Le 7 septembre 2026, l’agence nationale de la sécurité des systèmes d’information a annoncé la mise en place de REACTIV, pour réponse et action interministérielle face aux violations de données. Présenté ainsi, le dispositif ressemble à un renforcement classique de la réponse à incident, du type de ceux qu’une administration annonce après une série d’attaques. Deux phrases de l’annonce disent autre chose, et elles ne portent pas sur la technique : l’agence pourra faire prendre aux ministères, dans des délais contraints, les mesures immédiates qui s’imposent, et elle centralisera la communication technique de crise lorsqu’une attaque de cette nature touche les services de l’État.
Ce qui change n’est pas la capacité, c’est l’autorité
L’architecture habituelle d’une administration distribuée produit une séquence connue de tous ceux qui l’ont vécue : le ministère victime constate, diagnostique, arbitre en interne, sollicite une coordination interministérielle, décide, puis communique. Chaque étape est légitime et chacune coûte des heures, parfois des jours. Ce que décrit REACTIV est plus court : détection, intervention de l’agence, mesures imposées dans un délai contraint, communication technique centralisée. avéré
Une organisation sait presque toujours quelle mesure prendre. Elle sait rarement combien de temps il lui faut pour l’imposer.
Le déplacement porte donc sur le nombre de centres de décision pendant la phase critique. Une agence qui conseille dépend du calendrier de celui qu’elle conseille. Une agence qui peut faire prendre une mesure dans un délai contraint impose son propre calendrier. C’est une modification discrète de l’équilibre entre expertise et autorité, et elle est plus structurante que n’importe quel outil de détection.
L’analogie : le pilote, la tour et le temps de réaction
Un contrôleur aérien ne conseille pas un pilote, il lui donne une instruction, parce que le temps disponible ne permet pas la délibération. Cette autorité n’est pas fondée sur une supériorité de compétence, elle est fondée sur la position dans le dispositif : la tour voit ce que le cockpit ne voit pas, et la coordination de plusieurs appareils ne peut pas se négocier en vol.
La sécurité numérique d’un État distribué se trouve dans une situation comparable dès qu’une fuite de données concerne plusieurs administrations, des prestataires communs et des identifiants réutilisés. La compétence est partout, la vue d’ensemble ne l’est nulle part, et le temps manque. REACTIV place la vue d’ensemble en position d’instruire.
La seconde disposition est un sujet de communication, pas de sécurité
La centralisation de la communication technique de crise mérite un traitement à part, parce qu’elle sera la plus discutée en interne. Elle règle un problème réel : lors d’une fuite touchant plusieurs entités, les prises de parole divergentes produisent une impression de désordre qui aggrave la perte de confiance, indépendamment de la gravité technique réelle. Un chiffre annoncé par un ministère et démenti par un autre coûte plus cher que le chiffre lui-même.
Elle crée aussi une tension que les organisations connaissent bien : celui qui parle techniquement n’est pas celui qui porte politiquement l’incident. possible Le ministère reste comptable devant les usagers et devant le Parlement, tandis que la description des faits lui échappe partiellement. Cette tension n’est pas un défaut du dispositif, elle est le prix de la cohérence, et elle se gère par un protocole écrit avant la crise plutôt que par un arbitrage improvisé pendant.
Nous avions décrit un mouvement de même famille en analysant l’architecture de parole choisie par l’État en août : là aussi, la question n’était pas le volume de la communication mais l’ordre dans lequel elle est organisée.
Pendant ce temps, la contrainte vient aussi de l’extérieur
Ce mouvement n’est pas isolé, et il éclaire une bascule plus large de la semaine. Le 6 septembre, un gouvernement européen annonçait vouloir confier à des exploitants privés d’infrastructures critiques une capacité d’action face aux drones, jusque-là réservée aux forces publiques. Le 7, l’agence française resserre au contraire la décision au centre pour la sécurité numérique de l’État. Les deux gestes paraissent opposés, ils répondent à la même contrainte : quand la fréquence des incidents dépasse la capacité de la chaîne normale, quelqu’un doit pouvoir décider vite, et il faut choisir qui. probable
Dans un cas la décision descend vers celui qui possède le site, dans l’autre elle remonte vers celui qui voit l’ensemble. Le critère de choix n’est pas idéologique : il dépend de la nature de la menace. Un drone au-dessus d’une clôture appelle une réaction locale immédiate. Une fuite d’identifiants partagés entre plusieurs administrations appelle au contraire une vue d’ensemble, parce que la réponse d’une entité isolée ne protège pas les autres.
Pour une organisation privée, la conséquence est directe et rarement tirée : la bonne architecture de crise n’est pas unique. Elle dépend du type d’incident, et un dispositif qui ne prévoit qu’un seul mode de décision se trompera la moitié du temps.
