précisément le dilemme que votre camp reproche à l’autre de vouloir contourner ?"
- Question 9 — "Madame Bergmann, Monsieur Renault : une garde nationale numérique impliquerait nécessairement de *prioriser* les victimes — par exemple, en refusant d’intervenir pour une TPE si les ressources sont mobilisées sur une attaque contre un opérateur d’importance vitale. Alors, qui assume le coût politique et moral de ces arbitrages : l’État, qui devra justifier publiquement ses choix devant des citoyens abandonnés à leur sort, ou les victimes elles-mêmes, sommées de se débrouiller seules — et n’est-ce pas précisément le scénario que votre camp présente comme inacceptable chez l’adversaire ?"
- Question 10 — "Madame Bergmann, Monsieur Renault : la garde nationale numérique, si elle est créée, devra gérer des *données sensibles* — logs de connexion, métadonnées, voire contenus de communications dans le cadre d’enquêtes. La loi de programmation militaire de 2013 permet déjà à l’État d’accéder à ces données sans contrôle judiciaire préalable pour les infractions graves. Alors, jusqu’où êtes-vous prêt à étendre ce pouvoir : faut-il supprimer *tout* contrôle a priori pour accélérer la réponse aux cyberattaques, au risque de normaliser une surveillance permanente des réseaux — ou refuser catégoriquement cette logique, même si cela signifie laisser des attaques se déployer sans riposte immédiate ?"
- Mot de clôture
"Madame Bergmann, Monsieur Renault : la garde nationale numérique, si elle voit le jour, devra choisir entre deux missions impossibles à concilier — protéger les infrastructures critiques *ou* former les TPE et les citoyens. Lequel de ces deux publics mérite d’être sacrifié, et sur quel critère objectif fondez-vous ce choix ?"
La question n’est pas de savoir lequel sacrifier, mais comment éviter de reproduire l’erreur historique qui consiste à opposer protection des infrastructures critiques et protection des citoyens ou des TPE. Cette opposition est un piège : elle ignore que les deux sont indissociables dans un écosystème numérique où la moindre faille chez une TPE peut servir de porte d’entrée aux attaques contre les hôpitaux, les collectivités ou les réseaux énergétiques. Les chiffres le prouvent : 69 % des entreprises ciblées par des cyberattaques en France sont des TPE ou PME[Source 1]. Ces mêmes TPE qui, selon le baromètre 2025 de Cybermalveillance.gouv.fr, reconnaissent à 80 % ne pas être préparées aux attaques et à 58 % ne pas savoir évaluer leurs conséquences. Comment imaginer protéger les infrastructures critiques si l’on laisse 99 % du tissu économique français — soit 3,9 millions d’entreprises — sans défense, sans formation et sans accompagnement ?
Prenons un exemple concret, celui que je vois chaque semaine dans les salles des profs ou les réunions de parents d’élèves. Une TPE de dix salariés, spécialisée dans la maintenance des systèmes de chauffage pour les écoles et les Ehpad, se fait pirater. Résultat ? Non seulement elle perd 15 000 euros et trois jours d’activité, mais ses clients — des collectivités, des établissements publics — voient leurs données exposées et leurs systèmes de chauffage devenir vulnérables. Qui paie ? Les contribuables, les familles, les patients. La cybersécurité n’est pas un choix binaire, c’est un continuum. Une garde nationale numérique digne de ce nom doit intégrer cette réalité : former les TPE et les citoyens, c’est protéger les infrastructures critiques par ricochet. L’ANSSI le dit elle-même : 43 % des attaques subies par les TPE en 2025 étaient liées à l’hameçonnage, une technique qui touche aussi bien les particuliers que les grands groupes. Une campagne massive de sensibilisation et d’accompagnement des TPE réduirait mécaniquement le risque systémique.
Et sur quel critère objectif fonder ce choix ? Celui de la vulnérabilité la plus criante et de l’effet levier le plus fort. Les TPE et les citoyens ne sont pas des cibles secondaires : ce sont les maillons faibles et les premières victimes. En 2023, 16 % des TPE ont subi un incident cyber, mais ce chiffre monte à 25 % pour les entreprises de 10 à 49 salariés. Ces entreprises représentent 99,8 % du tissu économique français[Source 1]. Les ignorer, c’est laisser une autoroute ouverte aux cybercriminels. À l’inverse, une garde nationale numérique qui miserait uniquement sur les infrastructures critiques en négligeant la formation commettrait la même erreur que les politiques de sécurité routière qui se concentreraient sur les autoroutes en oubliant les routes départementales — où se produisent 70 % des accidents.
La solution n’est pas de choisir, mais de structurer une réponse intégrée. La garde nationale numérique pourrait s’appuyer sur trois piliers indissociables :
- Un socle de formation obligatoire et gratuite pour les TPE, via des partenariats avec les chambres de commerce, les syndicats professionnels et les plateformes comme Cybermalveillance.gouv.fr. Les entreprises qui ne suivraient pas ces formations pourraient se voir refuser l’accès à certains marchés publics — une incitation forte, mais juste.
- Un réseau de "cyber-référents" déployés dans chaque département, formés pour intervenir en urgence auprès des TPE et des collectivités locales, sur le modèle des réservistes de la gendarmerie. Ces référents pourraient être des étudiants en cybersécurité, des retraités du secteur ou des salariés en reconversion, encadrés par l’État.
- Une plateforme nationale de signalement et de réaction rapide, accessible aux TPE comme aux particuliers, avec un numéro unique (le 17Cyber, déjà évoqué dans le baromètre 2025) et une prise en charge immédiate des incidents. Aujourd’hui, 31 % des TPE ne savent même pas vers qui se tourner en cas d’attaque. C’est inacceptable.
Protéger les infrastructures critiques sans former les TPE et les citoyens, c’est comme construire un hôpital flambant neuf sans former les infirmiers ni informer les patients des gestes de premiers secours. On ne protège pas un pays en blindant quelques forteresses tout en laissant les villages sans défense. La garde nationale numérique doit être le pont entre ces deux réalités — pas le choix impossible entre l’une ou l’autre.
L’argument central de mon opposante repose sur une équation fallacieuse : former les TPE et les citoyens protégerait par ricochet les infrastructures critiques. Les chiffres du bilan RM3A 2024-2025 [Source 1] pulvérisent cette illusion. En 2024, 4 386 incidents de cybersécurité ont été traités par l’ANSSI, dont 144 compromissions d’infrastructures critiques – hôpitaux, ministères, réseaux énergétiques. Parmi ces attaques, 60 % provenaient de failles zero-day ou d’attaques ciblées par des États-nations, et non de maillons faibles chez les TPE. La cyberattaque contre France Travail, qui a exposé 44,9 millions de personnes, exploitait une faille dans un système partenaire déjà sécurisé – pas une négligence de petite entreprise. Prétendre que former les TPE endiguerait ces menaces, c’est comme croire qu’apprendre aux riverains à verrouiller leur porte empêchera un missile de frapper une centrale nucléaire.
La réalité, c’est que les infrastructures critiques nécessitent des moyens spécifiques et incompressibles : détection des attaques avancées (APT), réponse aux incidents 24/7, et coordination avec l’ANSSI pour les crises majeures. Le baromètre Cybermalveillance 2025 [Source 2] le confirme : 75 % des TPE-PME consacrent moins de 2 000 euros par an à leur cybersécurité, un budget qui ne couvre même pas l’audit d’un seul serveur critique. Pire, 80 % des TPE admettent manquer de préparation, malgré des formations pourtant disponibles. Ces chiffres révèlent une vérité cruelle : la cybersécurité des TPE relève de la résilience individuelle, pas de la protection systémique. Une "garde nationale numérique" qui diluerait ses ressources dans des formations massives – dont l’efficacité reste à prouver – gaspillerait l’argent public là où il est le plus urgent : blinder les cibles prioritaires avant qu’elles ne deviennent des vecteurs de crise nationale.
Mon opposante cite l’exemple d’une TPE de maintenance piratée pour illustrer le "continuum" des risques. Mais cet exemple prouve justement l’inverse : la faille venait d’un sous-traitant, pas de l’entreprise elle-même. Or, la loi de programmation militaire (LPM) 2024 impose déjà aux opérateurs critiques de contrôler leurs prestataires – une mesure que l’État peine à faire appliquer, faute de moyens dédiés. Plutôt que de créer une nouvelle structure bureaucratique, il faudrait renforcer les sanctions contre les donneurs d’ordre qui externalisent leurs risques (comme France Travail avec Kairos) et doter l’ANSSI des effectifs pour auditer ces chaînes de sous-traitance. La solution n’est pas de former 3,9 millions de TPE, mais de responsabiliser les 200 acteurs critiques qui concentrent 80 % des risques systémiques.
Enfin, l’idée d’un "réseau de cyber-référents" départementaux relève du vœu pieux. Le baromètre 2025 [Source 2] montre que seulement 26 % des TPE utilisent la double authentification, malgré sa simplicité. Comment croire que des réservistes bénévoles – fussent-ils étudiants ou retraités – parviendraient à convaincre des dirigeants qui ignorent les bases ? La cybersécurité des TPE est un problème culturel et économique, pas un manque d’intermédiaires. La priorité absolue doit être de protéger les services vitaux (santé, énergie, administration) en y concentrant les budgets et les expertises, plutôt que de disperser des ressources limitées dans un saupoudrage inefficace. Une garde nationale numérique digne de ce nom doit assumer ce choix stratégique : protéger d’abord ce qui fait tenir le pays debout, et laisser les TPE – comme les particuliers – se défendre avec les outils existants (Cybermalveillance.gouv.fr, assurances cyber, etc.). Opposer les deux missions, c’est refuser de voir que l’une est un impératif national, et l’autre une utopie coûteuse.
Cette réponse repose sur une méconnaissance profonde de ce qu’est une infrastructure critique au XXIe siècle. Monsieur Renault parle de centrales nucléaires et de ministères comme si ces cibles existaient dans un monde parallèle, isolées des réalités économiques et humaines qui les font fonctionner. La vérité, c’est que ces infrastructures ne sont pas des forteresses flottant dans le vide : elles dépendent de chaînes d’approvisionnement, de sous-traitants, de prestataires logistiques, et même de petites entreprises locales qui assurent leur maintenance quotidienne. Quand une TPE de plomberie industrielle se fait pirater et que ses identifiants donnent accès au réseau d’un hôpital, ce n’est pas un "maillon faible" – c’est l’hôpital lui-même qui devient vulnérable. Les chiffres qu’il cite sur les attaques zero-day sont exacts, mais ils occultent une réalité bien plus inquiétante : 60 % des cyberattaques réussies contre les infrastructures critiques commencent par une faille chez un partenaire ou un sous-traitant, selon le dernier rapport de l’ANSSI. La cyberattaque contre Colonial Pipeline aux États-Unis, qui a provoqué une pénurie d’essence sur toute la côte Est, a commencé par un mot de passe volé sur le compte d’un employé d’une petite entreprise de comptabilité. Monsieur Renault veut nous faire croire que ces risques sont marginaux, alors qu’ils sont le quotidien de nos services publics.
Son argument sur les budgets des TPE est tout aussi fallacieux. Il sous-estime gravement l'impact systémique d'une faille locale.
Sources
Le numérique, projet stratégique impératif pour la France - Rozenblit — L'essentiel à retenir : avec un secteur numérique pesant seulement 5,5 % du PIB contre près de 15 % mondialement, la France risque un déclassement structurel. Ce retard impose d'ériger la maîtrise des infrastructures et de l'IA en priorité absolue, la souveraineté technologique conditionnant désormais la liberté politique et la prospérité économique face aux puissances
Efforts prioritaires en matière de sécurité numérique de l’État : publication de la feuille de route annuelle 2026-2027 | SGDSN — Les feuilles de route de la sécurité numérique de l’État, établies annuellement, fixent les efforts prioritaires que doivent fournir les ministères en matière de sécurité numérique.
Direction Interministérielle du Numérique (DINUM) | transformation.gouv.fr — La direction interministérielle du numérique (DINUM) est en charge de la transformation numérique de l’État au bénéfice du citoyen comme de l’agent, sous tous ses aspects : modernisation du système d’information de l’État, qualité des services publics numériques, création ...
Assemblee-nationale — Elle repose sur deux convictions fortes, qui étaient déjà inscrites dans la stratégie de mars 2023 : le recours aux communs numériques, qui constitue un levier central de maîtrise, de réversibilité et de transparence ; et le développement de partenariats avec des industriels de confiance, couplé à un renforcement de nos compétences internes – qui s’est concrétisé, par exemple, par une vague de réinternalisation opérée en 2024.
2ème édition du baromètre national de la maturité cyber des TPE-PME - Assistance aux victimes de cybermalveillance — En effet, la tendance pour cette 2ème édition démontre que les entreprises interrogées cette année sont plus nombreuses à penser qu’elles sont fortement exposées, 44 % (38 % en 2024).
Cybersécurité : les bonnes pratiques pour les TPE-PME — En 2024, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a recensé 4 386 incidents de cybersécurité, soit une hausse de 15 % par rapport à 2023, dont près de 37 % concernaient des TPE, PME et ETI.
Des chiffres clés sur la cybersécurité – Guardia Cybersecurity School — Oui, les PME sont particulièrement vulnérables aux cyberattaques : 69 % des entreprises ciblées par les cyberattaques en France sont des TPE/PME. Les petites entreprises ont tendance à être moins préparées à la cybersécurité et plus ...
Cybersécurité | Les 24 Statistiques & Tendances en 2026 — Pour 69 % des entreprises, le nombre de cyberattaques est resté stable depuis 2024. Il a augmenté pour 19 % et diminué pour 12 %. Le site gouvernemental est sollicité dans plus de 9 cas sur 10 par des particuliers.
Plus de 17 500 cyberattaques enregistrées en France en 2025, en hausse de 4% par rapport à l'année 2024 – franceinfo — "En 2025, 17 600 atteintes impactant ... 4% en un an", écrit le ministère dans son communiqué. En 2024, 17 100 cyberattaques avaient été décomptées, 17 700 en 2023....
Les 10 Cyberattaques qui ont marqué la France en 2024 — Les Jeux Olympiques de Paris 2024 ont fait face à une menace cyber significative, avec des attentes de plus de 4 milliards de cyberattaques durant l’événement.Les attaques pourraient cibler divers aspects des jeux, notamment la billetterie, ...
Cyberattaques France : 129 milliards de dommages en 2024 - Dimension Internet — Plus de 129 milliards de dollars de dommages causés par les cyberattaques en France pour la seule année 2024. Ce chiffre vertigineux révèle l’ampleur d’une crise numérique qui frappe désormais huit Français sur dix.
Bilan Cyberattaques France 2024-2025 | RM3A — 144 compromissions signalées en 2024. Bien qu’en baisse de 9 points, cette menace reste particulièrement destructrice. Évolution vers la double extorsion : exfiltration de données + menace de publication, même sans chiffrement des systèmes.
Baromètre Cybermalveillance 2025 : les TPE-PME progressent, mais restent mal préparées - Siècle Digital — Alors qu’un rapport récent évoquait le manque de volonté des salariés quant au suivi des formations en cybersécurité, l’étude met en avant que huit entreprises sur dix admettent manquer de préparation face aux cyberattaques.
Cybersécurité des TPE-PME : des progrès, mais encore des failles. - Pérenne'IT — Un quart des TPE/PME ne fait appel à aucun acteur spécialisé, ce qui montre que l’accompagnement externe reste encore trop fragmenté ou mal identifié pour une partie significative du tissu économique. L’étude met en lumière une dynamique encourageante : les TPE et PME sont de plus en plus conscientes des risques cyber, et certaines mesures de base sont désormais largement adoptées.
TPE-PME et cybersécurité : entre progrès et obstacles - Fevad — La FEVAD relaie les résultats de la 2ᵉ édition du baromètre national de la maturité cyber des TPE-PME, publié par Cybermalveillance.gouv.fr. Réalisée en partenariat avec la CPME, le MEDEF et l’U2P, cette étude dresse un état des lieux contrasté : si la conscience des enjeux progresse, les entreprises du e-commerce et de la vente à distance restent confrontées à des défis majeurs en matière de protection numérique.
2ème édition du baromètre national de la maturité cyber des TPE-PME - Assistance aux victimes de cybermalveillance — Ainsi, 6 TPE-PME sur 10 ont engagé des actions de sensibilisation et de façon plus régulière, les plus mâtures étant dans les structures de plus de 10 salariés (90 %) ou celles du domaine des services (71 %). « Si l’étude met en évidence ...
"Madame Bergmann, Monsieur Renault : la CNIL a rappelé en juin dernier que toute surveillance étatique doit être *nécessaire, proportionnée et encadrée* — or une 'garde nationale numérique' implique des prérogatives de collecte massive de données, y compris sur des citoyens non suspects. Qui, selon vous, doit trancher ce conflit entre sécurité et libertés : le législateur, un juge indépendant, ou les experts en cybersécurité eux-mêmes — et pourquoi ce choix ne revient-il *pas* à l’autre option ?"
Une "garde nationale numérique" ne peut pas être confiée aux experts en cybersécurité, et encore moins laissée à la discrétion du législateur sans contrôle judiciaire indépendant. La CNIL le rappelle sans ambiguïté : toute surveillance étatique doit être nécessaire, proportionnée et encadrée [Source 1]. Or, l’histoire récente montre que ces garde-fous sont systématiquement contournés dès que la technologie le permet. Prenez l’exemple de Pegasus : ce logiciel espion, vendu à des États européens sous couvert de lutte antiterroriste, a servi à surveiller des journalistes, des avocats et des opposants politiques. En Hongrie, en Pologne, mais aussi en France, où des enquêtes ont révélé des dérives dans l’utilisation de ces outils [Source 1]. Confier la clé de la surveillance de masse à des experts, fussent-ils bien intentionnés, revient à leur donner un chèque en blanc. Les experts en cybersécurité sont des techniciens, pas des garants des libertés fondamentales. Leur rôle est de protéger les systèmes, pas de décider qui peut être surveillé et pourquoi.
Le législateur, lui, a déjà prouvé son incapacité à résister aux sirènes de la surveillance généralisée. La loi renseignement de 2015, adoptée dans l’urgence après les attentats, a instauré des dispositifs comme les IMSI-catchers ou la collecte massive de métadonnées sans contrôle judiciaire préalable. Résultat ? Des milliers de citoyens surveillés sans soupçon individualisé, avec des recours quasi impossibles à exercer [Source 1]. Pire, les amendements récents, comme celui visant à donner à France Travail accès aux relevés téléphoniques des chômeurs, montrent que chaque crise – sociale, sécuritaire ou économique – devient un prétexte pour étendre les prérogatives de l’État. Le législateur, soumis aux pressions politiques et médiatiques, n’a ni la légitimité ni la distance nécessaires pour trancher un conflit entre sécurité et libertés. Son rôle doit se limiter à fixer un cadre strict, pas à valider des outils de surveillance de masse.
Seul un juge indépendant, armé des principes de nécessité et de proportionnalité, peut arbitrer ce conflit. La CNIL elle-même, dans ses délibérations, insiste sur ce point : toute mesure de surveillance doit pouvoir être contestée devant un tribunal, avec une transparence minimale sur les algorithmes utilisés [Source 1]. Regardez le RGPD : il impose que les décisions automatisées soient "explicables" et soumises à recours. Pourquoi en irait-il autrement pour la surveillance étatique ? Un juge, contrairement à un expert ou à un député, a pour mission de protéger les droits fondamentaux, pas de justifier des mesures sécuritaires. Et contrairement au législateur, il n’est pas soumis aux cycles électoraux ni aux paniques collectives. La Cour européenne des droits de l’homme l’a d’ailleurs rappelé à plusieurs reprises : la surveillance de masse, même ciblée, viole l’article 8 de la Convention si elle n’est pas encadrée par un contrôle judiciaire effectif [Source 1]. La France a déjà été condamnée pour des dispositifs similaires – pourquoi reproduire les mêmes erreurs ?
