Marie-Agnès Poussier-Winsback
En quatre mois, trois de nos systèmes d'information régaliens ont été attaqués, ainsi qu'un opérateur privé, compromettant les données de millions de nos concitoyens.

Cela a commencé, en janvier, par une attaque contre le fichier national des comptes bancaires et assimilés ; attaque suivie en février par une autre attaque contre Cegedim Santé ; en avril, par une attaque contre ÉduConnect ; dernièrement, enfin, par une attaque contre l'Agence nationale des titres sécurisés concernant 11,7 millions de comptes.

Trois de ces quatre attaques ont une même racine : l'usurpation des identifiants d'un agent habilité. La feuille de route de l'Agence nationale de la sécurité des systèmes d'information du 9 avril 2026 rappelle la persistance de fragilités graves et fixe plusieurs obligations. L'une des plus structurantes est la généralisation, au 31 décembre 2026, de l'authentification multifacteur pour tous les administrateurs. Cette seule mesure aurait permis d'éviter trois des quatre attaques que je viens de mentionner. En juin 2025, la Cour des comptes demandait déjà une programmation budgétaire annuelle pour l'Anssi ; elle demandait également que 10 % au moins du budget informatique de chaque administration soit consacré à la cybersécurité.

Le gouvernement peut-il nous rassurer en attestant que le projet de loi de finances pour 2027 prévoira cette programmation pluriannuelle ainsi qu'un mécanisme garantissant que les administrations atteignent ce seuil de 10 % ?

J'avais par ailleurs proposé au gouvernement la création d'un dossier national partagé entre administrations pour reconnaître les victimes d'usurpation d'identité – un phénomène largement alimenté par toutes ces fuites de données. Le gouvernement m'avait alors indiqué qu'un tel dispositif nécessitait une analyse approfondie – on le comprend bien – entre différents ministères : le ministère de l'intérieur, le ministère de la justice, le ministère de l'économie et des finances.

L'urgence de la situation est évidente. Les données dérobées dans les administrations et le développement de l'IA générative ne font qu'aggraver les risques encourus par nos concitoyens. Pouvez-vous indiquer l'état d'avancement de cette expertise interministérielle ? Dans quels délais pouvons-nous espérer que ses conclusions soient présentées devant la représentation nationale ?

Marie-Pierre Vedrenne, ministre déléguée chargée de la citoyenneté.
Vous avez rappelé l'incident que connaît actuellement l'ANTS. D'après nos informations, toutefois, les données concernées ne permettraient pas un accès illégitime aux comptes de nos concitoyens. Par ailleurs, l'ANTS a pris des mesures à la hauteur du phénomène en matière de renforcement de la sécurité de son portail. Elle a également pris des mesures immédiates de remédiation qui expliquent le placement en maintenance de son site internet.

Permettez-moi de souligner après vous l'importance fondamentale que ce sujet revêt pour nos concitoyens. J'y suis particulièrement sensible et je suis pleinement mobilisée sur cette question.

Deux actions doivent être entreprises en priorité. D'abord, il nous faut prévenir les usurpations et les pertes de données. Nous nous y attachons par la production de cartes d'identité à puce qui visent à fiabiliser l'identification de leur détenteur. Ensuite, nous devons envisager la question du dépôt de plainte, absolument nécessaire dans le cadre d'une usurpation d'identité ou d'un vol de données, et qui représente pour les victimes une contrainte importante.

Vous avez évoqué le rapport de la Cour des comptes de juin 2025, qui recommandait une programmation budgétaire pluriannuelle pour l'Anssi ainsi qu'un plancher de 10 % du budget informatique dédié à la cybersécurité dans chaque administration, et vous vous interrogez sur l'intégration de ces recommandations au prochain projet de loi de finances : je laisserai les parlementaires, dans leur sagesse, se saisir de cet enjeu lors de son examen.

Vous rappelez enfin votre proposition de création d'un dossier partagé entre administrations afin de reconnaître les victimes d'usurpation d'identité. Cette proposition ambitieuse et nécessaire a été inscrite dans les priorités du programme de travail de la stratégie ministérielle 2026-2029 de lutte contre la fraude documentaire et à l'identité. Un travail approfondi, sur le plan juridique comme sur le plan technique, se poursuit à ce sujet entre les ministères.

Je salue votre mobilisation en faveur de toutes les victimes d'usurpation d'identité. Je serai à vos côtés pour poursuivre la mobilisation et pour veiller à l'application de tous les dispositifs nous permettant de relever ces défis.

Marie-Agnès Poussier-Winsback
Je vous remercie, madame la ministre, de votre réponse.