Le palais de l’Élysée, à Paris, photographié le 28 septembre 2019. Son prochain occupant sera élu les 18 avril et 2 mai 2027. À sept mois du premier tour, la cybersécurité peine encore à s’imposer dans les programmes des candidats. Crédits : Leynadmar / Wikimedia Commons, CC BY-SA 4.0.
La France accuse deux ans de retard sur une directive européenne de cybersécurité et se retrouve devant la Cour de justice de l’Union. Quinze mille postes restent vacants dans le secteur. Les 75 universités du pays ont voté un budget en déficit. À sept mois de l’élection, seize candidats sont officiellement déclarés. Trois à peine écrivent le mot cybersécurité dans leurs mesures publiques. Pendant ce temps, à Saclay, une banque et une association étudiante ont signé leur propre accord. Qui forme les experts dont la France dit manquer et qui les paiera ? Nous avons passé les programmes au crible, pièces à l’appui.
Mise à jour le 28 septembre 2026
Le 20 mai 2026, une trentaine d’étudiants prennent place dans l’amphithéâtre Peugeot de CentraleSupélec, sur le plateau de Saclay. Ils ont été sélectionnés sur candidature. Ils écoutent d’abord un général de division, chef du commandement du ministère de l’Intérieur dans le cyberespace. Deux cadres d’une filiale de crédit à la consommation leur succèdent. L’une dirige la sécurité des systèmes d’information, l’autre les ressources humaines. L’après-midi se poursuit au siège de l’entreprise, à Massy, autour d’une conférence sur la gestion de crise cyber. La journée s’appelle « l’Escale ». Une association étudiante, la Cyber Saclay-Team, l’organise avec Crédit Agricole Personal Finance & Mobility.
Quatre mois plus tard, le 21 septembre, les deux partenaires ont annoncé la signature d’une convention. Elle s’articule autour de trois axes. Le premier est la sensibilisation aux risques numériques. Le deuxième accompagne des projets étudiants et de recherche. Le troisième fait découvrir les métiers de la cybersécurité et de l’intelligence artificielle, avec des stages à la clé. Le communiqué ne précise ni montant ni durée.
La scène est modeste. Elle résume pourtant le dossier. L’État fixe un objectif de talents cyber, les universités n’ont plus de marge et les candidats parlent d’autre chose. Ils préfèrent l’intelligence artificielle et la souveraineté numérique à la cybersécurité. Presque personne ne parle de ceux qui devront la faire. La question n’a pas encore été posée aux candidats à la présidentielle 2027. Elle mérite de l’être.
Ce que l’État s’est promis
Le 29 janvier 2026, Anne Le Hénanff a présenté la Stratégie nationale de cybersécurité 2026-2030. Elle est ministre déléguée chargée de l’intelligence artificielle et du numérique. Le document a été élaboré sous l’égide du Secrétariat général de la défense et de la sécurité nationale. Son premier pilier tient en une phrase : « faire de la France le plus grand vivier de talents cyber d’Europe ». Trois objectifs en découlent. Le premier veut développer une culture de la cybersécurité dès le plus jeune âge. Le deuxième prévoit d’investir dans toutes les voies de formation, qu’elles soient initiales, continues ou de reconversion. Le troisième soutient l’émergence d’un socle européen de compétences partagées.
La pénurie que cette stratégie veut combler est documentée. L’Observatoire des métiers de la cybersécurité est piloté par l’ANSSI. Il a mesuré une hausse de 49 % des offres d’emploi entre 2019 et 2024. Environ 15 000 postes restaient non pourvus en 2025. L’OPIIEC, observatoire paritaire des métiers du numérique, évalue à 25 000 les postes à pourvoir d’ici 2028. Deux textes européens accentuent la pression. Depuis le 17 janvier 2025, le règlement DORA impose aux banques et aux assureurs de démontrer leur résilience numérique. La directive NIS2 doit, elle, étendre les obligations de cybersécurité à près de 15 000 entités en France. Quelques centaines sont concernées aujourd’hui.
