Le sujet est fort, et c’est précisément pourquoi l’article évident serait le mauvais. Commenter les annonces de Sébastien Lecornu reviendrait à faire de la reprise de communiqué. Écrire que la France « découvre » qu’elle doit mieux exécuter sa doctrine cyber serait pire : nous avons déjà publié ce raisonnement en avril, quand la série noire des fuites d’État a mis à nu une souveraineté numérique sans exécution. Une souveraineté sans exécution, écrivions-nous le 20 avril 2026, ce n’est qu’un discours.
L’angle réellement neuf se situe un cran après. Il tient en une phrase.
Le nouvel indicateur de puissance n’est plus l’inviolabilité, mais le temps qu’il faut pour reprendre la maîtrise d’une situation, et pour le prouver.
C’est là que le déplacement de vocabulaire de l’exécutif devient intéressant. Pas parce qu’il annonce encore des moyens ou une cellule, mais parce qu’il envisage désormais la crise comme une chaîne complète : violation d’accès, intervention, conduite de crise, rétablissement, retour d’expérience. Ce déplacement permet de sortir du commentaire cybertechnique et de poser une question d’un autre ordre, celle de la capacité organisationnelle, de la crédibilité et de la réputation.
Le paradoxe DGFiP : « détecter » ne veut pas dire « comprendre »
Le cas de la Direction générale des finances publiques en donne une démonstration presque expérimentale. Le ministère de l’Économie a confirmé, dans un communiqué du 14 août 2026, que des accès frauduleux avaient eu lieu en juin et juillet 2026, à partir d’identifiants usurpés (ceux d’un agent de la DGFiP et d’un tiers habilité). Les accès avaient été coupés dès leur détection. Mais les contrôles réalisés à ce moment n’avaient pas permis d’établir que ces intrusions avaient donné lieu à un vol de données. Ce sont les revendications des 12 et 13 août qui ont déclenché des investigations approfondies, lesquelles ont établi que les données de 678 000 particuliers et professionnels avaient été consultées ou extraites.
Éditorialement, la chronologie compte plus que le chiffre. On obtient une séquence nouvelle : intrusion, détection partielle, interruption de l’accès, exfiltration encore inconnue, revendication extérieure, découverte du périmètre réel, crise publique. Autrement dit, une organisation peut avoir techniquement « réagi » sans savoir encore si elle a réellement repris la maîtrise de la situation. C’est exactement là qu’apparaît le sujet.
La menace ne devient pas plus bruyante, elle devient plus difficile à dater
Longtemps, la représentation dominante de la cyberattaque a été simple : attaque, panne, crise, restauration. Le rançongiciel correspond parfaitement à ce modèle, car quelque chose cesse de fonctionner, donc l’incident est visible.
Les chiffres agrégés invitent à la prudence sur le récit de l’« explosion ». Le panorama de la cybermenace 2025 de l’ANSSI recense 3 586 événements de sécurité, soit 18 % de moins qu’en 2024. Cette baisse s’explique en partie par le pic de signalements liés aux Jeux de Paris en 2024 : il serait donc faux d’en conclure mécaniquement que la menace reflue, comme il serait faux d’écrire qu’elle « explose ». En revanche, l’agence documente une recrudescence des opérations d’exfiltration de données (sur 460 événements caractérisés comme fuites potentielles, 42 % ont été confirmés) et l’émergence d’un « brouillard technologique et organisationnel » où les frontières entre acteurs étatiques et cybercriminels s’érodent, ce qui complique l’attribution.
Ce changement est celui qui nous intéresse : la menace n’est pas nécessairement plus visible, elle devient plus difficile à dater, à borner et à raconter. Une panne offre à l’organisation un temps zéro relativement net. Une exfiltration silencieuse produit plusieurs temps zéro concurrents. Quand l’attaquant est-il entré ? Quand l’a-t-on détecté ? Quand a-t-on compris que des données étaient sorties ? Quand la revendication est-elle tombée ? Quand les personnes concernées l’ont-elles appris ? La crise de réputation peut donc commencer bien après la compromission, mais avant que l’organisation ne maîtrise elle-même son propre récit factuel. C’est bien plus intéressant que « il faut communiquer vite ».
La doctrine de résilience existait déjà. Ce qui monte d’un étage, c’est le commandement
Il faut être rigoureux, car plusieurs formulations peuvent être reprises trop vite. Le rétablissement et le retour d’expérience ne sont pas une doctrine inventée en août 2026 : l’ANSSI préconise de longue date continuité, reconstruction, communication de crise, exercices et retour d’expérience, et les référentiels internationaux structurent déjà la cybersécurité autour des fonctions « répondre » et « rétablir ». La nouveauté n’est donc pas doctrinale, elle est politique et organisationnelle.
Ce qui change vraiment relève du commandement. Le 19 août, le Premier ministre a demandé la création d’une nouvelle unité, adossée à l’ANSSI, destinée à intervenir en première ligne en cas de suspicion d’atteinte grave à l’intégrité du système d’information de l’État. Il indique avoir engagé un plan de quarante actions et annoncé une enveloppe de 200 millions d’euros. Une unité pensée pour agir depuis la violation d’un accès sensible jusqu’au rétablissement signifie que la crise est enfin traitée comme une chaîne, et non comme un événement ponctuel. Reste que, au 20 août, l’organisation précise et les règles d’engagement de cette unité ne sont pas encore arrêtées : le secrétariat général de la défense et de la sécurité nationale doit en proposer les modalités dès le vendredi 21 août.
