REACTIV : l'ANSSI passe du conseil au pouvoir d'injonction, un tournant pour la cyberdéfense française
Le 7 septembre 2026, l'ANSSI a officialisé un dispositif nommé REACTIV, pour « REponse & ACTion Interministérielle face aux Violations de données ». Derrière le vocabulaire administratif, un changement de posture rare : pour la première fois, l'agence dispose de la faculté d'imposer aux ministères des mesures immédiates dans des délais contraints. Elle centralise également la communication technique de crise en cas d'attaque touchant un service de l'État.
Ce basculement n'est pas isolé. Il fait suite à une série d'attaques massives ayant frappé les services de l'État au cours de l'année 2026, et il s'inscrit dans une trajectoire longue de renforcement de la doctrine cyber française.
Pour le secteur privé, les implications sont moins immédiates mais tout aussi structurantes : la mécanique de renforcement de l'autorité publique en matière de cybersécurité qui se dessine ici a de fortes chances de s'étendre, sous d'autres formes, aux organisations privées dans les prochaines années.
REACTIV : mécanique et portée du dispositif
Le communiqué de l'ANSSI décrit un dispositif opérationnel qui repose sur deux mouvements complémentaires.
Le premier est un basculement des efforts opérationnels de l'agence. Autrement dit, l'ANSSI redéploie ses ressources existantes pour renforcer immédiatement son appui aux ministères touchés par des compromissions de comptes utilisateurs ou des violations de données. Il ne s'agit pas de la création d'une nouvelle structure, mais d'une réallocation prioritaire des moyens actuels, ce qui explique la rapidité de la mise en place, quelques semaines seulement après la demande formulée par le Premier ministre en août 2026.
Le second est un renforcement de l'autorité de l'ANSSI, articulé autour de deux prérogatives nouvelles :
- la faculté de faire prendre aux ministères, dans des délais contraints, les mesures immédiates jugées nécessaires à la protection des données confiées aux administrations ;
- la centralisation par l'ANSSI de la communication technique de crise lorsqu'une attaque relative à cette menace touche des services de l'État.
Ces deux éléments constituent le vrai changement de nature. Jusqu'à présent, l'ANSSI intervenait auprès des administrations dans un rôle d'assistance et de conseil, avec un pouvoir d'influence important mais des leviers essentiellement fondés sur la persuasion. Avec REACTIV, elle acquiert une capacité prescriptive assumée. Le dispositif complète la Feuille de route des efforts prioritaires en matière de sécurité numérique de l'État 2026-2027, publiée en avril 2026 par le Secrétariat général de la défense et de la sécurité nationale, dont le Premier ministre a demandé l'accélération de la mise en œuvre.
Une année 2026 qui a rendu ce basculement inévitable
REACTIV ne surgit pas dans un ciel serein. Le dispositif répond à une série d'incidents majeurs qui ont exposé, en quelques mois, les fragilités du système d'information de l'État français.
En janvier 2026, la fuite du fichier national des comptes bancaires (FICOBA) a touché 1,2 million de comptes, exploitant les identifiants de connexion d'un agent du ministère. L'attaque, révélée publiquement en février, a fait l'objet d'une question écrite à l'Assemblée nationale qualifiant les défaillances de « gravissimes ».
De fin juin à mi-août 2026, trois intrusions successives à la Direction générale des Finances publiques ont conduit à l'extraction de dossiers concernant plus de 678 000 personnes. Les trois attaques ont exploité respectivement l'usurpation d'identifiants d'un agent puis d'un tiers habilité, le contournement de l'authentification à plusieurs facteurs sur un compte partenaire, et un défaut de contrôle d'accès sur un portail exposé.
Durant l'été 2026, plusieurs incidents ont également touché l'Éducation nationale, notamment le service ÉduConnect utilisé par les élèves et leurs familles.
Selon la note de la commission des Finances du Sénat, la DGFiP a détecté plus de 7 800 attaques sur les huit premiers mois de 2026. Le rapport parlementaire dresse un constat qualifié de « très préoccupant » : entre la première intrusion détectée fin juin et la seconde fin juillet, les mesures correctrices n'ont pas été prises, et l'administration n'a eu conscience de l'exfiltration effective de données qu'après la revendication publique du cybercriminel en août.
