REACTIV : l'État se dote d'une force de réaction aux fuites de données. Et le reste du secteur public ?

Le 7 septembre 2026, l'ANSSI a annoncé la mise en place de REACTIV, une capacité renforcée de réaction aux violations de données, à la demande du Premier ministre. L'annonce arrive trois semaines après la révélation des intrusions à la DGFiP. Elle renforce l'autorité de l'Agence sur les ministères, mais laisse hors périmètre les collectivités, universités, hôpitaux et opérateurs publics locaux, qui subissent pourtant la même menace.

Ce qui a été annoncé

REACTIV signifie « REponse & ACTion Interministérielle face aux Violations de données ». Selon le communiqué publié par l'ANSSI sur cyber.gouv.fr, le dispositif consiste en un basculement immédiat des efforts opérationnels de l'Agence pour renforcer l'appui aux ministères sur deux fronts : le traitement des compromissions de comptes utilisateurs et l'analyse des violations de données. L'objectif affiché est de mieux circonscrire les attaques et de lutter plus réactivement contre les exfiltrations.

Le point le plus notable tient à l'autorité conférée à l'ANSSI, qui est renforcée sur deux plans :

• l'Agence peut faire prendre aux ministères, dans des délais contraints, les mesures immédiates nécessaires pour protéger les données des citoyens confiées aux administrations ;

• la communication technique de crise est centralisée par l'ANSSI en cas d'attaque de ce type touchant des services de l'État.

REACTIV complète la Feuille de route des efforts prioritaires en matière de sécurité numérique de l'État 2026-2027, publiée le 9 avril 2026, dont le Premier ministre a demandé l'accélération de la mise en œuvre.

Pourquoi maintenant : l'été de la DGFiP

Le contexte est connu. Le 14 août 2026, le ministère de l'Économie a reconnu des accès illégitimes au système d'information de la Direction générale des finances publiques. Les intrusions sont intervenues en juin et juillet 2026 et ont été revendiquées publiquement les 12 et 13 août. Elles reposaient sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité. Les investigations ont établi la consultation et l'extraction possible de données fiscales et cadastrales relatives à 678 000 particuliers et professionnels. Une seconde intrusion, sur le serveur professionnel de données cadastrales, a ensuite été reconnue.

Le détail qui compte pour la suite de cet article : la DGFiP avait détecté les comptes compromis dès juin puis juillet, et les avait bloqués. Mais les contrôles réalisés à ce moment-là n'avaient pas permis d'identifier que des données avaient déjà été consultées et extraites. L'exfiltration n'a été établie qu'après la revendication de l'attaquant.

Cet épisode s'inscrit dans une série. Une question écrite déposée à l'Assemblée nationale (n° 12533, 17e législature, publiée au JO le 3 février 2026) évoque, selon les termes de son auteur, la cyberattaque du ministère des Sports en décembre 2025, avec l'exfiltration de données personnelles de 3,5 millions de foyers, survenue quelques jours après celle du ministère de l'Intérieur. Une autre (n° 12048, JO du 30 décembre 2025) porte sur cette intrusion au ministère de l'Intérieur, dont le Gouvernement a reconnu qu'elle avait conduit à la compromission de plusieurs dizaines de fichiers.

Dans sa réponse publiée le 3 mars 2026, le Gouvernement rappelle que les administrations sont déjà régulées à plusieurs titres (opérateurs d'importance vitale, opérateurs de services essentiels, politique de sécurité des SI de l'État, instruction générale interministérielle n° 1337) et que ce cadre sera renforcé par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transposera la directive NIS 2 et imposera aux administrations un socle d'exigences de cybersécurité.

La feuille de route 2026-2027 : des échéances datées

La feuille de route, établie annuellement au titre de l'instruction générale interministérielle n° 1337, fixe des actions précises aux ministères. Parmi celles-ci, telles que formulées dans le document :

• inventaire des systèmes d'information à jour, avec identification des SI à enjeux, d'ici au 30 juin 2026 ;

• politique d'audit et de contrôle des SI formalisée d'ici au 30 juin 2026 et mise en œuvre d'ici au 31 décembre 2026, avec mobilisation des corps d'inspection pour contrôler l'exécution des feuilles de route ;

• renforcement de la sécurité du DNS d'ici au 30 septembre 2026 et des messageries avant le 31 décembre 2026 ;

• authentification multi-facteur sur l'ensemble des SI à enjeux avant le 28 février 2027, et sur l'ensemble des SI avant le 28 février 2028 ;

• mise à jour de la politique de sécurité des SI de l'État pour intégrer par anticipation le référentiel NIS 2 applicable aux entités essentielles, au plus tard au premier trimestre 2027 ;

• test des plans de reprise d'activité au moins une fois par an sur les SI à enjeux ;

• côté cryptographie post-quantique, identification des données durablement sensibles d'ici fin 2026, recensement des briques techniques concernées avant fin 2027, et déploiement avant 2030 sur les systèmes traitant des informations Diffusion Restreinte.

