Cyberattaques : la communication de crise absente du plan.

La feuille de route de la sécurité numérique de l'État pour 2026-2027, publiée par le Secrétariat général de la défense et de la sécurité nationale, compte dix chapitres et une quarantaine d'actions datées. Aucune des actions qu'elle énumère ne porte sur la parole publique ni sur l'information des personnes concernées. Ce document éclaire mieux que n'importe quel commentaire pourquoi l'État a mis six semaines à parler du piratage de la Direction générale des Finances publiques. Il ne s'agit pas d'un défaut de volonté : la communication de crise ne figure pas dans le plan.

La communication de crise cyber est la discipline qui organise la parole publique d'une organisation après une intrusion ou une fuite de données : à quel signal parler, qui parle, ce qui se dit et dans quel ordre. Elle se distingue de la réponse technique, qui répare, et de la réponse judiciaire, qui poursuit. Les documents examinés ici montrent que l'État a construit les deux secondes et laissé la première hors de son plan.

Précision de méthode. Cette analyse repose exclusivement sur des documents publics et sur des déclarations faites en conférence de presse, tous liés dans le texte. Elle ne met en cause aucun agent ni aucune équipe technique. Les enquêtes judiciaires sont en cours à la date du 18 août 2026, un audit de l'ANSSI est attendu en septembre, et les éléments chiffrés sont susceptibles d'évoluer.

Ce que l'État savait de ses propres faiblesses, et depuis quand

Commençons par le document que personne ne lit. La feuille de route de la sécurité numérique de l'État 2026-2027, établie au titre de l'instruction générale interministérielle n° 1337, fixe aux ministères des obligations assorties d'échéances précises. Sa lecture révèle l'état réel du dispositif au moment des intrusions de juin et juillet 2026.

Son action 6.c prévoit le déploiement de l'authentification multifacteur des utilisateurs sur l'ensemble des systèmes d'information à enjeux avant le 28 février 2027, et sur l'ensemble des systèmes avant le 28 février 2028. Autrement dit, au moment où les attaquants ont utilisé des identifiants légitimes usurpés, l'authentification forte n'était pas encore une obligation échue.

Son action 8.b prévoit le déploiement de dispositifs avancés de détection des attaques, de type EDR ou XDR, sur l'ensemble des postes de travail et des serveurs d'ici le 31 décembre 2026. Cette échéance éclaire une déclaration faite en conférence de presse le 18 août : selon la directrice générale des Finances publiques, l'attaquant a procédé à des tests manuels avant de les massifier, en restant sous les seuils de détection.

Trois autres actions décrivent une administration qui se met à jour sur des fondamentaux. L'action 2.a demandait aux ministères d'avoir actualisé l'inventaire de leurs systèmes d'information d'ici le 30 juin 2026, ce qui suppose que cet inventaire n'était pas partout à jour. L'action 6.e leur demandait d'avoir supprimé les comptes génériques à la même date. L'action 4.d fixe le remplacement des équipements de sécurité obsolètes au 31 décembre 2026, et celui des autres éléments obsolètes des systèmes à enjeux au 1er mars 2028.

Le document ne masque pas la cause. Il indique explicitement prendre en compte les contraintes budgétaires qui ont pesé sur la mise en œuvre de la feuille de route précédente, et rappelle que les multiples intrusions et fuites de données ayant affecté les ministères en 2025 confirment la persistance de vulnérabilités graves.

Voilà le premier enseignement, et il vaut pour toute organisation. Vos échéances de sécurité sont vos échéances de communication. Si votre plan prévoit l'authentification forte pour dans dix-huit mois, votre communicant doit le savoir aujourd'hui, parce que c'est lui qui devra l'expliquer publiquement le jour où la brèche s'ouvre par là.

Cent postes cyber sur cinq mille trois cents informaticiens

Les moyens ont été chiffrés publiquement le 18 août 2026 par la directrice générale des Finances publiques, Amélie Verdier, lors de la conférence de presse tenue à Bercy.

Cent postes sont dédiés aux sujets cyber sur les 5 300 informaticiens du ministère, soit moins de deux pour cent. Le taux de conformité des systèmes a doublé depuis 2020, passant de 25 % à un peu plus de 50 % : la moitié du parc reste donc non conforme. En 2025, le ministère a enregistré 6 972 incidents et 57 compromissions de comptes.

Sur ce dernier chiffre, faisons le calcul que personne n'a fait : 57 comptes compromis en un an, soit un peu plus d'un par semaine. Si ce chiffre recouvre bien des compromissions avérées, la compromission d'identifiants n'y aurait donc rien d'exceptionnel. Et c'est précisément ce qui rend la séquence de juin instructive : un incident routinier a produit une crise majeure, parce que l'écart entre la fréquence du signal et sa gravité potentielle n'avait été traduit dans aucune procédure de communication.

Le ministre de l'Action et des Comptes publics, David Amiel, a par ailleurs indiqué lors de cette même conférence que l'authentification forte, déjà bien engagée selon lui, serait généralisée à l'ensemble des agents de Bercy d'ici la fin de l'année. Cette échéance est en avance sur celle de la feuille de route interministérielle. Elle signifie aussi qu'à la date du 18 août 2026, la généralisation n'était pas achevée.

Retenez le ratio, pas le chiffre absolu. Deux pour cent des effectifs informatiques affectés à la sécurité est une donnée que tout dirigeant devrait connaître pour sa propre organisation, parce que c'est la première question qu'un journaliste posera. Calculez-la avant qu'on ne vous la demande.

