La cyberattaque visant la Direction générale des Finances publiques (DGFiP) a provoqué une onde de choc bien au-delà des serveurs du fisc. Dans la foulée de l’incident, le ministre de la Défense Sébastien Lecornu a réclamé la création d’une nouvelle unité dédiée à la cyberdéfense. Une annonce qui suscite autant d’interrogations que de réactions : la France ne dispose-t-elle pas déjà d’un arsenal institutionnel conséquent dans ce domaine ? La question est légitime, et la réponse, plus complexe qu’il n’y paraît.
Ce qui s’est passé : le fisc dans le viseur des hackers
La DGFiP, qui gère la collecte de l’impôt et héberge les données fiscales de millions de Français, a été la cible d’une cyberattaque d’une ampleur significative. Si les détails techniques restent partiellement confidentiels pour ne pas compromettre les investigations en cours, l’incident a mis en lumière la vulnérabilité des systèmes d’information de l’État, y compris dans ses administrations les plus sensibles. Pour beaucoup de citoyens, c’est un choc : le fisc, gardien de nos déclarations de revenus et de nos coordonnées bancaires, n’est pas inviolable. Un article publié sur ce site avait d’ailleurs relayé l’alerte d’un expert en cybersécurité sur la protection des données fiscales après une précédente tentative d’intrusion sur impôts.gouv.
Lecornu veut une nouvelle unité : mais pourquoi ?
La proposition du ministre de la Défense peut sembler paradoxale au premier abord. La France dispose en effet d’un paysage institutionnel cyber déjà bien fourni : l’ANSSI (Agence nationale de la sécurité des systèmes d’information), le CERT-FR, le Commandement de la cyberdéfense (COMCYBER) rattaché aux armées, ou encore des cellules spécialisées au sein de la gendarmerie et de la police nationale. Pourquoi empiler une couche supplémentaire ?
L’argument de Lecornu repose sur une logique d’unification du commandement. Les structures actuelles, bien que compétentes chacune dans leur périmètre, souffrent d’un défaut historique : elles ne parlent pas toujours le même langage, relèvent de tutelles différentes (Matignon, Bercy, le ministère des Armées…) et peinent à coordonner leurs actions en temps réel face à une menace qui, elle, ne connaît pas les organigrammes administratifs. L’idée serait donc moins de créer une agence de plus que de doter la France d’un organe de pilotage transversal, capable de centraliser l’information et d’orchestrer la réponse.
Un paysage institutionnel fragmenté, un vrai problème
L’ANSSI, cheville ouvrière mais limitée
L’ANSSI reste la référence incontournable en matière de cybersécurité civile. Elle assure la protection des opérateurs d’importance vitale (OIV) et intervient en cas d’incident grave touchant les administrations. Mais son mandat est avant tout défensif et préventif. Elle ne dispose pas d’une compétence offensive, et son autorité s’arrête aux portes du militaire.
Le COMCYBER, côté armées
Du côté des armées, le COMCYBER monte en puissance depuis plusieurs années. Il est chargé de la défense des systèmes d’information militaires et peut mener des opérations cyber offensives dans un cadre légal strict. Mais son champ d’action reste cantonné à la sphère militaire et au renseignement d’État, loin des infrastructures fiscales ou sociales.
La police et la gendarmerie dans la danse
L’OFAC (Office anti-cybercriminalité), créé en 2023 en fusionnant plusieurs entités, ainsi que le Centre de lutte contre les criminalités numériques (C3N) de la gendarmerie, traitent quant à eux la cybercriminalité sous l’angle judiciaire. Ce sont eux qui enquêtent, interpellent, coopèrent avec Europol. Un rôle crucial, mais distinct de la cyberdéfense au sens stratégique.
Une réforme nécessaire ou un effet d’annonce ?
Les experts du secteur sont partagés. Certains saluent la prise de conscience politique : trop longtemps, la cybersécurité a été traitée comme une affaire de techniciens, reléguée dans les sous-sols des ministères. Qu’un ministre de haut rang s’en empare publiquement est déjà un signal fort. D’autres, en revanche, pointent le risque d’une usine à gaz supplémentaire. Créer une nouvelle structure sans supprimer ou fusionner les existantes, c’est ajouter de la complexité sans forcément gagner en efficacité.
La vraie question n’est peut-être pas « combien d’agences ? » mais « comment les faire travailler ensemble ? ». C’est précisément ce que franceinfo analyse en détail, en interrogeant plusieurs spécialistes qui soulignent les doublons potentiels mais aussi les angles morts réels du dispositif actuel.
La pénurie de talents aggrave encore le tableau. Recruter des profils capables d’opérer dans des environnements aussi techniques que sensibles est un défi considérable, dans un marché où le secteur privé offre des salaires sans commune mesure avec la grille de la fonction publique.
Ce que cette affaire révèle sur la cybersécurité de l’État
Au fond, la cyberattaque contre la DGFiP agit comme un révélateur. Elle montre que les administrations régaliennes ne sont pas à l’abri, que la donnée fiscale est une cible de choix (pour des acteurs cherchant à extorquer, à espionner ou à déstabiliser), et que l’organisation actuelle de la réponse de l’État peine encore à être à la hauteur des menaces modernes. Les attaques se professionnalisent, s’automatisent, se massifient. La réponse institutionnelle, elle, avance parfois à un rythme plus proche du Conseil d’État que du SWAT team.
Qu’une nouvelle unité voie le jour ou non, le débat ouvert par Lecornu a au moins le mérite de poser les bonnes questions sur la table. Et dans un contexte de tensions géopolitiques accrues, où les cyberattaques contre des infrastructures étatiques sont devenues un outil de guerre hybride, il serait risqué de le laisser sans réponse concrète.
Questions fréquentes
Qu’est-ce que la DGFiP et pourquoi est-elle une cible ?
La Direction générale des Finances publiques gère la collecte des impôts en France. Elle détient des données fiscales, bancaires et personnelles sur des millions de contribuables, ce qui en fait une cible particulièrement attrayante pour les cybercriminels ou les acteurs étatiques hostiles.
L’ANSSI n’est-elle pas suffisante pour protéger l’État ?
L’ANSSI joue un rôle central mais son périmètre est limité à la cybersécurité civile et défensive. Elle ne couvre ni les opérations militaires cyber ni les enquêtes judiciaires, ce qui crée des zones d’ombre dans la chaîne de protection.
Quand la nouvelle unité cyber pourrait-elle être créée ?
Aucun calendrier précis n’a encore été annoncé. La proposition de Sébastien Lecornu doit encore faire l’objet de discussions interministérielles, et la création effective d’une telle structure nécessiterait des arbitrages budgétaires et organisationnels importants.
