Conférence-débat avec Stéphane BOUILLON, préfet, Secrétaire Général de La Défense et de la Sécurité Nationale (SGDSN) du 11 mai 2023

Merci Monsieur le président de votre accueil.

Heureux de vous retrouver ainsi que quelques connaissances, et flatté de plancher devant beaucoup de personnalités qui à vrai dire, pourraient tenir le micro beaucoup mieux que moi.

            Rappel sur les missions du SGDSN, qui se sont accrues

Une maison peu connue du public, en dehors des ministères régaliens, et des commissions parlementaires en charge de nos activités. Une maison au service du PR, et de la PM dont le SGDSN est un des services.

En 2011, le SGDN est devenu SGDSN, le rajout de « la sécurité nationale » marquant l’intrication forte désormais de la défense de la France avec sa sécurité intérieure. Et cette intrication depuis n’a fait que se renforcer, accroissant nos missions et notre vàcation interministérielle.

Nous sommes donc à la fois une administration en charge de l’interministériel dans le domaine de la défense et de la sécurité nationale, ce qui couvre tous les intérêts fondamentaux de la nation; mais sommes aussi désormais un service opérationnel pour quelques missions non rattachables à un seul ministère.

Aujourd’hui, 1300 agents, civils et militaires.

-Des fonctions de protection du secret de la DN, et d’habilitation de ceux qui ont à en connaître 

-Des fonctions de planification, de prévention et de préparation aux crises, de toute nature ; et désormais de longue durée, touchant tout le territoire : concept de résilience

-Des fonctions pour le compte de la PM : CIEMG, CIBDU, autorisation de prises de vue des satellites que nous vendons ; autorisations de déploiement de réseaux de 5G

-Des fonctions de suivi des crises internationales, et de négociations avec nos homologues ; de lutte contre la prolifération des ADM, des menaces NRBC ;

-Suivi des affaires spatiales, du nucléaire civil ;  + anticipation : what if ?…

-et des fonctions désormais, opérationnelles : 3 SCN placés sous mon autorité

ANSSI, autorité nationale pour la cyber sécurité : le pompier d’Etat

VIGINUM, chargé de déceler et caractériser attaques informationnelles de l’étranger

            OSIIC, (Déploiement des systèmes d’information classifiés : ISIS, OSIRIS, Horus, Hubs interministériels classifiés)

+ gestion du GIC, sans autorité sur ses activités

–Last but non least, préparation des Conseils de défense, secrétariat de ces conseils, et suivi de leurs décisions

Pour résumer, puisque nous sommes un bouclier dans beaucoup de domaines, nous essayons d’être paranoïaques, pour anticiper et chercher solutions aux risques et menaces recensés.

De fait, ces menaces augmentent :

Activité du SGDSN est marquée par la guerre en Ukraine et ses effets  

• Etat des lieux

Guerre en Ukraine n’est pas seulement un conflit frontalier comme au 20eme siècle entre 2 Etats en Europe : elle a des effets systémiques :

-Les sanctions économiques bouleversent pour longtemps l’ordre économique global, et marquent la fin de la mondialisation.

-Le droit international est défoncé : les traités ne sont plus respectés ; et l’attitude de la Russie va désinhiber les Etats autoritaristes, et encourager la prolifération nucléaire.

-En Afrique, la Russie, par la manipulation de l’information, et jouant de la protection rapprochée et sûre qu’elle vend à certains dirigeants, amplifie le déclin de notre influence et de nos partenariats, avec montée d’un sentiment anti-français, que nous devons surveiller aussi en France dans certaines diasporas

-Le terrorisme islamique n’a pas disparu et va redevenir menaçant dans nos pays

-La Chine en profite pour s’armer lourdement et accroître son influence, voire sa domination économique et politique dans le monde, dont l’Afrique là encore, tandis que les USA , malgré leurs divisions internes, essaient de rassembler leurs alliés de l’Ouest autour d’eux => the West against the rest  : dangereux et inefficace.

Par ailleurs, enjeux climatiques vont avoir fortes conséquences en termes de conflits, et de migrations, pour trouver terres moins inondables ou moins désolées par sècheresses.  Et il faut aussi intégrer évolutions de démographie dans la géopolitique…

Face à ces bouleversements, nous devons renforcer nos protections contre les menaces visibles, et les menaces hybrides, i.e en dessous du seuil de conflictualité, qui visent à gagner la guerre sans avoir à combattre, et nous devons apprendre à sécuriser nos approvisionnements en tout…

• Le projet de LPM :  la rédaction de la Revue Nationale Stratégique présentée par le Président de la République le 9 novembre, préparée au SGDSN, tire conséquences de cette nouvelle donne et définit nos objectifs,