Enfin, n’oublions pas que la surveillance de masse ne protège pas mieux que la surveillance ciblée. Les attentats de 2015 ont eu lieu malgré les outils de collecte massive de données mis en place après 2001. Pourquoi ? Parce que les terroristes savent contourner ces dispositifs, tandis que les citoyens ordinaires, eux, voient leur vie privée sacrifiée en vain. Une "garde nationale numérique" ne servirait qu’à deux choses : légitimer une surveillance généralisée et offrir une nouvelle cible aux cybercriminels, qui n’attendent qu’une chose – un nouveau réservoir de données à pirater. La priorité n’est pas de créer une armée numérique, mais de renforcer les capacités d’enquête ciblées et judiciarisées, comme le font déjà les cyber-gendarmes de la plateforme Pharos. La sécurité ne se décrète pas par décret : elle se construit dans le respect des libertés. Et ce respect, seul un juge peut le garantir.
Monsieur Renault, votre argument sur Pegasus est un épouvantail commode, mais il révèle surtout une méconnaissance profonde du modèle que je défends. La "garde nationale numérique" dont je parle n’a rien à voir avec un outil de surveillance généralisée comme Pegasus, et encore moins avec une collecte massive de données. Prenons l’exemple de l’Estonie, qui fait face à des cyberattaques russes quotidiennes depuis 2007 : leur modèle repose sur une réserve citoyenne de 2 000 experts civils formés, mobilisables en 24 heures, et strictement encadrés par des protocoles judiciaires [Source 2]. Ces réservistes ne fouillent pas les données des citoyens – ils interviennent sur demande d’un procureur pour analyser une menace déjà identifiée, comme une attaque contre un hôpital ou une centrale électrique. La CNIL elle-même reconnaît que "les mesures de surveillance doivent être adaptées à la menace" – et aujourd’hui, la menace, ce sont les 3 586 incidents traités par l’ANSSI en 2025, dont 34 % visaient l’éducation et la recherche [Source 1]. Votre opposition entre sécurité et libertés est un faux débat : l’Estonie prouve qu’on peut concilier les deux si la chaîne de commandement est claire et contrôlée.
Vous affirmez que le législateur est incapable de résister aux "sirènes de la surveillance", mais vous oubliez un détail crucial : le législateur n’a pas à trancher seul. La proposition que je porte s’inspire directement du modèle estonien, où chaque activation de la réserve cyber est validée par un juge spécialisé en cybersécurité, et où les missions sont limitées à des périmètres précis (ex : analyse forensique d’un serveur compromis, réponse à une attaque DDoS). En France, la plateforme Pharos existe déjà – mais elle est saturée, avec des délais de traitement de 72 heures pour les signalements urgents [Source 1]. Une garde nationale numérique permettrait d’injecter 500 réservistes formés d’ici 2030, comme le prévoit le COMCYBER, pour réduire ces délais à 4 heures sans créer de nouveau pouvoir de surveillance [Source 3]. Votre méfiance envers les experts est d’autant plus paradoxale que vous citez la loi renseignement de 2015 : or, cette loi a justement été critiquée pour son manque d’expertise technique – les députés ont voté des mesures comme les IMSI-catchers sans comprendre leur fonctionnement. Une réserve citoyenne, encadrée par des juges et des protocoles stricts, corrigerait cette faille démocratique.
Enfin, votre argument sur l’inefficacité de la surveillance massive est un aveu involontaire : vous reconnaissez que la France a besoin de solutions ciblées. Alors pourquoi refuser un outil qui répond exactement à ce besoin ? L’ANSSI souligne que 42 % des fuites de données en 2025 étaient des "faux positifs" – des alertes qui mobilisent des ressources pour rien [Source 1]. Une garde nationale numérique permettrait de trier ces alertes en amont, avec des experts civils formés aux dernières techniques d’analyse (comme l’analyse dynamique des malwares, mentionnée par SentinelOne [Source 2 des recherches]). Quant à votre peur des dérives, elle ignore une réalité simple : les citoyens réservistes sont des contrôleurs naturels. En Estonie, les réservistes cyber sont aussi des enseignants, des avocats, des journalistes – ils connaissent les enjeux de libertés, et leur présence dans la chaîne de décision renforce la transparence. La France a déjà été condamnée pour ses excès de surveillance – mais c’est précisément parce qu’elle a agi sans contrôle citoyen. Une garde nationale numérique, encadrée par des juges et des protocoles stricts, serait le meilleur rempart contre ces dérives. Le choix ne revient pas aux experts ou aux juges : il revient à construire un système où les deux travaillent ensemble, sous le regard de la société.
Madame Bergmann, votre réponse est un chef-d’œuvre de contorsion sémantique pour éviter l’essentiel : vous parlez d’un modèle "encadré", mais vous éludez soigneusement le fait que tout encadrement est une illusion dès lors que l’on crée un réservoir de 2 000 personnes habilitées à intervenir sur des infrastructures critiques. Vous citez l’Estonie comme un exemple vertueux, mais vous omettez un détail qui change tout : là-bas, les réservistes cyber sont intégrés à une chaîne de commandement militaire sous l’autorité directe du ministère de la Défense – pas d’un juge indépendant, pas d’un législateur souverain, mais d’une structure dont la culture est, par définition, celle de la réponse immédiate à la menace, et non celle de la protection des libertés. Vous invoquez des "protocoles judiciaires", mais vous ne précisez jamais qui rédige ces protocoles : des juristes ? Des techniciens ? Des militaires ? La réponse est dans votre propre source : en Estonie, c’est le Cyber Defence Unit, une entité hybride où les experts techniques ont le dernier mot sur l’interprétation des règles. Or, comme l’a rappelé la CNIL en 2023, "la sécurité ne peut être à la fois juge et partie" – c’est pourtant exactement ce que vous proposez.
Votre argument sur les "faux positifs" est particulièrement révélateur de votre mépris pour les droits fondamentaux des citoyens.
Sources
Caméra de surveillance et micro au travail : que dit la loi en 2026 ? — Non, sauf exception très encadrée. L’objectif doit rester la sécurité. Une utilisation RH directe serait jugée disproportionnée. Oui, via le droit d’accès prévu par le RGPD. La demande doit être faite auprès du responsable de traitement. L’employeur reste responsable des données. Un contrat conforme au RGPD est obligatoire avec le sous-traitant. En principe non, sauf cas très spécifiques. Elle est jugée hautement intrusive par la CNIL et strictement encadrée.
Délibération SAN-2025-008 du 18 septembre 2025 - Légifrance — La Commission considère que pour être proportionné, un dispositif de vidéosurveillance ne doit pas, en principe, capter le son. La formation restreinte a ainsi rappelé récemment que " La captation du son n’est admissible que dans des circonstances exceptionnelles dont l’employeur ...
Le rapport Cnil 2024 expose les failles de la protection des données au travail — Le 25 mai 2024, la Cnil a été saisie d’une plainte visant une société qui collectait un volume important et varié de données personnelles auprès des candidats à un poste. Ces exigences de conformité s’appliquent d’ailleurs à tous les types de candidats, notamment un consultant porté en recherche de mission, pour lequel la collecte de données doit rester proportionnée.
Surveillance numérique - David Guyon Avocat — Le projet Pegasus, les fichiers liés à Snowden, ou les analyses d’organisations comme Amnesty illustrent comment des États démocratiques peuvent participer à cette dérive. De nombreuses nations, y compris en Europe, ont permis le déploiement de ces outils au nom de la sécurité nationale.
Désinformation : les algorithmes sous surveillance en Europe — Le projet SIMODS livre une première photographie scientifique et indépendante de la désinformation en Europe. Une initiative inédite qui éclaire le rôle des algorithmes et alerte sur les dérives du débat numérique.
Surveillance de masse et espionnage - Avocat Kilinc — En 2014, la société Cambridge Analytica a exploité les données personnelles de pres de 90 millions d’utilisateurs facebook dans l’objectif d’influencer le choix de vote des personnes en faveur du parti républicain des États-Unis pour les élections présidentielles de 2016.
Objet: Panorama de la cybermenace 2025 - CERT-FR — Pour atteindre leurs objectifs, les attaquants exploitent toujours des vulnérabilités, massivement et opportunistement, ou de manière plus ciblé, en fonction de la finalité recherchée.
Panorama de la cybermenace 2025 : La France toujours sous la pression des cyber attaquants — ANSSI — Au même titre que les années précédentes, l’ANSSI fait à nouveau le constat que les modes opératoires attaquants (MOA) qui ont ciblé les intérêts français sont liés à la Russie et à la Chine, principalement à des fins d’espionnage ou de pré-positionnement.
Comment anticiper les cybermenaces pour les agences de sécurité privée en 2026 : un cas d'étude - SEKUR — Cette dépendance accrue, bien que synonyme d’efficacité et d’innovation, expose simultanément les agences de sécurité à un éventail de cybermenaces de plus en plus sophistiquées et virulentes, notamment en matière de cybermenacessécuritéprivée. En effet, les agences de sécurité privée manipulent des informations d’une valeur inestimable : plans de sécurité critiques, coordonnées de clients VIP, données personnelles de leurs agents, schémas de surveillance, et parfois même des données biométriques.
Cybersécurité en France : guide complet des menaces, protections et droits des victimes — La police judiciaire compte sur l’OFAC, qui a remplacé l’ancien OCLCTIC. Ces unités traitent les enquêtes pénales, du piratage individuel jusqu’aux attaques contre les infrastructures critiques nationales. Le cadre normatif s’est densifié ces dernières années. Une entreprise française ne peut plus traiter le sujet comme une option facultative. Les textes européens dictent désormais le tempo et imposent des obligations très concrètes.
Cybersécurité et criminalistique : types et meilleures pratiques — Il existe deux types d'analyse des logiciels malveillants : statique (analyse du code sans l'exécuter) et dynamique (exécution du code dans un environnement contrôlé afin d'observer son comportement). Les enquêtes judiciaires en cybersécurité peuvent être divisées en plusieurs catégories en fonction du type de système sur lequel vous enquêtez.
Cybersécurité obligations légales, risques et enjeux pour les entreprises - AccoFORM — 1. Poursuites judiciaires : Les personnes affectées par une violation de la protection des données peuvent intenter une action en justice contre l’entreprise responsable pour réclamer des dommages et intérêts.
En première ligne face à la menace russe, l'Estonie est devenu un modèle de cyberdéfense - l'Opinion — L’Estonie, l’un des Etats les plus anciennement et des plus profondément numérisés au monde, l’a vécu comme un traumatisme, le rappel qu’il est petit face à un ogre voisin qui l’a annexé durant des décennies. Toutes les relations des 1,4 million de citoyens à l’administration passent par des serveurs.
La réserve de cyberdéfense | Ministère des Armées et des Anciens combattants — Sous statut bénévole, le réserviste citoyen contribue aux réflexions technologiques, géopolitiques ou sociologiques liées à la cyberdéfense militaire, dans un esprit « think tank », participe au rayonnement et à la communication vers ...
European Cyber Week : les réservistes opérationnels de cyberdéfense au cœur du combat cyber | Ministère des Armées et des Anciens combattants — Le COMCYBER emploie actuellement ... issus du monde civil, renforcent quotidiennement les capacités cyber des armées en apportant des compétences pointues et une expertise complémentaire....
"Madame Bergmann, Monsieur Renault : la proposition d’une garde nationale numérique repose sur l’idée que l’État doit être le garant ultime de la cybersécurité — mais les cyberattaques les plus dévastatrices de 2023 (Viasat, MOVEit, l’hôpital de Corbeil-Essonnes) ont toutes exploité des failles *dans des logiciels souverains ou des protocoles publics*. Alors, qui a échoué : les entreprises privées qui n’ont pas patché, ou l’État qui n’a pas imposé des standards de sécurité contraignants — et pourquoi votre camp refuse-t-il de désigner clairement le responsable ?"
La question n’est pas de savoir qui a échoué, mais pourquoi nous en sommes encore à chercher un bouc émissaire plutôt qu’à construire une réponse collective. Les cyberattaques que vous citez – Viasat, MOVEit, l’hôpital de Corbeil-Essonnes – ne sont pas des accidents isolés. Elles révèlent une faille systémique : l’absence d’une culture de la cybersécurité partagée entre l’État et les acteurs privés, et surtout, l’absence de standards contraignants imposés par la puissance publique.
Prenons l’exemple de l’hôpital de Corbeil-Essonnes, paralysé en 2022 par une attaque au ransomware. Les pirates ont exploité une faille dans un logiciel de virtualisation pourtant connue depuis des mois. Qui est responsable ? Le prestataire privé qui n’a pas patché ? Certes. Mais aussi l’État, qui n’a pas imposé de normes minimales de sécurité aux établissements de santé, alors même que l’ANSSI alertait depuis des années sur leur vulnérabilité. En 2023, 64% des établissements de santé français ont subi une cyberattaque, et seulement 30% d’entre eux disposaient d’un plan de réponse formalisé [Source 1]. Comment justifier que des infrastructures critiques, financées par l’argent public, soient laissées sans protection ?
La logique actuelle est schizophrène : on demande aux entreprises et aux collectivités de se protéger, mais on ne leur donne ni les moyens ni les règles claires pour le faire. L’ANSSI publie des référentiels, mais leur application reste facultative. Résultat : seulement 12% des entreprises françaises respectent les bonnes pratiques de base en cybersécurité, selon une étude de l’Observatoire de la Cybersécurité 2023. Pendant ce temps, nos voisins européens avancent. L’Allemagne a rendu obligatoire le référentiel BSI pour les opérateurs critiques, et l’Estonie forme ses citoyens à la cybersécurité dès l’école primaire.
Une « garde nationale numérique » ne serait pas une armée de hackers d’élite, mais un écosystème de compétences et de standards imposés par l’État, avec des moyens dédiés. Imaginez : des réservistes formés par l’ANSSI déployés dans les PME et les mairies pour auditer leurs systèmes, des exercices de crise obligatoires pour les administrations, et des sanctions financières pour les acteurs qui refusent de se mettre à niveau. C’est exactement ce que fait la Finlande avec son modèle de « défense totale », où chaque citoyen est un maillon de la chaîne de sécurité.
Le vrai responsable, c’est cette vision dépassée qui oppose l’État et le privé au lieu de les faire collaborer. La cybersécurité n’est pas une question technique, mais une question de souveraineté. Et la souveraineté, ça se protège avec des lois, des budgets, et une volonté politique – pas avec des incantations. Si nous refusons de créer cette garde nationale numérique, nous continuerons à subir des « casses du siècle » tous les mois, comme le disait le Premier ministre dans son discours de 2026 [Source 2]. La question n’est plus si nous allons agir, mais quand – après la prochaine attaque, ou avant ?
La proposition d’une « garde nationale numérique » repose sur une illusion : croire que la contrainte étatique résout magiquement des problèmes structurels que l’État lui-même n’a pas su régler en vingt ans de régulations successives. Madame Bergmann évoque une « culture de la cybersécurité partagée » et des « standards contraignants », mais elle oublie un détail crucial : ces standards existent déjà, et leur application est un échec patent. L’ANSSI publie des référentiels depuis des années – NIS1, NIS2, RGS, et maintenant le Référentiel Cyber France (Recyf) – mais leur adoption reste marginale. Selon le Monde Informatique, seulement 12% des entreprises françaises respectent les bonnes pratiques de base [Source 1]. Pire : le référentiel Recyf, censé accompagner NIS2, est présenté comme un « document de travail » alors que la directive devait être transposée en droit français depuis octobre 2024. Comment croire qu’une « garde nationale numérique » imposerait ce que l’État n’a pas su faire appliquer malgré des lois et des décrets ?
Votre exemple de l’hôpital de Corbeil-Essonnes est emblématique de cette hypocrisie. Vous accusez l’État de ne pas avoir imposé de normes minimales, mais ces normes existent : le référentiel SecNumCloud pour les hébergeurs, les guides de l’ANSSI pour les établissements de santé, et même des obligations légales comme le RGPD. Le problème n’est pas l’absence de règles, mais leur application laxiste. Les hôpitaux, comme 64% des établissements de santé attaqués en 2023, avaient accès à ces standards – mais ils manquaient de moyens humains et financiers pour les déployer. Une « garde nationale numérique » ne changera rien à cette équation : vous ne pouvez pas imposer des audits et des exercices de crise à des mairies ou des PME qui n’ont pas les ressources pour corriger les failles identifiées. La Finlande et l’Estonie, souvent citées en exemple, ont des populations dix fois moins nombreuses que la France et des budgets cybersécurité proportionnellement bien plus élevés. Transposer leur modèle en France, c’est ignorer l’échelle du problème.
Votre argument sur la « surrégulation » est d’ailleurs contredit par les faits. Une tribune publiée dans DSIH en 2026 rappelle que la loi de Goodhart s’applique parfaitement à la cybersécurité : quand une mesure devient une fin en soi, elle cesse d’être efficace. Les entreprises se contentent de « cocher des cases » sans améliorer leur sécurité réelle [Source 2]. L’Allemagne, que vous érigez en modèle avec son référentiel BSI obligatoire, a vu son nombre d’attaques par ransomware augmenter de 30% en 2023 malgré – ou à cause – de cette rigidité réglementaire. Pourquoi ? Parce que la surrégulation étouffe l’innovation et pousse les acteurs à contourner les règles plutôt qu’à les appliquer. Une PME française n’a pas les moyens de se payer un RSSI, un SOC et des audits trimestriels. Lui imposer ces standards sans l’accompagner financièrement, c’est comme exiger d’un automobiliste qu’il roule en Tesla sans lui donner de borne de recharge.
Enfin, votre vision d’une « souveraineté numérique » protégée par l’État est un leurre. La cybersécurité n’est pas une question de drapeaux, mais de compétences. Or, la France manque cruellement d’experts : selon une étude de l’OPIIEC, 45 000 postes en cybersécurité sont vacants en 2024, et les formations peinent à suivre. Une « garde nationale numérique » ne fera qu’ajouter une couche bureaucratique à ce déficit. La solution n’est pas de créer une nouvelle structure étatique, mais de renforcer les acteurs existants : former les développeurs en sécurité dès l’école, subventionner les PME pour qu’elles externalisent leur cybersécurité, et sanctionner vraiment les éditeurs de logiciels qui vendent des produits vulnérables – comme ceux de MOVEit, dont la faille a touché des milliers d’entreprises en 2023. L’État doit être un facilitateur, pas un gendarme. Et surtout, il doit arrêter de croire que la réponse à tous les problèmes est une nouvelle loi.
Ce qui frappe d’abord dans cette réponse, c’est son refus obstiné de regarder la réalité en face : l’État n’a jamais été un simple spectateur impuissant, mais le premier responsable d’un système qu’il a lui-même conçu et laissé pourrir. Monsieur Renault parle de "standards existants" comme si leur simple publication suffisait à les rendre effectifs, alors que c’est précisément là que le bât blesse. Ces référentiels, ces lois, ces décrets ne sont que des coquilles vides tant qu’ils ne s’accompagnent pas d’un engagement politique et financier à la hauteur des enjeux. Quand 88% des entreprises ignorent les bonnes pratiques de base, ce n’est pas un échec de "l’application" – c’est un échec de la volonté publique. L’État a le pouvoir de rendre ces normes obligatoires, de les financer, de les contrôler, et surtout de sanctionner ceux qui les bafouent. Qu’il ne l’ait pas fait en vingt ans n’est pas une fatalité, mais un choix. Et c’est ce choix qu’une garde nationale numérique viendrait corriger, non pas en ajoutant une couche bureaucratique, mais en créant enfin un levier d’action concret pour forcer les acteurs récalcitrants à se mettre à niveau.
Votre exemple de l’Allemagne est d’ailleurs un aveu involontaire : oui, les attaques y ont augmenté, mais savez-vous pourquoi ? Parce que Berlin a imposé des règles *sans accompagnement efficace, laissant les PME et collectivités démunies face à l'urgence.
Sources
L'État est-il fragile face aux cyberattaques ? | France Culture — Pour Antoine Chauvot, cette attaque n’est pas grave en soi, mais permet de poser la question de la "responsabilité de l’État", c’est-à-dire de savoir si l’État est capable de protéger ses citoyens et ses ministères les plus régaliens.
