France : la nouvelle feuille de route cybersécurité

Ce qui s'est passé

Publiée par l'État, la feuille de route cybersécurité France pour la période 2026-2027 marque un tournant dans la doctrine nationale de défense numérique, rapporte LeMagIT. Le document stratégique acte l'abandon d'une logique purement réactive, longtemps centrée sur le traitement des incidents après leur détection, au profit d'une approche fondée sur l'anticipation. Deux piliers structurent ce nouveau cap : la surveillance proactive des menaces, qui suppose une détection continue et un partage renforcé du renseignement cyber entre acteurs publics et privés, et la résilience opérationnelle, qui impose aux organisations critiques de maintenir leurs activités essentielles même en situation de compromission. Cette orientation traduit une prise en compte de la sophistication croissante des attaques visant les infrastructures françaises, où la question n'est plus de savoir si une intrusion surviendra, mais quand — et surtout comment l'organisation y survivra.

Le volet identité et accès occupe une place centrale. Les ministères ont l'obligation de déployer l'authentification multifacteur (MFA) sur tous les systèmes d'information critiques avant février 2027, puis sur l'ensemble des systèmes début 2028. Le mécanisme ProConnect sera généralisé pour remplacer les comptes locaux par une fédération d'identité permettant une révocation uniforme des accès. Cette approche répond directement aux attaques par vol d'identifiants qui restent le vecteur d'intrusion le plus courant dans le secteur public.

Côté détection, la feuille de route fixe un objectif ambitieux : le déploiement de solutions EDR ou XDR sur l'ensemble des postes de travail et serveurs de l'État d'ici la fin 2026. La migration vers le cloud est désormais encadrée comme la mise en place d'un nouveau système d'information, nécessitant une approbation préalable. Enfin, les plans de continuité d'activité devront faire l'objet de tests annuels systématiques, et la feuille de route anticipe déjà la menace quantique avec des travaux préparatoires sur la cryptographie post-quantique.

Pourquoi c'est important

Cette feuille de route marque un tournant pour la cybersécurité de l'État français. Jusqu'ici, la posture était largement réactive : on détectait les incidents, on colmatait les brèches. Le passage à une surveillance proactive avec des outils EDR/XDR sur chaque poste représente un investissement massif mais nécessaire face à des attaquants étatiques de plus en plus sophistiqués.

L'obligation de MFA pour les systèmes critiques est un signal fort. De nombreuses administrations fonctionnent encore avec des authentifications simples, ce qui les rend vulnérables aux campagnes de phishing ciblé. Le calendrier est serré — février 2027 pour les systèmes critiques — mais réaliste si les budgets suivent. L'anticipation de la menace quantique montre également une vision à long terme, alors que les experts estiment qu'un ordinateur quantique capable de casser RSA-2048 pourrait émerger d'ici 2030-2035. Pour les entreprises privées, cette feuille de route donne le cap : ce que l'État s'impose finira par devenir la norme attendue, notamment dans le cadre de la mise en conformité ISO 27001 et des exigences NIS2.

Ce qu'il faut retenir

• MFA obligatoire sur tous les SI critiques de l'État avant février 2027 — les entreprises travaillant avec le secteur public devraient anticiper des exigences similaires.
• EDR/XDR déployés sur 100 % des postes et serveurs d'ici fin 2026, signe d'un passage à la détection proactive.
• La migration cloud est désormais traitée comme un nouveau SI, avec approbation préalable obligatoire — un frein volontaire au shadow IT dans les administrations.

Cette nouvelle feuille de route s'inscrit dans la continuité de la stratégie nationale pour la cybersécurité portée par l'ANSSI depuis 2015, mais elle en durcit sensiblement les exigences. Le précédent cycle stratégique, calé sur la Loi de programmation militaire 2019-2025, avait déjà imposé aux opérateurs d'importance vitale (OIV) des obligations de détection et de notification d'incidents. La feuille de route 2026-2027 étend cette logique à l'ensemble du périmètre étatique, ministères compris, avec des échéances resserrées et des indicateurs de conformité mesurables — une approche qui rapproche la doctrine française des référentiels utilisés par la CISA américaine ou le NCSC britannique pour le suivi de leurs administrations.

Le calendrier retenu n'est pas anodin. La généralisation de l'authentification multifacteur avant février 2027 intervient alors que le panorama des cybermenaces en France montre une recrudescence des compromissions par identifiants volés, notamment via des campagnes de phishing ciblant les agents publics. Plusieurs incidents touchant des collectivités territoriales et des établissements hospitaliers ces derniers mois ont mis en évidence l'absence quasi systématique de MFA sur les accès à privilèges, un vecteur d'intrusion que la feuille de route entend fermer en priorité sur les systèmes classés critiques avant extension à l'ensemble du parc.

Sur le plan budgétaire, le déploiement généralisé d'EDR/XDR représente un investissement estimé à plusieurs centaines de millions d'euros sur deux ans, incluant les licences, l'intégration aux centres opérationnels de sécurité (SOC) ministériels et la formation des équipes. Les experts du secteur soulignent toutefois que la réussite du plan dépendra moins de la technologie déployée que de la capacité des ministères à recruter et retenir des analystes SOC qualifiés, une ressource déjà sous tension dans le secteur privé. L'ANSSI a par ailleurs annoncé un renforcement de son rôle d'audit, avec des contrôles de conformité programmés dès le second semestre 2026 pour vérifier l'avancement réel des déploiements ministériels.

L'inclusion d'un volet préparatoire sur la cryptographie post-quantique confirme également une tendance observée chez plusieurs partenaires européens : anticiper la migration cryptographique avant l'échéance jugée critique de la décennie 2030, période à laquelle des ordinateurs quantiques suffisamment puissants pourraient casser les algorithmes RSA et ECC actuellement utilisés pour sécuriser les échanges de l'État. Cette anticipation rejoint les recommandations de l'ENISA et du NIST américain, qui poussent depuis 2024 à l'adoption progressive d'algorithmes post-quantiques normalisés dans les infrastructures critiques.