L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a récemment franchi une étape majeure dans la protection des infrastructures étatiques avec le lancement du dispositif REACTIV. Ce nouvel outil d’intervention confère à l’agence la capacité de contraindre directement les ministères à agir en cas de cyberattaque imminente. Cette mesure d’urgence vient s’articuler autour d’une feuille de route stratégique pour la période 2026-2027, un document ambitieux qui détaille dix chantiers prioritaires visant à renforcer la résilience numérique de l’État face à une menace cyber croissante.

Le calendrier de mise en œuvre témoigne d’une volonté de modernisation progressive, mais souligne également des disparités temporelles marquées. Si l'élimination des comptes génériques est prévue pour la mi-2026, l'adoption généralisée de l'authentification à plusieurs facteurs (MFA) pour l'ensemble des systèmes de l'administration ne sera achevée qu'en février 2028. De même, le déploiement de solutions de détection avancée, type EDR et XDR, ainsi que l'homologation obligatoire des systèmes essentiels, suivent une trajectoire échelonnée. Cette approche en deux vitesses, entre réaction immédiate en cas de crise et mise aux normes de long terme, interroge toutefois sur la viabilité des objectifs face à des contraintes budgétaires persistantes qui avaient déjà freiné les cycles précédents.

Un pan critique de cette stratégie concerne la cryptographie post-quantique, domaine où l'État français prévoit un inventaire des données sensibles d'ici 2026, suivi d'un déploiement technique complet à l'horizon 2030. Cette transition répond à la menace du « harvest now, decrypt later », consistant à intercepter aujourd'hui des données pour les déchiffrer lorsque la puissance de calcul nécessaire sera disponible. Curieusement, bien que cet enjeu touche directement la sécurité des actifs numériques, le document omet toute référence explicite aux cryptomonnaies, alors même que le secteur privé et l'écosystème blockchain avancent déjà sur des solutions techniques concrètes pour contrer le risque quantique.

En somme, cette feuille de route révèle un décalage structurel entre les discours sur l'urgence cyber et les capacités d'exécution réelle de l'appareil d'État. Si l'introduction de REACTIV marque une rupture dans la capacité d'intervention rapide, les échéances lointaines pour des mesures de base soulignent les défis logistiques et financiers rencontrés par l'administration. La question centrale demeure désormais celle de la concrétisation : alors que l'État privilégie une approche prudente et graduée, la menace, elle, ne ralentit pas. La transition vers une sécurité post-quantique et la généralisation des standards de base serviront de véritable test pour mesurer la volonté réelle de transformer la cybersécurité publique.