Julia Sieger : Comme je vous le disais en introduction, le Sénat est l’un des partenaires institutionnels de cette journée et ce, d’ailleurs, depuis le tout début de l’aventure. Mesdames et Messieurs, je vous prie d’accueillir Catherine Morin-Desailly, sénatrice, vice-présidente de la Commission des affaires européennes et membre du groupe Numérique du Sénat.
Merci pour votre présence parmi nous, Madame la ministre.
Catherine Morin-Desailly : Merci. Merci pour cet accueil.
Mesdames et Messieurs les présidents et dirigeants, Mesdames et Messieurs, il y a quelques semaines, 15 millions de Français ont vu leurs données médicales les plus intimes s’évaporer dans la nature [1]. Quinze millions ! Des noms, des adresses, des diagnostics, des annotations de médecins sur la vie privée de patients qui faisaient confiance à leurs médecins, confiance au système qui traite leur vie privée. Cette confiance a été trahie, non pas par négligence, mais par une menace qui s’est hissée au rang de défi systémique, aujourd’hui, pour nos sociétés. Il ne se passe pas une semaine sans qu’il y ait des services, des administrations, des structures attaquées.
Cette menace se joue dans vos datacenters, dans vos systèmes d’information, dans les réseaux de vos sous-traitants. Cela provoque des dommages bien réels, dans la vie bien réelle de millions de nos concitoyens qui peuvent être légitimement inquiets. Aujourd’hui, plus besoin d’être une cible pour être une victime, il suffit tout simplement d’avoir une adresse IP.
C’est donc pour parler de ce défi, de notre capacité collective à y répondre et de ce que nous, parlementaires, régulateurs, entreprises, devons construire ensemble, que nous sommes réunis durant cette journée riche d’expériences et de partages du Predictive Cyber Day proposée par Thierry Happe, fondateur de ce Predictive Cyber Lab [2] que je veux saluer.
Je remercie à distance notre ministre Anne Le Hénanff, chargée de l’intelligence artificielle et du Numérique avec laquelle, au Parlement, nous entretenons pratiquement des relations quotidiennes pour parler de tous ces sujets. Elle a énoncé ce qu’était la stratégie nationale de cybersécurité 2026-2030 avec les projets de loi en cours. J’y reviendrai tout à l’heure.
Le gouvernement s’est donc mobilisé sur cette urgence. Le Parlement, je tiens à le dire, que je représente à travers le Sénat, est lui-même très mobilisé et de longue date, en tout cas le Sénat l’est de très longue date. Dès 2014 j’alertais, à titre personnel, sur la dépendance technologique de la France dans un rapport intitulé « L’Union européenne, colonie du monde numérique ? » [3]. À l’époque, je dois dire que beaucoup souriaient mais les événements, hélas, nous ont donné raison et ce, douloureusement.
Depuis, il y a eu un remarquable chemin parcouru, je tiens à le dire, notamment sous l’impulsion de Thierry Breton, commissaire européen. Il faut bien le dire, c’est sous son commissariat que se sont mis en place un certain nombre de textes de manière assez rapprochée et accélérée. Je pense notamment au fameux triptyque DMA [Digital Markets Act], DSA [Digital Services Act], IA Act, qui a permis de nous doter d’une législation enfin ad hoc, textes d’ailleurs approuvés à la quasi-unanimité du Parlement européen. Certains de ces textes, notamment le DSA, ont été traduits dans notre droit français, je pense notamment à la loi SREN [4], loi pour sécuriser et réguler l’espace numérique, qui, en mai 2024, a permis au Parlement de débattre. J’ai d’ailleurs eu l’honneur de présider cette commission spéciale au Sénat qui a posé les premiers jalons d’une régulation du marché et des services numériques ancrée, bien entendu, dans les valeurs européennes dont la protection des données, la lutte contre les contenus illicites, avec la mise en place d’un certain nombre de dispositifs. Tout cela est en cours d’application et aussi déjà en cours d’évaluation.
Puis il y a eu ce texte qu’évoque la ministre, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui est la transposition de NIS 2 [Network and Information Security 2, concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité], mais aussi de REC [Résilience des Entités Critiques] et de DORA [Digital Operational Resilience Act, ayant comme but d’accroître la résilience opérationnelle numérique des organisations]. Je tiens à dire que nous avons adopté ce texte Résilience au Sénat, en mars 2025, après des mois de travaux de notre commission spéciale à laquelle j’ai activement participé avec mon collègue Olivier Cadic [5]. Ce texte étend la protection à plus de 15 000 entités contre 500 auparavant, le texte donne aussi à L’ANSSI [Agence nationale de la sécurité des systèmes d’information] des pouvoirs renforcés, impose désormais des obligations claires de déclaration d’incidents et prévoit des sanctions crédibles. Nous tenons à ce texte.
