Lettre ouverte à Emmanuel Macron - La cybersécurité n'est pas un sujet technique. C'est un devoir d'État.

Monsieur le Président Macron,

Je ne vous écris pas pour plaider une cause. Je vous écris parce qu'il est temps d'arrêter de faire semblant.

Depuis plus de dix ans, les cyberattaques se sont multipliées. Hôpitaux, collectivités, ministères, entreprises stratégiques : personne n'est épargné.

Chaque fois, on annonce des moyens. Des comités. Des feuilles de route. Des millions. Mais sur le terrain, les acteurs publics n'ont pas les outils, pas les gens, pas la formation. Ils bricolent. Ils attendent. Et ils encaissent.

Pendant ce temps, la menace progresse. En 2024, la seule plateforme publique Cybermalveillance.gouv.fr a enregistré plus de 420 000 demandes d'assistance, près de 50 % de plus qu'un an plus tôt. Et pas seulement du côté des cybercriminels. La menace est également politique, industrielle, culturelle.

Pourquoi la cybersécurité est-elle un enjeu de souveraineté ?

On ne peut pas parler de stratégie d'indépendance tout en dépendant de clouds étrangers pour héberger nos données publiques.

On ne peut pas parler d'éducation numérique en laissant les enseignants sans accompagnement ni culture de la protection des données.

On ne peut pas parler de « nation startup » si les outils critiques des jeunes entreprises reposent sur des infrastructures américaines, sans plan B.

Il n'y a pas de puissance numérique sans éthique de la sécurité. Et cette éthique ne se limite pas aux experts. Elle doit être visible, active, assumée au plus haut niveau de l'État.

Les hôpitaux et les collectivités sont-ils vraiment démunis ?

Ce ne sont pas des hypothèses. En août 2022, le Centre Hospitalier Sud-Francilien de Corbeil-Essonnes a été frappé par le rançongiciel LockBit 3.0. Selon l'autopsie de l'attaque, l'assaillant est entré par un compte tiers compromis qui donnait accès au VPN de l'établissement, est resté une dizaine de jours dans le système, a désactivé les protections, exfiltré les données, puis tout chiffré. Rien d'exotique : une porte d'accès mal gardée.

Et le cas n'est pas isolé. En 2024, le rançongiciel figurait au deuxième rang des menaces recensées par Cybermalveillance.gouv.fr pour les collectivités territoriales. Ce sont des mairies, des services de soins, des écoles qui tombent, souvent faute d'un moyen que personne n'a jugé prioritaire.

Laisser des hôpitaux sous Windows 7, des mairies dépendre d'un informaticien sans formation qui est aussi le jardinier du cimetière local (histoire vraie), ou des collectivités entières dans le cloud sans comprendre ce qu'elles font, ce n'est pas un problème technique.

C'est une faute politique.

Que dit la loi française sur la cybersécurité ?

La cybersécurité ne peut plus rester un sujet cloisonné entre experts. Il faut la mettre au cœur de la stratégie nationale, au même titre que la santé, la défense ou l'énergie.

Elle apparaît déjà, dans une certaine mesure, dans la loi de programmation militaire 2024-2030 (loi du 1er août 2023) : l'ANSSI a mis en consultation, début 2024, un projet de décret imposant de nouvelles obligations aux fournisseurs d'accès, aux hébergeurs, aux éditeurs de logiciels et aux exploitants de centres de données.

À l'échelle européenne, la directive NIS2 (directive (UE) 2022/2555 du 14 décembre 2022) élargit ces exigences à des milliers d'entités publiques et privées, du secteur de la santé aux administrations. La France la transpose via le projet de loi Résilience, et l'ANSSI en a publié le référentiel de mesures, le ReCyF, le 17 mars 2026.

Le cadre existe donc, sur le papier. Mais malgré ces directives et régulations européennes, la France peine encore à se frayer un chemin pour Être en Cybersécurité.

Cela suppose de reconnaître l'écart entre les discours et la réalité, et d'accepter de remettre à plat ce qui dysfonctionne :

• Le désintérêt des élus pour les sujets jugés « trop techniques ».
• La sous-traitance systématique sans vérification.
• Le pilotage par effet d'annonce.

Vous avez la responsabilité de changer le cadre, pas de tweeter en réaction

Quand une cyberattaque touche un hôpital ou une administration, c'est trop tard pour promettre. Il fallait agir avant. Planifier. Soutenir. Anticiper.

Ce que je vous demande, ce n'est pas un budget supplémentaire. C'est un cap clair, stable, public. C'est un pilotage qui dure plus qu'un quinquennat. C'est une reconnaissance du fait que le numérique n'est pas un outil : c'est une infrastructure vitale.

Et comme toute infrastructure, elle doit être entretenue, protégée, surveillée. Pas seulement au moment où tout casse.

Monsieur le Président, si vous voulez être pris au sérieux sur la souveraineté, commencez par la sécurité numérique

Je ne vous demande pas de comprendre la technique. Mais de vous entourer de ceux qui la comprennent et qui n'ont pas pour seule ambition de cocher des cases.

Je ne vous demande pas de devenir expert. Mais de cesser de traiter les experts comme des techniciens invisibles.

Et surtout, je ne vous demande pas de parler de cyber. Je vous demande d'agir comme si la France existait aussi dans le monde numérique.

Parce que c'est déjà le cas. Et que pour l'instant, elle est bien seule.

Alors commencez par le concret.

Faites de la cybersécurité un enjeu visible, assumé, financé. Pas par des milliards abstraits, mais par des moyens là où ils manquent vraiment : dans les mairies, les hôpitaux, les écoles. Là où le numérique ne fait pas rêver, mais fait tenir.

Imposez une exigence minimale de souveraineté aux marchés publics, redonnez du pouvoir aux DSI de terrain, et formez les élus comme on forme à la sécurité civile : parce que ce sont eux les premiers maillons.

Et surtout, cessez d'opposer le terrain au numérique.

Oui, réparer une route est visible. Oui, sécuriser le poste de Chantal ne fait pas une belle photo. Mais les deux protègent des vies. Les deux relèvent (indirectement) de la responsabilité de l'État.

Il ne s'agit pas de choisir entre le bitume et le cloud. Il s'agit de comprendre que la souveraineté, aujourd'hui, passe par les deux.

---

Sources

• Cybermalveillance.gouv.fr, rapport d'activité 2024 (plus de 420 000 demandes d'assistance, +49,9 % sur un an) : cybermalveillance.gouv.fr.
• Autopsie de la cyberattaque du Centre Hospitalier Sud-Francilien (rançongiciel LockBit 3.0, août 2022) : LeMagIT.
• Mesures cyber de la loi de programmation militaire 2024-2030, projet de décret en consultation publique : ANSSI (cyber.gouv.fr).
• Directive (UE) 2022/2555 (NIS2) du 14 décembre 2022 : EUR-Lex.
• Transposition de NIS2 en France (projet de loi Résilience) et référentiel ReCyF publié le 17 mars 2026 : ANSSI (cyber.gouv.fr).