Questions

La question

M. Arnaud Le Gall interroge Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur l'explosion des cyberattaques visant les systèmes d'information civils de l'État et sur leurs conséquences en matière de protection des données personnelles des Français et des Françaises. Les intrusions informatiques dans les administrations publiques sont désormais quasi quotidiennes. Massives par leur ampleur, elles conduisent à ce que les informations personnelles de millions de citoyens et citoyennes se retrouvent publiées et commercialisées sur le darkweb : 1,6 million de comptes pour France Travail ; 2,1 millions pour l'AP-HP. En dépit de leur haute sensibilité stratégique, les services régaliens de l'État ne sont pas mieux protégés, comme l'illustrent les piratages récurrents du ministère de l'intérieur et des armées, de la police et de la gendarmerie nationales, des douanes, des directions générales de la sécurité intérieure et extérieure, ou encore de la commission nationale de l'informatique et des libertés (CNIL). Environ 2 393 agents seraient concernés par cette fuite de données, dont 86 agents de la CNIL et les données de 16 444 373 personnes inscrites dans les fichiers des forces de police et de gendarmerie ont été publiées. Par ailleurs, le piratage du fichier national des comptes bancaires (FICOBA) a abouti à la divulgation des données de 1,2 million de Français et Françaises. Les entités privées ne sont pas davantage prémunies : 6,3 millions de clients de Bouygues et 183 millions de données de TotalEnergies ont vu leurs informations publiées et commercialisées. L'accès, la diffusion et la publicisation de ces données sont pourtant strictement encadrés par la législation française. Mais la loi ne peut rien si l'État ne se dote pas, voire se dépouille, des outils nécessaires pour la mettre en œuvre. Les auditions avec les spécialistes montrent que la direction interministérielle du numérique (DINUM), au regard de sa sous-dotation en moyens économiques et humains, parvient à faire « mieux avec moins » que les géants américains. Or des dispositifs existent déjà : l'Agence nationale de la sécurité des systèmes d'information (ANSSI) assure un rôle de coordination et de réponse aux incidents ; le label SecNumCloud vise à garantir un hébergement souverain des données sensibles ; la transposition de la directive européenne NIS 2 doit étendre les obligations de cybersécurité à un plus grand nombre d'opérateurs. Force est de constater, cependant, que ces mécanismes demeurent insuffisamment dotés, insuffisamment appliqués et, dans le cas de NIS 2, transposés avec un retard préoccupant. La libéralisation à marche forcée du secteur numérique, conduite par les gouvernements successifs, a affaibli les capacités régaliennes de protection plutôt que de les renforcer. À rebours des grandes incantations déclaratoires sur la volonté de bâtir la « souveraineté numérique » de la France, le chef de l'État et le Gouvernement renforcent en réalité la dépendance totale de la France aux GAMAM (Google, Amazon, Meta, Apple, Microsoft) étatsuniens. En ne développant pas de vision stratégique à long terme ni de politiques publiques en matière d'autonomie numérique, l'exécutif accroît le statut de colonie numérique des États-Unis d'Amérique dans laquelle se trouve déjà la France et l'Union européenne, au profit des intérêts économiques des GAFAM et aux dépens des intérêts souverains des Français et des Françaises. L'installation de dizaines de data centers n'a aucun sens si elle ne s'accompagne pas d'un pilotage public du numérique. La maîtrise souveraine des infrastructures numériques constitue un facteur déterminant de la protection contre les cyberattaques, mais elle ne saurait à elle seule suffire : un système développé nationalement peut tout autant être exposé s'il est mal conçu ou insuffisamment doté en moyens. C'est pourquoi la souveraineté numérique doit être pensée comme la condition nécessaire, mais non suffisante, d'une politique de cybersécurité efficace, articulant maîtrise des systèmes, investissement humain et exigence de qualité technique. À l'heure de la numérisation généralisée des services publics, les données personnelles doivent être protégées afin d'empêcher leur marchandisation. Le cadre législatif actuel, bien que formellement protecteur, s'avère manifestement impuissant face à l'ampleur des menaces, faute de volonté politique pour le mettre en œuvre et le renforcer. Afin de regagner en autonomie, premier pas vers la souveraineté, l'État français doit soutenir l'élaboration de solutions de stockage numérique nationales. L'utilisation de la messagerie instantanée française Tchap devrait par exemple être généralisée au-delà des seuls ministères. L'État devrait également accompagner d'avantage les entreprises privées dans leur effort de protection numérique. L'ANSSI doit voir ses moyens renforcés de manière significative, le label SecNumCloud doit devenir une exigence effective et non une simple option pour les administrations et la transposition de la directive NIS 2 doit être accélérée sans plus de tergiversation. À ce stade, il ne semble hélas pas que ce soit le chemin emprunté par le Gouvernement. Dès lors, il lui demande quelles actions concrètes elle va immédiatement mettre en œuvre, sur chacun de ces trois plans, sécurisation technique, autonomie numérique et cadre législatif, pour empêcher le pillage des données des Français et des Françaises. Il lui demande également de préciser les raisons du retard pris dans la transposition de la directive NIS 2, les moyens budgétaires effectivement alloués à l'ANSSI et à la DINUM pour l'année en cours, ainsi que le bilan concret de l'application du label SecNumCloud aux systèmes d'information de l'État.

