Bercy : la souveraineté en titre, le contrôle en fuite

Résumé exécutif

Le 13 août 2026, le ministère de l’Économie, des Finances et de la Souveraineté industrielle, énergétique et numérique a confirmé l’extraction de données du système d’information du fisc, vingt-quatre heures après la revendication publique du pirate et sept semaines après l’intrusion [1]. Deuxième épisode en six mois après la fuite de 1,2 million de comptes du FICOBA [3], il fournit la clef de lecture d’une trajectoire de douze ans : Bercy a vu se déliter ses trois métiers de contrôle, contrôler les comptes, contrôler le capital, contrôler ses propres systèmes, tandis que le mot « souveraineté » montait dans son intitulé. L’article distingue la souveraineté proclamée, celle des intitulés, la souveraineté outillée, celle des instruments, et la souveraineté exercée, celle qui se vérifie dans les faits ; il documente l’écart croissant entre la première et la troisième.

Sur les comptes, les exercices 2023 et 2024 ont vu la prévision se décrocher de l’exécution hors de toute crise : 0,6 point d’écart en 2023 malgré une croissance conforme, 41 milliards d’euros en 2024, avec des alertes internes datées non transmises au Parlement en méconnaissance de l’article 57 de la LOLF [11][12] ; l’inflexion de 2025 est réelle, mais de méthode, non de structure. Sur le capital, le périmètre étroit du contrôle de 2014-2016 a laissé partir des positions de premier rang, et le barème des engagements a montré sa valeur : la pénalité intégralement appliquée à General Electric a représenté 0,4 % de la transaction [22][23] ; le durcissement postérieur à 2019 est mesurable, mais l’État paie désormais deux fois, en rachetant Arabelle puis Bull [24][28], sans qu’aucun document budgétaire ne consolide le coût de la boucle. Sur les systèmes, la doctrine est en avance et l’exécution en retard : sept ans avant d’engager la sortie de la Plateforme des données de santé de son hébergement américain, la bascule étant annoncée pour fin 2026 [31], deux intrusions en 2026 par simple vol d’identifiants, et un tempo d’information fixé par l’attaquant.

La mécanique commune est une boucle : l’annonce capte les moyens ; les fonctions de contrôle sont sous-dotées, ce que documentent la Cour des comptes et les rapporteurs spéciaux pour l’informatique de la DGFiP [35][36][37] ; l’incident survient ; la réparation coûteuse devient trophée. L’article en tire huit propositions, résumées en une exigence : séparer organiquement la fonction de contrôle de celui qu’elle expose. Il formule enfin un pari réfutable, assorti d’indicateurs datés : sans cette séparation, un nouvel épisode majeur surviendra dans l’un des trois registres d’ici la fin de 2028.

Un ministère qui apprend ses fuites par ceux qui les vendent

Le mercredi 12 août 2026, un acteur malveillant revendique publiquement un « accès illégitime » au système d’information de la direction générale des finances publiques (DGFiP), obtenu fin juin 2026 par usurpation d’identité. Le jeudi 13 août, Bercy confirme par communiqué : l’accès, repéré et coupé fin juin « dans le cadre du contrôle opéré », a néanmoins permis « la consultation et l’extraction de données concernant des particuliers et des professionnels » [1]. Le ministère ne précise ni la nature des données ni le nombre d’usagers concernés. Le site spécialisé French Breaches avance le chiffre de 678 437 personnes, dont 392 867 particuliers et 285 570 professionnels, et indique que le fichier est proposé à la vente pour plusieurs milliers d’euros [2] ; ce volume n’est, à la date de publication, confirmé par aucune source administrative.

La chronologie dit l’essentiel, à condition de n’en tirer que ce qu’elle établit. L’intrusion a lieu fin juin ; les équipes la détectent et coupent l’accès ; puis sept semaines s’écoulent sans information publique ni notification, jusqu’à la revendication du pirate. Le communiqué du 13 août ne permet pas de trancher entre deux lectures. Soit le ministère n’avait pas mesuré, au moment où il coupait l’accès, ce que celui-ci avait permis d’exfiltrer, et il l’a découvert avec la revendication : ce serait une défaillance de la capacité de détection, la mesure des flux sortants étant le second étage de toute architecture de sécurité mature. Soit il l’avait mesuré et a choisi de n’en informer ni le public ni les personnes concernées : ce serait un choix de communication difficile à concilier avec les obligations de notification que l’État impose par ailleurs aux acteurs privés. Aucune des deux hypothèses n’est rassurante, et le fait qui les surplombe ne dépend pas de l’arbitrage entre elles : le 13 août encore, le ministère déclarait des investigations en cours pour déterminer le périmètre exact, et c’est l’attaquant qui a fixé le tempo et le contenu de l’information des citoyens dont les données avaient fui.

