ElegArtechTechnologie · Organisations · Action publique
S’abonner
Numérique, IA & souveraineté—Cybersécurité · Gouvernance · État et administration—Analyse

Cybersécurité d'État : la doctrine et l'horloge

La Stratégie nationale de cybersécurité 2026-2030, publiée le 29 janvier 2026 par le SGDSN, projette une souveraineté cyber européenne à l'horizon 2030. Dix semaines plus tard, la feuille de route ANSSI 2026-2027 impose une mise en conformité de l'État à vingt mois. Cet article propose de lire ce décalage comme un test de la capacité française à faire tenir une doctrine d'intégration dans une administration faite de temporalités hétérogènes.

AM
Par Alexandre Berge25 avril 2026 · 20 min de lecture
Illustration éditoriale pour « Cybersécurité d'État : la doctrine et l'horloge »
Entre ambition et réalité : les transformations à l’épreuve du terrain.

Une stratégie d'intégration pour un horizon de cinq ans

La Stratégie nationale de cybersécurité 2026-2030 (SNC) a été présentée le 29 janvier 2026 au Campus Cyber de Nouvelle-Aquitaine, à Pessac, par Anne Le Hénanff, ministre déléguée chargée de l'Intelligence artificielle et du Numérique, et par Vincent Strubel, directeur général de l'ANSSI. Le document, élaboré sous l'égide du SGDSN, ouvre sur une préface signée par Emmanuel Macron, qui pose la cybersécurité comme « condition de la liberté ». Il déploie cinq piliers et quatorze objectifs articulant talents, résilience, entrave à la menace, maîtrise des fondements numériques et stabilité du cyberespace européen et international.

Trois déplacements doctrinaux méritent d'être relevés. D'abord, l'explicitation du C4 (Centre de coordination des crises cyber) comme structure pivot, à deux niveaux (C4 STRAT présidé par le SGDSN, C4 TECHOPS technico-opérationnel), composé de l'ANSSI, du COMCYBER, de la DGA, de la DGSE, de la DGSI et du ministère de l'Europe et des Affaires étrangères, avec vocation à s'élargir à « l'ensemble des acteurs de l'État capables de mobiliser un levier de réponse à une cyberattaque ». Ensuite, l'intégration explicite des menaces IA et quantique, traitées comme des « technologies de rupture » qui « amplifient » le risque systémique. Enfin, l'affirmation d'une souveraineté cyber européenne dont le pilier 4 revendique la construction, en articulant chiffrement, cloud et évaluation de sécurité.

Le texte présente toutefois une zone d'ombre documentée. Aucun budget chiffré n'est attaché à la stratégie. Alliancy, LeMagIT et Acteurs Publics ont, dès le jour de la publication, souligné cette absence, qui distingue la SNC 2026-2030 de la stratégie d'accélération cybersécurité de février 2021, laquelle mobilisait un milliard d'euros dont sept cent vingt millions publics. Valéry Marchive, dans LeMagIT, décrit une « cuvée qui laisse en bouche un goût doux-amer », mêlant « des idées déjà mises en œuvre, ailleurs, à des reprises de mesures que l'on attendait depuis longtemps ». Silicon.fr a, pour sa part, relevé l'absence significative du Campus Cyber, pierre angulaire du plan précédent, dans le nouveau texte. L'ambition est donc grande, la doctrine est dense, la traduction budgétaire reste à construire par les ministères dans les six mois suivants.

Dix semaines plus tard, l'ANSSI serre le calendrier

Le 9 avril 2026, l'ANSSI et le SGDSN publient, pour la première fois sous forme ouverte, la feuille de route des efforts prioritaires en matière de sécurité numérique de l'État 2026-2027. Cadrée par l'instruction générale interministérielle IGI n°1337, validée en COSINUS, elle convertit les ambitions de la SNC en calendriers contraignants, sur un périmètre de vingt-deux mois.