La communication change de fonction
Dans ce cadre, la communication de crise ne peut plus se contenter de rassurer ou de reconnaître un incident. Elle doit rendre visible le niveau réel de maîtrise, sans annoncer prématurément une situation « sous contrôle » qu’aucune preuve ne soutient encore. Pour avoir moi-même dirigé la communication de l’État en préfecture, en Bretagne comme dans la Manche et le Loir-et-Cher, je sais qu’une phrase de réassurance émise trop tôt ne calme pas la crise : elle crée une deuxième crise, celle de la parole démentie par les faits quelques jours plus tard. Le dirigeant confronté à une compromission doit désormais pouvoir répondre à cinq questions distinctes. Sommes-nous encore compromis ? Que savons-nous exactement de ce qui est sorti ? Quels systèmes ou quelles identités restent exposés ? Depuis quand pouvons-nous affirmer avoir repris le contrôle ? Sur quelles preuves reposent ces affirmations ?
La dernière question est la plus lourde. Une organisation ne détient pas la maîtrise parce qu’elle déclare que « l’incident est sous contrôle ». Elle la détient lorsqu’elle peut documenter suffisamment l’état de son système pour que cette affirmation devienne opposable. C’est l’extension naturelle de notre ligne : après la doctrine, l’exécution ; après l’exécution, la preuve de l’exécution.
Une variable à tester, avant d’en faire quoi que ce soit
Je me garderai de lancer un énième concept du type « cyber-résilience 2.0 ». Le mot « résilience » est déjà saturé, et un concept sans protocole n’est qu’une formule d’article. Ce que je propose est plus modeste et plus vérifiable : une variable de travail, à mesurer avant de décider si elle mérite d’exister durablement.
Appelons-la, provisoirement, le temps de reprise de maîtrise. Il ne s’agit pas du temps de résolution informatique. Il mesurerait l’intervalle entre la détection confirmée d’une compromission et le moment où l’organisation réunit simultanément un niveau suffisant de confinement, de périmètre connu, de continuité rétablie, d’information des parties concernées et de chronologie consolidée. Il gagnerait à être couplé à une seconde variable, la latence de compromission, soit l’écart entre la détection et l’intrusion initiale estimée. Le cas DGFiP montre pourquoi les deux ne se confondent pas : un accès peut être détecté et coupé alors que la portée réelle de l’incident reste inconnue pendant des semaines. On passe ainsi d’une mesure de performance technique à une mesure de capacité institutionnelle complète.
Une hypothèse, et elle est falsifiable
Voici comment je la formulerais. À mesure que l’exfiltration silencieuse remplace une partie des attaques immédiatement visibles, la réputation d’une organisation dépendra moins de sa capacité à promettre l’absence d’incident que de sa capacité à réduire, puis à documenter, le temps durant lequel elle ignore l’étendue réelle de sa compromission.
Cette hypothèse est testable. On peut reconstruire, sur vingt ou trente incidents publics, sept dates : compromission probable, détection, première communication, établissement du périmètre, notification des personnes, rétablissement, et éventuelle correction ultérieure du récit. On regarde ensuite si les crises les plus destructrices pour la réputation correspondent effectivement aux plus longues périodes d’incertitude non maîtrisée. Là, on ferait de la recherche, pas du commentaire. Tant que ce corpus n’est pas constitué, ce qui précède reste une observation de méthode, pas un indice mesuré.
Le second sujet, politique, est presque plus révélateur
La dernière partie du discours de l’exécutif mérite d’être lue pour elle-même, sans prendre parti. Le propos glisse de la cybersécurité, de la cellule et des exercices, vers une thèse plus large : un État qui « se mêlerait moins de tout pour être plus fort sur l’essentiel », puis vers le budget et le réarmement des fonctions régaliennes. La cyberattaque n’y sert plus seulement de motif de sécurité, elle sert de preuve à une doctrine de puissance de l’État.
Le mouvement de communication est net : incident cyber, insuffisance opérationnelle, nécessité de commandement, fonctions régaliennes, arbitrage budgétaire. Un événement défensif, plusieurs administrations compromises, est ainsi transformé en argument en faveur d’un État recentré et plus puissant sur ses missions souveraines. On peut le montrer sans se prononcer pour ou contre.
Mais ce déplacement a un prix, et il est réputationnel. Plus l’exécutif revendique la maîtrise comme attribut régalien, plus la prochaine crise devient opposable à cette promesse. C’est une variable cumulative : les incidents cessent d’être indépendants, ils construisent progressivement soit un historique de maîtrise démontrée, soit une contradiction entre le discours de puissance et l’expérience opérationnelle. Chaque compromission future de l’État ne sera plus seulement un incident de sécurité. Elle deviendra un test public de la promesse de puissance.
Réduite à une seule phrase, la thèse tient ainsi. Dans la prochaine génération de crises cyber, la question de réputation ne sera plus seulement « avez-vous été attaqué ? », ni même « avez-vous réagi ? », mais « combien de temps vous a-t-il fallu pour savoir ce qui s’était réellement passé, et à partir de quand pouviez-vous le prouver ? ». C’est, à notre sens, le vrai sujet en avance de phase derrière les annonces de la semaine.
Marc Lugand-Sacy, président d’ELMARQ, ancien directeur de la communication de la préfecture de région Bretagne, après avoir conduit la communication de l’État dans la Manche et le Loir-et-Cher (ministère de l’Intérieur).
