Garantir la continuité numérique des armées et de leurs fournisseurs critiques
Objectif : empêcher qu’un incident informatique local ne provoque une rupture majeure de capacité militaire et démontrer régulièrement que les activités prioritaires peuvent continuer ou reprendre.
1. Renforcer les dispositifs déjà en place
Le COMCYBER, l’ANSSI, le CERT des entreprises de défense porté par la DRSD, le Diagnostic Cyber Défense et le référentiel de maturité cyber de la DGA existent déjà.
La proposition est de leur adosser un programme 2027-2029 de continuité opérationnelle, avec des résultats vérifiables. Aucun organisme supplémentaire ne serait créé.
2. Protéger les missions prioritaires, pas seulement les équipements informatiques
D’ici fin 2027, chaque mission militaire et chaque activité industrielle retenue comme critique devraient disposer d’un responsable de continuité, d’un inventaire de leurs dépendances et d’objectifs de reprise validés par le responsable opérationnel.
Fixer les délais acceptables selon les conséquences d’une interruption. Prioriser la sécurisation des accès privilégiés, le cloisonnement des réseaux, les sauvegardes protégées et la correction des vulnérabilités. Lorsqu’un système ancien ne peut être corrigé immédiatement, imposer des protections compensatoires, un responsable et une échéance de remplacement. Toute dérogation serait limitée dans le temps et réexaminée.
3. Vérifier que la reprise fonctionne réellement
À partir de 2028, viser un test annuel de reprise pour 100 % des activités inscrites au périmètre critique, adapté à leurs contraintes de sécurité et de disponibilité. Le test devrait vérifier la restauration des données, leur intégrité et la reprise du service utile, pas seulement le redémarrage des serveurs.
Exercer également les procédures de fonctionnement dégradé : responsabilités, moyens de communication de secours et tâches pouvant continuer hors du système habituel.
Chaque échec donnerait lieu, sous trente jours, à un plan de correction financé et daté. Un nouveau test vérifierait sa résolution. Les exercices existants pourraient satisfaire cette exigence, sans créer une campagne supplémentaire.
4. Accompagner les fournisseurs indispensables jusqu’à la correction
Sélectionner les entreprises selon la criticité de leurs fournitures et leur difficulté de remplacement, plutôt que selon leur seule taille. Utiliser le référentiel existant et faire reconnaître une même évaluation par les donneurs d’ordres concernés.
Proposer un premier programme de 500 PME ou ETI sur trois ans, avec un soutien public complémentaire plafonné à 20 000 euros par entreprise pour des corrections prioritaires et un test de reprise. Plafond total : 10 millions d’euros, hors gestion et évaluation.
L’aide couvrirait au maximum 50 % des dépenses éligibles, après déduction des financements couvrant déjà les mêmes dépenses. Son versement serait lié à la réalisation vérifiée des actions. L’entreprise et, par accord contractuel, ses donneurs d’ordres financeraient le solde.
Ce volume et ce plafond sont proposés pour dimensionner une première étape ; ils ne constituent ni un dispositif existant ni le coût complet de sécurisation de la filière.
5. Préparer la réponse et maîtriser les dépendances
Intégrer aux contrats critiques un dispositif de signalement rapide, un contact de crise et des responsabilités précises entre client, fournisseur et prestataire informatique. Articuler ces clauses avec les obligations légales et les circuits du CERT des entreprises de défense.
Tester chaque année une crise associant armées et industriels, notamment l’indisponibilité d’un fournisseur numérique essentiel.
Pour tout nouveau contrat numérique critique, exiger une analyse de dépendance, des conditions de réversibilité et une solution de continuité proportionnée. Privilégier les solutions françaises ou européennes maîtrisables et adaptées aux exigences de sécurité ; l’origine du fournisseur ne suffit pas à garantir la protection.
Financement et responsabilités
Les mesures militaires seraient chiffrées système par système et inscrites dans les budgets de fonctionnement, d’entretien et d’équipement concernés. Les crédits cyber déjà programmés ne seraient pas présentés comme intégralement disponibles. Les 10 millions d’aides seraient financés par un redéploiement explicite ou un crédit supplémentaire voté, sans compter deux fois les dispositifs existants.
Le ministère des Armées porterait le programme ; le COMCYBER piloterait son volet militaire. La DGA traiterait les exigences industrielles et contractuelles. La DRSD accompagnerait les entreprises dans son champ de compétence, en coordination avec l’ANSSI. Les industriels resteraient responsables de leurs systèmes. Les collectivités pourraient relayer les aides.
Bénéfices attendus : moins d’interruptions prolongées, des livraisons mieux protégées et une capacité de reprise démontrée.