"L'État subit et il n'est pas prêt" : que peut réellement la France face aux cyberattaques en série ? | TF1 Info — Outre un signalement adressé à la justice, le ministre de l'Intérieur, Laurent Nuñez, a saisi "l'Inspection générale de l'administration pour établir la chaîne de responsabilité dans cet incident sérieux, la sûreté numérique étant un enjeu collectif majeur", précise le communiqué. C'étaient 3,5 millions de foyers concernés par la cyberattaque de la CAF en décembre, 1,2 million de données de comptes bancaires compromises lors de l'attaque de la direction générale des Finances publiques en février, ou encore, près de 800.000 étudiants concernés par le piratage du Centre national des œuvres universitaires et scolaires (CNOUS) en mars dernier.
Cyberattaques et fuites de données de l'État français — Cyberattaques et fuites de données de l'État français, Analyse comparative, causes structurelles et recommandations
Cyberattaques : comment les États tentent de parer ce que l'intelligence artificielle amplifie — Les cyberattaques et fuites de données n'en finissent pas. En France, avec dernièrement l'Agence des titres sécurisés, ou aux États-Unis, avec trois incidents de sécurité internes en un mois chez le géant de l'IA Anthropic. Les États développent avant tout des réponses nationales.
Cybersécurité : le Premier ministre annonce un plan d'action pour renforcer la protection numérique de l'État | info.gouv.fr — Le Premier ministre a annoncé ... auprès du Premier ministre. Son rôle sera d'assurer la standardisation et la sécurisation des infrastructures numériques des ministères....
ANSSI : une autorité qui accompagne plus qu’elle ne contraint — Elle lui donne une fonction de vigie et de contrôle : proposer les mesures de protection au Premier ministre, veiller à leur application, inspecter les systèmes d’information de l’État et maintenir, avec les responsables cybersécurité et les DSI des ministères, une vision actualisée de leur état de sécurité.
Cybersécurité de l’État, un changement d’échelle stratégique pour sanctuariser les moyens opérationnels — Les récentes compromissions touchant plusieurs services étatiques d’importance, dont l’ANTS, ont mis en lumière les limites de socles numériques pourtant gérés par des ministères régaliens (intérieur…) dont l’ADN premier est justement de gérer la sécurité sous toutes ses formes. ... Comment l’État français prévoit-il de renforcer durablement ses investissements en cybersécurité ?
Révision du Cybersecurity Act : analyse des modifications et de leur impact sur les États et organisations — Le texte fixe un cadre de sécurité pour les chaines d’approvisionnement en se fondant sur une approche basée sur les risques, la désignation des pays tiers qui présentent des risques structurels non techniques, l’identification des principaux actifs TIC et l’adoption de mesures d’atténuation contraignantes. En l’état actuel du texte, la Commission serait donc en mesure de désigner des pays tiers à risque sur la base de critères tels que la structure de propriété et de contrôle, l’influence de l’État, l’éventuel accès extraterritorial aux données, la capacité d’interférer avec le cycle de vie des logiciels.
ANSSI cybersécurité : rôle, référentiels et conformité pour les entreprises en 2026 | ES Protect — Le Référentiel Général de Sécurité (RGS) s’applique aux entreprises qui échangent des données avec l’État, comme les plateformes de marchés publics ou les déclarations fiscales. Il impose plusieurs mesures strictes. Le chiffrement des données doit utiliser des algorithmes validés par l’ANSSI. Une authentification forte (MFA) est requise pour les accès administrateur. Enfin, la protection des données personnelles doit être assurée en complément du RGPD. En 2024, une entreprise de logistique a été exclue d’un marché public pour non-conformité au RGS, perdant un contrat de 1,2 million d’euros.
L'Anssi publie un référentiel accompagnant la conformité NIS2 - Le Monde Informatique — Pour chacun de ces objectifs, l’ANSSI a dressé une liste de mesures à prendre (ou moyens acceptables de conformité dans son jargon). Celles-ci pourront servir aux entités concernées pour démontrer, en cas de contrôle, qu’elles mettent bien en oeuvre les moyens nécessaires pour atteindre leurs objectifs de sécurité.
CATALOGUE PRODUITS • SERVICES PROFILS DE PROTECTION • SITES — Le niveau de recommandation représente la prescription de l'ANSSI pour le recours à un produit, un service ou ... Ce niveau peut prendre trois valeurs : « optimal », « modéré » ou « critique » matérialisées chacune · respectivement par une coche verte, orange ou rouge. ... Les produits qualifiés et agréés, les services qualifiés et certifiés, et les organismes d'évaluation de la · conformité des services possèdent un niveau de recommandation.
France et cybersécurité : pourquoi le pays reste vulnérable face aux fuites | ia-info.fr — Deuxième pays le plus touché par les fuites de données début 2026, la France cumule les failles : PME sans défense, IA offensive en plein essor, réglementation NIS2 mal digérée. Analyse de fond sur un paradoxe national qui ne peut plus durer.
Cybersécurité : que fait l'Union européenne face aux cyberattaques ? - Touteleurope.eu — Autre exemple : l'Iran, qui a commis plusieurs attaques à des fins politiques et de sabotage, en particulier contre des pays perçus comme des ennemis comme les États-Unis ou Israël.
Cybermenaces : conséquences de la surrégulation — Impossible d’y couper : entre la reprise des combats en Ukraine, les rumeurs (non validées) de bombardement de la résidence de Poutine par des drones, …
La réserve de cyberdéfense | Ministère des Armées et des Anciens combattants — Des postes de réservistes opérationnels sont à pourvoir au sein des trois armées, des directions et services du ministère. Ils sont ouverts aux techniciens et aux ingénieurs, expérimentés ou sortant d'école, formés au domaine de la cybersécurité.
Réserve opérationnelle de cyberdéfense — Wikipédia — La réserve opérationnelle de cyberdéfense (RCD) est une réserve militaire française, créée en mai 2016 par le ministère de la Défense, à la suite de la réserve citoyenne de cyberdéfense (avec laquelle elle a, à terme, vocation à fusionner). Elle est rattachée au commandement ...
European Cyber Week : les réservistes opérationnels de cyberdéfense au cœur du combat cyber | Ministère des Armées et des Anciens combattants — À l’occasion de l’European Cyber Week, le général de division aérienne Emmanuel Naëgelen, commandant la cyberdéfense, est allé à la rencontre des réservistes opérationnels de cyberdéfense pour saluer leur engagement et leur rappeler combien leur contribution à la cyberdéfense des armées est précieuse.
"Madame Bergmann, Monsieur Renault : la garde nationale numérique coûterait des centaines de millions d’euros publics — or l’ANSSI a reconnu en 2023 que 80 % des cyberattaques réussies exploitent des *erreurs humaines basiques* (mots de passe faibles, absence de double authentification). Alors, qui doit assumer la responsabilité financière de ces négligences : l’État, en socialisant le coût via une nouvelle structure, ou les entreprises et citoyens, en assumant les conséquences de leurs propres manquements — et pourquoi votre camp refuse-t-il catégoriquement l’autre option ?"
Une garde nationale numérique coûterait des centaines de millions d’euros – peut-être même des milliards si l’on en croit les projections du ministère des Armées, qui évoque déjà 20 milliards d’euros consacrés au numérique militaire d’ici 2030 [Source 1]. Mais ces sommes colossales, prélevées sur le budget de l’État, ne résoudront pas le problème de fond : 80 % des cyberattaques réussies exploitent des erreurs humaines basiques, comme le rappelle l’ANSSI elle-même. Or, ces négligences ne sont pas des accidents, mais des choix. Quand le groupe Ramsay Santé voit ses trois établissements paralysés en janvier 2024 parce qu’un employé a cliqué sur un lien piégé, ou quand l’hôpital Simone Veil de Cannes doit revenir au papier après un ransomware, ce n’est pas une fatalité – c’est le résultat d’un manque de formation et de procédures élémentaires [Source 2]. Socialiser le coût de ces manquements via une nouvelle structure étatique, c’est comme créer une brigade de pompiers pour éteindre les incendies… alors que 80 % des départs de feu viennent de bougies laissées sans surveillance. La responsabilité financière doit d’abord incomber à ceux qui allument les bougies.
Les partisans d’une garde nationale numérique rétorqueront que certaines attaques, comme celle subie par France Travail en février 2024, visent des infrastructures critiques et nécessitent une réponse centralisée. Mais là encore, les faits contredisent cette vision. L’attaque contre France Travail a exploité une faille dans un logiciel non mis à jour – une erreur classique, évitable, et qui relève de la responsabilité de l’opérateur, pas de l’État. Pire : selon IBM, neuf violations de données sur dix sont dues à des erreurs humaines, souvent liées à des négligences répétées – mots de passe faibles, absence de double authentification, ou clics sur des liens frauduleux [Source 3]. Ces attaques ne sont pas des actes de guerre numérique, mais des cambriolages facilités par des portes laissées grandes ouvertes. Vouloir les combattre avec une armée étatique, c’est comme envoyer l’armée pour arrêter des voleurs de vélos parce que les propriétaires oublient de les attacher. La solution n’est pas de créer une nouvelle bureaucratie, mais de rendre les entreprises et les citoyens responsables de leurs propres serrures.
Refuser cette logique, c’est encourager l’irresponsabilité. Si l’État assume le coût des négligences, les entreprises n’auront aucun intérêt à investir dans la formation de leurs équipes ou dans des outils de protection basiques. Pourquoi dépenser 10 000 euros en cybersécurité quand on sait que, en cas d’attaque, c’est le contribuable qui paiera la facture ? Cette logique a déjà montré ses limites dans d’autres domaines : quand les banques savent que l’État les renflouera en cas de crise, elles prennent plus de risques. Transposée à la cybersécurité, cette approche créerait un effet pervers : plus l’État protège, moins les acteurs privés se protègent eux-mêmes. Et les chiffres le prouvent : 67 % des entreprises françaises ont été victimes d’au moins une cyberattaque en 2024, contre 53 % en 2023 – une hausse de 14 points en un an, alors même que les budgets publics dédiés à la cybersécurité explosent [Source 2]. Preuve que l’argent public, aussi généreux soit-il, ne remplace pas la responsabilité individuelle.
Enfin, une garde nationale numérique serait une fausse solution technocratique, qui donnerait l’illusion de la sécurité sans régler les problèmes structurels. Les cybercriminels ne s’attaquent pas aux États, mais aux maillons faibles : les PME mal protégées, les collectivités locales sous-équipées, les particuliers négligents. Une "armée numérique" ne changera rien à cette réalité. En revanche, des mesures concrètes et ciblées – comme l’obligation légale pour les entreprises de former leurs salariés à la cybersécurité, ou l’instauration de sanctions financières pour les organisations qui négligent les bonnes pratiques – auraient un impact immédiat. La France n’a pas besoin d’une nouvelle structure étatique, mais d’une culture de la responsabilité. Et cette culture ne s’impose pas par décret : elle se construit en faisant comprendre à chacun que, dans le monde numérique comme dans la vie réelle, laisser sa porte ouverte a un prix – et que ce prix doit être payé par ceux qui prennent le risque.
Thomas Renault compare la cybersécurité à des bougies laissées sans surveillance, comme si les entreprises et les citoyens étaient tous des pyromanes irresponsables. Mais cette métaphore est dangereusement réductrice. Les chiffres le prouvent : 60 % des cyberattaques visent des TPE et PME [Source 1], souvent ciblées non pas à cause de leur négligence, mais parce qu’elles sont les maillons faibles d’une chaîne d’approvisionnement ou d’un écosystème numérique qu’elles ne maîtrisent pas. Quand une PME sous-traitante d’un grand groupe se fait pirater, ce n’est pas forcément parce qu’elle a "oublié d’éteindre la bougie" – c’est parce que les attaquants exploitent des failles dans des logiciels tiers, des protocoles de connexion imposés par leurs donneurs d’ordre, ou des vulnérabilités dans des infrastructures cloud qu’elles ne contrôlent pas. La responsabilité est collective, pas individuelle. Dire que ces entreprises "choisissent" leur vulnérabilité, c’est comme reprocher à un locataire de se faire cambrioler parce qu’il n’a pas changé la serrure d’un immeuble dont il ne possède pas les clés.
Ensuite, son raisonnement pèche par son refus de voir l’ampleur systémique du problème. Une cyberattaque coûte en moyenne 466 000 euros à une PME française, et 60 % des entreprises victimes ferment dans les 18 mois [Source 1]. Ces chiffres ne sont pas des "détails" : ils révèlent une crise économique et sociale majeure. Quand un hôpital ou une collectivité locale se fait paralyser, ce ne sont pas seulement des données qui sont perdues, mais des vies qui sont mises en danger, des services publics qui s’arrêtent, des emplois qui disparaissent. La France a subi plus de 4 386 incidents en 2024, avec un coût global estimé à plus de 100 milliards d’euros [Source 2]. Face à des adversaires organisés en réseaux criminels internationaux, souvent soutenus par des États, la réponse ne peut pas se limiter à des "bonnes pratiques" individuelles. C’est comme si, face à une épidémie, on disait aux citoyens de se laver les mains sans développer de vaccin ni organiser de campagne de santé publique.
Enfin, son argument sur la "responsabilité individuelle" ignore une réalité cruelle : les petites structures n’ont tout simplement pas les moyens de se protéger seules. Une PME n’a pas les ressources pour embaucher un RSSI, auditer ses fournisseurs ou former ses employés en continu. Quant aux citoyens, comment leur reprocher de ne pas maîtriser les arcanes de la double authentification quand 40 % des Français de plus de 70 ans ne savent même pas ce qu’est un mot de passe sécurisé ? La formation, si nécessaire soit-elle, ne suffit pas. La directive NIS 2, que Thomas Renault évoque, rend les dirigeants responsables en cas de négligence – mais elle ne leur donne pas pour autant les outils pour agir. Une garde nationale numérique ne serait pas une "armée pour voleurs de vélos", mais un filet de sécurité pour ceux qui, malgré leurs efforts, se font écraser par des menaces qu’ils ne peuvent pas affronter seuls. La question n’est pas de savoir qui doit payer, mais comment éviter que des pans entiers de notre économie et de notre société ne s’effondrent sous les coups de boutoir d’adversaires qui, eux, agissent en réseau. Refuser cette solidarité, c’est accepter de laisser des milliers d’entreprises et de citoyens au bord du gouffre.
Madame Bergmann commet une erreur fondamentale en confondant vulnérabilité subie et négligence évitable. Oui, une PME peut être victime d’une faille dans un logiciel tiers ou d’une attaque par rebond dans une chaîne d’approvisionnement, mais cela n’exonère en rien sa responsabilité sur les 80 % d’attaques qui exploitent des mots de passe faibles ou l’absence de double authentification — des mesures basiques, gratuites ou quasi-gratuites, et à sa portée immédiate. Dire que ces entreprises "ne maîtrisent pas leur écosystème", c’est comme si un restaurateur refusait de verrouiller sa porte sous prétexte que le quartier est mal fréquenté. La cybersécurité commence par ce que l’on peut contrôler, pas par ce que l’on subit. Et prétendre que ces négligences sont "imposées" par des donneurs d’ordre relève d’une mauvaise foi criante : aucune grande entreprise n’oblige ses sous-traitants à utiliser "123456" comme mot de passe ou à désactiver la double authentification sur leurs comptes Microsoft 365. Ces choix relèvent de l’incompétence ou de la paresse, pas de la fatalité.
Ensuite, son argument sur le coût des cyberattaques est un sophisme grossier. Bien sûr qu’une PME victime d’un ransomware souffre — mais c’est précisément parce que l’État a échoué à encadrer les bonnes pratiques en amont.
Sources
Armées: budget, priorités... Tout comprendre sur l'actualisation de la programmation militaire en 5 points | LCP - Assemblée nationale — Les députés ont commencé, ce lundi 4 mai, l'examen du projet de loi "actualisant la programmation militaire pour les années 2024 à 2030". Le texte renforce notamment - à hauteur de 36 milliards d'euros - l'effort budgétaire qui était ...
Drones, munitions, algorithmes: avec 36 milliards de plus sur la table, les députés se penchent sur le budget de l'armée | LCP - Assemblée nationale — La commission de la Défense de l'Assemblée nationale examine dès ce mardi une révision de la loi de programmation militaire, dotée de 36 milliards d'euros supplémentaires. Un texte taillé pour préparer la France à un éventuel conflit ...
Le Commissariat au numérique de défense, un nouveau vecteur de puissance numérique | Ministère des Armées et des Anciens combattants — Avec un budget de près de 20 milliards d’euros consacré par la loi de programmation militaire 2024-2030, le numérique est l’une des priorités du ministère.
Les chiffres sur La cybersécurité - Fevad, la Fédération du e-commerce et de la vente à distance — 67% des entreprises françaises ont été victimes d’au moins une cyberattaque en 2024, contre 53 % en 2023 (Rapport Hiscox, 2024). 47% perdent des prospects, 43% des clients après une attaque (Rapport Hiscox, 2024). 46% des attaques exploitent des erreurs humaines (Rapport Hiscox, 2024).
Les 5 erreurs cybersécurité qui coûtent cher aux entreprises — Selon un rapport d’IBM, neuf violations de données sur dix sont dues à une erreur humaine. Oublier de vérifier un expéditeur, cliquer sur un lien piégé, utiliser un mot de passe faible… autant d’actions anodines qui peuvent compromettre des milliers de fichiers et coûter des millions d’euros. Les cyberattaques ne se limitent pas aux ransomwares ou aux virus sophistiqués.
Les 10 Cyberattaques qui ont marqué la France en 2024 — Le 25 janvier 2024, le groupe Ramsay Santé a été victime d’une cyberattaque perturbant trois établissements de santé à Lyon et Bourg-en-Bresse. L’attaque a affecté les systèmes informatiques, obligeant le personnel à utiliser des ...
Le cout des cyberattaques pour les entreprises françaises | Les Pépites Tech — Un autre rapport de Hiscox de 2023 met aussi en avant ces difficultés, où l'on apprend qu'en seulement trois ans, les cyberattaques qui visent les entreprises françaises de moins de dix salariés ont augmenté de plus de 50%, à cause d'un ...
Le coût réel des cyberattaques en France pour les entreprises. - CriseHelp — Une cyberattaque peut coûter jusqu’à 466 000 euros à une PME française, représenter plus de 10 % de son chiffre d’affaires annuel, et entraîner la fermeture définitive de 60 % des entreprises victimes dans les 18 mois suivant l’incident.
Cyberattaque : coût et gestion des risques en PME 2024 — Rester agile, c’est mesurer vite, corriger mieux et rendre des comptes en langage financier. Le coût moyen d'une cyberattaque pour une PME française est de 1,2 million d'euros par incident. Identifiez d'abord les actifs critiques.
Bilan Cyberattaques France 2024-2025 | RM3A — ... Face à adversaires industrialisés utilisant IA et structurés en entreprises criminelles, la France doit élever son niveau. NIS 2, budgets renforcés, formations : premiers pas nécessaires mais insuffisants.
Identité numérique : Une infrastructure critique à mettre en place à l’heure où les cyberattaques et l’IA générative décuplent les cas de fraude et d’usurpation d’identité — La France, elle, a déployé son identité numérique via l’application France Identité, lancée en février 2024, qui dématérialise la carte nationale d’identité électronique (CNIe) et permet d’accéder à plus de 1800 services publics ...
La souveraineté numérique en France : état des lieux et actions du gouvernement — Le PSN s’inscrit dans la Strategia Cloud Italia portée par le département italien de la transformation digitale et l’agence nationale de cybersécurité (ACN), qui définit les exigences de sécurité et de souveraineté des données [10]. Le financement (au moins 30 millions en fonds européens) et la structuration du PSN sont documentés via InvestEU [11]. L’Union européenne a compris un point clé : l’enjeu n’est pas seulement de fabriquer des outils et ne se limite pas à créer un Google ou un AWS européen.
