Cybersécurité citoyenne et PME : ANSSI × 2, cyber-service national 20 000/an, diagnostic gratuit PME et collectivités, assurance cyber d'État, formation obligatoire école, cyber-réserve opérationnelle

Diagnostic

Les cyberattaques ont explosé : ~50 000 en France en 2024 (rapport ANSSI), dont ~40 % ciblent les PME et TPE (rapport Cybermalveillance). Les hôpitaux publics subissent ~400 attaques/an, avec des conséquences dramatiques (fermeture urgences, décès indirects, fuites de données). Les mairies petites et moyennes sont attaquées régulièrement, parfois rançon payée en secret.

Impact économique estimé : ~2 à 3 Md€/an pour l'économie française selon la Cour des comptes (2023) — sous-estimation probable car les entreprises ne déclarent pas systématiquement.

Cinq défaillances structurelles :

1. ANSSI sous-dimensionnée. L'Agence Nationale de la Sécurité des Systèmes d'Information dispose de ~1 200 agents pour protéger l'État, les OIV (Opérateurs d'Importance Vitale) et coordonner la doctrine. C'est insuffisant face à l'ampleur de la menace. À titre de comparaison, le NCSC britannique a ~1 500 agents pour 65 millions d'habitants, l'équivalent israélien ~2 000 pour 9 millions, l'équivalent estonien ~500 pour 1,3 million.

1. Les PME sont livrées à elles-mêmes. Aucune obligation de diagnostic cyber, pas de subvention pour se protéger, peu d'information. Résultat : ~40 % des PME attaquées ferment dans les 3 ans (rapport Cybermalveillance 2023).

1. Les hôpitaux et mairies sont vulnérables. Systèmes vieillissants, personnels non formés, budgets insuffisants. L'attaque contre le CHU de Rennes en 2023 (32 M€ de coût direct) a montré l'ampleur du risque.

1. Le grand public n'est pas éduqué. Aucune formation obligatoire à la cybersécurité de base (mots de passe, phishing, données personnelles) dans le parcours scolaire. Résultat : les Français sont parmi les plus vulnérables aux arnaques en ligne.

1. Réserve cyber inexistante à l'échelle nécessaire. Une garde cyber civile organisée pour renforcer les capacités en cas de crise nationale n'existe pas.

Ce que font les autres pays qui réussissent mieux :

• Israël : Cyber Iron Dome, NCSC modèle mondial, formation obligatoire dès le collège, service cyber national intégré au service militaire — 8 200 unité légendaire d'où sortent les startups cybersécurité mondiales.
• Singapour : Cyber Security Agency (CSA), diagnostics gratuits pour PME, formation obligatoire dans les écoles, coopération intergouvernementale renforcée.
• Royaume-Uni : NCSC (National Cyber Security Centre) avec ~1 500 agents, subventions massives aux PME (Cyber Essentials), campagne grand public.
• Estonie : Cyber-république exemplaire depuis l'attaque russe de 2007. Défense cyber intégrée à la Défense nationale.
• Allemagne : BSI (Bundesamt für Sicherheit in der Informationstechnik), cyber-réserve intégrée à la Bundeswehr.
• États-Unis : CISA (Cybersecurity and Infrastructure Security Agency), Cyber National Guard.

Cette mesure démocratise la cyberdéfense française : protection étendue aux PME, mairies, hôpitaux et citoyens, formation des jeunes, réserve opérationnelle massive, articulation avec le service national obligatoire (mesure du programme) et la Réserve nationale d'expérience.