La question

M. Arnaud Le Gall interroge M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur l'accès en voie d'être accordé aux États-Unis aux bases de données biométriques des États de l'Union européenne. Ces bases de données contiennent notamment les empreintes digitales et les caractéristiques faciales des citoyens et citoyennes de l'Union. Dans le cadre de discussions portant sur le maintien des « Enhanced Border Security Partnerships » (EBSP), dispositif étatsunien exemptant de visa les citoyens européens et les citoyennes européennes, l'administration étasunienne exige l'accès à leurs données biométriques. L'ensemble des pays membres de l'Union a ainsi donné mandat à la Commission européenne en décembre 2025 pour conduire des « discussions cadre » avec les autorités étatsuniennes sur le sujet. La Commission a précisé que les données ne devraient être transférées que « lorsque cela est strictement nécessaire et proportionné ». M. le député déplore la naïveté de telles déclarations. Le président des États-Unis viole systématiquement les réglementations internationales, et la dernière doctrine de sécurité nationale des États-Unis théorise la vassalisation de l'UE via notamment l'annexion de territoires ou l'ingérence dans les élections au profit de l'extrême droite. Dans ces conditions les dirigeants européens et les dirigeantes européennes pensent-ils qu'il sera fait un usage « proportionné » de données aussi sensibles. ? M. le député dénonce ce projet de transfert d'informations personnelles des Français et des Françaises vers les États-Unis. Une telle mesure constituerait un saut dangereux vers une surveillance de masse globale et sans retour. Les informations les plus intimes de millions de citoyens français et européens et de citoyennes françaises et européennes finiraient stockées sur des serveurs étasuniens, quand elles ne le sont pas déjà pour certaines. M. le député rappelle qu'à rebours de la vassalisation consentie des dirigeants européens et français et des dirigeantes européennes et françaises, l'urgence est à garantir l'indépendance de la France, en particulier en matière numérique. Si la Commission européenne a la charge de rédiger un cadre général de négociation, le Gouvernement pourra négocier avec les États-Unis l'application concrète de l'accord. M. le député demande donc à M. le ministre si les autorités françaises s'opposeront à cet accord organisant la fuite de données sensibles des Français et des Françaises vers une puissance extérieure, et répondront à la pression étatsunienne sur les visas européens par la réciprocité. Dans le cas contraire, il l'interroge sur les garanties concrètes qu'il compte mettre en place pour assurer la sécurité de ces données sensibles.

Réponse

Depuis 2022, les Etats-Unis ont demandé aux Etats membres de l'Union européenne de conclure avec eux un partenariat renforcé pour la sécurité des frontières (Enhanced Border Security Partnership - EBSP) pour qu'ils puissent continuer à bénéficier ou puissent intégrer le programme américain d'exemption de visas court-séjour. L'EBSP permettrait aux Etats-Unis de bénéficier d'un accès aux dossiers biométriques nationaux des pays concernés pour fiabiliser les vérifications d'identité et éclairer la prise de décision des autorités américaines dans le cadre des procédures à la frontière et de l'examen des demandes de visas. Cet objectif, légitime, est également celui de la France et de l'Union européenne : il s'agit de déterminer si l'entrée d'un voyageur sur le territoire présenterait un risque pour la sécurité ou l'ordre public. La France a été motrice dans l'élaboration d'une approche commune au niveau européen afin, d'une part, de limiter les incidences sur la politique commune des visas en évitant que certains Etats membres se voient appliquer un régime moins favorable et d'autre part, de garantir le respect du droit de l'Union en matière de protection des données personnelles par les accords EBSP. Cette approche commune sera garantie grâce à la conclusion d'un accord-cadre entre l'Union européenne et les Etats-Unis. Dans le cadre de l'élaboration du mandat de négociation par la Commission, la France a porté de nombreuses propositions qui ont été retenues, et qui permettront d'assurer que ces échanges de données soient proportionnels et ciblés. Les standards européens de protection des données personnelles, ainsi que les principes de la Charte des droits fondamentaux de l'Union européenne devront impérativement être respectés. La France a obtenu à ce titre l'exclusion de tout transfert de données aux entreprises privées américaines, ainsi que la possibilité de refuser une demande de transfert de données qui serait contraire au droit européen ou qui compromettrait des enquêtes en cours. Enfin, ces accords devront être mutuellement bénéfiques aux deux parties, et pas uniquement aux Etats-Unis, conformément au principe de réciprocité. Ce futur accord contribuera à renforcer nos contrôles aux frontières extérieures et complètera nos outils européens et nationaux à cet égard. La France continuera d'être particulièrement exigeante pour garantir que l'accord-cadre qui sera négocié et conclu par la Commission soit conforme aux intérêts européens et nationaux, en particulier sur la protection des données personnelles des citoyens européens.

