Supprimer l’ANSSI : le pari nécessaire d’une cyberdéfense enfin commandée

Le réquisitoire est déjà écrit, et il n'est pas de nous

L'objection la plus prévisible contre une suppression de l'ANSSI invoque son excellence technique. Elle est réelle et incontestée. Mais l'excellence d'un service ne valide pas son architecture, et c'est sur l'architecture que la Cour des comptes a tranché le 16 juin 2025.

Le rapport La réponse de l'État aux cybermenaces sur les systèmes d'information civils [1] établit des faits opposables. L'agence a crû sans projet de service. L'augmentation longtemps reconduite, de l'ordre de quarante équivalents temps plein par an, ne reposait sur aucun chiffrage concerté. Ni le manifeste des dix ans ni le plan stratégique de mars 2025 ne formulent ses activités autrement qu'en termes généraux. Dans son soutien aux opérateurs d'importance vitale, l'agence ne dispose ni d'étude d'adéquation ni d'indicateur de résultat. La fonction d'observation de la menace n'est qu'ébauchée. Ces énoncés sont des faits établis par un contrôle externe ; c'est ce qui leur donne leur force.

Un présupposé doit être corrigé, car il affaiblit ceux qui l'emploient. L'ANSSI n'est pas une agence autonome : c'est un service à compétence nationale rattaché au SGDSN, auprès du Premier ministre, créé par le décret du 7 juillet 2009 [2]. L'autonomie qu'on prétend lui retirer est, pour partie, un adversaire imaginaire. Le défaut documenté par la Cour n'est pas un excès d'indépendance : c'est l'absence d'une autorité de commandement au-dessus de l'échelon technique.

Le diagnostic est juste, le remède est une aspirine

Ce texte se sépare de la Cour sur la conséquence, pas sur les faits. Ayant dressé ce réquisitoire, la juridiction prescrit un renforcement des effectifs de l'agence de l'ordre de 20 % à l'horizon 2027 et un commandement cyber interministériel sous l'égide du SGDSN [1]. La structure défaillante est maintenue ; on lui ajoute du débit et un échelon de coordination.

Le constat se formule sans détour : on augmente la cadence d'une pompe dont on vient de démontrer qu'elle tourne sans destination. La Cour juge elle-même le pilotage interministériel trop flou et inefficace, le SGDSN manquant d'autorité et de moyens [1]. Ce constat ne plaide pas pour un commandement de plus sous l'égide du SGDSN, il plaide pour une autorité qui commande.

La suppression, assumée et délimitée

Une dissonance doit être traitée d'emblée : le contenu décrit une absorption et une refonte, le mot « suppression » paraît plus violent que la réforme proposée. Cette dissonance n'est pas une faiblesse à masquer, c'est une décision à délimiter.

Est supprimée l'ANSSI comme institution autonome, sa marque, son rattachement actuel, la trajectoire de quinze ans que la Cour vient de solder. N'est supprimée aucune des fonctions qu'elle porte. Le précédent est respectable : en décembre 2017, par la résolution gouvernementale 3270, Israël a supprimé deux organismes distincts pour les reconstituer en une direction unique placée au sommet de l'État [6]. La suppression d'une forme institutionnelle au profit d'une intégration commandée est une opération que des démocraties comparables ont conduite, délibérément.

Reste l'objection centrale, qui doit être affrontée et non contournée : la Cour et la direction de l'ANSSI partagent le diagnostic de la dérive mais en tirent la conclusion inverse, le renforcement. La réponse n'est pas que le diagnostic est faux, il est exact, mais que le remède de l'accrétion a déjà été appliqué quinze ans, et que les constats de 2025 en sont le bilan. La suppression de l'ANSSI est un pari éditorial qui contredit le consensus de référence ; sa légitimité tient à ce qu'il batte ce consensus explicitement, en s'appuyant sur le réquisitoire que ce consensus a lui-même produit.

Un modèle cible : commandement régalien, force territoriale, relais souverain

Le numérique est devenu régalien. L'architecture proposée tient en quatre niveaux.

Une autorité stratégique nationale de cyberdéfense, rattachée au Premier ministre. Elle ne coordonne pas, elle conduit. Des seuils juridiques de bascule, définis à l'avance, font passer la conduite de l'échelon technique à l'échelon de commandement en crise majeure.

Un noyau technique national, héritier des attributions de l'ANSSI : qualification, certification, CERT-FR, doctrine technique, référentiel SecNumCloud. Intégré au dispositif, non constitué en service parallèle.

Le COMCYBER pour l'action et la stratégie militaires. La loi de programmation militaire 2024-2030 a porté l'effort cyber des armées à environ quatre milliards d'euros et la cible d'effectifs au-delà de cinq mille à l'horizon 2030 [4]. Le centre de gravité régalien, en moyens humains et budgétaires, est déjà militaire ; l'échelon civil technique reste comparativement étroit.

Le ComCyberGend comme force territoriale et judiciaire. Il existe déjà ; il s'agit de le consolider.

Ce que les modèles étrangers démontrent réellement

L'objection la plus solide est comparative : si l'intégration sous commandement était supérieure, pourquoi aucune démocratie comparable n'a-t-elle dissous son agence civile ? Il faut regarder les architectures réelles, pas leurs étiquettes.

Le Royaume-Uni place son autorité technique, le NCSC, dans le renseignement, comme composante du GCHQ ; il déclassifie le renseignement technique et le diffuse parfois en moins d'une heure. L'action offensive relève d'une structure distincte, la National Cyber Force [7]. C'est le modèle d'intégration au renseignement que la France a refusé après 2013, mais il démontre qu'une autorité technique unique et fortement ancrée diffuse plus vite qu'un dispositif dispersé.

Les États-Unis administrent la contre-épreuve. La CISA, agence civile sous le département de la Sécurité intérieure, coexiste avec l'US Cyber Command et le FBI. Cette dispersion a produit l'échec de 2016 : prévenu d'une intrusion russe au Co…