Cyberfuites : l’État déplace les organigrammes
La séquence ouverte par la fuite touchant l’ANTS a une force politique rare. Le gouvernement y nomme enfin, publiquement, une dette numérique de l’État et annonce une réponse visible, centrée sur la gouvernance, les budgets et la doctrine cyber. Mais cette réponse dévoile aussi un vieux réflexe administratif : quand l’obsolescence est disséminée dans les ministères, l’exécutif commence par réorganiser le centre. L’article défend l’idée que cette recentralisation n’est ni absurde, ni suffisante. Dans un appareil d’État où les chaînes numériques sont fortement hétérogènes, sa vérité se lira moins dans un nouvel organigramme que dans la transformation des routines ministérielles entre 2026 et 2027.
L’annonce nomme enfin une dette longtemps traitée par fragments
Le point de départ est connu, mais sa portée mérite d’être rappelée avec précision. Le ministère de l’Intérieur a indiqué qu’un incident détecté le 15 avril 2026 sur le portail de l’ANTS pouvait impliquer une divulgation de données issues de comptes particuliers et professionnels. Une semaine plus tard, un point d’étape officiel ajoutait que 11,7 millions de comptes seraient concernés, tout en précisant que les investigations se poursuivaient et que les pièces jointes ainsi que les données biométriques étaient, à ce stade, exclues du périmètre divulgué.
La réponse gouvernementale du 30 avril a ensuite combiné un diagnostic et un programme. Le Premier ministre a parlé d’« environ 3 vols de données par jour » depuis le début de 2026, a décrit des systèmes qui « datent des années 90 » et a relié cette situation à un sous-investissement prolongé des fonctions numériques ministérielles. La réponse annoncée repose sur trois volets : fusion DINUM-DITP pour créer une autorité numérique placée directement auprès du Premier ministre, déblocage de 200 millions d’euros, affectation future des amendes CNIL à un fonds de modernisation des infrastructures numériques de l’État, cible de 5 % des budgets numériques ministériels consacrés au cyber à partir de 2027, et renforcement de la doctrine de protection par des exercices d’auto-attaque et le recours à l’IA pour la détection des vulnérabilités.
Le fait important n’est pas seulement la nature des mesures. C’est la publicité donnée à un problème jusque-là souvent formulé en termes dispersés, ministère par ministère, incident par incident, projet par projet. Or cette publicisation ne surgit pas dans le vide. Trois semaines avant le déplacement à l’ANTS, le SGDSN rendait publique sa feuille de route 2026-2027 sur la sécurité numérique de l’État, en rappelant que l’année 2025 avait été marquée par de multiples incidents et fuites de données affectant les systèmes des ministères et de leurs établissements sous tutelle. La crise n’a donc pas créé le diagnostic. Elle lui a donné une scène politique.
Avant la fusion, le centre était déjà en voie de renforcement
La première lecture du plan du 30 avril consiste à y voir un simple retour du centre. Elle est trop courte. Une deuxième lecture, plus instructive, consiste à observer que le centre était déjà en train d’être renforcé avant l’annonce de la fusion. Un décret du 18 mars 2026 a en effet redéfini le système d’information et de communication de l’État en le plaçant sous la responsabilité du Premier ministre. Il a aussi soumis certains projets numériques à l’avis conforme du directeur interministériel du numérique et étendu ce contrôle à des commandes ou marchés portant sur des suites collaboratives ou des logiciels à la demande faisant appel à un hébergement cloud privé. Quelques jours plus tard, la DINUM présentait en outre le décret d’application de la loi SREN sur le cloud souverain comme un durcissement du cadre applicable aux données sensibles de l’État.
Autrement dit, la réponse du 30 avril ne constitue pas un point zéro. Elle s’insère dans une séquence plus large où l’architecture, la souveraineté cloud, la sécurité et la capacité d’arbitrage central sont déjà en cours de consolidation. La logique n’est pas incohérente. Le Premier ministre distingue explicitement la mission de l’ANSSI, centrée sur la détection, l’attribution et l’appui à la remédiation, de la responsabilité consistant à organiser la qualité des architectures numériques ministérielles. De ce point de vue, le recentrage central répond à un problème réel de maîtrise d’ouvrage et de standardisation.
