B. LES OBSERVATIONS DU RAPPORTEUR SPÉCIAL
1. Des mouvements de crédits en cours d'année qui modifient à la hausse les crédits initiaux de la mission
Des mouvements de crédits ont eu lieu en cours d'exercice par voie règlementaire, modifiant les crédits initiaux de la mission.
Les deux principaux éléments qui ont affecté les ressources de la mission sont :
- les reports de crédits de l'exercice 2024 maintenus à un niveau très significatif de 109,6 millions d'euros en CP. La majorité de ces reports est constituée par des fonds de concours et attributions de produits portés par le fonds de concours « Produit des cessions de biens confisqués dans le cadre de la lutte contre les produits stupéfiants » dit « drogues » pour 100,5 millions d'euros en CP ;
- le maintien à un niveau important des transferts de crédits, notamment via la hausse des transferts entrants à hauteur de 53,2 millions d'euros pour le budget opérationnel de programme « Soutien » qui porte les dépenses mutualisées et transversales des services du Premier ministre.
Comme le souligne la Cour des comptes, les mouvements opérés en cours d'exercice ont eu pour conséquence d'augmenter les crédits initiaux de la mission, en particulier ceux du programme 129 « Coordination du travail gouvernemental ».
Les ressources complémentaires ont surtout bénéficié au Secrétariat général de la défense et de la sécurité nationale (SGDSN) pour faire face aux besoins liés à la situation internationale. Ses crédits ont été augmentés de 36,9 millions d'euros en CP via le recours aux crédits destinés aux dépenses accidentelles et imprévisibles (DDAI) et l'utilisation de la réserve de précaution en cours de gestion.
La Cour des comptes souligne que « cette gestion, passant par des abondements répétés, dans des délais parfois très brefs après le vote de la loi de finances, nuit à la portée de l'autorisation parlementaire et à la lisibilité de la gestion du programme. »1(*).
2. Un niveau de sécurité informatique qui reste en tension
L'amélioration de la sécurité et de la performance des systèmes d'information de l'État est le cinquième objectif fixé au programme 129 « Coordination du travail gouvernemental ». L'atteinte de cet objectif repose sur l'action du SGDSN et de la Direction interministérielle du numérique (DINUM).
Placé auprès du chef du Gouvernement, le SGDSN a notamment pour mission de mettre en oeuvre la politique du Gouvernement en matière de sécurité des systèmes d'information. Pour cette mission, deux services à compétences nationales lui sont rattachés :
- l'Agence nationale de la sécurité des systèmes d'information (ANSSI) : autorité nationale en matière de cybersécurité et de cyberdéfense, l'action de l'ANSSI se compose de quatre grandes missions, à savoir défendre, connaître, partager et accompagner les entités publiques et privées visées par les cyberattaques ;
- l'Opérateur des systèmes d'information interministériels classifiés (OSIIC) : chargé d'assurer les communications protégées des plus hautes autorités de l'État en tout temps et en tous lieux, l'OSIIC assure également la fonction de direction des systèmes d'information pour l'ensemble des entités composant le SGDSN.
De surcroît, l'ANSSI et l'OSIIC poursuivent leur montée en puissance en 2025, notamment via la révision à la hausse du schéma d'emploi du SGDSN en cours d'exercice (+ 20 ETP contre - 10 ETP prévus en LFI 2025) 2(*).
L'atteinte du cinquième objectif susmentionné est notamment mesuré via l'indicateur « Niveau de sécurité des systèmes d'information de l'État » regroupant les trois objectifs déclinés dans le tableau ci-dessous.
Niveau de sécurité des systèmes d'information de l'État
(en note de 0 à 5 ou en pourcentage)
|
|
2023 Réalisation |
2024 Réalisation |
Cible 2025 |
2025 Réalisation |
Cible |
|
Maturité globale en sécurité des systèmes d'information de l'État (noté de 0 à 5) |
3,3 |
3,6 |
3,8 |
3,6 |
3,9 |
|
Niveau d'avancement des grands projets interministériels en matière de sécurité des systèmes d'information (en %) |
96 |
96 |
97 |
52,5 |
97 |
|
Taux de réalisation du schéma directeur des systèmes d'information interministériels classifiés (en %) |
83 |
76 |
100 |
100 |
100 |
Note : le sous-indicateur relatif à la maturité globale en sécurité des systèmes d'information de l'État reflète l'écart entre un niveau de maturité effectif et un niveau de maturité considéré comme adéquat en fonction de l'activité du ministère. Ces niveaux sont déterminés à l'aide d'un guide méthodologique et d'un questionnaire établis par l'ANSSI en collaboration avec les départements ministériels. Les données fournies par les ministères peuvent éventuellement être corrigées à partir des constats faits par l'ANSSI lors de ses inspections.
Source : commission des finances, d'après les documents budgétaires
En 2025 la cible est atteinte en matière de taux de réalisation du schéma directeur des systèmes d'information interministériels classifiés, ce qui n'était pas le cas en 2024 où le taux se fixait à 76 %.
Le rapporteur spécial remarque également la stabilité en matière de maturité globale en sécurité des systèmes d'information de l'État.
Cependant, il regrette la dégradation en matière d'avancement des grands projets interministériels en 2025 alors que la cible était atteinte en 2024. Les documents budgétaires soulignent que le taux de couverture réel des systèmes d'information des bénéficiaires étatiques de l'ANSSI est difficile à établir compte tenu de la nécessité d'actualiser une cartographie en y intégrant les nouveaux projets.
En parallèle, l'atteinte du cinquième objectif susmentionné est mesuré par un second indicateur qui évalue la qualité du réseau interministériel de l'État (RIE) construit et opéré par la DINUM qui a pour mission d'élaborer la stratégie numérique de l'État et de piloter sa mise en oeuvre. Ce second indicateur qui évalue le taux de sites sensibles ayant subi un incident dont la durée globale est supérieure à 4 heures est présenté ci-dessous.
Taux de sites sensibles ayant subi un incident dont la durée globale est supérieure à 4 heures
(en pourcentage)
|
|
2022 Réalisation |
2023 Réalisation |
2024 Réalisation |
Cible 2025 |
2025 Réalisation |
Cible |
|
Taux de sites sensibles ayant subi un incident supérieur à 4 heures |
3,5 |
2,3 |
3 |
2 |
2 |
2 |
Note : les sites sensibles couverts par cet indicateur correspondent aux sites sensibles du réseau interministériel de l'État (RIE).
Source : commission des finances, d'après les documents budgétaires
Le taux de sites sensibles ayant subi un incident supérieur à 4 heures a diminué en 2025 permettant d'atteindre la cible, ce qui constitue une avancée notable par rapport à l'année précédente où le taux avait augmenté. Les documents budgétaires indiquent que la stabilisation du réseau de collecte et la mise en qualité des données par la DINUM a permis l'atteinte de l'objectif fixé pour 2025.
Le rapporteur spécial insiste sur l'importance de sécuriser les données publiques et de se prémunir contre les attaques informatiques. Par exemple, des investigations menées par la Direction générale des finances publiques (DGFIP) ont permis d'identifier des accès illégitimes au fichier national des comptes bancaires (FICOBA). Fin janvier 2026, un acteur malveillant avait usurpé les identifiants d'un fonctionnaire afin d'accéder au fichier FICOBA.
* 1 Cour des comptes, note d'exécution budgétaire 2025, mission « Direction de l'action du Gouvernement », avril 2026.
* 2 Cour des comptes, note d'exécution budgétaire 2025, mission « Direction de l'action du Gouvernement », avril 2026.