Le 1er septembre 2026, l'ANSSI a lancé REACTIV ("REponse et ACTion Interministérielle face aux Violations de données"), un dispositif opérationnel déclenché à la demande du Premier ministre. L'annonce publique est intervenue le 7 septembre. Ce que ce mécanisme révèle dépasse le périmètre de l'administration.
La menace qui a rendu REACTIV nécessaire
Depuis environ un an, les services de l'État font face à une nouvelle catégorie d'attaques. Des groupes composés de jeunes Français, peu coordonnés, selon les termes du directeur général de l'ANSSI, exploitent des bases de comptes utilisateurs compromis lors de fuites de données antérieures. La technique est directe : tester ces identifiants sur des portails ministériels, s'y connecter sans déclencher d'alerte, exfiltrer des données, puis disparaître. Le terme "hit and run" résume la tactique.
Ces attaques ne cherchent pas à progresser dans les réseaux ni à s'y maintenir durablement. Elles cherchent à accéder, une seule fois, à des données consultables avec des identifiants valides. C'est précisément ce qui les rend difficiles à détecter avec les outils traditionnels de surveillance réseau.
Les chiffres du Panorama de la cybermenace 2025 de l'ANSSI, publié en mars 2026, donnent la mesure du problème : l'agence a traité 196 incidents impliquant une exfiltration de données en 2025, soit une hausse de 51 % par rapport à 2024. Les ministères et collectivités territoriales représentaient 24 % du total des incidents traités par l'ANSSI cette même année.
Ce que REACTIV permet concrètement
REACTIV constitue une "bascule d'effort temporaire". L'ANSSI mobilise des ressources supplémentaires pour accompagner les ministères affectés. Mais elle acquiert surtout une nouvelle faculté : celle d'exiger de ces ministères qu'ils prennent, dans des délais contraints, les mesures qu'elle juge nécessaires pour protéger les données des citoyens.
C'est un changement de posture notable. Avant REACTIV, l'ANSSI intervenait en conseillère : elle analysait, recommandait, formait. REACTIV lui confère un pouvoir d'injonction vis-à-vis de l'administration. Le directeur général qualifie lui-même ce dispositif de "rustine", en attente de mesures inscrites dans la feuille de route 2026-2027 de sécurité numérique de l'État. Ces mesures portent sur deux axes : renforcement des authentifications et résorption des obsolescences.
Les deux lacunes que REACTIV expose
La première lacune est l'authentification. Les attaques exploitées par REACTIV fonctionnent parce que des comptes protégés par un simple mot de passe restent accessibles sur des portails publics. L'authentification multifacteur (MFA) bloque cette catégorie d'attaques : un identifiant valide ne suffit plus si un second facteur est exigé. Selon une étude Microsoft de 2023, le MFA prévient plus de 99 % des attaques par credential stuffing. Pourtant, l'ANSSI estime nécessaire en 2026 d'imposer ce déploiement plutôt que de le recommander.
La seconde lacune est l'obsolescence. Les systèmes hérités, ceux qui ne peuvent pas intégrer une authentification moderne, restent accessibles parce que leur remplacement a été différé. Un portail non migré reste un point d'entrée. La "résorption des obsolescences" que l'ANSSI inscrit dans sa feuille de route signifie concrètement : inventorier les systèmes qui ne supportent pas le MFA ou les protocoles d'authentification actuels, et planifier leur remplacement.
Ces deux lacunes ne sont pas propres aux ministères. Elles existent dans la majorité des organisations de taille significative.
Ce que cela signifie pour les entités NIS2
REACTIV cible formellement les services de l'État. Mais sa logique préfigure l'évolution de la posture de l'ANSSI vis-à-vis des entités soumises à NIS2.
La directive NIS2, transposée en droit français, place l'ANSSI en position d'autorité de supervision pour les entités essentielles et importantes. Les obligations concrètes incluent la gestion des accès, la notification d'incident dans les 24 heures, et la mise en place de mesures techniques proportionnées. En février 2026, l'ANSSI a prononcé une sanction de 120 000 euros à l'encontre d'un opérateur DNS pour manquement à ses obligations NIS2. C'est le premier dossier français. Il ne sera pas le dernier.
L'ANSSI qui impose des mesures immédiates aux ministères dans des délais contraints, c'est la même ANSSI qui instruit les dossiers de non-conformité NIS2. La distinction entre les deux contextes tient à la base juridique, pas à l'appétence de l'agence pour une intervention ferme.
Un exemple concret : l'inventaire des accès externes
Une DSI qui se demande comment réagir au signal REACTIV peut partir d'une question précise : quels portails ou interfaces accessibles de l'extérieur ne requièrent qu'un identifiant et un mot de passe ? La liste est souvent plus longue qu'on ne le croit. VPN avec authentification simple, portails RH, outils de gestion de projet accessibles en SaaS, messagerie Web, plateformes de ticketing. Chaque entrée de cette liste qui ne supporte pas le MFA est une surface exposée au type d'attaque que REACTIV vient corriger dans l'administration.
Cet inventaire est également le point de départ de la conformité NIS2 sur le contrôle des accès. Les pièges opérationnels dans la mise en oeuvre de la notification NIS2 sont décrits dans l'article sur les cinq pièges de la notification en 24 heures.
La séquence à engager maintenant
Trois actions s'enchaînent naturellement. La première est l'inventaire des accès externes sans MFA. La deuxième est la priorisation par sensibilité des données accessibles : un portail RH contenant des données personnelles d'employés est prioritaire sur un tableau de bord de reporting interne. La troisième est la planification du remplacement des systèmes qui ne supportent pas l'authentification moderne.
Ces trois actions ne nécessitent pas de budget exceptionnel pour être initiées. Elles nécessitent une décision et un responsable.
REACTIV est une "rustine" sur une lacune d'authentification que l'administration n'a pas encore corrigée. Pour les entités NIS2, la même lacune existe dans de nombreux systèmes. La différence : l'administration bénéficie d'un accompagnement d'urgence. Les entités soumises à NIS2, elles, sont dans le périmètre d'autorité d'une agence qui vient de démontrer qu'elle peut exiger des mesures immédiates.