Le point décisif est ailleurs. La DINUM et la DITP n’occupent pas le même espace fonctionnel. La première est présentée par l’État comme la « cheffe de file du numérique de l’État », à la fois stratège, CTO et CDO de l’appareil d’État. La seconde pilote le programme de transformation publique, avec un accent explicite sur l’efficacité des services publics, la simplification, l’expérience usager et l’accompagnement des administrations. Une fusion intégrale pouvait donc promettre une cohérence politique accrue au sommet, mais elle ne supprimait pas la différence profonde entre architecture de SI et transformation des services. C’est précisément ce que la clarification de début mai a commencé à reconnaître.
Le contraste le plus éclairant se lit alors dans la feuille de route SGDSN. Celle-ci n’attend pas d’abord un nouveau nom au centre. Elle demande aux ministères une déclinaison ministérielle de la feuille de route avant le 30 juin 2026, un inventaire des SI à enjeux à la même date, l’homologation de l’ensemble des SI soutenant des missions essentielles avant le 31 décembre 2026, une politique de contrôle de la chaîne d’approvisionnement, un processus de remplacement des éléments obsolètes, puis un déploiement de l’authentification multifacteur sur l’ensemble des SI à enjeux avant le 28 février 2027. Le suivi de cette mise en œuvre doit être assuré chaque mois par le CINUS sous l’égide de l’ANSSI. La difficulté n’est donc déjà plus seulement de décider au centre. Elle est de faire tenir la chaîne ministérielle ordinaire.
Encadré conceptuel. Chez Karl Weick, un système est faiblement couplé lorsque ses composantes restent réactives entre elles tout en conservant une séparation et une identité propres. Orton et Weick ont ensuite insisté sur le caractère dialectique du concept : il ne décrit ni un éclatement pur, ni une intégration hiérarchique complète. Appliqué au SI de l’État, cela signifie qu’une autorité centrale peut renforcer normes et arbitrages sans réaligner instantanément les contrats, les dettes techniques, les calendriers et les routines des ministères. Les travaux de gestion publique ont depuis montré que cette configuration est particulièrement pertinente pour comprendre les changements de grande ampleur dans les organisations publiques.
Le problème est celui d’un État à couplage lâche
Le fait empirique central est simple. Les actions décrites par la feuille de route cyber 2026-2027 sont, pour la plupart, des travaux d’adoption organisationnelle. Il ne s’agit pas d’abord d’un grand récit stratégique, mais d’inventaires, d’homologations, de politiques d’audit, de revues de droits, de procédures de correctifs, de calendriers de remplacement, de clauses contractuelles et de sécurisation de services exposés sur Internet. La matière première de la résilience administrative est ici très banale. C’est précisément pour cette raison qu’elle échappe souvent aux annonces spectaculaires.
Le concept de couplage lâche aide à comprendre pourquoi. La Cour des comptes rappelle que, depuis 2019, chaque ministère doit disposer d’une structure chargée d’organiser et de piloter ses actions numériques, le plus souvent une direction ministérielle du numérique, rattachée à son secrétariat général et participant aux instances interministérielles. Il existe donc bien un maillage entre centre et ministères. Mais ce maillage ne supprime ni l’autonomie des portefeuilles applicatifs, ni la diversité des prestataires, ni les arbitrages budgétaires propres, ni l’épaisseur des héritages techniques. Le centre et les ministères se répondent, parfois fortement, sans former pour autant un ensemble intégralement homogène.
Cette lecture éclaire un angle mort du discours officiel. La recentralisation annoncée peut être décrite comme une centralisation compensatrice face à une obsolescence distribuée. Elle a sa rationalité. Quand les ministères n’avancent pas au même rythme, une autorité plus forte au centre peut restaurer des standards, de la visibilité et des arbitrages. Mais elle ne répare pas par elle-même un moteur de vulnérabilité qui réside précisément dans la dispersion des actifs, des chaînes prestataires, des pratiques d’homologation et des priorités locales. Le panorama 2025 de l’ANSSI confirme d’ailleurs que l’exposition reste profondément distribuée : sur 1 366 incidents portés à sa connaissance en 2025, quatre secteurs concentrent 76 % des cas, dont les ministères et les collectivités territoriales à eux seuls pour 24 %.
Ce point est important pour les praticiens du SI public, car il déplace l’analyse. Le vrai risque n’est pas seulement l’insuffisance du centre. C’est le décalage entre un centre qui se raffermit vite et des périphéries administratives qui se transforment lentement. Un nouveau rattachement, même utile, n’installe pas un inventaire fiable. Un changement de périmètre ne remplace pas un équipement de sécurité obsolète. Une autorité numérique plus proche du Premier ministre ne clôt pas automatiquement les écarts entre doctrine cloud, cartographie applicative, opérateurs sous tutelle et clauses de sécurité dans les marchés.