L’épisode n’est pas isolé. Le 18 février 2026, la même DGFiP révélait qu’un acteur malveillant avait consulté, à compter de fin janvier, une partie du FICOBA, le fichier national des comptes bancaires et assimilés, en usurpant les identifiants d’un fonctionnaire disposant d’accès au fichier au titre des échanges interministériels [3]. Bilan communiqué : 1,2 million de comptes, soit moins de 1 % d’un fichier qui recense l’intégralité des comptes ouverts en France, avec pour chacun les coordonnées bancaires complètes, l’identité du titulaire, son adresse et, dans certains cas, son identifiant fiscal [3][5]. La question écrite déposée en mars 2026 par le député Hadrien Clouet parle d’une « défaillance gravissime » des systèmes de protection du ministère [4] ; le syndicat Solidaires Finances Publiques, peu suspect d’hostilité de principe envers son administration, jugeait la communication de la direction générale « particulièrement discrète » [6].

Deux intrusions en six mois, visant deux des fichiers les plus sensibles de l’État, et deux fois le même vecteur : non pas l’exploitation d’une faille inconnue, mais la compromission d’identifiants, l’attaque la plus documentée et la mieux parée du répertoire contemporain [5]. Le FICOBA n’a pas été percé ; un compte autorisé à le consulter a été volé, puis utilisé sans déclencher d’alerte proportionnée à l’ampleur de la consultation. La presse spécialisée posait dès février la question, restée publiquement sans réponse, du niveau d’authentification qui protégeait l’accès au fichier [8]. Ces épisodes ne surgissent pas de nulle part : en mars 2011 déjà, une intrusion visant environ cent cinquante postes, centrée sur les dossiers du G20, avait fait de Bercy la première grande administration française à reconnaître publiquement une attaque d’ampleur [9] ; France Travail en mars 2024, dont la CNIL a relevé les défaillances profondes du système d’information [8], puis le ministère des Sports en décembre 2025, avec les données de 3,5 millions de foyers [7], avaient depuis matérialisé le risque à grande échelle.

S’arrêter là serait manquer le sujet. Car le ministère dont les fichiers ont fui est aussi celui dont les prévisions de recettes se sont décrochées de la réalité en 2023 et 2024 dans des proportions sans précédent hors crise, et celui qui, après avoir accompagné entre 2014 et 2016 le départ des principaux actifs technologiques du pays, paie depuis 2022 pour en racheter des fragments. Trois registres, une même question : que contrôle encore Bercy ? Pour y répondre, on distinguera la souveraineté proclamée, celle des intitulés ; la souveraineté outillée, celle des instruments disponibles ; la souveraineté exercée, celle qui se vérifie quand l’instrument fonctionne au moment voulu. L’histoire de Bercy entre 2014 et 2026 est celle d’un écart croissant entre la première et la troisième.

L’intitulé comme thermomètre inversé

Il existe un indicateur commode, quoique inhabituel, de cette trajectoire : le nom du ministère. Le 26 août 2014, Emmanuel Macron entre au gouvernement comme ministre de l’Économie, de l’Industrie et du Numérique, Michel Sapin tenant les Finances et les Comptes publics [10] ; l’industrie et le numérique figurent alors comme des attributs, sans substantif défensif. En mai 2017, Bruno Le Maire devient ministre de l’Économie et des Finances ; en juillet 2020, la crise ajoute la « Relance » ; en mai 2022, le ministère devient celui de l’Économie, des Finances et de la Souveraineté industrielle et numérique [10]. Le mot fait son entrée huit ans après la cession d’Alstom, deux ans après les dépendances révélées par la pandémie. La suite est plus instructive encore : en septembre 2024, le gouvernement Barnier nomme Antoine Armand ministre de l’Économie, des Finances et de l’Industrie, la souveraineté sortant de l’intitulé tandis que le Budget est rattaché à Matignon [10] ; après la censure du 4 décembre 2024, Éric Lombard récupère un intitulé où elle revient ; le 5 octobre 2025 enfin, Roland Lescure reçoit le plus long cartouche de l’histoire de la maison : Économie, Finances et Souveraineté industrielle, énergétique et numérique [10].