Ce que ces attaques révèlent n'est pas d'ordre technologique. C'est un déficit persistant sur les fondamentaux :
- usurpation d'identifiants comme vecteur récurrent,
- absence de MFA sur des comptes sensibles,
- comptes partagés entre ministères,
- défauts de contrôle d'accès sur des services exposés à Internet.
Le rapport sénatorial pointe des failles connues, documentées, et non corrigées.
De l'assistance à l'injonction : un changement de nature
Historiquement, l'ANSSI opère avec une doctrine de l'accompagnement. Elle publie des guides, elle conseille les administrations, elle assiste techniquement les entités victimes d'incidents. Son influence est réelle, ses recommandations font autorité, mais elle ne dispose pas (ou de manière limitée) du pouvoir de contraindre un ministère à mettre en œuvre une mesure dans un délai imposé.
REACTIV modifie cet équilibre. En permettant à l'agence d'exiger l'application de mesures immédiates, le dispositif transforme la relation entre l'ANSSI et les administrations qu'elle protège. Le vocabulaire du communiqué officiel est explicite : il s'agit de « faire prendre aux ministères, dans des délais contraints, les mesures immédiates qui s'imposent ».
Ce mouvement s'inscrit dans une trajectoire plus large. Depuis dix-huit mois, la posture cyber française devient publique et politique : attribution du mode opératoire APT28 au GRU russe en avril 2025, attribution du mode opératoire Turla au FSB russe en juillet 2026, publication de la stratégie nationale de cybersécurité 2026-2030 en janvier, sanctions européennes coordonnées. Chaque étape traduit une même conviction : la protection numérique de l'État ne peut plus reposer sur la seule bonne volonté des administrations.
Les implications pour le secteur privé
REACTIV s'applique exclusivement aux services de l'État. Aucune disposition du dispositif n'étend directement l'autorité de l'ANSSI aux organisations privées, qui restent soumises à leur régime propre (NIS2 pour les entités essentielles et importantes, DORA pour le secteur financier, réglementations sectorielles diverses). Pourtant, les entreprises françaises ont plusieurs raisons de suivre ce basculement avec attention.
La première raison est celle de la trajectoire. Les évolutions doctrinales de l'ANSSI préfigurent régulièrement, dans un délai de quelques mois à quelques années, des évolutions similaires dans les régimes régulatoires applicables au secteur privé. La loi française de transposition de NIS2, dite « loi Résilience », dont la promulgation est attendue en 2026, confiera à l'ANSSI un rôle d'autorité de contrôle sur les entités essentielles et importantes, avec un pouvoir d'audit, d'injonction et de sanction.
Même mécanisme que pour REACTIV : sortir du seul registre de l'accompagnement pour entrer dans celui de la supervision effective. L'application effective de ces pouvoirs de sanction est prévue à partir de 2027-2028, à l'issue d'une période d'accompagnement de trois ans.
La deuxième raison est que ce mouvement de fond dépasse le seul cas de l'ANSSI. Dans le secteur bancaire et assurantiel, c'est l'ACPR (régulateur indépendant adossé à la Banque de France) qui suit une trajectoire parallèle. Après une année 2025 qualifiée par l'autorité de « phase d'accompagnement » sur DORA, l'ACPR a explicitement fait de 2026 une « année de supervision », avec entrée en régime effectif des contrôles et des sanctions. Le régulateur, quel qu'il soit, sort progressivement du registre du conseil pour entrer dans celui de l'exigence contraignante. Ce que l'ANSSI applique aux ministères, l'ACPR l'applique aux banques et assureurs. Les autres régulateurs sectoriels suivront probablement le même chemin.
La troisième raison est d'ordre culturel. L'affaire DGFiP illustre un phénomène qui n'est pas propre à l'administration : les fondamentaux d'authentification, de gestion des comptes à privilèges et de contrôle d'accès restent insuffisamment maîtrisés dans un grand nombre d'organisations, publiques comme privées. Les régulateurs auront de plus en plus de mal à admettre que ces manquements persistent, précisément parce que leur exploitation est documentée en boucle depuis plusieurs années.