Le vrai indicateur manquant
La sécurité informatique mesure depuis longtemps deux délais : le temps de détection et le temps de réponse. Ces deux mesures supposent implicitement que, la menace étant comprise, l’organisation agit. Dans une structure distribuée, cette hypothèse est fausse, et l’écart se loge entre les deux.
| Délai | Ce qu’il mesure | Qui en est comptable |
|---|---|---|
| Détection | Le temps entre l’intrusion et sa découverte | La supervision technique |
| Décision contraignante | Le temps entre la preuve et l’ordre que personne ne peut différer | La direction générale |
| Application vérifiée | Le temps entre l’ordre et sa mise en œuvre constatée sur le terrain | Les exploitants et la conformité |
Le deuxième délai est celui que personne ne mesure et que REACTIV attaque frontalement. Il ne dépend d’aucune technologie : il dépend de qui a le pouvoir de dire non aux objections légitimes, et à quel moment ce pouvoir s’exerce. probable Le troisième est celui que les organisations découvrent le plus douloureusement, parce qu’une mesure décidée et non appliquée offre exactement la même surface d’attaque qu’une mesure jamais décidée, avec en plus la certitude d’avoir su.
Ce que cela change pour une entreprise, un hôpital ou une collectivité
Toute organisation à établissements multiples reproduit la structure que REACTIV corrige : des compétences réparties, des systèmes partagés, des directions autonomes et une capacité d’injonction faible en dehors des situations extrêmes. Un groupe qui découvre une compromission d’identifiants partagés entre trois filiales rencontre exactement le problème d’un État qui la découvre entre trois ministères.
Trois questions se posent alors, et elles se posent avant l’incident. Qui, nommément, peut imposer une mesure à une direction qui n’en dépend pas hiérarchiquement ? Sous quel délai cette mesure devient-elle opposable, et que se passe-t-il si elle n’est pas appliquée ? Et qui parle techniquement, au nom de l’ensemble, quand plusieurs entités sont touchées ? possible Une organisation qui ne peut répondre à ces trois questions n’a pas un problème de sécurité, elle a un problème de commandement, et il se révélera au pire moment.
Nous avions posé la question sous un autre angle en analysant la fin de la promesse d’inviolabilité : une organisation ne se juge plus à sa capacité d’empêcher, mais à sa capacité de démontrer ce qu’elle a fait et quand.
Ce que l’annonce ne dit pas encore
Trois éléments manquent, et ils décideront de l’efficacité réelle du dispositif. Le premier est le déclencheur : qui constate qu’une situation relève de REACTIV, et à partir de quel seuil. Un mécanisme d’exception dont l’activation reste discrétionnaire produit les mêmes délais que celui qu’il remplace, l’arbitrage se déplaçant simplement en amont.
Le deuxième est la nature de la contrainte. Faire prendre une mesure dans un délai contraint peut signifier une instruction opposable, une recommandation appuyée par un compte rendu au niveau politique, ou une simple priorité d’agenda. Ces trois régimes n’ont pas le même effet sur une direction qui a d’autres urgences. possible
Le troisième est la sanction de l’inexécution, c’est-à-dire ce qui se passe quand la mesure n’est pas appliquée dans le délai. Aucune organisation ne se dote volontiers de ce mécanisme, et c’est pourtant lui qui distingue une autorité d’une exhortation. Ces trois points relèvent d’une déclinaison opérationnelle qui n’est pas publique à ce jour, et nous ne préjugeons pas de son contenu.
Le cadre ELMARQ qui organise la réponse
La War Room est le concept ELMARQ qui décrit précisément ce que REACTIV institue à l’échelle de l’État. Il désigne une structure de commandement de crise réunissant, dans un même lieu de décision, l’information technique, l’arbitrage et la parole publique, pour la durée d’un événement et selon un protocole écrit à l’avance. Sa différence avec une cellule de crise ordinaire tient en un mot : l’autorité. Une cellule coordonne, une war room décide.
Appliqué à une entreprise, ce cadre produit un test simple et désagréable. Prenez votre dernier exercice de crise et cherchez la ligne qui désigne la personne habilitée à imposer une mesure à une direction qui la refuse. Si cette ligne n’existe pas, votre dispositif organise la réunion, pas la décision. Et le jour venu, il produira ce que produisent toutes les cellules sans autorité : un excellent diagnostic, une communication prudente, et trois jours perdus.
Combien de temps s’écoule chez vous entre la preuve d’une compromission et l’ordre que personne ne peut différer ? C’est la première mesure d’un dispositif de crise sérieux : réserver un diagnostic de 30 minutes.