La lecture que l’on propose, et que l’on assume comme une lecture, est celle d’un thermomètre inversé : le mot progresse dans le nom à proportion des pertes constatées dans les faits. Un gouvernement qui exerce la souveraineté n’éprouve pas le besoin de l’inscrire dans un intitulé ; celui qui l’a laissée s’éroder éprouve celui de la proclamer. Un intitulé n’est pas une politique, et l’indice ne vaudrait rien seul ; mais il converge avec un fait matériel : six ministres de plein exercice en douze ans, dont un seul pendant sept ans, puis quatre en dix-huit mois [10]. Le ministère qui revendique la maîtrise du temps long a connu la rotation de titulaires la plus rapide de son histoire contemporaine. Reste à vérifier, dossier par dossier, ce que la proclamation recouvre d’exercice effectif.

Les comptes : de la prévision au constat

De tous les métiers de Bercy, la prévision est le plus constitutif. Le Parlement autorise la dépense sur la foi d’une prévision ; si celle-ci cesse d’être une évaluation pour devenir un objectif de communication, c’est l’autorisation parlementaire elle-même qui est viciée. C’est ce qui s’est produit en 2023 et 2024, pièce par pièce, dans la reconstitution qu’en a livrée le Sénat [11].

Le cadre d’abord. Entre 2017 et 2023, le déficit public est passé de 3,4 % à 5,5 % du PIB, de 77,1 à 154 milliards d’euros, doublement imputable pour l’essentiel à l’État et à ses opérateurs [11]. La trajectoire n’a pas été linéaire : sortie de la procédure de déficit excessif en 2018 (2,3 %), choc sanitaire (8,9 % en 2020), décrue amorcée (4,7 % en 2022). La singularité française, relevée par la commission des finances, ne tient pas au choc, commun à toute l’Europe, mais à l’absence de retour à la normale une fois le choc passé [11].

Vient 2023, l’année du décrochage. La loi de finances initiale prévoyait - 5,0 % du PIB ; la loi de fin de gestion, promulguée le 30 novembre 2023, ramenait la prévision à - 4,9 % ; l’exécution a livré - 5,5 %. Un écart de 0,6 point entre la dernière prévision de l’année et le constat : sur un quart de siècle, seule la crise de 2008 avait produit pareille surprise, et 2008 s’expliquait par une erreur de croissance [11]. Pas 2023 : la croissance a été de 0,9 %, conforme au 1 % anticipé. L’écart est venu des recettes, l’élasticité des prélèvements obligatoires au PIB retombant à 0,4 contre 0,6 anticipé et 1 en moyenne longue [11]. Le pays l’a appris par la presse le 20 mars 2024 ; le rapporteur général de la commission des finances s’est rendu le lendemain à Bercy pour un contrôle sur pièces et sur place, procédure rarissime [13].

L’anatomie de l’erreur sépare l’aléa du choix. La contribution sur la rente inframarginale de l’électricité, inscrite pour 12,3 milliards d’euros sur une hypothèse de prix durablement supérieur à 500 euros par mégawattheure, niveau tenu quelques semaines à l’été 2022, a rapporté 626 millions : moins-value de 95 %, sur un dispositif dont le mécanisme de report rendait prévisible, pour l’État actionnaire, la contribution nulle d’EDF [11]. L’impôt sur les sociétés a été rehaussé de 12,1 milliards d’euros dans le programme de stabilité d’avril 2023, sans justification économique identifiable et au plus haut niveau depuis dix-sept ans en euros constants ; la prévision du cinquième acompte, maintenue à + 3,0 milliards, a fini négative de 2,4 milliards [11]. L’impôt sur le revenu a été réévalué à l’automne à rebours des remontées comptables. Le motif d’ensemble que documente la mission sénatoriale n’est pas une erreur de modèle : c’est une orientation, des révisions systématiquement tournées vers le maintien facial de l’objectif affiché, ce que résume le titre du rapport, « entre pari et déni » [11].

