France : Ce que prévoit vraiment la feuille de route cybersécurité de l'État 2026-2027

La carte n'est pas le territoire. Le sémanticien polonais Alfred Korzybski parlait de logique, pas de cybersécurité d'État, mais la formule tombe juste au bon moment. Le 7 septembre, l'ANSSI annonçait REACTIV, son nouveau pouvoir de contraindre les ministères en cas d'attaque. Le communiqué renvoie vers un texte publié cinq mois plus tôt, la feuille de route sécurité numérique de l'État pour 2026-2027, dont REACTIV dit vouloir accélérer l'application. Ce texte fixe dix chantiers et une centaine d'échéances. Un aveu inhabituel se glisse aussi dans l'avant-propos, sur les contraintes budgétaires qui ont plombé l'édition précédente. La carte, donc. Voyons le territoire.
Les points clés de cet article :

• L'ANSSI a annoncé REACTIV, un pouvoir permettant de contraindre les ministères en cas d'attaque, pour accélérer la feuille de route de sécurité numérique 2026-2027.
• La feuille de route 2026-2027, malgré les contraintes budgétaires, fixe des échéances pour la mise en œuvre de mesures de cybersécurité, certaines allant jusqu'en 2030.

Le document officiel tient sur huit pages et fixe dix objectifs, du plus basique (fermer les comptes génériques d'ici le 30 juin 2026) au plus lointain (déployer une cryptographie résistante au calcul quantique d'ici 2030). Entre les deux, un empilement de dates.

Par exemple, l'authentification à plusieurs facteurs pour les administrateurs de systèmes doit être en place avant le 31 décembre 2026. Pour les utilisateurs des systèmes jugés à enjeux, le même mécanisme attend le 28 février 2027. Pour tous les autres systèmes de l'État, sans distinction, il faudra patienter jusqu'au 28 février 2028, deux ans après les fuites de données qui ont justifié le document.

L'homologation de sécurité suit le même étagement, obligatoire fin 2026 pour les systèmes qui portent les missions essentielles des ministères, reportée à fin 2028 pour le reste. Et les fameux EDR et XDR (des logiciels qui repèrent une intrusion avant qu'elle ne tourne au désastre) doivent couvrir postes et serveurs d'ici le 31 décembre 2026, en priorité sur les systèmes les plus sensibles.

Sur le papier, REACTIV donne à l'ANSSI le pouvoir de forcer un ministère à agir dans l'heure. Sur le calendrier, la même administration se donne jusqu'en 2028 pour généraliser une mesure aussi élémentaire que la double authentification.

Nuançons toutefois. Les deux textes ne se contredisent pas vraiment. Ils décrivent juste deux vitesses d'une même maison. L'intervention d'urgence d'un côté, la mise aux normes de fond de l'autre. Sauf que la feuille de route elle-même prévient qu'elle prend en compte les contraintes budgétaires qui ont pesé sur la mise en œuvre de la précédente. Autrement dit, l'édition 2025-2026 n'a pas tenu son calendrier faute de moyens, et celle-ci affermit certaines échéances sans qu'aucun chiffre budgétaire nouveau n'accompagne le document. Les corps d'inspection sont mobilisés pour contrôler l'application des feuilles de route ministérielles, précise le texte. Contrôler ne finance rien.

Chercher cryptomonnaie dans les huit pages du document est un exercice rapide. Le mot n'apparaît nulle part, pas plus que Bitcoin, crypto-actif ou wallet. La seule cryptographie dont il est question est celle qui protège les communications de l'État, avec un chapitre entier consacré à la transition post-quantique.

Le texte décrit noir sur blanc cette technique sans jamais la nommer : Certaines attaques consistent à capter dès à présent de l'information durablement sensible [...] afin de la déchiffrer lorsque les capacités seront disponibles. Les experts en sécurité l'appellent le harvest now, decrypt later, capter aujourd'hui pour déchiffrer plus tard. Le calendrier prévoit un inventaire des données sensibles d'ici fin 2026, des briques techniques identifiées d'ici fin 2027, puis un déploiement complet visé pour 2030. Un calendrier qui ressemble, presque terme à terme, à celui que le G7 réclamait début septembre à l'industrie crypto. Sauf que Bitcoin a déjà un candidat technique sur la table, le BIP-360, quand l'État français en est encore au stade de l'inventaire. Le calcul quantique menace les deux mondes de la même façon. L'un a un plan d'exécution. L'autre a un plan de recensement.

La comparaison a ses limites, à commencer par la puissance de calcul réellement disponible aujourd'hui. Le meilleur processeur quantique connu, Willow chez Google, aligne 105 qubits physiques, mais sa démonstration record ne porte que sur un seul qubit logique, l'unité qui compte vraiment face au chiffrement. Face à ça, le tracker ecdsa.fail évalue à 813 le nombre de qubits logiques nécessaires pour casser une clé Bitcoin. La menace post-quantique n'a donc rien d'immédiat. Mais l'État qui se donne jusqu'à 2028 pour généraliser la double authentification sur ses propres systèmes fixe aussi, sans le dire, le rythme auquel il compte tenir ses propres promesses. REACTIV donne les pleins pouvoirs pour l'urgence. La feuille de route, elle, vote pour la patience.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.