La question

M. Arnaud Le Gall interroge Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur le recours de l'État à des entreprises étrangères, en particulier aux GAMAM (Google, Amazon, Meta, Apple, Microsoft), pour leurs services de stockage numérique. Ces entreprises disposent d'un oligopole en matière d'intelligence artificielle et de stockage des données numériques en Europe. En France, des administrations clés telles que l'éducation nationale ou l'armée ont recours aux services de Microsoft et d'Amazon. La centralité des GAMAM sur le territoire français tend à s'accroître : en 2024, Microsoft a annoncé un plan d'investissement 4 milliards d'euros, salué par le Président de la République. Au niveau de l'Union européenne, le coût du recours aux services de stockage de données numériques des GAMAM s'élève à 260 milliards d'euros chaque année. La dépendance aux services des GAMAM est non seulement coûteuse, mais elle pose aussi la question de la maîtrise des données : Microsoft a confirmé cet été qu'elle remettrait les données de ses utilisateurs aux autorités états-uniennes si cela lui était réclamé, en respect du Cloud Act états-unien. Il s'agit d'une brèche majeure dans la souveraineté de l'État sur ses données numériques. À rebours d'un projet de système de stockage garantissant l'indépendance des États européens, la Commission européenne a proposé un data privacy framework , cadre relatif à la sécurité des données européennes, actant la renonciation au refus du transfert quasi automatique des données vers les États-Unis. Les seules garanties apparentes pour les utilisateurs européens reposent sur un décret flou concédé par le gouvernement Biden stipulant que la collecte de données devrait être nécessaire et proportionnée, ainsi que sur l'engagement des GAMAM à respecter les obligations de protection de données. Mais, face aux attaques incessantes des GAMAM et de l'administration étas-unienne contre les règles européennes, il apparaît clairement que l'intention est bien d'appliquer au maximum les règles états-uniennes. Lors de son audition par le Sénat en juin 2025, le directeur des affaires publiques et juridiques de Microsoft France a répondu qu'il ne pouvait « pas garantir » que les données des citoyennes et citoyens français stockées dans des centres de données de Microsoft basés en France ne seraient jamais transmises au gouvernement étatsunien sans l'accord de Paris. Qu'en est-il des données de citoyens et citoyennes stockés par Microsoft pour le compte d'administrations françaises ? Il est de toute évidence indispensable de bifurquer vers des solutions de cloud national pour le stockage des données de la population française. M. le député souhaite ainsi savoir pourquoi des moyens n'ont pas encore été développés afin de généraliser dans les administrations le recours à des systèmes de stockage de données labellisés SecNumCloud par l'agence nationale de la sécurité des systèmes d'informations. Dans l'attente de l'utilisation de systèmes protégeant la souveraineté de la France sur ses données numériques, il lui demande quelles sont les garanties mises en place pour éviter la fuite de données vers les États-Unis.

