Impots.gouv piraté : quand l'État délègue sa résilience, il délègue sa souveraineté

# Impots.gouv piraté : quand l'État délègue sa résilience, il délègue sa souveraineté

Il y a des événements qui font mal deux fois. D'abord parce qu'ils font des dégâts immédiats. Ensuite parce qu'ils révèlent, sans ambiguïté possible, une fragilité que tout le monde savait mais que personne ne voulait nommer à voix haute.

La compromission d'impots.gouv.fr, survenue en début d'année 2026, est de ceux-là. Des données fiscales de citoyens français — et par extension européens vivant en France — ont été exposées. Des services ont été interrompus. Des équipes IT ont passé des nuits à éteindre des incendies dans des systèmes dont elles ne maîtrisaient pas toujours l'intégralité de la chaîne de dépendances. Je ne vais pas refaire ici la chronologie de l'incident. Ce qui m'intéresse, c'est ce qu'il dit de l'état réel de notre souveraineté numérique — et ce qu'il implique, concrètement, pour les équipes qui gèrent des infrastructures critiques.

Le mythe du cloud souverain de façade

Depuis plusieurs années, on nous vend l'idée que le problème de souveraineté numérique est en voie de résolution. Les grandes administrations françaises et européennes « migrent vers le cloud souverain ». Les labels fleurissent. Les communiqués de presse aussi.

Mais voilà ce que je vois sur le terrain, dans les salles de crise et dans les audits post-incident : la réalité est nettement plus complexe. Une infrastructure peut porter un label de conformité européen tout en reposant, en sous-couche, sur des technologies dont les mises à jour, les correctifs de sécurité, les pipelines de déploiement et les outils de supervision transitent par des serveurs situés hors d'Europe, sous juridiction américaine ou soumis au Cloud Act.

Ce n'est pas une théorie du complot. C'est une réalité architecturale que tout DSI ou RSSI honnête reconnaîtra : la chaîne de dépendances d'un système critique est rarement 100 % traçable jusqu'au bout. Et quand un incident survient, c'est précisément dans ces angles morts que les attaquants s'engouffrent.

Dans le cas d'impots.gouv.fr, la question n'est pas tant de savoir qui a attaqué. Elle est de comprendre pourquoi des équipes IT compétentes, dans une administration publique importante, n'avaient pas les moyens de détecter, contenir et documenter l'incident en temps réel avec leurs propres outils. Pourquoi certaines capacités de forensique numérique ont dû être externalisées à des prestataires dont les outils d'analyse — j'insiste sur ce point — appartiennent à des éditeurs américains.

L'outillage IT, le vrai angle mort de la souveraineté

On parle beaucoup d'hébergement. On parle peu d'outillage. C'est pourtant là que se joue, au quotidien, la vraie question de maîtrise du système d'information.

Quand une équipe IT travaille sur un incident, elle utilise des outils : des plateformes de gestion des tickets et des alertes, des solutions de supervision réseau, des outils d'analyse de logs, des environnements de collaboration pour coordonner la réponse en temps de crise. Or, dans la très grande majorité des organisations européennes — administrations comprises —, ces outils sont fournis par des éditeurs américains. Ce ne sont pas des commodités neutres. Ce sont des points d'entrée, des points de fuite potentiels, et des points de dépendance structurelle.

Je pense que c'est là que le sujet impots.gouv.fr doit nous faire réfléchir différemment. Pas uniquement au niveau de l'hébergement des données — même si c'est essentiel —, mais au niveau de la chaîne outillage des équipes elles-mêmes. Si vos ingénieurs gèrent une crise de sécurité avec des outils dont les logs partent dans des datacenters américains, dont les API sont soumises au droit américain, dont la disponibilité dépend d'une décision unilatérale d'un éditeur côté outre-Atlantique : vous n'avez pas le contrôle. Vous avez l'illusion du contrôle.

Cette prise de conscience commence à faire son chemin. Des ETI françaises et allemandes que je connais ont engagé, ces derniers mois, des chantiers de remplacement de leur outillage IT interne — non pas pour des raisons de prix, mais pour des raisons de maîtrise. Elles veulent savoir exactement où vont leurs métadonnées opérationnelles, leurs logs d'incidents, leurs données de supervision. Ce sont des décisions stratégiques, pas des décisions techniques.

Ce que ça change concrètement pour les équipes

Parlons du quotidien, parce que c'est là que ça se joue.

Un RSSI qui gère une crise à trois heures du matin n'a pas le temps de philosopher sur la souveraineté. Il a besoin d'outils qui fonctionnent, qui sont fiables, et dont il comprend le comportement. La vraie question souverainiste n'est donc pas abstraite : elle est opérationnelle.

Est-ce que vos outils de détection et de réponse aux incidents peuvent fonctionner en mode dégradé, sans dépendance à une API externe américaine ? Est-ce que votre plateforme de collaboration de crise peut tenir si un fournisseur américain décide — pour des raisons géopolitiques, commerciales ou réglementaires — de couper l'accès à ses services en Europe ? Est-ce que vos équipes savent, précisément, où résident les données générées par leurs outils de travail au quotidien ?

Ces questions ne sont pas rhétoriques. Elles sont devenues des critères d'audit dans plusieurs appels d'offres publics européens depuis fin 2025. Et je pense qu'elles vont devenir incontournables dans le secteur privé dans les dix-huit mois qui viennent — avec ou sans nouvelle cyberattaque majeure.

L'incident impots.gouv.fr devrait accélérer ce mouvement. Il devrait conduire les DSI et CTO d'ETI européennes à poser une question simple à leurs équipes : si demain matin, les outils que vous utilisez pour gérer votre infrastructure critique devenaient indisponibles ou compromis parce qu'ils dépendent d'un acteur américain, combien de temps vous faudrait-il pour reprendre le contrôle ? Avec quoi ?

Il faut construire, pas attendre

Je ne crois pas aux grandes déclarations. Je crois aux décisions concrètes.

L'Europe a les compétences pour construire une infrastructure d'outillage IT souveraine. Elle a les ingénieurs. Elle a les éditeurs. Ce qui lui a manqué jusqu'ici, c'est la conviction politique et la volonté des décideurs IT de prendre le sujet au sérieux — pas comme une contrainte réglementaire à cocher, mais comme un avantage compétitif et une nécessité de résilience.

Impots.gouv.fr nous rappelle, de la façon la plus brutale qui soit, que la souveraineté numérique n'est pas un débat d'experts. C'est une question de capacité à fonctionner quand ça va mal. Et ça va mal plus souvent qu'on ne le prédit.

Il faut construire maintenant. Pas après le prochain incident.