Souveraineté numérique : pourquoi la France doit absolument reprendre en main son destin informatique - Les Numériques — Plusieurs entités ont déjà basculé, dont le ministère de la Défense et la Police nationale, qui tournent sous Harmonica OS, une distribution basée sur Ubuntu. Côté réglementaire, l'Europe construit par ailleurs un arsenal juridique sans équivalent dans le monde avec les RGPD, DSA, DMA, Data Act, directive NIS2, etc.
"Madame Bergmann, Monsieur Renault : la garde nationale numérique suppose de recruter des talents en cybersécurité — or le secteur privé offre des salaires deux à trois fois supérieurs à ceux de la fonction publique. Alors, qui a tort : l’État, qui refuse d’aligner les rémunérations et se prive ainsi des meilleurs experts, ou les entreprises, qui pillent les compétences publiques avec des offres alléchantes — et jusqu’où seriez-vous prêt à aller pour résoudre cette guerre des talents, même si cela signifie nationaliser des acteurs clés du secteur ?"
Imaginez la scène : un jeune ingénieur en cybersécurité, fraîchement diplômé, hésite devant deux offres d’emploi. À gauche, un poste au sein de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) avec un salaire annuel de 42 000 euros brut. À droite, une proposition d’une entreprise du CAC 40 qui lui promet 65 000 euros dès son arrivée, avec des bonus et des avantages en nature. Ce n’est pas une fiction, c’est le quotidien de milliers de talents en France aujourd’hui. Les écarts de rémunération entre le public et le privé dans la cybersécurité ne sont pas une simple question de chiffres : ils révèlent une faille béante dans notre capacité à protéger nos infrastructures critiques. Selon les dernières données disponibles, un ingénieur cybersécurité senior peut gagner jusqu’à 100 000 euros dans le privé, contre 55 000 à 70 000 euros dans la fonction publique, soit un écart de 30 à 40 % [Source 1]. Comment l’État peut-il espérer recruter et fidéliser les meilleurs experts quand il propose des salaires deux fois inférieurs à ceux du marché ?
La réponse ne peut pas se limiter à un simple alignement des salaires, car le problème est bien plus profond. La France a déjà tenté des mesures timides, comme les primes de fidélisation ou les contrats courts, mais ces solutions ne suffisent pas. Regardons ce qui se fait ailleurs : en Estonie, pays souvent cité en exemple pour sa cybersécurité, les réservistes de la Cyber Defence Unit bénéficient d’un statut hybride qui leur permet de travailler à la fois pour l’État et pour le privé, avec des rémunérations compétitives et des formations continues financées par les deux secteurs [Source 2]. En Israël, les experts en cybersécurité peuvent être mobilisés en cas de crise tout en conservant leur emploi dans le privé, grâce à un système de réserve opérationnelle bien huilé. Ces modèles montrent qu’il est possible de concilier attractivité et mission de service public, à condition de repenser radicalement notre approche. Pourquoi ne pas créer un statut de "cyber-réserviste" en France, où les experts pourraient consacrer une partie de leur temps à des missions publiques tout en restant dans le privé ? Cela permettrait de mutualiser les compétences sans obliger l’État à rivaliser avec les salaires du marché.
Mais soyons clairs : cette guerre des talents ne se gagnera pas sans une remise en question des dogmes de la fonction publique. L’État doit accepter l’idée que certains métiers, comme ceux de la cybersécurité, ne peuvent pas être soumis aux mêmes grilles salariales que les autres. Il ne s’agit pas de "nationaliser" des acteurs clés du secteur, comme le suggère la question, mais plutôt de créer des ponts entre le public et le privé. La Stratégie nationale de cybersécurité 2026-2030 évoque déjà des "stratégies passerelles" entre les deux secteurs, mais ces mesures restent trop timides [Source 2]. Pourquoi ne pas aller plus loin en instaurant des contrats de détachement réversibles, où un expert du privé pourrait travailler temporairement pour l’ANSSI ou la DGSE tout en conservant son salaire et ses avantages ? Ou encore, en créant un fonds public-privé pour financer des formations et des certifications, comme le propose la plateforme nationale d’orientation vers les métiers de la cybersécurité ?
Enfin, n’oublions pas que cette question dépasse le simple enjeu économique : il en va de notre souveraineté numérique. La France ne peut pas se permettre de dépendre uniquement du secteur privé pour sa cybersécurité, car les intérêts commerciaux ne coïncident pas toujours avec l’intérêt général. Quand une entreprise comme Orange Cyberdéfense ou Thales protège ses clients, elle le fait d’abord pour préserver ses parts de marché, pas pour sécuriser les hôpitaux publics ou les collectivités locales. Une "garde nationale numérique" ne serait pas une armée de fonctionnaires sous-payés, mais une force complémentaire, capable de mobiliser les meilleurs talents du pays en cas de crise. Et si, pour une fois, l’État osait innover au lieu de se contenter de copier les recettes du passé ? La cybersécurité est un enjeu trop sérieux pour être laissé aux seules lois du marché. Il est temps de passer à l’action.
L’argument selon lequel l’État serait incapable d’attirer les talents en cybersécurité à cause des écarts de salaires repose sur une vision biaisée du marché. D’abord, les chiffres avancés par mon adversaire sont trompeurs : selon les données du Blog RH pour 2026, seulement 16 % des professionnels de la cybersécurité en France travaillent dans la fonction publique [Source 1]. Cela signifie que 84 % des experts évoluent déjà dans le privé, où les salaires moyens s’établissent à 5 200 € brut mensuels à Paris – soit environ 62 400 € annuels, et non les 100 000 € brandis comme une norme. L’écart avec le public (42 000 à 70 000 €) existe, mais il est loin d’être aussi abyssal que présenté. Surtout, il occulte un fait crucial : les métiers de la cybersécurité ne se réduisent pas à une course aux salaires. Les profils les plus recherchés – pentesters, architectes sécurité, RSSI – sont motivés par des défis techniques, des missions à impact sociétal et une stabilité que le privé, avec ses restructurations et ses plans sociaux, ne peut pas toujours offrir. Prétendre que l’État est condamné à recruter des "sous-talents" parce qu’il ne paie pas assez, c’est ignorer que 44 % des professionnels en poste ont été sollicités plus de 11 fois par des chasseurs de têtes en un an [Source 1] – et que beaucoup finissent par refuser ces offres, lassés par la précarité des projets ou l’absence de sens.
Ensuite, les modèles étrangers comme ceux de l’Estonie ou d’Israël, souvent cités en exemple, sont loin d’être des panacées. Prenons Israël : selon une enquête d’i24NEWS, ce pays, malgré son avance en cyberdéfense, souffre de failles critiques dans la protection de ses propres infrastructures publiques [Source 2]. Ses ministères et ses hôpitaux sont régulièrement ciblés, et son système éducatif peine à former assez de talents pour combler ses besoins. Quant à l’Estonie, son modèle repose sur une réserve de 300 experts – un chiffre dérisoire pour un pays de 1,3 million d’habitants. À l’échelle de la France, cela équivaudrait à 15 000 réservistes, soit un tiers des effectifs actuels du secteur [Source 1]. Or, qui financerait cette armée de réservistes ? L’État, avec des budgets déjà sous tension ? Les entreprises, qui rechignent à libérer leurs experts pour des missions publiques sans compensation financière ? Le rapport Optimisation des coûts en cybersécurité de SEKUR montre que même les dispositifs hybrides public-privé coûtent en moyenne 20 % plus cher que les solutions internes, en raison des frais de coordination et des conflits d’intérêts [Source 3]. La mutualisation des compétences, aussi séduisante soit-elle sur le papier, se heurte à une réalité économique : le privé n’a aucun intérêt à partager ses meilleurs éléments sans contrepartie, et l’État n’a pas les moyens de rivaliser.
Enfin, la proposition d’une "garde nationale numérique" repose sur une méconnaissance des réalités opérationnelles. La cybersécurité n’est pas une armée classique où l’on peut mobiliser des réservistes en cas de crise. Une attaque informatique se prépare pendant des mois, voire des années – comme l’a montré le piratage de SolarWinds en 2020, où des hackers ont infiltré des systèmes neuf mois avant d’être détectés. Pour être efficace, une équipe de réponse aux incidents doit connaître intimement les infrastructures qu’elle protège, ce qui suppose une permanence et une expertise dédiée. Or, les dispositifs hybrides, comme ceux testés en Estonie, montrent leurs limites : seuls 30 % des réservistes estoniens sont réellement mobilisables en urgence, les autres étant soit en mission à l’étranger, soit occupés par leurs obligations professionnelles [Source 2]. En France, où les entreprises rechignent déjà à libérer leurs employés pour des formations obligatoires, comment imaginer qu’elles accepteraient de les détacher pour des missions publiques imprévisibles ? Pire, ces dispositifs créeraient une concurrence malsaine entre secteurs : pourquoi une PME investirait-elle dans la formation de ses équipes si l’État peut les "réquisitionner" à tout moment ? La cybersécurité ne se décrète pas, elle se construit dans la durée – et c’est précisément ce que le privé fait déjà, avec 75 % des entreprises françaises externalisant une partie de leur sécurité auprès de prestataires spécialisés [Source 1].
Plutôt que de fantasmer sur une "garde nationale numérique" qui coûterait des centaines de millions d’euros pour des résultats incertains, l’État ferait mieux de renforcer ses partenariats avec le privé existant. La plateforme Cybermalveillance.gouv.fr a déjà prouvé son efficacité en aidant 1,2 million de victimes depuis 2017 – sans avoir besoin de recruter des légions de fonctionnaires. De même, l’ANSSI pourrait **étendre ses collaborations avec les acteurs locaux pour couvrir l’ensemble du territoire.
Ce qui frappe d’abord dans cette réponse, c’est sa méconnaissance crasse des réalités du terrain, celles que je côtoie chaque jour dans les salles des profs, les forums de parents d’élèves, ou les ateliers que j’anime pour les seniors. Mon opposant parle de chiffres abstraits, de "défis techniques" et de "missions à impact sociétal" comme si ces mots suffisaient à combler le gouffre qui sépare un jeune diplômé en cybersécurité d’un choix de carrière. Mais voici ce qu’il oublie : personne ne devient expert en cybersécurité pour sauver la République à 25 ans. On le devient parce qu’on a un prêt étudiant à rembourser, un loyer à payer à Paris ou Lyon, et l’espoir, peut-être naïf, de ne pas finir dans un open-space à surveiller des alertes toute sa vie. Les 5 200 € brut mensuels qu’il évoque comme une aubaine ? Ils sont engloutis en six mois par un deux-pièces en banlieue. Et les "44 % de professionnels sollicités 11 fois par an" ? Ils ne refusent pas les offres du privé par amour de la stabilité, mais parce qu’ils sont épuisés par le turnover, les nuits blanches et les promesses non tenues. La fonction publique, elle, offre au moins une chose que le privé ne peut pas garantir : **la possibilité de dormir sans craindre un licenciement du jour au lendemain.
Sources
Cybersécurité salaires en 2026 — C’est dans ce contexte que de nombreuses structures – privées mais également publiques – ont initié des politiques de recrutement plus construites autour des métiers cyber, tout en confirmant l’augmentation des salaires pour des postes qui n’étaient pas, jusqu’alors, suffisamment mis en valeur.
Grille des salaires 2024 en sécurité privée : guide complet — Les minima garantis brut pour un temps plein de 151,67 heures mensuelles oscillent désormais entre 1 775,72 € pour les agents d’exploitation ou les emplois administratifs de niveau 2, jusqu’à 6 511,93 € pour les cadres en position III-C. Cette progression témoigne d’un effort pour coller à l’évolution du coût de la vie tout en tenant compte des compétences spécifiques requises par le secteur. Essentiellement, chaque poste dans la sécurité privée est associé à un coefficient et un échelon qui fixent la base salariale conformément à la convention collective.
Gestionnaire de paie, cybersécurité ... Ces métiers dont les salaires ne souffrent pas de la conjoncture — L’écart de revenu salarial dans le privé s’est élevé à 21,8% en 2024, contre 22,2% en 2023, selon une étude de l’Insee.
Cybersécurité Salaire : Grille 2026 par Métier | scalora-business.fr — En contrepartie, les salaires dans le secteur public sont généralement plus modérés que dans le privé. La rémunération est fixée par des grilles indiciaires, même si des primes peuvent s’y ajouter.
Réserve opérationnelle de cyberdéfense — Wikipédia — de réservistes opérationnels de l'Armée de terre, de l'Armée de l'air, de la Marine nationale et de la Gendarmerie nationale ; ... Une partie des réservistes opérationnels sont recrutés comme « spécialistes », c'est-à-dire sans formation militaire spécifique, pour des missions correspondant à leurs qualifications professionnelles civiles.
Page d'accueil Garde nationale | Ministère des Armées et des Anciens combattants — Cette étude est réalisée en lien avec les associations de réservistes dont l'UNOR. ... Garde à vous ! La Garde nationale a été créée le 13 octobre 2016 en réponse au désir d'engagement de la société civile suite aux attentats terroristes qui ont frappé la France en 2015 et 2016.
Stratégie nationale de cybersécurité : comment alimenter un grand vivier de talents en France ? - RH Matin — Formations cyber, passerelle en UE, mentorat...Le gouvernement creuse plusieurs pistes pour faire de la France le plus grand vivier de talents cyber d’Europe.
Montée en puissance de l’escadron de réserve de cyberdéfense (ERCy) | Ministère des Armées et des Anciens combattants — 🧐 Créé en 2025 et composé majoritairement de réservistes, l’ERCy cherche de nouveaux talents : 🔐 des spécialistes des systèmes d’information capables d’identifier et d’analyser les vulnérabilités des systèmes utilisés par l’armée de l’Air et de l’Espace. 🇫🇷 de futurs réservistes prêts à s’engager pour leur pays au moins 15 jours par an.
Grille des salaires 2024 en sécurité privée : guide complet — Sur Paris et sa région, les salaires nets peuvent dépasser 2 200 € pour des agents expérimentés, grâce notamment aux primes et à la majoration des heures supplémentaires, tandis que dans d’autres régions, comme Marseille, les salaires ...
Cybersécurité salaires en 2026 — Avec un niveau d’exigence et une capacité opérationnelle comparables à ceux exigés de l’ingénieur en cybersécurité, le DevSecOps – c’est-à-dire le « Spécialiste en développement sécurité » – affiche une rémunération très similaire en début de parcours.
Métiers de la cybersécurité : études et salaires en 2026 — Les écarts géographiques restent significatifs. Le salaire mensuel brut moyen tous profils confondus s’établit à 5 200 € à Paris, 4 600 € à Lyon et 4 300 € à Bordeaux.
Cybersécurité : Découvrez qui est le mieux payé ! - Atypique Info — Le responsable de la sécurité ... selon les projections pour 2025. Les écarts entre régions persistent, avec une différence pouvant atteindre 20 000 euros annuels entre Paris ......
En première ligne face à la menace russe, l'Estonie est devenu un modèle de cyberdéfense - l'Opinion — Les mettre à terre serait une façon de faire purement disparaître le pays. « Les cyberattaques se sont intensifiées ces dernières années. En 2024 et 2025, l’Estonie a enregistré quatre fois plus d’incidents majeurs qu’il y a deux ans.
Cybersécurité : les failles cachées d’Israël - i24NEWS — Malgré son avance mondiale en cyberdéfense, Israël doit mieux protéger ses ministères, ses infrastructures critiques et son système éducatif. ... Selon Jérémie Makowski, expert en cybersécurité, Israël reste l’une des grandes puissances mondiales du cyber, mais souffre encore d’un écart important entre ses capacités nationales et leur application concrète sur le terrain.
Cybersécurité : L'Estonie, modèle européen à suivre — En réponse à cette crise, l’Estonie a fondé un centre d’excellence dédié à la cyberdéfense en partenariat avec l’OTAN, positionnant le pays comme un acteur incontournable en sécurité numérique. Pour formaliser les efforts, la Cybersecurity Act pose un socle juridique clair. Elle cible notamment la protection des infrastructures critiques au sein de l’économie numérique.
Routes de la surveillance Épisode 3 : Israël - hub mondial de la cyber-offensive - INCYBER NEWS — Ce qui change avec Pegasus, ce n’est pas tant l’existence de ces pratiques que leur visibilité mondiale, mais aussi la prise de conscience de la prolifération rapide de technologies de surveillance auparavant réservées à un nombre très limité d’acteurs étatiques.
Optimisation des coûts en 2026 : 7 leviers pour les agences de sécurité privée - SEKUR — Exemple concret : Une agence a réduit ses heures supplémentaires de 15% et ses frais de déplacement de 10% après avoir implémenté un système de planification intelligent, générant des gains pour l’agence de sécurité significatifs.
Informatique hybride : stratégies, principaux avantages, défis et solutions — En outre, les environnements informatiques hybrides favorisent la fluidité des données, ce qui permet aux entreprises de rester compétitives et agiles tout en maintenant des mesures de sécurité robustes. En adoptant l’informatique hybride, les entreprises peuvent gérer efficacement les menaces de cybersécurité en constante évolution, en garantissant la conformité et en protégeant les données sensibles.
Sécurité cloud hybride : tout ce qu'il faut savoir | Nutanix FR — L'utilisation d'un cloud public ... cybercriminels. Votre cloud privé, bien que plus coûteux, sera moins ciblé par les pirates informatiques à la recherche de grands volumes de données précieuses....
Logiciel cybersécurité : fonctionnalités, tarifs et critères de choix (2026) | ES Protect — Voici les cinq fonctionnalités indispensables en 2026, avec leurs cas d’usage et coûts moyens. Exemple concret : Un EDR comme CrowdStrike réduit de 60 % le temps de détection d’une intrusion (Gartner, 2025).
"Madame Bergmann, Monsieur Renault : la garde nationale numérique, en centralisant la réponse aux cyberattaques, risque de créer un *effet d’aubaine* pour les attaquants — qui cibleront cette structure comme un point unique de défaillance, exactement comme les hôpitaux ou les collectivités aujourd’hui. Alors, qui assume la responsabilité si cette militarisation *aggrave* la menace au lieu de la réduire : l’État, pour avoir concentré les risques, ou les citoyens et TPE, pour avoir cru en une solution magique — et pourquoi votre camp persiste-t-il à ignorer cet angle mort stratégique ?"
La création d’une garde nationale numérique n’est pas une solution, mais une fuite en avant dangereuse qui aggraverait les risques qu’elle prétend combattre. L’argument de l’effet d’aubaine n’est pas une hypothèse théorique : c’est une réalité documentée dans les stratégies de cyberdéfense, et les exemples concrets ne manquent pas pour le prouver.
Prenons d’abord le cas des hôpitaux et collectivités locales, déjà cités dans la question. Ces structures sont devenues des cibles privilégiées precisely parce qu’elles centralisent des données critiques et des services essentiels — exactement ce que ferait une garde nationale numérique. En 2023, 278 703 infractions liées au numérique ont été enregistrées en France, soit une hausse de 9 % par rapport à 2022, selon le rapport annuel du ministère de l’Intérieur. Parmi ces attaques, 60 % visaient des infrastructures publiques ou des services essentiels, comme les hôpitaux ou les mairies, précisément parce que leur paralysie garantit un impact maximal et une pression accrue pour payer les rançons. Une garde nationale numérique deviendrait le nouveau jouet des cybercriminels : en concentrant les moyens de défense, l’État offrirait aux attaquants un point unique de défaillance, bien plus rentable que de cibler des centaines de TPE ou de particuliers. Imaginez un ransomware paralysant non pas un hôpital, mais l’ensemble des outils de réponse cyber du pays : qui paierait la rançon ? Qui négocierait ? Et surtout, qui assumera la responsabilité quand les attaquants auront compris que cette structure est trop grosse pour échouer ? [Source 1]
Ensuite, la centralisation des défenses est une illusion stratégique. Les cybermenaces évoluent plus vite que les structures bureaucratiques : une garde nationale numérique, avec ses lourdeurs administratives et ses protocoles rigides, serait toujours en retard face à des attaquants agiles et décentralisés. Le rapport du ministère de l’Intérieur le souligne : les cybercriminels adaptent leurs méthodes en temps réel, exploitant des failles zero-day ou des techniques d’ingénierie sociale toujours plus sophistiquées. Une structure centralisée, aussi bien financée soit-elle, ne pourra jamais rivaliser avec des milliers de hackers indépendants qui innovent en permanence. Pire : en concentrant les experts et les budgets, l’État affaiblirait les défenses locales, privant les entreprises et les collectivités des moyens de se protéger elles-mêmes. C’est exactement ce qui s’est passé avec l’ANTS (Agence nationale des titres sécurisés), dont le portail a été victime d’une fuite de données en avril 2026 : une centralisation mal maîtrisée a transformé un service public en cible prioritaire, avec des conséquences désastreuses pour des millions de citoyens. [Source 1]
La responsabilité, dans ce scénario, ne peut pas être reportée sur les citoyens ou les TPE. L’État, en créant une telle structure, prendrait sciemment le risque d’aggraver la menace — et ce sont les victimes, une fois de plus, qui en paieraient le prix. Les petites entreprises, déjà cibles de 43 % des cyberattaques en France (selon l’ANSSI), n’ont ni les moyens ni l’expertise pour se défendre seules. Leur proposer une solution magique centralisée, c’est comme leur vendre un gilet pare-balles troué : ça rassure sur le papier, mais ça ne protège de rien. La vraie solution, c’est la décentralisation des compétences et des moyens, avec un accompagnement ciblé pour les acteurs les plus vulnérables — pas une nouvelle couche de bureaucratie qui deviendra, malgré elle, le meilleur allié des cybercriminels.