Réponse

Cette question s'inscrit dans la continuité du travail engagé depuis 2021 avec la stratégie nationale pour le cloud, qui vise à saisir les opportunités offertes par les évolutions technologiques tout en répondant aux enjeux de sécurité posés par le recours à des services d'informatique en nuage, en particulier ceux qui concernent la protection des données les plus sensibles, des administrations, des citoyens et des entreprises. Cette stratégie repose notamment sur les principes de la circulaire dite "cloud au centre" relative à la doctrine d'utilisation de l'informatique en nuage par l'État du 5 juillet 2021[1] du Premier Ministre, et sur la qualification SecNumCloud délivrée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI), qui garantit un niveau de protection élevé des services cloud, y compris contre les accès non-autorisés des États tiers à l'Union européenne (UE). De plus, la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l'espace numérique (SREN) reprend et renforce ces principes, afin d'assurer une protection adéquate des données particulièrement sensibles des administrations de l'État, ses opérateurs ou certains groupements d'intérêt public, tels que la Plateforme de données de santé (dite Health Data Hub). Ainsi, toute offre d'informatique en nuage à laquelle ces différents services de l'État choisissent de recourir en cas d'externalisation de l'hébergement et du traitement de leurs données les plus sensibles doit répondre aux critères de la certification SecNumCloud, garantissant notamment la protection des données contre tout accès par des autorités publiques d'États tiers non autorisé par le droit de l'UE ou de l'un de ses États membres. A l'inverse, en-dehors de ces cas, il n'y a pas d'impératif à recourir au cloud de confiance. La France continue à soutenir le développement d'une offre européenne diversifiée et concurrentielle de cloud, répondant aux besoins d'innovation et de sécurité des administrations et des entreprises, notamment au sein de la stratégie cloud de France 2030. De fait, les chiffres publiés par la DINUM montrent que les administrations françaises recourrent de plus en plus au cloud, et font appel massivement à des fournisseurs de service cloud européens - https://www.numerique.gouv.fr/offre-accompagnement/cloud-administrations/ladoption-du-cloud/https://www.numerique.gouv.fr/offre-accompagnement/cloud-administrations/ladoption-du-cloud/. Cette stratégie est également défendue par le Gouvernement au niveau européen, notamment dans le cadre des négociations sur le schéma de la certification de cybersécurité des services cloud (EUCS) visant à mettre en place un dispositif fiable, complet et transparent de protection des données sensibles européennes. Le Sommet sur la Souveraineté numérique du 18 novembre 2025 illustre cette ambition. La France et l'Allemagne y ont conjointement décidé de renforcer à l'échelle européenne la protection des données les plus sensibles contre les menaces de toutes natures, et notamment les lois extraterritoriales extracommunautaires. [1] actualisée par la circulaire du 31 mai 2023