Mesure

A. ANSSI doublée — 1 200 → 2 400 agents.

• Recrutement de 1 200 agents supplémentaires en 5 ans (+ 240/an)
• Profils : ingénieurs sécurité, analystes SOC, juristes cyber, spécialistes forensics, experts IA défensive
• Doctrine élargie : au-delà des OIV, l'ANSSI protège aussi les EIV (Établissements d'Importance Vitale — hôpitaux publics, collectivités > 20 000 habitants) et les infrastructures critiques
• Coopération renforcée avec les CERT régionaux (Computer Emergency Response Teams)
• Budget ANSSI : ~200 M€ → ~450 M€/an

B. Cyber-service national — 20 000 jeunes formés/an.

• Nouvelle voie du Service National Obligatoire (mesure du programme, 8 semaines à 18-19 ans, tirage au sort) : la « voie cybersécurité »
• 20 000 jeunes/an formés intensivement pendant les 8 semaines à la cybersécurité de base (hygiène numérique, détection basique, alerte, forensics de base)
• Débouché : possibilité de continuer par un service civique cyber renforcé de 6 mois (rémunéré 0,6 SMIC — articulé mesure Politique jeunesse) ou par un engagement en cyber-réserve
• Contribution à la mesure de la dette Statut Étudiant : 6 mois cyber-service national = – 10 000 € de dette

C. Diagnostic cybersécurité gratuit et annuel — PME et collectivités.

• Diagnostic annuel gratuit pour toutes les PME < 250 salariés et collectivités < 20 000 habitants (~4 millions d'entités)
• Auditeurs certifiés (mix public/privé conventionné)
• Livrable : rapport standard + plan de remédiation prioritaire + subvention 50 % pour la mise en œuvre
• Obligation légale d'accepter le diagnostic si pris en charge par l'État (mais liberté d'appliquer les recommandations)
• Modèle : Singapour (CSA Cyber Health Check for SMEs), UK Cyber Essentials

D. Assurance cyber d'État mutualisée.

• Création d'un dispositif d'assurance cyber public pour les entités < 250 salariés et pour les hôpitaux publics + mairies
• Cotisation : 100 €/an minimum pour PME (jusqu'à 500 €/an selon taille)
• Couverture : rançon (encadrée, non-encouragée), coût de reconstruction, arrêt d'activité, notifications RGPD
• Plafond garantie : 500 k€ (PME), 5 M€ (collectivités et hôpitaux)
• Modèle : programme belge CyberFundamentals + CyberFund

E. Formation obligatoire école — cybersécurité citoyenne.

• Intégration au programme scolaire :
  • Cycle 3 (CM1-CM2, 6ᵉ) : hygiène numérique de base (mots de passe, données perso, harcèlement)
  • Cycle 4 (5ᵉ-3ᵉ) : phishing, arnaques en ligne, chiffrement, signalement
  • Lycée : atelier annuel obligatoire cybersécurité (2 h par semestre)
• Formation continue enseignants : 10 h/an obligatoire (modèle finlandais)
• Test national annuel « Cyber-citoyenneté » à la fin de la 3ᵉ (obligatoire mais sans note bloquante)

F. Cyber-réserve opérationnelle — 20 000 réservistes.

• Création d'une Cyber-Réserve Nationale intégrée à la Réserve nationale d'expérience (mesure du programme)
• 20 000 réservistes en 2032 (issus du cyber-service national, du privé volontaire, des retraités du numérique)
• Missions : renforcement en cas de crise cyber (attaque massive coordonnée), support ANSSI, formation continue, sensibilisation
• Rémunération : ~800 €/mois pour engagement mensuel régulier (2 jours/mois), ~5 000 €/mois lors des périodes d'activation intensive
• Modèle : US Cyber National Guard, Estonian Cyber Defence Unit, UK Cyber Reserve

G. Labellisation « Logiciel Souverain » et priorité commande publique.

• Label indépendant certifié par l'ANSSI pour logiciels et cloud français ou européens qui répondent aux critères : hébergement UE, ne collaborent pas avec services de renseignement étrangers, code auditable, chiffrement de bout en bout
• Priorité obligatoire à la commande publique pour les logiciels labellisés (dérogation motivée si absence d'alternative)
• Périmètre : administrations d'État, hôpitaux publics, collectivités

