Intervention de Jean-François Rapin

Notre commission se réunit ce matin pour traiter d'un sujet qui prend une place croissante dans l'agenda politique : la cybersécurité. Nous y sommes attentifs depuis longtemps, d'autant que le sujet a donné lieu à plusieurs initiatives législatives européennes ces dernières années. Le coordinateur de l'Union européenne pour la lutte contre le terrorisme, Gilles de Kerchove, nous y a de nouveau sensibilisés lorsque nous l'avons auditionné en novembre dernier. Il a indiqué qu'à ses yeux, la communauté de la sécurité intérieure à Bruxelles n'avait pas encore pris la mesure de la digitalisation de la sécurité.

La pandémie accélère toujours plus la numérisation de l'économie et de la société. Elle conduit notamment à généraliser le télétravail. Dans ce contexte, les cyberattaques se développent sous différentes formes. Selon le Gouvernement, depuis le début de l'année 2021, chaque semaine, un hôpital français est la cible d'une cyberattaque. En pleine pandémie, cette situation est particulièrement alarmante et mobilise certainement l'Agence nationale de la sécurité des systèmes d'information (Anssi), dont je salue le directeur général, Guillaume Poupard, et l'Agence européenne chargée de la sécurité des réseaux et de l'information (Enisa), dirigée par Juhan Lepassaar, que je remercie de s'être rendu disponible pour échanger ce matin avec notre commission.

Nous sommes désireux d'apprécier l'efficacité de la politique publique en matière de cybersécurité. Les moyens accordés à vos agences sont-ils adaptés à leurs missions ? L'Anssi pourra notamment évoquer l'annonce récente par le Président de la République française d'une enveloppe d'un milliard d'euros pour renforcer la stratégie française de cybersécurité, et l'Enisa les crédits que lui accorde le nouveau cadre financier pluriannuel. L'articulation entre les échelons national et européen et, au sein de l'Union, entre l'Enisa et la Commission européenne sont-elles satisfaisantes ? Les missions de l'Enisa sont-elles définies pour assurer une plus-value européenne ?

Certains assimilent la cybersécurité à un bien public et la comparent volontiers à la santé publique, ce qui exige donc de donner la priorité à la prévention et à la détection. Elle emporte en outre un enjeu de souveraineté, dans la mesure où elle implique de se préserver d'ingérences étrangères. Est-ce que cette vision est partagée par vos agences respectives ? La collaboration entre le public et le privé pour garantir ensemble ce bien public fonctionne-t-elle correctement ? Progresse-t-on vers une obligation de certification européenne en matière de cybersécurité, au moins pour les infrastructures essentielles et les plus grandes entreprises ?