La chronologie interne achève le tableau. Deux notes du 30 octobre 2023 signalent des moins-values sur l’impôt sur le revenu et la TVA ; une note « très signalée » du 27 novembre confirme la dégradation, annotée à la main par le directeur général des finances publiques : « ce n’est pas une bonne nouvelle... » [11]. Le 7 décembre, le Trésor et le Budget communiquent au ministre une révision du solde 2023 à - 5,2 %, en recommandant de ne pas communiquer publiquement ; rien n’est porté au Parlement, qui examine au même moment, sous article 49, alinéa 3, un budget 2024 bâti sur des hypothèses que l’administration sait caduques [11]. Le 16 février 2024, une note du Trésor établit la prévision 2024 à - 5,7 % ; deux jours plus tard, le ministre annonce à la télévision 10 milliards d’euros d’économies, traduits par décret le 21 février ; interrogé le 28 février sur le déficit hors annulations, le ministère renvoie au programme de stabilité, et la note du 16 février ne sera jamais transmise, en méconnaissance de l’article 57 de la loi organique relative aux lois de finances [11]. Derrière ces pièces, une doctrine, assumée devant la mission : le ministre a revendiqué de voir dans le chiffre de croissance une ambition politique à fixer plutôt qu’une évaluation à produire [11]. Or ces chiffres sont présentés au Parlement comme des prévisions et engagent la France vis-à-vis de ses partenaires ; quand ils deviennent des instruments de volonté, l’appareil qui les produit perd son autorité, et le pays sa crédibilité : Standard and Poor’s a dégradé la note de la France le 31 mai 2024 en invoquant largement le dérapage de 2023 [11].

L’année 2024 a transformé l’accident en récidive : - 4,4 % prévus, - 5,8 % exécutés, 41 milliards d’euros d’écart qu’aucune crise ne justifie, selon les termes du rapporteur général [12] ; la mission poursuivie à l’automne a conclu à des prévisions imprudentes et à une rétention d’informations [14]. Entre-temps, dissolution, censure du 4 décembre 2024, loi spéciale, promulgation de la loi de finances pour 2025 en février seulement [18], et réouverture par la Commission européenne, dès l’été 2024, d’une procédure pour déficit excessif [20].

L’honnêteté analytique oblige à enregistrer l’inflexion de 2025. L’exécution s’est établie à - 5,1 % du PIB, 0,3 point et 10,2 milliards d’euros de mieux que prévu, portée par la tenue des administrations centrales, des recettes plus dynamiques et des sous-exécutions sur France 2030 [15]. La méthode a changé : création d’un cercle des prévisionnistes et d’un comité d’alerte des finances publiques [15] ; le budget 2026 a été voté par le Parlement, fait notable après deux exercices adoptés dans la crise, avec une cible de - 5,0 % là où le projet initial visait - 4,7 %, sur une trajectoire de retour sous 3 % en 2029 [19][15]. Deux réserves demeurent. De calendrier : ces garde-fous ont été installés après le dommage, et après que le Sénat en a réclamé l’équivalent. De structure : créations de l’exécutif, révocables par lui, sans pouvoir propre de publication ni d’auto-saisine ; l’OFCE note d’ailleurs que l’ajustement structurel réalisé sur 2025-2026, environ 1,5 point de PIB, reste en deçà des 1,9 point promis à Bruxelles [20]. La méthode a changé ; l’architecture des pouvoirs, non.

Reste le stock, qui ne se laisse pas réviser. La dette est passée d’environ 95,6 % du PIB fin 2014 à 115,6 % fin 2025, soit 3 460,5 milliards d’euros [15], avec 118,6 points attendus fin 2026 par la Cour des comptes [16]. La charge budgétaire de la dette de l’État atteint 58,0 milliards d’euros en loi de finances pour 2026 contre 53,5 un an plus tôt ; le besoin de financement s’établit à 305,7 milliards et le programme d’émissions à moyen et long terme à 310 milliards, records historiques ; à politique inchangée, la commission des finances du Sénat comme la Banque de France évoquent une charge approchant 100 milliards d’euros vers 2029, durablement premier poste de dépense de l’État [17]. Chaque point d’écart des années 2023-2024 s’est converti en encours, et l’encours en intérêts.

Ce que 2023-2024 a abîmé n’est donc pas un chiffre mais une fonction : la capacité de l’État à se dire la vérité, puis à la dire au Parlement, malgré des alertes internes datées, écrites et réitérées. La réparation de 2025 est une réparation de méthode, non d…