Les échéances parlent d'elles-mêmes. L'authentification multifacteur devient obligatoire sur tous les comptes administrateurs au 31 décembre 2026, sur les systèmes d'information à enjeux au 28 février 2027, sur l'ensemble des SI au 28 février 2028. Le déploiement d'outils EDR ou XDR sur tous les postes et serveurs est exigé au 31 décembre 2026. La suppression des comptes génériques est fixée à juin 2026. La généralisation de ProConnect et la nomination d'un conseiller cyber par ministère interviennent à la même échéance. Toute migration cloud est traitée comme un nouveau système d'information à réhomologuer. L'inventaire en vue d'une transition cryptographique post-quantique court sur 2026-2027, avec objectifs de mise en œuvre à 2030, l'ANSSI indiquant qu'« il ne sera plus raisonnable d'acheter des produits sans PQC après 2030 ». Acteurs Publics a décrit ce document comme « aligné sur la réalité des menaces », plus opérationnel que la stratégie elle-même.

Le contraste de temporalité est net. La SNC parle 2030, la feuille de route parle mi-2026 et début 2027. Pour un cadre SI ministériel qui lit les deux documents le même mois, la question pratique n'est pas la vision doctrinale, elle est celle du séquencement budgétaire et opérationnel des obligations les plus rapprochées. Cet écart, comblé par un CINUS assurant un suivi mensuel, ne dit rien de la manière dont les opérateurs dont le budget est voté par la tutelle pluriannuellement, absorberont la pression des échéances.

Encadré. Qu'est-ce que la digital-era governance ?

Le concept a été proposé par Patrick Dunleavy, Helen Margetts, Simon Bastow et Jane Tinkler dans l'article « New Public Management Is Dead. Long Live Digital-Era Governance », publié dans le Journal of Public Administration Research and Theory (vol. 16, n°3, juillet 2006, pages 467-494), puis développé dans le livre Digital Era Governance. IT Corporations, the State, and e-Government (Oxford University Press, 2006). Les auteurs posent que la vague du New Public Management (désagrégation, concurrence, incitation) s'épuise, et qu'une nouvelle phase se structure autour de trois principes. La réintégration ramène dans la sphère gouvernementale les fonctions que le NPM avait agencifiées, et reconstruit une capacité d'État en matière de systèmes d'information. L'holisme orienté besoins (needs-based holism) réorganise l'administration autour d'interfaces uniques pour l'usager, avec le principe « ask once ». Les changements de numérisation intrinsèques (digitization changes) font du canal numérique le mode d'opération par défaut, et non plus un ajout. Margetts et Dunleavy (Philosophical Transactions of the Royal Society A, 2013) ont qualifié ce modèle de « quasi-paradigme », puis ont proposé, dans une communication à l'APSA de San Francisco en septembre 2015 (« Design Principles for Essentially Digital Governance »), neuf principes de conception, dont « do it once » et « isocratic administration ». Un prolongement récent (Public Policy and Administration, 2025) ouvre une troisième vague centrée sur la data science et l'IA.

La digital-era governance comme grille analytique

La SNC 2026-2030 est, vue depuis la DEG, un document de réintégration par excellence. Le C4, avec ses deux niveaux et son élargissement annoncé, défragmente une réponse à incident auparavant distribuée entre chaînes protection, renseignement, militaire et judiciaire. Le plan DINUM du 8 avril 2026 sur la réduction des dépendances extra-européennes, qui impose à chaque ministère et opérateur de produire un plan d'action d'ici l'automne 2026 sur sept domaines (poste de travail, outils collaboratifs, antivirus, IA, bases de données, virtualisation, équipements réseau), incarne tout aussi littéralement la logique de réintégration, jusqu'à la symbolique du passage de deux cent cinquante agents de la DINUM de Windows à Linux. La généralisation de ProConnect et du socle numérique interministériel prolonge, côté usager-agent, l'holisme orienté besoins.

Le concept éclaire cependant aussi la difficulté. Dunleavy et ses coauteurs ont toujours rappelé que les trois principes ne se commandent pas par décret mais se tiennent par l'exécution concomitante. Réintégrer sans holisme produit du recentralisé sans usage. Numériser sans réintégrer reproduit les silos dans le cloud. Or la SNC, en l'état, prescrit massivement la réintégration doctrinale, mais délègue l'holisme aux ministères et le calendrier technique à l'ANSSI. Dans la typologie de Dunleavy et Margetts, ce cas de figure correspond à ce que The Second Wave of Digital-Era Governance (2013) nommait un « quasi-paradigme », où l'adhésion rhétorique peut durablement précéder la transformation des pratiques.