Nous tenons à cette stratégie nationale de cybersécurité que le Premier ministre devra d’ailleurs désormais élaborer.
Nous tenons aussi à accompagner les collectivités, c’est le cœur de métier du Sénat que de les défendre. Ce sont quelque 1500 mairies et intercommunalités, également toutes les structures qui leur sont afférentes qui seront en première ligne et qui n’ont pas non plus toujours les moyens humains du CAC 40 pour appliquer toutes ces nouvelles dispositions.
C’est un cadre législatif qui est en attente, la ministre l’a bien dit. Nous ne cessons de l’interpeller sur le calendrier qui a pris beaucoup de retard, et nous espérons une inscription d’ici l’été.
Nous savons que ce cadre législatif, aussi ambitieux soit-il, n’aurait, par contre, aucune valeur sans vous, sans les femmes et les hommes, qui, dans vos organisations, incarnent chaque jour cette exigence de sécurité :
- les responsables de la sécurité des systèmes d’information qui tiennent leur poste dans l’ombre, d’ailleurs souvent sans les moyens qu’ils méritent ;
- les équipes techniques qui répondent à 3 heures du matin quand une alerte se déclenche ;
- les dirigeants qui, de plus en plus nombreux, ont compris que la cybersécurité n’est pas toujours qu’un coût, mais une condition de survie et un avantage concurrentiel.
Je veux leur rendre hommage ce matin, au nom de mes collègues. Ce que vous faites compte et ce que vous construisez est essentiel à la résilience de notre pays.
Je le disais il y a quelques instants, la France accuse quand même un retard qui n’est plus tout à fait acceptable. Cette directive devait être transposée avant le 17 octobre 2024. Vous vous rendez compte ? Nous sommes en mars 2026 et 20 États membres sur 27 ont déjà franchi cette étape alors que nous ne l’avons pas encore fait. Nous attendons donc l’inscription à l’Assemblée nationale. Ce n’est pas un retard de contenu, je l’ai dit, nous avons fait notre travail, c’est un retard politique, je le dis comme je le pense, causé par un désaccord sur un seul article, le fameux article 16 bis qui interdit d’imposer aux messageries chiffrées l’installation de portes dérobées. Je veux être claire sur ce point, devant vous, chefs d’entreprises et responsables de sécurité, les portes dérobées, ce qu’on appelle les backdoors en bon anglais, quelle que soit l’intention qui les motive, aussi légitime soit-elle en matière de lutte contre la criminalité, on pense notamment aussi au terrorisme et au narcotrafic, affaiblissent structurellement, qu’on le veuille ou non, la sécurité de tous. Elles créent des vulnérabilités que l’on ne peut pas refermer à la demande : une porte dérobée ne peut pas rester fermée pour les uns et ouverte pour les autres, c’est mathématiquement, cryptographiquement impossible. Donc protéger le chiffrement, c’est protéger vos communications d’entreprise, vos secrets industriels, vos transactions financières, la confidentialité de vos conseils d’administration, tout ce qui fait la valeur et la confiance que vous avez construite. Nous ne pouvons donc pas d’un côté appeler collectivement à hausser le niveau de cybersécurité et, de l’autre, fragiliser délibérément les fondations cryptographiques sur lesquelles repose cette sécurité. C’est pourquoi le texte doit être voté sans attendre. La CSNP [Commission Supérieure du Numérique et des Postes] vient de le rappeler avec force, encore une fois le 18 mars dernier [6] et je m’associe pleinement à cet appel depuis cette tribune devant vous.
Parlons de demain, parce que transposer NIS 2, aussi urgent que ce soit, n’est qu’un point de départ, comme l’a dit fort justement la ministre par ailleurs.
Les défis qui se présentent devant nous sont d’une ampleur inédite. Ils appellent une réponse que ni le législateur seul, ni les entreprises seules ne peuvent apporter. C’est dans cette complémentarité que réside notre force. Je veux en identifier quelques axes qui me semblent décisifs pour avancer ensemble.
Tout d’abord, la sécurité de la chaîne d’approvisionnement numérique. NIS 2 élargit considérablement le périmètre des entités concernées et la commission spéciale de l’Assemblée nationale a eu raison d’y inclure les éditeurs de logiciels. Vous savez mieux que quiconque que la menace entre souvent par un sous-traitant, un prestataire ou un fournisseur de cloud, l’informatique en nuage. La conformité réglementaire ne peut donc plus s’arrêter à vos frontières juridiques. Elle doit irriguer l’ensemble de votre chaîne de valeur numérique et c’est un travail de fond que vous êtes les mieux placés pour piloter. Premier point.
