REACTIV : comment l’ANSSI veut imposer la cybersécurité d’urgence aux ministères

Depuis le 7 septembre 2026, l’État français a changé de tempo en matière de cybersécurité. L’agence chargée de la sécurité des systèmes d’information peut désormais imposer aux ministères des mesures de protection immédiates quand des fuites de données menacent. Son directeur général, Vincent Strubel, assume ce tournant dans un entretien publié ce mardi 20 octobre 2026.

REACTIV : un pouvoir d’injonction d’urgence

Le dispositif s’appelle REACTIV, pour réponse et action interministérielles face aux violations de données. Il donne à l’ANSSI un pouvoir inédit : exiger d’un ministère, dans des délais contraints, la mise en place de protections jugées indispensables. L’objectif : réduire immédiatement le risque d’exfiltration de données quand un service de l’État est touché.

Ce pouvoir ne repose pas, à ce stade, sur une base légale spécifique. C’est un traitement d’urgence voulu au sommet de l’exécutif : le Premier ministre aurait demandé aux ministres de se conformer aux décisions de l’ANSSI, selon les comptes rendus de l’annonce. Le signal est clair : la cybersécurité n’est plus une recommandation, c’est une contrainte d’exécution.

Le rapport DGFiP : la transparence comme arme de pression

La doctrine de Vincent Strubel passe aussi par une exposition plus directe des faiblesses constatées. Le 29 septembre 2026, l’ANSSI a publié son rapport d’incident consacré aux cyberattaques ayant touché la Direction générale des finances publiques entre mai et août 2026, un document remis au Premier ministre le 24 septembre.

Le rapport décrit des exfiltrations de données concernant la plateforme impots.gouv.fr ainsi que des données cadastrales. Il identifie plusieurs zones de fragilité : la gestion des identités, l’architecture des systèmes et les capacités de détection. L’agence met noir sur blanc les défauts structurels observés.

Cette démarche répondrait à une demande du Premier ministre. Mais le directeur général précise que l’agence n’a pas vocation à commenter les conséquences politiques d’une attaque : sa logique reste technique et probatoire, publier ce qui a été constaté pour accélérer les correctifs. Et cette transparence renforcée ne s’étend pas automatiquement aux entreprises, dont le traitement des incidents reste distinct.

Deux chantiers prioritaires avant fin 2026

La feuille de route 2026-2027 fixe des jalons techniques précis. Deux chantiers passent en priorité, tous deux d’ici fin 2026 : l’authentification multifacteur pour les comptes administrateurs, et le déploiement d’outils EDR et XDR sur les postes et les serveurs.

Le choix est loin d’être anodin. Les comptes administrateurs concentrent un niveau de risque élevé : leur compromission peut ouvrir l’accès à de larges périmètres du système d’information. Les outils EDR et XDR, eux, renforcent la capacité de détection et de réaction sur les terminaux et les serveurs. Pour Vincent Strubel, il s’agit d’investissements d’infrastructure, pas d’annonces de vitrine : avant de se payer de nouvelles couches technologiques, l’État doit exécuter correctement les mesures essentielles déjà connues.

NIS 2 : amendes, injonctions publiques et contrôle séparé du conseil

L’autre dossier central est juridique. La transposition de la directive européenne NIS 2 doit donner un fondement plus stable au rôle d’autorité que l’ANSSI entend exercer, d’abord sur les administrations de l’État, puis au-delà.

D’après les éléments évoqués dans l’entretien, ce futur cadre permettra à l’agence de demander des sanctions : des amendes pour les entreprises, et pour les administrations des injonctions pouvant aller jusqu’à la publicité des manquements en matière de cybersécurité. La non-conformité cyber sortirait alors du seul registre technique pour devenir un risque de réputation et de gouvernance.

Vincent Strubel explique que l’ANSSI prépare depuis plusieurs mois une véritable fonction de contrôle, avec des procédures distinctes et une séparation des rôles : le conseil, l’injonction et la sanction ne doivent pas se confondre. Dans la pratique, la logique décrite est graduée, l’avertissement précédant l’éventuelle sanction. Avec des sanctions en jeu, les sujets remontent vers la direction générale, les fonctions juridiques et l’audit interne.

Des attaquants jeunes et opportunistes

Dans l’entretien, Vincent Strubel insiste sur un point souvent mal compris : les systèmes n’ont pas subitement basculé dans la faiblesse. Le changement majeur vient de la manière dont les vulnérabilités sont exploitées et des profils d’attaquants désormais à l’œuvre.

Il évoque le cas de jeunes Français agissant pour des motifs réputationnels, cherchant de la visibilité plus qu’un gain économique direct. Des failles parfois connues ou basiques peuvent être activées par des profils moins industrialisés, mais rapides et opportunistes. Le directeur général veut aussi casser la mécanique d’entrée dans la délinquance cyber.

Le propos renvoie à des insuffisances classiques : gestion des identités, cloisonnement des systèmes, capacité de détection et déploiement effectif de protections déjà connues. L’implication est nette : avant d’investir dans des couches supplémentaires, il faut exécuter les mesures essentielles.

Une agence sous contrainte qui mise sur l’effet de levier

L’ANSSI ne masque pas la limite de ses moyens. Elle dispose d’environ 670 équivalents temps plein, soit environ trois fois moins que son homologue allemand, le BSI, crédité de 1 800 à 2 000 agents selon les chiffres cités dans l’entretien. Le durcissement doctrinal ne s’accompagne pas, à ce stade, d’une capacité illimitée d’intervention.

Vincent Strubel le dit sans détour : avec REACTIV, des efforts sont réduits sur d’autres pans de la menace cyber. Dans un contexte budgétaire contraint, l’agence cherche donc moins à grossir qu’à optimiser son modèle d’action : recours au secteur privé et aux autres services de l’État d’un côté, nouvelles obligations réglementaires de l’autre pour démultiplier son impact.

L’entretien assume aussi un arbitrage que beaucoup d’administrations vivent déjà : on ne peut pas mener au même rythme la simplification des parcours, l’accélération des services numériques et le renforcement de la cybersécurité. REACTIV hiérarchise ces injonctions, quitte à ralentir certains projets numériques. Lorsqu’un arbitrage est nécessaire, la réduction du risque cyber remonte en tête de liste.

Frequently Asked Questions

Qu’est-ce que l’opération REACTIV de l’ANSSI ?

REACTIV, pour réponse et action interministérielles face aux violations de données, est un dispositif lancé le 7 septembre 2026 qui permet à l’ANSSI d’imposer aux ministères des mesures de protection immédiates. Le pouvoir repose sur une demande du Premier ministre plutôt que sur une base légale spécifique.

Quelles sont les échéances de cybersécurité fixées pour fin 2026 ?

La feuille de route 2026-2027 prévoit deux chantiers prioritaires d’ici fin 2026 : l’authentification multifacteur pour les comptes administrateurs et le déploiement d’outils EDR et XDR sur les postes et les serveurs.

Que changera la transposition de la directive NIS 2 en France ?

La transposition de NIS 2 doit donner un fondement juridique stable au rôle d’autorité de l’ANSSI, avec des amendes possibles pour les entreprises et des injonctions pouvant aller jusqu’à la publicité des manquements pour les administrations. La logique annoncée est graduée, avec un avertissement avant toute sanction.