La question

M. Arnaud Le Gall alerte M. le ministre de l'économie, des finances et de la souveraineté industrielle et numérique sur les malfaçons des opérateurs privés lors des opérations de raccordements des foyers à la fibre optique. L'ouverture des communications électroniques à la concurrence en 1998 a entraîné la privatisation et la libéralisation du marché des télécommunications. Quatre « opérateurs commerciaux d'envergure nationale » (OCEN) se partagent ce secteur : Free, Orange, SFR et Bouygues. Si, au 31 décembre 2023, 99 % des foyers français étaient équipés en téléphonie, la couverture de l'offre internet est en revanche plus disparate. Certaines zones demeurent sous ou mal-dotées, or il n'est plus à démontrer que la fracture numérique est bien constitutive d'une inégalité sociale. En effet, la dématérialisation de la plupart des services, publics ou non, ainsi que des démarches administratives, rend l'accès à internet indispensable afin d'en garantir l'accès à toutes et tous, sans discrimination géographique, en respect des principes républicains et démocratiques. Le plan « France Très Haut Débit » (PFTHD) est censé réduire cette fracture numérique, en fixant pour objectif le raccordement à la fibre optique de l'ensemble des foyers français d'ici à 2025. Au 30 septembre 2024, l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP) établissait que sur 44,5 millions de locaux éligibles à la fibre optique, près de 40 millions en étaient déjà pourvus, soit environ neuf foyers sur dix. Toutefois, ce même texte constatait un ralentissement dans le rythme de raccordement. Surtout, ces données ne disent rien sur la qualité de ces opérations. Or la libéralisation du marché a entraîné la multiplication des sous-traitants via le mode « STOC » (« sous-traitance opérateur commercial »), selon lequel le propriétaire du réseau, soit l'opérateur d'infrastructure, sous-traite le raccordement à un opérateur commercial, qui à son tour le sous-traite à une autre entreprise, etc. Ce marché oligopolistique attire de nombreux prestataires. En bout de chaîne, au niveau local, les agents indépendants, généralement peu formés, travaillent dans l'urgence, avec une cadence intenable car ils et elles sont rémunérés au nombre de raccordements effectués. Le mode d'organisation de ce marché entraîne deux effets délétères. Premièrement, l'opérateur est rarement celui qui, in fine , sera mis en cause en cas de mauvais raccordement puisque les OCEN se défaussent sur les petits prestataires. Deuxièmement il est souvent impossible de retracer la chaîne de responsabilité tant celles-ci sont intriquées. Par conséquent, les malfaçons se multiplient. Des échanges avec des syndicats mixtes tels que Val-d'Oise Numérique, porteurs d'initiatives publiques de déploiement de la fibre optique dans les zones jugées peu rentables par les opérateurs privés, révèlent que, sous pression de leur donneur d'ordre, les prestataires ne s'embarrassent pas des détails lors des raccordements, n'hésitant pas à débrancher d'autres clients afin de finaliser le raccordement du leur. En retour, ces derniers, lésés, interviennent directement dans l'armoire pour rétablir leur ligne ou les vandalisent dans l'espoir que l'opérateur d'infrastructure interviendra. Un cercle vicieux se met en place. Souvent, dans les zones d'initiatives publiques, c'est le délégataire de service public qui, sur demande de l'autorité publique délégante, pallie les dommages générés par ce dysfonctionnement systémique de la filière, ne serait-ce que pour apporter une solution temporaire aux clients et clientes. Par exemple, le Réseau d'initiative publique Débitex, lancé par les départements de Seine-Saint-Denis et du Val-d'Oise, dépasse parfois son périmètre d'action afin de dépanner temporairement des clients, en réparant les boîtiers endommagés le temps que l'agent mandaté par l'entreprise privée se déplace. Dans certaines situations ubuesques, l'opérateur d'infrastructure remet en conformité des armoires dont la destruction découle de la logique d'ubérisation, sans même que l'opérateur commercial ne contribue aux frais de remise en fonction. Pourtant, hormis de très rares cas de vandalisme, ce sont les sous-traitants eux-mêmes qui ont causé les dommages. Cette opération coûte entre 50 et 100 000 euros par armoire, pour une réparation généralement temporaire, le mode STOC produisant toujours les mêmes effets. Cette gabegie affecte l'économie générale des réseaux d'initiative publique cofinancés par des subventions publiques. Ils font ainsi les frais des arrangements oligopolistiques des OCEN. Parallèlement, sur le terrain, les seuls interlocuteurs sont souvent les maires. N'ayant aucune responsabilité dans ces défaillances structurelles, ils et elles deviennent pourtant les réceptacles de la colère des citoyens, notamment dans les petites localités. Face à cette situation, M. le député souhaite que soit engagée une réflexion en vue de corriger ces dysfonctionnements. Les réseaux de fibre optique sont des infrastructures essentielles, parfois vitales. M. le député considère dès lors qu'ils doivent revenir dans le domaine du public d'une part et que, d'autre part, fourniture du service et entretien du réseau doivent être pris en charge par un opérateur unique contrôlé par la puissance publique. Il s'agit ainsi de démanteler le fonctionnement oligopolistique de ce marché et de remettre les besoins des citoyens au cœur de la politique du numérique. Pour cela, il propose la mise en œuvre d'un plan national coordonnée avec tous les acteurs, le contrôle de la puissance publique s'exerçant par des audits fréquents portant sur les contrats d'aménagement numérique conclus entre les collectivités territoriales et les opérateurs depuis 2004. La gabegie doit cesser. Les opérateurs commerciaux doivent assumer leurs responsabilités, au besoin en étant sanctionnés : pénalités de la part de l'opérateur d'infrastructures, amendes dissuasives établies par l'État ou l'ARCEP. Il est anormal que des entreprises privées perçoivent, directement ou indirectement, autant d'argent public sous couvert d'assumer des missions de service public, sans que cela ne soit assorti d'une garantie réelle de résultats. À cet égard, les solutions techniques proposées par la filière pour maintenir le mode STOC, très rémunératrices pour les OCEN (caméras, serrures électroniques, recours à l'IA, etc.), sont des leurres. Elles alourdissent le coût de la réparation, n'empêchent pas les dégradations et n'améliorent pas le suivi des interventions. Engager ce débat nécessite donc d'auditionner des acteurs de terrain comme les syndicats mixtes en charge de l'aménagement numérique du territoire et pas uniquement les opérateurs comme c'est souvent le cas. Dans l'immédiat, il lui demande comment il compte rendre plus efficaces les dispositifs de contrôle et de sanction et mettre ainsi les opérateurs commerciaux devant leurs responsabilités. Plus globalement, il souhaiterait savoir comment il entend mettre fin à une situation dans laquelle citoyens et élus locaux assument les malfaçons de quatre opérateurs privés subventionnés pour garantir une continuité et une qualité de service, ce qu'ils ne font que très imparfaitement.