H. Sanctions cyber-attaquants renforcées.

• Peines plancher pour cybercriminalité organisée
• Coordination internationale renforcée (Europol, Interpol, coopération bilatérale avec Corée du Sud, Israël, USA)
• Extradition obligatoire pour cyberattaquants identifiés sur le sol national (accords bilatéraux à négocier)
• Confiscation de patrimoine issu des rançons (procédure accélérée)

I. Fonds d'indemnisation cyber-victimes particuliers.

• Pour les particuliers victimes de fraude cyber (fraude bancaire, arnaque en ligne, usurpation d'identité, chantage à la webcam) : indemnisation État jusqu'à 5 000 € si fraude prouvée
• Objectif : ~200 000 dossiers/an, budget ~500 M€/an (contribution des banques via fonds de garantie renforcé)
• Procédure simplifiée : dépôt en ligne, décision sous 60 jours

J. Gouvernance : Ministère du Numérique et de la Cybersécurité renforcé.

• Rattachement de l'ANSSI, Cybermalveillance.gouv.fr, ANSSI, CNIL et de la CNPS (Commission Nationale de Protection des Systèmes) à un Secrétariat d'État à la Cybersécurité rattaché au Premier ministre
• Convention pluriannuelle Cyber-France 2032 : État + entreprises + collectivités + acteurs de la formation
• Reporting annuel public : nombre d'attaques traitées, coûts évités, taux de PME/collectivités protégées

Public cible

Cible directe :

• ~4 millions de PME < 250 salariés (diagnostic gratuit annuel)
• ~35 000 collectivités locales
• ~1 500 hôpitaux publics et EHPAD
• ~20 000 cyber-réservistes formés en 2032
• ~20 000 jeunes/an en cyber-service national
• ~12 M d'élèves du primaire au lycée (formation obligatoire)

Cible indirecte :

• L'ensemble des Français (~65 M) — éducation à la cyber-citoyenneté
• Souveraineté technologique française (label logiciel souverain + commande publique)
• Filière cybersécurité française (débouchés PME et grand groupe — soutien à la filière)
• Économie française — réduction des ~2-3 Md€/an de coûts cyber non-évités actuellement

Financement

Coûts bruts annuels régime de croisière (an 5+) :

• A. ANSSI doublée (recrutements + fonctionnement) : +250 M€/an
• B. Cyber-service national (formation 20 000/an) : +200 M€/an (mutualisé avec service national obligatoire)
• C. Diagnostic gratuit PME et collectivités : +150 M€/an
• D. Assurance cyber d'État (mutualisation) : +200 M€/an (coût net, cotisations couvrent partiellement)
• E. Formation obligatoire école (matériel + formation enseignants) : +100 M€/an
• F. Cyber-réserve opérationnelle : +150 M€/an
• G. Labellisation logiciels souverains + surcoût commande publique : +100 M€/an
• H. Sanctions et coordination internationale : +50 M€/an
• I. Fonds indemnisation cyber-victimes : +500 M€/an (contribution banques ~50 %, État ~50 %)
• J. Gouvernance renforcée : +50 M€/an
• Total brut annuel régime croisière : ~1,75 Md€/an

Sur 5 ans (montée en charge, recrutements progressifs) :

• An 1 : 300 M€
• An 2 : 700 M€
• An 3 : 1,2 Md€
• An 4 : 1,55 Md€
• An 5 : 1,75 Md€
• Total brut 5 ans : ~5,5 Md€ (arrondi à ~3,8 Md€ après contributions bancaires et cotisations PME)

Recettes et économies annuelles régime croisière :

• Économies attaques évitées (rapporté par ANSSI-BPI : chaque euro investi cybersécurité en économise 3-4 en dommages) : ~2,5 Md€/an
• Cotisations assurance cyber (PME + collectivités) : ~300 M€/an
• Contribution banques (Fonds indemnisation) : ~250 M€/an
• Recettes label logiciel souverain (redevance industrie) : ~50 M€/an
• Total recettes annuelles régime croisière : ~3,1 Md€/an

Coût net régime croisière : ~-1,35 Md€/an

Ah non — recettes > coûts : coût net devient POSITIF de ~+1,35 Md€/an en régime croisière.

