Cyberattaques d’État : la ministre du Numérique reconnaît que les 200 millions de Lecornu « ne suffiront pas »

Le 4 mai 2026 ^[1], au lendemain de l’annonce du plan d’urgence cyber de Sébastien Lecornu ^[2], Anne Le Hénanff ^[3] a déclaré ce que peu de ministres osent: reconnaître publiquement que les moyens débloqués par son propre gouvernement sont insuffisants. « C’est une mesure d’urgence, ça ne suffira pas » ^[4], a-t-elle lâché à propos des 200 millions d’euros ^[5] prélevés sur France 2030 ^[6].

LES ENJEUX

Sous-investissement chronique

Certains ministères allouent 1 % de leur budget informatique à la cybersécurité, contre 10 % jugés nécessaires.

Vulnérabilité des agences satellites

ANTS et ANFR, dotées d'un budget propre et hors tutelle cyber directe, deviennent les maillons faibles ciblés en priorité.

Modèle de financement instable

Le fonds de modernisation reposera sur les amendes CNIL, dont le montant a varié de 55 à 500 millions d'euros entre 2024 et 2025.

Transposition NIS2 en retard

Le projet de loi de transposition de la directive européenne accumule du retard, exposant la France à une procédure d'infraction.

Hausse des incidents administrations

Les demandes d'assistance des collectivités ont augmenté de 22 % entre 2024 et 2025.

Derrière cet aveu, des chiffres qui interpellent. Selon la ministre déléguée chargée de l’Intelligence artificielle et du Numérique ^[3], « ça peut aller dans certains ministères de 1 %, ce qui est extrêmement faible, à 5 %, ce qui n’est également pas énorme » ^[7][8]. Or « il faut 10 % d’un budget informatique » ^[9] pour assurer un niveau de protection minimal. Le Premier ministre ^[10] confirme l’ordre de grandeur: « la plupart des entreprises françaises consacrent quelque chose comme 10 % de leur budget global aux infrastructures numériques » ^[11], « l’État en est davantage proche de 1 % que de 10 % » ^[12].

Trois vols par jour, un « casse du siècle » mensuel

Depuis le début de l’année 2026 ^[13], la France enregistre en moyenne trois vols de données par jour ^[14]. Le Premier ministre ^[2] a livré une comparaison frappante lors de sa visite à l’ANTS ^[15] le 30 avril 2026 ^[16]: un million de données volées « correspond à quelque chose comme 10 semi-remorques sur un cambriolage traditionnel » ^[17]. Et de conclure: « on est sur un casse du siècle, mais qui a pratiquement lieu tous les mois » ^[18].

Le 15 avril 2026 ^[19], la cyberattaque contre l’Agence nationale des titres sécurisés (ANTS) ^[20] a exposé les données de près de 12 millions ^[21] de particuliers et professionnels ^[21]. Le chiffre varie selon les sources: « 11,7 millions de comptes » ^[22] selon les communications faisant référence à France Titres, « près de 12 millions » ^[21] de personnes physiques et morales selon le ministère de l’Intérieur - un écart qui s’explique probablement par la distinction entre comptes uniques et individus, certains professionnels détenant plusieurs comptes. Un mineur de 15 ans ^[23] a été interpellé. Deux jours plus tôt, le 13 avril ^[24], une intrusion contre l’Agence nationale des fréquences (ANFR) ^[24] avait exfiltré les données de 330 000 ^[25] usagers du téléservice Radiomaritime entre le 4 et le 10 avril ^[26]. Fin 2025 ^[27], le ministère de l’Intérieur ^[28] avait lui aussi été touché: des identifiants d’agents avaient été dérobés ^[27], permettant l’intrusion ultérieure dans le fichier national des comptes bancaires via usurpation ^[29].

Ce que dit le Code pénal

Le mineur interpellé pour l’attaque ANTS ^[23] tombe sous le coup d’infractions précisément définies. L’article 323-1 du Code pénal réprime l’accès ou le maintien frauduleux dans tout ou partie d’un système de traitement automatisé de données, puni de trois ans d’emprisonnement et de 100 000 euros d’amende. L’article 323-3 du Code pénal vise quant à lui le fait d’introduire frauduleusement des données dans un système, de les extraire, détenir, reproduire ou transmettre frauduleusement, puni de cinq ans d’emprisonnement et de 150 000 euros d’amende. Selon plusieurs sources, lorsque le système concerné est un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État, les peines sont portées à sept ans d’emprisonnement et 300 000 euros d’amende - ce qui est précisément le cas de l’ANTS. S’agissant d’un mineur de 15 ans ^[23], le Code de la justice pénale des mineurs impose une atténuation de peine et privilégie les mesures éducatives. On se souvient que des affaires comparables avaient déjà conduit, selon plusieurs sources, à des poursuites sur ces mêmes fondements.

