La cybersécurité est devenue « un enjeu majeur », martelait le sénateur Olivier Cadic (UC), co-rapporteur du programme 129 pour le PLF 2019. À ce titre, l’ANSSI* devrait recevoir davantage de moyens en 2019, explique-t-il. Hélas, à l’image de la saga budgétaire du ministère des Armées, cela ne se fera pas sans mal.

« Les menaces sont croissantes, multiples et plus sophistiquées », ajoute Cadic. Les exemples sont nombreux, tout particulièrement sur le sol français. À tel point que le dernier rapport de Symantec classe désormais la France en 9e position des pays où la cybercriminalité est la plus active, tous types de menaces confondus.

Créée en 2009, l’ANSSI a dès  lors vu son champ de compétence augmenter cette année suite à la publication de la Revue stratégique de cyberdéfense, ainsi que par certaines dispositions de la LPM 2019-2025. Mais pour concrétiser cette politique, l’agence doit désormais disposer de davantage de moyens. C’est pourquoi elle verra, premièrement, ses effectifs gonfler radicalement l’an prochain: de 555 personnes en 2018, son effectif passera à 595, soit 25 emplois au titre du schéma initial et le reste provenant d’emplois non-créés en 2018 suite à l’insuffisance des crédits alloués. L’accroissement de la masse salariale s’accompagnera d’une hausse, notamment, des crédits de paiement qui augmenteront de 8,8% pour plafonner à 79,4M€ en 2019 (hors titre 2). La manœuvre permettra par exemple de financer le développement d’outils de sécurité pour la protection des données classifiées en coordination avec le ministère des Armées. Reste à trouver les cerveaux nécessaires et suffisamment de financements pour les engager.

Car si les crédits de l’ANSSI progressent dans le projet de PLF 2019, la Commission des finances prévoit de déposer un amendement pour… les réduire. Celle-ci a en effet estimé nécessaire de « réduire les crédits du Premier ministre », desquels dépend l’ANSSI. Un amendement a ainsi été adopté, réduisant de 13,1M€ les crédits du programme « Coordination du travail gouvernemental », dont 1,5M€ relatif aux dépenses de personnel « en les fléchant vers l’ANSSI », dévoile Cadic.

L’équation est d’autant plus compliquée à résoudre qu’il faudra en outre répondre « à la sempiternelle question du turnover », explique le sénateur Jean-Marie Bockel (UC). Avec un turnover supérieur à 15%, l’ANSSI doit en effet recruter plus d’une centaine de nouveaux collaborateurs par an. Or, nous ne sommes pas dans le Bureau des légendes et ses hordes de jeunes geeks bourrés d’idéaux (et aux missions radicalement plus offensives). La réalité est bien plus… pécuniaire. L’insuffisance du vivier aboutit de facto à de « fortes tensions sur le marché du travail », face auxquelles le secteur privé joue généralement la carte de la rémunération. Une vague sur laquelle les jeunes ingénieurs surfent sans hésiter en exigeant désormais un salaire équivalent au cadre qu’ils vont remplacer. C’est pourquoi, face à un marché extrêmement concurrentiel, l’ANSSI ne pourra suivre sans s’aligner. « Mais ce sera un puits sans fond sans une action plus intense du ministère de l’enseignement supérieur et de la recherche pour orienter les universités et les grandes écoles à développer ces filières », présage Cadic.

Subsiste également la solution de la réserve citoyenne de cyberdéfense « qui recrute énormément de jeunes, sortant d’école d’ingénieur, et accueille des spécialistes de cybersécurité », rappelle la sénatrice Joëlle Garriaud-Maylam (LR). Il faut désormais déterminer les missions susceptibles de leur être confiés. « Un travail de réflexion et d’organisation est en cours », ajoute Cadic.

L’heure est donc aujourd’hui à la vigilance, s’inquiètent les sénateurs. « Nous avons donné à l’ANSSI de nouveaux moyens ; ce n’est pas en rabotant ses moyens que l’on réduira de façon significative les déficits publics – on risque même de les accroître si demain il faut réparer les dommages qu’aura permis leur déficience », conclut à juste titre Cadic.

*ANSSI : Agence nationale de la sécurité des systèmes d’information. Rattachée au SGDSN, elle est chargée de proposer des règles de protection des systèmes d’information de l’État et d’assurer un service de veille, de détection, d’alerte et de réaction aux attaques informatiques