La quatrième raison concerne les prestataires du secteur public. Les entreprises qui fournissent des services techniques aux administrations (infogérance, développement logiciel, hébergement, conseil, intégration) feront face à des exigences accrues transposées dans leurs contrats. Une administration soumise à un pouvoir d'injonction de l'ANSSI reportera mécaniquement une partie de ces contraintes sur ses fournisseurs : clauses de sécurité renforcées dans les appels d'offres, exigences de certifications qualifiantes (PASSI, SecNumCloud, HDS selon les cas), obligations de notification d'incident, audits externes plus fréquents. Pour les prestataires concernés, ce peut être le premier impact concret ressenti de la nouvelle doctrine, bien avant les effets de NIS2 ou de DORA. Ce mouvement, déjà observable dans les appels d'offres publics récents, va s'accentuer.
Se préparer aux exigences qui arrivent
Sans céder à la précipitation, plusieurs axes de travail se dégagent pour les organisations privées qui souhaitent anticiper l'évolution du cadre régulatoire et opérationnel.
Auditer sa posture face aux exigences de réactivité. La question n'est plus seulement « sommes-nous protégés » mais « combien de temps mettons-nous à détecter, décider et agir ». Les délais moyens de détection, de qualification et de remédiation d'un incident deviennent des indicateurs de maturité à mesurer et à faire progresser.
Formaliser les procédures d'escalade et de coordination. Les attaques récentes montrent qu'entre la détection technique d'un incident et sa remontée aux instances de décision, plusieurs jours peuvent s'écouler. Une procédure d'escalade claire, testée régulièrement, avec des délais explicites et des rôles nommés, est un chantier concret qui peut être engagé sans investissement technique majeur.
Renforcer les fondamentaux d'authentification. MFA généralisée (y compris sur les comptes à privilèges et les comptes de service), gestion rigoureuse des identifiants partenaires, revue régulière des accès. Les techniques utilisées contre la DGFiP ne relèvent pas de l'attaque sophistiquée : elles exploitent des lacunes de configuration qu'une gouvernance disciplinée corrige.
Se préparer aux inspections et audits externes. Les régulateurs (ACPR pour la finance, autorités sectorielles pour les autres secteurs) vont accroître la fréquence et la profondeur de leurs contrôles. Disposer d'une documentation à jour, d'un plan de conformité tracé et d'indicateurs de pilotage exploitables devient un enjeu opérationnel, pas seulement juridique.
Cette intersection (cadrage réglementaire, audit de posture, renforcement des fondamentaux, préparation aux contrôles) est aussi celle où l'on observe une pression forte sur les fonctions RSSI et conformité. Les périmètres se sont élargis, les délais se sont resserrés, et les compétences requises couvrent aujourd'hui un spectre qu'aucune équipe interne, même bien dimensionnée, ne peut couvrir seule en permanence. La montée des recours à des consultants externes traduit cette réalité, en réponse pragmatique à un métier qui s'est transformé plus vite que les organisations.
Un mouvement de fond durable
REACTIV n'est pas un événement conjoncturel. Le dispositif s'inscrit dans une évolution doctrinale continue, portée politiquement et coordonnée au niveau européen. Deux attributions publiques de campagnes étatiques en quinze mois, une stratégie nationale 2026-2030, une feuille de route interministérielle accélérée, un pouvoir prescriptif nouveau : les mouvements se cumulent et convergent vers une même conclusion.
La cybersécurité, longtemps traitée comme un sujet technique laissé aux experts, devient un sujet politique de premier rang. Cette élévation s'accompagne mécaniquement de leviers d'autorité renouvelés : capacité d'injonction, contraintes de délai, sanctions.
Les organisations qui traitent la cybersécurité comme un chantier à long terme, avec des fondamentaux disciplinés et une gouvernance mature, se retrouvent structurellement en meilleure posture face à ces évolutions. Celles qui la traitent encore comme une obligation à remplir en dernière minute vont probablement rencontrer, dans les mois qui viennent, des inconforts croissants : d'abord réglementaires, ensuite opérationnels.