= 5 cercles d’intervention potentielle de nos forces armées,

-la défense de notre territoire, avec la dissuasion nucléaire : par nous-mêmes

-la protection de notre environnement immédiat : Europe, rives méditerranéennes : Nation-cadre, coalition

-le partenariat : Afrique jusqu’à péninsule arabique : coalitions, ou seuls

-la zone Indo-Pacifique : zone d’influence avec quelques partenaires clé (Inde)

-la protection de nos intérêts dans les cercles dits immatériels : espace, grands fonds martins, cyber, information…

= 10 « effets à atteindre », i.e objectifs ; notamment :

• Construction d’une défense européenne autonome
  • Travail au sein de l’OTAN, pour qu’elle joue tout son rôle, mais rien que son rôle (résilience, Chine…) ; France, alliée exemplaire

Et en France :

• modernisation de la dissuasion nucléaire ; rappel doctrine…
  • Résilience en métropole, et outre-mer ® SNR ; réservistes. SNU…
  • Economie de guerre,

dont sécurisation des approvisionnements, en énergie, en métaux critiques, en composants, en matières premières

dont modification de la production : passer d’une BITD de vitrine, à une BITD de magasin, sans perdre l’innovation technologique

dont sécurisation juridique, avec simplification du droit

• Résilience cyber
  • Action dans les champs hybrides (lawfare, PPST, LMI)
  • Et bien sûr renforcement des forces armées, suivant des formats capacitaires adaptés à ces enjeux ; renseignement et compréhension

SNR : stratégie nationale de résilience (Relais UE avec directive REC)

Faire face à des crises systémiques, longues et étendues : anticiper, préparer, réagir, revenir à la normale.

• Réforme planification en cours : (Directive générale interministérielle)

Boite à outils plus simple, plus lisible, plus thématique « tous risques », outil numérique « Athena » : 8 types crises et 12 activités clés

• Résilience Etat :
• PCA à mettre à jour
• Préparer les relèves dans la gestion de crise : au plus tôt avec la formation des cadres, conservation des « mémoires », exercices.

• Au niveau des collectivités locales :

Cf. crise Covid : efficacité du couple maire/préfet, du couple président de Conseil départemental/préfet : à inscrire dans les textes ; nous avons reçu bon accueil des associations d’élus. Suppose aussi que les collectivités territoriales se préparent : Plans de continuité d’activité.

On les mobilise, et on les fera travailler ensemble.

• Avec les Armées, organisation d’un concours réciproque entre le civil et le militaire. Expérience lors de l’exercice Orion qui vient de s’achever.
  Développement des réserves ; travail sur les stocks et la logistique

• Au niveau des associations et des citoyens :

Réserves, SPV, comités communaux des feux forêts, prévention des risques : + acteurs que consommateurs – projet de distribution de kits individuels de résilience]

Dispositif « B-A-BA » avec CNED, pour former au climat, à la résilience, à la cyber sécurité, et pour pousser à la mobilisation du civisme

J’insiste sur les menaces d’initiative étrangère sur lesquelles nous travaillons : elles concernent chacun d’entre nous et notre environnement immédiat : ce sont les menaces hybrides  

Elles sont sous le seuil de conflictualité et permettent de gagner la guerre sans avoir à combattre, et sans que la responsabilité puisse en être attribuée, ou du moins engager une escalade : existent depuis Sun Tzu (VI ème-Vème siècle avant notre ère) ; reprises par général Guerassimov en Russie.

L’usage des nouvelles technologies, et notamment du numérique ont en effet ouvert un nouveau champ beaucoup plus vaste, et asymétrique entre démocraties et autocraties

Cybersécurité           

Sommes de plus en plus dépendants du numérique ; et donc très vulnérables

• Menace accrue : attaques tous azimuts, jusque contre particuliers se multiplient.

PME ETI : 52% des attaques. Coll. Terr. :19% ; entreprises stratégiques :10% ; etbts de santé 7% ; universités :3%

Elles explosent dans tous les domaines

• Cybercriminalité . Par des organisations criminelles, mais aussi parfois avec le soutien d’Etats Rançons réclamées, mais en fait, vente de données personnelles sur le dark web.
• Espionnage visant tous les domaines, d’ordinateurs et aussi désormais de téléphones portables, même avec des applications de sécurité
• Sabotage d’infrastructures ou de réseaux

Notre principale crainte : chevaux de Troie qui peuvent tout arrêter ; pb de l’entrée par le maillon faible, et pb des SI dont l’architecture ne garantit pas les étanchéités entre niveaux d’application, pb des SI obsolètes sans investissements de sécurité.

• L’Etat se défend, il se sécurise, il développe une filière.

