Question de : M. Jean-Luc Warsmann
Ardennes (3^e circonscription) - Libertés, Indépendants, Outre-mer et Territoires

M. Jean-Luc Warsmann attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur le régime d'impunité et d'absence de responsabilité effective qui caractérise la gestion de la cybersécurité au sein des agences et services de l'État. Alors que le rapport annuel de 2025 de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) recense 1 366 incidents portés à sa connaissance, dont près d'un quart concerne les ministères et les collectivités territoriales et que le Gouvernement rappelait récemment que la France subit en moyenne trois vols de données numériques par jour, les défaillances des systèmes d'information publics atteignent un niveau critique. Les cyberattaques d'ampleur subies par des opérateurs centraux, tels que France Travail ou l'Agence nationale des titres sécurisés (ANTS), où les données de 11,7 millions de citoyens ont été compromisses, démontrent une vulnérabilité systémique due à l'accumulation d'une « dette numérique », à un recours mal maîtrisé à la sous-traitance et à des lenteurs de réaction de la part des services. À titre d'exemple, l'ANTS a mis dix jours pour fermer le service vulnérable à la suite de la cyberattaque. Toutefois, contrairement aux entreprises privées confrontées aux risques de marché et aux exigences de leurs assureurs, les agences d'État agissent en situation de monopole. Les citoyens, contraints d'y confier leurs données personnelles le plus souvent sans alternative possible, se retrouvent exposés à des risques majeurs d'usurpation d'identité et de fraude bancaire. Plus préjudiciable encore, le mécanisme actuel de sanction s'avère paradoxal : lorsqu'une autorité administrative indépendante comme la CNIL prononce une amende pécuniaire à l'encontre d'un organisme public, à l'instar des 5 millions d'euros d'amende infligés à France Travail, cette somme est intégralement payée par le budget public. Les contribuables sont ainsi deux fois lésés : une première fois comme victimes de l'exfiltration de leurs données et une seconde fois en finançant sur fonds publics les sanctions pécuniaires appliquées à l'administration. À ce jour, aucun dirigeant d'agence publique, haut fonctionnaire ou responsable de système d'information n'a vu sa responsabilité personnelle, disciplinaire ou administrative engagée, y compris lorsqu'il est avéré que les mesures de prévention élémentaires avaient été négligées même après des alertes préalables. C'est en ce sens qu'il lui demande quelles mesures le Gouvernement envisage de prendre pour faire évoluer le cadre normatif afin d'instaurer un régime de responsabilité administrative, disciplinaire ou financière propre aux hauts responsables, dirigeants d'organismes publics et sous-traitants en cas de manquement caractérisé aux règles élémentaires de cybersécurité, tout en réformant le régime des amendes administratives pour mettre fin à une situation où le contribuable supporte financièrement les fautes de sécurisation des administrations.