Trois incidents, trois délais, une progression lisible

Le reproche adressé à l'État porte sur les délais. Alignons-les à partir des seuls communiqués ministériels, car ils ne racontent pas ce qu'on croit.

Le communiqué du ministère de l'Éducation nationale du 24 mars 2026 situe l'accès frauduleux au système COMPAS le 15 mars, à la suite de l'usurpation d'un compte externe, et fait état de données concernant environ 243 000 agents, stagiaires ou titulaires. Neuf jours entre l'intrusion et la publication. Un détail mérite l'attention, parce qu'il se répétera : le centre opérationnel de sécurité a été alerté de la diffusion non autorisée des données. La détection s'est faite par la fuite, non par la surveillance.

Le communiqué du 31 juillet 2026 situe l'accès frauduleux au système d'information dédié à la formation des personnels dans la nuit du 25 juillet, indique que le centre opérationnel de sécurité en a été alerté dès le 26, et que l'accès externe a été suspendu dans les heures qui ont suivi. Six jours entre l'intrusion et la publication.

À la DGFiP, le communiqué n° 953 du 14 août 2026 indique que les accès illégitimes de juin et juillet ont été interrompus dès leur détection, mais que les contrôles réalisés à cette occasion n'ont pas permis de détecter qu'ils avaient conduit à des vols de données, en raison de la sophistication de l'attaque. La foire aux questions publiée sur impots.gouv.fr précise que la DGFiP en a eu connaissance le 12 août. Deux jours entre la découverte du vol et la publication.

Neuf jours, puis six, puis deux. Trois points ne font pas une tendance, et ces incidents ne sont pas de nature identique. La série suffit néanmoins à fragiliser la thèse du silence délibéré : sur ces trois cas, l'administration a publié rapidement une fois qu'elle savait, et c'est le fait de savoir qui a pris des semaines.

Le vrai problème est donc en amont de la communication. Le délai fatal n'est pas celui de la parole, c'est celui de la qualification de l'exfiltration. Mesurez cet écart chez vous : entre le moment où vous détectez une intrusion et celui où vous êtes capable de dire si des données sont sorties, combien d'heures ? Si vous ne connaissez pas ce chiffre, vous ne pouvez pas fixer le moment de votre première prise de parole.

Le goulot d'étranglement figure noir sur blanc dans le plan

La feuille de route contient une action qui devrait faire sursauter tout praticien de la gestion de crise. Au chapitre consacré à la supervision et à la réponse aux incidents, son action 8.d demande aux ministères de permettre à leurs centres d'alerte et de réaction aux cyberattaques de partager toute information utile à la gestion d'un incident avec le réseau des centres de l'État, et en premier lieu avec le CERT-FR, sans validation préalable d'autres entités de leur ministère.

Il faut mesurer ce que suggère l'existence d'une telle action. Le document n'explicite pas la pratique antérieure, et l'interprétation qui suit est la mienne : un plan interministériel n'écrit pas qu'il faut autoriser des équipes techniques à transmettre une information d'incident sans validation hiérarchique préalable si cette validation n'était pas, au moins dans certains ministères, la pratique établie. Si cette lecture est exacte, la circulation de l'information d'incident passait par un filtre interne. Le même document précise que ces centres sont à des niveaux de maturité variables et que certains ne sont pas encore tout à fait opérationnels.

Une seconde action va dans le même sens. L'action 1.a demande à chaque ministère de désigner un conseiller chargé des sujets de sécurité du numérique au sein du cabinet du ministre, dans le mois suivant la nomination de celui-ci. Là encore, l'inscription d'une telle obligation laisse penser qu'elle n'était pas partout acquise.

Le mécanisme ainsi décrit serait de nature organisationnelle, non technique. C'est le point aveugle le plus fréquent en communication de crise : on travaille le message et on néglige le circuit qui l'alimente. Quand l'information d'incident doit être validée avant de circuler, elle tend à arriver en haut tardivement et appauvrie. Le décideur qui doit trancher la parole publique reçoit alors un signal affaibli, dont il apprécie mal la gravité.

Auditez donc votre chaîne d'escalade avant vos messages. Combien de validations entre l'analyste qui voit l'anomalie et le dirigeant qui décide de communiquer ? Chaque validation intermédiaire est un délai, et chaque délai deviendra publiquement un soupçon.

Dix chapitres, une quarantaine d'actions, aucune ligne sur la communication de crise

Voici le constat central de cette analyse. Il est vérifiable en quelques minutes par quiconque ouvre le document.

La feuille de route 2026-2027 traite de la gouvernance, de l'homologation des systèmes d'information, de la maîtrise de l'écosystème de prestataires, du maintien en condition de sécurité, de la sécurisation des services exposés sur Internet, de l'authentification et de la gestion des accès, de la sécurité de l'administration des systèmes, de la supervision et de la réponse à incidents, des plans de reprise d'activité et de la transition vers la cryptographie post-quantique.

Elle prévoit de tester les plans de reprise au moins une fois par an. Elle prévoit de tester les sauvegardes des systèmes à enjeux. Elle prévoit qu'en cas d'incident important, le ministère adresse un point de suivi à l'ANSSI, au corps d'inspection et au Premier ministre six mois après les faits.

