Vincent Strubel (Anssi) "L'Anssi a désormais une posture d'autorité plus ferme sur l'administration"

Le directeur général de l'Anssi, Vincent Strubel, précise au JDN comment l'Anssi se transforme pour mieux protéger l'Etat face aux fuites de données.

JDN. Suite à la fuite de données de la DGFiP, survenue en août 2026, l'Anssi a été vivement critiquée par des professionnels et politiques. Il lui a notamment été reproché de ne pas avoir détecté la menace à temps. L'Anssi traverse-t-elle une crise de légitimité ?

Vincent Strubel. Non, au contraire. L'Anssi n'a jamais été aussi écoutée qu'aujourd'hui ! On traverse plutôt une prise de conscience sur l'existence de vulnérabilités qui ne sont pas nouvelles et sur lesquelles on alerte depuis longtemps. Celles-ci sont toutefois exploitées différemment qu'auparavant. Le fait nouveau, ce n'est pas que les systèmes sont devenus vulnérables du jour au lendemain. Mais c'est qu'ils sont attaqués d'une manière différente, avec une finalité différente, y compris par des individus issus d'une criminalité non organisée, par de jeunes français motivés uniquement par des enjeux réputationnels. J'espère qu'on arrivera à casser cette mécanique. C'est en effet désolant que de jeunes adolescents français puissent commencer leur vie par la case prison, juste pour briller en cybersécurité, alors qu'il existe bien d'autres manières de briller dans le milieu. Notre priorité du moment est de résoudre ces vulnérabilités de base.

Suite à la fuite de la DGFiP, le premier ministre, Sébastien Lecornu, vous a demandé de lancer l'opération Réponse et Action Interministérielle face aux Violations de données (REACTIV). Celle-ci permet notamment à l'Anssi d'imposer des mesures immédiates aux ministères en cas de fuites de données. L'Anssi devient-elle le RSSI de l'Etat ?

Disons plutôt qu'on a désormais une posture d'autorité plus ferme sur l'administration. Ce nouveau pouvoir d'injonction n'a pas de base légale spécifique. Ce n'est pas du droit dur. Il provient directement du premier ministre qui a demandé aux ministres de respecter les décisions de l'Anssi en matière de cybersécurité. Ce n'est pas pérenne. Il s'agit avant tout d'un traitement d'urgence pour limiter la casse au niveau des fuites de données, le temps que la feuille de route des efforts prioritaires en matière de sécurité numérique de l'État 2026-2027 soit mise en œuvre. Cette feuille de route, c'est le traitement curatif qui permettra de résoudre ces vulnérabilités à grande échelle. Ce dont on a besoin, c'est d'inscrire les mesures de REACTIV dans le droit et de les étendre au-delà des administrations, aux collectivités et aux entreprises grâce à NIS 2.

Mais existe-t-il une défiance des ministères envers l'Anssi pour que le premier ministre doive les contraindre à respecter ce que vous leur demandez ?

Non, du tout. Mais les administrations doivent répondre à une ribambelle d'injonctions contradictoires. Il leur est demandé de tendre vers plus de simplicité, d'être plus rapides, de simplifier la vie des usagers, d'opérer une transformation numérique, de garantir la cybersécurité de leur système d'information, etc. REACTIV permet simplement de faire de la cybersécurité une priorité parmi toutes ces injonctions. Certains chantiers, comme la transformation numérique, seront donc ralentis.

Comment NIS 2 va étendre le pouvoir d'injonction de l'Anssi ?

La transposition législative de NIS 2 prévoit de conférer à l'Anssi un pouvoir d'autorité sur les administrations de l'Etat et au-delà. On pourra requérir des sanctions à l'encontre d'entités qui ne se conformeront pas à la directive. Ces sanctions pourront être des amendes contre les entreprises et des injonctions aux administrations de rendre public leurs manquements en matière de cybersécurité.

Depuis sa création, l'Anssi exerce une fonction de conseil en cybersécurité auprès, notamment, de l'administration. Avec ce pouvoir d'injonction, elle peut aussi prescrire des mesures. Elle sera donc juge et partie. N'est-ce pas problématique ?

Non. Le conseil et l'injonction se situent dans une forme de continuité. Conseil ou injonction, nous dirons simplement les mêmes choses mais de manière plus affirmée. On avertira d'abord, puis on sanctionnera ensuite si nos avertissements n'ont pas été pris en compte. Pour préparer la mise en œuvre de NIS 2, nous construisons, depuis un certain temps, une fonction contrôle au sein de l'Anssi, dotée de procédures claires quant à son interface avec nos autres fonctions. Nous sommes attentifs à garantir une séparation des rôles dans une même entité pour qu'il n'existe aucune confusion des fonctions.

REACTIV prévoit également de confier à l'Anssi la communication de crise, en cas d'attaque cyber, pour l'ensemble des administrations. Comment prévoyez-vous de mettre en œuvre cette obligation ?

L'enjeu est moins de faire de la communication de crise que de garantir de la transparence. Notre rapport d'incident sur la fuite de données de la DGFiP, publié en septembre 2026, va d'ailleurs dans ce sens. Il n'est pas prévu de communiquer à la place des ministres sur les conséquences d'une attaque cyber affectant leur administration.

Manquait-il donc de transparence jusqu'à présent ?

Non… Enfin, nous n'étions pas dans la même posture proactive. Nous assurions une communication en réaction à des attaques. Mais le premier ministre nous a demandé de garantir aussi de la transparence quand une attaque frappe l'Etat. Donc on ajuste notre posture à cette nouvelle exigence. Toutefois, cela ne concerne pas les entreprises.

REACTIV, NIS 2… L'Anssi a-t-elle vraiment les moyens de mettre en œuvre toutes ces nouvelles obligations ?

L'Anssi a effectivement des moyens qui sont contraints. Elle a trois fois moins d'agents que notre homologue allemand, qui a les mêmes missions. On jongle en permanence entre des priorités, comme toute administration aujourd'hui. Avec REACTIV, on doit en effet placer moins d'efforts sur d'autres pans de la menace cyber. Dans la conjoncture budgétaire actuelle, nos moyens ne peuvent pas être extensibles à l'infini. Nous avons toutefois un modèle optimisé qui s'appuie en grande partie sur le secteur privé et les autres services de l'Etat. Les nouvelles réglementations nous permettront aussi de démultiplier l'impact de notre action grâce à nos nouveaux pouvoirs de contrainte, et avec les mêmes moyens humains.