Réponse

Le Gouvernement est attentif à la qualité des réseaux en fibre optique. Le mode de « sous-traitance à l'opérateur commercial » (STOC) a permis de répondre à une appétence forte des Français pour la fibre optique et de faire face à un rythme soutenu de demandes de raccordement à la fibre optique. La France est aujourd'hui la championne européenne en matière de taux d'abonnements à la fibre optique, loin devant les autres pays européens. Toutefois, le mode STOC a pu affecter la qualité d'exploitation des réseaux déployés, en parallèle d'autres causes de dysfonctionnements, notamment des choix d'architectures de réseaux atypiques par les opérateurs d'infrastructures. La filière s'est engagée en septembre 2022 pour une amélioration de la qualité de service. Ces engagements portent sur trois axes : Le premier axe relève du renforcement de la formation des intervenants et la qualité des interventions terrain par la mise en place d'une certification au niveau des intervenants et des entreprises ; Le second axe porte sur le renforcement des contrôles à la fois par : la transmission des opérateurs commerciaux de leurs plannings d'intervention aux opérateurs d'infrastructure en faisant la demande est en cours d'expérimentation sur une vingtaine de réseau où la qualité de réseau est la plus dégradée. Pour en éprouver l'efficacité, un nombre plus significatif d'audits conduits par les opérateurs devra être réalisé ; la mise en œuvre effective des comptes-rendus d'intervention, dispositif clé pour valider la qualité des raccordements, s'est maintenant généralisée ; la mise en œuvre d'e-intervention, un outil partagé entre tous les opérateurs, qui permet d'envoyer des alertes en cas de débranchements involontaires/volontaires. Des expérimentations sont en cours pour permettre le rebranchement « à chaud » lors d'un débranchement intempestif ; Le troisième axe porte sur la reprise des infrastructures dégradées, que ce soit au niveau des points de mutualisation ou des réseaux vieillissants ou mal dimensionnés qui nécessitent une reprise globale de l'infrastructure. A ce jour, Xp Fibre, Altitude et Free ont lancé des plans de reprise dont l'Arcep assure le suivi. Le Val d'Oise est notamment concerné par le plan de reprise d'Xp Fibre. Le Gouvernement demeure vigilant sur la mise en œuvre effective de ces trois axes par les opérateurs et en a confié le contrôle à l'Arcep, à laquelle les opérateurs sont tenus de rapporter. L'Autorité effectue un état des lieux de la mise en œuvre de chacun des axes à l'occasion des comités de concertation « réseaux fixes », qui réunissent tous les trimestres les associations de collectivités, les opérateurs d'infrastructures, les opérateurs commerciaux, les fédérations professionnelles, les services de l'Etat (DGE, ANCT), ainsi que la Commission Supérieure du Numérique et des Postes. En outre, l'Arcep publie régulièrement un observatoire de la qualité des réseaux en fibre optique, évaluant pour chaque réseaux le taux de panne et le taux d'échec de raccordement. La dernière publication en date de mars 2025 atteste d'une amélioration de la qualité des réseaux en fibre optique perceptible sur la majorité des réseaux. L'Arcep relève ainsi : « Il apparait une poursuite de l'amélioration constatée précédemment sur les taux de pannes et une stabilité sur les taux d'échecs au raccordement. Les réseaux les plus dégradés voient leur taux de pannes moyen diminuer de 0,51 % en janvier 2024 à 0,30 % en octobre 2024, se rapprochant ainsi progressivement des standards de marchés. Néanmoins, sur certains réseaux, notamment en Ile-de-France, les taux de pannes et d'échecs au raccordement restent encore élevés. ». A l'instar de la position tenue lors de l'examen de la proposition de loi adoptée le 2 mai 2023 au Sénat, le Gouvernement considère que la remise en cause par la loi de la possibilité de recourir au mode STOC serait de nature à déstabiliser de manière durable la chaine de valeur au risque de ralentir les déploiements en fibre optique, sans garantie que ces problèmes soient résolus. C'est pourquoi, le Gouvernement a privilégié le suivi rapproché des engagements pris par la filière en lien avec l'Arcep. Par ailleurs de premières expérimentations sur des modes alternatifs de déploiement ("mode OI") sont en cours de lancement.

