DGFiP : 678 000 données volées et NIS 2 en retard — l'Europe face à ses propres failles

# DGFiP : 678 000 données volées et NIS 2 en retard — l'Europe face à ses propres failles

En 2026, la Direction Générale des Finances Publiques (DGFiP) — l'administration fiscale française — a confirmé une fuite massive : 678 000 personnes ont vu leurs données personnelles exposées à la suite d'une cyberattaque. Noms, adresses, références fiscales. Des informations sensibles, exploitables pour des tentatives de fraude ou d'hameçonnage ciblé.

Ce n'est pas un incident isolé. C'est un signal.

Ce que révèle cet incident sur l'état réel de la cybersécurité européenne

L'Union Européenne a adopté la directive NIS 2 (Network and Information Security 2) pour imposer un socle commun de cybersécurité aux organisations dites « essentielles » ou « importantes » — administrations, hôpitaux, infrastructures critiques, mais aussi de nombreuses PME et ETI selon leur secteur. L'objectif : élever le niveau de protection collectif, réduire les angles morts.

Problème : en 2026, l'application de NIS 2 reste partielle dans plusieurs États membres. Des organisations encore non conformes coexistent avec des entités déjà certifiées. Cette hétérogénéité crée des maillons faibles — et les attaquants les trouvent.

Pour les équipes IT des PME et ETI européennes, cela change concrètement le quotidien. Être conforme à NIS 2, ce n'est pas cocher une case réglementaire. C'est documenter ses procédures de réponse à incident, cartographier ses dépendances logicielles, et — point crucial — savoir précisément où sont hébergées ses données et qui y a accès.

Or, beaucoup d'organisations s'appuient encore sur des outils de messagerie, de stockage ou de gestion documentaire fournis par des acteurs américains, dont les conditions d'accès aux données restent soumises au droit américain (notamment le CLOUD Act, une loi américaine qui permet aux autorités US d'accéder à des données hébergées par des entreprises américaines, même en Europe). En cas d'incident, la chaîne de responsabilité devient floue. L'audit est complexe. La réponse, plus lente.

Ce que les DSI doivent faire dès maintenant

L'affaire DGFiP rappelle une évidence souvent différée : la souveraineté numérique n'est pas un sujet politique réservé aux grandes administrations. C'est une question opérationnelle, qui se joue dans les choix d'outils du quotidien.

Concrètement, les équipes IT ont intérêt à :

• Auditer leurs dépendances critiques : quels outils traitent des données sensibles ? Où sont-ils hébergés ? Sous quel droit ?
• Vérifier leur niveau de conformité NIS 2 : la directive impose notamment une obligation de notification rapide en cas d'incident (72 heures pour les incidents majeurs) et des exigences sur la gestion des accès.
• **Favoriser des solutions certifiées SecNumCloud** — le référentiel de l'**ANSSI** (Agence Nationale de la Sécurité des Systèmes d'Information) qui garantit un hébergement souverain et auditable selon le droit européen. Des acteurs comme **Oodrive** ou **Alinto** proposent des alternatives européennes sur des segments souvent occupés par défaut par des fournisseurs américains.

La cyberattaque contre la DGFiP n'est pas une fatalité technique. C'est le résultat visible d'une transition de souveraineté numérique qui avance trop lentement. NIS 2 existe. Les outils conformes existent. Il reste à les déployer — avant que ce soit le tour de votre SI.