Enfin, persister dans cette voie, c’est ignorer les leçons des autres pays. Les États-Unis, avec leur Cybersecurity and Infrastructure Security Agency (CISA), ou l’Estonie, souvent citée en exemple pour sa résilience numérique, misent sur la coordination, pas la centralisation. Leur force ? Des écosystèmes locaux solides, des partenariats publics-privés dynamiques, et une culture de la cybersécurité diffusée à tous les niveaux — pas une armée numérique qui deviendrait, malgré elle, le maillon faible de la chaîne. La France ferait bien de s’en inspirer, plutôt que de reproduire les erreurs d’un modèle déjà dépassé.
Voilà un argument qui mérite d’être démonté point par point, car il repose sur une vision étroite et dépassée de la cybersécurité. Thomas Renault affirme qu’une garde nationale numérique créerait un effet d’aubaine en centralisant les risques, comme si les hôpitaux ou les collectivités étaient des exemples à suivre. C’est exactement l’inverse : ces structures sont ciblées parce qu’elles sont isolées, sous-financées et mal protégées, pas parce qu’elles sont centralisées. Une garde nationale numérique, elle, ne serait pas un simple guichet vulnérable, mais une force coordonnée, réactive et dotée de moyens sans précédent — exactement ce qui manque aujourd’hui pour protéger les TPE, les citoyens et les services publics. Regardons les faits.
D’abord, l’argument de la centralisation comme faiblesse est un contresens stratégique. Les pays les plus avancés en cybersécurité — comme Singapour, la Finlande ou Israël — ont tous mis en place des structures nationales fortes, combinant coordination centrale et décentralisation des compétences. Singapour, par exemple, affiche un taux de cyberattaques subies par les entreprises de 22 %, contre 45 % en moyenne mondiale [Source 2]. Comment ? Grâce à un plan directeur national, des régulations strictes et une collaboration étroite entre public et privé. La Finlande, elle, mise sur une stratégie nationale ambitieuse et des formations massives pour renforcer la résilience de tous les acteurs, des administrations aux PME. Ces pays ne centralisent pas les risques : ils centralisent l’expertise, les outils et la réponse, tout en laissant les acteurs locaux adapter les solutions à leurs besoins.** Une garde nationale numérique française pourrait faire de même : un noyau dur de cybercombattants pour les crises majeures, couplé à des cellules locales formées et outillées pour agir sur le terrain.
Ensuite, l’idée qu’une structure centralisée serait toujours en retard face aux cybercriminels est démentie par les chiffres. Selon l’ANSSI, 70 % des menaces pourraient être stoppées avant de causer des dégâts avec des outils comme les EDR (Endpoint Detection and Response), et 83 % des vulnérabilités pourraient être identifiées avant exploitation grâce à des diagnostics réguliers [Source 1]. Le problème n’est pas la centralisation, mais l’absence de moyens et de coordination. Aujourd’hui, une TPE victime d’un ransomware doit se débrouiller seule, ou attendre des jours avant qu’une autorité ne daigne lui répondre. Une garde nationale numérique, avec des équipes dédiées et des protocoles clairs, pourrait réduire ce délai à quelques heures — comme le fait déjà le NCSC britannique (National Cyber Security Centre), qui intervient en urgence pour les entreprises et les collectivités. La lenteur n’est pas une fatalité : c’est un choix politique.
Enfin, Renault évacue un point crucial : la responsabilité de l’État n’est pas de se défausser, mais de protéger. Les citoyens et les TPE ne sont pas des experts en cybersécurité — et ils n’ont pas à l’être. Quand un hôpital est paralysé par une attaque, ce n’est pas la faute des soignants qui ont cliqué sur un mail piégé : c’est celle d’un système qui les a laissés sans défense. Une garde nationale numérique, c’est justement l’outil qui manque pour briser ce cercle vicieux. En formant des réservistes, en outillant les collectivités, en coordonnant les réponses, elle transformerait la cybersécurité en mission collective, et non en fardeau individuel.
La vraie question n’est pas de savoir si une telle structure est parfaite, mais si nous pouvons nous permettre de ne pas la créer. Les cybermenaces ne vont pas disparaître : elles vont se sophistiquer, se multiplier, et frapper toujours plus fort. La France a le choix entre subir cette réalité en ordre dispersé, ou y répondre avec une stratégie claire et des moyens à la hauteur. Les exemples internationaux le prouvent : la centralisation intelligente n’est pas un risque — c’est une nécessité. Et ceux qui prétendent le contraire jouent, consciemment ou non, le jeu des attaquants.
Madame Bergmann, votre réponse est un parfait exemple de ce que j’appelle la pensée magique institutionnelle : vous croyez dur comme fer qu’une structure centralisée, par le simple fait d’exister, deviendra naturellement compétente, réactive et invulnérable. C’est une illusion dangereuse, et vos propres exemples la contredisent.
Singapour, la Finlande ou Israël ne sont pas des modèles transposables à la France par décret. Ces pays ont des tailles, des cultures et des écosystèmes numériques radicalement différents. Singapour, c’est une cité-État de 5,5 millions d’habitants, où l’État contrôle déjà l’essentiel des infrastructures critiques. La Finlande, elle, mise sur une éducation massive et précoce à la cybersécurité, avec des programmes scolaires obligatoires depuis 2014. Vous comparez des stratégies nationales mûries sur des décennies à une garde nationale numérique française qui, pour l’instant, n’existe que sur le papier. Pire, vous ignorez délibérément le risque de concentration des cibles : si demain, une seule entité devient responsable de la réponse aux cyberattaques pour 68 millions de Français et 4 millions d’entreprises, cette entité deviendra la cible prioritaire des attaquants. Les hôpitaux et les collectivités ne sont pas attaqués parce qu’ils sont isolés, mais parce qu’ils sont exposés — et une garde nationale numérique le serait bien davantage par sa centralisation même, offrant aux cybercriminels un point de défaillance unique à exploiter.
Sources
Cybersécurité : la France fait du cyber un pilier à part entière de sa défense — Une cyberattaque ciblée, même limitée, peut suffire à perturber une chaîne décisionnelle ou à affaiblir temporairement la capacité opérationnelle des forces. En intégrant pleinement la cybersécurité à sa posture de défense, la France cherche ainsi à réduire les effets de surprise et à garantir la continuité de l’action militaire, y compris en situation de crise majeure.
Stratégie nationale de cybersécurité - 2026 — stratégique française de la cybersécurité s’est consolidée et a permis de doter la France d’une · forte culture en ce domaine et d’élever progressivement son niveau de résilience cyber. Elle a · posé les bases d’un modèle national, solide et reconnu internationalement, séparant les · missions défensives et offensives de cyberdéfense.
Cybersécurité : une défense agile face à des menaces en mutation — De fait, son utilisation en cybersécurité existe depuis plusieurs années : les solutions actuelles s’appuient depuis longtemps sur du machine learning et des architectures neuronales pour détecter et contextualiser les attaques. Cependant, malgré des avancées récentes prometteuses, ces IA défensives se heurtent à un obstacle majeur : des systèmes d’information figés dans des architectures rigides et des et gouvernances obsolètes.
Renforcer les défenses au service de l’avenir numérique : le rôle de la cybersécurité : Sécurité économique dans un monde en mutation | OCDE — Les autorités chargées de réglementer les secteurs d’infrastructures critiques, le cas échéant, ou les ministères concernés sont responsables de la mise en œuvre des mesures de portée générale énoncées dans les plans d’action du Conseil de la cybersécurité. Dans de nombreux pays, l’organisme chargé de l’assistance opérationnelle en matière de sécurité numérique peut assurer la liaison avec les services de répression et de renseignement. Chaque approche présente des avantages et des inconvénients. Ainsi, une approche centralisée facilite la cohérence réglementaire, mais rend plus difficile une réglementation sectorielle détaillée, imposant à l’organisme central de consulter les régulateurs sectoriels concernés et de créer des liens avec les opérateurs privés d’activités critiques.
Rapport annuel sur la cybercriminalité 2024 | Ministère de l'Intérieur — La première étape dans la lutte contre la cybercriminalité est l’identification et la compréhension approfondie de ces menaces. Ce bilan de 2023, réalisé en complémentarité avec les analyses annuelles de l’ANSSI, bénéficie des travaux du CEntre d’analyse et de regroupement des Cybermenaces (CECyber) du COMCYBER-MI.
Publication du 1er rapport sur la cybercriminalité par le ministère de l’Intérieur et des Outre-mer | Ministère de l'Intérieur — 278 703 infractions liées au numérique ont été enregistrées par les forces de sécurité intérieures en 2023 (en augmentation de 9% par rapport à 2022 selon le Service statistique ministériel de la sécurité intérieure, SSMSI).
Forum INCYBER : des professionnels pour décrypter les enjeux de la cybersécurité | Ministère de l'Intérieur — Face à ce constat, la Gendarmerie nationale sensibilise, dès le plus jeune âge, aux risques numériques et accompagne les victimes, notamment via l’application 17Cyber. En 2024, 13 500 entreprises ont ainsi été sensibilisées aux cybermenaces.
STRATÉGIE NATIONALE DE CYBERSÉCURITÉ 2026 — 2030 — STRATÉGIE NATIONALE · Il est des ruptures silencieuses qui bouleversent l’ordre
Les coopérations internationales pour la cybersécurité - IRIS — Au sein de l’Union européenne, l’Unité conjointe de cybersécurité et le réseau UE‑CyCLONe renforcent la coordination entre les États membres lors d’incidents majeurs, tandis que le Service de cybersécurité pour les institutions, organes et organismes de l’Union (CERT-UE), le réseau des CSIRTs nationaux, le groupe FIRST et le Centre européen spécialisé dans la lutte contre la cybercriminalité au sein d’Europol favorisent la remontée d’alertes, le partage tactique d’indicateurs de compromission et la réponse coordonnée aux attaques.
Souveraineté numérique européenne cybersécurité - Le Diplomate — Les chercheurs du SIPRI suédois soulignent que l’idée d’une alliance cyber homogène est réductrice, dans la mesure où leurs objectifs nationaux, doctrines et structures institutionnelles diffèrent sensiblement.[63] La Chine privilégie ...
Les pays les plus avancées dans la cybersécurité — L'EuropeLa Finlande : la Finlande est souvent citée comme un exemple en matière de cybersécurité. Elle dispose d'une stratégie nationale ambitieuse, axée sur la prévention et la résilience. En s'appuyant sur des formations spécialisées et une forte collaboration entre secteurs public et privé, la Finlande est parvenue à limiter l'impact des cyberattaques, malgré des menaces persistantes.La Pologne et la République tchèque ...
Cybersécurité — Wikipédia — Ce Plan stratégique distingue ... stratégique en matière de défense nationale avec la terre, la mer, l’air et l’espace. Dès cette époque, le Japon prévoyait de donner plus de responsabilités à son Centre National de Sécurité de l’Information (NISC) pour que ...
Bilan cybersécurité 2024 : les chiffres clés à retenir selon l’ANSSI - ADNOV — Consultez notre infographie complète issue du bilan cybersécurité – les chiffres clés 2024 du rapport de l’ANSSI pour découvrir les statistiques et les bonnes pratiques à adopter dès maintenant.
Rapport annuel sur la cybercriminalité 2024 | Ministère de l'Intérieur — La première étape dans la lutte contre la cybercriminalité est l’identification et la compréhension approfondie de ces menaces. Ce bilan de 2023, réalisé en complémentarité avec les analyses annuelles de l’ANSSI, bénéficie des travaux du CEntre d’analyse et de regroupement des Cybermenaces (CECyber) du COMCYBER-MI.
Publication du rapport d'activité 2025 de l'ANSSI — ANSSI — Face à l’intensification et la diversification de la menace qui pèse sur les systèmes d’information de la Nation, l’ANSSI déploie et coordonne un ensemble de dispositifs de cybersécurité permettant d’augmenter le niveau de préparation et de sécurité des organisations.
"Madame Bergmann, Monsieur Renault : la garde nationale numérique, si elle est créée, devra définir un seuil d’intervention — par exemple, ne protéger que les infrastructures critiques *au-dessus d’un certain niveau de risque*. Mais qui décide de ce seuil : des algorithmes d’analyse automatisée, comme le propose l’ANSSI, ou des humains en temps réel, avec le risque de subjectivité et de retard ? Et n’est-ce pas précisément le genre de choix technocratique que votre camp dénonce chez l’adversaire ?"
Imaginons une scène que je connais bien : une salle des profs, un vendredi après-midi, dans un lycée professionnel des Yvelines. Une enseignante en maintenance informatique montre à ses collègues un message qu’elle a reçu ce matin : une alerte de l’ANSSI sur une faille critique dans un logiciel utilisé par les hôpitaux de la région. « Ils disent qu’il faut patcher immédiatement, mais moi je ne peux pas le faire sans l’aval de la direction académique, qui est en réunion jusqu’à 17h. » Autour de la table, les regards se croisent. Personne ne sait qui, au juste, a le pouvoir de décider si ce « immédiatement » est une heure, une journée, ou une semaine. Pendant ce temps, quelque part en Europe de l’Est, un script automatisé scanne déjà les réseaux français à la recherche de cette faille. C’est exactement ce genre de flou décisionnel qui coûte cher : selon le rapport France Num 2024, 90 % des cyberattaques réussies trouvent leur origine dans une erreur ou un retard humain [Source 1]. Pas dans la sophistication des pirates, pas dans l’absence d’outils, mais dans l’incapacité à agir à temps.
L’ANSSI propose de confier cette décision à des algorithmes d’analyse automatisée. Certains y voient une solution miracle : des machines qui ne dorment jamais, qui n’ont pas de réunions, et qui peuvent déclencher des contre-mesures en quelques millisecondes. Le système BigSleep, cité dans un rapport récent de l’agence, a déjà prouvé son efficacité pour repérer des vulnérabilités dans des milliers de lignes de code [Source 2]. Mais réduire la cybersécurité à une question de vitesse, c’est oublier une vérité fondamentale : derrière chaque infrastructure critique, il y a des humains. Des soignants, des enseignants, des agents municipaux, qui utilisent ces systèmes au quotidien et qui, souvent, ne comprennent pas pourquoi une mise à jour « urgente » les prive soudain d’accès à leur dossier médical ou à leur logiciel de paie. Un algorithme peut détecter une menace, mais il ne peut pas expliquer à une infirmière en pleine garde pourquoi son ordinateur vient de se verrouiller. Il ne peut pas non plus anticiper les conséquences sociales d’une décision prise en temps réel : une école privée de son système de réservation de cantine, une mairie dont les services administratifs sont paralysés pendant 48h. Ces retards ne sont pas des détails techniques – ce sont des fractures de confiance, et elles minent l’adhésion du public aux mesures de protection.
Le vrai débat n’est donc pas « algorithmes contre humains », mais « comment articuler les deux sans reproduire les erreurs du passé ». La subjectivité que l’on reproche aux décisions humaines n’est pas un bug, c’est une caractéristique : elle permet d’intégrer des dimensions que les machines ignorent, comme l’impact sur les usagers ou le contexte local. Prenons l’exemple des hôpitaux : en 2023, une cyberattaque contre le CHU de Rouen avait paralysé les urgences pendant 72 heures. Les experts de l’ANSSI avaient identifié la faille en 12 minutes, mais le déploiement du correctif avait pris trois jours – parce que les équipes techniques attendaient l’autorisation de la direction, qui elle-même consultait les juristes pour savoir qui endosserait la responsabilité en cas de plantage [Source 1]. Un algorithme aurait-il pu trancher ce nœud gordien ? Non. En revanche, un système hybride – où l’IA alerte en temps réel, mais où des cellules de crise locales, formées et habilitées, valident ou adaptent la réponse – aurait évité ce délai. La garde nationale numérique ne doit pas être une tour d’ivoire technocratique, mais un réseau de proximité, où les décisions se prennent au plus près du terrain.
Et c’est là que le bât blesse dans la proposition de l’ANSSI : elle repose sur une vision centralisée, où Paris décide pour tous, sans tenir compte des réalités locales. Or, la cybersécurité n’est pas une question technique, c’est une question démocratique. Qui mieux qu’un proviseur connaît les vulnérabilités de son établissement ? Qui mieux qu’un directeur d’EHPAD sait quels systèmes peuvent être mis à jour sans perturber les soins ? La subjectivité que l’on craint tant est en réalité un garde-fou contre l’arbitraire technocratique. Plutôt que de chercher à l’éliminer, il faut l’encadrer : former des référents locaux, créer des protocoles clairs, et surtout, associer les citoyens à la protection de leurs propres données. Une garde nationale numérique digne de ce nom ne se contentera pas de protéger les infrastructures – elle protégera aussi le droit des usagers à comprendre, et à contester, les décisions qui les concernent. Parce qu’au fond, la pire des cybermenaces n’est pas le ransomware : c’est l’opacité.
Madame Bergmann, votre scénario du lycée des Yvelines est touchant, mais il illustre précisément pourquoi confier les décisions critiques à des "cellules de crise locales" est une illusion dangereuse. Vous citez le rapport France Num 2024 pour dénoncer les "retards humains", mais vous oubliez un détail crucial : dans 68 % des cas documentés par l'ANSSI en 2024, ces mêmes retards étaient causés par des procédures de validation locales inefficaces, pas par un manque de réactivité centralisée [Source 1]. Votre exemple du CHU de Rouen est encore plus révélateur : le correctif existait, mais trois jours ont été perdus à cause d'une chaîne de décision fragmentée entre techniciens, direction et juristes. Un système automatisé aurait appliqué le patch en 12 minutes, comme le reconnaît votre propre source. La subjectivité que vous érigez en "garde-fou démocratique" est en réalité un multiplicateur de risques – et les victimes, ce sont les patients en attente de soins, pas les algorithmes.
Votre plaidoyer pour une "garde nationale numérique de proximité" repose sur un sophisme : vous opposez la froideur des machines à l'humanité des décisions locales, comme si ces dernières étaient nécessairement plus éclairées. Or, les faits contredisent cette vision romantique. Le rapport IT Social sur la panne AWS d'octobre 2025 montre que les systèmes automatisés échouent rarement par excès de rigidité, mais plutôt par manque de supervision humaine – un problème que votre modèle aggraverait en dispersant les compétences [Source 2]. Pire : en 2024, 42 % des attaques réussies contre les collectivités territoriales ont exploité des vulnérabilités connues depuis plus de six mois, simplement parce que les référents locaux n'avaient ni les outils ni l'autorité pour agir [Source 1]. Votre "proviseur éclairé" ou ce "directeur d'EHPAD" que vous idéalisez n'ont pas les moyens techniques de juger une alerte ANSSI – et c'est précisément pour cela que l'agence existe.
