Éducation nationale : la doctrine cyber existe, mais son exécution reste trop inégale

J'ai très récemment publié une chronique où j'analysais l'annonce du déploiement de Chromebooks dans plusieurs lycées. Mais la rentrée est aussi l'occasion pour moi de commenter l'actualité cyber. En effet, la rentrée scolaire 2026 s'est faite dans un contexte où les perturbations informatiques qui ont touché les académies de Nantes et de Toulouse ont donné une traduction concrète à la crise cyber de l'été.

À Nantes, la FSU de Loire-Atlantique a décrit des outils professionnels indisponibles et des difficultés qui ont affecté la préparation de la rentrée, comme la gestion de la paie de certains contractuels. À Toulouse, la coupure des accès décidée à compter du 19 août a paralysé messagerie et applications métiers ; la FSU-SNUipp 31 a parlé d'un « black-out » et a boycotté une instance académique.

Ces situations ne suffisent pas, à elles seules, à démontrer une même faille locale, mais elles révèlent toutefois une faiblesse : dans une administration nationale, la continuité de service dépend encore trop de capacités, d'outils et de pratiques inégalement mobilisables selon les académies. Si les règles existent, le problème est de pouvoir démontrer qu'elles sont appliquées, contrôlées et testées partout.

Trois alertes en cinq mois

Depuis mars, le ministère a rendu publics trois incidents distincts. Le premier a concerné environ 243 000 agents ou stagiaires dans le système COMPAS ; le deuxième a exposé des données d'élèves via un service annexe à ÉduConnect ; le troisième a visé, dans la nuit du 25 juillet, un système dédié à la formation des personnels. Dans les trois communiqués ministériels, l'usurpation d'un compte apparaît comme point d'entrée. La répétition ne permet plus de traiter chaque événement comme une anomalie isolée : elle pose la question de la maîtrise des identités, des habilitations et de la propagation d'un accès compromis.

Le groupe ZeroBytes affirme avoir exfiltré 346 178 591 lignes de données issues de plusieurs systèmes. Ce volume brut ne correspond pas à 346 millions de personnes. Des échantillons consultés par plusieurs médias font apparaître des données d'élèves, de responsables légaux et de personnels, parfois anciennes de plus de vingt ans. Le ministère a confirmé l'intrusion de juillet et une possible exfiltration de données, mais il n'a pas, à ce stade, établi publiquement le périmètre exact du corpus revendiqué. Il faut donc distinguer la revendication des faits confirmés — sans minimiser ce que cette incertitude dit de la difficulté à reconstituer rapidement l'étendue d'une compromission.

La doctrine existe ; son exécution reste territorialisée

Affirmer que l'Éducation nationale ne dispose d'aucun cadre serait inexact. L'arrêté du 19 juillet 2024 organise une chaîne ministérielle de sécurité numérique, s'appuie sur la politique de sécurité des systèmes d'information de l'État, attribue des responsabilités aux autorités qualifiées et prévoit des rapports annuels, des contrôles ainsi que des plans de continuité et de reprise éprouvés par des exercices.

Mais le même texte laisse aux services déconcentrés la détermination de leurs programmes d'audits et de contrôles. C'est là que se loge l'angle mort. Un cadre commun peut distribuer les responsabilités sans garantir que chaque académie dispose des mêmes preuves, des mêmes compétences rares, des mêmes capacités de remédiation et du même niveau de préparation à la crise. La responsabilité est locale ; le risque, la confiance des familles et la continuité du service public sont nationaux.

Ce que l'expérience m'a appris

J'ai passé une grande partie de ma carrière, à Versailles puis en Normandie, à combattre le même contresens : la sécurité perçue comme une entrave à la liberté pédagogique ou à la simplicité d'usage, plutôt que comme une condition de la confiance. En 2017, à Versailles, j'ai demandé et obtenu la suspension d'un déploiement d'Apple School Manager tant que le cadre juridique du transfert de données d'élèves vers les États-Unis n'était pas établi. Ce n'était pas un refus du numérique ; c'était l'exercice normal d'une responsabilité de maîtrise.

Le 5 décembre 2019, quelques jours après mon arrivée en Normandie, j'ai adressé à la rectrice une note sur l'organisation de la sécurité dans la nouvelle académie. J'y proposais la désignation d'un RSSI, la constitution d'une cellule « confiance numérique » et l'élaboration d'une PSSI académique. Cinq jours plus tard, une seconde note demandait un audit des applications locales héritées des académies de Caen et de Rouen.

Après la survenue d'un incident grave, j'ai été auditionné par l'Inspection générale. J'y ai expliqué que ces alertes étaient restées sans traduction opérationnelle et que l'académie ne disposait pas encore des chartes d'usage attendues. La PSSI académique et les chartes associées ont ensuite été présentées pour avis au comité technique académique. Cette séquence m'a appris une chose : un risque peut être identifié, documenté et signalé sans devenir pour autant une priorité d'action. Le rapport n'a pas créé le risque ; il l'a rendu impossible à différer.

Passer de la conformité déclarée à la maîtrise démontrée

La généralisation annoncée de l'authentification multifacteur est nécessaire, d'autant que les trois incidents rendus publics ont pour point commun l'usurpation d'identités. Mais cette mesure ne remplace ni la gouvernance des habilitations, ni la connaissance des applications locales, ni la traçabilité, ni la capacité de restaurer les services essentiels dans un délai maîtrisé.

L'Éducation nationale doit désormais transformer son cadre en socle opérationnel auditable : mêmes exigences minimales dans chaque académie, indicateurs comparables fondés sur des preuves, plans de remédiation assortis d'échéances, exercices de crise réguliers et mutualisation nationale des compétences les plus rares. Il ne s'agit pas de retirer toute autonomie aux académies, mais de faire en sorte qu'aucune ne soit seule lorsqu'il faut prévenir, contenir puis reprendre l'activité.

C'est ce que je nomme le capital de maîtrise : non pas la sécurité déclarée dans les documents, mais la capacité réellement mobilisable pour comprendre une dépendance, décider sous contrainte, contrôler l'exécution et reprendre la main. Une école qui protège ses données et sait continuer à fonctionner en situation dégradée n'est pas une école moins libre. Elle est une école qui préserve la confiance nécessaire à la liberté pédagogique.

N'ajoutons pas une PSSI à celles qui existent. Transformons plutôt la doctrine en capacité d'action vérifiable. Dans l'Éducation nationale comme ailleurs, la gouvernance ne se mesure pas au nombre de textes adoptés, mais à la possibilité de démontrer, avant la crise, que l'on saura continuer, contenir et reprendre la main.