Le plan Lecornu en trois volets

Annoncé le 30 avril 2026 ^[30], le plan repose sur trois piliers. D’abord, 200 millions d’euros ^[31] débloqués sur France 2030 ^[6] pour financer applications, outils de détection et cryptographie post-quantique ^[5], ainsi que des « audits flash » ^[32] dans chaque ministère destinés à mesurer les vulnérabilités. « Chaque ministère aura la possibilité de mesurer ses vulnérabilités, ça, c’est une mesure d’urgence » ^[33], précise Anne Le Hénanff ^[3].

Deuxième volet: la fusion de la DINUM et de la DITP ^[34] pour créer une « autorité numérique de l’État » ^[34]. Le Premier ministre décrit l’existant comme « un jardin à l’anglaise [.], dans une forme de désorganisation désormais dangereuse » ^[35]. À partir de 2027 ^[36], 5 % ^[37] des budgets numériques de chaque ministère devront être consacrés à la cybersécurité, encore en deçà des 10 % ^[38] que la ministre considère comme le minimum requis.

Troisième volet, plus inattendu: la création d’un fonds de modernisation des infrastructures numériques abondé par les amendes de la CNIL ^[39], dans une logique « pollueur-payeur » ^[39]. L’enjeu financier est conséquent: 500 millions d’euros ^[40] d’amendes CNIL en 2025 ^[40], contre 55 millions ^[41] en 2024 et 89 millions ^[42] en 2023. À elle seule, France Travail a écopé de 5 millions d’euros ^[43] début 2026.

Un financement structurellement fragile

Les trois sources mobilisées pour financer le plan partagent un défaut commun: aucune n’est sanctuarisée dans une ligne budgétaire pluriannuelle. Le prélèvement de 200 millions d’euros ^[5] s’opère sur France 2030 ^[6], un programme d’investissement d’avenir doté à enveloppe fermée et conçu pour des projets industriels - non pour servir de variable d’ajustement à la cybersécurité de l’État. Le fonds alimenté par les amendes CNIL ^[39] dépend, lui, d’une recette par nature volatile: 89 millions d’euros en 2023 ^[42], 55 millions en 2024 ^[41], 500 millions en 2025 ^[40]. Un facteur neuf entre l’année basse et l’année haute. Si les amendes retombent à leur niveau de 2024, le fonds de modernisation perdra l’essentiel de ses ressources. Quant à l’objectif des 5 % ^[37] de budget cyber par ministère à compter de 2027 ^[36], il n’a pas encore force de loi: il devra être inscrit en loi de finances, ministère par ministère, sans garantie de pérennité. Trois étages, trois précarités.

L’angle mort: la dette numérique des ministères régaliens

Ce que les annonces ne disent pas frontalement, le Premier ministre l’a reconnu à demi-mot: tous les ministères ne sont pas logés à la même enseigne. Selon plusieurs sources, le ministère des Armées ^[44] et celui de l’Intérieur ^[28] figurent parmi les ministères régaliens mieux protégés. Bercy ^[45] est cité parmi les ministères historiquement solides sur le terrain numérique. À l’opposé, le ministère de l’Éducation nationale ^[46] est cité comme accusant une dette numérique importante.

