- il y a 23 minutes
Le 20 octobre, la commission des affaires étrangères du Sénat auditionnait Nicolas Roche, Secrétaire général du SGDSN, Vincent Strubel, Directeur général de l'ANSSI et Anne-Sophie Dhiver, Cheffe adjointe du service Viginum sur les menaces d'ingérences numériques étrangères.
Face à la multiplication de ces menaces, les services chargés de la sécurité numérique de l'Etat ont réaffirmé leur détermination à renforcer les dispositifs de protection, notamment en vue de la campagne présidentielle 2027. Viginum a déjà d'ores-et-déjà identifié une centaine d'opérations de désinformation étrangères visant cette échéance électorale.
Les auditionnés ont également été interrogés sur les éventuelles sanctions à l'encontre des agents de leurs services, à la suite des cyberattaques ayant touché plusieurs services de l'État, dont France Titres, France Travail et l'ANSSI elle-même.
Les spécialistes ont enfin abordé la question de l'intelligence artificielle, dont l'émergence entraîne de nouvelles vulnérabilités pour la sécurité nationale. Année de Production :
Face à la multiplication de ces menaces, les services chargés de la sécurité numérique de l'Etat ont réaffirmé leur détermination à renforcer les dispositifs de protection, notamment en vue de la campagne présidentielle 2027. Viginum a déjà d'ores-et-déjà identifié une centaine d'opérations de désinformation étrangères visant cette échéance électorale.
Les auditionnés ont également été interrogés sur les éventuelles sanctions à l'encontre des agents de leurs services, à la suite des cyberattaques ayant touché plusieurs services de l'État, dont France Titres, France Travail et l'ANSSI elle-même.
Les spécialistes ont enfin abordé la question de l'intelligence artificielle, dont l'émergence entraîne de nouvelles vulnérabilités pour la sécurité nationale. Année de Production :
Catégorie
📺
TVTranscription
00:00:01Générique
00:00:10Bonjour à toutes et à tous, c'est 100% Sénat.
00:00:12Il y a quelques jours, des pirates ont pris le contrôle à distance des systèmes de réfrigération.
00:00:18Deux centaines de supermarchés français en exploitant des failles de sécurité
00:00:22provoquant la perte de tonnes de denrées alimentaires.
00:00:26Un exemple flagrant de nos vulnérabilités et de la massification des attaques hybrides.
00:00:32Notre pays est-il prêt face à ces nouvelles menaces à l'approche de l'élection présidentielle ?
00:00:38Les sénateurs ont posé la question à un panel d'experts.
00:00:42Écoutez.
00:00:42Mes chers collègues, nous recevons ce matin M. Nicolas Roche,
00:00:45secrétaire général de la Défense et de la Sécurité Nationale, GDSN,
00:00:49dans le cadre du programme 129, coordination du travail gouvernemental,
00:00:52pour l'examen des crédits de l'action numéro 2, coordination de la Sécurité et de la Défense.
00:00:57M. le secrétaire général, bienvenue à la Commission.
00:01:02Je vous souhaite la bienvenue, M. le secrétaire général,
00:01:04et je peux déjà vous dire que votre présence a été évidemment attendue par mes collègues,
00:01:08car vos compétences vous placent au cœur de la tourmente,
00:01:11tant sur le plan géopolitique que purement national.
00:01:13Vous êtes accompagné aujourd'hui, comme les années passées,
00:01:17par M. Vincent Strubel, directeur général de l'Agence Nationale de Sécurité et des Systèmes d'Information, L'ANSI,
00:01:22et pour la première fois cette année, Mme Anne-Sophie Diver,
00:01:27chef adjointe du service de vigilance et de protection contre les ingérences numériques étrangères, Viginum,
00:01:32qui assure l'intérim depuis le départ en septembre dernier,
00:01:35de M. Marc-Antoine Briand, chef du service pour une agence privée.
00:01:38Bienvenue à vous deux, et j'en profite en début de cette séance pour vous remercier pour le travail que
00:01:45vous faites,
00:01:45même si vous êtes parfois au cœur du cyclone.
00:01:50C'est parce qu'évidemment, l'activité que vous exercez désormais est particulièrement scrutée,
00:01:55compte tenu des nombreuses attaques dont nous sommes malheureusement victimes.
00:01:58Je sais, M. le secrétaire général, que vous êtes sur tous les fronts,
00:02:01à la manœuvre à l'étranger avec nos alliés et partenaires pour mettre en œuvre les coopérations indispensables
00:02:06à nos intérêts de défense et de sécurité nationale.
00:02:09Vous assurez, en quelque sorte, le service après-vente de la Revue nationale stratégique
00:02:13et le service après-vente, après-vote, de la loi de programmation militaire.
00:02:18Et vous assurez la coordination interministérielle au profit des conseils de défense,
00:02:21des autorisations d'exportation de matériel de guerre
00:02:24et des nombreuses stratégies de cybersécurité, de résilience
00:02:27ou encore de lutte contre les manipulations de l'information,
00:02:30sujet sur lequel le Sénat a adopté hier, en première lecture,
00:02:34le projet de loi de lutte contre les ingérences étrangères dans la vie démocratique.
00:02:38Nous pouvons donc aisément comprendre que vos services ont été très occupés
00:02:43par les cyberattaques de l'été qui se sont concentrés sur des services de l'État
00:02:46et en particulier à l'administration fiscale.
00:02:48Vous n'avez pas hésité en reste sur le volet des ingérences numériques étrangères
00:02:52puisque Viginum a détecté des manipulations de l'information
00:02:55lors des campagnes des élections municipales,
00:02:59puis cet été sur des candidats aux prochaines élections présidentielles.
00:03:02Et à ce sujet, il serait particulièrement intéressant
00:03:04que vous puissiez ici présenter le dispositif de protection
00:03:07de cette élection majeure à bientôt six mois du scrutin.
00:03:10Et je ne doute pas que mes collègues auront de nombreuses questions
00:03:14à vous poser sur les cyberattaques et les manipulations de l'information
00:03:16qui concernent tous nos concitoyens dans l'Hexagone
00:03:20et les Outre-mer, notamment les rapporteurs pour avis du programme 129,
00:03:24M. Cadic et désormais Frédéric Burel.
00:03:29Pourquoi il manque Buval ?
00:03:30Buval, excusez-moi.
00:03:32Pour ma part, avant de vous donner la parole ainsi qu'à vos chefs de service,
00:03:40je m'interroge à la lumière des événements inadmissibles et intolérables
00:03:44qui se sont déroulés ces derniers jours sur le territoire national
00:03:47sur les moyens et les réponses pour les prévenir et pour y faire face.
00:03:51Certains ont parlé d'état d'urgence.
00:03:54Est-ce un nouvel état d'alerte de sécurité nationale
00:03:56qui a été voté en loi de programmation militaire ?
00:03:59Qui est une réponse possible ?
00:04:02En matière de renseignements, disposez-vous des moyens nécessaires ?
00:04:05Nous avions attiré l'attention sur la sous-budgétisation des fonds spéciaux
00:04:09dans le dernier budget.
00:04:10Notre recommandation semble avoir été entendue
00:04:12puisque l'enveloppe est réévaluée à 100 millions d'euros pour 2027
00:04:15au lieu des 67 millions d'euros de 2026.
00:04:18Mais le nouvel obstacle n'est-il pas maintenant ?
00:04:21L'usage très large des messageries sécurisées
00:04:23dont nous avions soulevé le problème à l'occasion de la loi sur le narcotrafic.
00:04:27Cela fait l'objet, rappelez-vous, d'un amendement de ma part.
00:04:29Problème qui se pose également face aux groupuscules radicaux et autres black blocs.
00:04:33C'est un sujet sur lequel la délégation parlementaire au renseignement a rendu des travaux
00:04:37ainsi que, plus récemment, notre ami et collègue député Florent Boudier.
00:04:41Je serai donc intéressé par votre analyse sur les solutions
00:04:44que d'autres pays auraient pu mettre en œuvre avec les plateformes de messagerie cryptées.
00:04:48C'est évidemment un sujet majeur qui devient de plus en plus d'actualité, malheureusement.
00:04:52Monsieur le secrétaire général, Madame, Monsieur, avant de vous céder la parole,
00:04:56je rappelle à toutes et à tous que cette audition fait l'objet d'une captation vidéo
00:04:59qui est retransmise sur le site internet du Sénat et ses réseaux sociaux.
00:05:03Puis consultable en vidéo à la demande.
00:05:06Monsieur le secrétaire général, je vous laisse la parole
00:05:08et je vous laisse la distribuer à vos collègues de gauche et de droite
00:05:12pour que cette audition soit la plus fluide possible.
00:05:17Vous avez la parole. Merci beaucoup.
00:05:19Merci infiniment, Monsieur le Président.
00:05:23Mesdames et Messieurs les sénatrices et sénateurs, c'est un plaisir de vous retrouver aujourd'hui.
00:05:29Je vous propose, Monsieur le Président, de faire un certain nombre de propos liminaires
00:05:33pour l'ensemble du périmètre du SGDSN, y compris Annecy et Viginium.
00:05:39Et en revanche, comme je suis certain qu'il y aura de très nombreuses questions
00:05:43et un certain nombre de questions qui viseront la question des ingérences numériques étrangères,
00:05:47d'une part, la question des cyberattaques, d'autre part,
00:05:49je laisserai pour partie mes amis et collaborateurs répondre à toute une série de vos questions.
00:05:58Tout d'abord, Monsieur le Président et Mesdames et Messieurs les sénatrices et les sénateurs,
00:06:04permettez-moi, à l'issue du renouvellement de la moitié des sénateurs
00:06:08et des élections qui ont eu lieu, de vous présenter toutes les félicitations
00:06:12de l'ensemble des agents du SGDSN au sein, pour tous ceux qui viennent de vous rejoindre,
00:06:19y compris pour vous, Monsieur le Président, pour votre réélection,
00:06:22y compris à la tête de cette commission.
00:06:24Nous avons une longue tradition de coopération, de collaboration très étroite
00:06:29entre l'ensemble de votre commission et l'ensemble des services du SGDSN.
00:06:34Et soyez certains que nous continuerons dans cette logique-là,
00:06:39puisque tout simplement, ce qu'il s'agit de faire collectivement,
00:06:44c'est de continuer cette longue entreprise de rehaussement des défenses
00:06:48et de la sécurité de notre pays face à l'ensemble des risques et des menaces
00:06:52auxquelles nous faisons face.
00:06:55Nous avons, comme vous l'avez dit en introduction, Monsieur le Président,
00:06:59une longue tradition d'études, de questionnements, de travaux collés ensemble
00:07:05sur toutes ces questions fondamentales.
00:07:07Et je suis, depuis un an et demi que je suis rentré en France à la tête du SGDSN,
00:07:15objectivement impressionné par la qualité de l'ensemble des travaux
00:07:18et de nos travaux communs sur l'ensemble des questions de défense et de sécurité nationale.
00:07:24Vous avez eu, Monsieur le Président, des mots très aimables pour les agents du SGDSN,
00:07:28de l'ANSI, de Vigénum, de l'ensemble des services.
00:07:31Et vraiment, je veux vous en remercier en leur nom à tous.
00:07:34Et vous confirmez ici l'investissement absolu, total, sans faille, permanent, nuit et jour, parfois,
00:07:41dans l'accomplissement des missions nombreuses qui nous sont confiées.
00:07:45Et que, effectivement, un certain nombre d'acteurs extérieurs, en particulier,
00:07:51s'acharnent à surcharger un peu plus et à nous faire sortir de notre routine.
00:07:57Et je dis dans tout cela des événements imprévus, mais imprévus, mais pas inattendus.
00:08:03Car le contexte international que nous avons eu l'occasion de décrire dans cette même commission
00:08:07à de très nombreuses reprises est de plus en plus dure, corrosif, pèse sur l'ensemble des composantes
00:08:15de la société et de la nation. Et votre commission le connaît mieux que personne.
00:08:20Elle qui a été si impliquée dans l'élaboration de la Revue nationale stratégique
00:08:24qui a été publiée le 13 juillet 2025. Et notamment de ce scénario central de la Revue nationale stratégique
00:08:31que nous avons élaboré ensemble au paragraphe 112 et des 11 objectifs stratégiques
00:08:36qui décrivent les efforts à consentir dans l'ensemble des domaines de la défense
00:08:40et de la sécurité nationale pour être à la hauteur des enjeux qui sont décrits
00:08:43et de ce scénario central. Je ne vous ferai pas l'insulte de revenir sur la substance
00:08:48de ce scénario central que vous connaissez tous autour de cette table tout aussi bien que nous.
00:08:53Mais peut-être pour commencer mes propos, vous dire où nous estimons en être
00:09:00presque 18 mois après la publication de la Revue nationale stratégique.
00:09:03Et si nous prenons un tout petit peu de recul, regardez ce que nous avons fait dans l'année
00:09:08qui vient de s'écouler entre le mois de juillet 2025 qui a marqué la publication
00:09:13de la Revue nationale stratégique et ce mois d'octobre où nous sommes.
00:09:17Quel bilan en tirons-nous ? Et qu'est-ce que nous en tirons pour l'avenir ?
00:09:21Et les moyens qui nous sont alloués pour 2027 ? Et j'essaierai à cette fin de répondre
00:09:27à une partie de vos questions. Le scénario central, pour le dire simplement,
00:09:32a été validé par les faits et par la réalité, je dirais malheureusement.
00:09:38Soyons précis. Vous vous rappelez que la partie militaire du scénario,
00:09:43cette partie qui dit dans le paragraphe 112 de la RNS que nous devons préparer
00:09:48nos armées à être engagées dans des actions de guerre à la périphérie de l'Europe
00:09:51ou en Europe à l'extérieur du territoire hexagonal. Fort heureusement,
00:09:55vous constaterez avec moi que d'évidence, la France n'est pas en guerre
00:09:58et que nos armées ne sont pas en guerre. En revanche, dans cette première partie,
00:10:03la poursuite de la guerre en Ukraine, de cette guerre illégale d'agression russe
00:10:07contre l'Ukraine, la poursuite du conflit entre Israël et les États-Unis d'un côté
00:10:11et l'Iran d'autre part, continue d'exercer une forte pression.
