Face à l’intensification des attaques cybercriminelles et des violations de données touchant les services de l’État, le Premier ministre a demandé à l’ANSSI de renforcer sa capacité d’intervention auprès des ministères.
Le dispositif, baptisé REACTIV pour « REponse & ACTion Interministérielle face aux Violations de données », doit permettre à l’Agence de mobiliser immédiatement ses compétences et ses moyens pour traiter les compromissions de comptes utilisateurs, analyser les violations de données et mieux contenir les exfiltrations.
L’annonce n’arrive toutefois pas dans un paysage vierge. Quelques mois plus tôt, l’État avait déjà reconnu la persistance de vulnérabilités importantes dans ses systèmes d’information et publié une feuille de route 2026-2027 particulièrement détaillée.
REACTIV ne remplace donc pas cette stratégie. Il en marque plutôt l’accélération opérationnelle.
Un diagnostic déjà posé au printemps
Publiée en avril 2026, la feuille de route des efforts prioritaires en matière de sécurité numérique de l’État partait d’un constat sans ambiguïté. Les multiples intrusions et fuites de données ayant affecté en 2025 les systèmes d’information des ministères et de leurs établissements publics révélaient, selon le document, la persistance de vulnérabilités graves dans ces infrastructures.
L’État avait donc identifié dix chantiers prioritaires : gouvernance, homologation des systèmes d’information, maîtrise des fournisseurs, maintien en condition de sécurité, protection des services exposés sur Internet, authentification et gestion des accès, sécurisation de l’administration, supervision et réponse à incident, plans de reprise d’activité et transition vers la cryptographie post-quantique.
Cette feuille de route devait également préparer les administrations à leur future mise en conformité avec NIS 2. Son suivi opérationnel est assuré mensuellement dans le cadre du Comité interministériel de suivi de la sécurité numérique.
Le diagnostic était donc posé, les actions identifiées et les échéances fixées, mais la multiplication des violations de données conduit désormais le Gouvernement à demander d’en accélérer la mise en œuvre.
REACTIV : passer immédiatement en mode opérationnel
Le changement apporté par REACTIV tient d’abord à sa logique d’intervention. Lorsqu’une attaque correspondant à cette menace touche un service de l’État, l’ANSSI doit pouvoir basculer immédiatement ses efforts opérationnels afin de renforcer son assistance au ministère concerné.
La priorité est clairement donnée aux compromissions de comptes et aux violations de données, avec un objectif : circonscrire plus rapidement les attaques et limiter les exfiltrations, mais le dispositif comporte également une évolution de gouvernance.
L’ANSSI pourra faire prendre aux ministères, dans des délais contraints, les mesures immédiates nécessaires à la protection des données confiées aux administrations. Elle assurera également une communication technique de crise centralisée lorsque plusieurs services de l’État sont confrontés à ce type d’attaque. Ce point n’est pas anodin, il ne s’agit plus seulement de conseiller, d’accompagner ou de publier des recommandations. Dans une situation de crise déterminée, la capacité de coordination et d’intervention de l’Agence est explicitement renforcée.
L’identité et les accès au cœur des priorités
Le ciblage des compromissions de comptes par REACTIV fait directement écho aux mesures déjà prévues dans la feuille de route. Le document demande notamment aux ministères d’automatiser le cycle de vie des identités et des accès, d’organiser des revues régulières des droits, de supprimer les comptes génériques lorsqu’ils ne sont pas indispensables et de généraliser progressivement l’authentification multifacteur.
Pour les systèmes d’information à enjeux, le MFA doit être déployé avant février 2027, puis étendu à l’ensemble des systèmes concernés. Les administrateurs doivent, quant à eux, bénéficier d’une authentification multifacteur généralisée avant la fin de l’année 2026. Ces mesures prennent une importance particulière lorsqu’une attaque commence précisément par l’exploitation d’un compte compromis.
Le même raisonnement vaut pour la supervision, la feuille de route prévoit l’amélioration de la collecte et de l’analyse des traces, le déploiement d’EDR ou de XDR sur les postes et les serveurs, ainsi que la consolidation des CSIRT ministériels et de leur articulation avec le CERT-FR.
REACTIV vient donc renforcer un dispositif dont les principales briques avaient déjà été identifiées.
Une accélération plutôt qu’un changement de stratégie
L’annonce de septembre ne constitue pas un nouveau plan cyber pour l’État, elle révèle plutôt que le rythme de mise en œuvre prévu n’est plus considéré comme suffisant face à la menace observée. Cette distinction est importante.
La feuille de route elle-même reconnaissait déjà que des contraintes budgétaires avaient pesé sur la réalisation du programme précédent. Elle reprenait certaines actions, affermissait plusieurs échéances et demandait un pilotage renforcé.
Quelques mois plus tard, le Premier ministre demande désormais d’en accélérer l’exécution. Le mouvement est assez clair :
diagnostic → planification → suivi → accélération → capacité d’intervention renforcée.
Il serait toutefois excessif d’en déduire que la stratégie précédente aurait échoué ou que REACTIV constituerait une réponse improvisée aux seules attaques des dernières semaines. Les sources officielles ne désignent d’ailleurs pas un incident particulier comme déclencheur du dispositif. L’ANSSI évoque plus largement une intensification des attaques cybercriminelles liées à des violations de données affectant les services de l’État.
Les fuites de données comme révélateur
Les violations de données attirent naturellement l’attention parce qu’elles produisent des conséquences immédiatement perceptibles : informations exposées, comptes compromis, données susceptibles d’être exploitées ou revendues.
Mais elles sont rarement un problème isolé. Derrière une exfiltration peuvent se trouver une faiblesse d’authentification, un compte insuffisamment protégé, des droits trop larges, une vulnérabilité non corrigée ou une détection trop tardive. C’est précisément pourquoi la feuille de route ne se limite pas à la réponse à incident.
Elle impose également de réduire l’obsolescence, d’améliorer les procédures de correctifs, de sécuriser les DNS et les messageries, de renforcer les accès privilégiés, d’auditer les systèmes et de tester régulièrement les sauvegardes et les plans de reprise.
REACTIV intervient donc au moment où l’incident est déjà présent. La feuille de route cherche, elle, à réduire la probabilité qu’il survienne et ses conséquences lorsqu’il se produit. Les deux démarches sont complémentaires.
De la feuille de route à la capacité d’action
L’État avait déjà reconnu ses fragilités et fixé les travaux nécessaires pour y répondre. La décision annoncée par l’ANSSI le 7 septembre traduit une étape supplémentaire : la persistance des violations de données conduit désormais à accélérer ces travaux et à renforcer directement la capacité d’intervention de l’Agence auprès des ministères.
Le dispositif ne fera évidemment pas disparaître les cyberattaques visant les administrations, son intérêt est ailleurs. Il réduit le temps nécessaire pour mobiliser les moyens, centralise la réponse technique et permet d’imposer rapidement certaines mesures lorsque la situation l’exige.
Dans un environnement où quelques heures peuvent suffire pour transformer la compromission d’un compte en exfiltration massive de données, ce facteur temps devient déterminant.
REACTIV ne constitue donc pas une révolution de la cybersécurité de l’État, il matérialise quelque chose de plus pragmatique : après avoir identifié ses faiblesses et défini ses priorités, l’État estime désormais nécessaire d’accélérer leur traitement et de raccourcir sa chaîne de réaction face aux attaques.
Et au regard des violations de données qui continuent d’affecter ses services, cette accélération apparaît moins comme une nouvelle orientation que comme la conséquence logique d’un diagnostic déjà posé depuis plusieurs mois.