Aucune de ses actions ne porte sur le communiqué de révélation, sur le porte-parolat, sur le délai d'information des personnes concernées ni sur l'entraînement à la prise de parole sous incertitude. La communication de crise n'y est pas traitée comme une capacité à construire, alors qu'elle est le seul élément du dispositif que le public voit. Un plan qui homologue les systèmes, teste les sauvegardes et organise la remédiation, mais qui ne dit rien de la parole, prépare l'organisation à réparer et la laisse démunie pour s'expliquer.

C'est une dissymétrie que l'on retrouve dans beaucoup d'organisations privées, et elle explique la mécanique observée cet été. Un plan de sécurité qui ignore la communication de crise expose à une séquence désormais familière : une réponse technique correcte, puis une improvisation communicationnelle sous pression, puis des excuses tardives. Le calendrier de l'attaquant s'impose par défaut, faute d'un calendrier concurrent écrit à l'avance.

Ajoutez ce volet à votre plan. Trois pages suffisent : le seuil de déclenchement, le porte-parole désigné, le communiqué type, le rythme des points d'information. C'est le meilleur rapport entre le coût et le risque évité de toute votre politique de sécurité, et cela ne suppose aucun investissement technique. Sur ce que la pratique des cellules réelles enseigne, par différence avec les modèles théoriques, voir ce que le terrain enseigne en 2026.

Les excuses du 18 août, et ce qui les a neutralisées

Le 18 août 2026, lors de la conférence de presse tenue à Bercy, le ministre de l'Action et des Comptes publics a présenté des excuses aux usagers concernés. La formulation mérite d'être analysée, parce qu'elle est techniquement réussie.

Elle est à la première personne du pluriel, sans conditionnel, et elle nomme le préjudice : nous nous excusons, parce que ce qui est arrivé est insupportable pour les Français. Le ministre a également désigné le risque avec justesse en déclarant que le pire ennemi serait la banalisation, l'habitude prise des fuites de données sensibles. Il a appelé à ne pas stigmatiser les agents. Sur les trois critères qui distinguent des excuses d'un regret de façade — sujet assumé, absence de modalisation, désignation du dommage —, le compte est bon.

Deux éléments de la même conférence de presse en ont réduit la portée.

Le premier est une minoration exprimée dans la même séquence : la directrice générale a relativisé le nombre total de personnes touchées en évoquant de possibles nombreux doublons. L'observation est probablement exacte sur le plan technique. Elle est coûteuse sur le plan de la réception, parce qu'on ne s'excuse pas et on ne relativise pas dans la même conférence de presse. L'auditeur fait rarement la part des deux registres, et risque de retenir que l'institution s'excuse tout en discutant le chiffre.

Le second est l'annonce, au cours de cette même conférence, d'une troisième intrusion détectée sur le portail des successions vacantes. Il est préférable d’être franc et de tout dévoiler d'un coup. En effet, il vaut mieux annoncer une mauvaise nouvelle en bloc plutôt que de la répéter trois fois. Mais elle place les excuses et une information nouvelle défavorable dans le même créneau médiatique, où la seconde tend à absorber la première.

La règle opérationnelle est nette. Des excuses exigent leur propre espace. Elles se prononcent d'abord, seules, sans chiffre discuté dans la même phrase et sans révélation concurrente dans la même heure. Si vous devez annoncer un fait nouveau défavorable, faites-le, mais séparez les deux séquences.

« On ne s'excuse pas et on ne relativise pas dans la même conférence de presse. » Laurent VIBERT fondateur et dirigeant de l'agence Nitidis.

Le contre-modèle est public, et il est français

Sur la forme, le communiqué du ministère de l'Éducation nationale du 31 juillet 2026 constitue une référence utilisable telle quelle.

Il a été publié six jours après la détection, et plus de deux semaines avant la revendication d'ampleur du 17 août. Sa première phrase a pour sujet le ministère, présenté comme victime d'une intrusion frauduleuse. Le préjudice précède toute réassurance : l'intrusion a pu conduire à l'exfiltration de données concernant un nombre important d'agents. L'incertitude est assumée sans chiffre avancé. Les actes sont énoncés au passé composé — plainte déposée, ANSSI saisie, CNIL saisie. Le texte se clôt sur une consigne mémorisable : le ministère ne demande jamais par courriel, par téléphone ou par message les identifiants, mots de passe ou coordonnées bancaires.

Une phrase de ce communiqué s'est toutefois retournée, et l'étudier vaut mieux que la reprocher. Le texte précise que le système d'information concerné ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves. Cette formulation est circonscrite : elle ne vaut que pour le système identifié à cette date. Le 17 août, une revendication a fait état de données d'élèves issues d'autres systèmes. Le ministère a publié le 18 août un second communiqué indiquant poursuivre ses expertises techniques et s'engageant à informer individuellement les représentants légaux s'il s'avérait que des élèves sont concernés.

La leçon est contre-intuitive et c'est la plus précieuse du dossier. Le public retient rarement le périmètre d'une réassurance ; il en retient la portée générale. Une phrase littéralement exacte peut donner l'apparence d'un rétropédalage trois semaines plus tard. Écrivez donc « à ce stade, sur le système identifié, nous n'avons pas constaté » plutôt que « ce système ne contient pas ». La première formulation vieillit, la seconde se retourne.

Le courriel de notification est la meilleure pièce du dispositif

Le 17 août au soir, la DGFiP a commencé à notifier individuellement les personnes concernées. Ce courriel mérite d'être étudié de près, parce qu'il est la pièce la plus réussie de toute la séquence — et que presque personne ne l'a relevé.