00:10:15Et nous avons été à la manœuvre en termes d'assistance, de soutien et d'aide
00:10:21à nos partenaires et à nos alliés. Mais je le redis, cette première partie
00:10:24du scénario, fort heureusement, elle ne s'est pas mise en œuvre
00:10:27et nous ne sommes aujourd'hui pas dans cette situation dans laquelle
00:10:30nos armées seraient engagées dans des actions de guerre.
00:10:33En revanche, s'agissant de la deuxième partie du scénario,
00:10:37celle qui concerne le territoire national, à la fois hexagonal et outre-mer,
00:10:41je pense que vous aurez constaté avec moi l'idée que les modes de conflictualité
00:10:45variés, opportunistes, durs, aujourd'hui, continuent de toucher
00:10:49le territoire national et, je dirais, de façon croissante et massive.
00:10:53Je dirais même qu'une forme de cap a été franchie dans le courant
00:10:57de l'année 2026. Permettez-moi juste ici de rappeler un certain nombre
00:11:02d'événements qui se sont passés en Europe et qui viennent illustrer
00:11:05la matérialisation des attaques hybrides qui ont été conduites
00:11:10contre un certain nombre de systèmes en Europe et parfois en France.
00:11:15Au mois d'août dernier, le centre polonais, de réponse aux incidents
00:11:19informatiques, le CERT Polska, a révélé qu'une cyberattaque avait touché
00:11:24une centrale thermique lors de la vague de froid survenue durant l'hiver
00:11:2725-26, après le 29 décembre 2025.
00:11:31Cette incidence s'inscrivait dans une série d'attaques coordonnées
00:11:34qui avaient touché une trentaine d'installations d'énergie renouvelable.
00:11:38L'objectif était bien d'atteindre un certain seuil systémique visant à provoquer
00:11:43un blackout électrique en Pologne sur le modèle de la grande panne
00:11:47accidentelle, celle-là, qui avait affecté l'Espagne et le Portugal,
00:11:50vous vous en souvenez, en mars 2025, et a privé d'électricité des centaines
00:11:54de milliers de Polonais. Les autorités polonaises, fort heureusement,
00:11:58ont réussi à parer cette attaque, à empêcher ce sabotage, et vous le savez,
00:12:02ça a été dit publiquement, elles l'ont attribué à la Russie.
00:12:05Dans la nuit du 4 au 5 août, deux petits drones, ces petits drones
00:12:10issus des technologies civiles classiques, qui sont en vente dans le commerce,
00:12:15portant des charges explosives, ont manœuvré sur un aéroport civil,
00:12:19celui de Leipzig, pour tenter d'exploser au contact d'avions de ligne civile.
00:12:24Et un troisième drone chargé d'explosifs a été trouvé un peu plus tard,
00:12:27à une dizaine de kilomètres de l'aéroport.
00:12:28Et les autorités allemandes, là aussi, ont pu démontrer que ces attaques
00:12:32ont échoué parce qu'elles n'étaient pas suffisamment organisées.
00:12:36Mais en revanche, l'intention du sabotage et de la destruction était présente.
00:12:39Et là aussi, vous le savez, les autorités allemandes ont attribué
00:12:42la responsabilité de cette opération de sabotage d'un aéroport civil
00:12:45par l'utilisation de petits drones kamikazes avec de l'explosif à la Russie.
00:12:50En France, depuis le mois de juillet, et nous y reviendrons lors des questions-réponses,
00:12:54j'en suis certain, des campagnes d'ingérence numérique étrangère
00:12:57contre de nombreux candidats à l'élection présidentielle se sont d'ores et déjà
00:13:00multipliés afin de semer la confusion, d'alimenter le chaos, de perturber
00:13:05notre débat démocratique sur les réseaux et dans l'espace numérique.
00:13:11Ce ne sont là que quelques exemples de ce que nous avons pu constater en Europe,
00:13:15de la matérialisation, de la massification du volume d'attaques hybrides
00:13:19dans toute la diversité, sabotage, cyber, drone, espionnage, évidemment,
00:13:24que nous voyons se matérialiser en Europe.
00:13:26Monsieur le Président, Mesdames et Messieurs les sénatrices et les sénateurs,
00:13:30je ne vois aujourd'hui aucune raison pour que ce type d'attaque s'arrête à la frontière
00:13:35de notre pays et ne continue pas, dans les quelques mois qui viennent, de nous toucher.
00:13:39Un an après la publication de la Revue nationale stratégique, je constate que la vitesse
00:13:43à laquelle l'adversité se durcit augmente et nourrit à tous notre sentiment d'urgence.
00:13:49Notre responsabilité, la responsabilité du SGDSN et de l'ensemble de ses institutions rattachées,
00:13:55est donc d'accélérer nos propres efforts de protection dans le domaine qui relève
00:14:00en particulier des attaques hybrides.
00:14:01Je pense à la protection des sites, des infrastructures critiques, des opérateurs
00:14:05d'importance vitale et au-delà de l'ensemble des entités qui sont essentielles à la continuité
00:14:09de la vie de la nation, notamment dans le domaine de la protection physique
00:14:13et de la lutte contre les sabotages.
00:14:15Je pense à la protection des systèmes d'information, et Vincent Strubel en parlera davantage
00:14:20sur l'état d'évolution de la menace cyber qui pèse sur nous, à la fois sur le très
00:14:25haut du spectre et cette mutation de la menace du très haut du spectre sophistiquée
00:14:29d'origine étatique qui visait jusqu'à présent essentiellement des actions d'espionnage
00:14:33ou de prépositionnement et qui est en train de muter vers des actions organisées de sabotage.
00:14:38Et cette deuxième mutation que nous avons constatée ces derniers mois et sur laquelle
00:14:43là aussi le directeur général de l'ANSI a eu l'occasion de s'exprimer publiquement
00:14:46et reviendra j'en suis sûr pour répondre à votre question sur des menaces de très
00:14:50faible sophistication mais à très fort impact politique qui relèvent plutôt de
00:14:54la criminalité individuelle, endogène, jeune, non plus simplement de la criminalité organisée
00:14:59telle que nous la connaissons avec des groupes criminels transnationaux mais de cette petite
00:15:04criminalité finalement faiblement sophistiquée sur le plan technique mais à très fort impact
00:15:09politique sur la confiance que nos concitoyens peuvent accorder à la capacité de l'État
00:15:14à les protéger. Je pense évidemment ici à la question de la détection des ingérences
00:15:18numériques étrangères dans le domaine de Viginum que nous avons d'ores et déjà vu
00:15:22se multiplier et il n'y a aucune raison que nos adversaires fassent une trêve électorale
00:15:27et ne multiplient pas évidemment dans les semaines qui viennent, dans les mois qui viennent
00:15:31jusqu'à l'été 2027 la multiplication de l'ensemble de ces éléments. Pour autant
00:15:38depuis cette année qui vient de s'écouler, depuis la publication de la revue nationale stratégique
00:15:43et qui malheureusement a confirmé nos anticipations, a confirmé notre analyse de la menace et
00:15:48de son aggravation, qui par ailleurs a confirmé que cette aggravation se déroulait rapidement,
00:15:54plus rapidement que ce que nous avions anticipé. Nous ne sommes pas restés les bras croisés
00:15:58et toute une série d'actions, et vous en avez rappelé certaines Monsieur le Président,
00:16:03certaines étaient du niveau législatif, j'y reviendrai, qui dotent l'ensemble des institutions
00:16:07de l'État d'un certain nombre de pouvoirs et d'autorités renforcées et supplémentaires
00:16:11pour nous permettre de faire face. Mais au-delà de ces dispositions législatives qui ont été
00:16:17intégrées dans la loi de programmation militaire, je vais revenir sur certaines d'entre elles,
00:16:20et dans d'autres projets de loi qui sont en cours d'examen, qui effectivement ont été votés,
00:16:24d'ailleurs je l'ai noté à une plus que large majorité, à une très très grande unanimité,
00:16:29dans le domaine des ingérences, nous donnent des autorités supplémentaires et continueront leur parcours législatif.
00:16:35Permettez-moi juste de revenir sur quelques exemples de ce qui nous a occupés au sein du SGDSN
00:16:41dans l'année qui vient de s'écouler, sur la base des moyens qui nous avaient été alloués
00:16:46dans cette même commission par le Parlement l'an dernier.
00:16:51Premièrement, vous savez, je sais votre attachement, Monsieur le Président, Mesdames et Messieurs les Sénatrices et les Sénateurs,
00:16:57à la question de l'engagement et des réserves. Les réserves aujourd'hui, grâce à la loi de programmation militaire,
00:17:03sont réparties en trois viviers. Les réserves opérationnelles que la loi de programmation militaire qualifie désormais
00:17:09de réserve de sécurité nationale et auxquelles nous avons ajouté, au-delà des réserves opérationnelles militaires,
00:17:14de la police, de la gendarmerie, la réserve sanitaire et les réserves opérationnelles des douanes et de l'administration pénitentiaire,
00:17:19qui nous dotent aujourd'hui d'une capacité de gestion de crise supplémentaire avec une vraie réserve opérationnelle élargie.
00:17:26Une deuxième réserve sur laquelle je veux insister ici, que nous avons requalifiée,
00:17:32qui vise à nous donner les moyens d'assurer les missions indispensables à la continuité de la vie de la
00:17:37nation
00:17:37et qui, comme son nom l'indique, sont destinées à assurer la continuité de l'action de l'État, des
00:17:42collectivités territoriales,
00:17:43des organismes qui leur sont rattachés, les entreprises, les établissements publics, les établissements privés,
00:17:49les opérateurs d'importance vitale, les entités essentielles dont l'activité et la continuité de l'activité contribuent à la
00:17:54sécurité nationale,
00:17:55et à la continuité de la vie de la nation.
00:17:57Et puis cette troisième réserve de solidarité nationale, issue de la mobilisation citoyenne en période de crise
00:18:02et que nous avons tous pu constater au moment des incendies, notamment dans le sud-ouest de la France,
00:18:06correspond à l'engagement des bénévoles lorsque surviennent des difficultés de proximité.
00:18:10Ces trois réserves-là sont désormais clairement établies.
00:18:13Nous avions discuté dans cette même commission il y a un an de la complexité du dispositif de réserve,
00:18:19de la nécessité de simplifier, de sincériser, de dynamiser.
00:18:22Ce travail-là est en cours pour, au-delà des capacités de l'État et de la puissance publique,
00:18:28permettre à nos compatriotes de trouver les voies et moyens de l'engagement
00:18:31qui continuent d'être nécessaires et qui continuent d'avoir du succès.
00:18:35Je sais aussi un certain nombre de préoccupations qui sont les vôtres dans l'exécution,
00:18:41au-delà de cette question des réserves et d'un certain nombre de dispositions législatives,
00:18:46sur l'exécution du budget de 2027 et la préparation de celui de 2026.
00:18:52Comme vous le savez, l'entrée en gestion en 2026 a été marquée par une adoption plus tardive
00:18:58que d'habitude de la loi de finances initiales.
00:19:00Et nous avions bénéficié dans ce contexte, je le redis ici,
00:19:04et nous savons à quel point nous avons été bénéficiaires de la solidarité nationale,
00:19:11d'un traitement favorable qui correspondait aux missions particulières de la défense et de la sécurité nationale,
00:19:15dont le SGDSN a la charge.
00:19:17Un transfert de crédits de la part du ministère des Armées au mois d'avril
00:19:21est venu abonder un certain nombre de crédits pour financer un certain nombre de capacités techniques,
00:19:25notamment au profit de nos services de renseignement.
00:19:28Et une réallocation de crédits nous a permis, en cours d'année,
00:19:32de développer l'ensemble de nos actions destinées à préparer le territoire national
00:19:37à la lutte contre ces petits drones, à la lutte anti-drones.
00:19:39Je sais, Monsieur le Président, que vous y êtes particulièrement attachés.
00:19:42Ces travaux-là sont en cours.
00:19:44J'y reviendrai sur le site de Bretigny-sur-Orge
00:19:46en termes de labellisation d'un certain nombre de solutions industrielles
00:19:49qui, pour mettre en œuvre en particulier les dispositions très novatrices de la loi de programmation militaire
00:19:54qui a permis à des opérateurs privés, d'opérateurs d'importance vitale,
00:19:59de se doter de capacités de détection et de neutralisation
00:20:01qui permettront, je l'espère, à la nation d'être davantage prêts,
00:20:05en tout cas plus rapidement, à l'évolution de la menace.
00:20:08Et nous allons continuer, au sein du SGDSN, notre travail de mobilisation, de dynamisation, d'accélération
00:20:13de la préparation du territoire national sur l'ensemble des crises de sabotage,
00:20:18et en particulier de sabotage sur la question des drones.
00:20:22Vous savez, et je le sais, je ne vais pas y insister de trop,
00:20:26mais les questions logistiques, immobilières sont essentielles.
00:20:30Un certain nombre de décisions ont été prises qui permettront de doter de façon pérenne l'ANSI
00:20:35d'un site permanent à horizon de l'année 2030, de la prochaine décennie,
00:20:39qui nous permettront de continuer à donner à l'ANSI les moyens de la protection cyber
00:20:45dans le cadre des responsabilités de notre modèle cyber tel qu'il a été développé.
00:20:49Et je veux dire ici que nous sommes très conscients, au sein du SGDSN,
00:20:56de les éléments extrêmement positifs que nous avons pu obtenir dans des périodes compliquées,
00:21:01y compris de restrictions budgétaires, qui nous obligent tous.
00:21:05Pour donner quelques exemples, simplement, de ce que nous avons fait cette année dernière,
00:21:09et qui vont répondre en particulier à un certain nombre de questions que vous avez posées, M. le Président,
00:21:13et je ne doute pas que vous voudrez revenir dans vos questions sur certains de ces éléments-là.