C’est là que la promesse se heurte au calendrier de la transposition de NIS2. La directive devait être transposée avant le 17 octobre 2024. Le projet de loi de transposition porte un nom long : « résilience des infrastructures critiques et renforcement de la cybersécurité ». Le Sénat l’a adopté le 12 mars 2025. La commission spéciale de l’Assemblée nationale l’a voté à l’unanimité le 10 septembre 2025. Il attend depuis. Le 4 février, les présidents des deux commissions spéciales ont accusé publiquement le ministère de l’Intérieur de bloquer le texte. Il s’agit du député Philippe Latombe et du sénateur Olivier Cadic. La pierre d’achoppement est l’article 16 bis, qui interdit d’imposer des portes dérobées aux messageries chiffrées. [Concrètement, une porte dérobée permettrait à l’État de lire techniquement vos messages WhatsApp, Telegram ou Signal, NDLR]. « Nous étions leaders, et nous sommes en train de perdre toute crédibilité », résumait le premier. Le 8 juillet, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France et trois autres États retardataires. Elle demande une somme forfaitaire et des astreintes journalières. La Conférence des présidents de l’Assemblée a fixé ce 22 septembre l’ordre du jour de la session. Celle-ci s’achèvera fin février pour laisser place à la campagne. Selon LCP, les députés devraient entamer l’examen du texte dans l’hémicycle au cours de la deuxième semaine d’octobre. Ils auront d’abord examiné la loi contre les violences sexuelles et sexistes.
Peut-on reprocher aux candidats un retard qui est d’abord celui de l’exécutif et du Parlement ? Ce serait sans doute injuste. La question de savoir s’ils feraient différemment leur est en revanche tout à fait posable. C’est précisément celle que les professionnels ont commencé à leur adresser.
Ce que disent les candidats
Le 9 juillet, le CESIN a adressé une lettre ouverte aux candidats. Ce Club des experts de la sécurité de l’information et du numérique fédère plus de 1 300 responsables de la sécurité. La lettre pose cinq questions. Quelle doctrine de souveraineté le pays se donne-t-il ? Comment passer « d’une Europe de la règle à une Europe de la capacité » ? Quelle politique industrielle mène-t-on pour le numérique critique ? Qui gouverne ce domaine ? Comment prépare-t-on le pays aux chocs numériques et géopolitiques ? Deux semaines plus tard, son délégué général, Alain Bouillé, dressait un premier constat. Parmi la vingtaine de candidats déclarés ou pressentis, seuls Raphaël Glucksmann, Bruno Retailleau et Gabriel Attal avaient abordé ces sujets. Le 20 juillet, Hexatrust et le Forum INCYBER ont lancé Cyber 2027, un observatoire des programmes. Il promet un radar des propositions et un droit de suite sur les budgets annoncés. Il promet aussi un grand oral des candidats au Forum de Lille, du 9 au 11 mars 2027.
Deux mois plus tard, que trouve-t-on dans les programmes ? On y trouve beaucoup d’intelligence artificielle, beaucoup de souveraineté et peu de cybersécurité au sens opérationnel du terme. La souveraineté numérique désigne la capacité d’un État à maîtriser ses données, ses infrastructures et ses logiciels. Il ne doit pas dépendre, pour cela, d’acteurs ou de lois étrangers. Le mot est devenu commun à tous les camps depuis le 13 juin. Ce jour-là, l’administration américaine a coupé l’accès des ressortissants étrangers aux modèles les plus avancés d’Anthropic. Le Monde y voyait dès le 19 juin « un concept fourre-tout que partagent les prétendants à l’Élysée ».
Gabriel Attal (Renaissance) porte le plan le plus lourd, « France 2040 ». Il prévoit 200 milliards d’euros sur dix ans, à parité entre financements public et privé. Il y ajoute une « PAC de l’IA » à l’échelle européenne. Il veut former 20 millions de salariés aux outils de l’intelligence artificielle d’ici 2030. Les comparateurs de programmes consultés ne lui attribuent, à ce jour, aucune mesure propre à la cybersécurité. Édouard Philippe (Horizons) mise sur les infrastructures et la souveraineté numérique européenne. Il veut doubler les capacités de calcul en cinq ans et instaurer un « Buy European Tech Act ». Il veut surtout porter de 40 000 à 100 000 par an le nombre d’ingénieurs formés. Un droit à la reconversion accompagnerait les métiers menacés par l’automatisation. Mais de quels ingénieurs parle-t-on ? Le chiffre ne distingue pas la cybersécurité.