Il s'ouvre sur une phrase sans échappatoire : « Vous êtes concerné(e) par cet acte de malveillance ». Pas de conditionnel, pas de « susceptible d'avoir été », pas de mise en contexte préalable. Le destinataire sait à la première ligne pourquoi on lui écrit. Le message énumère ensuite les catégories d'informations en cause — identifiant fiscal, état civil, coordonnées, situation fiscale.

Surtout, il ne contient aucun lien. Aucune adresse cliquable, aucun bouton, aucune invitation à se connecter. La DGFiP a par ailleurs publié le modèle de ce message sur son compte public le 18 août, afin que chacun puisse comparer. Ces deux décisions sont excellentes et méritent d'entrer dans votre pratique.

Sa raison est simple. Une notification de fuite constitue l'un des prétextes d’hameçonnage les plus efficaces qui soient : la victime attend un message officiel, elle est inquiète, et elle a de bonnes raisons de cliquer. Selon la presse spécialisée, de faux courriels calqués sur celui de la DGFiP circulaient dès les premiers envois. En bannissant tout lien de son message authentique, l'administration fournit à chacun un critère de tri d'une simplicité totale : un courriel qui vous demande de cliquer n'est pas d'elle.

Un manque subsiste néanmoins, et il est structurel. Il n'existe aucun outil public permettant de vérifier si l'on est concerné, ce qui laisse des millions de contribuables dans l'incertitude et ouvre un espace à de faux vérificateurs frauduleux. Les envois s'échelonnent par ailleurs sur plusieurs jours, par courriel ou par courrier postal, lorsque l'administration ne dispose pas d'adresse électronique : ne pas avoir reçu de message à une date donnée ne signifie donc rien.

Retenez la règle et appliquez-la sans exception. Votre courriel de notification ne contient aucun lien, et vous le dites publiquement avant de l'envoyer. Si vous devez orienter les destinataires vers une page, indiquez-leur de taper eux-mêmes l'adresse. Et si vous ne pouvez pas fournir d'outil de vérification, annoncez le calendrier complet des envois, faute de quoi l'absence de message devient une source d'angoisse supplémentaire.

Ce que vivent réellement les personnes concernées

La communication de crise oublie souvent le destinataire au profit de l'émetteur. Ici, sa situation a trois caractéristiques que tout communicant devrait avoir en tête avant d'écrire une seule ligne.

D'abord, les données en cause ne se réinitialisent pas. Un mot de passe se change en trente secondes ; un revenu fiscal de référence, un quotient familial, une composition de foyer, un taux de prélèvement à la source ne se changent jamais. La réassurance légitime de l'administration — les espaces impots.gouv.fr n'ont pas été compromis, les mots de passe non plus — répond donc à une inquiétude que les personnes concernées n'ont pas. L'inquiétude ne porte pas tant sur l'accès au compte que sur le fait qu'un tiers détienne désormais, de façon irréversible, le portrait financier du foyer.

Ensuite, le préjudice est différé et diffus. Les informations dérobées conservent leur valeur pendant des mois et alimenteront des tentatives d'escroquerie personnalisées : faux remboursement d'impôt, faux conseiller, régularisation fictive. Un escroc disposant du revenu fiscal exact et de l'adresse d'une personne construit un message d'une crédibilité sans rapport avec le phishing de masse. Pour les entreprises, le risque se déplace vers les services comptables.

La CNIL a pour sa part indiqué avoir été notifiée de ces violations et être d'ores et déjà saisie, précisant qu'il n'est pas nécessaire de lui adresser des plaintes individuelles à ce sujet. C'est une clarification utile, et elle illustre un point de méthode : lorsqu'un régulateur est saisi, dites-le publiquement et dites ce que les personnes n'ont pas à faire. Cela réduit le bruit et protège les personnes concernées d'un sentiment d'impuissance.

Cette inquiétude est par ailleurs juridiquement reconnue. Plusieurs cabinets d'avocats organisent déjà des actions collectives, en s'appuyant notamment sur l'article 226-17 du Code pénal, qui réprime le fait de traiter des données personnelles sans mettre en œuvre les mesures de sécurité exigées. Les préjudices invoqués incluent explicitement le sentiment d'insécurité, la perte de contrôle sur ses données et le temps consacré à surveiller ses comptes.

La conséquence pratique est directe. Adressez-vous au risque que les gens redoutent, pas à celui que vous savez écarter. Une phrase de réassurance qui répond à côté produit l'effet inverse de celui recherché : elle signale que l'émetteur n'a pas compris ce qu'il a causé. Et prévoyez, dès le premier communiqué, une réponse à la question « qu'est-ce que je risque dans six mois ».

L'alerte de juin, et la réponse qui lui a été faite

Un élément publié le 14 août par une organisation syndicale referme la démonstration, et il concerne directement la communication.

Dans un communiqué publié le 14 août 2026, Solidaires Finances Publiques indique avoir interpellé la directrice générale des Finances publiques dès juin, à la suite des fuites affectant Tchap et le portail France Services. Le syndicat écrit l'avoir alertée sur des risques de piratage, d'usurpation d'identité ou d'hameçonnage ciblé, et sur la possibilité de nouvelles attaques à très court terme.

Il ajoute, et c'est le point qui nous intéresse, que la DGFiP lui aurait alors répondu que tout était sous contrôle et qu'aucune donnée n'avait fuité.