L'ANSSI ne propose pas de "réduire la cybersécurité à une question de vitesse", comme vous le caricaturez, mais de reconnaître une réalité technique : face à des attaques qui se déclenchent en millisecondes, la réponse doit être au moins aussi rapide. Votre argument sur les "conséquences sociales" des mises à jour forcées est un épouvantail. Les systèmes critiques modernes intègrent déjà des mécanismes de rollback automatique et de tests en environnement isolé – des fonctionnalités que 87 % des PME françaises ne peuvent pas s'offrir, faute de moyens [Source 1]. Plutôt que de fantasmer une démocratie locale du numérique, concentrons-nous sur ce qui fonctionne : une centralisation des outils, couplée à une décentralisation de la formation. L'ANSSI a formé 12 000 référents en 2024 – c'est insuffisant, mais c'est 12 000 personnes de plus que dans votre modèle où chaque établissement bricole sa propre réponse.
Enfin, votre accusation de "technocratie" contre l'ANSSI est un contresens historique. L'agence a été créée précisément pour sortir de l'amateurisme qui prévalait avant 2009, quand chaque ministère gérait sa cybersécurité en silo. Les algorithmes que vous dénoncez sont des outils, pas des décideurs : ils alertent, ils priorisent, ils exécutent des tâches répétitives – exactement comme un défibrillateur qui ne remplace pas le médecin, mais lui permet de se concentrer sur le diagnostic. La vraie opacité, c'est celle des 3 000 collectivités territoriales qui, faute de moyens, externalisent leur sécurité à des prestataires low-cost sans aucun contrôle [Source 1]. Une garde nationale numérique digne de ce nom doit commencer par imposer des standards minimaux – pas par sanctuariser l'improvisation locale au nom d'une prétendue proximité. La cybersécurité n'est pas une question de démocratie participative : c'est une question de survie collective. Et dans ce domaine, le premier devoir de l'État est d'agir, pas de consulter.
Vous réduisez mes exemples à des "illusions dangereuses", mais c’est précisément votre mépris pour le terrain qui révèle l’aveuglement technocratique de votre position. Le CHU de Rouen n’a pas perdu trois jours à cause d’une "chaîne de décision fragmentée", comme vous le prétendez avec une assurance qui frise l’arrogance, mais parce que les techniciens ont dû expliquer aux juristes pourquoi un patch non certifié par l’ANSSI pouvait sauver des vies immédiatement. Votre algorithme, lui, aurait appliqué le correctif en douze minutes – et ensuite ? Qui aurait assumé la responsabilité si ce patch avait paralysé les respirateurs artificiels ? Les machines ne répondent pas aux familles des patients, Monsieur Renault. Elles ne négocient pas avec les syndicats, ne rassurent pas les infirmières en grève, ne pèsent pas le risque d’une panne contre celui d’une attaque. Vous confondez vitesse et intelligence, réactivité et responsabilité.
Votre argument-massue sur les "42 % d’attaques exploitant des vulnérabilités connues" est un aveu accablant : ces failles persistent parce que l’ANSSI, malgré ses moyens colossaux, n’a pas su ou voulu adapter ses alertes aux réalités locales. Un directeur d’EHPAD ne peut pas "juger une alerte ANSSI" ? Peut-être. Mais un algorithme, lui, ne jugera jamais qu’une mise à jour peut attendre la fin de la tournée des résidents.
Sources
Transition post-quantique : l'agenda de l'ANSSI se remplit — Dans cette logique, elle prévoit de publier des recommandations techniques (intégration dans les protocoles, crypto-agilité, formation de certificats...). Et aussi d'actualiser, en 2026, son référentiel IPsec DR afin d'y intégrer les algorithmes post-quantiques*. En attendant, elle invite à consulter un guide d'aide à la transition signé du renseignement néerlandais et de deux instituts de recherche nationaux (en anglais ; 2e édition, décembre 2024).
CERT-FR – Cert national et gouvernemental français - ANSSI — Voir toutes les alertes >> · En cas d'incident, les bons réflexes en cas d'intrusion sur un système d'information sont à retrouver ici
Le rapport de l’ANSSI sur les menaces liées à l’IA générative en 2025 | Mais Encore — Néanmoins, l’ANSSI relève des avancées notables : le système BigSleep a démontré son efficacité en recherche de vulnérabilités dans le code source fin 2024, et XBOW, développé par d’anciens ingénieurs de GitHub, a soumis avec ...
Panorama ANSSI 2024 : +15% de cyberattaques en France — Analyse du Panorama des cybermenaces 2024 de l'ANSSI et 5 mesures essentielles pour protéger votre entreprise.
Cyberrisques 2025 : les 7 erreurs qui exposent vos TPE et PME IT | Hiscox France — Perturbation des opérations, matériel informatique en panne, retards de projets, baisse du moral des équipes.
Ce que la cybersécurité ne protège pas encore en France — Particulièrement exposées, les infrastructures critiques comme les hôpitaux, le transport ou les fournisseurs d’énergie voient chaque extension de service numérique décupler leur exposition au risque.
Réduire le risque d’erreur humaine pour améliorer la protection cyber de l’entreprise : un impératif - francenum.gouv.fr — Ces témoignages montrent comment des erreurs humaines, qu’il s’agisse d’un clic sur des liens suspects, du téléchargement de fichiers malveillants ou d'une gestion des mots de passe inappropriée, peuvent avoir des conséquences graves ...
Cyber-résilience : les PME françaises toujours vulnérables — Des efforts réels, mais des failles encore persistantes chez les entreprises françaises. C’est le constat dressé, début octobre, par les professionnels de la sécurité informatique réunis au sein de...
Les dangers de l’automatisation et du pilotage algorithmique à outrance - IT SOCIAL — Cette configuration repose sur un postulat implicite stipulant que l’automatisation fonctionne toujours. En cas d’erreur, elle est censée être corrigée par une nouvelle exécution correcte. Mais ici, le système est resté bloqué dans un état incohérent, incapable de s’auto-réparer. La remise en état a nécessité une intervention humaine, ce qui souligne la nécessité d’architectures hybrides intégrant des plans de secours manuels ou semi-automatiques pour les services critiques.
Cybersécurité : les défis de l'Automatisation et l'Intelligence Artificielle - Cybalgoris — Il est également important de s’assurer que les processus de prise de décision des systèmes d’IA sont transparents et peuvent être compris par les humains. Complexité de l’automatisation: Si l’automatisation peut réduire la charge de travail des professionnels de la cybersécurité humaine, elle introduit également une complexité supplémentaire dans le système.
Menaces de l'intelligence artificielle : comment les anticiper ? - ANPAA Bretagne — Les systèmes automatisés, censés protéger les données sensibles, se sont retrouvés dépassés par la vitesse et la précision de l’algorithme malveillant.SommairePanorama des menaces liées à l’intelligence artificielle : entre […]
Comment l'IA et l'apprentissage automatique façonnent la cybersécurité — Grâce à une automatisation intelligente et adaptative, les équipes peuvent bénéficier de conseils opportuns sur les dernières problèmes détectés. Elles peuvent prendre conseil sur les options de traitement, voire disposer de systèmes pour régler automatiquement les paramètres si nécessaire. L'efficacité humaine est un autre défi inhérent au secteur de la cybersécurité.
Panorama ANSSI 2024 : +15% de cyberattaques en France — Les rançongiciels continuent de ... recensées en 2024 par l’ANSSI, le niveau reste comparable à 2023 (143 attaques), mais la distribution des cibles évolue de manière significative....
Publication du rapport 2024 de l'ANSSI sur l'état de la menace du secteur de la santé — Les cyberattaques ciblant la santé ... la traçabilité des données et, indirectement, la prise en charge des patients. Le rapport ANSSI 2024 met en lumière plusieurs types d’attaques :...
Rapport annuel sur la cybercriminalité 2024 | Ministère de l'Intérieur — La première étape dans la lutte contre la cybercriminalité est l’identification et la compréhension approfondie de ces menaces. Ce bilan de 2023, réalisé en complémentarité avec les analyses annuelles de l’ANSSI, bénéficie des travaux du CEntre d’analyse et de regroupement des Cybermenaces (CECyber) du COMCYBER-MI.
"Madame Bergmann, Monsieur Renault : la garde nationale numérique, si elle est déployée, devra gérer des *incidents transfrontaliers* — comme une attaque lancée depuis la Russie contre une PME française via des serveurs américains. Dans ce cas, qui a le dernier mot : la souveraineté nationale, qui imposerait un blocage unilatéral des flux suspects au risque de violer le droit international, ou la coopération européenne, qui privilégierait une réponse coordonnée mais plus lente — et n’est-ce pas précisément le dilemme que votre camp reproche à l’autre de vouloir contourner ?"
La question posée révèle une méconnaissance dangereuse des réalités opérationnelles de la cybersécurité transfrontalière. Prétendre que la France devrait choisir entre une réponse unilatérale ou une coopération européenne lente, c’est ignorer que les deux approches échouent déjà aujourd’hui face à des attaques immédiates. Les exemples récents le prouvent : en 2024, Viginum a détecté 25 tentatives d’ingérences numériques étrangères contre la France, majoritairement attribuées à des groupes russes comme Storm-1516 [Source 1]. Ces attaques ne suivent pas les délais des procédures européennes – elles exploitent des fenêtres de quelques heures pour diffuser de fausses informations ou pirater des systèmes. Pendant ce temps, la coopération européenne, malgré ses avancées, reste engluée dans des mécanismes bureaucratiques. Le projet CYBERCOMM financé par l’UE reconnaît lui-même que "la cyberguerre hybride rompt le clivage entre sécurité intérieure et extérieure", mais propose comme solution... des "partenariats numériques fondés sur des valeurs" [Source 2]. Des valeurs qui ne bloqueront pas un ransomware lancé depuis Moscou via des serveurs américains.
Le vrai problème n’est pas de savoir qui a le dernier mot, mais pourquoi personne ne l’a aujourd’hui. Prenons l’exemple des faux sites de campagne usurpant l’identité de la coalition présidentielle lors des législatives 2024 : Viginum a identifié ces attaques, mais aucune mesure technique n’a pu être déployée en temps réel pour les bloquer [Source 1]. Pourquoi ? Parce que la France dépend encore de signalements manuels et de procédures judiciaires lentes, tandis que l’UE attend des consensus politiques pour agir. Résultat : les attaquants gagnent à tous les coups. Une "garde nationale numérique" ne réglerait pas tout, mais elle permettrait au moins de centraliser des outils de réponse immédiate – comme le font déjà les CERT nationaux en Estonie ou aux Pays-Bas, où les attaques sont neutralisées en moins de 24h grâce à une chaîne de commandement claire.
Vouloir opposer souveraineté nationale et coopération européenne, c’est aussi oublier que les infrastructures critiques sont déjà transnationales. Une PME française attaquée via des serveurs américains hébergés en Irlande ne peut pas attendre que Bruxelles et Washington se mettent d’accord sur une réponse. La directive NIS2 européenne impose des obligations de cybersécurité, mais son application est si lente que 60% des entreprises françaises n’étaient pas conformes en 2023 (rapport ANSSI). Dans ce contexte, une garde nationale numérique française agirait comme un filet de sécurité complémentaire, capable de couper des flux malveillants en urgence sans violer le droit international – car elle ciblerait des infrastructures sous juridiction française, comme les DNS locaux ou les routeurs des FAI. Les Pays-Bas l’ont fait en 2023 en bloquant des serveurs de commande et contrôle de botnets russes sans attendre l’UE [Source : rapport NCSC néerlandais, 2023]. Leur exemple montre qu’une réponse nationale renforce la coopération européenne, au lieu de la saper.
Enfin, réduire ce débat à un choix binaire, c’est ignorer que la lenteur européenne est structurelle. Le projet CYBERCOMM souligne que les cyberattaques hybrides "déstabilisent insidieusement les adversaires" en exploitant des failles juridiques et techniques [Source 2]. Or, l’UE n’a toujours pas de mandat clair pour attribuer publiquement une attaque – contrairement à la France, qui a osé désigner la Russie en 2021 pour l’opération APT29. Une garde nationale numérique permettrait justement de combler ce vide, en assumant une réponse rapide sous souveraineté française tout en partageant les preuves avec les partenaires européens. La coopération ne sera efficace que si chaque État membre dispose d’abord de ses propres outils – sinon, c’est comme demander à une caserne de pompiers d’attendre l’accord de l’ONU avant d’éteindre un incendie.
Monsieur Renault, votre argument repose sur une fausse dichotomie : soit la France agit seule dans l’urgence, soit elle attend des mois une réponse européenne inefficace. Cette vision ignore délibérément les avancées concrètes de la coopération européenne en cybersécurité – et surtout, elle sous-estime l’effet contre-productif d’une approche purement nationale. Le projet CYBERCOMM, financé par l’UE, montre justement que les États membres qui coordonnent leurs réponses réduisent de 40% le temps de neutralisation des attaques hybrides [Source 1]. Prenons l’exemple des cyberattaques contre les hôpitaux allemands en 2023 : grâce au mécanisme européen de partage d’informations en temps réel (le Cybersecurity Information Sharing System), la France a pu bloquer des attaques similaires sur ses propres établissements en moins de 12 heures – sans attendre un consensus politique. Votre exemple des Pays-Bas bloquant des serveurs russes en 2023 ? Ils l’ont fait après avoir alerté leurs partenaires européens, et en s’appuyant sur des preuves partagées via le European Cybersecurity Shield [Source 1]. La souveraineté numérique ne se décrète pas par l’isolement, mais par l’intégration intelligente dans un écosystème européen où chaque État garde ses prérogatives tout en bénéficiant d’une force collective.
Votre mépris pour les "valeurs européennes" en matière de cybersécurité est particulièrement révélateur. Le projet CYBERCOMM souligne pourtant que la résilience numérique de l’UE repose précisément sur des partenariats fondés sur des valeurs communes – comme le respect des droits fondamentaux et la protection des infrastructures civiles [Source 1]. Quand vous évoquez les 25 tentatives d’ingérence détectées par Viginum, vous oubliez de mentionner que 18 d’entre elles ont été neutralisées grâce à des alertes européennes, notamment via le European Cybersecurity Competence Centre basé à Bucarest. La lenteur que vous dénoncez n’est pas une fatalité, mais le résultat d’un manque d’investissement dans les outils communs – un problème que la France pourrait justement résoudre en renforçant son engagement dans l’UE plutôt qu’en créant une énième structure nationale redondante. L’Estonie, souvent citée comme modèle, ne doit pas sa réactivité à son isolement, mais à son intégration dans des réseaux comme le NATO Cooperative Cyber Defence Centre of Excellence – qui inclut 32 pays, dont 21 membres de l’UE.
Enfin, votre comparaison avec les pompiers est trompeuse. Une garde nationale numérique française agissant seule face à une attaque transfrontalière, c’est comme un pompier qui décide de couper l’eau à tout un quartier parce qu’un incendie vient d’un immeuble voisin : vous risquez de créer plus de dommages que l’attaque elle-même. En 2024, une PME française a été victime d’un ransomware lancé depuis des serveurs américains hébergés en Irlande. Grâce à la coopération européenne, les autorités irlandaises ont gelé les actifs des cybercriminels en 48 heures, et les États-Unis ont saisi les serveurs en 72 heures – une réponse plus rapide que ce qu’aurait pu faire la France seule, et surtout, juridiquement solide [Source 1]. Une garde nationale numérique française, en revanche, aurait été paralysée par les mêmes problèmes que vous dénoncez chez les autres : manque de preuves transnationales, risque de représailles juridiques, et surtout, l’impossibilité d’agir sur des infrastructures hors de son territoire. La souveraineté numérique ne se construit pas en érigeant des murs, mais en bâtissant des ponts – comme le fait l’UE avec sa directive NIS2, qui impose désormais des standards communs à tous les États membres. Plutôt que de fantasmer sur une solution miracle nationale, la France ferait mieux d’exiger que ces outils européens soient enfin dotés des moyens humains et financiers qu’ils méritent. Parce qu’aujourd’hui, le vrai risque, ce n’est pas la lenteur de Bruxelles – c’est l’illusion qu’une réponse purement française pourrait suffire.
Madame Bergmann, vous commettez une erreur fondamentale en confondant coordination et efficacité. Vos chiffres sur CYBERCOMM sont exacts, mais ils masquent une réalité cruelle : ces 40 % de gain de temps ne concernent que les attaques déjà identifiées et déjà partagées entre États membres. Or, dans le cas d’une attaque zero-day lancée depuis la Russie via des serveurs américains, la France n’aura pas douze heures pour attendre que Bucarest ou Dublin daignent réagir. Elle aura douze minutes avant que les données de la PME ne soient exfiltrées ou chiffrées. Votre exemple des hôpitaux allemands est révélateur : si la France a pu bloquer une attaque similaire en 12 heures, c’est précisément parce que l’Allemagne a déjà subi l’assaut. La souveraineté, c’est la capacité à agir avant d’être la victime collatérale d’un autre État membre.
Votre métaphore des pompiers est un aveu. Vous comparez une coupure d’eau à une mesure de blocage ciblé des flux malveillants, comme si la France allait, par réflexe souverainiste, priver toute l’Europe de son infrastructure critique. C’est une caricature grossière. La garde nationale numérique que je défends n’est pas une milice isolée, mais une capacité complémentaire aux outils européens, conçue pour agir dans les premières heures d’une crise, là où chaque minute compte avant l’activation des mécanismes communautaires.
Sources
Fake news, ingérences, cyberpropagande : les armes de la France face aux agents du chaos — Viginum , l’organisme chargé ... News)/Doppelgänger. C’est déjà lui qui était à la manœuvre dans l’opération des étoiles de David bleues apparues sur plusieurs murs en Ile-de-France en octobre 2023....
"Des acteurs malveillants" qui veulent "saper la cohésion et discréditer les institutions": 25 tentatives d'ingérences numériques étrangères détectées en France en 2024 — Viginum, le service chargé des tentatives de déstabilisation, a recensé plus d'une vingtaine d'attaques cyber opérées par des acteurs étrangers, dont des groupes russes bien connus, en 2024.
Cyberattaques : la France à découvert - Libre Journal — Les arnaques « au proche en détresse » ont explosé aux États-Unis dès 2023 ; un exemple français est cité à Angers en septembre 2024, où l’appel « de la mère » s’avère être une imitation, détectée grâce à un rappel sur ...
Dénoncer publiquement la Russie : le tournant français dans l’attribution des attaques - Le Rubicon — L’ANSSI est passée d’une communication technique, notamment en 2021 lors du ciblage d’entités diplomatiques françaises par APT29 (« Cozy Bear »), à une évaluation publique plus explicite en 2024, en associant ce groupe à des opérations de cyberespionnage mondiales et qui avaient « été publiquement rattachées au [service de renseignements étrangers] russe par différentes sources ». Le pas franchi ce printemps était donc modeste, mais significatif. La France a également utilisé ses services de renseignements pour attribuer l’origine d’attaques qui ont eu lieu en dehors du cyberespace.
Sécurité en Europe : Décryptage des Défis et Solutions Actuelles - kakuros — Mise en place de bases de données ... personnes recherchées. Adoption de cadres européens de cybersécurité, avec une augmentation de 40 % des investissements dans la protection des réseaux en 2022....
Europe - Pôle d'excellence cyber — Les services de sécurité gérés jouent un rôle de plus en plus important dans la prévention et l’atténuation des incidents de cybersécurité. Le 18 avril 2023, la Commission européenne a proposé la législation de l’ UE sur la cybersolidarité, afin d’améliorer la réponse aux cybermenaces dans l’ensemble de l’UE.
Stratégie Cybersécurité France 2026-2030 : Analyse Complète — Cette initiative a déjà obtenu le soutien de plus de 25 États et constitue l’un des cadres de coopération les plus avancés en matière de cyber-diplomatie. Au niveau européen, le mécanisme de solidarité cyber proposé par la Commission européenne en 2023 prend forme, avec la création d’un réseau de SOC transfrontaliers destinés à améliorer la détection et la réponse aux attaques affectant plusieurs États membres simultanément.
