Le panorama ANSSI 2025, publié le 11 mars 2026 par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), compte 1 366 incidents portés à sa connaissance en 2025. L’année précédente en comptait 1 361. Le volume ne bouge donc presque pas. En revanche, la nature des attaques change : les cybercriminels volent davantage de données, parfois sans chiffrer un seul serveur.
Vincent Strubel, directeur général de l’ANSSI, résume la situation d’une image reprise par Le Monde Informatique : la France se trouve sur « un plateau très haut, pas sur un raz de marée ». Pour un DPO, ce plateau a pourtant une traduction directe. En effet, chaque vol de données personnelles ouvre une procédure de violation, avec un délai de 72 heures.
Les chiffres du panorama ANSSI 2025 face à 2024
L’agence a traité 3 586 événements de sécurité en 2025, soit 18 % de moins qu’en 2024. Cette baisse s’explique surtout par l’année de comparaison. En effet, 2024 avait connu un pic de signalements autour des Jeux olympiques et paralympiques. Ainsi, le tableau ci-dessous reprend les chiffres du rapport publié par le CERT-FR.
| Indicateur | 2024 | 2025 |
|---|---|---|
| Incidents | 1 361 | 1 366 |
| Exfiltrations | 130 | 196 |
| Rançongiciels | 141 | 128 |
Les exfiltrations de données progressent d’environ 51 % en un an. Les compromissions par rançongiciel reculent au contraire légèrement. Sur ce terrain, la souche Qilin domine ce terrain avec 21 % des attaques identifiées.
Le classement des secteurs mérite l’attention des collectivités et des établissements de santé. L’éducation et la recherche concentrent 34 % des incidents traités. Viennent ensuite les ministères et collectivités territoriales (24 %), la santé (10 %) puis les télécommunications (9 %). Ces quatre secteurs totalisent donc 76 % des cas.
Vol de données : ce que révèle le bilan de l’ANSSI
Pour un DPO, le chiffre le plus utile se trouve dans le détail des exfiltrations. L’ANSSI a été informée de 196 incidents de ce type. Pourtant, elle n’a pu confirmer la véracité que de 80 revendications parmi celles portées à sa connaissance. Les autres reprenaient en effet souvent des données publiques ou déjà divulguées.
Cet écart change la conduite à tenir face à une revendication. Par exemple, un groupe criminel qui annonce détenir vos fichiers ne prouve rien par cette seule annonce. Vérifiez d’abord les échantillons publiés : comparez les champs, les dates de création et les identifiants avec vos propres bases. Ensuite, documentez cette analyse dans votre registre des violations, même si vous concluez à une fausse revendication.
Le délai de 72 heures de l’article 33 du RGPD court à partir du moment où vous avez connaissance de la violation. Une revendication crédible déclenche donc l’analyse sans attendre la preuve complète. Pour la notification elle-même, notre tutoriel sur la notification d’une violation de données détaille chaque champ du formulaire de la CNIL. Si vos fichiers apparaissent réellement sur un site de fuite, suivez la méthode de notre article sur les sites de fuites de données.
Des cybercriminels qui empruntent les méthodes des États
Le bilan de l’ANSSI décrit une érosion des frontières entre acteurs étatiques et cybercriminels. Ainsi, le détournement d’outils et de services légitimes, longtemps observé chez des acteurs liés à des États, progresse chez les cybercriminels. En pratique, un attaquant utilise un logiciel d’administration à distance installé chez vous, ou un service en ligne reconnu, pour passer sous les radars.
Cette tendance rend les journaux d’événements indispensables. En effet, une connexion par un outil légitime ne déclenche aucune alerte antivirus. Seule la question « qui se connecte, quand et depuis où » permet de la repérer. Demandez donc à votre service informatique combien de temps ces journaux sont conservés et qui les consulte.
NIS 2, CRA et RGPD : ce que l’ANSSI attend de la réglementation
L’ANSSI présente la transposition de la directive NIS 2 et la mise en œuvre du Cyber Resilience Act (CRA) comme un axe pour imposer des socles de mesures de sécurité. La transposition française de NIS 2 imposera ainsi des obligations de cybersécurité aux entités essentielles et importantes, avec des notifications d’incidents qui s’ajoutent à celles du RGPD. De son côté, le CRA obligera les fournisseurs de produits numériques, à compter du 11 septembre 2026, à signaler aux CSIRT nationaux les vulnérabilités activement exploitées.
Pour un organisme déjà soumis au RGPD, toutefois, l’article 32 fixe le socle dès aujourd’hui. Corrigez rapidement les vulnérabilités connues, segmentez le réseau et testez des sauvegardes déconnectées. De plus, chiffrez les données sensibles et formez les équipes à l’hameçonnage. Enfin, vérifiez que votre procédure de gestion des violations désigne qui qualifie l’incident, qui notifie la CNIL et qui informe les personnes concernées.
Dans DPO Suite, notre application de conformité, le registre des violations conserve cette analyse incident par incident. Enfin, pour les collectivités, notre article sur la cyberattaque de la DGFiP et le rapport de l’ANSSI donne des points de contrôle adaptés.
Sources
Les chiffres et les tendances proviennent du Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002, ANSSI), présenté sur la page du CERT-FR consacrée au Panorama de la cybermenace 2025.
La citation de Vincent Strubel figure dans l’article Un niveau de menaces toujours très élevé en 2025 selon l’Anssi (Le Monde Informatique).
Le site Next a publié une analyse du Panorama 2025 et de ses chiffres (Next).