Deux précautions s'imposent. Ces éléments émanent d'une organisation syndicale, partie prenante du dialogue social, et la réponse de l'administration n'est connue que par le récit qu'elle en fait. Le syndicat lui-même se garde d'établir un lien de causalité entre son alerte et les intrusions survenues quelques semaines plus tard : il demande que la proximité des événements soit examinée, ce qui n'est pas la même chose que de l'imputer.

Sous ces réserves, la séquence a une valeur d'enseignement considérable, et elle est indépendante de la question des responsabilités. Le réflexe de réassurance que l'on observe dans les communiqués publics d'août s'était produit en interne dès juin, avec la même structure : une inquiétude formulée, une réponse qui affirme la maîtrise, et une phrase catégorique sur ce qui n'aurait pas fui alors que rien ne permettait encore de l'établir.

C'est la découverte la plus utile de tout ce dossier pour un dirigeant. La façon dont une organisation répond à une alerte interne préfigure exactement la façon dont elle parlera au public. Une direction qui rassure ses représentants du personnel sans preuve rassurera ses usagers sans preuve. Le communiqué de crise ne se dégrade pas au moment de la crise : il révèle une habitude installée bien avant.

La vérification est à votre portée et elle ne coûte rien. Relisez les trois dernières réponses écrites que votre organisation a adressées à une alerte interne — signalement d'un salarié, question d'un représentant du personnel, remontée d'un auditeur. Comptez les affirmations de maîtrise qu'elles contiennent et les preuves qui les accompagnent. Le rapport entre les deux est le meilleur prédicteur disponible de votre communication de crise future.

« La façon dont une organisation répond à une alerte interne préfigure exactement la façon dont elle parlera au public. » Laurent VIBERT fondateur et dirigeant de Nitidis

L'escalade politique était prévisible, et elle était datable

Dès le 15 août, le président du groupe socialiste au Sénat adressait au président de la chambre haute une lettre demandant une commission d'enquête parlementaire. Son argument n'est pas l'incident, mais la série : la succession d'événements depuis le début de l'année justifierait que le Parlement dispose d'une vision d'ensemble. La lettre précise d'ailleurs que cette succession ne permet pas, à ce stade, de conclure à une défaillance structurelle.

Le 18 août, l'AFP relevait que les services de Bercy étaient sous le feu des critiques, que le piratage posait la question de l'efficacité des contrôles internes, et que l'affaire menaçait de se déplacer sur le terrain politique à quelques semaines de la reprise des discussions budgétaires. Le parquet de Paris a ouvert une enquête, notamment pour extraction frauduleuse de données et association de malfaiteurs.

Ce basculement suit une progression que l'on observe régulièrement, sans qu'elle ait valeur de loi. Un incident isolé se traite en communication technique. Le deuxième incident comparable déplace le sujet vers la gouvernance, et le troisième vers le terrain politique. La bascule dépend alors moins de la gravité de l'événement le plus récent que de son rang dans la série.

Vous pouvez donc la dater à l'avance. Dressez la liste de vos incidents comparables des vingt-quatre derniers mois : c'est la chronologie que vos contradicteurs publieront. Si elle compte trois entrées, votre prochain incident ne sera pas traité comme un incident, et votre dispositif de communication de crise doit être calibré sur ce régime, pas sur le précédent.

Le contexte que le Parlement et la Cour des comptes ont documenté

Ces séquences ne sont pas isolées, et l'alerte est antérieure.

La Cour des comptes a publié le 16 juin 2025 un rapport intitulé « La réponse de l'État aux cybermenaces sur les systèmes d'information civils ». Elle y estime qu'il convient de décliner la stratégie nationale de cybersécurité avec les ressources budgétaires afférentes et une gouvernance interministérielle renforcée, et d'adapter les missions de l'ANSSI. L'alerte précède donc de plus d'un an les séquences de cet été.

Une proposition de résolution tendant à créer une commission d'enquête sur les cyberattaques a par ailleurs été déposée au Sénat le 5 mai 2026. Selon son exposé des motifs, la France serait en 2026 le deuxième pays le plus piraté au monde et le premier en Europe, les notifications de violations de données auprès de la CNIL auraient progressé de 20,6 % en 2024-2025, et le coût pour l'économie nationale serait estimé à 110 milliards d'euros. Ces éléments sont ceux de l'auteure du texte et n'ont pas valeur de constat officiel, mais ils situent le niveau de préoccupation parlementaire.

Enfin, l'exécutif lui-même indiquait le 30 avril 2026, en annonçant un plan de 200 millions d'euros et la création de l'autorité numérique ARIANE, constater en moyenne trois vols de données par jour depuis janvier 2026. Le communiqué du Premier ministre du 17 août 2026, publié à l'issue d'une cellule interministérielle de crise, réaffirme ce plan et annonce un audit de l'ANSSI dont les mesures opérationnelles seront présentées en septembre.

Tirez-en la conclusion qui vous concerne. Quand une juridiction financière, un régulateur ou un rapport parlementaire a publiquement alerté sur une faiblesse, cette alerte deviendra la première pièce du dossier le jour de la crise. Recensez celles qui vous visent, et préparez la réponse à la question « vous étiez prévenus » avant qu'elle ne vous soit posée en direct.

Une asymétrie que le secteur privé ne peut pas répliquer

L'article 33 du règlement général sur la protection des données impose la notification à l'autorité de contrôle dans les 72 heures suivant la prise de connaissance de la violation. L'article 34 impose l'information des personnes concernées lorsque le risque pour leurs droits et libertés est élevé. Les deux obligations sont distinctes et cumulatives.