La question

M. Arnaud Le Gall interroge Mme la ministre d'État, ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche sur les choix d'équipement numérique effectués récemment dans le secteur de l'éducation et de la recherche. Le ministère a en effet décidé de réattribuer le contrat d'équipement de ses services centraux et établissements supérieurs à Microsoft. Il privilégie ainsi l'offre d'un géant américain au détriment d'une solution technique libre et souveraine. Ce choix contredit notamment les recommandations de la direction du numérique pour l'éducation. Il est pour le moins hasardeux, de surcroît à l'heure où la relation transatlantique est plus dégradée que jamais. Doit-on rappeler que les grands patrons de la « big tech » sont un rouage essentiel de l'offensive idéologique et économique menée par l'administration Trump contre l'Union européenne et la France ? Doit-on rappeler que l'usage des technologies étasuniennes exposent à l'application systématique du droit américain, beaucoup moins protecteur en matière de protection des données notamment ? Autant d'éléments confirmant que s'émanciper des GAMAM est une impérieuse nécessité. M. le député s'inquiète également de la décision, prise par la direction de l'École polytechnique, de faire migrer ses services informatiques vers les serveurs de Microsoft. Une telle option expose des données sensibles (échanges internes, informations et résultats de recherche, etc.) à l'extraterritorialité du droit étasunien, à un possible détournement, à des risques d'espionnage. La prudence la plus élémentaire, le souci du bien public, mais aussi les recommandations officielles formulées explicitement dans plusieurs documents de référence, auraient dû conduire la direction de l'école à faire un autre choix. M. le député désire connaître l'avis de Mme la ministre sur ces deux décisions. Il lui demande si elle approuve ces deux choix ou si elle est disposée à prendre des mesures concrètes et efficaces pour que, dans l'un et l'autre cas, d'autres solutions techniques soient retenues, en lieu et place de celles proposées par Microsoft.