00:21:17Sur la dimension des ingérences numériques étrangères, avec Virginium, avec l'ANSI,
00:21:22avec un certain nombre d'institutions de l'État, nous avons mis en place un dispositif durci de protection des
00:21:31cycles électoraux.
00:21:32Je pense en particulier aux élections municipales, mais également aux élections provinciales en Nouvelle-Calédonie,
00:21:38et évidemment aux élections sénatoriales, avec le souci permanent de la coordination interministérielle,
00:21:44de l'information des candidats et des partis politiques, et de l'information du public.
00:21:48Vous le savez, au moment des élections municipales, nous avons mis en place le réseau de coordination et de protection
00:21:53des élections,
00:21:54qui a rassemblé autour du SGDSN un certain nombre d'institutions,
00:21:58Virginium évidemment sur la question des ingérences numériques étrangères,
00:22:01mais une série d'autres institutions de l'État qui nous ont permis d'avoir en place un dispositif efficace,
00:22:07robuste, agile, permanent, de détection, de caractérisation et d'information sur les élections municipales en matière d'ingérence numérique étrangère.
00:22:15Nous pourrons revenir, si vous le souhaitez, sur le bilan que nous avons tiré de l'ensemble.
00:22:20Un rapport a été rendu public par Virginium et le SGDSN sur le bilan que nous avons tiré de la
00:22:26mise en place à la fois du RCPE
00:22:28et de la nature de la menace telle qu'elle évolue et que nous avons vu manifester des préoccupations et
00:22:34des volontés d'ingérence étrangère
00:22:36dans notre débat numérique électoral.
00:22:38Comme je le disais, ce dispositif du RCPE est un dispositif sur lequel nous sommes en train de réfléchir pour
00:22:44la mise en place à nouveau
00:22:45pour le cycle électoral de 2027.
00:22:47Vous savez aussi qu'un certain nombre de dispositions ont été prises de nature réglementaire pour celles-là,
00:22:51qui visent plutôt un éventuel cycle législatif, puisqu'un décret a été adopté par le gouvernement le 22 juillet 2026,
00:22:58qui permet là aussi de durcir notre dispositif, l'élection présidentielle, faisant elle l'objet d'un dispositif séparé, spécifique,
00:23:05tout à fait particulier, entre les mains du Conseil constitutionnel et de la CNCCEP.
00:23:09Ce dispositif durci, qui a montré son efficacité, je pense, pendant les élections municipales,
00:23:16nous donne la direction dans laquelle nous devons continuer à préparer et à durcir et à rendre plus robuste
00:23:21notre dispositif de protection des élections contre les ingérences numériques étrangères,
00:23:25dont nous constatons que la menace continue d'évoluer, de se durcir et d'augmenter.
00:23:30Je suis certain que nous reviendrons en détail sur les questions de cybersécurité,
00:23:34mais nous avons publié la stratégie nationale de cybersécurité actualisée.
00:23:39Nous avons, avec l'ANSI et l'ensemble de la communauté interministérielle de la cyber,
00:23:45été pleinement mobilisés dans cette guerre hybride du haut du spectre
00:23:48et qui nous a vu voir, comme je l'ai dit, la menace cyber mutée dans ces deux directions,
00:23:54vers le très haut du spectre et le sabotage, vers la partie moins sophistiquée de la criminalité organisée,
00:23:59vers la criminalité endogène et individuelle,
00:24:02qui font peser un rythme opérationnel sur les équipes de cybersécurité tout à fait spécifique
00:24:07et qui nous a amenés à conforter et à durcir le modèle français de cybersécurité
00:24:13sur lequel nous reviendrons, qui organise la répartition des responsabilités
00:24:16entre ce que fait l'ANSI en propre, ce qu'elle fait en elle-même
00:24:20et ce sur quoi elle est un conseil, un expert, un contrôleur, le cas échéant,
00:24:26pour que d'autres fassent.
00:24:28Vous savez, je sais qu'un certain nombre d'entre vous autour de cette table sont très attentifs à ces
00:24:33éléments-là.
00:24:34Nous avons continué, et c'est un point qui avait été évoqué dans cette même commission au même moment l
00:24:39'an dernier,
00:24:40à la poursuite du financement de ce dispositif de réaction de proximité qu'on appelle les CECIRT régionaux,
00:24:45que sur les crédits supplémentaires que nous avons obtenus en 2025 et 2026,
00:24:50nous ont permis de continuer à organiser en région un dispositif de proximité
00:24:54qui permet de traiter un certain nombre d'incidents cyber de premier niveau
00:24:58qui ne requièrent pas les capacités techniques les plus sophistiquées que la nation a confiées à l'ANSI.
00:25:04Dans tous ces domaines-là, il y a un bouleversement qui est en cours sur lequel nous travaillons d'arrache
00:25:09-pied
00:25:10et qui, tout cela jusqu'à présent, n'a pas été rendu public,
00:25:13mais nous a fait constater de très profonds progrès dans l'année qui vient de s'écouler,
00:25:18notamment dans les neuf derniers mois, en matière d'intelligence artificielle,
00:25:21à la fois de compréhension beaucoup plus fine de l'impact
00:25:25que les modèles d'intelligence artificielle de frontières font peser sur la menace cyber
00:25:29et, à l'inverse, du durcissement de notre dispositif de cybersécurité
00:25:33à l'aide des modèles d'intelligence artificielle.
00:25:36Une des choses qui a été rendue publique, pour le coup,
00:25:38et je suis certain que Vincent Strubel y reviendra,
00:25:41c'est l'utilisation de certains éléments d'intelligence artificielle nationale,
00:25:45en particulier en appui au dispositif d'audit de la deuxième phase d'audit
00:25:50qui est en cours par la DGFIP sur les systèmes d'information de la DGFIP,
00:25:54le tout sous la supervision technique de l'ANSI.
00:25:58Pour se préparer au scénario central de la RNS,
00:26:00nous avons finalisé, au mois de juillet de cette année,
00:26:03et là aussi ça a été rendu public,
00:26:04une nouvelle planification de défense et de sécurité nationale,
00:26:08le PDSN dans notre jargon,
00:26:10qui associe très étroitement l'évaluation de la menace,
00:26:12l'ensemble des mesures pour y faire face,
00:26:14et que nous sommes en cours d'activation
00:26:16au regard de l'évolution de la menace hybride.
00:26:19Mais nous n'avons pas simplement actualisé et durci
00:26:22notre planification de défense et de sécurité nationale.
00:26:24Nous avons également d'ores et déjà organisé des exercices.
00:26:27Vous êtes familier,
00:26:28et un certain nombre d'entre vous y ont participé,
00:26:31à l'exercice Orion 26,
00:26:33et qui est un exercice d'abord militaire,
00:26:36organisé par l'état-major des armées,
00:26:37mais sur lequel nous avons décidé, nous GDSN,
00:26:40d'amener la communauté interministérielle de la défense
00:26:42et de la sécurité nationale pour jouer précisément
00:26:45les deux volets du scénario central de la RNS,
00:26:48à la fois la montée de nos armées vers l'engagement majeur
00:26:51et la mobilisation de l'ensemble de la communauté interministérielle
00:26:54de la sécurité nationale pour être en meilleure position,
00:26:58pour être capable de répondre à des attaques hybrides massives
00:27:02et donc pour durcir le territoire national.
00:27:05Je le disais, je le redis ici, nous avons financé des moyens nouveaux
00:27:09en matière de lutte contre les petits drones
00:27:11et qui ont pour objectif de nous permettre de mettre en œuvre
00:27:15plus efficacement et plus rapidement l'article 25 de la loi de programmation militaire.
00:27:20Et j'espère que dans les semaines qui viennent,
00:27:22nous aurons l'occasion de démontrer que nous passons de la théorie à la pratique.
00:27:29Nous sommes en train de le faire depuis le début du mois de janvier,
00:27:31je l'ai déjà dit à Bretigny-sur-Orge, avec un terrain d'expérimentation
00:27:35en milieu périurbain que nous avons ouvert à la participation
00:27:38de tous les industriels français de la détection et de la lutte anti-drone,
00:27:41pour qu'ils viennent tester en conditions réelles
00:27:44l'efficacité de leurs dispositifs de détection et de lutte anti-drone
00:27:48et ensuite de le labelliser et de le certifier dans des conditions
00:27:52qui correspondent à la réalité de façon à ce qu'ensuite
00:27:55ces solutions-là soient disponibles et validées
00:27:57pour durcir progressivement le territoire national face à cette menace drone.
00:28:04Vous le savez, vous l'avez dit, dans notre dispositif finalement
00:28:08que je qualifierais de planification juridique de la sécurité nationale,
00:28:11la loi de programmation militaire a validé et acté,
00:28:15je sais qu'il y a eu des débats nourris sur ce sujet,
00:28:18un nouvel État, un État d'alerte de sécurité nationale
00:28:21qui ouvre des possibilités d'apénagement juridique
00:28:24pour faire face à une montée des crises hybrides
00:28:26qui affectent la sécurité nationale.
00:28:29Et ce dispositif, je le dis ici, Monsieur le Président,
00:28:31il a été pensé pour les menaces hybrides et construit, conçu,
00:28:36à la fois dans ces critères de déclenchement,
00:28:37dans ces modalités d'encadrement et dans les dérogations de nature
00:28:40du pouvoir réglementaire qui l'autorisent
00:28:42pour le durcissement du territoire national face à des menaces hybrides
00:28:46et à ce scénario spécifique, c'est-à-dire à la deuxième partie
00:28:49du scénario central de la RNS.
00:28:51Je ne m'aventurerai pas ici devant votre commission
00:28:54à commenter l'actualité brûlante qui va bien au-delà de cette question
00:28:58et des compétences du SGDSN spécifiquement.
00:29:02Je l'ai dit, je le redis ici.
00:29:04Nous avons beaucoup travaillé ces derniers mois
00:29:08et c'est vrai dans le domaine cyber,
00:29:10mais je dirais que c'est le vrai dans l'ensemble des domaines
00:29:12qui relèvent de la sécurité nationale sur le bouleversement
00:29:16que représente l'intelligence artificielle en matière de sécurité nationale.
00:29:19J'ai mentionné la façon bonne ou mauvaise
00:29:22dont les grands modèles de langage de frontières
00:29:24peuvent être utilisés dans des domaines du cyber,
00:29:28mais je veux aussi ici dire que nous,
00:29:30dans l'ensemble du périmètre du SGDSN,
00:29:32nous continuons à être extrêmement attentifs
00:29:35et il est possible que vous ayez des questions sur ce sujet,
00:29:39sur la façon dont nous évaluons la possibilité pour des agresseurs étrangers
00:29:43d'utiliser des modèles d'intelligence artificielle
00:29:45à des fins de manipulation de l'information
00:29:47dans le cadre du mandat de Viginum.
00:29:49Et nous avons mis en place un laboratoire d'intelligence artificielle
00:29:53au sein de Viginum, comme nous l'avons fait au sein de l'ANSI
00:29:55sur la partie cyber,
00:29:56et dans des domaines qui sont tout à fait aussi préoccupants,
00:30:00qui relèvent de la prolifération des armes nucléaires,
00:30:03radiologiques, bactériologiques, chimiques ou des explosifs.
00:30:06Là aussi, des travaux extrêmement approfondis
00:30:09ont été menés ces derniers mois pour mesurer l'état exact
00:30:12de l'impact des modèles d'intelligence artificielle
00:30:15sur les risques de prolifération,
00:30:17et notamment dans les domaines biologiques, chimiques et d'explosifs.
00:30:20Toutes ces choses-là n'ont pas encore été rendues publiques,
00:30:22ce sont des travaux que nous avons faits dans un environnement classifié,
00:30:25et donc vous me pardonnerez, j'espère,
00:30:27de ne pas aujourd'hui être en mesure de vous dévoiler l'ensemble
00:30:30des résultats de l'ensemble de ces évaluations que nous avons faites.
00:30:33Je rappelle ici qu'au titre du sommet sur l'intelligence artificielle
00:30:37que le président de la République, pardon,
00:30:39avait organisé en mars 2025,
00:30:41un institut a été créé, l'Institut national d'évaluation
00:30:45et de sécurité de l'intelligence artificielle, l'INESIA,
00:30:48dont le SGDSN a la direction pour les menaces de sécurité nationale.
00:30:51Nous avons activé, opérationnalisé cette nouvelle mission
00:30:55dans l'année 2025 et dans l'année 2026
00:30:57qui nous mettent aujourd'hui en mesure d'avoir une capacité autonome
00:31:00et souveraine d'évaluation des modèles d'intelligence artificielle
00:31:03et de leur impact sur la sécurité nationale.
00:31:05Je pense et j'espère que nous serons en mesure,
00:31:07dans les mois qui viennent, avant la fin de l'année,
00:31:09de rendre public un certain nombre de nos évaluations
00:31:12et de déclassifier une partie pour alimenter votre réflexion
00:31:16sur ce bouleversement technologique qui a un impact direct
00:31:19sur l'état des menaces qui pèsent sur notre sécurité nationale
00:31:22et aussi sur la façon dont nous pouvons utiliser l'ensemble de ces modèles
00:31:26à des fins de défense ou de protection de notre démocratie
00:31:29et de notre sécurité nationale.
00:31:33Je sais que vous aurez beaucoup de questions de substance,
00:31:35mais c'est aussi une audition qui permet de revenir sur les questions budgétaires
00:31:38et c'était d'abord son objectif premier.
00:31:41Et donc je ne peux pas ne pas finir ma présentation initiale
00:31:46sans vous dire que dans le projet de loi de finances
00:31:48qui vous a été présenté pour 2027 et qui, nous le savons bien,
00:31:52nous ne sommes pas naïfs, même si nous sommes des technocrates,
00:31:56nous savons qu'il est entouré d'un certain nombre d'incertitudes,
00:31:58mais en l'état des choses, je constate qu'il est marqué
00:32:01par une volonté de maîtrise des dépenses que nous comprenons évidemment totalement
00:32:05et cette volonté s'applique y compris au service du Premier ministre et au SGDSN.