Le 22 janvier 2026, la CNIL a sanctionné France Travail d'une amende de 5 millions d'euros pour manquement à l'obligation de sécurité prévue à l'article 32, après une intrusion par ingénierie sociale ayant permis l'usurpation de comptes de conseillers. La commission a précisé que le plafond applicable à un établissement public de cette nature est de 10 millions d'euros, le montant n'étant pas déterminé en fonction d'un chiffre d'affaires.

Une entreprise privée dont la feuille de route interne repousserait l'authentification forte à 2028 et la détection avancée à fin 2026, tout en enregistrant plus d'un compte compromis par semaine, ne pourrait opposer aucun de ces éléments à la formation restreinte. Ils constitueraient au contraire le cœur du dossier.

La conclusion pratique est donc inverse de celle qu'on tire d'ordinaire de ces affaires. N'importez pas le calendrier de l'État, importez son meilleur gabarit — le communiqué du 31 juillet — et importez surtout sa méthode de documentation. L'État publie ses échéances, ses retards et ses taux de conformité. Peu d'entreprises en font autant, et c'est pourtant cette documentation qui permet de répondre en trois minutes à un journaliste le jour où tout se déclenche.

La grille à appliquer à votre dispositif

1. Ajouter à votre plan de sécurité le volet de communication de crise qui lui manque

Trois pages ajoutées à votre politique de sécurité : seuil de déclenchement chiffré, porte-parole désigné et suppléant, communiqué de révélation type, rythme des points d'information. C'est le geste au meilleur rendement de toute cette analyse, et il ne coûte rien en investissement technique. Si vous souhaitez le faire accompagner, c'est l'objet même de notre activité de conseil en communication de crise, de l'audit du dispositif à la conduite de cellule.

2. Mesurer le délai entre détection d'intrusion et qualification d'exfiltration

C'est ce délai, et non celui de la parole, qui détermine tout le reste. Chronométrez-le lors de votre prochain exercice. S'il dépasse quarante-huit heures, vous devrez communiquer sous incertitude, parce que vous n'aurez pas le choix.

3. Compter les validations dans votre chaîne d'escalade

De l'analyste qui voit l'anomalie au dirigeant qui décide de parler, combien d'intermédiaires disposent d'un droit de retenue ? La feuille de route de l'État a dû lever explicitement ce verrou. Levez le vôtre par écrit, et nommez qui a l'obligation d'alerter sans filtre.

4. Fixer un seuil de déclenchement indépendant de toute revendication

Intrusion confirmée dont l'exfiltration n'est pas exclue à J+X : on parle. La revendication d'un attaquant ne doit jamais déclencher votre première phrase, faute de quoi vous perdez le choix du moment, du cadrage et du canal.

5. Ne verrouiller aucun périmètre avant la fin des investigations

Toute réassurance porte une réserve temporelle et un périmètre explicites. Formulez chaque phrase en sachant qu'elle sera relue dans trois semaines, à la lumière de ce que vous ignorez encore.

6. Traiter les excuses comme une séquence autonome

Elles se prononcent seules, en premier, sans chiffre discuté dans la même phrase et sans annonce défavorable concurrente dans la même heure. Une minoration exprimée dans la même conférence de presse annule des excuses correctement rédigées.

7. Connaître vos ratios avant qu'on ne vous les demande

Part des effectifs informatiques affectée à la sécurité, taux de conformité du parc, nombre de comptes compromis l'an dernier, échéance de généralisation de l'authentification forte. Ces quatre chiffres seront demandés. Les avoir sous la main change entièrement la tenue d'une prise de parole.

8. Entraîner le porte-parole à la parole technique sous incertitude

Expliquer publiquement l'authentification, l'habilitation et l'exfiltration sans jargon et sans minimisation, en assumant ce qui n'est pas encore établi, est un exercice spécifique. Il se prépare en média training de crise, sur des questions de journalistes réellement documentées.

À quoi ressemble un dispositif de communication de crise réellement prêt

Cette analyse resterait un commentaire si elle ne décrivait pas ce qu'il faut produire. Un dispositif de communication de crise opérationnel tient en quatre livrables, tous rédigés à froid, tous tenant en peu de pages.

Un seuil de déclenchement chiffré, écrit dans la politique de sécurité et connu de l'équipe technique comme de la direction. Un communiqué de révélation type, dont la première phrase est déjà rédigée, avec ses variantes selon que l'exfiltration est établie, probable ou exclue. Un porte-parole désigné et un suppléant, entraînés à la parole technique sous incertitude. Un modèle de notification individuelle sans aucun lien, accompagné du calendrier d'envoi que vous publierez.

S'y ajoutent deux vérifications que les organisations conduisent rarement. Le chronométrage du délai entre détection d'intrusion et qualification d'exfiltration, mesuré lors d'un exercice réel. Et le décompte des validations hiérarchiques entre l'analyste qui voit l'anomalie et le dirigeant qui décide de parler.

C'est le contenu de l'audit de dispositif que Nitidis conduit auprès des comités de direction, des directions de la communication et des établissements publics, en une demi-journée pour les quatre livrables. Le cabinet intervient également sur la conduite de cellule de crise et la simulation à chaud : c'est le cœur de son métier de conseil en communication de crise. Le module d'entraînement du porte-parole relève, lui, du média training de crise.