Réponse

L'accord-cadre entre le ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche et Microsoft est un support juridique qui permet à l'administration de continuer à utiliser, à tarif préférentiel, les logiciels informatiques et solutions bureautiques de Microsoft (dont Windows, Word et Outlook), dont les équipements des agents du ministère sont majoritairement dotés, comme dans la plupart des autres administrations. Il est à noter que le périmètre couvert au ministère est vaste : près d'un million de postes de travail et serveurs sont concernés, au sein des services centraux et déconcentrés et des différents opérateurs, organismes de recherche, universités et écoles supérieures. Cet accord-cadre est renouvelé pour une durée de 4 ans, comme cela avait déjà été le cas en 2020. Le tarif préférentiel permet de continuer à réaliser des économies d'échelle sur le budget du ministère et de ses opérateurs. Cet accord-cadre n'implique aucun minimum d'achat. Le montant maximal théorique prévu pour cet accord-cadre est établi à 152 M€ (HT). Ce plafond représente la limite supérieure des dépenses possibles dans le cadre de cet accord. Le montant réel de consommation sera connu à l'expiration de l'accord-cadre, au regard des achats de licences réalisés, mais il sera vraisemblablement très inférieur au plafond. Cet accord-cadre respecte la doctrine de l'État concernant le stockage de ces données : les données à caractère sensible du ministère continueront à être stockées sur des serveurs internes hébergés en France, conformément à la doctrine « cloud au centre » pour le stockage des données de l'administration, actualisée par la circulaire n° 6404/SG du 31 mai 2023 signée par la Première ministre Élisabeth Borne. En parallèle, conformément à la stratégie du numérique pour l'éducation 2023-2027, le ministère travaille à déployer des alternatives libres et souveraines à la messagerie Outlook et privilégie plus généralement le logiciel libre lorsque cela est possible. Le programme « Environnement de travail numérique de l'agent (ETNA) » a déjà permis le déploiement à l'échelle d'une solution de visioconférence s'appuyant sur un logiciel libre hébergé souverainement. Il prévoit également le déploiement, en cours, d'une nouvelle messagerie électronique à destination des 1,2 million d'agents de l'éducation nationale d'ici à mi-2026, fondée là aussi sur une solution libre, hébergée sur les infrastructures du ministère. Certains des outils souverains développés par la Direction interministérielle du numérique dans le cadre de « La Suite » ont également vocation à s'intégrer progressivement dans cette offre complète de communication et de collaboration. Enfin, le courrier adressé aux recteurs le 28 février dernier réaffirme la position constante du ministère en la matière qui est de proscrire tout déploiement de suites collaboratives en ligne d'éditeurs non-européens dans les établissements scolaires. Le ministère recommande ainsi, conformément à la doctrine technique du numérique pour l'éducation qui sera rendue juridiquement opposable dans le courant de cette année, de privilégier l'usage des espaces numériques de travail (ENT) fournis par les collectivités, des services numériques qui y sont associés, ainsi que des ressources numériques rendues disponibles par le « gestionnaire d'accès aux ressources » (GAR) du ministère, lequel permet d'assurer un accès sécurisé aux différents logiciels et applications tout en limitant les risques de transferts de données hors de l'Union européenne. Cette position s'appuie sur deux principaux arguments : d'une part, la nécessaire vigilance à avoir quant aux données des élèves, pour la plupart mineurs, qui relèvent donc d'une sensibilité particulière ; d'autre part, la nécessaire neutralité du ministère qui ne doit pas préparer les élèves à une utilisation d'une suite collaborative commerciale donnée, mais enseigner les compétences génériques de collaboration à l'aide d'outils numériques, quels qu'ils soient. Par ailleurs, l'école polytechnique (EP) applique l'ensemble des dispositions de sécurité du ministère des armées, dont la politique de sécurité des systèmes d'information, basée sur une analyse de risques réalisée par l'établissement. Actuellement, l'environnement numérique de travail (ENT) de l'EP présente une hétérogénéité de briques logicielles répondant à une pluralité d'usages. Cette situation nécessite une harmonisation pour renforcer la protection face à deux menaces majeures : la cybercriminalité et le cyber-espionnage. Aujourd'hui, constitué d'outils non intégrés et peu utilisés, l'ENT fait l'objet de nombreux contournements par l'utilisation d'outils plus intuitifs mais non sécurisés par les usagers, compromettant la capacité de l'EP à maîtriser son système d'information. L'EP a besoin d'une solution permettant des échanges sécurisés avec les personnels administratifs, professeurs, élèves et homologues de l'institut polytechnique de Paris, y compris en mobilité, partout en France et dans le monde. En conformité avec la transformation de la doctrine d'utilisation de l'informatique en nuage par l'État, l'EP a cherché à homogénéiser ses solutions logicielles pour simplifier les usages ne nécessitant pas de confidentialité particulière. L'environnement de sécurité du logiciel Microsoft est conforme aux recommandations de l'agence nationale de la sécurité des systèmes d'information pour les données non sensibles : authentification multi-facteurs, filtres anti-spam maintenus à l'état de l'art, gestion du besoin d'en connaître et détection d'activité malveillante par des fonctionnalités de gouvernance intégrées, journaux de sécurité détaillés et facilement exploitables. Le risque identifié de l'absence de souveraineté des données reste maîtrisé en raison de leur caractère non sensible. Les données de la recherche issues des laboratoires, les plus sensibles, ne sont pas concernées par le déploiement des outils collaboratifs Microsoft ni par une migration vers le cloud Azure. Les 23 laboratoires de l'EP, dont 22 sont des unités mixtes de recherche avec le centre national de la recherche scientifique, font l'objet d'une attention particulière en matière de lutte contre les ingérences étrangères et le cyber-espionnage. Cette vigilance a conduit à la création de plusieurs zones à régime restrictif (ZRR) bénéficiant d'une protection spécifique décrite par l'instruction ministérielle n° 298 du 5 mars 2014 du ministère des armées. Ce corpus réglementaire vise à assurer la sécurité des informations détenues et échangées au sein des ZRR et sur les systèmes d'informations qui y sont déployés. Conformément à la politique de confidentialité des données de l'EP, les données issues des ZRR comportent un marquage spécifique de confidentialité et sont conservées dans des serveurs protégés. Seules les personnes ayant le besoin d'en connaître et ayant fait l'objet d'une enquête administrative peuvent y avoir accès. La conformité de l'ensemble des dispositions réglementaires relatives aux mesures de protection physique et logique fait l'objet de contrôles réguliers menés par la direction générale de l'armement, direction de tutelle de l'EP, et de la direction du renseignement et de la sécurité de la défense, service de contre-ingérence du ministère. Face à ces deux menaces qui pèsent sur la cyber-sécurité de l'EP, la sensibilisation des acteurs (chercheurs comme élèves) reste une priorité. Une politique de confidentialité des informations plus claire et un environnement numérique plus homogène constituent ainsi une preuve d'avancement en maturité cyber de l'établissement.