00:32:09Et donc nous sommes tout à fait à la manœuvre pour faire en sorte de mettre en œuvre
00:32:16les crédits qui, je l'espère, nous seront octroyés sur l'année 2027,
00:32:20qui sont, pour dire les choses, à constance par rapport à 2026.
00:32:25Et là aussi, nous avons conscience au SGDSN et en termes de titre 2
00:32:30et en termes d'ETP et en termes de hors titre 2,
00:32:33dans cette condition qui nous est faite de rester au niveau de l'année 2026,
00:32:38d'être particulièrement favorisés au regard de l'ensemble des mesures de restriction budgétaire
00:32:43qui ont été portées sur un certain nombre de services de l'État.
00:32:46Et nous serons, dans l'enveloppe et le plafond d'emploi qui nous seront alloués en 2026,
00:32:51extrêmement présents et attentifs à ce que nous puissions mettre en œuvre rapidement,
00:32:59avec agilité, avec souci de l'opérationnel, l'ensemble de ce que sont nos priorités.
00:33:06Et comme je l'ai déjà dit, et je n'hésiterai pas à le dire,
00:33:09à l'intérieur, nous serons amenés à faire des choix de priorisation,
00:33:13de hiérarchisation de nos priorités qui seront toujours, je veux le redire ici,
00:33:18conformes à notre analyse de la menace et à la façon dont nous évaluons l'évolution de la menace
00:33:23qui pèse sur notre sécurité nationale.
00:33:25Ça sera vrai dans le domaine cyber, ça sera vrai dans le domaine des manipulations de l'information,
00:33:28ça sera vrai dans le domaine de la lutte contre la prolifération,
00:33:31ça sera vrai dans le domaine de la lutte contre les menaces hybrides
00:33:34et de la planification de défense et de sécurité nationale.
00:33:37Je voudrais juste, Monsieur le Président, terminer ici peut-être par deux remarques.
00:33:42La première, comme je l'ai dit au début, et je ne crois pas l'avoir fait depuis que j
00:33:47'ai pris mes fonctions,
00:33:48depuis un an et demi, témoigner ici devant votre commission de mon constat de l'engagement des agents
00:33:57de l'ensemble du SGDSN, de leur professionnalisme, de leur dévouement nuit et jour,
00:34:03de leur capacité à être sur la brèche, et on le fait très souvent pour nos amis des armées,
00:34:11pour nos armées des services de sécurité.
00:34:13Dans la période qui est la nôtre, qui est dure, qui est compliquée,
00:34:17ils sont là, ils sont au rendez-vous avec le professionnalisme et l'engagement qui est le leur,
00:34:22et avec la diversité des profils qui est le leur.
00:34:25Je voudrais ici, devant vous, leur rendre hommage et le faire évidemment aux deux patrons de deux des services
00:34:35qui sont avec moi aujourd'hui et à l'ensemble de leurs équipes qui ont été éprouvés dans les semaines
00:34:39qui viennent,
00:34:40du côté de cyber comme du côté des ingérences numériques étrangères,
00:34:43mais vous dire que les équipes sont là, elles résistent, elles ont le sens de la mission,
00:34:47et elles sont engagées au profit de notre sécurité nationale avec toute la diversité des statuts qui sont les leurs,
00:34:53et qui font la richesse du SGDSN que je constate tous les jours,
00:34:56et donc permettez-moi ici publiquement de leur adresser mes remerciements chaleureux,
00:35:02parce que, évidemment, la période que nous vivons est une période dure,
00:35:06mais pour nous, au SGDSN, c'est pour cela que nous avons été construits, organisés,
00:35:11c'est pour cela que la nation nous confie des moyens, et nous continuerons d'être aussi bien que nous
00:35:16le pouvons,
00:35:16et avec toute la capacité dont nous sommes capables,
00:35:20d'être au rendez-vous des menaces de la sécurité nationale.
00:35:23La deuxième remarque que je voudrais faire est plus de substance,
00:35:26et ici, je pense que nous devons être attentifs dans la période qui vient à la rigueur des analyses,
00:35:32des concepts et de l'utilisation des mots.
00:35:35Nous avons beaucoup utilisé le terme d'attaque hybride,
00:35:39vous savez, je l'ai déjà dit dans cette commission,
00:35:41les doutes que nous pouvons avoir, certains d'entre nous, sur la notion elle-même.
00:35:45Elle a pour autant une valeur opératoire dans ce qu'elle décrit un certain nombre de menaces concrètes,
00:35:49opérationnelles, très matérielles, qui visent à casser la continuité de la vie de la nation,
00:35:55et qui visent à décrire ce que sont des stratégies adverses d'acteurs étatiques ou non étatiques étrangers,
00:36:02qui visent à perturber la continuité de la vie de la nation depuis l'étranger.
00:36:06Mais évidemment, tout ce qui se passe sur notre territoire national ne relève pas nécessairement d'une intention stratégique de
00:36:14nos adversaires,
00:36:15et donc nous devons faire attention à ne pas tout regrouper dans le vocable d'attaque hybride,
00:36:20d'attaque hybride étrangère.
00:36:21Et nous, au SGDSN, notre travail et notre périmètre, c'est celui de la sécurité nationale,
00:36:27interprété comme la préparation du territoire national au scénario central de la revue nationale stratégique.
00:36:34Autrement dit, et pour le dire, il y a parfois une tentation de faire intégrer et d'embarquer dans le
00:36:40périmètre du SGDSN
00:36:40la totalité des politiques publiques.
00:36:42Nous avons un champ spécifique qui est défini dans le code de la défense,
00:36:46qui est défini dans le code de la sécurité intérieure.
00:36:48Nous nous attachons à mettre en place l'ensemble de nos responsabilités,
00:36:51et croyez-moi, nous y sommes attachés nuit et jour,
00:36:54mais qui trop embrasse mal étreint notre champ et celui de la sécurité nationale.
00:36:59– Merci, M. le secrétaire général, pour ces propos liminaires, mais particulièrement complets.
00:37:05Juste peut-être pour rebondir sur ce que vous allez me dire à l'instant,
00:37:08et je l'ai fait tout à l'heure dans mon propos liminaire,
00:37:10je salue évidemment la présence de Vincent Strubel et de Mme Diver pendant la période d'intérim.
00:37:19On vit quand même dans un pays ou dans un système qui manque totalement de cohérence,
00:37:23puisque je peux permettre de le dire, puisque je ne suis pas technocrate, comme vous le disiez,
00:37:28et pourtant, ce n'est pas forcément une valeur péjorative dans votre bouche, évidemment.
00:37:35Celles et ceux qui ont beaucoup critiqué l'ANSI, celles et ceux qui ont beaucoup critiqué Viginum,
00:37:39sont malheureusement les mêmes qui ont contribué à la baisse des budgets il y a quelques mois.
00:37:43Voilà. Et donc je crois qu'il faut aussi le rappeler,
00:37:45puisque la seule enceinte nationale qui s'est mobilisée pour sauver les budgets de l'ANSI et de Viginum, c
00:37:55'est le Sénat.
00:37:56Et c'est la commission des affaires étrangères et de la défense qui s'y présente.
00:37:59Je rappelle que dans le cadre du budget 2026, le Premier ministre avait annoncé une baisse de 40 millions d
00:38:04'euros
00:38:04du budget de l'ANSI et de Viginum, au moment où les attaques cyber n'avaient jamais été aussi nombreuses,
00:38:07et où la lutte informationnelle était un sujet majeur.
00:38:10Et donc celles et ceux qui, aujourd'hui, critiquent vertement ces institutions,
00:38:15seraient bien inspirés de réfléchir à ce qu'ils ont fait il y a quelques années,
00:38:20puisqu'aujourd'hui on essaie de rattraper le retard qu'ils nous ont fait perdre en baissant drastiquement les budgets.
00:38:25Voilà. On a un certain nombre de questions. On va essayer d'avancer assez rapidement.
00:38:30D'abord les rapporteurs pour avis du 129, donc Olivier Cadic et ensuite Frédéric Buval.
00:38:37Donc je laisse la parole dans l'ordre que vous souhaitez. Peut-être d'abord Olivier.
00:38:41Merci Monsieur le Président.
00:38:43Monsieur le Secrétaire Général, depuis dix ans que la Commission m'a confié le suivi des crédits du programme 129,
00:38:48j'ai accompagné la montée en puissance de l'ANSI dans la lutte contre les menaces cyber.
00:38:53J'en ai salué les succès, notamment lors des Jeux Olympiques de 2024,
00:38:58mais j'ai aussi soulevé des interrogations sur son articulation avec le GIP ACIMA, chargé de Cybermalveillance,
00:39:06et les centres de réponse aux crises cyber en région.
00:39:10Avec mon collègue co-rapporteur Michael Vallet, avant le renouvellement sénatorial,
00:39:15nous avions alerté sur le fait que le réseau de supervision de l'ANSI ne couvrait pas tous les ministères.
00:39:21L'actualité de cet été a mis en pleine lumière les défaillances de l'État
00:39:26dans la protection de ses applications les plus sensibles.
00:39:29Entre juin et août, le système d'information de la Direction Générale des Finances Publiques
00:39:34a subi trois intrusions successives majeures par usurpation d'identifiants légitimes.
00:39:40Aucune faille logicielle complexe n'a été exploitée.
00:39:43L'attaque a touché 678 000 comptes au total, compromettant les données de particuliers et de professionnels.
00:39:52Cela s'ajoute à l'attaque de l'Ursaf en janvier, affectant les données de 12 millions de salariés.
00:39:58Au vol et à la publication sur le Dark Web de 2,1 millions de dossiers de ressortissants étrangers
00:40:03détenus par l'Office français de l'immigration et l'intégration.
00:40:07Et à la compromission de données, passeport, carte d'identité, carte grise dans les systèmes de l'Agence Nationale des
00:40:13Titres de Sécurité.
00:40:15Sans compter l'an dernier les intrusions dans les systèmes du ministère de l'Intérieur.
00:40:19Cela pose plusieurs questions.
00:40:21Quelles sont les responsabilités respectives de l'Annecy et des ministères concernés dans ces failles de sécurité ?
00:40:28Au-delà des excuses du ministre des Comptes Publics, quels sont les résultats des enquêtes sur les défaillances et les
00:40:36responsabilités ?
00:40:37Après un tel fiasco, comment accepter zéro responsable, zéro démission ?
00:40:44Un article du Canard Enchaîné a révélé que l'Annecy elle-même avait été attaquée début août.
00:40:50Les victimes ont-elles été notifiées ?
00:40:53Pourquoi n'y a-t-il pas eu de transparence sur cet événement ?
00:40:57Avez-vous porté plainte ?
00:40:59L'ACNIL a-t-elle été saisie dans les délais ?
00:41:02Quels enseignements tirez-vous de ces séquences ?
00:41:05A mon sens, elles ne sont pas liées au retard de la transposition de Nice 2.
00:41:10Ces services de l'État, opérateurs d'importance vitale, sont déjà sous le contrôle de l'Annecy.
00:41:15Le référentiel général de sécurité et la politique de sécurité des systèmes d'information de l'État
00:41:21imposent depuis plus de dix ans des mesures de sécurité numérique aux administrations centrales.
00:41:27Les fuites récurrentes montrent que ces textes ne sont ni appliqués ni contrôlés.
00:41:33M. le Secrétaire général, il paraît inadmissible qu'aucun directeur ne soit sanctionné tant au niveau des ministères qu'au
00:41:40niveau de l'Annecy.
00:41:41Avec quelle crédibilité l'État peut-il envisager d'imposer de nouvelles règles et des sanctions aux acteurs privés dans
00:41:49le cas de Nice 2 lorsqu'il ne fait pas respecter ses propres règles ?
00:41:53Le 12 octobre, le CERT-FR a publié une alerte sur les vulnérabilités des systèmes de régulation du fabricant danois
00:42:01Danfos.
00:42:02C'était le lendemain de l'attaque qui a rompu la chaîne du froid de plusieurs dizaines de supermarchés.
00:42:07Danfos avait pourtant publié ses vulnérabilités dès 2023, puis en mars et en août 2025.
00:42:13Une alerte après l'attaque pour des vulnérabilités connues depuis des années. Je vous le demande, à quoi sert aujourd
00:42:20'hui le CERT-FR ?
00:42:23Par ailleurs, l'agence a lancé un portail « Mes services cyber » destiné aux entreprises et aux collectivités
00:42:32qui se positionnent en concurrence du 17 cyber et de cybermalveillance, dont c'est la mission. Pourquoi ?
00:42:38Enfin, concernant Viginum, j'ai bien noté que le service avait identifié 4 actions d'ingérence étrangère lors de la
00:42:44campagne des municipales.
00:42:45Mais mesurez-vous les effets de ces ingérences ? Comment expliquez-vous que certains candidats voient leur notoriété démultipliée par
00:42:52TikTok ?
00:42:52Je passe la parole à mon collègue co-rapporteur Frédéric Buval.
00:42:56C'est moi qui passe la parole. Ce sera donc à Frédéric Buval. Et ensuite, vous aurez une réponse pour
00:43:00les deux rapporteurs, s'il vous plaît. Merci.
00:43:03Merci, M. le Président, de me passer la parole.
00:43:06M. le Secrétaire général, la Commission m'a confié la charge de co-rapporter avec mon collègue Olivier Cédric Cadic
00:43:13le programme 129
00:43:15et je m'en réjouis car, en tant que sénateur de la Martinique, je souhaite plus particulièrement m'intéresser au
00:43:21sort des Outre-mer
00:43:22dans la coordination interministérielle du travail gouvernemental dont je comprends que le SGDSN est la tête de réseau.
00:43:31Disposez-vous dans votre organisation de services spécifiquement compétents sur les questions ultramarines de défense et de sécurité nationale ?
00:43:40J'ai en mémoire la carte de l'Amérique du Nord publiée par le Président Trump qui recouvre du drapeau
00:43:47américain aussi bien le Canada, le Mexique que Saint-Pierre-et-Miquelon et les Antilles françaises.