Effort engagé par ANSSI au sein des services de l’Etat et des OIV : incitation, et de plus en plus obligation;

Cyber campus pour créer une filière économique associant public et privé (formation, incubation de start up, R & D, échanges et coopération)

L’ANSSI est le bouclier avec le C4 qui réunit les SR et les ministères concernés autour du SGDSN pour traiter les attaques et proposer réponse aux hautes autorités ; (mais il y a aussi l’épée dans les Armées). Travaille avec la Justice ; coopération internationale avec nos alliés se renforce. Mais : difficulté à attribuer ; difficulté à riposter. 

Moyens en effectifs et en crédits en croissance continue

Le projet de LPM va accroître compétences de l’ANSSI par rapport aux réseaux pour mieux déceler les attaques ou les vulnérabilités, et en informer les usagers

Le MIOM se structure pour renforcer lutte contre cybercriminalité

• UE consciente du problème :

Directives NIS et NIS 2 étendent le nombre d’organismes, publics et privés qui vont devoir se soumettre à règles de sécurité cyber (au-delà des OIV) sous le contrôle des autorités nationales, chez nous l’ANSSI.

• Mobilisation plus forte dans tous les secteurs est à encourager

Effort en cours, mais à encourager dans les collectivités locales, (19% attaques), hôpitaux (7%). Parcours de cybersécurité financés par France Relance 2030 : 176 M€ en 2022.
Jouer sur l’intercommunalité pour mieux se protéger

Création des CSIRTS régionaux , et de CSIRTS sectoriels : transports, santé…

Dans entreprises, investissements très nécessaires, notamment chez sous-traitants et fournisseurs des grosses cibles… 

Attention aux JOP de 2024 : ANSSI pilote leur cyber sécurité, et a lancé programme d’audits et de soutien adapté au caractère critique de chaque entité participant aux JO (billetterie comprise)

Manipulations de l’information : Nouvelle forme de déstabilisation. SGDSN ne s’intéresse qu’à celles initiées par l’étranger.

Actives lors des élections présidentielles de 2017, puis après l’assassinat de Samuel Paty ; actives au Sahel et dans toute l’Afrique, actives à propos de la guerre en Ukraine ; et actives aux USA pour leurs élections, en GB lors du Brexit, etc

• Arsenal législatif se renforce, la dernière loi date de 2018 : ordre public, institutions menacées ; et toujours code électoral et loi sur la presse de 1880

Au niveau européen, nouvelle directive DSA

• Création de VIGINUM, petit frère de l’ANSSI : travaille avec ARCOM, et pendant les élections présidentielles et législatives, au profit des juges de l’élection – Reconnu par les élus ; contrôlé par Parlement, et par CNIL. Travaille avec les opérateurs, plus ou moins bien. Veille, détecte, caractérise et analyse : fait des propositions

• VGN ne rétablit pas la vérité, explique la manipulation par bots et par trolls ; explique la fabrication de l’information.

• Réaction par ARCOM, devant les tribunaux, le cas échéant par diplomatie.
  Plus que les sanctions, c’est le démontage de l’info qui compte

Activisme russe, ultra droite américaine, et turc, iranien ; propagande chinoise sont les plus suivis aujourd’hui. Vigilance aussi pour nos entreprises

Le MEAE pilote d’une stratégie de l’influence : mieux expliquer, en utilisant canaux modernes, et en liaison avec MinArm ; renforcement et modernisation du réseau diplo

Prédation du Patrimoine Scientifique et Technique :

Sujet de longue haleine pour sécurité économique de nos entreprises, et donc de notre pays.

• Prise de contrôle des entreprises, après déstabilisation, soit réputationnelle, soit par manipulation des cours de bourse
• Espionnage industriel, débauchage des ingénieurs et des commerciaux
• Lawfare : extraterritorialité du droit, judiciarisation, édiction de normes internationales

Plan de sensibilisation pour acteurs publics et privés relatif aux ingérences étrangères conduit par tous ministères, sous coordination SGDSN :

Protection via Colisé, avec DGE /SISSE, ministères concernés et préfectures de région ; Soutien à nos entreprises (BPI France) ; réglementation des investissements étrangers en France ; édiction de normes au niveau européen (cf ce dimanche, fiche sur l’accès aux marchés publics européens)

Conclusion :

La guerre coûte cher, et est aléatoire. De + en +, menaces hybrides, ingérences étrangères sont utilisées pour la remplacer, ou la préparer.

Pas seulement un sujet stratégique, aussi un sujet de valeurs : les démocraties contre les autocraties. Sommes plus vulnérables. On travaille donc avec nos alliés pour faire face.

Et il faut que nous mobilisions nos concitoyens, à tous niveaux .