Un dernier mot sur la formule employée le 18 août à Bercy : le pire ennemi serait la banalisation. Elle est juste, et elle vaut au-delà de l'État. La banalisation ne vient pas de la répétition des attaques, qui est désormais un fait acquis. Elle vient de la répétition des mêmes séquences de communication. Une organisation qui découvre, s'excuse et promet trois fois de suite avec les mêmes mots cesse d'être crue à la troisième. C'est la raison d'être de la communication de crise : faire en sorte que la quatrième fois ne ressemble pas aux trois précédentes.

À retenir

La feuille de route de la sécurité numérique de l'État 2026-2027 (SGDSN) compte dix chapitres et une quarantaine d'actions datées, dont aucune ne porte sur la communication de crise ni sur l'information des personnes concernées.
Selon ce document, l'authentification multifacteur est attendue sur l'ensemble des systèmes à enjeux avant le 28 février 2027 (action 6.c), et la détection avancée de type EDR ou XDR sur tous les postes et serveurs d'ici le 31 décembre 2026 (action 8.b).
Le même document indique prendre en compte les contraintes budgétaires qui ont pesé sur la mise en œuvre de la feuille de route précédente.
Son action 8.d demande aux ministères d'autoriser leurs centres de réponse à partager l'information d'incident avec le CERT-FR sans validation préalable d'autres entités de leur ministère.
Selon la directrice générale des Finances publiques le 18 août 2026, 100 postes sont dédiés au cyber sur les 5 300 informaticiens de Bercy, le taux de conformité est passé de 25 % à un peu plus de 50 % depuis 2020, et 6 972 incidents ainsi que 57 compromissions de comptes ont été enregistrés en 2025.
Les délais de publication observés sur trois incidents ministériels sont de neuf jours en mars, six en juillet et deux en août. Le délai déterminant paraît être celui de la qualification de l'exfiltration, non celui de la décision de communiquer.
Les excuses présentées le 18 août 2026 sont correctement formulées. Une minoration du nombre de victimes exprimée dans la même conférence de presse en a réduit la portée.
Le communiqué de l'Éducation nationale du 31 juillet 2026 constitue un gabarit utilisable, à une réserve près : ne jamais verrouiller un périmètre que les investigations n'ont pas fini de couvrir.
Le courriel de notification envoyé par la DGFiP à partir du 17 août ne contient aucun lien, ce qui donne aux destinataires un critère simple pour identifier les faux messages qui l'imitent déjà.
Les données en cause ne se réinitialisent pas. Une réassurance portant sur les mots de passe répond à une inquiétude que les personnes concernées n'ont pas.
Le basculement d'un dossier technique vers le terrain politique dépend du rang de l'incident dans la série, non de sa gravité propre.
Selon Solidaires Finances Publiques, une alerte sur les risques d'usurpation d'identifiants avait été adressée à la direction générale dès juin, et il lui aurait été répondu que tout était sous contrôle. Le syndicat n'en tire pas de lien de causalité et demande que la proximité des événements soit examinée.
La manière dont une organisation répond à une alerte interne préfigure la manière dont elle s'adressera au public.

Questions fréquentes

Qu'est-ce que la communication de crise cyber ?

C'est la discipline qui organise la parole publique d'une organisation après une intrusion informatique ou une fuite de données. Elle définit le seuil de déclenchement de la première prise de parole, le porte-parole désigné, le contenu et l'ordre du communiqué de révélation, les modalités de notification aux personnes concernées et le rythme des points d'information. Elle se distingue de la réponse technique, qui répare le système, et de la réponse judiciaire, qui poursuit les auteurs. Sa spécificité tient à l'obligation de s'exprimer sous incertitude : l'ampleur exacte d'une exfiltration n'est généralement pas établie au moment où il faut parler.

Pourquoi l'État met-il autant de temps à communiquer après une fuite de données ?

Le délai s'explique d'abord par la détection, non par la décision de parler. Selon le communiqué n° 953 du ministère de l'Action et des Comptes publics du 14 août 2026, les accès illégitimes à la DGFiP ont été détectés et coupés en juin et juillet, mais les contrôles n'ont pas permis d'établir qu'il y avait eu extraction de données. La foire aux questions publiée sur impots.gouv.fr indique que la DGFiP en a eu connaissance le 12 août. S'y ajoutent deux facteurs documentés par la feuille de route de la sécurité numérique de l'État 2026-2027 : elle ne comporte aucune action relative à la parole publique, et son action 8.d a dû autoriser explicitement les centres de réponse ministériels à transmettre l'information d'incident sans validation préalable interne.

Quels moyens l'État consacre-t-il à la cybersécurité de ses systèmes ?

Le 30 avril 2026, le Gouvernement a annoncé le déblocage de 200 millions d'euros, la création d'une autorité numérique de l'État nommée ARIANE et un objectif de 5 % des budgets numériques ministériels consacrés au cyber dès 2027. Au niveau d'un ministère, la directrice générale des Finances publiques a indiqué en conférence de presse le 18 août 2026 que 100 postes sur 5 300 informaticiens étaient dédiés aux sujets cyber, et que le taux de conformité des systèmes atteignait un peu plus de 50 %, contre 25 % en 2020.

Quel délai le RGPD impose-t-il pour communiquer après une violation de données ?

L'article 33 du règlement (UE) 2016/679 impose au responsable de traitement de notifier la violation à l'autorité de contrôle dans les 72 heures suivant la prise de connaissance de celle-ci. L'article 34 impose l'information des personnes concernées dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Le délai court à compter de la prise de connaissance, non de la date de l'intrusion.