Bruno Retailleau (Les Républicains) fait partie des rares à écrire le mot, avec Raphaël Glucksmann et, pour les données de santé, David Lisnard. Son plan prévoit 25 milliards d’euros sur cinq ans. Il veut renforcer « la cybersécurité des hôpitaux, collectivités et infrastructures vitales ». Il veut imposer un hébergement souverain sous qualification SecNumCloud et créer un ministère de plein exercice de l’intelligence artificielle. Il entend doubler le nombre d’ingénieurs spécialisés en intelligence artificielle, informatique, robotique, mathématiques appliquées et infrastructures numériques. Il réclame aussi un moratoire de trois ans sur le RGPD et l’AI Act pour les secteurs stratégiques. Cette demande se heurte au calendrier du droit européen. Raphaël Glucksmann (Place publique) est candidat à la primaire socialiste des 9-10 et 16-17 octobre. Il propose un programme « cyber sentinelle ». Des brigades spécialisées contre la cybercriminalité seraient déployées dans tout le pays, appuyées par des centres régionaux. L’ANSSI serait renforcée et « une nouvelle génération de professionnels » formée. Il y ajoute une Agence industrielle du numérique et de l’intelligence artificielle. France 2030, Bpifrance et une taxe renforcée sur les géants du numérique la financeraient. Un campus international de l’IA complète l’ensemble. C’est, à ce jour, la proposition la plus proche du premier pilier de la stratégie nationale.
Jean-Luc Mélenchon (La France insoumise) défend un cloud public national adossé à des centres de données publics. Les données des services publics seraient hébergées sur des serveurs de droit français. Il veut une conférence mondiale sous l’égide de l’ONU pour « désarmer et réguler l’IA ». Il propose aussi de renforcer les effectifs de police contre la pédopornographie en ligne. Rien n’est chiffré sur la formation. Marine Le Pen (Rassemblement national) est candidate depuis le 7 juillet. Elle veut rendre obligatoire l’hébergement des données des Français en France ou dans l’Union européenne, par des opérateurs européens. Elle veut contrôler les rachats étrangers d’entreprises numériques stratégiques. Elle encourage une robotisation « sans remplacement des salariés ». Son parti n’a pas publié de plan chiffré sur le sujet. Marine Tondelier (Les Écologistes) propose d’encadrer les algorithmes de recommandation. Elle mise sur la recherche publique et la commande publique. David Lisnard (Nouvelle Énergie) veut un cadre souverain pour l’hébergement et la cybersécurité des données de santé. Pour Xavier Bertrand, l’observatoire citoyen Poligraph ne recense aucune mesure sur le numérique. Pour Fabien Roussel, le comparateur de la fondation iFRAP n’en connaît pas encore.
Faut-il s’en inquiéter ? Les arguments existent dans les deux sens. Le sujet entre bel et bien dans la campagne, par la porte de l’intelligence artificielle. Le premier débat entre sept candidats, le 27 août devant le Medef, en a été traversé de bout en bout. Les candidats sont eux-mêmes des cibles. Fin juillet, Édouard Philippe a été visé par de fausses informations sur son état de santé. Plusieurs médias les ont attribuées à des réseaux prorusses. Début août, Raphaël Glucksmann a dit avoir subi une opération de déstabilisation. Le parquet de Paris a ouvert une enquête. Le 5 août, l’entourage de Gabriel Attal a signalé une ingérence venue de Russie. Selon l’Ifop, 86 % des Français redoutent que des deepfakes manipulent le résultat du scrutin. En sens inverse, la cybersécurité au sens strict reste marginale. Aucun candidat ne reprend l’objectif de la stratégie nationale sur les talents. La question du financement de la formation n’apparaît nulle part. Le CESIN rappelle que la France a changé cinq fois de ministre du Numérique en dix ans. Il demande que le rang de ce ministre lui permette de peser dans les arbitrages. Guillaume Tissier, du Forum INCYBER, ajoute une réserve de méthode. « Il y a souvent une habitude chez les politiques de mélanger, de redéployer des budgets déjà attribués », observe-t-il. Cela rend « l’efficacité de l’action publique » difficile à suivre.
Pendant ce temps, sur les campus
Les universités, elles, n’attendent pas la campagne pour compter. Les 75 universités françaises ont toutes voté un budget initial 2026 en déficit. Elles n’étaient que 20 dans ce cas en 2022. Le ministère de l’Enseignement supérieur a ouvert le 9 février des Assises du financement des universités. Le Sénat a relevé dans le budget 2026 une hausse de 260 millions d’euros du programme consacré aux formations supérieures. Ce programme atteint 15,6 milliards. Les présidents d’université jugent cette hausse insuffisante au regard des charges transférées sans compensation. France Universités les évalue à près d’un demi-milliard. « Il manque un milliard pour sauver le service public universitaire », estime Laurent Gatineau, président de CY Cergy Paris Université. Il décrit des missions financées par des appels à projets non pérennes. Il annonce une année 2028 « charnière », lorsque ces financements arriveront à terme.
