REACTIV : l'ANSSI peut maintenant contraindre les ministères

Une agence de l’État peut maintenant obliger un ministère à prendre des mesures de sécurité « dans des délais contraints ». C’est la phrase qui compte dans l’annonce publiée le 7 septembre 2026 par l’ANSSI. Tout le reste en découle.

Le dispositif s’appelle REACTIV, pour « REponse & ACTion Interministérielle face aux Violations de données », et il a été demandé par le Premier ministre.

Ce que c’est, et ce que ce n’est pas

Ni une nouvelle agence, ni un service supplémentaire, ni un budget. L’ANSSI le décrit comme « un basculement immédiat des efforts opérationnels » vers l’appui aux ministères sur deux tâches précises : le traitement des compromissions de comptes utilisateurs et l’analyse des violations de données.

Autrement dit, on déplace des gens. Vincent Strubel, directeur général de l’agence, parle sur LinkedIn d’une « bascule d’effort temporaire » pour « limiter la casse », faite « au détriment d’autres pans de la menace ». Nous n’avons pas lu le message d’origine : nous reprenons la citation telle que la rapporte Silicon, qui date le déclenchement au 1er septembre, une semaine avant l’annonce publique.

Deux choses sont réellement nouvelles, et ce sont des pouvoirs, pas des moyens :

• l’ANSSI peut faire prendre aux ministères, sous délai imposé, les mesures immédiates de protection des données ;
• la communication technique de crise est centralisée chez elle en cas d’attaque de ce type sur l’État.

Le périmètre est écrit noir sur blanc : les services de l’État. Pas les collectivités, pas les hôpitaux, pas les entreprises. Si vous dirigez une PME, REACTIV ne vous couvre pas.

Pourquoi maintenant

Parce que la série est devenue longue. L’Éducation nationale fin juillet, avec des données d’agents exfiltrées et une rentrée traitée sur papier à Toulouse. La DGFiP fin juin, avec 678 000 usagers concernés selon une plainte déposée en août. Le ministère de la Transition écologique le 7 septembre même, jour de l’annonce : le pôle ministériel confirme une attaque visant des outils de messagerie et un signalement au parquet, tandis qu’un attaquant revendique plus de 22 000 enregistrements via une API mal configurée. Revendique. Rien n’est confirmé sur ce point.

Le motif officiel n’est donc pas un mode opératoire exotique. C’est le rythme.

Et l’IA, dans tout ça ?

Réponse honnête : l’annonce n’en dit pas un mot. Nous avons lu aussi la Feuille de route des efforts prioritaires en matière de sécurité numérique de l’État 2026-2027, publiée le 9 avril 2026, que REACTIV vient compléter. Dix chapitres, une quarantaine d’actions datées, zéro occurrence du terme « intelligence artificielle ».

Ce que l’agence documente ailleurs est plus mesuré qu’on ne le lit d’ordinaire. Dans son Panorama de la cybermenace 2025, elle écrit que l’IA générative et l’évolution rapide de ses usages « représentent un potentiel accélérateur des capacités offensives associées aux cybermenaces », en ajoutant aussitôt que leur utilisation par des attaquants « dépend de leurs objectifs et surtout de leur niveau de maturité ». Un constat concret figure au même endroit : l’ANSSI a identifié des sites d’apparence légitime, générés par IA, servant à héberger des charges malveillantes, reconnaissables à des paragraphes insérés hors sujet.

Voilà le vrai point d’accélération. Fabriquer mille pages crédibles, mille courriels personnalisés, mille prétextes plausibles coûte maintenant presque rien. Or les intrusions récentes commencent par un compte utilisateur légitime, pas par une faille inconnue. L’IA n’ouvre pas la porte : elle industrialise la fabrication de la clé.

Côté défense, aucun outil ne compresse un délai administratif. C’est pourquoi la réponse de l’État est un pouvoir d’injonction et non un logiciel.

Le calendrier qui gêne

La feuille de route fixe l’authentification multifacteur des utilisateurs sur les systèmes d’information « à enjeux » avant le 28 février 2027, et sur l’ensemble des systèmes avant le 28 février 2028. La suppression des comptes génériques était attendue pour le 30 juin 2026.

Mettez ces dates en regard de l’objet de REACTIV, qui est précisément le traitement des compromissions de comptes. L’État se donne jusqu’en 2028 pour fermer la porte et crée en 2026 une capacité pour courir derrière ceux qui l’ont franchie. Ces chantiers sont lourds, et le document reconnaît lui-même les « contraintes budgétaires » qui ont pesé sur la feuille de route précédente. La leçon de gouvernance vaut à toutes les tailles.

Ce qu’une PME en retire

Trois questions, à poser lundi matin.

L’authentification multifacteur couvre-t-elle vos accès distants et vos comptes d’administration, ou seulement la messagerie ? Personne ne vous accordera un délai jusqu’en 2028.

Qui a le droit de couper ? L’académie de Toulouse a suspendu l’accès à tous ses systèmes en une journée. Cette décision se prépare avant, sur le papier, avec un nom en face.

Qui parle ? L’État vient de centraliser sa communication technique de crise chez l’ANSSI, parce que des messages contradictoires pendant un incident aggravent tout. Une PME a le même problème, en plus petit : un seul porte-parole, un seul canal, des faits datés.

Ces arbitrages sont l’objet de notre journée Réagir face à une cyberattaque : organisation et gestion de crise. Précision que nous répétons à chaque article : DTJ Training n’est pas certifié Qualiopi, la démarche n’est pas engagée, sa déclaration d’activité est enregistrée sous le numéro 32800278480, et aucun financement OPCO ou France Travail n’est mobilisable à ce jour.

Une inconnue reste ouverte. Strubel qualifie l’effort de temporaire et admet qu’il se fait au détriment d’autres pans de la menace. Personne n’a dit lesquels, ni quand la bascule s’arrête. Les hôpitaux et les collectivités, qui ne sont pas des services de l’État, feraient bien de surveiller cette réponse.

Sources

• ANSSI, « Cyberattaques : l’ANSSI met en place une capacité renforcée de réaction dédiée aux services de l’État », 7 septembre 2026 — page consultée directement, citations reprises mot pour mot.
• ANSSI, Feuille de route des efforts prioritaires en matière de sécurité numérique de l’État 2026-2027, publiée le 9 avril 2026 — PDF lu intégralement (échéances d’authentification multifacteur, comptes génériques, absence de mention de l’IA).
• ANSSI / CERT-FR, Panorama de la cybermenace 2025, référence CERTFR-2026-CTI-002, 11 mars 2026, chapitre sur l’intelligence artificielle.
• Silicon, « Vis-à-vis des ministères, l’ANSSI accroît son assistance… et son autorité », septembre 2026, pour les propos de Vincent Strubel publiés sur LinkedIn et la date du 1er septembre.
• Next, « Cybersécurité : l’ANSSI lance son mécanisme REACTIV dédié aux services de l’État », 7 septembre 2026.
• Le Monde Informatique, « Le ministère de la Transition écologique ciblé par une cyberattaque », 7 septembre 2026, pour la confirmation ministérielle et la revendication non vérifiée.