Quand l'École de la République tombe dans le filet des hackers — et dans celui des Américains

# Quand l'École de la République tombe dans le filet des hackers — et dans celui des Américains

On a beaucoup parlé de la cyberattaque. On n'a pas assez parlé du reste.

En 2026, des millions de données d'élèves, d'enseignants, de familles ont été compromises dans une intrusion massive contre les systèmes de l'Éducation nationale française. Les mots de passe, les adresses, les dossiers scolaires — tout ce que l'institution sait de vos enfants — s'est retrouvé exposé. La presse a relayé l'incident pendant quarante-huit heures. Puis le sujet est retombé.

Mais voici ce que je refuse d'oublier : cette attaque n'est pas seulement le symptôme d'un défaut de sécurité informatique. C'est le révélateur d'un choix politique que la France — et l'Europe — n'ont pas encore eu le courage d'assumer.

L'école numérique est une infrastructure critique. On ne l'a pas traitée comme telle.

Commençons par poser le cadre. Une infrastructure critique, c'est un système dont la compromission aurait des conséquences graves sur le fonctionnement de la société. Les hôpitaux, les réseaux électriques, les transports — personne ne conteste leur statut. Pourquoi l'école échapperait-elle à cette logique ?

L'Éducation nationale française scolarise plus de douze millions d'élèves. Elle gère des données parmi les plus sensibles qui soient : l'âge, l'adresse, la situation familiale, le parcours scolaire, parfois des informations médicales ou sociales. Ces données concernent des mineurs. Et elles sont stockées, en partie, sur des infrastructures que nous ne contrôlons pas.

La directive NIS2 — pour Network and Information Security, version 2 — est entrée en vigueur dans l'Union européenne pour imposer des standards de cybersécurité aux entités dites « essentielles ». L'enseignement public devrait logiquement y figurer. Mais la transposition dans les pratiques réelles reste, dans beaucoup d'États membres, largement incomplète. L'attaque de 2026 en est la preuve concrète.

Le vrai problème n'est pas le hacker. C'est l'hébergement.

Soyons directs. Quand on demande à quelle infrastructure les données de l'Éducation nationale sont confiées, la réponse est inconfortable. Une partie significative de la messagerie, des outils de collaboration, des plateformes pédagogiques repose sur des offres d'acteurs américains. Je ne citerai pas de marque pour ne pas faire leur publicité. Mais tout DSI du secteur public sait de quoi je parle.

Or ces acteurs, aussi sérieux soient-ils en matière de sécurité technique, sont soumis au Cloud Act américain. Le Cloud Act, c'est une loi américaine de 2018 qui oblige les entreprises technologiques de droit américain à fournir aux autorités des États-Unis les données qu'elles hébergent — où que ces données se trouvent dans le monde. Y compris en Europe. Y compris si elles concernent des citoyens européens. Y compris si elles concernent des enfants français.

Ce n'est pas de la théorie. Ce n'est pas de la paranoïa souverainiste. C'est du droit positif américain.

Si demain une agence fédérale américaine estime avoir un intérêt légitime à consulter des données hébergées par un opérateur US — même pour des raisons qui n'ont rien à voir avec la France — cet opérateur n'a pas le droit de refuser. Et nous, en Europe, nous n'avons aucun recours.

Un hacker vole des données. C'est illégal, c'est grave, c'est traçable. Une juridiction étrangère peut y accéder légalement, discrètement, sans que personne ne soit jamais informé. Lequel des deux scénarios est le plus inquiétant pour la souveraineté d'un État ?

Le RGPD ne suffit pas. Il faut des actes, pas des textes.

Le RGPD — Règlement Général sur la Protection des Données — impose que les données personnelles des citoyens européens soient traitées selon les règles européennes. Sur le papier, un opérateur américain hébergeant des données françaises doit s'y conformer. En pratique, le Cloud Act crée une contradiction juridique irrésolue : deux lois, deux souverainetés, une seule infrastructure.

La Cour de justice de l'Union européenne l'a déjà dit, dans d'autres contextes, avec l'arrêt Schrems II en 2020 : transférer des données vers des pays tiers sans garanties suffisantes est illégal au regard du droit européen. Pourtant, les marchés publics continuent de se passer sur des plateformes qui posent exactement ce problème.

La réponse ne peut pas être « faisons confiance aux certifications de conformité ». Ces certifications attestent d'un effort. Elles n'effacent pas une loi étrangère.

Ce que cette attaque devrait déclencher — et ne déclenchera probablement pas

Je vais être honnête avec vous, lecteurs DSI, CTO, RSSI qui lisez ces lignes depuis vos propres organisations : je ne suis pas optimiste sur la réaction institutionnelle.

Chaque cyberattaque sur un service public génère les mêmes annonces. Plan de renforcement. Audit de sécurité. Enveloppe budgétaire. Puis, progressivement, retour à la normale. Et la « normale », c'est reconduire les mêmes contrats avec les mêmes opérateurs, parce que c'est plus simple, plus rapide, parfois moins cher à court terme.

Ce que cette attaque devrait déclencher, c'est une question politique de fond : est-ce que l'Europe veut construire une infrastructure publique numérique qui lui appartient ?

Pas une liste de solutions alternatives. Pas un catalogue de logiciels open source empilés les uns sur les autres. Une vraie décision stratégique : héberger les données publiques sur des infrastructures de droit européen, opérées par des entités soumises exclusivement au droit européen, auditées selon des standards européens.

Des opérateurs cloud qualifiés par l'ANSSI — Agence Nationale de la Sécurité des Systèmes d'Information — existent. La qualification SecNumCloud, c'est justement cette garantie : un hébergeur certifié par l'agence française de cybersécurité, dont la structure juridique ne peut pas être soumise à une loi extraterritoriale. Ce n'est pas une garantie magique. Mais c'est un socle.

Le problème n'est pas technique. Le problème est politique et budgétaire. Construire une vraie souveraineté numérique coûte. Pas nécessairement plus que la dépendance, si on intègre les coûts d'une attaque, d'une fuite de données, d'une amende RGPD, d'une crise de confiance. Mais ça coûte différemment, et ça demande du courage politique.

Ce que nous, dans le privé, devrions en retenir

Si vous êtes DSI ou RSSI d'une PME ou d'une ETI européenne, cette attaque vous parle directement — même si votre organisation n'a rien à voir avec l'éducation.

Posez-vous la question que personne ne pose lors des comités de direction : quel est le droit applicable aux données que nous hébergeons ? Pas seulement « chez qui sont-elles ? » mais « sous quelle loi l'opérateur qui les gère est-il incorporé ? »

Un hébergeur immatriculé dans l'Union européenne, sans maison mère américaine, sans clause de subordination à une juridiction tierce : voilà le critère de base. Ce n'est pas le seul, mais c'est le premier.

Le DORA — Digital Operational Resilience Act — en vigueur pour le secteur financier, impose désormais une cartographie précise des risques liés aux prestataires tiers. L'esprit de ce texte devrait inspirer tous les secteurs : connaître exactement qui touche vos données, sous quelle loi, avec quels droits d'accès.

L'Éducation nationale vient de payer le prix d'une décennie de sous-investissement dans ces questions. Ce n'est ni la première institution à le faire, ni la dernière — si nous ne changeons pas de logique.

La souveraineté numérique n'est pas un slogan de tribune. C'est une condition de la confiance. Et la confiance, dans un État comme dans une entreprise, ça ne se reconstruit pas en quarante-huit heures.