Bilan de l’action de l’ANSSI en 2024

Bilan de l’action de l’ANSSI en 2024. Le rapport d’activité de l’ANSSI est sorti en avril 2025. Les agences de l’Etat apportent maintenant un importance particulière à leurs rapports d’activité pour justifier de l’utilisation des moyens et de leur budget. Avec la tendances à dénoncer les dépenses de des agences, il est utile de démontrer que le travail justifie les moyensengagés.

Bilan de l’action de l’ANSSI en 2024 en chiffres

En 2024, l’ANSSI a enregistré plusieurs chiffres clés concernant ses activités et la cybersécurité en France. Voici un aperçu de ces données, tirées des sources fournies :

Effectifs et Budget de l’ANSSI :

• 656 agents travaillaient au quotidien au sein de l’ANSSI. L’ANSSI peut être qualifiée d’agence importante en termes d’effectifs. On va voir quel est leur profils.
• L’âge moyen des agents de l’ANSSI était de 36 ans. C’est assez jeune, la moyenne de toute la fonction publique est de 43 ans (source, servicepublic.fr)
• Le budget de l’ANSSI (hors masse salariale) s’élevait à 29,6 millions d’euros, soit une augmentation de 15 % par rapport à l’année 2023.

L’agence va certainement bénéficier de nouveaux moyens en 2025 et ensuite pour faire face à l’élargissement de ses missions tels que défini dans la feuille de route stratégique

Activité de l’ANSSI

• L’ANSSI a traité 4 386 événements de sécurité, soit une augmentation de 15 % par rapport à 2023.
• Parmi ces événements, 1 361 incidents ont impliqué un acteur malveillant, représentant une hausse de 18 % par rapport à 2023.
• Concernant les Jeux olympiques et paralympiques de Paris 2024 (entre le 8 mai et le 8 septembre 2024), l’ANSSI a recensé 548 événements de cybersécurité.
• Les 12 CSIRT territoriaux ont porté à la connaissance de l’ANSSI près de 700 événements de sécurité numérique, dont 400 incidents, entre le 1er janvier et le 18 décembre 2024.

Ces chiffres sont malheureusement en hausse chaque année.

Formation, information et Sensibilisation du public :

• 68 formations étaient labellisées SecNumedu.
• 35 formations étaient labellisées SecNumedu-FC, soit une augmentation de 56 % par rapport à l’année 2023.
• 1 696 personnes ont été formées au Centre de formation à la sécurité des systèmes d’information (CFSSI), soit une hausse de 21 % par rapport à 2023.
• 117 856 attestations SecNumacadémie ont été décernées.
• 1 501 diagnostics ont été réalisés.
• 1 487 aidants cyber étaient référencés sur MonAideCyber.
• 81 986 vulnérabilités ont été corrigées grâce à MonServiceSécurisé.
• 3 403 services étaient sécurisés grâce à MonServiceSécurisé.

Publications et Reconnaissances :

• L’ANSSI a publié 11 rapports menace et incidents.
• 12 logiciels ont été publiés en open source. C’est un point important de la souveraineté
• 22 articles scientifiques ont été publiés.
• L’ANSSI a délivré 196 qualifications et 94 certifications.
• 280 visas de sécurité ont été accordés.
• 3 études de marché ont été réalisées.
• 1 avis technique a été publié.

Dispositifs Réglementaires et Alertes :

• L’ANSSI a reçu 236 signalements de vulnérabilités au titre de l’article L.2321-4 du code de la défense.
• Neuf campagnes de signalement de vulnérabilités représentant 15 900 adresses IP ont été menées auprès des abonnés des opérateurs, dont 8 731 ont pu être identifiées.
• 68 demandes d’identification pour un total de 978 adresses IP ont été effectuées par l’ANSSI auprès de 34 opérateurs de communications électroniques.
• L’ANSSI a rendu 1 610 décisions concernant la sécurité des réseaux 5G, dont 52 décisions de refus. Cela comprenait notamment 586 décisions pour les exploitations, 587 pour les commercialisations, 355 pour les renouvellements, et 82 autres décisions.

Un cadre réglementaire qui se renforce

L’année 2024 a été marquée par une évolution significative du cadre réglementaire en matière de cybersécurité, tant au niveau européen qu’en France, avec une implication forte de l’ANSSI. Plusieurs initiatives importantes ont progressé ou sont entrées en vigueur, visant à élever le niveau global de cybersécurité.

Le texte dont nous avons le plus entendu parlé est NIS2. Il concerne les entreprise et les collectivités. Il n’est pas encore transposé en droit français mais des travaux intenses sont en cours au parlement.