Ce sont des échéances de gouvernance et de preuve autant que de technique : inventaire, politique d'audit, contrôle par les corps d'inspection, tests documentés. C'est exactement le terrain du contrôle interne.

Ce que le communiqué ne dit pas

La presse spécialisée a relevé les angles morts. Alliancy note que le communiqué de l'ANSSI ne précise ni les moyens humains supplémentaires affectés à REACTIV, ni les modalités d'arbitrage en cas de désaccord avec un ministère, ni les indicateurs retenus pour mesurer son efficacité. Le renforcement d'autorité est réel sur le papier ; son épreuve viendra avec les prochaines crises.

Surtout, REACTIV est, à ce stade, explicitement une capacité dédiée aux services de l'État. Les collectivités territoriales, les universités, les établissements de santé, les régies, les syndicats mixtes et les établissements publics locaux n'entrent pas dans ce périmètre. Or ils gèrent des données de citoyens tout aussi sensibles, avec des ressources SSI souvent bien plus limitées, et sans force d'intervention interministérielle prête à basculer sur eux.

Ils sont en revanche plus exposés sur le plan des sanctions. Le Gouvernement le rappelle lui-même dans sa réponse à la question n° 12533 : le législateur a exclu l'État des amendes de la CNIL, mais celle-ci a considéré, dans sa décision du 22 janvier 2026 à l'encontre de France Travail, qu'un établissement public doté de la personnalité morale est une entité distincte de l'État et peut donc être sanctionné pécuniairement. Autrement dit, un ministère qui laisse fuir des données s'expose à un rappel à l'ordre ; une université, un hôpital ou une collectivité s'expose à une amende.

Trois leçons pour les organisations publiques et parapubliques

L'affaire DGFiP et la réponse de l'État dessinent une feuille de route implicite pour tout le secteur public.

1. La détection ne suffit pas, il faut la preuve. Les comptes compromis ont été détectés et bloqués. Ce qui a manqué, c'est la capacité à établir ce qui avait été consulté et extrait. Sans traçabilité des accès et sans revue documentée des habilitations, on ne sait pas ce que l'on a perdu.

2. Les tiers habilités sont dans le périmètre. L'un des deux identifiants usurpés appartenait à un tiers habilité. La maîtrise des accès des prestataires, des partenaires et des professionnels externes fait partie du dispositif de contrôle interne, pas seulement de la politique SSI.

3. La gouvernance devient contrôlable. La feuille de route de l'État demande une politique d'audit des SI et mobilise les corps d'inspection pour vérifier son exécution. Le mouvement est clair : la sécurité numérique se pilote, se documente et se contrôle comme n'importe quel autre risque de l'organisation.

Résilience numérique : la place d'ISODIT

C'est précisément cette vision que porte ISODIT. La résilience numérique d'une organisation publique ne se résume pas à ses pare-feux. Elle repose sur sa capacité à organiser ses responsabilités, à documenter ses contrôles et à tracer ses décisions, pour être en mesure de prouver ce qui a été fait, avant, pendant et après un incident.

ISODIT est une plateforme GRC (gouvernance, risques, conformité) conçue nativement pour les institutions publiques et parapubliques françaises : universités, établissements de santé, collectivités, régies et opérateurs de l'État. Elle intègre les référentiels qui structurent cette résilience, dont NIS 2, le RGPD, les recommandations de l'ANSSI et, de manière progressive, le référentiel ReCyF, aux côtés des cadres budgétaires et comptables du secteur public. Elle permet de cartographier les risques, d'affecter les contrôles, de suivre les plans d'action et de constituer la preuve attendue par les corps de contrôle. Hébergée souverainement en France, elle applique à elle-même les exigences qu'elle aide à piloter.

Les organisations publiques ne manquent pas de contrôles. Elles manquent de preuves. REACTIV donne à l'État une capacité de réaction. Aux autres acteurs publics, il revient de construire dès maintenant la capacité de gouvernance qui leur permettra de ne pas subir la prochaine crise.

Sources : ANSSI, communiqué du 7 septembre 2026 ; SGDSN/ANSSI, Feuille de route des efforts prioritaires en matière de sécurité numérique de l'État 2026-2027 (avril 2026) ; ministère de l'Économie, communiqué n° 953 du 14 août 2026 ; Alliancy, 7 septembre 2026 ; Assemblée nationale, questions écrites n° 12048 et n° 12533 et réponse du Gouvernement du 3 mars 2026 (17e législature).