Le précédent de la DISIC rappelle un cycle institutionnel connu
Le parallèle historique le plus proche n’est pas une grande réforme abstraite de l’État. C’est la création, en 2011, de la DISIC. Le décret du 21 février 2011 instituait déjà, auprès du Premier ministre, une direction interministérielle chargée d’orienter, d’animer et de coordonner les actions des administrations en matière de SI. Les missions alors définies sont frappantes par leur proximité avec la séquence actuelle : cadre stratégique commun, inventaire et cartographie des principaux systèmes, cohérence des architectures fonctionnelles, techniques et de sécurité, mutualisation, règles relatives à l’externalisation et aux achats, dispositif permanent d’évaluation de la performance, capacité d’alerte sur les grands projets. La tentation centrale d’aujourd’hui a donc une histoire administrative très concrète.
La Cour des comptes a elle-même reconstitué cette trajectoire : DISIC en 2011, DINSIC en 2015, DINUM en 2019, avec des rattachements et des priorités qui ont varié. En 2024, elle notait encore que la capacité de la DINUM à piloter une politique interministérielle avait été altérée par des changements de direction fréquents et par des orientations stratégiques changeantes. Elle recommandait, entre autres, de renforcer l’assise interministérielle de la direction, de consolider les dépenses liées à la stratégie numérique de l’État et d’accompagner les ministères dans l’évaluation et la résorption de leurs dettes techniques. La crise cyber de 2026 n’invente donc pas un besoin inédit. Elle réactive un chantier dont les termes sont installés depuis longtemps.
La différence de 2026 tient au fait que le centre ne cherche plus seulement la mutualisation et la performance. Il agrège désormais, dans un même mouvement, la cybersécurité, la doctrine cloud, la question des dépendances extra-européennes et même certains usages de l’IA pour la détection des vulnérabilités. C’est ce qui donne à la récente annonce une portée plus stratégique que la seule réforme d’organigramme. Mais cette montée en gamme du discours renforce aussi l’exigence de preuve. Plus les justifications sont larges, plus la réforme doit démontrer qu’elle change autre chose que le sommet.
L’angle mort reste budgétaire et managérial
L’une des dimensions les plus intéressantes du plan concerne les moyens. Sur ce point, la séquence combine un financement immédiat de 200 millions d’euros, une cible de 5 % des budgets numériques ministériels pour le cyber à partir de 2027 et la promesse d’affecter les amendes CNIL à un fonds de modernisation. L’ensemble a un mérite politique évident : il rend visible une réponse financière là où l’État reconnaît lui-même une dette accumulée. Mais il comporte aussi un angle mort robuste : aucune base consolidée et publique de la dette numérique ministérielle n’accompagne, à ce stade, l’annonce de sa résorption. Or la Cour des comptes recommandait dès 2024 de consolider les dépenses liées à la stratégie numérique de l’État et d’aider les ministères à évaluer leurs dettes techniques.
Encadré chiffre-clé. L’idée d’un fonds alimenté par les amendes CNIL impressionne au premier regard, car la CNIL a prononcé 486 839 500 euros d’amendes en 2025. Mais deux décisions à 325 millions et 150 millions d’euros représentent à elles seules presque 98 % du total annuel. Comme ressource de financement pluriannuel, cette masse est donc très lisible politiquement, mais fortement volatile économiquement. La CNIL rappelle en outre qu’à ce jour, toutes ses amendes sont recouvrées par le Trésor public et versées au budget de l’État, ce qui signifie que le mécanisme annoncé suppose bien une réforme budgétaire.
La cible des 5 % soulève un problème voisin. En elle-même, elle peut jouer un rôle disciplinaire utile. Mais sa portée dépendra de la manière dont les ministères définiront leur « budget numérique », de la capacité à distinguer dépenses cyber et dépenses connexes, et de la visibilité qui sera donnée à cette ventilation dans les documents budgétaires et de performance. Cette lecture relève d’une inférence prudente, mais elle est solidement appuyée par les constats antérieurs de la Cour sur l’absence de consolidation suffisante des dépenses numériques de l’État. Sans visibilité commune, une cible de ratio peut rester politiquement convaincante tout en demeurant techniquement peu auditable.