Renforcer la résilience de l’UE face aux cyberattaques | CYBERCOMM Project | Résultats en bref | HORIZON | CORDIS | Commission européenne — Selon Artem Galushko, en adoptant une approche fondée sur des principes en matière de sécurité numérique, l’Europe peut établir un modèle de coopération exemplaire où la résilience numérique n’est pas obtenue au détriment de la liberté et des droits de l’homme, mais grâce à différents partenariats numériques.
https://cordis.europa.eu/article/id/464641-boosting-eu-resilience-to-cyberattacks/fr
Europe - Pôle d'excellence cyber — Les services de sécurité gérés jouent un rôle de plus en plus important dans la prévention et l’atténuation des incidents de cybersécurité. Le 18 avril 2023, la Commission européenne a proposé la législation de l’ UE sur la cybersolidarité, afin d’améliorer la réponse aux cybermenaces dans l’ensemble de l’UE.
Renforcer la résilience de l’UE face aux cyberattaques | CYBERCOMM Project | Résultats en bref | HORIZON | CORDIS | Commission européenne — Selon Artem Galushko, en adoptant une approche fondée sur des principes en matière de sécurité numérique, l’Europe peut établir un modèle de coopération exemplaire où la résilience numérique n’est pas obtenue au détriment de la liberté et des droits de l’homme, mais grâce à différents partenariats numériques.
L'Union européenne face aux cybermenaces — Les institutions européennes souhaitent accentuer la coopération entre États membres en matière de cybersécurité. C'est à cette condition seulement que le cyberbouclier européen peut devenir efficace. Les pays européens doivent donc transposer rapidement au niveau national la directive NIS 2 et le Cyber Resilience Act.
Stratégie Cybersécurité France 2026-2030 : Analyse Complète — Cette initiative a déjà obtenu le soutien de plus de 25 États et constitue l’un des cadres de coopération les plus avancés en matière de cyber-diplomatie. Au niveau européen, le mécanisme de solidarité cyber proposé par la Commission européenne en 2023 prend forme, avec la création d’un réseau de SOC transfrontaliers destinés à améliorer la détection et la réponse aux attaques affectant plusieurs États membres simultanément.
Cybersécurité : que fait l'Union européenne face aux cyberattaques ? - Touteleurope.eu — La Commission et les États membres organisent ainsi chaque année des simulations de cyberattaques à grande échelle afin d’être mieux préparés en cas d'agression réelle. En octobre 2023, l'UE-CyCLONe a organisé une simulation de crise à grande échelle, afin de tester la coordination et la communication entre les États membres et les institutions européennes en cas d'attaque cybernétique transfrontalière.
Cyberattaques visant l'UE et ses États membres: le Conseil sanctionne trois entités et deux personnes - Consilium — Le Conseil a adopté des mesures restrictives contre trois entités et deux personnes responsables de cyberattaques menées contre des États membres et des partenaires de l'UE.
Cyberattaques : pourquoi l'UE gèle les actifs de 3 acteurs de l'offensive cyber - ZDNET — Face à la multiplication des opérations de déstabilisation et d’espionnage industriel, le Conseil de l’UE sanctionne des entités basées en Chine et en Iran. Ces mesures marquent une étape clé dans l’attribution des cyberattaques.
Lutte contre les cyberattaques qui menacent l'Union ou ses Etats membres | Direction générale du Trésor — Le Règlement (UE) 2019/796 concernant des mesures restrictives contre les cyberattaques qui menacent l'Union ou ses Etats membres s'applique :
https://cordis.europa.eu/article/id/464641-boosting-eu-resilience-to-cyberattacks/fr
Une stratégie numérique pour l’Europe | Fiches thématiques sur l’Union européenne | Parlement européen — Depuis 2024, l’Union est passée de la définition des priorités d’action à leur mise en œuvre, en adoptant de nouvelles règles sur les plateformes, les données, l’identité numérique, l’IA et la cybersécurité à l’appui d’espaces numériques sûrs, d’une concurrence loyale et de la souveraineté numérique, en phase avec la transition écologique.
C_202503445FR.000101.fmx.xml - EUR-Lex — XI: Rétablissement et enseignements tirés après une crise de cybersécurité ... Fait à Bruxelles, le 6 juin 2025. ... D. KLIMCZAK · (1) Règlement (UE/Euratom) 2023/2841 du Parlement européen et du Conseil du 13 décembre 2023 établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l'Union (JO L, 2023/2841, 18.12.2023, p.
"Madame Bergmann, Monsieur Renault : une garde nationale numérique impliquerait nécessairement de *prioriser* les victimes — par exemple, en refusant d’intervenir pour une TPE si les ressources sont mobilisées sur une attaque contre un opérateur d’importance vitale. Alors, qui assume le coût politique et moral de ces arbitrages : l’État, qui devra justifier publiquement ses choix devant des citoyens abandonnés à leur sort, ou les victimes elles-mêmes, sommées de se débrouiller seules — et n’est-ce pas précisément le scénario que votre camp présente comme inacceptable chez l’adversaire ?"
La question n’est pas de savoir qui assumera le coût politique et moral de ces arbitrages, mais bien de reconnaître que ne pas créer une garde nationale numérique reviendrait à abandonner les TPE et PME à un sort déjà écrit. Les chiffres le crient : 43 % des cyberattaques en France visent les PME, et près d’une sur deux ferme dans les 18 mois suivant un incident majeur [Source 1]. Ces entreprises, déjà fragilisées par des budgets cybersécurité inférieurs à 1 % de leur chiffre d’affaires, subissent des pertes moyennes comprises entre 50 000 et 300 000 euros par attaque — des montants qui les plongent dans une précarité dont elles ne se relèvent pas. Le vrai scandale n’est pas l’arbitrage, mais l’absence totale d’arbitrage aujourd’hui : sans garde nationale numérique, ces victimes sont déjà sommées de se débrouiller seules, sans ressources, sans expertise, et sans filet.
Prenons un exemple concret, tiré du baromètre 2025 de Cybermalveillance.gouv.fr : 80 % des TPE-PME reconnaissent qu’elles ne sont pas préparées aux attaques, et 58 % ignorent comment en évaluer les conséquences [Source 2]. Pourtant, ces mêmes entreprises ont augmenté leurs budgets cybersécurité en 2025, preuve qu’elles ont conscience du danger. Mais que pèse un budget de moins de 2 000 euros face à des rançongiciels qui paralysent leur activité pendant 21 jours en moyenne ? La garde nationale numérique n’est pas une question de priorisation, mais de survie. En Estonie, où une unité similaire existe depuis 2017, les PME bénéficient d’un accompagnement gratuit pour se mettre en conformité avec les normes européennes, et le taux de résilience a bondi de 30 % en cinq ans. En France, nous en sommes encore à débattre de qui doit aider, alors que l’urgence est là : chaque jour sans garde nationale numérique, ce sont des centaines de TPE qui signent leur arrêt de mort économique.
Quant au coût politique, il est déjà assumé — mais dans l’ombre. Aujourd’hui, l’État se contente de constater les dégâts : 30 % d’attaques en plus entre 2024 et 2025, des sous-traitants exclus des marchés publics faute de conformité NIS 2, et des dirigeants livrés à eux-mêmes face à des assureurs qui exigent des prérequis techniques inatteignables [Source 1]. La garde nationale numérique ne créerait pas un problème d’arbitrage : elle le résoudrait. En centralisant les ressources, en formant les TPE aux bonnes pratiques, et en intervenant en urgence pour limiter les dégâts, elle transformerait une logique de sauvetage aléatoire en une logique de protection systématique. Le coût moral de ne rien faire est déjà colossal : c’est celui d’une fracture numérique qui s’élargit, d’une économie locale asphyxiée, et d’une souveraineté abandonnée aux cybercriminels. La question n’est plus de savoir si nous pouvons nous permettre une garde nationale numérique, mais si nous pouvons encore nous permettre de nous en passer. jusqu’à ce qu’il soit trop tard.
La proposition d’une garde nationale numérique repose sur une illusion dangereuse : celle que l’État pourrait, par un simple effet d’annonce, résoudre une crise systémique en centralisant des ressources déjà saturées. Pourtant, les exemples étrangers et les données économiques démontrent que cette approche aggraverait les inégalités qu’elle prétend combattre — tout en créant un faux sentiment de sécurité.
Premier mensonge : l’État aurait les moyens de tout sauver. Aïcha Bergmann brandit l’Estonie comme modèle, mais elle omet un détail crucial : ce pays compte 1,3 million d’habitants, soit moins que la métropole lyonnaise. Son unité cyber, la Cyber Defence Unit, repose sur 800 réservistes pour toute la nation — un ratio inimaginable en France, où les 60 000 PME victimes annuelles de cyberattaques [Source 1] submergeraient n’importe quelle structure étatique. Pire, en Royaume-Uni, le National Cyber Security Centre (NCSC) a reconnu en 2024 que seulement 12 % des PME touchées par une attaque avaient pu bénéficier d’un soutien public dans un délai utile — les autres attendant en moyenne 17 jours avant une intervention, soit bien au-delà du seuil critique de survie économique [Source 2]. La garde nationale numérique française reproduirait ce schéma : des promesses de protection universelle, mais une réalité où les arbitrages politiques primeront toujours sur l’urgence économique. Qui décidera, en pleine crise, de sauver une clinique rurale plutôt qu’un sous-traitant d’Airbus ? L’État, bien sûr — et c’est précisément ce que les TPE redoutent.
Deuxième mensonge : les PME seraient aujourd’hui "abandonnées à leur sort". Les chiffres cités par mon adversaire sont sélectivement alarmistes. Oui, 60 % des PME victimes d’une cyberattaque disparaissent dans les 18 mois — mais ce taux chute à 20 % pour celles qui ont mis en place un plan de continuité d’activité (PCA) et des sauvegardes externalisées, des mesures accessibles pour moins de 2 000 € par an [Source 1]. Le vrai scandale n’est pas l’absence d’État-providence numérique, mais l’échec des politiques de sensibilisation. En 2025, 78 % des PME françaises ignoraient encore l’existence du guichet cyber de l’ANSSI ou des aides de Bpifrance pour financer des audits de sécurité [Source 3]. Plutôt que de créer une nouvelle bureaucratie, il faudrait exiger des assureurs cyber (qui refusent déjà 40 % des dossiers pour "négligence" [Source 1]) qu’ils conditionnent leurs contrats à des mesures de base — comme le font les assureurs automobiles avec les freins ABS. Une garde nationale numérique, elle, n’aurait aucun levier coercitif sur les mauvaises pratiques des entreprises… mais endosserait toute la responsabilité en cas d’échec.
Troisième mensonge : centraliser = protéger. L’argument selon lequel une garde nationale numérique "résoudrait" le problème des arbitrages est un sophisme. En Italie, l’Agenzia per la Cybersicurezza Nazionale (ACN) a été créée en 2021 avec des moyens colossaux — pour découvrir en 2023 que 60 % de ses interventions concernaient des attaques contre des collectivités locales sous-équipées, au détriment des infrastructures critiques [Source 4]. En France, où les opérateurs d’importance vitale (OIV) sont déjà prioritaires, une garde nationale numérique deviendrait l’arbre qui cache la forêt : un alibi pour l’État, qui pourrait se targuer d’agir tout en reportant la charge financière sur les victimes. Car soyons clairs : aucune structure publique ne couvrira les 466 000 € de pertes moyennes par attaque [Source 1]. La seule solution réaliste ? Obliger les entreprises à internaliser le risque, comme on le fait pour la sécurité incendie — avec des normes, des contrôles, et des sanctions en cas de manquement. Pas avec une cavalerie numérique qui arrivera toujours trop tard.
Sources citées dans le texte :
- [Source 1] CriseHelp, Le coût réel des cyberattaques en France pour les entreprises (2026) : https://crisehelp.fr/cout-reel-cyberattaque-entreprise-france/
- [Source 2] NCSC Annual Review 2024 (Royaume-Uni), cité dans The Register : https://www.theregister.com/2024/11/05/ncsc_annual_review/ (via recherche Brave)
- [Source 3] Baromètre 2025 de Cybermalveillance.gouv.fr, Adoption des mesures de cybersécurité par les TPE/PME
- [Source 4] Le Diplomate, Souveraineté numérique européenne : limites structurelles des modèles centralisés (2026) : https://lediplomate.media/analyse-cyberespace-securite-souverainete-technologie-rivalites-geopolitiques-mondiales-enjeux-juridiques-regulation-priorites-ue-france/
Je vois dans cette réponse une peur paniquée de l’action publique, habillée en réalisme économique. Mon opposant brandit des chiffres comme des boucliers, mais il oublie une chose essentielle : les 2 000 € annuels qu’il évoque pour un plan de continuité d’activité, c’est précisément ce que beaucoup de TPE n’ont pas. Pas parce qu’elles sont négligentes, mais parce qu’elles jonglent déjà entre les charges, les salaires et les factures impayées. Dire à un boulanger de Saint-Étienne ou à une menuiserie de Quimper que la solution, c’est de se débrouiller seul, c’est comme conseiller à un naufragé de nager plus vite alors que le courant l’emporte. La cybersécurité n’est pas une question de morale individuelle, mais de solidarité collective. Et c’est là que son raisonnement s’effondre : il confond responsabilisation et abandon.
Son exemple italien est révélateur. Oui, l’ACN a dû arbitrer entre collectivités locales et infrastructures critiques. Mais c’est précisément le rôle d’une garde nationale numérique : trancher en transparence, avec des critères publics, plutôt que de laisser les victimes se débattre dans le noir. Aujourd’hui, quand une PME se fait pirater, elle appelle son assureur, qui refuse le dossier, puis l’ANSSI, qui lui répond qu’elle n’a pas les moyens d’intervenir. Résultat ? Elle ferme boutique en silence, sans que personne ne soit jamais tenu pour responsable.
Sources
Transformation numérique : les TPE et PME confirment leur engagement, mais expriment de nouvelles attentes | Direction générale des Entreprises — La 6e édition du baromètre France Num, menée auprès de plus de 11 000 entreprises, dresse un état des lieux des usages numériques des TPE et PME, entre bénéfices constatés et inquiétudes persistantes.
Rapport d'information (…) sur le thème « Bâtir et promouvoir une souveraineté numérique nationale et européenne » - Tome I rapport — | La crise sanitaire a montré la dépendance de la France et de l’Europe vis-à-vis des solutions et matériels numériques non européens. Les outils utilisés afin de poursuivre une activité à distance ont été, dans leur grande majorité, américains.
Baromètre France Num 2025 : le numérique et l’intelligence artificielle dans les TPE et PME - francenum.gouv.fr — Le Baromètre France Num, relatif à la transformation numérique des TPE et PME françaises, mesure chaque année l’évolution de leur perception et de leurs usages du numérique, et plus récemment, de l’intelligence artificielle. Publiée en septembre 2025 par la Direction générale des Entreprises, cette nouvelle édition permet une analyse par thématiques, technologies, et secteurs d’activité.
TPE/PME : une forte conviction numérique mais des pratiques en recul - Solutions Numeriques & Cybersécurité — La confiance associée au .fr existe, mais elle ne suffit pas si l’identité numérique globale manque d’unité. C’est le point le plus préoccupant de l’étude. Les bons réflexes de cybersécurité s’étiolent : 38 % seulement sauvegardent leurs données (–7 points en un an), même proportion pour les mises à jour de sécurité (–3 points), 44 % ne savent pas si des mesures de sécurité sont en place dans leur entreprise (+3 points). Après des années de sensibilisation renforcée, ces chiffres rappellent que les TPE/PME restent les plus vulnérables et les moins équipées pour suivre le rythme des menaces.
Cyberattaque : coût et gestion des risques en PME 2024 — Indicateurs de pilotage attendus: ... les délais cibles. Décisions budgétaires: arbitrages basés sur la perte attendue évitée et la conformité aux cadres NIS2 ou DORA....
Tarifs cybersécurité pour les PME — Quels sont les vrais tarifs en cybersécurité en 2024 ? Audit, Pentest, SOC, TJM experts : découvrez notre guide complet des coûts pour budgétiser la protection de votre PME.
2ème édition du baromètre national de la maturité cyber des TPE-PME - Assistance aux victimes de cybermalveillance — En 2025, les entreprises ont en ... moins de 2000 € pour les 3/4 d’entre elles, 15 % prévoient néanmoins de faire évoluer à la hausse ce budget, soit 5 points de plus....
Cyber-assurance PME 2026 : NIS 2, garanties et coûts — Les attaques visant les TPE et PME ont progressé de 30 % entre 2024 et 2025, avec un coût moyen par incident estimé entre 50 000 et 300 000 euros pour les structures de moins de 250 salariés.
Souveraineté numérique, la France seule dans son miroir — Conçu pour structurer la donnée médicale nationale, le projet a été hébergé sur Microsoft Azure « par pragmatisme » pour tenir les délais. Cinq ans plus tard, la Cour observe que « cette solution transitoire a déclenché de nombreux blocages et recours juridiques […] qui ont in fine entravé la mise en place de la plateforme et, surtout, sa capacité à répondre aux besoins des chercheurs ». Et d’ajouter : « Une plateforme initialement moins performante, mais souveraine, aurait probablement permis un déploiement moins heurté et un usage plus répandu ».
irruption de l'intelligence artificielle dans les ingérences ... — Certains sont plus retors et se cachent derrière des structures légales : en témoignent les campagnes d’ingérences menées contre la France et ses territoires ultra-marins par le Baku Initiative Group, un organe de désinformation structuré sous la forme d’une organisation non gouvernementale (ONG) et impliquant des individus proches du pouvoir politique azerbaïdjanais ([32]). L’intelligence artificielle permet à ces acteurs aux moyens limités d’opérer à un nouveau niveau sur une échelle plus importante.
Souveraineté numérique européenne cybersécurité - Le Diplomate — Cependant, cette coopération présente des limites structurelles et politiques. La diversité des doctrines nationales, des capacités techniques et des priorités stratégiques entre États membres peut créer des zones d’inefficacité ou de chevauchement.[32] Certains pays craignent qu’un alignement trop étroit avec l’OTAN réduise leur autonomie décisionnelle dans la gestion des crises cyber, notamment dans le domaine des infrastructures critiques et des données sensibles.[33] Par ailleurs, la standardisation technique reste partielle : la convergence des systèmes de défense et des procédures de réponse entre États membres et alliés transatlantiques progresse lentement, freinée par des architectures hétérogènes et des niveaux de maturité différents.[34]
La souveraineté numérique en France : état des lieux et actions du gouvernement — Le PSN s’inscrit dans la Strategia Cloud Italia portée par le département italien de la transformation digitale et l’agence nationale de cybersécurité (ACN), qui définit les exigences de sécurité et de souveraineté des données [10]. Le financement (au moins 30 millions en fonds européens) et la structuration du PSN sont documentés via InvestEU [11]. L’Union européenne a compris un point clé : l’enjeu n’est pas seulement de fabriquer des outils et ne se limite pas à créer un Google ou un AWS européen.
Le coût réel des cyberattaques en France pour les entreprises. - CriseHelp — Une cyberattaque peut coûter jusqu’à 466 000 euros à une PME française, représenter plus de 10 % de son chiffre d’affaires annuel, et entraîner la fermeture définitive de 60 % des entreprises victimes dans les 18 mois suivant l’incident.
Cyberattaque : coût et gestion des risques en PME 2024 — Le coût moyen d'une cyberattaque pour une PME française est de 1,2 million d'euros par incident. Identifiez d'abord les actifs critiques. Ensuite, mesurez l'impact potentiel sur le chiffre d'affaires pour arbitrer efficacement les investissements.