Les travaux francophones récents convergent sur ce point. Sarah Dony et Chrystelle Maurel, dans Gestion et management public (2023), mobilisent explicitement Dunleavy et al. pour analyser sept petites communes normandes et documentent une fracture entre numérisation d'interface et intégration organisationnelle. Gilles Jeannot, dans la Revue française d'administration publique (2020), décrit dans « Vie et mort de l'État plateforme » une promesse de réintégration française portée par le SGMAP qui n'a tenu qu'au prix d'une sous-estimation persistante des temporalités de recomposition administrative. Marie Alauzen, dans Réseaux (2019), montre sur le cas FranceConnect que même une brique technique réussie met cinq à sept ans à reconfigurer un paysage institutionnel. La SNC 2026-2030 hérite de cette inertie structurelle, elle ne la dissout pas.

Le parallèle de 2018 : huit ans pour faire tenir le C4

Parmi les précédents mobilisables (stratégie nationale pour la sécurité du numérique de 2015, stratégie d'accélération de 2021), le plus structurellement proche de la SNC 2026-2030 est la Revue stratégique de cyberdéfense du 12 février 2018, pilotée par Louis Gautier au SGDSN sur mandat du Premier ministre Édouard Philippe. Ce document de cent soixante-sept pages, parfois qualifié de « Livre blanc de la cyberdéfense », posait les quatre chaînes (prévention, renseignement, action judiciaire, action militaire) et actait la création du C4.

Huit ans plus tard, la SNC 2026-2030 reprend la figure du C4, la formalise, en précise la composition et annonce son élargissement. Entre-temps, le C4 a existé, fonctionné, formalisé un premier schéma national de classement des attaques, mais il n'a, selon les rapports sénatoriaux disponibles, jamais été consacré par un décret public identifié. La durée de maturation institutionnelle d'un mécanisme de coordination interministérielle, dans le champ cyber, est donc de l'ordre de la décennie lorsqu'elle ne s'appuie que sur des textes administratifs internes (IGI, circulaires). Cette inertie n'est pas une critique du C4 mais un fait temporel. Elle rappelle que la SNC 2026-2030, qui revendique une architecture intégrée à l'horizon 2030, s'inscrit dans une trajectoire de coordination longue, où les promesses doctrinales précèdent de plusieurs années leur stabilisation organisationnelle.

Le parallèle opère encore ailleurs. La RSC 2018 promettait une programmation spécifique des moyens, reprise dans la LPM 2018-2025 (1,6 milliard d'euros, 4 000 cybercombattants). La SNC 2026-2030, elle, ne chiffre rien et renvoie aux feuilles de route ministérielles à consolider sous six mois. Là où 2018 articulait doctrine et financement, 2026 tient la doctrine et délègue le financement. Pour un cadre SI, cette dissymétrie est la principale rupture de style entre les deux documents.

La stratégie pour la sécurité du numérique de 2015 (Valls, Lemaire, Gautier, Poupard) et la stratégie d'accélération cybersécurité de 2021 (Campus Cyber, un milliard d'euros) complètent le paysage sans offrir la même proximité structurelle. La première portait une ambition de souveraineté qui, selon des bilans parlementaires ultérieurs, n'a pas été atteinte sur le cloud. La seconde a produit le Campus Cyber et des effets de filière, mais ses objectifs quantitatifs (vingt-cinq milliards d'euros de chiffre d'affaires, trente-sept mille emplois à 2025) ne sont pas repris dans la SNC 2026.

Cloud au centre, NIS2, CRA : la fragmentation des horloges

Le désalignement de temporalités ne se joue pas seulement entre la stratégie et sa feuille de route, il traverse l'empilement réglementaire.

La doctrine « Cloud au centre », posée par la circulaire n°6282-SG du 5 juillet 2021 (Premier ministre Jean Castex) et actualisée par la circulaire n°6404-SG du 31 mai 2023 (Premier ministre Élisabeth Borne), impose aux administrations un hébergement qualifié SecNumCloud pour les données d'une sensibilité particulière, avec immunité aux réglementations extracommunautaires. L'article 31 de la loi SREN n°2024-449 du 21 mai 2024 donne à cette règle valeur législative. Son décret d'application, attendu à la rentrée 2025, n'était toujours pas publié au printemps 2026 selon la Cour des comptes. Le référentiel SecNumCloud 3.2 de l'ANSSI, publié en mars 2022, compte environ neuf prestataires qualifiés en mars 2026 (3DS Outscale depuis le 11 décembre 2023, OVHcloud, Oodrive, Cloud Temple, S3NS avec l'offre PREMI3NS qualifiée le 17 décembre 2025, Bleu avec un J1 validé le 17 novembre 2025 pour une qualification complète visée au premier semestre 2026).