00:43:52Cette provocation participe de phénomènes d'ingérence en étrangère hostile de la part d'un pays allié.
00:44:00Cela s'ajoute à l'activisme de l'Azerbaïdjan sur la Nouvelle-Calédonie ou la Russie sur Mayotte.
00:44:07Comment vos services traitent-ils la désinformation qui vise les populations dans les pays et départements d'outre-mer ?
00:44:15Plus largement, je voudrais souligner la vulnérabilité propre aux territoires insulaires face aux phénomènes climatiques, aux risques de cybersécurité sur
00:44:26les services publics tels que les hôpitaux, l'énergie, l'eau ou les approvisionnements.
00:44:32Comment sont-ils abordés du point de vue de la résilience ? Sur la cybersécurité ultramarine, qui est compétent et
00:44:40qui faut-il appeler ?
00:44:41Est-ce le délégué territorial de l'ANSI ? Un centre de réponse cyber ? Le 17 cyber ou cybermalveillance
00:44:49?
00:44:49Ou une entreprise désignée par l'ANSI pour le renforcement de l'accompagnement local aux enjeux de cybersécurité ?
00:44:57Enfin, à six mois de l'élection présidentielle, quel dispositif allez-vous mettre en œuvre pour protéger le débat public
00:45:05des ingérences étrangères ? Je vous remercie.
00:45:10Merci, M. Buval. J'appelle chacune et chacun à la concision. Je suis intervenu tout à l'heure pour Olivier,
00:45:14mais j'ai 16 demandes de prise de parole et on a encore une quarantaine de minutes.
00:45:19Donc, si on veut que tout le monde puisse s'exprimer, une fois que les rapporteurs pour avis se seront
00:45:23exprimés, j'invite chacune et chacun à prendre en compte la règle de cette commission qui veut qu'on pose
00:45:27une question sur une minute.
00:45:29Merci beaucoup, M. le secrétaire général. La parole est à vous.
00:45:31Merci beaucoup, M. le Président. Messieurs les sénateurs, peut-être qu'on va faire ça à deux voix. Je vais
00:45:38répondre en partie et je laisserai Vincent Strubel revenir sur un simple de questions qui sont tout à fait légitimes
00:45:44sur, je pense,
00:45:47et qui sont aussi l'occasion, M. le sénateur, de rappeler le modèle de cybersécurité qui a été établi maintenant
00:45:52depuis plus de 15 ans et qui repose sur une répartition des responsabilités assez claire,
00:45:57que je trouve qu'on a parfois tendance à oublier. Je ne sais pas si cet oubli est volontaire ou
00:46:02involontaire, mais en tout cas, il permettra au directeur général de l'ANSI de rappeler
00:46:06comment est organisé notre dispositif de cybersécurité nationale entre l'ANSI, les ministères responsables des systèmes d'information qui sont
00:46:18les leurs, et le privé,
00:46:19puisque là aussi je constate parfois un peu de schizophrénie, si vous me passez l'expression, entre le fait d
00:46:26'être responsable de ses propres systèmes d'information
00:46:29et le fait d'appeler systématiquement l'ANSI dès qu'il y a un problème. Pour dire les choses ici,
00:46:35l'ANSI n'a pas pour mission et n'aura pas pour mission d'aller réparer tous les frigos
00:46:39de France et de Navarre. Mais je pense que le directeur général reviendra plus précisément sur cette question-là de
00:46:45la répartition des responsabilités
00:46:46qui permet de rappeler comment on a organisé les choses. Et après, il peut y avoir des évolutions de notre
00:46:53modèle et de notre dispositif de cybersécurité
00:46:55qui a été remarquablement stable depuis l'année 2008 et l'année 2009. Peut-être un point spécifique que je
00:47:01voudrais faire ici pour répondre plus directement
00:47:04sur la question des outre-mer, qui est une question tout à fait légitime. Et vous avez raison, monsieur le
00:47:11sénateur, j'aurais dû mentionner dans mes propos introductifs
00:47:15à quel point l'outre-mer et l'ensemble des problématiques ultramarines sont centrales dans notre réflexion sur le durcissement
00:47:22du territoire national face aux menaces
00:47:23qui pèsent sur notre sécurité nationale. Pour le résumer d'une phrase, ce que nous avons constaté, c'est que
00:47:29les outre-mer sont surexposées à un certain nombre de menaces
00:47:33et souvent sous-préparées au durcissement qui est devant nous. Vous avez parfaitement, monsieur le sénateur, mis le doigt sur
00:47:41un certain nombre de ces éléments.
00:47:43Je voudrais insister en particulier sur la question des ingérences numériques étrangères. Nous avons rendu public, grâce au travail technique
00:47:50de détection de Viginium,
00:47:52un certain nombre d'agressions, d'attaques, d'informations, d'ingérences numériques étrangères, qui ont visé un certain nombre de
00:47:58nos outre-mer,
00:47:59dans le Pacifique, à la Réunion en particulier. C'est un rapport qui a été rendu public d'un groupe
00:48:06qu'on appelle le BIG, qui est originaire d'Azerbaïdjan,
00:48:10et qui a montré une vulnérabilité spécifique des outre-mer, ou en tout cas une exposition spécifique à la menace
00:48:17d'ingérence numérique étrangère.
00:48:19Un certain nombre d'actions de Viginium sont spécifiquement destinées aux territoires outre-mer,
00:48:24et en particulier à l'ensemble des préfets et des hauts-commissaires, pour les doter des capacités, des compétences, de
00:48:30l'expertise,
00:48:31qui leur permettent, au plus près du terrain et en pleine conscience des spécificités de chacun de nos territoires ultramarins,
00:48:37d'organiser la détection et surtout la protection de l'ensemble du débat numérique.
00:48:43Et donc Viginium, là aussi, est à la manœuvre pour durcir, tant qu'on le peut, ces territoires.
00:48:49C'est la même chose dans le domaine de la résilience et sur la partie cyber, et donc à chaque
00:48:54fois,
00:48:54d'ailleurs on l'a dit dans la revue nationale stratégique, mais dans le plan de défense et de sécurité
00:48:57nationale,
00:48:58la question ultramarine est toujours au cœur de nos préoccupations.
00:49:01Et en termes d'organisation, il y a à l'intérieur du SGDSN une direction qui s'appelle Protection et
00:49:06sécurité de l'État, PSE,
00:49:08qui a à sa tête un préfet, qui par ailleurs a une compétence tout à fait spécifique dans le domaine
00:49:12des Outre-mer,
00:49:13par son parcours, et qui est au contact quotidien avec le haut fonctionnaire de défense et de sécurité,
00:49:19qui, au sein du ministère de l'Intérieur, a la responsabilité aussi de la mise en œuvre opérationnelle
00:49:24de notre politique de défense et de sécurité nationale visant spécifiquement les Outre-mer.
00:49:28Donc le dispositif administratif est en place, mais on a un gros travail à faire de durcissement de nos Outre
00:49:33-mer
00:49:33pour les adapter à la menace de sécurité nationale que j'ai décrite initialement.
00:49:38Peut-être si vous êtes d'accord, M. le Président, je passe la parole à Vincent Strumel.
00:49:43Peut-être pour revenir en premier lieu sur l'évolution du paysage de la menace,
00:49:47comme l'a souligné le secrétaire général, nous avons deux évolutions majeures à l'œuvre aujourd'hui.
00:49:54Premièrement, celle qui est la plus visible, qui est le vol de données,
00:49:58qui est l'apparition, alors qui n'est pas totalement nouvelle, mais qui est une évolution à la fois
00:50:02du crime organisé qui bascule vers ça avec un certain nombre de grands groupes,
00:50:07Shiny Hunters, etc., qui font de l'extorsion, qui le faisaient hier à travers des rançons J-Ciel,
00:50:12c'est-à-dire la paralysie, qui le font aujourd'hui à travers l'extorsion de rançons
00:50:16contre la non-publication de données volées.
00:50:20Ces groupes-là ciblent peu l'État, ils s'en prennent essentiellement au privé.
00:50:24S'y ajoute aujourd'hui une dimension endogène, celle des jeunes Français,
00:50:30qu'on a vu à l'œuvre contre l'État, qui est motivée essentiellement par des enjeux réputationnels.
00:50:33Ces jeunes ne gagnent pas d'argent, ou très peu, avec ces vols de données.
00:50:39Ils pratiquent un modus operandi qui est nouveau, qui nous prend parfois au dépourvu,
00:50:44qui n'est pas celui contre lequel ont été forcément pensés tous les systèmes de défense,
00:50:48et ça vaut tant pour l'État que pour le secteur privé.
00:50:51Je dis ça non pas pour dédouaner l'État, mais pour rappeler que cette menace est persistante
00:50:55sur l'ensemble du périmètre des activités publiques-privées.
00:51:00Je voudrais surtout éviter qu'on imagine que ce problème est limité à l'État
00:51:04et que le secteur privé s'en désintéresse, parce qu'il est aussi très fortement concerné.
00:51:10Pour donner quelques chiffres là-dessus, nous avons publié, dans l'effort de transparence
00:51:16qui nous est demandé par le Premier ministre depuis la rentrée, des statistiques et des incidents détaillés.
00:51:23Nous avons, pour actualiser un tout petit peu les informations qui ont été publiées au début octobre,
00:51:28traité depuis le 1er août 165 violations de données, notifiées à l'ANSI,
00:51:33ce n'est pas l'exhaustivité de ce qui s'est passé en France, ça concerne tant le secteur privé
00:51:36que le secteur public.
00:51:3797 sont confirmés, donc je constate encore, même si j'ai été fortement critiqué pour l'avoir souligné par le
00:51:44passé,
00:51:45il ne s'agit absolument pas de limiter ou de minimiser la menace, ça n'a pas plus de sens
00:51:48pour un directeur général de l'ANSI
00:51:50de minimiser la menace que pour un directeur des pompiers de dire que les incendies ce n'est pas grave
00:51:53et qu'il ne faut pas s'en préoccuper.
00:51:55Je constate qu'il y a toujours une part de bluff parfois, donc dans les 165 violations de données que
00:52:02nous avons traitées,
00:52:02il y en a 97 qui sont confirmées. Quand je dis ça, ça veut dire que nous avons travaillé 165
00:52:08fois.
00:52:09Une fausse attaque ou une vraie attaque donne absolument autant de travail aux équipes cyber de l'ANSI,
00:52:14des ministères des entreprises privées dans leur investigation. Là encore, pour fixer les idées,
00:52:18dans ces 97 confirmées, il y en a moins du quart qui concernent l'État. Les violations de données, c
00:52:24'est aussi le secteur privé
00:52:25et c'est aussi l'ensemble du tissu économique et social, des collectivités, des associations, des fédérations, tout ça.
00:52:32Donc on est sur un fléau qui, par ailleurs, je veux aussi lever cette perception qui est parfois biaisée,
00:52:39n'est pas un phénomène franco-français. Nos partenaires européens font les mêmes constats.
00:52:44Le Danemark a vu l'exfiltration, il y a 2-3 semaines, des données d'État civil de 150%
00:52:50de sa population,
00:52:51c'est-à-dire les vivants mais aussi les morts, pour le dire crûment.
00:52:55Donc la Pologne a fait l'objet d'attaques similaires, les Pays-Baltes, l'Allemagne, etc.
00:52:59Donc on est quand même dans un phénomène qui est une évolution globale,
00:53:02même si elle se fait à un rythme différent et si, comme souvent,
00:53:05la France a peut-être été le canari dans la mine qui se prend le premier le coup de Grisou.
00:53:10Pour venir sur vos questions plus spécifiques, M. Kadic,
00:53:15l'article du Canard enchaîné n'a pas révélé une cyberattaque contre l'ANSI.
00:53:18C'est nous qui l'avons révélé à travers notre point de situation réactive publié début octobre.
00:53:23Nous avons choisi de la révéler dans cet effort de transparence.
00:53:26Il est bien entendu que la transparence, ça s'applique en premier lieu à soi-même.
00:53:30Pour revenir sur l'attaque elle-même, elle s'est déroulée le 8 août
00:53:35dans la traînée d'exploitation d'une vulnérabilité dans l'outil MetaBase
00:53:39qui a concerné une dizaine d'administrations, dont le ministère de la Transition et l'Écologique,
00:53:44dont l'ADINUM, dont l'ANSI.
00:53:46L'attaque que nous avons subie, nous, n'était pas grave.
00:53:49Elle a concerné non pas les systèmes d'information de l'ANSI,
00:53:51mais un système de développement externalisé.
00:53:53Nous sous-traitons son hébergement, nous sous-traitons sa maintenance applicative.
00:53:58Nous l'avons détecté le 10 août,
00:54:00parce que c'est un système qui n'était pas supervisé H24, 7 jours sur 7, étant non critique.
00:54:04C'est un système qui nous permet de développer un certain nombre de nos outils.
00:54:07Elle a conduit à l'exfiltration des adresses e-mail d'agents de l'ANSI
00:54:10et de 30 partenaires extérieurs, qui sont des agents, notamment des gendarmes
00:54:14ou des agents des collectivités, qui contribuent au co-développement
00:54:18ou à la mise en œuvre conjointe de cet outil.
00:54:19Ils ont tous été notifiés.
00:54:20Nous avons notifié la CNIL, qui nous a confirmé qu'il n'y avait pas lieu au demeurant de faire
00:54:24cette notification,
00:54:25mais nous l'avons fait par principe, et nous avons porté plainte.
00:54:28Mais c'est une attaque parmi d'autres, et c'est une attaque que nous avons choisi de révéler
00:54:32au titre de cet effort de transparence qui nous a vu publier un point de situation
00:54:37au début octobre concernant l'ensemble des services de l'État.
00:54:41Et cet effort de transparence, évidemment, se limite au service de l'État.
00:54:43Nous n'allons pas révéler les attaques que des entreprises nous ont notifiées.
00:54:49Nous nous efforçons de rester dans une logique de secret médical, ou de son équivalent.