Dans ce contexte, les entreprises disposent d’un canal institutionnel pour financer les établissements. Il s’agit du solde de la taxe d’apprentissage, soit 0,09 % de la masse salariale. Chaque employeur le flèche vers les écoles et les universités de son choix sur la plateforme SOLTéA. La deuxième période de répartition y est ouverte depuis le 3 septembre. Les entreprises disposent aussi de canaux plus directs. Ceux-ci se multiplient.
Le 6 mai, l’École polytechnique et Accenture ont signé un partenariat stratégique de quatre ans, soutenu par la Fondation de l’X. Il comprend une chaire d’enseignement et de recherche et des programmes de formation continue en intelligence artificielle et en cybersécurité. Un volet « marque employeur » et un comité d’orientation stratégique complètent le dispositif. L’école a rendu publique une charte des relations entreprises. En juin 2025, le commandement de la cyberdéfense des armées a signé une convention avec l’ISTIC. Cette école d’informatique de l’Université de Rennes veut renforcer les compétences en cybersécurité. En Bretagne, le Pôle d’excellence cyber a été créé en 2014 par le ministère des Armées et la Région. Il fédère depuis plus de dix ans établissements et entreprises. La Chaire Cyber CNI de l’Institut Mines-Télécom a entamé sa quatrième phase, prévue de 2025 à 2028. Le Campus Cyber de La Défense a dressé en juillet le bilan de la première année de sa transformation.
La convention, signée le 17 septembre, a ceci de particulier qu’elle lie une entreprise et une association étudiante. Crédit Agricole Personal Finance & Mobility l’a signée avec la Cyber Saclay-Team. L’Université Paris-Saclay reconnaît cette dernière comme « l’association de cybersécurité » de l’établissement. Fondée par Sam Borhani, un étudiant en droit, elle organise colloques et rencontres. Le 20 mai, elle avait réuni trois partenaires autour des étudiants. Il s’agissait du commandement du ministère de l’Intérieur dans le cyberespace, de l’Institut DataIA et de Crédit Agricole Personal Finance & Mobility. L’université n’est pourtant pas partie à la convention. Faut-il y voir une souplesse bienvenue, sans lourdeur institutionnelle, avec un accès direct aux étudiants et des stages à la clé ? Ou bien une zone grise où l’on ne sait pas qui gouverne, quelles sont les contreparties et quel regard l’établissement conserve ? Les deux lectures se défendent. Interrogé par Ecostylia dans un entretien publié en juillet, Sam Borhani répondait par avance à l’objection. « Pour moi, un partenariat, ce n’est pas être dépendant. C’est mettre des compétences en commun autour d’un objectif partagé. » Précision utile au lecteur : Ecostylia figure parmi les soutiens que l’association affiche sur son site.
Le cas de Saclay n’est pas isolé et il pose la même question que les autres. Ces conventions sont-elles un complément, c’est-à-dire des passerelles que l’université n’offre plus faute de moyens ? Ou bien une substitution, celle d’une mission de service public qui glisse vers le privé sans cadre commun ? Les partisans des deux réponses ont des arguments. Aucun candidat n’a encore dit laquelle il retenait.
Les questions que la campagne devra trancher
Qui paie la formation des professionnels que la stratégie nationale veut voir se multiplier ? Est-ce l’État, les universités, les entreprises ou une combinaison que personne n’a encore décrite ? Le ministre du Numérique doit-il obtenir un rang qui lui permette de peser dans les arbitrages, comme le réclame le CESIN ? Doit-il au contraire rester délégué auprès de Bercy ? La loi résilience sera-t-elle votée avant le scrutin, avec ou sans son article 16 bis ? Les quelque 15 000 entités concernées par NIS2 attendront-elles le prochain quinquennat pour savoir ce que l’on attend d’elles ? Les conventions signées sur les campus doivent-elles rester des initiatives locales ? Doivent-elles entrer dans un cadre que l’État, les universités et les entreprises accepteraient ensemble ?
Le Forum INCYBER de Lille promet un grand oral en mars. D’ici là, le radar de Cyber 2027 enregistrera ce que les programmes disent et ce qu’ils taisent. À Saclay, une association étudiante et un établissement financier ont apporté leur propre réponse sans attendre. Reste à savoir si elle deviendra celle de l’État.