La directive NIS2 (UE 2022/2555) devait être transposée avant le 17 octobre 2024. La France a manqué le délai, a fait l'objet d'une mise en demeure puis d'un avis motivé de la Commission européenne en mai 2025. Au 18 avril 2026, la loi dite de résilience des activités d'importance vitale (loi REIA), qui transpose simultanément NIS2, la directive REC et DORA, n'est pas encore promulguée. Elle étend le périmètre de 500 à environ 15 000 entités, inclut les collectivités (seuil fréquemment évoqué mais non consolidé de plus de 30 000 habitants, à confirmer après décrets) et prévoit des sanctions graduées jusqu'à dix millions d'euros ou deux pour cent du chiffre d'affaires mondial.

Le Cyber Resilience Act (règlement UE 2024/2847), publié au JOUE le 20 novembre 2024, entré en vigueur le 10 décembre 2024, s'appliquera pleinement le 11 décembre 2027. Son article 14, qui impose la notification des vulnérabilités activement exploitées et des incidents graves, s'applique dès le 11 septembre 2026, soit cinq mois à peine après la feuille de route ANSSI. L'acte d'exécution (règlement UE 2025/2392 du 28 novembre 2025) fixe les catégories de produits concernés.

Cet empilement, lu à hauteur de DSI publique, c'est une matrice à trois axes. L'axe doctrinal SNC étire l'ambition jusqu'en 2030. L'axe national ANSSI durcit les obligations entre 2026 et 2028. L'axe européen CRA et NIS2 imprime un rythme propre, indexé sur des dates fixées à Bruxelles et insensibles aux retards de transposition française. Pour une direction de système d'information, faire tenir ces trois horloges ensemble suppose un séquencement budgétaire pluriannuel dont ni la SNC ni la feuille de route ne dessinent l'ossature.

Des cas concrets qui testent la doctrine

Plusieurs dossiers publics rendent cette tension observable.

Le rapport de la Cour des comptes du 16 juin 2025 sur la réponse de l'État aux cybermenaces civiles qualifie le pilotage interministériel de « trop flou et inefficace », note que seuls 12 % des agents territoriaux ont suivi une sensibilisation cyber en 2024, et souligne la sous-dotation du SGDSN et de l'ANSSI au regard de l'extension du périmètre NIS2 à 15 000 entités. Son rapport du 31 octobre 2025 sur la souveraineté numérique décrit des clouds interministériels (Cloud Pi, Nubo) sous-utilisés, des ministères « en ordre dispersé », et aucun ministère ne disposant d'une cartographie complète de ses données sensibles. Le surcoût SecNumCloud y est estimé entre 25 et 40 %, jugé acceptable par la Cour.

Le SIRH Virtuo du ministère de l'Éducation nationale, qui couvre environ un million d'agents et est opéré par une entreprise appartenant à un groupe américain, est cité par la Cour comme un cas où le ministère conteste l'applicabilité de l'obligation SecNumCloud sans calendrier de migration publié. La plateforme PLACE des achats publics, exploitée pour partie par une entreprise d'un groupe canadien, fait l'objet d'une alerte parallèle de la commission d'enquête sénatoriale de juillet 2025 sur la commande publique, sans calendrier ferme de migration souveraine.

La décision de Pap Ndiaye, publiée le 15 novembre 2022 en réponse écrite au député Philippe Latombe, a interdit aux écoles, collèges et lycées de souscrire aux offres gratuites Microsoft Office 365 et Google Workspace, sur le fondement de la doctrine « cloud au centre », du RGPD post-Schrems II et du code de la commande publique. Cette décision, appuyée sur une note du directeur interministériel du numérique de septembre 2021 prohibant « le déploiement d'Office 365 dans les administrations françaises », a contraint plusieurs rectorats à repenser des déploiements déjà engagés, dans des temporalités rarement compatibles avec les contrats pluriannuels en cours. L'affaire illustre à rebours ce que la DEG, dans sa version 2013, nommait l'écart entre « quasi-paradigm » et adoption effective.