Combien de personnes sont concernées par la fuite de données de la DGFiP ?

Le communiqué n° 953 du 14 août 2026 fait état de 678 000 particuliers et professionnels. Lors de la conférence de presse du 18 août, la DGFiP a précisé que la première intrusion concernait 350 000 particuliers et 250 000 professionnels, et que la seconde, relative au cadastre, concernait 433 000 personnes à ce stade des investigations. La directrice générale a indiqué que le total pouvait comporter de nombreux doublons. Une troisième intrusion, sur le portail des successions vacantes, a été annoncée le même jour et présentée comme de bien moindre ampleur.

Faut-il communiquer avant d'avoir établi l'ampleur d'une fuite de données ?

Oui, dès lors que l'intrusion est confirmée et que l'exfiltration n'est pas exclue. Un premier communiqué peut distinguer ce qui est établi, ce qui reste en cours d'investigation et la date du prochain point d'information. Le communiqué du ministère de l'Éducation nationale du 31 juillet 2026 en fournit un exemple : il annonce une exfiltration possible concernant un nombre important d'agents, sans avancer de chiffre, et indique que les investigations se poursuivent pour établir le périmètre exact.

Faut-il indiquer dans un communiqué ce qui n'a pas été compromis ?

Oui, mais après l'énoncé du préjudice, dans un paragraphe distinct, et avec une réserve temporelle et un périmètre explicites. Une réassurance catégorique portant sur un périmètre encore en cours d'investigation se retourne dès qu'un élément nouveau apparaît, même lorsque la phrase initiale était littéralement exacte, car le public retient la réassurance et non le périmètre auquel elle s'applique.

Comment présenter des excuses après une fuite de données ?

À la première personne, sans conditionnel, en nommant le préjudice subi, et dans une séquence autonome. Les excuses présentées le 18 août 2026 par le ministre de l'Action et des Comptes publics remplissent les trois premiers critères. Leur portée a été réduite par deux éléments présents dans la même conférence de presse : une minoration du nombre de personnes concernées et l'annonce d'une nouvelle intrusion. Une minoration exprimée dans le même temps qu'une excuse annule l'effet de cette dernière.

Comment répondre à une alerte interne sur un risque de sécurité ?

Sans affirmation de maîtrise non étayée. Une réponse qui indique que la situation est sous contrôle et qu'aucune donnée n'a fuité engage l'organisation sur un fait qui n'est généralement pas établi à ce stade. Il est recommandé d'accuser réception de la communication, de préciser ce qui a été examiné et ce qui reste à examiner, et de convenir d’une date de retour. Cette exigence n'est pas seulement interne : la manière dont une organisation répond à ses représentants du personnel préfigure la manière dont elle s'adressera au public le jour d'un incident.

Comment rédiger le courriel de notification aux personnes concernées ?

Sans aucun lien cliquable, et en l'annonçant publiquement avant l'envoi. Une notification de violation de données constitue l'un des prétextes de hameçonnage les plus efficaces qui soient : la personne attend un message officiel et a de bonnes raisons de cliquer. Le courriel envoyé par la DGFiP à partir du 17 août 2026 applique ce principe et s'ouvre sur une phrase directe indiquant au destinataire qu'il est concerné, sans conditionnel. Il convient également d'annoncer le calendrier complet des envois, faute de quoi l'absence de message devient une source d'inquiétude supplémentaire.

Que risquent concrètement les personnes dont les données fiscales ont fuité ?

Le risque principal est le hameçonnage ciblé et l'usurpation d'identité, non l'accès frauduleux au compte fiscal. La DGFiP indique que les espaces impots.gouv.fr et les mots de passe n'ont pas été compromis. En revanche, un escroc disposant du revenu fiscal de référence, de l'adresse et du numéro de téléphone d'une personne peut construire des messages d'une crédibilité sans rapport avec le hameçonnage de masse, et ces données conservent leur valeur pendant des mois. Aucun outil public ne permet de vérifier si l'on est concerné : tout site le proposant doit être considéré comme frauduleux.

Une administration publique peut-elle être sanctionnée par la CNIL après une fuite de données ?

Oui. Le 22 janvier 2026, la CNIL a sanctionné France Travail d'une amende de 5 millions d'euros pour manquement à l'obligation de sécurité prévue par l'article 32 du RGPD. La commission a indiqué que le plafond applicable à un établissement public de cette nature est de 10 millions d'euros, le montant n'étant pas déterminé en fonction d'un chiffre d'affaires.

Sources

Les chiffres relatifs aux moyens de Bercy — effectifs cyber, taux de conformité, nombre d'incidents et de compromissions en 2025 — proviennent de déclarations orales faites en conférence de presse le 18 août 2026 et rapportées par la presse spécialisée. Ils ne figurent dans aucun communiqué écrit à la date de publication du présent article. Le calcul d'un compte compromis par semaine est une déduction arithmétique de l'auteur à partir du chiffre de 57 compromissions annoncé pour 2025.

Article rédigé par Laurent Vibert, fondateur de Nitidis, ancien porte-parole et directeur de la communication d'une organisation de 8 500 collaborateurs. Situation arrêtée au 18 août 2026. Les enquêtes judiciaires et l'audit demandé à l'ANSSI étant en cours, les éléments chiffrés sont susceptibles d'évoluer. Les volumes attribués aux auteurs des revendications sont des affirmations d'attaquants et non des bilans officiels.