Sur 5 ans :

• Coûts cumulés (nets contributions) : ~3,8 Md€
• Recettes cumulées (économies + cotisations + contributions) : ~9-10 Md€
• Solde net 5 ans : ~+2 Md€ (positif dès l'an 3, cumul positif net à 5 ans)

À 15 ans : ~+10 Md€/an grâce à :

• Économies structurelles cyber (moins d'attaques réussies, filière défensive renforcée)
• Retombées industrielles filière cybersécurité française (startups, exports, brevets)
• Économies sur cyber-attaques évitées dans les hôpitaux et administrations
• Positionnement France comme référence UE en cybersécurité (attraction talents, entreprises)

la cybersécurité n'est pas un coût — c'est un investissement rentable dès la 3ᵉ année. Cette mesure protège la nation numérique française tout en générant des recettes nettes. Elle démocratise une protection aujourd'hui réservée aux grands groupes et à l'État.

Calendrier

• An 1. Adoption parlementaire. Recrutement 240 agents ANSSI supplémentaires (an 1). Lancement diagnostic cyber gratuit pilote (1 000 PME et 500 collectivités). Élaboration curriculum scolaire cybersécurité (cycle 3, 4, lycée). Lancement Cyber-Réserve pilote (2 000 réservistes en an 1). Ouverture Fonds indemnisation cyber-victimes.
• An 2. Ouverture voie cyber-service national (20 000 jeunes en an 2). Généralisation diagnostic cyber PME et collectivités (100 000 diagnostics/an). Labellisation « Logiciel Souverain » opérationnelle. Formation scolaire effective (rentrée septembre).
• An 3. ANSSI à 1 800 agents (montée en charge). Assurance cyber d'État généralisée. Cyber-Réserve à 10 000 réservistes. Bilan à mi-parcours ANSSI + Cour des comptes.
• An 4. ANSSI à 2 100 agents. Diagnostic cyber annuel effectif pour 500 000 PME et 20 000 collectivités. Sanctions cyber-attaquants renforcées effectives (coopération internationale opérationnelle).
• An 5. ANSSI à 2 400 agents (cible atteinte). Cyber-Réserve à 20 000 réservistes. Bilan complet : attaques évitées, PME protégées, économies documentées, cyber-citoyenneté grand public. Loi de programmation cybersécurité 2032-2037.

Indicateurs de succès

• Effectifs ANSSI (objectif : 1 200 → 2 400 en 5 ans).
• Nombre de PME diagnostiquées gratuitement/an (objectif : 1 M en 5 ans).
• Nombre d'attaques cyber réussies sur PME/collectivités (objectif : baisse de 40 % en 5 ans).
• Nombre de cyber-réservistes actifs (objectif : 20 000 en an 5).
• Nombre de jeunes formés annuellement via cyber-service national (objectif : 20 000/an).
• Taux d'adhésion à l'assurance cyber d'État par PME (objectif : > 50 % en 5 ans).
• Nombre d'établissements scolaires ayant intégré la cybersécurité au programme (objectif : 100 % en 3 ans).
• Économies documentées d'attaques évitées (objectif : > 2,5 Md€/an à 5 ans).
• Nombre de logiciels labellisés « Souverain » utilisés en commande publique (objectif : > 500 en 5 ans).
• Nombre de dossiers indemnisation cyber-victimes traités (objectif : > 100 000/an).

Sources

• ANSSI — Rapport d'activité annuel
• Cybermalveillance.gouv.fr — Rapport annuel des tendances cyber
• Cour des comptes — Rapport sur la cybersécurité en France (2023)
• Israël — Israeli National Cyber Directorate — Modèle mondial de cyber-défense intégrée.
• Singapour — Cyber Security Agency (CSA)
• Royaume-Uni — NCSC (National Cyber Security Centre)
• Estonie — Cyber Defence League
• États-Unis — CISA (Cybersecurity and Infrastructure Security Agency)
• Allemagne — BSI (Bundesamt für Sicherheit in der Informationstechnik)