Côté résilience, la cyberattaque contre France Travail annoncée le 13 mars 2024, ayant potentiellement exposé les données de jusqu'à 43 millions de personnes via l'usurpation d'identité de conseillers Cap emploi, celle du CHU de Rennes en juin 2023 via un compte VPN de prestataire sans authentification multifacteur, et celle du centre hospitalier d'Armentières dans la nuit du 10 au 11 février 2024 avec 95 % des postes chiffrés et 18 gigaoctets de données publiées, convergent vers la même leçon. Les exigences de la feuille de route 2026-2027 (MFA, EDR, suppression des comptes génériques) répondent très directement à ces modes opératoires, et elles arrivent après un tir de barrage d'incidents qui auraient dû, selon les propres termes de LeMagIT, les rendre exigibles plus tôt.

Encadré. Trois accélérations européennes qui se chevauchent en 2026-2027

11 septembre 2026, entrée en application de l'obligation CRA de notification des vulnérabilités exploitées. 11 décembre 2027, application principale du Cyber Resilience Act. Entre les deux, la feuille de route ANSSI fixe MFA, EDR et homologation des migrations cloud au 31 décembre 2026, et la transposition française de NIS2, attendue courant 2026, élargit le périmètre à environ 15 000 entités.

L'angle mort du discours sur la souveraineté européenne

Le pilier 5 de la SNC 2026-2030 revendique une stabilisation du cyberespace européen et international, mobilisant l'Appel de Paris, le Processus de Pall Mall, le Mécanisme de Tallinn pour l'Ukraine et la Réserve cyber de l'UE. Le pilier 4 porte la souveraineté des fondements numériques, avec son objectif 11 sur la maîtrise des dépendances. Ces deux étages s'adossent à la certification européenne et à l'émergence d'une capacité autonome d'évaluation de sécurité.

Le point aveugle, ici, est l'EUCS, le schéma européen de certification des services cloud porté par l'ENISA. La version de mars 2024 a abandonné les critères d'immunité aux lois extraterritoriales au niveau « high », sous la pression d'une coalition Allemagne, Pays-Bas et douze autres États membres. En avril 2025, le Centre for European Policy Studies décrit la certification comme « à l'impasse ». La Commission européenne a évoqué, en mars 2025, une révision du Cybersecurity Act pour permettre l'intégration d'exigences non techniques, processus long. La SNC 2026-2030 revendique une souveraineté cyber européenne à construire, mais elle ne documente pas comment les obligations nationales (SecNumCloud, doctrine cloud au centre) s'articuleront si l'EUCS se stabilise durablement sur un niveau « high » sans critère de souveraineté. Le texte suppose la convergence, la réalité bruxelloise suggère la divergence. Ce silence est cohérent avec l'exercice doctrinal, il est problématique pour les opérateurs qui, en 2026 et 2027, doivent homologuer des migrations cloud sans savoir si le référentiel de référence sera national, européen, ou les deux en coexistence instable.

L'autre angle mort concerne la fragmentation budgétaire. L'absence de chiffrage dans la SNC a été relevée par la presse spécialisée dès le jour de la publication. La décision est politiquement assumée, elle renvoie l'effort aux feuilles de route ministérielles. Elle suppose toutefois que les tutelles budgétaires pluriannuelles des opérateurs (loi de programmation, contrats d'objectifs) absorbent les exigences ANSSI 2026-2027 sans arbitrage contre d'autres priorités métiers. Dans la plupart des ministères dont les plafonds d'emplois et les crédits titre 3 sont contraints, cette hypothèse est optimiste. Le plan DINUM du 8 avril 2026 sur les dépendances extra-européennes introduit une nouvelle vague d'exigences (sept domaines, plan d'action à l'automne 2026) sans en sécuriser davantage le financement. La fragmentation des horloges se double d'une fragmentation des enveloppes.

