La France renforce son dispositif de réponse aux violations de données touchant les administrations. À la demande du Premier ministre, l’Agence nationale de la sécurité des systèmes d’information a lancé REACTIV, pour « REponse & ACTion Interministérielle face aux Violations de données ». Cette capacité doit permettre une mobilisation immédiate des experts et des moyens de l’ANSSI auprès des ministères concernés.
Annoncé le 7 septembre 2026, le dispositif vise en priorité les compromissions de comptes utilisateurs, les intrusions susceptibles d’exposer des informations sensibles et les exfiltrations de données. Sa particularité réside dans une coordination interministérielle accélérée et dans le renforcement de l’autorité opérationnelle de l’Agence pendant la crise.
Pourquoi l’État français crée REACTIV
Les services publics manipulent des volumes importants de données personnelles, administratives et parfois stratégiques. Lorsqu’un attaquant s’empare d’un compte légitime ou accède à un système exposé, chaque heure supplémentaire peut augmenter la quantité d’informations copiées, le nombre de ressources compromises et la difficulté de l’enquête.
Le Panorama de la cybermenace 2025 de l’ANSSI faisait état de 1 366 incidents portés à la connaissance de l’Agence. Les ministères et les collectivités territoriales représentaient, avec 24 %, le deuxième ensemble de secteurs les plus touchés après l’éducation et la recherche. L’Agence signalait également une progression des incidents liés à la cybercriminalité et une multiplication des exfiltrations de données.
REACTIV répond à cette pression en prévoyant un basculement rapide des capacités opérationnelles vers les administrations attaquées. L’objectif n’est pas seulement de constater une violation, mais de réduire le temps séparant la détection d’un incident des premières actions de confinement.
Ce que change concrètement le dispositif REACTIV
Le communiqué officiel indique que l’ANSSI pourra faire prendre aux ministères, dans des délais contraints, les mesures immédiates nécessaires à la protection des données confiées aux administrations. Cette formulation traduit un renforcement de son autorité durant les opérations concernées, sans détailler publiquement l’ensemble des procédures de décision ou d’arbitrage.
En pratique, les actions urgentes peuvent inclure la désactivation d’un compte compromis, la révocation de sessions, l’isolement d’un service, la restriction temporaire d’un accès ou le déploiement d’une mesure de protection. Le communiqué ne fournit toutefois pas une liste exhaustive : la réponse devra être adaptée à la nature de l’attaque et à l’environnement du ministère touché.
Ce mode d’intervention cherche à éviter les délais liés à une coordination fragmentée. Une mesure de confinement techniquement évidente peut perdre une grande partie de son efficacité si son application doit attendre plusieurs validations alors qu’une extraction de données se poursuit.
Une communication technique de crise centralisée
REACTIV prévoit également une communication technique de crise pilotée par l’ANSSI lorsqu’une attaque liée à cette menace affecte des services de l’État. La centralisation doit permettre aux ministères de travailler à partir d’informations cohérentes : indicateurs techniques, méthodes de détection, périmètres à vérifier et mesures de remédiation.
Cette organisation devient particulièrement importante lorsqu’une même campagne vise plusieurs administrations ou exploite un fournisseur, une technologie ou un service partagé. Un indicateur identifié dans un ministère peut alors être recherché rapidement dans les autres environnements, au lieu d’être traité comme un incident isolé.
Le traitement des comptes compromis au cœur de la réponse
Un compte utilisateur valide offre souvent à l’attaquant une porte d’entrée plus discrète qu’une exploitation technique bruyante. Il peut servir à consulter une messagerie, accéder à des documents, envoyer des messages frauduleux ou progresser vers d’autres applications. La simple modification du mot de passe n’est pas toujours suffisante si des sessions ou des jetons d’accès restent valides.
Une réponse rapide doit donc associer plusieurs opérations : identifier les comptes concernés, révoquer les sessions actives, examiner les authentifications récentes, contrôler les règles de messagerie, rechercher les accès inhabituels et évaluer les données consultées ou copiées. C’est cette combinaison entre confinement et analyse qui permet de déterminer l’étendue réelle d’une violation.
REACTIV complète la feuille de route 2026-2027
Le nouveau dispositif s’inscrit dans la Feuille de route des efforts prioritaires en matière de sécurité numérique de l’État 2026-2027. Publiée en avril 2026, celle-ci doit renforcer durablement la sécurité des réseaux ministériels, préparer les administrations aux exigences de la directive NIS 2 et engager la transition vers la cryptographie post-quantique.
La feuille de route prévoit un suivi mensuel au sein du Comité interministériel de suivi de la sécurité numérique, réunissant les chaînes de sécurité des ministères sous l’égide de l’ANSSI. REACTIV apporte à ce cadre de long terme une composante plus directement orientée vers la gestion d’incidents et la protection immédiate des données.
Les conditions nécessaires à l’efficacité de REACTIV
- Une détection suffisamment précoce des compromissions et des comportements anormaux.
- Des inventaires fiables des comptes, des applications, des données et des dépendances techniques.
- Des procédures permettant de révoquer rapidement les accès et d’isoler les ressources touchées.
- Une coopération fluide entre l’ANSSI, les équipes ministérielles, les CSIRT et les responsables métiers.
- La conservation de journaux exploitables pour mesurer l’étendue de l’intrusion et conduire la remédiation.
La rapidité d’une cellule de crise ne compense pas à elle seule une visibilité insuffisante sur le système d’information. L’efficacité du dispositif dépendra aussi de la préparation menée avant l’incident, des exercices, de la disponibilité des équipes et de la capacité à appliquer une décision urgente sans perdre les éléments utiles à l’enquête.
Un renforcement important, dont les modalités restent à observer
REACTIV marque une évolution de posture : l’ANSSI ne se limite plus à apporter une expertise aux ministères concernés, mais bénéficie d’un cadre lui permettant d’accélérer l’adoption de mesures immédiates. Le dispositif pourrait réduire la durée pendant laquelle un attaquant conserve ses accès et limiter l’ampleur d’une fuite.
Plusieurs éléments ne sont cependant pas détaillés dans l’annonce initiale, notamment les moyens humains spécifiquement affectés, les critères d’activation, la durée des opérations ou les indicateurs destinés à évaluer leur efficacité. Les prochains incidents et les futurs bilans permettront de mesurer la portée réelle de cette nouvelle capacité de cyberdéfense.
