Le Premier ministre a demandé à l'ANSSI de déployer une capacité de réaction renforcée, baptisée REACTIV, pour répondre à la recrudescence des cyber attaques et des fuites de données dans l'administration. Le dispositif complète la feuille de route de sécurité numérique 2026-2027, dont l'exécution vient d'être accélérée, et qui fixe désormais des échéances précises jusqu'en 2030.
Les intrusions qui ont touché plusieurs ministères en 2025 et cette année ont révélé des failles que les précédents plans de cybersécurité n'avaient forcément adressé. L'État souhaite voir la mise en place d'un dispositif de crise immédiat, avec un calendrier d'actions qui s'étend jusqu'en 2030.
REACTIV, une chaîne de commandement resserrée face aux fuites de données
REACTIV, pour Réponse et Action Interministérielle face aux Violations de données, mise sur la flexibilité. Concrètement, l'ANSSI redirige une partie de ses moyens vers les ministères touchés par une compromission de comptes ou une fuite de données, pour accélérer l'analyse de l'incident et limiter les exfiltrations en cours.
Le dispositif renforce aussi l'autorité de l'agence. Elle peut désormais imposer aux ministères concernés des mesures de protection immédiates, dans des délais contraints, pour protéger les données des citoyens confiées à l'administration. En cas d'attaque de ce type, c'est l'ANSSI qui centralise la communication technique de crise, plutôt que chaque ministère de son côté.
Ce document, validé en comité stratégique (COSINUS) puis en concertation interministérielle, prolonge la version 2025-2026 pensée pour la mise en conformité avec la directive européenne NIS2. Il en reprend les objectifs, resserre plusieurs échéances et ajoute un chantier consacré à la cryptographie post-quantique, tout en tenant compte des contraintes budgétaires qui avaient déjà ralenti le texte précédent.
Authentification, détection, post-quantique : ce que la feuille de route impose aux ministères
Sur le terrain, les ministères doivent d'abord nettoyer leurs accès. Cela implique la suppression des comptes génériques d'ici juin 2026, la mise en place de l'authentification multifacteur obligatoire pour les administrateurs fin 2026 puis pour les utilisateurs des systèmes à enjeux avant fin février 2027. Notons aussi une bascule progressive vers le portail ProConnect pour unifier la gestion des identités. Côté détection, des outils avancés de type EDR ou XDR devront couvrir l'ensemble des postes et des serveurs d'ici fin 2026.
Nous avions interviewé Vincent Strubel, directeur général de l'ANSSI. Il expliquait déjà que la précédente feuille de route donnait la priorité à l'authentification à deux facteurs et à la lutte contre l'obsolescence, les deux principaux points d'entrée des cyberattaques, avec un pilotage désormais assuré en circuit court par le Premier ministre. Une logique que REACTIV vient précisément prolonger.
La cryptographie post-quantique a aussi son calendrier avec inventaire des données durablement sensibles d'ici fin 2026, une identification des briques techniques pour assurer le chiffrement et les signature d'ici fin 2027, puis le déploiement sur les systèmes traitant d'informations à diffusion restreinte avant fin 2030. Nous avons récemment détaillé comment Tuta, Signal ou Proton Mail avaient amorcé une transition comparable pour leurs propres services de messagerie. En France, à partir de 2030, l'État n'achètera plus que des produits de chiffrement intégrant nativement cette protection.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.