Conclusion : un test vérifiable à vingt-quatre mois

La SNC 2026-2030 tiendra ou ne tiendra pas la promesse d'une gouvernance numérique intégrée selon une variable observable. L'hypothèse testable est la suivante. Si, au 30 juin 2028, les ministères ont publié des feuilles de route financées traduisant les exigences MFA, EDR, homologation cloud, PQC, ProConnect et réduction des dépendances extra-européennes, et si le taux de mise en œuvre effectif, mesuré par les indicateurs de l'IGI n°1337 suivis mensuellement au CINUS, dépasse 75 % sur le périmètre de l'État, alors la SNC aura produit un effet DEG au sens de Dunleavy et Margetts, une réintégration doctrinale convertie en réintégration organisationnelle. Si ce taux stagne autour de 50 % et si les dérogations se multiplient, la stratégie aura confirmé le diagnostic du quasi-paradigme, une adhésion rhétorique prolongée sans transformation d'échelle.

Le choix de l'horizon vingt-quatre mois est délibéré. Il correspond à la fin de la feuille de route ANSSI 2026-2027, à six mois après l'application principale du CRA, et à la période où la loi de transposition NIS2, si elle est promulguée courant 2026, aura commencé à produire ses premiers décrets d'application. Il permet d'observer la capacité effective à faire converger trois calendriers contraignants sous une doctrine commune. Il reste en deçà de l'horizon 2030, ce qui laisse au texte le temps d'être jugé sur ses propres termes, mais il oblige à accepter que l'intégration annoncée ne se mesure pas à la date finale, elle se lit dans la dynamique des dix-huit à vingt-quatre premiers mois. Les précédents de 2015 et 2018 suggèrent que cette fenêtre est celle où les inflexions réelles se jouent.

Note méthodologique. Cet article s'appuie sur le PDF officiel de la SNC 2026-2030 tel que diffusé par le SGDSN, sur la feuille de route ANSSI publiée le 9 avril 2026, sur les rapports de la Cour des comptes de juin et octobre 2025, et sur une lecture croisée de la presse spécialisée francophone. Trois ambiguïtés factuelles subsistent. Le décret de création formel du C4 n'a pas été identifié dans les sources publiques. La loi française de transposition NIS2 n'était pas promulguée à la date d'écriture, ce qui rend tout numéro ou date de promulgation non vérifiable. La communication de Dunleavy et Margetts de 2015, parfois attribuée à la Political Studies Association, a en réalité été présentée à l'American Political Science Association de San Francisco (3-6 septembre 2015) selon le dépôt LSE eprint 64125, référence retenue ici.

Sources

Sources primaires institutionnelles

Rapports officiels et parlementaires

Cadres théoriques

  • Dunleavy, P., Margetts, H., Bastow, S., et Tinkler, J. (2006). « New Public Management Is Dead. Long Live Digital-Era Governance ». Journal of Public Administration Research and Theory, 16(3), 467-494. https://doi.org/10.1093/jopart/mui057
  • Dunleavy, P., Margetts, H., Bastow, S., et Tinkler, J. (2006). Digital Era Governance. IT Corporations, the State, and e-Government. Oxford University Press.
  • Margetts, H. et Dunleavy, P. (2013). « The Second Wave of Digital-Era Governance. A Quasi-Paradigm for Government on the Web ». Philosophical Transactions of the Royal Society A, 371(1987), 20120382. https://doi.org/10.1098/rsta.2012.0382
  • Dunleavy, P. et Margetts, H. (2015). « Design Principles for Essentially Digital Governance », communication au 111ᵉ congrès annuel de l'American Political Science Association, San Francisco, 3-6 septembre 2015. https://eprints.lse.ac.uk/64125/
  • Dunleavy, P. et Margetts, H. (2025). « Data science, artificial intelligence and the third wave of digital era governance ». Public Policy and Administration, 40(2). https://doi.org/10.1177/09520767231198737
  • Dony, S. et Maurel, C. (2023). « La maturité de la transformation numérique des petites communes ». Gestion et management public, 11(4), 35-54.
  • Jeannot, G. (2020). « Vie et mort de l'État plateforme ». Revue française d'administration publique, 173(1), 165-179.
  • Alauzen, M. (2019). « L'État plateforme et l'identification numérique des usagers ». Réseaux, 213(1), 211-239.

Parallèles historiques

Presse spécialisée

Toutes les analyses