Cette commission  aura pour objectif d’analyser les causes, les conséquences et les responsabilités en la matière, dans un gouvernement qui enchaîne les crises cyber depuis quelques mois. Une autre initiative similaire a été annoncée au Sénat.

Philippe Latombe, Député de 

999

Comment tirer des enseignements des cyberattaques survenues ces derniers mois au sein des services publics ? Pour analyser et comprendre la situation, le député Philippe Latombe  a déposé, le 27 août, une proposition de résolution initiant la création d’une commission d’enquête sur le sujet, alors qu’il vient de boucler un rapport sur les vulnérabilités numériques de la France. Comme le rappelle le député dans son exposé des motifs, le gouvernement fait face, depuis quelques mois, à un raz-de-marée de cyberattaques visant les données personnelles de citoyens ou d’entreprises françaises.  

Une des dernières en date, ciblant la direction générale des finances publiques (DGFiP), a vu s’échapper dans la nature des données fiscales, cadastrales et de succession dont le ministère de l’Économie était garant de la protection. Outre cette crise, jugée particulièrement grave, la liste est longue : fuite de données à l'Agence nationale  des titres sécurisés (ANTS), intrusion au sein du ministère de l’Intérieur fin 2025. Pour la plupart, ce sont des services opérés par des ministères régaliens qui trinquent. L’Éducation nationale, entre autres, apparaît également parmi les services les plus durement touchés par ces assauts, qui ne sauraient être considérés comme de simples incidents techniques, affirme le député démocrate. 

La succession de ces incidents  est d’autant plus préoccupante qu’elle concerne des fonctions administratives très différentes. Les finances publiques, l’identité et les titres sécurisés, l’éducation, l’emploi et la protection sociale ne reposent pas sur les mêmes applications, ni sur les mêmes catégories de données. Leur vulnérabilité successive invite donc à dépasser l’analyse de chaque incident pris isolément, afin d’examiner les éventuelles fragilités communes de la sécurité numérique de l’État, note le député, familier des sujets numériques. 

Il envisage de consacrer cette commission à plusieurs aspects de la cybersécurité de l’État, à commencer par sa gouvernance. La multiplicité des administrations, agences, opérateurs et systèmes d’information peut rendre difficile l’identification d’une responsabilité claire en matière de cybersécurité, explique le député. Il importe donc d’établir précisément la répartition des compétences entre les administrations concernées, les responsables de la sécurité des systèmes d’information, les directions informatiques, les autorités de contrôle et les différents organismes compétents en matière de cyberdéfense  et de protection des données.

Outre cette question centrale de la gouvernance, les sujets ayant vocation à être abordés sont nombreux : l’efficacité des dispositifs d’identification, là où plusieurs intrusions semblent s’être déroulées grâce à des comptes compromis, la gestion des vulnérabilités, la sécurité des systèmes traitant les données les plus sensibles, la capacité de détection des administrations, mais aussi les moyens humains, techniques et budgétaires consacrés à la cybersécurité au sein de l’État. La question de la responsabilité, particulièrement scrutée depuis la crise de la DGFiP, demeure un point de tension entre l’État et ses administrés. 

La commission devra déterminer si les incidents relèvent principalement de défaillances ponctuelles propres aux systèmes concernés, ou s’ils révèlent des vulnérabilités communes et structurelles dans l’organisation, la gouvernance, la sécurisation et la supervision des systèmes d’information publics , propose Philippe Latombe. La commission pourra, enfin, formuler des propositions pour renforcer la cybersécurité de l’État.