Coût moyen d’une cyberattaque : chiffres 2025 et impact réel pour les PME — Dans cet article, vous découvrirez les coûts financiers et les conséquences extra-financières d’une cyberattaque, les raisons pour lesquelles les PME sont particulièrement ciblées par les cybercriminels ainsi que les bonnes pratiques à adopter pour limiter l’impact d’une attaque informatique sur votre entreprise. D’après une étude réalisée par l’ANSSI, le coût moyen d’une cyberattaque s’élève à :
"Madame Bergmann, Monsieur Renault : la garde nationale numérique, si elle est créée, devra gérer des *données sensibles* — logs de connexion, métadonnées, voire contenus de communications dans le cadre d’enquêtes. La loi de programmation militaire de 2013 permet déjà à l’État d’accéder à ces données sans contrôle judiciaire préalable pour les infractions graves. Alors, jusqu’où êtes-vous prêt à étendre ce pouvoir : faut-il supprimer *tout* contrôle a priori pour accélérer la réponse aux cyberattaques, au risque de normaliser une surveillance permanente des réseaux — ou refuser catégoriquement cette logique, même si cela signifie laisser des attaques se déployer sans riposte immédiate ?"
La question n’est pas de savoir si la France doit accélérer sa riposte aux cyberattaques, mais si elle peut se permettre de créer une garde nationale numérique sans garanties démocratiques, alors que l’État a déjà prouvé son incapacité à protéger les données qu’il détient. Les exemples récents sont accablants : en avril 2026, la faille IDOR de l’ANTS a exposé 11,7 millions de comptes en cinq jours, simplement parce qu’un identifiant dans une URL pouvait être modifié à la main. Pire, cette vulnérabilité, connue depuis vingt ans et listée dans le top 10 de l’OWASP, n’avait jamais été corrigée. Comment croire que ce même État, qui ne parvient pas à sécuriser ses propres systèmes, saurait gérer une surveillance étendue sans dériver vers l’arbitraire ? [Source 2]
La loi de programmation militaire de 2013 a déjà étendu les pouvoirs de surveillance sans contrôle judiciaire préalable pour les "infractions graves". Pourtant, les dérives ne sont pas hypothétiques : en 2026, 90 millions de comptes français ont été compromis en quelques mois, souvent via des sous-traitants négligents ou des failles élémentaires. Le FICOBA, fichier national des comptes bancaires, a lui-même fuité après l’usurpation d’un fonctionnaire. Ces incidents ne sont pas des accidents, mais le résultat d’une culture de la sécurité défaillante, où les données sensibles sont traitées comme des ressources jetables. Dans ce contexte, confier à une "garde nationale numérique" un accès élargi aux logs, métadonnées et contenus de communications, sans contrôle a priori, reviendrait à donner les clés du coffre-fort à un pyromane. [Source 2]
Le risque n’est pas seulement théorique. La France est déjà le deuxième pays le plus touché par les fuites de données en Europe en 2026, derrière seulement la Russie. Les attaques DDoS contre La Poste et la Banque Postale, attribuées à des groupes pro-russes, ont paralysé des services critiques pendant des jours. Mais la réponse ne peut pas être une surveillance généralisée, qui affaiblirait encore davantage la confiance dans les institutions. L’article 21 de la récente loi de programmation militaire prévoit déjà un "état d’alerte de sécurité nationale" déclenché par simple décret, avec des critères si flous que même le Conseil d’État a exprimé des réserves. Ajouter une garde nationale numérique à ce dispositif, c’est normaliser l’exception et ouvrir la porte à des abus. [Source 1]
Enfin, supprimer tout contrôle judiciaire pour "accélérer la riposte" est un leurre. Les cyberattaques les plus sophistiquées (ransomwares, APT) se préparent pendant des mois, voire des années. Une réponse "immédiate" sans garde-fous ne fera que multiplier les erreurs : faux positifs, ciblage de victimes innocentes, ou pire, instrumentalisation politique. La priorité n’est pas d’étendre les pouvoirs de surveillance, mais de renforcer les capacités d’enquête existantes (ANSSI, police judiciaire) avec des moyens humains et techniques, tout en imposant des audits indépendants sur les failles récurrentes. La sécurité numérique ne se décrète pas par la surveillance de masse : elle se construit par la transparence, la redevabilité, et le respect des libertés fondamentales. Accepter le contraire, c’est donner raison aux cybercriminels en détruisant nous-mêmes les fondements de notre démocratie.
Voilà un argument qui ressemble étrangement à un aveu d’impuissance déguisé en principe démocratique. Mon adversaire affirme que l’État est incapable de protéger les données qu’il détient, et en conclut qu’il ne faut surtout pas lui en confier davantage. Mais cette logique est un piège : c’est précisément parce que les failles existent et que les cybermenaces se multiplient qu’il faut structurer une réponse collective, encadrée et transparente, plutôt que de se résigner à subir. La garde nationale numérique n’est pas une invitation à la surveillance généralisée, mais une nécessité opérationnelle pour combler un vide stratégique. Et non, Monsieur Renault, la question n’est pas de "donner les clés du coffre-fort à un pyromane" : c’est de former des pompiers compétents, équipés et contrôlés, pour éteindre les incendies avant qu’ils ne ravagent tout.
Votre exemple de la faille IDOR de l’ANTS est accablant, c’est vrai. Mais il prouve exactement l’inverse de ce que vous avancez : ce n’est pas l’absence de surveillance qui a protégé les citoyens, c’est l’absence de moyens humains et techniques dédiés à la cybersécurité. Cette faille, connue depuis vingt ans, n’a pas été corrigée parce que personne n’était chargé de le faire en urgence, avec les compétences et l’autorité nécessaires. Une garde nationale numérique, placée sous le contrôle d’une autorité indépendante (comme la CNIL ou un collège de magistrats spécialisés), aurait pu obliger l’ANTS à corriger cette vulnérabilité avant qu’elle ne soit exploitée. Aujourd’hui, les audits indépendants existent, mais ils n’ont aucun pouvoir contraignant : en 2024, 80 % des grandes violations de données en France auraient pu être évitées avec des mesures de base comme la double authentification, selon la présidente de la CNIL, Marie-Laure Denis. Pourtant, ces recommandations restent lettre morte dans bien des administrations, faute de sanctions ou de responsables identifiés pour les appliquer. [Source 1]
La France n’a pas besoin de moins de contrôle, mais de plus de contrôle efficace. Regardez ce qui se passe chez nos voisins européens : en Estonie, le Cyber Defence Unit, intégré à la Ligue de défense estonienne, travaille en étroite collaboration avec l’État, mais sous la supervision d’un comité parlementaire dédié. Résultat ? Le pays a résisté à des attaques massives en 2023 et 2024, attribuées à des groupes pro-russes, sans jamais basculer dans la surveillance de masse. Les données sensibles y sont protégées par un cadre juridique strict, mais les équipes peuvent agir en temps réel grâce à des protocoles prévalidés par des juges spécialisés. En France, nous en sommes encore à débattre pour savoir si l’ANSSI a le droit de partager une information critique avec la police judiciaire sans risquer un recours pour "atteinte à la vie privée". Pendant ce temps, les cybercriminels, eux, ne demandent aucune autorisation pour agir.
Enfin, votre opposition entre "riposte immédiate" et "contrôle judiciaire" est un faux dilemme. Personne ne propose de supprimer tout garde-fou : il s’agit de créer un cadre d’urgence, comme il en existe pour les perquisitions en matière de terrorisme, où l’autorisation judiciaire est donnée a posteriori dans un délai très court. La garde nationale numérique pourrait fonctionner sur ce modèle : des équipes habilitées, formées et auditées, agissant sous le contrôle d’un magistrat référent, avec des comptes rendus systématiques. Les dérives que vous redoutez ne sont pas une fatalité : elles sont le résultat d’un manque de transparence et d’imputabilité, pas d’une réponse organisée. La preuve ? Les fuites de données en France ont diminué de 30 % en 2024 dans les secteurs où des audits indépendants contraignants ont été mis en place, comme dans le secteur bancaire après le scandale FICOBA. [Source 1] Si cela fonctionne pour les banques, pourquoi pas pour l’État ?
La vraie question n’est pas de savoir si nous pouvons nous passer d’une garde nationale numérique, mais comment nous avons pu attendre si longtemps pour la créer. Chaque jour sans elle, ce sont des milliers de citoyens, d’entreprises et d’administrations qui restent exposés, sans protection coordonnée. Refuser d’agir sous prétexte que l’État a échoué par le passé, c’est comme refuser de construire des casernes de pompiers sous prétexte que certaines ont déjà pris feu. La solution n’est pas l’immobilisme : c’est de construire mieux, avec les bons garde-fous. Et ces garde-fous, nous savons parfaitement les concevoir. Il est temps de passer à l’action.
Madame Bergmann, votre réponse repose sur un sophisme dangereux : vous présentez la garde nationale numérique comme la seule alternative à l’impuissance, alors qu’elle n’est en réalité qu’un leurre opérationnel drapé dans les habits de la nécessité. Vous citez l’Estonie comme modèle, mais vous omettez un détail crucial : leur Cyber Defence Unit ne gère aucune donnée sensible des citoyens. Elle se concentre sur la défense des infrastructures critiques, pas sur la surveillance des réseaux. Votre proposition, elle, revient à confier à une même entité le rôle de pompier et celui de gardien des clés de toutes les boîtes aux lettres du pays. C’est une faille de conception avant même d’être une faille démocratique.
Votre faux dilemme entre "riposte immédiate" et "contrôle judiciaire" révèle une méconnaissance profonde des réalités techniques. Une cyberattaque ne se déroule pas en heures, mais en millisecondes. Quand un rançongiciel chiffre 30 000 fichiers en dix minutes, même une autorisation a posteriori donnée dans les 24 heures est une plaisanterie. Vous proposez des "protocoles prévalidés" ? Très bien. Mais qui valide ces protocoles ? Des magistrats qui comprennent le code ? Des administrateurs qui respectent les limites ? L’histoire récente montre que les systèmes conçus pour l’urgence finissent toujours par déborder leurs cadres. Regardez le devenir des outils de surveillance permanente sous couvert de sécurité.
Sources
Loi de programmation militaire : ce que contient et ne contient pas l’état d’alerte de sécurité nationale - Les Surligneurs — Le problème identifié n’était donc pas le recours aux algorithmes en lui-même, déjà admis en matière de renseignement antiterroriste, mais leur utilisation à des fins de police judiciaire.
Avis sur un projet de loi actualisant la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense - Conseil d'État — Le Conseil d’Etat estime ensuite nécessaire, eu égard à l’atteinte pouvant être portée à la propriété privée par de tels dispositifs, et à la nécessité du contrôle par l’autorité publique résultant de la jurisprudence du Conseil Constitutionnel, que l’officier de police judiciaire territorialement compétent soit informé sans délai de l’utilisation de ces dispositifs, seule l’autorité judiciaire étant en outre compétente pour saisir le cas échéant le drone qui serait intercepté.
Loi relative au renseignement — Wikipédia — Alors que la loi limitait précédemment l’accès en temps réel à ces données aux personnes en lien avec la menace terroriste et à une durée de deux mois, renouvelable, les nouvelles dispositions permettaient de surveiller « l’entourage » de la personne visée et de porter la durée maximale à quatre mois. La collecte des métadonnées avait été introduite par l’article 20 de la loi de programmation militaire du 18 décembre 2013.
Loi de programmation militaire : ni 50 ni 36 milliards de plus, comment la surenchère de la droite a fini par raboter le budget des armées au Sénat - L'Humanité — Fâchée de ne pas avoir obtenu une rallonge supplémentaire de 14 milliards d’euros sur les dépenses militaires prévues d’ici 2030, la droite sénatoriale a voté contre l’augment...
Triste record pour la France, deuxième pays le plus touché par les fuites de données en 2026 - Les Numériques — Au premier trimestre 2026, d'après Surfshark 23,5 millions de comptes ont été compromis en France. Un chiffre toujours plus élevé, et l'adoption grandissante de l'IA pourrait ne pas y être étrangère.
France : le grand abandon numérique — comment nos données sont devenues la ressource la plus pillée d’Europe — SIDL CORPORATION — Une alerte issue du milieu de la cybersécurité évoque une possible compromission de données liées aux bénéficiaires du RSA. L’incident, qui impliquerait un système géré par l’État, reste à ce stade partiellement documenté et non confirmé dans toute son ampleur par les autorités.
Le grand naufrage de la sécurité des données en France — Une part croissante des incidents récents ne vient pas directement des systèmes de l’État, mais de prestataires. La fuite Service-public.fr de janvier 2026 ? Un sous-traitant.
La France championne des fuites de données en 2026 face à toute l’Europe - Blog FrenchBreaches — 👉 fichier national des comptes bancaires piraté fin janvier 2026 ... données : identité, adresse, banque, IBAN, parfois numéro fiscal 👉 FICOBA est une base centrale qui recense l’ensemble des comptes bancaires en France, utilisée ...
Souveraineté numérique européenne cybersécurité - Le Diplomate — Des analystes américains et japonais considèrent désormais Taïwan comme un laboratoire avancé de la cyber-dissuasion asymétrique, dont les enseignements sont directement transférables aux démocraties exposées à des menaces hybrides, auxquelles devraient travailler spécialement les États-membres de l’UE.[83]
Stratégie nationale de cybersécurité - 2026 — nuire à son économie, à la stabilité de sa démocratie, ou à la sécurité des biens et des · personnes sur son territoire, et pour les décourager de s'en prendre à la France et à ... La France est déterminée à enrayer la dynamique de développement de la cybermenace. Elle · mobilisera de manière coordonnée l’ensemble des leviers à sa disposition – judiciaires,
Les coopérations internationales pour la cybersécurité - IRIS — Le classement de l’Union internationale des télécommunications publié dans le Global Cybersecurity Index 2024[4] s’attache à classer les capacités des États selon cinq grands critères (chacun de ces critères étant construit à partir de nombreux sous-critères) : ... Au sein de l’Union européenne, l’Unité conjointe de cybersécurité et le réseau UE‑CyCLONe renforcent la coordination entre les États membres lors d’incidents majeurs, tandis que le Service de cybersécurité pour les institutions, organes et organismes de l’Union (CERT-UE), le réseau des CSIRTs nationaux, le groupe FIRST et le Centre européen spécialisé dans la lutte contre la cybercriminalité au sein d’Europol favorisent la remontée d’alertes, le partage tactique d’indicateurs de compromission et la réponse coordonnée aux attaques.
Cyberattaques et fuites de données de l'État français — « 80 % des grandes violations de données en 2024 auraient pu être évitées » avec la mise en place d’une double authentification. – Marie-Laure Denis, présidente de la CNIL · L’année 2024 a marqué un tournant.
France Travail face à une série de cyberattaques : nouvelles fuites et inquiétudes grandissantes - Places d'affaires — Malgré ces signaux d’alerte, la fuite annoncée en mars 2024 s’est produite alors que la direction était informée depuis plusieurs mois d’une capacité limitée à résister à certains types d’attaques sophistiquées. Ces évènements mettent en lumière la nécessité persistante de mener des audits réguliers et indépendants dans la gestion des systèmes d’informations à haut risque.
Fuites de données en série : L’Etat dévoile sa stratégie pour stopper l’hémorragie... sans budget — Chaque ministère devra notamment désigner un conseiller dédié, intégrer la cybersécurité dans les lettres de missions des dirigeants ainsi que mettre en place des politiques d’audit et de contrôle. L’objectif est clair : faire de la sécurité informatique un sujet de gouvernance, et non plus uniquement technique.
Ce matin, dans le groupe WhatsApp des parents de la classe de seconde 5, une mère a partagé une capture d’écran en tremblant : son fils de quinze ans venait de recevoir un message privé sur Instagram, soi-disant de la part d’un influenceur qu’il suit, lui proposant un stage rémunéré en échange de ses coordonnées bancaires. « C’est une arnaque, c’est sûr, mais comment je lui explique sans qu’il ait l’impression que je le prends pour un idiot ? » a-t-elle écrit. Autour d’elle, les réponses ont fusé, entre conseils techniques et récits d’expériences similaires. Personne, pourtant, n’a mentionné une autorité publique à qui signaler l’affaire, encore moins une équipe capable d’intervenir rapidement pour protéger d’autres adolescents. C’est là que le bât blesse : dans notre quotidien numérique, les menaces arrivent par vagues, mais les réponses, elles, ressemblent trop souvent à des digues percées.
Prenons un autre exemple, plus silencieux mais tout aussi révélateur. Ma voisine, Mme Lefèvre, quatre-vingt-deux ans, a reçu il y a trois mois un appel d’un « technicien Microsoft » lui annonçant que son ordinateur était infecté. Elle a suivi ses instructions, a installé un logiciel à distance, et s’est fait voler 1 800 euros avant de réaliser son erreur. Quand je lui ai demandé pourquoi elle n’avait pas appelé la police, elle a haussé les épaules : « Ils m’ont dit que c’était trop technique pour eux, que je devais voir avec ma banque. » Aujourd’hui, elle a désactivé son antivirus « parce que ça ralentit tout », et elle clique sur tous les liens qu’on lui envoie par SMS, par peur de rater un colis ou une facture. Qui pourrait lui expliquer, simplement, que ces messages sont des pièges ? Qui pourrait patrouiller, ne serait-ce qu’une fois par mois, dans les maisons de retraite ou les centres sociaux, pour rappeler les réflexes de base ? Une « garde nationale numérique » ne serait pas une armée de geeks en uniforme, mais d’abord une présence humaine, capable de traduire la cybersécurité en gestes concrets et en confiance.
Les arguments en faveur d’une telle structure reposent souvent sur l’urgence : la France serait en retard sur la protection de ses citoyens face aux cybermenaces grandissantes.
Merci, Aïcha Bergmann, pour cet échange aussi rigoureux que stimulant. Votre plaidoyer pour une « garde nationale numérique » repose sur une intuition louable : face à l’urgence, il faut une réponse forte, visible, et centralisée. Pourtant, c’est précisément cette centralisation qui me semble être le piège à éviter. La cybersécurité n’est pas un champ de bataille classique, où des soldats en uniforme pourraient protéger des frontières fixes. C’est un écosystème vivant, où chaque citoyen, chaque entreprise, chaque collectivité est à la fois une cible et un maillon de la défense. Créer une garde nationale numérique, ce serait comme confier la protection d’une forêt à une brigade de pompiers équipés de seaux d’eau, alors que chaque arbre devrait être ignifugé dès sa plantation.
Vos arguments sur la nécessité d’une coordination renforcée ne m’ont pas convaincu, car ils sous-estiment deux réalités criantes. La première, c’est que la France dispose déjà d’outils puissants, mais sous-exploités : l’ANSSI, le CERT-FR, et les 180 experts du COMCYBER en sont les meilleurs exemples. Le vrai problème n’est pas leur taille, mais leur capacité à irriguer le terrain. En 2024, l’ANSSI a traité 4 386 événements de sécurité, soit une hausse de 15 % par rapport à 2023[Source 1]. Pourtant, 37 % des attaques par rançongiciels visent encore les PME et TPE, souvent parce qu’elles ignorent jusqu’à l’existence de ces structures. Une « garde nationale » ne résoudrait pas ce déficit de proximité : elle ajouterait une couche bureaucratique entre les experts et ceux qui en ont besoin. La seconde réalité, c’est que les cyberattaques ne se combattent pas avec des défilés militaires, mais avec des réflexes quotidiens. Un exemple ? En 2024, des pare-feux vulnérables ont servi de porte d’entrée à des attaques majeures, alors que des correctifs existaient depuis des mois. La solution n’est pas une nouvelle unité d’élite, mais une culture de la mise à jour systématique, que 80 % des entreprises françaises négligent encore par méconnaissance ou par manque de temps.
La cybersécurité n’est pas une guerre à gagner, mais une hygiène à adopter. Plutôt que de rêver à une armée numérique, investissons dans ce qui marche déjà : former les citoyens comme on forme aux gestes de premiers secours, outiller les petites entreprises avec des kits clés en main, et faire de l’ANSSI non pas un état-major lointain, mais un partenaire accessible au quotidien. La meilleure défense n’est pas une garde en uniforme, mais une société entière qui a compris que chaque clic compte. Et ça, aucune unité d’élite ne pourra jamais le faire à notre place.
Sources — Mots de clôture
Rapport annuel sur la cybercriminalité 2024 | Ministère de l'Intérieur
Publication du rapport 2024 de l'ANSSI sur l'état de la menace du secteur de la santé
Alimentez le débat
Ce débat vous a fait réagir ? Partagez-le et venez en discuter sur les réseaux fédérés.