![Sebastien-Lecornu](https://www.archimag.com/sites/archimag.com/files/styles/article/public/web_articles/image/sebastien-lecornu-fuite-donnees-dgfip.jpg?itok=VBD7v_4D "Suite aux fuites de données massives qui ont touché la DGFiP mi-août, Sébastien Lecornu appelle à la création d'une "nouvelle unité cyber" composée d'agents de l'Anssi. (Patrice Normand/Leextra via opale - Wikipedia)")
Découvrez Le Brief de l'IT, la newsletter thématique gratuite d'Archimag dédiée aux professionnels des data, de l'IT, de la digitalisation et de la transformation numérique !
"Arrêtons de découvrir la lune à chaque cyberattaque", a déclaré le Premier ministre Sébastien Lecornu sur X le 19 août dernier, dans le sillage des vols massifs de données issues du système d'information de la Direction générale des finances publiques (DGFiP) réalisés fin juin et fin juillet derniers par le duo de hackers ZeroBytes. “La menace est connue : massive, organisée, hybride”, a-t-il ajouté, appelant à la bonne “hygiène numérique de chacun”. En réponse à ces cyberattaques, que la DGFiP a découvertes très tardivement (le 12 août, selon sa directrice générale Amélie Verdier), plusieurs mesures pour empêcher de nouvelles intrusions, dont le déploiement accéléré de la double authentification à l'ensemble des agents et un renforcement de leur "formation cyber", ont d’abord été annoncées par le ministre des Comptes publics, David Amiel, le 18 août.
Nouvelle unité cyber
Sous le feu des critiques, Sébastien Lecornu a ordonné à l'Anssi de mener un audit approfondi pour éclaircir les causes exactes de cette faille. Enfin, dans une lettre adressée au secrétaire général de la défense et de la sécurité nationale, Nicolas Roche, le chef du gouvernement a exigé le 19 août dernier la création sous trois jours d'une “nouvelle unité cyber” de première ligne, dont l’équipe, composée d'agents de l'Anssi, “sera engagée en amont de crises potentielles dès la violation d'accès sensibles, pendant la crise et à l'issue”. Selon lui, “peu de ministères sont au niveau requis, ce [qui] n'est pas acceptable”.
“Nous devons la vérité”
“Nous devons la vérité”, reconnaissait également David Amiel le 15 août sur X : “l'État a accumulé certaines “dettes techniques” pendant des décennies, et nos doctrines doivent être mises à jour de manière beaucoup plus rapide.” De nombreux experts pointent en effet les multiples préconisations restées sans effet concernant la protection du système d’information de l’État.
Nis 2 dans l’impasse
Citons, par exemple, le blocage à l’Assemblée nationale du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui prévoit la transposition de la directive européenne Nis 2 sur la cybersécurité, adoptée en 2022. Celle-ci, qui aurait dû être transposée en droit français au plus tard en octobre 2024, se trouve toujours dans une impasse : adopté au Sénat en mars 2025, le projet de loi a fait les frais de la chute du gouvernement de François Bayrou et n’a toujours pas été inscrit à l’agenda de l’Assemblée nationale. Pour rappel, la directive Nis 2 prévoit justement un certain nombre d'obligations en matière de cybersécurité, comme la notification des incidents à l'Anssi, et d'imposer des mesures de sécurité, dont l’authentification à plusieurs facteurs.
Précisons que les différentes cyberattaques qui ont frappé les données de la DGFiP ont concerné 678 000 particuliers et professionnels, ainsi que 200 000 comptes de fichiers cadastraux. Une troisième fuite visant des données liées aux successions a également touché le portail dédié, dans une moindre ampleur.