L’autre angle mort est managérial. Les travaux en gestion publique sur les systèmes faiblement couplés montrent que les changements de grande ampleur réussissent rarement par simple unification formelle. Ils avancent davantage par mise en cohérence progressive des acteurs, des temporalités, des marges d’autonomie et des instruments. C’est exactement ce que suggère la feuille de route SGDSN lorsqu’elle descend au niveau des lettres de mission, des politiques d’audit, des conventions avec les établissements publics et des procédures de traitement des vulnérabilités. La cybersécurité de l’État n’est donc pas seulement un problème de gouvernance centrale. C’est aussi un problème de conduite du changement routinière, au sens le moins spectaculaire du terme.
La preuve se lira en 2027 bien plus que dans l’organigramme
La clarification rapportée par la presse spécialisée une semaine après l’annonce va dans ce sens. Selon Acteurs Publics, il ne s’agirait pas d’une fusion intégrale, mais d’un redécoupage plus fonctionnel : la DITP demeurerait autonome et absorberait les missions tournées vers l’accessibilité, la qualité des démarches et les services aux usagers, tandis que la DINUM serait recentrée sur son rôle « d’architecte » du numérique de l’État. Le même article évoque les noms d’« Ariane » pour la future autorité numérique et de « Direction du service public » ou « des services publics » pour la DITP reconfigurée. Au 14 mai 2026, ces appellations relevaient toutefois de la presse spécialisée et non d’un texte réglementaire publié dans les sources examinées pour cet article.
L’hypothèse vérifiable qui découle de cette séquence est la suivante. Si la réponse gouvernementale est réellement plus qu’une réforme de périmètre central, le lecteur devrait pouvoir observer, d’ici la fin de 2027, autre chose qu’un décret de réorganisation et quelques nominations de préfiguration. Trois traces publiques seraient particulièrement probantes. D’abord, les documents budgétaires de 2027 devraient rendre visible, de manière comparable, l’effort cyber ministériel et commencer à objectiver la cible des 5 %. Ensuite, les rapports SGDSN, ANSSI ou DINUM devraient documenter l’avancement des inventaires des SI à enjeux, des homogénéisations cloud, des homologations, du remplacement des briques obsolètes et du déploiement effectif de l’authentification multifacteur. Enfin, une consolidation publique, même minimale, de la dette technique ou de l’obsolescence par grands périmètres ministériels devrait apparaître, faute de quoi le pilotage continuera de naviguer sans base partagée.
C’est à cette condition que le paradoxe du moment pourra être tranché. La séquence actuelle ne révèle pas seulement une volonté de reprise en main. Elle révèle une difficulté plus profonde de l’État numérique français : le centre se répare institutionnellement plus vite que les chaînes ministérielles ne se réparent techniquement. Si cette dissymétrie persiste au-delà du cycle budgétaire 2027, la récente vague de recentralisation aura surtout joué comme substitut visible à une réparation beaucoup plus lente, plus distribuée et, pour cette raison même, moins politiquement spectaculaire.
Note méthodologique
L’article repose principalement sur des sources publiques primaires et réglementaires, complétées par un rapport de la Cour des comptes, des publications ANSSI et un article de presse spécialisée pour la clarification intervenue après le 30 avril 2026. Deux points ont été traités avec prudence : la portée exacte de la « fusion » DINUM-DITP, ainsi que les dénominations futures évoquées par la presse spécialisée, qui n’étaient pas encore stabilisées par texte au 14 mai 2026. Le choix théorique central a consisté à mobiliser le couplage lâche de Weick, parce qu’il éclaire directement l’écart entre reconfiguration du centre et transformation des chaînes ministérielles ordinaires.