• Transposition de la directive NIS 2 : L’ANSSI a poursuivi activement ses travaux de transposition de la directive NIS 2 (Network and Information Security) en droit français. Cette directive européenne vise à renforcer le niveau de cybersécurité des tissus économique et administratif des pays membres de l’UE en élargissant le champ des entités concernées (administrations de l’État, collectivités territoriales, moyennes et grandes entreprises de 18 secteurs d’activité) et en introduisant des exigences plus adaptées. Le document de loi, titre II “Cybersécurité” a été présenté en conseil des ministres le 15 octobre 2024. La transposition de NIS 2 est un chantier majeur pour l’ANSSI, entraînant une transformation de son organisation et de ses missions, avec l’ajout de prérogatives de contrôle et de supervision. L’ANSSI a également mis en place la plateforme Monespacenis2.cyber.gouv.fr pour informer et accompagner les entités concernées.
• Vote du règlement sur la cyber-résilience (CRA) : Le règlement sur la cyber-résilience (Cyber Resilience Act) a été voté et publié le 20 novembre 2024. Complémentaire à la directive NIS 2, il définit des exigences minimales de cybersécurité pour les produits comportant des éléments numériques mis sur le marché européen. Le CRA vise à sécuriser les produits numériques utilisés par les organisations et le grand public.
• Révision du règlement eIDAS : La révision du règlement eIDAS (Electronic Identification, Authentication and Trust Services) est entrée en vigueur le 20 mai 2024. Ce règlement vise à faciliter la sécurité des transactions numériques transfrontalières et à créer un cadre de confiance pour l’identité numérique et l’authentification au sein de l’UE, notamment avec l’introduction du portefeuille européen d’identité numérique.
• Adoption du schéma européen de certification de cybersécurité (EUCC) : Le 31 janvier 2024, la Commission européenne a adopté l’EUCC (EU Common Criteria), le premier schéma de certification européen fondé sur des critères communs. Ce schéma, conforme au règlement européen Cybersecurity Act (CSA), fournit des règles et procédures de certification harmonisées pour les produits TIC.
• Mise en œuvre de la Loi de Programmation Militaire (LPM) 2024-2030 : Le décret d’application de la LPM 2024-2030 est entré en vigueur le 10 mai 2024. Cette loi dote l’ANSSI de nouvelles capacités opérationnelles pour anticiper, caractériser et neutraliser la menace, notamment en matière de filtrage DNS et de traitement des vulnérabilités. Elle oblige également les éditeurs à notifier les vulnérabilités significatives à l’ANSSI. L’ANSSI a mis en œuvre un premier dispositif efficient sous le contrôle de l’ARCEP et de la CNIL.

En 2024 l’ANSSI a mis en œuvre une transformation de ses compétences et de son domaine d’intervention. Elle devient une agence opérationnelle et plus de conseil et d’orientation.

Enjeux de l’informatique quantique

Ce nouveau domaine de l’informatique concerne la cryptographie.

Voici les principaux enjeux identifiés par l’ANSSI :

• Menace pour la cryptographie asymétrique actuelle : Le développement et l’utilisation d’un ordinateur quantique par une puissance étrangère remet en cause les fondements de la cryptographie asymétrique largement utilisée pour sécuriser les infrastructures numériques. Cela pourrait rendre obsolètes de nombreux systèmes de sécurité actuels.

Pour faire face à cette menace, il faut faire évoluer le cryptage.

• Nécessité de la cryptographie post-quantique (PQC) : La PQC est présentée comme l’ensemble des algorithmes cryptographiques qui pourraient résister à la menace quantique, tout en restant sécurisés contre les attaques classiques. La transition vers la PQC est considérée comme la voie la plus prometteuse pour se prémunir contre cette menace.

Stratégies de l’ANSSI pour la transition :

• Garantir la disponibilité d’une offre de produits PQC de confiance : Cela implique d’accompagner le développement de produits de sécurité intégrant une nouvelle génération d’algorithmes cryptographiques résistants aux ordinateurs quantiques.

Qualification de services secnumcloud

Le SecNumCloud est une qualification délivrée par l’ANSSI pour identifier les prestataires de cloud de confiance. Cette qualification garantit un haut niveau d’exigence tant du point de vue technique, qu’opérationnel ou juridique.

Le sujet est celui de la souveraineté des hébergeurs et des offres de services en ligne.

• Recommandations de l’ANSSI : Face au recours croissant aux technologies de cloud computing, l’ANSSI a publié en 2024 une série de recommandations de sécurité pour l’hébergement des systèmes d’information sensibles dans le cloud. Ces recommandations indiquent, en fonction du type de système d’information, de la sensibilité des données et du niveau de la menace, les types d’offres cloud à privilégier. L’ANSSI préconise l’utilisation de solutions qualifiées SecNumCloud pour les systèmes d’information de niveau de diffusion restreinte, les systèmes d’information sensibles des opérateurs d’importance vitale (OIV) et des opérateurs de services essentiels (OSE), ainsi que des systèmes d’information d’importance vitale (SIIV).

En lien avec NIS2, l’ANSSI recommande de n’utiliser que des services SECNUMCLOUD pour certains opérateurs.

• Évolution de l’offre qualifiée : L’offre de cloud qualifiée SecNumCloud s’est étendue et comprenait 14 solutions de 7 offreurs fin 2024. Parallèlement, 8 sociétés ont engagé un processus de qualification SecNumCloud.
• Guide de déploiement OpenStack SecNumCloud : L’ANSSI a également publié en 2024 un guide de recommandations de sécurité relatives au déploiement d’une infrastructure OpenStack pour un service IAAS SecNumCloud.

La réalité est que encore peux d’offre opérationnelles sont disponibles. OVH est un acteur français le plus en pointe sur le sujet avec des offres disponibles.

Beaucoup d’annonces sont faires par DOCAPOSTE, THALES mais pas de réelle commercialisation encore.

Sources :

Bilan activité ANSSI 2024

Article Le monde informatique 15 avril 2025 sur bilan activité ANSSI

Stratégie ANSSI