00:54:56Sur la DGFIP, nous avons fait ce même travail de transparence, publié fin septembre,
00:55:03une analyse détaillée, analyse conduite sous l'angle des missions de l'ANSI,
00:55:08c'est-à-dire comprendre le phénomène technique, qu'est-ce qui s'est passé, quelles sont les défaillances.
00:55:12Il y en a eu un certain nombre, ce n'était pas une attaque sophistiquée,
00:55:14c'était une attaque que j'ai écrite comme persistante, parce que ça s'est passé pendant trois mois,
00:55:18avec la mobilisation d'une trentaine de comptes compromis.
00:55:21Donc nous avons fait cet état et les lieux, que j'assimile au travail que fait le bureau enquête et
00:55:25analyse
00:55:25suite à un incident dans l'aéronautique.
00:55:28On récupère les boîtes noires, on comprend ce qui s'est passé, on en tire les leçons pour éviter que
00:55:31ça se reproduise.
00:55:32Il ne nous appartient pas à nous de définir les responsabilités individuelles, ça c'est un autre travail.
00:55:36Il n'est pas exclusif, ce ne sont pas les mêmes entités qui le mènent, et il ne faut pas
00:55:40confondre.
00:55:41Là encore, ce qui transparaît dans ce rapport d'analyse, c'est des défaillances.
00:55:47Les défauts techniques, des défauts de sécurisation, qui sont ceux qu'on retrouve partout ailleurs.
00:55:52Ce n'est pas propre à la DGFIP, mais c'est une réalité malheureusement qui est assez universelle et qui
00:55:56nous faut contrer.
00:55:58Pour l'État, le principal vecteur pour faire ça, c'est la feuille de route décidée, validée et rendue publique
00:56:03par le Premier ministre
00:56:04à la fin du mois d'avril suite à l'attaque de la MTS.
00:56:07Donc c'est ça qui concentre nos efforts aujourd'hui, en plus du travail supplémentaire de gestion opérationnelle
00:56:11et de réactivité pour bloquer plus vite les attaques, qui est celui mis en place depuis la rentrée,
00:56:15avec une bascule d'effort. Le secrétaire général mentionnait le fait que nous ajustions en permanence nos priorités.
00:56:21Nous avons ajusté notre priorité pour mettre plus de monde sur cette menace-là et moins potentiellement sur d'autres
00:56:25menaces.
00:56:27Pour finir sur l'affaire des frigos, petite précision, l'alerte qui a été publiée par l'ANSI le 12
00:56:35octobre
00:56:37et renouvelée le 13 octobre pour l'étendre à d'autres éléments.
00:56:40Ne signalez pas une vulnérabilité spécifique. Ce n'est pas le but d'une alerte de l'ANSI, c'est
00:56:44de signaler une campagne d'attaque en cours.
00:56:46Nous le faisons une vingtaine de fois par an pour signaler des mesures urgentes qui doivent être prises par l
00:56:51'ensemble de l'écosystème
00:56:52en réaction à une attaque en cours. La vulnérabilité spécifique qui a été employée pour mener cette attaque,
00:56:59il faut être très prudent. J'ai vu circuler, mais là encore, ça renvoie à cet enjeu de rigueur et
00:57:04d'objectivité dans la description des choses.
00:57:06J'ai vu circuler différentes analyses tierces disant, moi je sais que c'est l'attaque, la CVE 2025 quelque
00:57:13chose,
00:57:13ou 2026 quelque chose, c'est-à-dire des vulnérabilités rendues publiques par différents chercheurs en cybersécurité au cours des
00:57:18deux années précédentes.
00:57:19Notre analyse aujourd'hui est que ce ne sont pas ces vulnérabilités-là qui ont été exploitées.
00:57:23Ce sont des défauts de sécurisation élémentaire, à commencer par l'exposition directe sur Internet d'équipements frigorifiques
00:57:29et leur administration sans sécurisation particulière, des maux de passe faibles, ce genre de choses.
00:57:34Donc là encore, des vulnérabilités assez classiques.
00:57:38Je ne peux m'empêcher de signaler qu'elles font l'objet de recommandations depuis 2014.
00:57:42Depuis 2014, l'ANSI publie et met à jour un guide sur la sécurisation des systèmes industriels,
00:57:48dont la première recommandation n'est pas les exposer directement sur Internet.
00:57:52Mais à l'évidence, nos recommandations ne sont pas systématiquement respectées.
00:57:58Ce qui est l'occasion pour moi de rappeler, comme vous l'avez appelé de vos voeux,
00:58:01M. le Secrétaire Général, la répartition des responsabilités.
00:58:05L'ANSI ne va pas contraindre, n'a pas de pouvoir aujourd'hui, de contrainte des supermarchés dans le déploiement
00:58:12de leurs frigos.
00:58:14Nous édictons des règles, nous édictons des recommandations.
00:58:19Nous édictons aussi ou publions des alertes quand il y a une attaque.
00:58:22Mais à chacun ensuite d'appliquer ses règles, de respecter les alertes, de prendre en compte les mesures d'urgence.
00:58:31Pour le dire, à l'échelle de l'État, l'ANSI édicte des règles, les ministères homologuent leurs systèmes d
00:58:37'information
00:58:38et font l'état de lieu des vulnérabilités résiduelles, décident de mettre en service des systèmes d'information,
00:58:46peuvent faire appel à l'ANSI si besoin pour auditer, tester la sécurité des systèmes d'information qu'ils mettent
00:58:53en œuvre,
00:58:53mais sont responsables de leur mise en œuvre.
00:58:55Et à plus forte raison, dans le secteur privé, hors cadre réglementaire très spécifique des opérateurs d'importance vitale
00:59:01qui concernent environ 300 entreprises et un petit millier de systèmes d'information au sein de ces entreprises,
00:59:07ce ne sont pas l'ensemble des systèmes d'information, nous n'avons pas de pouvoir de contrôle aujourd'hui.
00:59:11Et la responsabilité fondamentale d'une entreprise, c'est de déployer ces systèmes de manière sécurisée
00:59:16en appliquant ou pas les règles de l'ANSI, mais en faisant en sorte qu'ils soient sécurisés.
00:59:22Merci beaucoup. Je vous ai laissé développer, mais vous aurez compris que le temps nous est compté.
00:59:28Je vais laisser la parole à Uxori pour les deux rapporteurs de la commission sur la résilience.
00:59:34Rapidement, ensuite une réponse, et puis je passerai à des séries de cinq questions pour qu'on essaie d'avancer
00:59:40rapidement.
00:59:40Merci, M. le Président. M. le Secrétaire général, Marie-Arlette Carletti et moi-même travaillons sur un rapport consacré à
00:59:47la résilience
00:59:48et à la défense opérationnelle du territoire. Et dans ce cadre, nous avons eu l'occasion d'auditionner M. Xavier
00:59:54Brunetier,
00:59:55donc pour mes collègues directeurs de la protection et de la sécurité de l'État au SGDSN,
00:59:59ainsi que des associations d'élus et de nombreux acteurs de la société civile.
01:00:04Le constat, à ce stade qui s'impose à nous, est que les élus et la population ne se sont
01:00:09pas suffisamment informés
01:00:11des enjeux liés à la résilience et à la préparation de crise, et encore moins associés à cette préparation.
01:00:17Le guide « Tous responsables » a eu une diffusion confidentielle,
01:00:22et récemment, la journée de résilience, qui a eu lieu le 13 octobre, a eu un impact médiatique très restreint.
01:00:29Ne serait-il pas important que le SGDSN communique davantage autour des travaux menés au sein de l'administration sur
01:00:35ce sujet,
01:00:36qu'il s'agisse de l'exercice Orion, dont vous avez dit un mot, Orion 2026, des stades de défense
01:00:41ou de la stratégie nationale de résilience ?
01:00:44La SNR ne mériterait-elle pas d'être publiée ou, à minima, d'être communiquée aux parlementaires ?
01:00:52Mais par ailleurs, on voit que de nombreux pays européens sont engagés dans un ensemble d'actions visant à associer
01:00:57étroitement la population à ces sujets.
01:00:59Ne serait-il pas utile de nous en inspirer ?
01:01:02Je vous remercie.
01:01:07Oui, je pose la question de Marie-Arlette ou pas ?
01:01:09Si ça dure 10 secondes, ça va ?
01:01:11Ça va durer 10 secondes.
01:01:12Donc il y a eu une expérimentation qui a été menée en 2025 dans la zone de défense ouest,
01:01:16consistant à faire assurer la surveillance des points d'importance vital par des réserviers.
01:01:20Est-ce que vous pouvez nous donner le bilan de cette expérience ?
01:01:24Je vous remercie.
01:01:25Je vous en prie.
01:01:26Très rapidement, M. le Président, je partage intégralement vos remarques et votre frustration, si je puis le dire.
01:01:36Et donc tout ce que vous dites sur le besoin de communication, nous le partageons au SGDSN intégralement.
01:01:42Mon constat, c'est que dans l'année qui vient de s'écouler, nous avons beaucoup publié et nous avons
01:01:47beaucoup communiqué.
01:01:48J'ai passé beaucoup de temps dans des déplacements en région pour aller au-delà de notre public habituel,
01:01:54faire des conférences y compris publiques, sensibiliser des maires, sensibiliser les préfets.
01:01:59Nous avons pris contact avec l'ensemble des entreprises, avec les représentants du MEDEF, avec les syndicats.
01:02:07Et donc nous avons entièrement partagé votre constat qui consiste à faire sortir les sujets de sécurité nationale et de
01:02:14résilience du petit périmètre
01:02:16des seuls acteurs de l'État central qui ont cette responsabilité directe pour les raisons exactes que vous définissez.
01:02:22C'est-à-dire que nous ne serons pas au rendez-vous de la résilience et de la sécurité nationale
01:02:26si nous ne sommes pas capables d'embarquer l'intégralité de la société civile
01:02:30et in fine chacun de nos compatriotes. Ce que je constate, c'est que c'est une œuvre difficile, cette
01:02:41œuvre de sensibilisation.
01:02:43Nous avons publié le 8 juillet deux documents complets qui font le point sur l'intégralité des décisions prises par
01:02:50le gouvernement
01:02:51sur le comité intermissial de la résilience nationale et la publication d'un petit mémento sur la défense et la
01:02:56sécurité nationale.
01:02:57Vous l'avez dit, monsieur le sénateur, nous avons publié le guide « Tous responsables ». Nous en faisons la
01:03:01promotion partout où je vais.
01:03:04Mais je dirais qu'aujourd'hui, nous avons besoin de vous pour faire en sorte que notre voix soit davantage
01:03:12entendue.
01:03:12Je constate malheureusement que dans bien des cas, nous commençons à préparer collectivement à partir du moment où nous avons
01:03:20vécu la crise.
01:03:21Notre enjeu, comme vous le dites, c'est d'arriver à communiquer de façon suffisamment large, précise, technique, non anxiogène
01:03:29sur la préparation.
01:03:30Il y a énormément de choses qui nous rendent optimistes sur la préparation et le durcissement du territoire national.
01:03:35Et je ne peux que partager votre volonté, votre souci de communication croissante.
01:03:39Nous nous y employons avec les moyens qui sont les nôtres. Nous avons besoin de relais et en particulier dans
01:03:45les territoires.
01:03:47Nous avons effectivement, vous l'avez dit, dans le cadre d'Orion 26, pris le parti de faire des expérimentations
01:03:53territorialisées, locales.
01:03:55C'est vrai en particulier pour les réserves. Et nous sommes en train de, à partir de ces expériences, en
01:04:03particulier pour la zone ouest, sur la question de la dynamisation et de la sincérisation des réserves,
01:04:08de répliquer ce modèle-là dans notre dispositif de gouvernance et de pilotage des réserves sur toute la France.
01:04:12De la même façon, nous avons demandé avec le ministre de l'Intérieur à ce que l'ensemble des préfets
01:04:17de zone puissent organiser des exercices de sécurité nationale dans les semaines et les mois qui viennent.
01:04:21Le ministre de l'Intérieur, d'ailleurs, a communiqué publiquement après le comité des préfets de zone sur le sujet.
01:04:25Et à partir de ces exercices-là, il y a une mutualisation des bonnes pratiques entre les différentes zones de
01:04:30défense qui est au cœur de nos activités en ce moment.
01:04:34Merci beaucoup. On passe maintenant à la série des questions. Une minute, une question. Et donc une série de cinq.
01:04:41Et je commence avec Ludovic He.
01:04:46Merci, M. le Président, M. le Secrétaire général, Mesdames et Messieurs les directeurs et directrices, mes chers collègues.
01:04:50Vous le savez comme moi, la résolution de problèmes sécuritaires sur le territoire national passe aussi par l'anticipation de
01:04:57ce qui se passe au-delà de nos frontières.
01:04:59Et bien que la causalité en matière d'ingérence ne soit pas officiellement établie, les violences commises en France ce
01:05:04week-end par certains groupes se réclamant de la mouvance des Black Blocs
01:05:08constituent un défi récurrent pour nos forces de l'ordre. Au-delà de la gestion de ces violences sur le
01:05:13terrain, la question de leur prévention et de la préparation de l'État se pose.
01:05:16Nous devons mieux détecter les prémices d'action violente et mieux comprendre les réseaux qui se forment afin de mieux
01:05:22identifier les individus en amont de leurs exactions.
01:05:25Les nouvelles technologies, vous le savez comme moi, même mieux que moi, offrent aujourd'hui les capacités considérables en matière
01:05:31d'analyse de données, d'utilisation d'intelligence artificielle,
01:05:34vous l'avez dit M. le Secrétaire général, avec l'utilisation de nouveaux modèles, et j'en me rejouis, de
01:05:39détection des signaux faibles et d'exploitation de renseignements numériques.
01:05:42Elles pourraient notamment permettre d'analyser les communications accessibles, de mieux cartographier les réseaux de coordination, et ce, dans le
01:05:49cadre légal applicable,
01:05:50peut-être trop restreint, mais nous sommes là pour y travailler, de mieux exploiter les informations ou la désinformation parfois
01:05:56issue de moyens de surveillance et de renseignement.
