Cybersécurité de l’État : pourquoi 200 millions d’euros ne suffisent pas à protéger les données des Français

Quand l’État se fait attaquer, qui protège vos données ?

Quand un portail public fuit des millions d’informations, la question n’est plus abstraite. Elle est très concrète : qui peut encore voir vos nom, prénom, adresse électronique, date de naissance, ou même votre adresse postale ? Le gouvernement veut répondre en urgence, après la fuite de données touchant France Titres, qui pourrait concerner 11,7 millions de comptes.

Cette séquence arrive dans un contexte de forte pression. Depuis le début de l’année 2026, l’exécutif dit compter en moyenne trois vols de données par jour. Et l’affaire de France Titres a servi d’électrochoc politique. Le portail sert aux démarches liées à l’immatriculation des véhicules, au permis de conduire et aux titres d’identité. Autrement dit, il touche au cœur de la vie administrative de millions de personnes.

200 millions d’euros, mais pas seulement un chèque

Le Premier ministre Sébastien Lecornu a annoncé, le 30 avril, un plan de renforcement de la protection numérique de l’État. Dans ce cadre, 200 millions d’euros seront débloqués pour financer des investissements dans les applications, les outils de détection et la cryptographie post-quantique, c’est-à-dire des méthodes de chiffrement conçues pour résister aux futures capacités de calcul. Le plan prévoit aussi que 5 % des budgets numériques de chaque ministère soient consacrés au cyber à partir de 2027.

Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, présente cette enveloppe comme une réponse d’urgence. Selon elle, il faut d’abord mesurer les vulnérabilités, grâce à des audits rapides, puis remettre les ministères à niveau. L’idée est simple : avant de bâtir une grande stratégie, l’État veut savoir où ses failles sont les plus grandes.

Le gouvernement veut aussi changer la manière de piloter le numérique public. La DINUM et la DITP doivent fusionner pour former une autorité numérique de l’État, placée auprès du Premier ministre. L’objectif affiché est de standardiser et sécuriser les infrastructures des ministères. En clair, Matignon reprend la main sur un système longtemps organisé par blocs séparés.

Pourquoi cette mesure peut changer la donne

Le sujet dépasse la seule technique. Dans l’administration, les budgets cyber restent faibles et inégaux. Anne Le Hénanff dit constater des niveaux allant de 1 % à 5 % du budget numérique selon les ministères, alors que le minimum jugé nécessaire tournerait autour de 10 % d’un budget informatique. Même sans trancher ce seuil, le message est clair : l’écart entre la menace et les moyens reste important.

Le vrai problème, c’est la fragmentation. Aujourd’hui, les systèmes ne sont pas homogènes. Certains ministères sont très numérisés, d’autres beaucoup moins. Cette organisation en silos complique la défense commune. Un ministère mieux équipé peut protéger ses outils. Un autre, plus en retard, peut devenir le maillon faible et ouvrir une brèche pour tous les autres.

La feuille de route numérique de l’État 2026-2027 confirme ce diagnostic. Elle impose par exemple l’authentification multi-facteur pour tous les administrateurs de systèmes d’information d’ici le 31 décembre 2026, ainsi que le retrait des comptes génériques d’ici au 30 juin 2026. Elle prévoit aussi de renforcer la supervision et la réponse aux incidents. Cela montre que l’urgence budgétaire s’inscrit dans une refonte plus large des pratiques.

Pour les citoyens, l’enjeu est double. D’abord, limiter les risques d’usurpation d’identité, de phishing ciblé ou de revente de données. Ensuite, éviter qu’une nouvelle fuite abîme encore davantage la confiance dans les services publics en ligne. Pour l’État, le coût est politique autant que financier : chaque faille devient un débat sur sa capacité à protéger ce qu’il collecte.

Une réponse saluée, mais déjà jugée insuffisante

Le gouvernement met en avant l’ampleur du problème et sa volonté d’agir vite. Le financement d’audits flash et d’outils de détection peut aider les administrations les plus fragiles à combler leurs retards. Le transfert des moyens vers un pilotage plus centralisé peut aussi réduire les écarts entre ministères. Sur ce point, les bénéficiaires immédiats sont l’État, ses services et, indirectement, les usagers dont les données sont stockées.

Mais la critique existe déjà. À l’Assemblée nationale, des députés alertent depuis des mois sur la multiplication des cyberattaques, les sous-dotations en moyens humains et techniques, et l’harmonisation insuffisante des pratiques de sécurité. Dans cette lecture, le problème n’est pas seulement l’absence d’argent ponctuel. C’est aussi la faiblesse structurelle d’un État qui numérise vite, mais sécurise souvent trop lentement. Cette critique profite surtout aux partisans d’un effort budgétaire plus massif et plus durable.

La CNIL, elle, rappelle que les sanctions financières existent déjà et que ses amendes sont versées au budget de l’État. En 2025, le total des amendes a atteint 486,8 millions d’euros. Le gouvernement veut désormais flécher ces recettes vers un fonds de modernisation numérique, ce qui peut améliorer les infrastructures publiques. Mais cela pose aussi une question simple : faut-il compter sur les sanctions pour financer la réparation, alors que la prévention reste le nerf de la guerre ?

Ce qu’il faut surveiller maintenant

Le prochain rendez-vous est budgétaire. Le gouvernement a annoncé que la réforme du fléchage des amendes de la CNIL serait portée dans le prochain projet de loi de finances. Il faudra aussi observer comment la future autorité numérique de l’État sera organisée, avec quelles compétences réelles et quelles marges d’action face aux ministères. Enfin, les premiers audits flash diront si les 200 millions d’euros servent à colmater des brèches visibles, ou à engager une vraie remise à plat.