Deuxième point, la compétence humaine et j’insiste sur humaine. Avec mon collègue Olivier Cadic nous avons interpellé le Premier ministre pour que la montée en compétences numériques soit déclarée grande cause nationale 2026. Notre appel avait eu lieu en 2025. Pour 2026, c’est un peu raté, mais peut-être pour 2027 ! Pour moi ce n’est pas un slogan, je le demande depuis plusieurs années. Chaque collaboratrice, chaque collaborateur de votre entreprise, pas seulement votre RSI [Responsable du système d’information], est un maillon de votre chaîne de sécurité. Former, sensibiliser, entraîner, c’est un investissement de souveraineté. À cet égard, je veux dire aussi un mot particulier sur les femmes dans la cybersécurité. Elles représentent aujourd’hui moins de 20 % des professionnels du secteur. Je pense que c’est un gâchis de talents que nous ne pouvons plus nous permettre. D’ailleurs, les entreprises qui investissent dans la mixité de leurs équipes cyber ne le font pas par obligation, elles le font parce que la diversité des regards renforce, on le sait, c’est démontré, la robustesse des systèmes, et j’y crois profondément.
Troisième point, la résilience comme culture partagée. L’objectif de NIS 2 n’est pas d’empêcher toutes les cyberattaques, personne ne peut s’y engager, c’est d’être capable de tenir, de continuer à fonctionner, de rebondir après un incident. Cette résilience se prépare en temps de paix, elle se teste, elle s’entraîne, elle se construit dans la durée en associant les équipes dirigeantes, les métiers et les équipes techniques autour d’une culture commune du risque numérique. Encore une fois, le législateur peut fixer le cadre et les obligations, mais c’est à vous, dans vos organisations, de lui donner clarté et réalité opérationnelle.
Enfin, parce que nous sommes tous Français et Européens, il y a la question de la souveraineté technologique et de notre politique industrielle. Les choix d’infrastructures, de clouds, de messageries, d’outils de cybersécurité ont des conséquences, on le sait, géopolitiques qui dépassent le seul périmètre de vos entreprises. Choisir des solutions qui restent sous juridiction européenne, en tout cas immunes aux lois extraterritoriales, soutenir les acteurs de la filière française européenne de cybersécurité, ce n’est pas du protectionnisme, c’est une impérieuse nécessité, c’est également stratégique. Sur ce terrain, le législateur et les grandes entreprises ont tout intérêt à avancer de concert et également à mobiliser la commande publique pour atteindre cet objectif.
Nous sommes donc, Mesdames et Messieurs, à un moment charnière. Nous disposons tous de talents, le talent de nos entreprises, de nos chercheurs, de nos institutions. Nous pouvons tous être un acteur majeur de la cybersécurité mondiale. Je tiens à insister aussi sur le fait nous avons d’excellentes autorités indépendantes, je pense à l’ANSSI que je veux saluer, je pense aussi à la CNIL[Commission nationale de l’informatique et des libertés], je pense à VIGINUM [Service de vigilance et de protection contre les ingérences numériques étrangères]. Nous avons un tissu industriel remarquable, des grands groupes capables d’investir massivement, des ETI [Entreprises de taille intermédiaire] agiles, des startups innovantes, je le dis au lendemain du forum INCYBER de Lille [Forum International de la Cybersécurité], qui font rayonner la French Tech dans ce domaine à travers toute l’Europe. Nous avons aussi une tradition juridique. L’Europe est fer de lance de cette régulation, même si elle est parfois critiquée, mais c’est important.
Ce qui nous manque encore, sans doute collectivement, c’est la cohérence entre l’ambition affichée, je tiens à le dire, et les actes législatifs concrets, entre les discours sur la souveraineté et les choix technologiques du quotidien sur lesquels il faut accélérer, entre la conscience du risque et aussi les budgets réellement alloués à la protection. Combler cet écart, c’est le travail commun qui nous attend, il ne peut se faire qu’en partenariat étroit.
Le Parlement, je tiens à le redire devant vous, s’efforce de construire un cadre, de fixer des obligations, de défendre des valeurs qui fondent notre espace numérique. C’est aussi une question de civilisation et de devenir.
Vos entreprises par vos investissements, vos innovations, vos pratiques, les femmes et les hommes que vous formez, que vous engagez font vivre cette ambition. C’est dans cette articulation, cette coconstruction permanente entre régulateurs et acteurs économiques que nous ferons la différence face aux menaces qui nous attendent.
J’ai été assez bavarde, mais l’enjeu en valait la peine.
Je tiens à conclure en saluant Thierry Happe, fondateur du Predictive Cyber Lab, qui participe activement, avec son équipe et avec vous, à cette cause décisive. Je veux vraiment saluer, encore une fois, cette magnifique initiative qui, finalement, nous fait approcher la cyber-résilience et la cybersécurité d’une autre façon, qui mobilise les hommes et les femmes qui s’en préoccupent.
J’espère que cette journée qui nous rassemble sera une nouvelle fois fructueuse, je n’en doute pas une seule seconde. Elle nous permettra des échanges et également de progresser sur les propositions que nous avons à faire ensemble.
Bonne journée à toutes et à tous.
[Applaudissements]