Pourquoi les agences satellites sont les maillons faibles

Si l’ANTS ^[20] et l’ANFR ^[24] ont été visées avec succès, ce n’est pas un hasard de calendrier. Selon plusieurs sources, ces opérateurs disposent d’un budget propre, d’une gouvernance autonome et d’une direction informatique distincte de celle de leur ministère de tutelle. Là où le ministère de l’Intérieur ^[28] ou celui des Armées ^[44] bénéficient d’investissements concentrés et d’un dialogue direct avec l’ANSSI ^[47], les opérateurs satellites doivent arbitrer la cybersécurité au sein d’un budget de fonctionnement contraint, souvent dimensionné pour leurs missions de service public - délivrer des titres, gérer des fréquences - et non pour résister à des attaques étatiques. Le différentiel décrit par le Premier ministre entre 1 % ^[48] et 10 % ^[49] de budget cyber se creuse encore au niveau de ces agences, dont la tutelle ministérielle ne se traduit pas par une tutelle cyber: l’ANSSI joue un rôle de détection et de réparation ^[47] mais ne pilote pas les budgets informatiques des opérateurs. Voilà pourquoi un mineur de 15 ans ^[23] a pu pénétrer un système d’État.

NIS2: la directive en souffrance

Selon plusieurs sources, la directive européenne NIS2, adoptée fin 2022 et qui aurait dû être transposée par les États membres avant le 17 octobre 2024, élargit considérablement le périmètre des entités soumises à obligations de cybersécurité: elle distingue les entités (énergie, transport, santé, administrations centrales) et les entités importantes (services postaux, déchets, agro-alimentaire, fournisseurs numériques), impose des mesures techniques et organisationnelles minimales, et prévoit la notification obligatoire des incidents. La ministre œuvre pour inscrire la transposition « rapidement à l’agenda de l’Assemblée nationale » ^[50]. En attendant, deux risques pèsent: une procédure d’infraction de la Commission européenne contre la France, et l’absence de cadre national contraignant pour les milliers d’entités qui auraient dû s’y préparer. Le futur « label de confiance » ^[51] destiné aux PME, calé sur les exigences minimales de NIS2, ne pourra produire pleinement ses effets sans loi de transposition.

L’ANSSI refuse de stigmatiser les victimes

Vincent Strubel ^[52], patron de l’ANSSI ^[52], a rappelé une distinction: il y a une différence fondamentale « entre alerter sur la menace et donner des leçons, voire taper sur les victimes, ce que l’ANSSI ne fera jamais » ^[53]. Cette posture tranche avec le discours politique. Strubel anticipe « probablement devant nous un phénomène de coupure un peu brutale des systèmes un peu obsolescents » ^[54] - une transition douloureuse pour les usagers attachés aux anciens services.

Un terrain qui se dégrade

Les chiffres du GIP Acyma ^[55] confirment la pression. En 2025 ^[56], la plateforme 17Cyber ^[55] a enregistré plus de 504 000 ^[57] demandes d’assistance, dont 5 078 ^[58] émanant de collectivités ou administrations - une hausse de 22 % ^[59] par rapport à 2024. Le piratage de compte représente désormais 20,1 % ^[60] des demandes contre 16 % ^[61] un an plus tôt. Le hameçonnage recule (19,2 % ^[62] contre 24,4 % ^[63]) mais les signalements de cyberharcèlement contre les collectivités ont bondi de 209 % ^[64]. 28 % ^[65] des maires se déclaraient déjà victimes de cybermalveillance début mars 2026 ^[66], selon l’Observatoire de la démocratie de proximité ^[67].

Pourquoi maintenant

Le calendrier ne doit rien au hasard. La fuite massive des données de l’ANTS ^[19] - rebaptisée France Titres dans certaines communications ^[22] - a fait basculer un sujet technique dans le débat public. Le Premier ministre ^[68] a saisi l’arrestation du mineur ^[23] pour annoncer son plan en visite sur place ^[68]. La stratégie nationale de cybersécurité 2026-2030 ^[69], dévoilée le 28 janvier 2026 ^[70] sur le Campus cyber aquitain ^[71] et structurée en cinq piliers ^[72] et quatorze objectifs ^[73], attendait ce déclencheur pour passer du document doctrinal aux crédits budgétaires.

Les questions que les sources ne tranchent pas

Plusieurs zones d’ombre persistent. Aucune source consultée ne quantifie l’écart absolu, en euros, entre le budget cyber actuel des ministères et celui qui résulterait des 10 % ^[9] visés. Aucune ne précise le calendrier ferme d’examen parlementaire de la transposition de NIS2 ^[74]. Et aucune n’indique ce qu’il adviendra des budgets cyber au-delà de 2030, terme de la stratégie nationale ^[69]: un plan d’urgence financé par expédients ne tient pas lieu de doctrine pluriannuelle.

► Lire aussi: Notre dossier cybersécurité