Sources
Sources primaires institutionnelles et réglementaires
Ministère de l’Intérieur, Incident de sécurité relatif au portail ants.gouv.fr, 20 avril 2026, https://www.interieur.gouv.fr/actualites/communiques-de-presse/incident-de-securite-relatif-au-portail-antsgouvfr
Ministère de l’Intérieur, Point d’étape du 21 avril 2026 concernant l’incident de sécurité relatif au portail ants.gouv.fr, 21 avril 2026, https://www.interieur.gouv.fr/actualites/communiques-de-presse/point-detape-du-21-avril-2026-concernant-lincident-de-securite-relatif-au-portail-antsgouvfr
info.gouv.fr, Intervention du Premier ministre sur la cyberdéfense et la sécurité numérique de l’État, 30 avril 2026, https://www.info.gouv.fr/discours/intervention-du-premier-ministre-sur-la-cyberdefense-et-la-securite-numerique-de-l-etat
info.gouv.fr, Cybersécurité : le Premier ministre annonce un plan d’action pour renforcer la protection numérique de l’État, 4 mai 2026, https://www.info.gouv.fr/actualite/cybersecurite-le-premier-ministre-annonce-un-plan-d-action-pour-renforcer-la-protection-numerique-de-l-etat
SGDSN, Efforts prioritaires en matière de sécurité numérique de l’État : publication de la feuille de route annuelle 2026-2027, 9 avril 2026, https://www.sgdsn.gouv.fr/publications/efforts-prioritaires-en-matiere-de-securite-numerique-de-letat-publication-de-la
SGDSN, Feuille de route des efforts prioritaires en matière de sécurité numérique de l’État 2026-2027, 2026, https://www.sgdsn.gouv.fr/files/files/Publications/Feuille%20de%20route%20S%C3%A9curit%C3%A9%20num%C3%A9rique%20de%20l%27Etat%202026-2027.pdf
Légifrance, Décret n° 2026-193 du 18 mars 2026 modifiant le décret n° 2019-1088 du 25 octobre 2019 relatif au système d’information et de communication de l’État et à la direction interministérielle du numérique, 18 mars 2026, https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000053700822
DINUM, Cloud souverain : le décret d’application de la loi SREN renforce la protection des données sensibles de l’État, 4 mai 2026, https://www.numerique.gouv.fr/sinformer/espace-presse/cloud-souverain-decret-loi-sren/
DINUM, La direction interministérielle du numérique (DINUM), s.d., consulté le 14 mai 2026, https://www.numerique.gouv.fr/numerique-etat/dinum/
DITP, Accueil | Direction interministérielle de la transformation publique, s.d., consulté le 14 mai 2026, https://www.modernisation.gouv.fr/
CNIL, Sanctions et mesures correctrices : la CNIL présente le bilan 2025, 9 février 2026, https://www.cnil.fr/fr/bilan-sanctions-2025
Rapports officiels, de contrôle et de menace
Cour des comptes, Le pilotage de la transformation numérique de l’État par la direction interministérielle du numérique, 10 juillet 2024, https://www.ccomptes.fr/fr/publications/le-pilotage-de-la-transformation-numerique-de-letat-par-la-direction
Cour des comptes, Observations définitives. Le pilotage de la transformation numérique de l’État par la direction interministérielle du numérique, 10 juillet 2024, https://www.ccomptes.fr/sites/default/files/2024-07/20240710-S-2024-0754-Pilotage-transformation-numerique-Etat-par-direction-interministerielle-du-numerique.pdf
ANSSI, Publication du rapport d’activité 2025 de l’ANSSI, 4 mai 2026, https://www.ssi.gouv.fr/actualites/publication-du-rapport-dactivite-2025-de-lanssi/
CERT-FR / ANSSI, Panorama de la cybermenace 2025, 11 mars 2026, https://www.cert.ssi.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf
Cadres théoriques et sciences de gestion
Karl E. Weick, Educational Organizations as Loosely Coupled Systems, Administrative Science Quarterly, vol. 21, n° 1, 1976, https://www.jstor.org/stable/2391875
J. Douglas Orton et Karl E. Weick, Loosely Coupled Systems: A Reconceptualization, Academy of Management Review, vol. 15, n° 2, 1990, http://www.jstor.org/stable/258154
Aurélien Bargain et Christophe Maurel, Loosely Coupled Systems as Key Factor of Public Management Change: The Case of Shared Services in Local Governments, Gestion et management public, vol. 8, n° 2, 2020, https://shs.cairn.info/journal-gestion-et-management-public-2020-2-page-87?lang=en
Parallèle historique
Légifrance, Décret n° 2011-193 du 21 février 2011 portant création d’une direction interministérielle des systèmes d’information et de communication de l’État, 21 février 2011, https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000023619023
Presse spécialisée
Acteurs Publics, Victoria Beurnez, Le Premier ministre annonce la fusion prochaine de la Dinum et de la DITP, 30 avril 2026, https://acteurspublics.fr/articles/letat-annonce-la-fusion-prochaine-de-la-dinum-et-la-ditp/
Acteurs Publics, Victoria Beurnez, La Dinum va être recentrée sur son rôle d’architecte du numérique de l’État, 7 mai 2026, https://acteurspublics.fr/articles/la-ditp-devient-la-direction-des-services-publics-et-recupere-une-partie-des-missions-de-la-dinum/