Des cyberattaques étatiques coordonnées, appuyées par des relais criminels sur le sol français : Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), demande de s’y préparer. Il l’explique en effet dans un entretien accordé à La Tribune en marge du Forum InCyber de Lille, publié le 2 avril 2026. Son scénario associe ces attaques à des sabotages et à une escalade militaire.
Pour un DPO ou un dirigeant de collectivité, cet avertissement a une suite pratique. Votre analyse de risques intègre-t-elle une attaque destructive, et pas seulement un rançongiciel ou une fuite ?
Des cyberattaques étatiques déjà observées en Europe
Le Panorama de la cybermenace 2025, publié par l’ANSSI le 11 mars 2026, décrit des opérations d’espionnage menées par des attaquants réputés russes et chinois. Ces intrusions peuvent permettre un pré-positionnement latent et durable dans les réseaux. Autrement dit, l’attaquant s’installe sans agir, puis attend. En cas de crise géopolitique, cet accès sert ensuite au sabotage.
Dans l’éditorial de ce Panorama, Vincent Strubel rappelle un précédent. Fin 2025, une série d’attaques coordonnées à visée destructive a ciblé les infrastructures électriques polonaises. Il y voit « une première pour un État membre de l’Union européenne ». Ce cas donne donc corps au scénario d’attaques dites hybrides, aux effets concrets sur les infrastructures critiques.
De son côté, le Panorama relève une érosion des frontières entre acteurs étatiques et cybercriminels. Les seconds adoptent des pratiques jusque-là propres aux premiers. Par conséquent, la distinction entre cybercriminalité et cyberguerre devient ténue. Selon le directeur général de l’ANSSI, la menace touche ainsi l’ensemble du tissu économique et social, des grandes entreprises aux collectivités et aux PME.
Face aux cyberattaques étatiques, la stratégie nationale 2026-2030
Le gouvernement a dévoilé fin janvier 2026 sa stratégie nationale de cybersécurité pour 2026-2030. Le document compte cinq axes et quatorze objectifs. Il prévoit d’abord de renforcer la résilience cyber de la Nation. Ensuite, il mobilise les acteurs privés dans la cyberdéfense pour entraver l’expansion de la menace. Enfin, elle vise à garder la maîtrise de la sécurité des fondements numériques du pays.
Vol de données : Vincent Strubel dénonce une part de bluff
Dans le même entretien, Vincent Strubel observe une bascule des cybercriminels du rançongiciel vers le vol de données, « plus facile à faire, plus difficile à contrer ». Il pointe toutefois « une forme d’exagération » : « Il y a parfois du bluff pur et simple : des revendications non avérées, ou des données déjà présentes sur le dark web et simplement réutilisées. »
Les chiffres du Panorama confirment d’ailleurs cet écart. L’ANSSI a été informée en 2025 de 196 incidents d’exfiltration de données, contre 130 en 2024. Pourtant, elle n’a pu confirmer que 80 revendications parmi celles portées à sa connaissance. Le directeur général décrit une volumétrie globale stable, « un plateau haut », dont les fuites de données représentent 15 %.
Ces nuances ne réduisent pas la charge des DPO. Selon le baromètre 2026 des fuites de données personnelles du Forum InCyber, établi à partir des données ouvertes de la CNIL, 8 613 violations ont été notifiées à la CNIL entre septembre 2024 et septembre 2025. Un an plus tôt, le total atteignait 5 919, soit une hausse de 45 %.
NIS 2 et RGPD : les obligations des organismes
La transposition de la directive NIS 2 en France a pris du retard : le projet de loi reste en discussion au Parlement, rappelle Le Monde Informatique. À terme, le texte élargira nettement le périmètre des entités soumises à des obligations de cybersécurité. Collectivités, établissements de santé et PME classées « entités importantes » devront gérer leurs risques cyber de façon proportionnée. L’ANSSI invite donc les organisations concernées à s’y préparer dès maintenant.
En attendant, le RGPD s’applique déjà. Son article 32 impose d’évaluer le risque et de déployer des mesures de sécurité adaptées : chiffrement, résilience des systèmes, capacité de restauration des données. De plus, les articles 33 et 34 encadrent la notification à la CNIL et l’information des personnes concernées après un incident.
Préparer votre organisme aux cyberattaques étatiques
Commencez par actualiser l’analyse de risques avec un scénario d’attaque étatique visant la disponibilité de vos systèmes. Une attaque destructive ne vole pas forcément de données. Elle peut en revanche détruire des dossiers de patients ou d’usagers. Or la destruction ou la perte de données constitue aussi une violation au sens de l’article 4 du RGPD.
Testez ensuite vos plans de continuité (PCA) et de reprise d’activité (PRA), en particulier dans les secteurs critiques. Cloisonnez les réseaux, gardez des sauvegardes déconnectées et surveillez les flux. Préparez aussi des modèles de notification pour la CNIL et pour les personnes concernées : ils permettent de tenir le délai de 72 heures.
Pour ces modèles, notre tutoriel pour notifier une violation de données personnelles reprend le formulaire de la CNIL. Pour articuler dépôt de plainte et notification, lisez notre article sur la plainte après une cyberattaque et la notification à la CNIL. Les collectivités trouveront aussi des points de contrôle dans notre analyse de la cyberattaque de la DGFiP.
Enfin, présentez ce scénario à la direction. La décision d’investir dans la sécurité relève de la gouvernance de l’organisme, et le DPO comme le RSSI doivent la documenter.
Sources
Les propos de Vincent Strubel viennent de l’entretien publié par La Tribune, Vincent Strubel (Anssi) : « Il faut se préparer à des cyberattaques coordonnées, étatiques, avec des relais criminels sur le sol français ».
Les chiffres de l’ANSSI et l’éditorial figurent dans le Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002), présenté sur la page du CERT-FR consacrée au Panorama de la cybermenace 2025.
La Direction générale des Entreprises présente la stratégie dans La Stratégie nationale de cybersécurité pour 2026-2030.
Le Monde Informatique fait le point sur NIS 2 dans FIC 2026 : L’Anssi réclame moins de dépendance numérique.
Les chiffres de notification proviennent du Baromètre des fuites de données personnelles, édition 2026 (Forum InCyber).