01:05:59Ma question s'adresse donc conjointement à vos trois entités.
01:06:01Quels sont aujourd'hui les moyens technologiques et opérationnels dont dispose l'État pour agir à la source de ces
01:06:07phénomènes,
01:06:07en particulier pour mieux anticiper les actions violentes organisées sur les réseaux sociaux et les canaux de communication ?
01:06:13Dans un second temps, quels sont les obstacles techniques, juridiques et organisationnels qui limitent aujourd'hui l'utilisation de ces
01:06:19capacités ?
01:06:19Je vous remercie.
01:06:20Merci beaucoup. Roger Carautier.
01:06:23Au moins, ce sera très bref.
01:06:24M. le Secrétaire général, le ministère de l'Intérieur, dès lundi, a affirmé que les événements de ce week-end
01:06:29avaient été en partie liés à des interférences de l'Iran, de l'Algérie et de la Russie.
01:06:34Est-ce que vous confirmez ce fait ? Et qu'est-ce que vous avez fait pour contrecarrer ces interférences
01:06:40?
01:06:41Merci. Hélène Conway-Mouret.
01:06:44Oui, merci, Président. Je vous amenez un petit peu à l'étranger.
01:06:49La stratégie nationale de lutte contre les manipulations de l'information 2026-2030 prévoit l'intégration du réseau diplomatique et
01:06:56militaire
01:06:56aux dispositifs de veille de détection et de caractérisation des ingérences numériques étrangères.
01:07:03J'aimerais savoir comment cette coopération s'est traduite avec nos ambassades, notamment les pays où la France est particulièrement
01:07:08exposée à des campagnes de désinformation
01:07:10et comment nous pouvons protéger nos communautés françaises ciblées par ces campagnes.
01:07:16Et un point sur les élections consulaires qui ont eu lieu en mai 2026.
01:07:22Nous avons un travail assez conséquent avec la DFAE quant aux difficultés d'authentification et de réception des codes de
01:07:29vote en ligne
01:07:30qui a été réalisé. Mais par contre, nous n'avons aucune information au-delà des dysfonctionnements techniques de tentatives de
01:07:38cyberattaque, d'intrusion ou de manipulation
01:07:41susceptibles d'affecter la disponibilité ou l'intégrité du scrutin.
01:07:46Alors est-ce que vous avez eu des tentatives d'attaque ? Et si c'est le cas, que mettez
01:07:52-vous en place pour les élections législatives de 2027 ?
01:07:56Puisque vous savez qu'à l'étranger, 85% des Français votent par Internet. Merci.
01:08:02Merci Hélène. Guillaume Chevrolier.
01:08:05Merci, M. le Président, M. le Secrétaire général. Dans le contexte de guerre hybride et de conflits informationnels,
01:08:12vous l'avez dit, la défense, ce n'est pas uniquement une affaire de professionnels. Il faut de l'engagement.
01:08:16Vous avez parlé des différentes réserves. Nous représentons les élus locaux.
01:08:21Donc quelle place les élus locaux doivent avoir, selon vous, dans la sécurité nationale ?
01:08:27Et deuxième question, s'agissant de Viginum, est-ce que vous avez les moyens d'agir auprès des plateformes ?
01:08:35Et quels moyens vous manquent-ils en la matière ?
01:08:39Merci. Et pour terminer cette série de 5, Loïc Kervrand.
01:08:43Merci, M. le Président, M. le Secrétaire général, Mme la Directrice, M. le Directeur.
01:08:48Je voulais vous interroger sur un principe qui est très clair en droit, mais qui est pourtant assez massivement ignoré
01:08:53en pratique,
01:08:53qui est celui de la minimisation des données.
01:08:56Donc ce principe qui veut qu'une administration, une collectivité, ne demande et ne conserve que la donnée dont elle
01:09:02a réellement besoin.
01:09:03Et ce que je voudrais savoir, si c'est un volet, c'est sans doute plutôt pour le directeur de
01:09:08l'ANSI,
01:09:09de l'analyse que vous faites à postériori des attaques qui ont eu lieu.
01:09:13Est-ce que ce principe a été respecté ? Est-ce que les règles du droit ont été respectées ?
01:09:17Et est-ce qu'éventuellement vous faites des signalements au titre, par exemple, de l'article 40,
01:09:21lorsque vous voyez que les principes de droit sur ce point particulier...
01:09:26Moi, je pense à l'attaque de Pôle emploi, où il y a des données qui dataient depuis 20 ans,
01:09:29qui ont été exposées.
01:09:31Si vous faites des signalements lorsque ces principes de droit ne sont pas respectés.
01:09:37Je vous laisse prendre la parole.
01:09:38On va répondre, si vous en êtes d'accord, M. le Président, à trois voix.
01:09:42Peut-être deux ou trois précisions de mon point de vue, avant de demander à Anne-Sophie Divert de répondre
01:09:49plus précisément.
01:09:50La première chose, je le redis ici, tout ce qui se passe sur les réseaux sociaux,
01:09:56ou en termes de désinformation ou de manipulation de l'information,
01:09:58ne relève pas nécessairement des ingérences numériques étrangères.
01:10:01Une ingérence numérique étrangère est définie en droit par quatre critères,
01:10:05dont un critère d'extranéité, qui implique des acteurs étrangers, étatiques ou non-énatiques.
01:10:09Tout ce qui se passe sur nos réseaux sociaux n'est pas consubstantiellement nécessairement une ingérence numérique étrangère.
01:10:17L'essentiel des questions que vous nous posez ne relève pas des INE, M. le Sénateur.
01:10:22Il y a des questions de régulation des plateformes, de régulation des réseaux sociaux,
01:10:26y compris de la violence en ligne qui occupe les administrations,
01:10:30qui occupe essentiellement d'autres ministères que nous,
01:10:34qui ont le cœur de la compétence.
01:10:36Là où nous, SGDSN, nous pouvons avoir un rôle,
01:10:38il est plutôt dans la coordination.
01:10:40C'est-à-dire notre rôle, comme vous l'avez dit, M. le Président,
01:10:42de préparation des conseils restreints de défense et de sécurité nationale,
01:10:45c'est-à-dire de veiller à ce que cette coordination soit faite.
01:10:47La compétence au fond, notamment sur la question de la régulation de la violence en ligne,
01:10:52relève davantage du ministère de l'Intérieur, du ministère de la Culture et de ces ministères-là.
01:10:56Encore une fois, nous, notre mandat dans le champ de la sécurité nationale
01:10:59sur la question des manipulations de l'information,
01:11:02il est défini en droit par les INE et par un critère d'extranéité
01:11:06qui porte effectivement la nécessité d'un acteur étatique ou non étatique étranger
01:11:12comme étant à l'origine des manœuvres.
01:11:15M. le Sénateur, pour répondre à votre question,
01:11:20ce que nous constatons d'une manière générale au moment des mouvements sociaux,
01:11:24et c'est vrai de tous les mouvements sociaux ou de tous les mouvements
01:11:27qui se passent sur le territoire national.
01:11:29Et maintenant, nous commençons, depuis la création de Vigilum en 2021,
01:11:32à avoir une expérience assez longue, finalement,
01:11:35de la façon dont des mouvements d'opinion sur les réseaux sociaux se développent
01:11:40et de l'interaction entre le domestique et le national et l'étranger.
01:11:44Ce que nous constatons aujourd'hui à date,
01:11:47sur l'ensemble, encore une fois, sur une longue période de ces mouvements,
01:11:50c'est que la principale dynamique, elle est d'abord nationale et endogène.
01:11:57Et c'est donc d'abord quelque chose de national.
01:11:59Là où il y a, et nous le constatons aussi,
01:12:02et les deux morceaux de ma phrase vont en même temps,
01:12:06nous constatons qu'il y a un caractère opportuniste
01:12:09d'un certain nombre d'acteurs de la menace d'ingérence numérique étrangère
01:12:13qui viennent se greffer, se surajouter, comme une espèce de surcrise
01:12:19à un mouvement endogène et national et domestique.
01:12:24Et donc il y a, il y a eu, et je n'ai aucun doute qu'il y aura encore,
01:12:27des acteurs de la menace informationnelle étrangère,
01:12:30des acteurs des ingérences numériques étrangères,
01:12:33des modes opératoires informationnels que Vigilum documente et suit,
01:12:37qui, de façon opportuniste, vont chercher à venir surajouter de la polarisation
01:12:42à un débat déjà polarisé dans notre débat numérique.
01:12:46La question qui nous est posée, et elle est très compliquée techniquement à objectiver,
01:12:51elle consiste à savoir mesurer quelle est la part de surajout
01:12:55dans la visibilité ou dans l'impact en termes d'opinion
01:12:59que peut avoir la mobilisation d'infrastructures numériques inauthentiques
01:13:03d'acteurs de la menace étrangère, sur un mouvement d'opinion
01:13:07et d'information numérique qui est fondamentalement domestique et national.
01:13:12Et cette part, ce qu'on voit aujourd'hui d'une manière générale,
01:13:15c'est qu'elle est, j'hésite à mettre un adjectif,
01:13:19parce que tout est susceptible d'être interprété,
01:13:21mais ce que nous constatons en général, c'est que ces mouvements-là
01:13:26sont d'abord domestiques, avec un surajout qui n'est pas énorme.
01:13:31Il y a des tentatives, et la question de la mesure de l'impact
01:13:33est très compliquée à faire, pour savoir concrètement
01:13:36si vous avez un énorme mouvement national et domestique
01:13:39avec une petite part de surajout opportuniste étranger.
01:13:43C'est plutôt ça qu'on observe aujourd'hui.
01:13:45Mais il y a une forme de mélange, et on constate que,
01:13:49d'une manière générale, ça me permet de faire un point important.
01:13:53Dans les stratégies, notamment en période électorale,
01:13:56mais pas que, que les acteurs étrangers de la menace informationnelle
01:13:59mettent en œuvre, on pense souvent, parce qu'on pense à partir
01:14:02du concept de désinformation, au fait que ça va chercher à avantager
01:14:06ou à nuire à un parti ou à un candidat.
01:14:08Ce que nous constatons, nous, techniquement, c'est que la plupart du temps,
01:14:11ce que ça cherche à faire, c'est à polariser, à amplifier la confusion.
01:14:16Donc on est plutôt dans le domaine de la confusion et du chaos
01:14:19que dans le domaine de la propagande classique.
01:14:21Et c'est plutôt cette nature opportuniste d'acteurs étrangers
01:14:24qui viennent se greffer et se surajouter à des éléments nationaux
01:14:29et qui ont une dynamique profondément domestique.
01:14:32Peut-être dernier point, et je laisserai ensuite mes deux collègues compléter,
01:14:39sur, vous posez, monsieur le sénateur, la question des élus locaux,
01:14:44je dirais, centrale, fondamentale.
01:14:47Je n'ai qu'une conviction, c'est qu'en termes de résilience
01:14:52et de sécurité nationale, nous ne serons pas au rendez-vous
01:14:55du scénario central de la revue nationale stratégique
01:14:57s'il est seul à s'occuper de ce scénario central, c'est le SGDSN.
01:15:02Et donc nous avons besoin de tous les ministères,
01:15:04nous avons besoin de tous les services déconcentrés de l'État,
01:15:06et nous avons besoin des collectivités territoriales,
01:15:08nous avons besoin des acteurs et des partenaires sociaux,
01:15:11et nous avons besoin, in fine, des entreprises.
01:15:13Et donc territorialement, je pense que le vrai, le cœur,
01:15:16comme souvent dans notre organisation, c'est le couple préfet-maire,
01:15:19qui est au cœur du durcissement du territoire national.
01:15:22Ça fait partie des choses que nous, SGDSN, nous faisons.
01:15:25On sort un peu de nous-mêmes en cherchant à déclassifier,
01:15:27à communiquer davantage, à aller vers les collectivités territoriales.
01:15:32Mais nous avons besoin de construire un vrai partenariat
01:15:34entre les services de l'État, notamment territoriaux déconcentrés,
01:15:37et les collectivités territoriales, et je pense en particulier au maire,
01:15:41dans cette construction d'un État plus résilient de notre société
01:15:46face au durcissement des menaces.
01:15:47Peut-être, Anne-Sophie, sur quelques sujets,
01:15:49y compris sur la partie informationnelle étranger
01:15:53et l'articulation avec le Quai d'Orsay.
01:15:56Mesdames et Messieurs les sénateurs,
01:15:58effectivement, dans la stratégie nationale de lutte contre les manipulations
01:16:01de l'information, qui a été coordonnée par le SGDSN,
01:16:04en lien avec de nombreuses entités au sein de l'État,
01:16:08auprès des parlementaires, mais aussi auprès de la société civile,
01:16:11une des priorités, et notamment le renforcement des capacités nationales
01:16:17de détection et de caractérisation.
01:16:19Donc, en fait, nous avons, à l'occasion de cette stratégie nationale,
01:16:24renforcé nos mécanismes de coopération au niveau interministériel,
01:16:28qui existait largement déjà, pour permettre d'avoir une meilleure action
01:16:34en termes de détection, caractérisation, mais aussi d'agir en termes de riposte
01:16:38contre ces acteurs malveillants.
01:16:41Donc, aujourd'hui, en fait, nous avons une intrication étroite
01:16:45avec le Quai d'Orsay pour agir à deux niveaux.
01:16:49Le Quai d'Orsay opère un travail de veille qui intègre,
01:16:53notamment, des éléments qui vont être issus des postes et des ambassades.
01:16:58Du côté de Viginium, nous menons des actions de caractérisation,
01:17:02de détection et de caractérisation des ingérences numériques étrangères,
01:17:04qui vont viser, donc, à caractériser des comportements inauthentiques,
01:17:08ainsi qu'un caractère d'extranéité de ces opérations.
