Stratégie cyber-sécurité de la France est bien définie. La France a élaboré et fait évoluer sa stratégie nationale en matière de cyber-sécurité face à l’amplification et à la sophistication des cyber-menaces, ainsi qu’en réponse au cadre réglementaire européen.
Stratégie cyber-sécurité de la France
Origine et ÉvolutionLa lutte contre les cyber-menaces a été organisée en France dès 2004, puis renforcée après l’attaque informatique subie par l’Estonie en 2007.
La nouvelle stratégie nationale de cyber-sécurité a été définie fin 2024 et validée en novembre 2024 par le conseil de défense et de sécurité nationale. Elle s’inscrit dans un nouveau cadre défini par l’évolution de la menace et la réglementation européenne, notamment les directives NIS 2, REC et DORA.
Son objectif est de définir une politique publique globale qui vise à développer l’expertise, à utiliser des technologies avancées, et à renforcer le pilotage pour répondre aux agressions et consolider la protection des systèmes d’information de l’État et des entités importantes. Elle vise également à construire une “société de confiance” cyber.
La stratégie confirme le maintien d’un comité directeur cyber, présidé par le Premier ministre, qui abordera les trois volets de la sécurité numérique pour définir les grandes orientations de l’État en cybersécurité.
Elle instaure un comité de pilotage des politiques publiques cyber (C3PC), de nature interministérielle, sous la responsabilité du SGDSN. Ce comité est chargé d’établir la planification interministérielle pluriannuelle des ressources de l’État, sa déclinaison annuelle, et le suivi des moyens dédiés dans les ministères.
Mise en Œuvre et Recommandations
Bien que finalisée, cette nouvelle stratégie n’a pas encore fait l’objet d’une publication officielle ni d’une déclinaison publique sous forme de plan d’action et de financements dédiés. C’est bien là un point faible du sujet.
Pour garantir son effectivité, elle doit être adossée à un échéancier précis des actions à mener et à une programmation pluriannuelle des ressources à mettre en œuvre dans la sphère des services de l’État.
Elle nécessite de préciser les missions de l’ANSSI et d’accompagner la construction de l’écosystème de cyber-sécurité ainsi que la diffusion de la culture de la sécurité numérique dans l’ensemble de la société, en rationalisant son financement et les dispositifs de soutien.
Le rôle central de l’ANSSI
L’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) joue un rôle central et déterminant dans la cyber-sécurité civile en France. Créée par décret n° 2009-834 du 7 juillet 2009, l’ANSSI est un service à compétence nationale rattaché au Secrétariat Général de la Défense et de la Sécurité Nationale (SGDSN), placé auprès du Premier ministre. Ce positionnement stratégique souligne le haut niveau de prise en compte de la menace et la nécessité d’un traitement multisectoriel et interministériel.
Voici les principales missions et fonctions de l’ANSSI, ainsi que son rôle dans la stratégie cyber-sécurité :
L’ANSSI est le pilier technique et réglementaire de la cybersécurité civile en France. Elle définit les normes, assiste les entités critiques, réagit aux incidents, forme les acteurs, et contribue à la politique industrielle, le tout sous l’autorité du SGDSN. 
Le cas des entités régulées
En France, les entités régulées sont les organisations, publiques ou privées, soumises à des obligations spécifiques en matière de stratégie cyber-sécurité en raison de leur importance pour le fonctionnement de la Nation, la société, ou l’économie, et ce, face à l’évolution croissante et sophistiquée des cybermenaces. Le cadre de cette régulation a considérablement évolué, notamment sous l’impulsion du droit européen.
1. Origine et Évolution du Cadre Réglementaire
Début de la régulation : La lutte contre les cybermenaces a été organisée en France dès 2004 et renforcée après l’attaque informatique massive subie par l’Estonie en 2007. Initialement, l’approche était axée sur la cyberdéfense, avec une focalisation sur la sécurisation des Opérateurs d’Importance Vitale (OIV), identifiés dès le Livre blanc sur la défense et la sécurité nationale de 2008 et 2013. La loi de programmation militaire de 2013 a introduit des mesures de sécurité obligatoires pour ces OIV. Les OIV sont des personnes morales publiques ou privées dont la destruction ou l’indisponibilité grave obéreraient gravement le potentiel militaire, la force économique, la sécurité ou la capacité de survie de l’État, ou mettraient en danger sa population.Extension par NIS 1 : La directive européenne “Network and Information System Security” (NIS 1) de 2016, transposée en droit français en 2018, a élargi le périmètre des entités concernées. Elle a introduit la catégorie des Opérateurs de Services Essentiels (OSE), qui produisent des services essentiels au bon fonctionnement de la société ou de l’économie, et a également concerné les Fournisseurs de Services Numériques (FSN). Le nombre d’organismes sous contrôle de NIS 1 ne dépassait pas 500.Nouvelle ère avec NIS 2 et au-delà : La directive NIS 2 (adoptée en décembre 2022 et à transposer d’ici octobre 2024), ainsi que les directives “Résilience des Entités Critiques” (REC) et “Digital Operational Resilience Act” (DORA) (pour le secteur financier), ont très significativement élargi et précisé le champ des organismes soumis à des obligations de cybersécurité.2. Catégories d’Entités Régulées sous NIS 2
La directive NIS 2 (voir article précédent sur le site) modifie profondément le paysage de la régulation, en augmentant le nombre d’entités concernées d’environ 500 à 15 000 entités. Ces entités s’identifient désormais elles-mêmes. Les entités concernées par NIS 2 répondent à trois critères cumulatifs :
La directive NIS 2 distingue deux catégories principales, avec des niveaux d’exigence modulés:
La France a pris la décision d’inclure les collectivités territoriales dans ces nouvelles exigences, compte tenu de la multiplication des attaques les affectant  et de leur faible sécurisation. 
Cela inclut notamment les régions, départements, métropoles, communautés urbaines, communautés d’agglomération, et les communes de plus de 30 000 habitants en tant qu’EE, et les communautés de communes en tant qu’EI. Notez qu’a cette date le texte n’est pas encore transposé en droit français.
3. Obligations pour les Entités Régulées
Les entités régulées sont soumises à un ensemble d’obligations visant à renforcer leur cyber-résilience:
La France a bien intégré la cyber-menace dans sa stratégie cyber-sécurité.
 Cette politique a un cout. Actuellement beaucoup d’entités concernées par la mise en Œuvre de NIS2 n’auront pas le moyens immédiats de sécuriser correctement leurs systèmes.
La réponse de l’État aux cybermenaces sur les systèmes d’information civils, Cour des comptes
The post Stratégie cyber-sécurité de la France first appeared on XY Magazine.