ANSSI : Agence Nationale de la Sécurité des Systèmes d’Information

L’ANSSI (Agence nationale de la sécurité des systèmes d’information) est l’autorité française de référence en cybersécurité, chargée de construire et d’organiser la protection de la Nation face aux cyberattaques.

Historique et Statut

Créée en 2009 par décret, l’ANSSI est un service français à compétence nationale rattaché au secrétariat général de la Défense et de la Sécurité nationale. Elle remplace la direction centrale de la sécurité des systèmes d’information, créée en 2001. Son mandat s’est progressivement renforcé, notamment avec la loi de programmation militaire 2019-2025, qui a consolidé son autorité en matière de défense et de sécurité des systèmes d’information

Missions Principales

L’ANSSI articule son action autour de cinq missions clés définies dans son plan stratégique 2025-2027 :

1. Défendre : Protéger les systèmes d’information critiques de la Nation en concevant et opérant des capacités de détection des cyberattaques, et en garantissant la disponibilité de produits de sécurité de confiance.
2. Connaître : Analyser les menaces, investiguer les incidents et maintenir une expertise technique approfondie sur les modes opératoires
3. Partager : Diffuser l’expertise et les connaissances en cybersécurité pour former les agents de l’État, les opérateurs régulés et sensibiliser les citoyens.
4. Accompagner : Soutenir le développement d’une doctrine française de cybersécurité, accompagner les administrations et les opérateurs d’importance vitale dans la sécurisation de leurs systèmes, et promouvoir un écosystème de prestataires de confiance.
5. Réguler : Élaborer des dispositifs normatifs et réglementaires aux niveaux national et européen, en particulier pour la mise en œuvre de la directive NIS 2 et d’autres cadres réglementaires.

Structure Organisationnelle

L’ANSSI est organisée autour de quatre sous-directions :

1. Sous-direction Opérations (SDO) : Assure la mise en œuvre des fonctions de défense et opère le CERT-FR (Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques). Le CERT-FR fournit une assistance en matière de gestion d’incidents aux ministères, institutions, juridictions, autorités indépendantes, collectivités territoriales et opérateurs d’importance vitale.
2. Sous-direction Expertise (SDE) : Porte la mission globale d’expertise et d’assistance technique, soutenant l’ensemble des autres sous-directions et les parties prenantes externes.
3. Sous-direction Stratégie (SDS) : Anime les relations extérieures, coordonne les interventions et élabore la réglementation.
4. Sous-direction Ressources (SDR) : Responsable de la programmation et de l’exécution des activités de soutien et d’administration.

Plan Stratégique 2025-2027 : « Au Cœur d’un Collectif pour une Nation Cyber-Résiliente »

Publié en mars 2025, le plan stratégique de l’ANSSI pour 2025-2027 définit les priorités suivantes :

Objectif 1 : Changer d’échelle dans la diffusion de la cybersécurité

L’ANSSI vise à diffuser largement la cybersécurité dans le tissu économique français. Cela implique d’étendre son accompagnement au-delà des seuls opérateurs d’importance vitale vers l’ensemble des petites et moyennes entreprises. Elle a évolué ses référentiels PASSI (audit de sécurité) et PRIS (réponse aux incidents) pour ajouter un niveau « substantiel » adapté aux plus petits acteurs.

Objectif 2 : Mettre en œuvre la directive NIS 2 et renforcer le cadre réglementaire

La directive NIS 2, en cours de transposition en droit français via le projet de loi « Résilience des infrastructures critiques et renforcement de la sécurité », élargit le champ d’application à 18 secteurs critiques contre 6 précédemment. En France, entre 10 000 et 15 000 organisations devront s’y conformer d’ici fin 2025. L’ANSSI s’engage à simplifier les règles nationales de cybersécurité pour permettre un accompagnement de conformité efficace et auto-évalué.

Objectif 3 : Défendre les systèmes critiques de la Nation

L’ANSSI renforcera les capacités opérationnelles du CERT-FR pour répondre aux menaces massives et d’ampleur. Le Centre de coordination des crises cyber (C4) sera le point focal de cette coordination.

Objectif 4 : Adapter l’expertise technique aux évolutions technologiques

L’ANSSI investira dans la recherche et le développement pour maintenir son expertise face aux menaces émergentes, notamment en intelligence artificielle, cloud computing et cryptographie post-quantique.

Objectif 5 : Renforcer la souveraineté et l’autonomie stratégique

L’ANSSI promeut le développement d’une filière française de cybersécurité et représente les normes françaises au niveau européen, notamment le modèle français de certification de services.

Priorités Actuelles

Aux Assises de la Sécurité 2025 tenues en octobre, le directeur général de l’ANSSI a soulevé plusieurs priorités critiques :

1. Menace quantique et cryptographie post-quantique

L’ANSSI a lancé le chantier de la sécurité post-quantique, une menace jugée existentielle. L’agence a prononcé ses deux premières certifications en cryptographie résistante aux ordinateurs quantiques pour Thales et Samsung. À partir de 2027, elle n’acceptera plus en qualification des produits de sécurité qui n’intègrent pas de cryptographie post-quantique résistante. Elle recommande déjà de ne plus acquérir de solutions sans cette protection et pourrait l’imposer à l’horizon 2030.

2. Dépendances techniques non-quantiques

L’ANSSI identifie comme menace majeure les risques liés aux dépendances techniques, notamment : les accès aux données qui échappent au droit français, et la possibilité qu’un service soit interrompu par une décision étrangère sur laquelle la France n’a pas voix au chapitre. Ces enjeux sont au cœur de la révision en cours du Cybersecurity Act européen.

3. Adaptation aux évolutions technologiques

L’ANSSI doit adapter ses méthodologies face aux défis posés par le cloud (on ne peut pas faire un « dump » de la mémoire), l’IA (impossibilité de patcher un modèle), et les technologies centralisées où le fournisseur est unique.

4. Entraînement et exercices de crise

S’appuyant sur son expérience des Jeux olympiques et paralympiques de Paris 2024, l’ANSSI organise des exercices d’ampleur comme REMPAR25 pour préparer la nation à la gestion de crises majeures.

Ressources Publiques et Services de l’ANSSI

L’ANSSI met à disposition des ressources gratuites pour sensibiliser et former :

• Guides pratiques et recommandations : Documents d’accompagnement pour les entreprises et particuliers
• Formations : Initiation aux cybermenaces et bonnes pratiques
• Centre de coordination de crise cyber (C4) : Coordination de la réponse nationale aux incidents majeurs
• CERT-FR : Assistance technique aux ministères, institutions et opérateurs vitaux
• Bulletins d’actualité : Alertes régulières sur les menaces émergentes et les vulnérabilités
• Plateforme cybermalveillance.gouv.fr : Assistance aux victimes de cyberattaques et signalement des incidents

Dimension Européenne et Internationale

L’ANSSI collabore étroitement avec les partenaires européens et internationaux dans le cadre de la directive NIS 2, du règlement sur la cybersécurité (CSA), et du projet SPARTA (réseau de compétences européen en cybersécurité). Elle participe également aux Nations Unies pour « bâtir la paix et la sécurité internationale du cyberespace ».

L’ANSSI incarne la stratégie française de cybersécurité en tant qu’autorité nationale de défense des systèmes d’information, jouant un rôle de chef de file dans la construction d’une Nation cyber-résiliente et d’une autonomie stratégique européenne en cybersécurité.