01:17:13En fait, cette double action nous permet, en fait, d'agir collectivement
01:17:18pour imposer un coup à nos adversaires,
01:17:21qui vont être, par exemple, en exposant réputationnellement des acteurs,
01:17:26comme nous l'avons fait à plusieurs reprises avec le Quai d'Orsay,
01:17:29et en dévoilant des modes opératoires informationnels étrangers
01:17:33qui ont mené des actions dans notre débat public.
01:17:37Ça peut se faire aussi par le biais d'actions diplomatiques
01:17:39qui vont être menées par le Quai d'Orsay.
01:17:41Et enfin, ça peut être aussi par le biais de mises sous sanctions
01:17:44d'individus ou d'organisations affiliées à des dispositifs étrangers.
01:17:48Nous l'avons fait à plusieurs reprises avec le Quai d'Orsay.
01:17:51S'agissant maintenant de la deuxième question sur le sujet des plateformes.
01:17:57En vérité, aujourd'hui, une tendance majeure de l'évolution de la menace
01:18:04est une intrication étroite et croissante de la menace d'ingérence numérique étrangère
01:18:11avec le modèle même des plateformes en ligne,
01:18:15ainsi que les nouveaux usages technologiques
01:18:19qui rendent cette menace de facto systémique.
01:18:24Pour donner un peu plus de corps à mon propos,
01:18:26s'agissant de l'intelligence artificielle.
01:18:28Ce que nous observons, c'est que l'intelligence artificielle
01:18:31génère un saut quantitatif et qualitatif majeur
01:18:35des opérations d'ingérence numérique étrangère.
01:18:38Aujourd'hui, la plupart des modes opératoires informationnels
01:18:41que nous suivons utilisent largement les outils dits à générative
01:18:46pour produire du contenu de manière à soutenir leur narratif,
01:18:49que ce soit dans un objectif de mensonge,
01:18:52par la création de contenu hyper réaliste,
01:18:55dans un objectif d'amplification,
01:18:57avec une publication en masse de contenu
01:18:59à un rythme très rapide sur de nombreuses plateformes
01:19:01et en plusieurs langues,
01:19:03mais aussi dans un objectif de persuasion,
01:19:06c'est ce que nous observons beaucoup,
01:19:08plus que de la création de faux,
01:19:09d'avoir des visuels qui vont appuyer un narratif
01:19:14pour appuyer notamment sur une corde émotionnelle,
01:19:17par exemple, et générer plus d'engagement.
01:19:19Par ailleurs, l'évolution aussi des usages en matière d'IA
01:19:23crée de nouvelles surfaces d'attaque.
01:19:25Comme M. le Secrétaire général vous l'exposez,
01:19:28nous nous intéressons particulièrement
01:19:30à l'usage des modèles et des chatbots,
01:19:34donc des agents conversationnels d'IA,
01:19:36comme des vecteurs potentiels d'ingérences numériques étrangères,
01:19:41via des manipulations en boîte noire,
01:19:44c'est-à-dire par des acteurs externes,
01:19:45ou des manipulations en boîte blanche,
01:19:47c'est-à-dire par des biais inscrits par nature
01:19:51dans les modèles eux-mêmes.
01:19:53La deuxième chose, et c'est une tendance qui est très préoccupante,
01:19:57c'est la croissance des ingérences numériques étrangères
01:20:00à vocation lucrative.
01:20:02Nous l'avons vu dans le cas des municipales,
01:20:04mais c'est un phénomène encore plus massif,
01:20:06où nous assistons aujourd'hui à l'émergence
01:20:09d'une économie alternative dans des pays d'Afrique de l'Ouest,
01:20:12d'Asie du Sud-Est,
01:20:13avec de nouveaux acteurs, créateurs de contenu,
01:20:18dont en fait le modèle économique consiste
01:20:21à diffuser du contenu de manipulation de l'information
01:20:24à destination d'audience française,
01:20:27non pas a priori dans un objectif de déstabilisation,
01:20:31encore qu'on ne peut pas l'exclure,
01:20:33mais en tout cas dans un but qui est principalement lucratif,
01:20:37en exploitant notamment les fonctionnalités de monétisation
01:20:42offertes par les plateformes
01:20:43qui cherchent à attirer des créateurs
01:20:45et via l'avité et l'engagement.
01:20:48Et donc aujourd'hui, en fait, plus largement,
01:20:50ça génère une forme de marchandisation
01:20:52de notre débat public,
01:20:54qui est extrêmement préoccupant,
01:20:56où finalement la valeur publicitaire prime
01:20:59sur la fiabilité du contenu.
01:21:01Et ça invite plus largement à questionner aussi
01:21:03la compatibilité du modèle de ces plateformes
01:21:06avec notre modèle de démocratie participative
01:21:08et délibérative.
01:21:10Donc tout ça nous invite à considérer
01:21:13depuis un petit moment maintenant
01:21:14ces plateformes comme des acteurs finalement
01:21:16de cette menace et non pas comme de simples vecteurs.
01:21:19Donc aujourd'hui, sur les plateformes,
01:21:20nous agissons à trois niveaux.
01:21:22D'une part, nous menons des coopérations techniques
01:21:24avec la plupart d'entre elles,
01:21:25puisque nous avons une définition technique de la menace
01:21:28et pouvons leur signaler des comptes inauthentiques notamment.
01:21:35Deuxièmement, nous agissons en termes d'évaluation
01:21:37des risques systémiques.
01:21:38Nous avons structuré un centre d'excellence
01:21:39dans l'intelligence artificielle
01:21:40qui nous permet notamment de mener des évaluations,
01:21:43s'agissant notamment des modèles d'IA.
01:21:46Enfin, nous agissons au niveau de la régulation,
01:21:48en lien notamment avec l'ARCOM,
01:21:51pour pouvoir faire respecter cette régulation
01:21:54et renforcer cette régulation.
01:21:55Et donc il y a un travail aussi en cours
01:21:56sur les lignes directrices du DSA en contexte électoral
01:21:59pour pouvoir renforcer justement
01:22:01la responsabilité de ces plateformes
01:22:03face aux enjeux démocratiques à venir.
01:22:08Sur les deux questions...
01:22:10J'ai encore neuf questions.
01:22:12Je vais très vite, Mme Connolly-Maurice,
01:22:14sur les élections par Internet des Français et de l'étranger.
01:22:17C'est un sujet qui est suivi de près, vous le savez,
01:22:20et sur lequel j'ai un peu d'historique,
01:22:22puisque j'étais associé dans mes précédentes fonctions
01:22:25à la décision douloureuse en 2017
01:22:27de renoncer au vote par Internet
01:22:28compte tenu de la vulnérabilité
01:22:30et du niveau de la menace
01:22:31qui ne permettait pas de garantir la sincérité du scrutin.
01:22:34Nous sommes sortis de cette phase de difficulté.
01:22:37Nous avons aujourd'hui un système
01:22:38qui est suivi de très près par l'ANSI,
01:22:39qui fonctionne bien, qui est sécurisé.
01:22:41Et donc j'étais à vos côtés
01:22:42lors du dépouillement des élections consulaires cette année
01:22:44au titre du bureau de vote électronique.
01:22:47Nous n'avons pas constaté de tentative d'attaque
01:22:49autre que le seul bruit de fond d'Internet habituel
01:22:53et aucune tentative d'attaque
01:22:55n'a connu de succès
01:22:56ou n'a remis en cause
01:22:57le bon déroulement du scrutin.
01:22:58Donc c'est à ce titre-là
01:23:00que, tout comme d'autres membres
01:23:02du bureau de vote électronique,
01:23:03nous avons conclu à la sincérité du scrutin
01:23:04et au bon déroulement de ce scrutin.
01:23:06Et on peut s'en féliciter.
01:23:07Et c'est le fruit d'un travail de longue haleine
01:23:09au demeurant des équipes du Quai d'Orsay
01:23:11autant que de l'ensemble des participants.
01:23:13Monsieur Carvan, sur la question
01:23:15de la minimisation des données,
01:23:17alors je ne me prononcerai pas en droit
01:23:20à la place de la CNIL, qui est l'autorité de contrôle légitime
01:23:24en matière de respect du RGPD, en l'occurrence,
01:23:27qui s'est saisi de l'ensemble des exemples
01:23:29que vous avez énoncés.
01:23:31Donc c'est à eux et à cette commission indépendante
01:23:33qu'il appartiendra de se prononcer.
01:23:36Évidemment, les agents de l'ANSI et moi-même
01:23:37sommes tous soumis à l'article 40
01:23:39du Code de procédure pénale
01:23:40et nous le respectons par construction.
01:23:43Sur la minimisation des données,
01:23:44quelques éléments quand même.
01:23:45Évidemment, ça fait partie des enjeux
01:23:48et des bonnes pratiques à mettre en œuvre.
01:23:49Je pense qu'on rappelait dans le guide très complet
01:23:52que nous avons publié hier
01:23:54en complément de tous nos retours d'expériences
01:23:57spécifiques sur différentes attaques récentes.
01:23:59Nous avons republié toutes les recettes de cuisine
01:24:01détaillées pour protéger mieux les données.
01:24:04Et ça fait partie.
01:24:05Ça ne suffit pas, mais ça en fait partie.
01:24:08Il faut y voir aussi le fruit.
01:24:13Le fait de conserver ce genre de données
01:24:16ou de les rendre accessibles
01:24:17est aussi un effet de bord d'une intention légitime
01:24:20de faciliter la vie de nos concitoyens
01:24:22dans leur démarche numérique.
01:24:23Nos concitoyens ont horreur
01:24:24et ils ont bien raison qu'on leur redemande
01:24:27quatre fois les mêmes pièces justificatives,
01:24:28les mêmes informations, etc.
01:24:31Répondre à ça, répondre à cette exigence légitime,
01:24:33ça veut dire que des données sont accessibles
01:24:35de manière croisée entre administrations.
01:24:37Ça fait partie de nos facteurs de vulnérabilité.
01:24:39Tout comme le fait que les systèmes attaqués récemment
01:24:43sont des systèmes notamment de relations avec les usagers.
01:24:46À la DGFIP, ce qui a été attaqué,
01:24:48ce n'est pas le système qui traite la collecte des impôts.
01:24:51C'est l'application e-contact de relations avec les usagers
01:24:54quand on veut demander d'être en contact avec un conseiller
01:24:57pour remplir mieux sa déclaration,
01:24:59savoir où on en est, etc.
01:25:01Mais cette application, oui, a accès au revenu fiscal de référence
01:25:04pour faciliter l'interaction entre le conseiller
01:25:06de la DGFIP et l'usager.
01:25:09Donc c'est ça qui est attaqué,
01:25:10qui n'était pas attaqué auparavant, nécessairement,
01:25:11parce qu'on est dans une nouvelle dynamique,
01:25:14là encore, d'enjeux réputationnels.
01:25:16Je ferai aussi le parallèle avec la NTS.
01:25:17On a beaucoup dit qu'avaient été volés à la NTS
01:25:20les documents d'identité de nos concitoyens.
01:25:22C'est faux.
01:25:23Ce qui a été volé, ce sont leurs adresses e-mail,
01:25:25adresses potentiellement courrier non prénom,
01:25:29ce sont des données de base,
01:25:31qui ont été volées dans le portail de relations clients de la NTS,
01:25:34c'est-à-dire l'équivalent à NTS du suivi de vos livraisons de colis
01:25:38chez tout livreur en ligne,
01:25:40qui vous permet de savoir où en est votre demande de carte d'identité.
01:25:42Donc ce sont ces systèmes-là qui n'étaient pas attaqués auparavant,
01:25:45qui sont vulnérables, mais ce n'est pas forcément nouveau,
01:25:47qui sont aujourd'hui attaqués
01:25:48et qui ont accès à des données par construction
01:25:51pour faciliter la vie des concitoyens.
01:25:52Donc c'est un nouvel équilibre qui est à trouver en la matière.
01:25:54Effectivement, sur la partie intelligence artificielle,
01:25:56j'ai déjà eu l'occasion de l'évoquer.
01:25:59Peut-être un point sur la croissance de ces opérations.
01:26:04Aujourd'hui, ce que nous observons en termes d'état de la menace,
01:26:06c'est que la menace, elle est non seulement très persistante,
01:26:10elle est protéiforme,
01:26:11puisque j'évoquais tout à l'heure la diversification de la menace
01:26:14avec des opérations à caractère lucratif,
01:26:17et elle se professionnalise avec l'émergence aussi d'intermédiaires techniques
01:26:24qui fournissent aussi des opérations ou des services
01:26:27qui vont permettre davantage amplifier ou anonymiser ces opérations.
01:26:31Ce qui fait qu'il y a des enjeux à la fois sur le plan capacitaire
01:26:35et sur le plan technologique face à l'évolution de cette menace.
01:26:40Un mot pour terminer là-dessus.
01:26:44Globalement, aujourd'hui, nous sommes pleinement préparés et mobilisés
01:26:48pour faire face à cette évolution de la menace,
01:26:51en vue notamment du scrutin de l'élection présidentielle dans six mois.
01:26:55Puisque nous avons anticipé au cours de l'année 2025 et 2026
01:26:59un renforcement de notre modèle et de nos capacités,
01:27:03permis par l'évolution de notre décret,
01:27:04mais permis aussi par l'allocation de moyens supplémentaires
01:27:07qui nous ont permis de structurer des capacités avancées d'analyse,
01:27:10de détection, d'évaluation, notamment des risques systémiques
01:27:14liés aux plateformes et aux modèles d'IA.
01:27:17Et par ailleurs, aussi en matière de sensibilisation,
01:27:20puisque nous avons lancé une académie de la lutte
01:27:22contre les manipulations de l'information,
01:27:24dont le rôle est de contribuer au renforcement
01:27:27de la résilience démocratique des citoyens français face à cette menace.
01:27:31Voilà pour cet état des lieux de nos vulnérabilités
01:27:34face aux cyberattaques qui se multiplient contre notre pays.
01:27:38100% Sénat, c'est maintenant terminé.
01:27:40Je vous souhaite une très belle journée sur les chaînes parlementaires.
01:27:43Sous-titrage Société Radio-Canada
01:27:45Sous-titrage Société Radio-Canada
Commentaires