Cyberattaques : quels coûts publics ?

Les chiffres clés

• 1 366 incidents connus de l’ANSSI en 2025
• 128 compromissions par rançongiciel en 2025 (ANSSI)
• 764 incidents déclarés par le secteur santé en 2025 (CERT Santé)
• 2,36 à plus de 5,5 M€ coûts directs constatés sur deux hôpitaux (Cour des comptes)

Ces chiffres sont issus de publications officielles récentes. Ils décrivent une menace installée et coûteuse, mais ils ne permettent pas de construire un total national : ce sont des dénombrements d’incidents déclarés, pas une comptabilité de dommages.

Ce que l’on sait de l’ampleur

Le document de référence est le Panorama de la cybermenace publié chaque année par l’Agence nationale de la sécurité des systèmes d’information. Son édition consacrée à 2025, parue le 11 mars 2026, fournit les données suivantes.

L’ANSSI a traité 3 586 événements de sécurité en 2025, en diminution de 18 % par rapport à 2024. L’agence attribue ce recul à un effet de base : les Jeux olympiques et paralympiques de Paris avaient provoqué un pic de signalements entre mai et août 2024. Sur cet ensemble, 1 366 incidents ont été portés à sa connaissance, un nombre stable par rapport à 2024 (1 361), après une progression continue les années précédentes : 1 112 en 2023 et 831 en 2022.

La répartition sectorielle éclaire le sujet. Quatre secteurs concentrent 76 % des incidents de 2025 : l’éducation et la recherche (34 %), les ministères et collectivités territoriales (24 %), la santé (10 %) et les télécommunications (9 %). L’ANSSI prend soin de préciser que ces proportions reflètent en partie le grand nombre d’entités publiques dans ces secteurs et leur propension à signaler, y compris pour des incidents de faible criticité ; elles ne sont donc pas représentatives de l’ensemble des attaques subies en France.

Côté cybercriminalité, l’agence a recensé 128 compromissions par rançongiciel en 2025, un chiffre en légère baisse sur un an. Les PME, TPE et ETI restent la catégorie la plus touchée ; la part des établissements de santé remonte à 8 % des cas, celle des collectivités territoriales recule légèrement à 11 %. Les souches les plus fréquentes sont Qilin (21 %), Akira (9 %) et LockBit 3.0 (5 %). Le déplacement de la menace est net : les incidents d’exfiltration de données passent de 130 en 2024 à 196 en 2025, l’ANSSI n’ayant toutefois pu confirmer la véracité que de 80 des revendications portées à sa connaissance.

Du côté du grand public et des petites structures, Cybermalveillance.gouv.fr a enregistré plus de 420 000 demandes d’assistance en 2024. Son rapport d’activité 2025 fait état de plus de 500 000 victimes assistées et d’une hausse de 107 % des demandes liées aux violations de données. Ces indicateurs d’assistance ne sont pas un recensement exhaustif des attaques.

Ce que coûte réellement une attaque

C’est ici que la plupart des textes publiés sur le sujet dérapent. Les chiffrages de cas français rassemblés par la Cour des comptes dans son rapport de juin 2025, à partir de données de l’ANSSI, portent sur des victimes ayant communiqué publiquement et sur des coûts directs seulement.

• 2,36 M€ centre hospitalier de Dax-Côte d’Argent, février 2021
• > 5,5 M€ centre hospitalier Sud-Francilien, Corbeil-Essonnes, août 2022
• 960 000 € Métropole Aix-Marseille-Provence, mars 2020
• > 1,5 M€ ville de Bondy, novembre 2020

La Cour ajoute une réserve essentielle : à ces coûts directs s’ajoutent des coûts indirects, activités non réalisées, perte de confiance des usagers, dont le chiffrage est complexe, particulièrement pour des missions de service public. Autrement dit, ces montants sont des planchers, et ils ne se prêtent pas à une extrapolation nationale.

Pour le secteur privé, une enquête conduite par l’ANSSI en juin 2024 auprès de membres du CLUSIF, l’association des professionnels de la sécurité du numérique, rapporte dans ce panel un coût moyen d’une cyberattaque de 466 000 € pour une TPE ou une PME, 13 M€ pour une entreprise de taille intermédiaire et 135 M€ pour les plus grandes entreprises. Le coût déclaré représente en moyenne 5 à 10 % du chiffre d’affaires, réparti entre pertes d’exploitation (50 %), prestations externes d’accompagnement (20 %), remise en état du système d’information (20 %) et coût réputationnel (10 %). Ces résultats ne constituent pas une estimation représentative de toutes les entreprises françaises ; l’enquête reconnaît en outre que des coûts restent difficiles à quantifier.

Un chiffre très répandu mérite d’être signalé pour ce qu’il est : l’affirmation selon laquelle une PME victime sur deux ne se relèverait pas dans les six mois circule abondamment, mais nous n’avons trouvé aucune publication de l’ANSSI, de Cybermalveillance.gouv.fr ou de la Cour des comptes qui l’établisse. Nous ne la reprenons donc pas.

Rançon, arrêt, données : lire la facture

Une cyberattaque n’a pas un prix unique. Pour analyser un cas, il faut distinguer les postes suivants et leur attribuer un payeur :

Méthode : publier pour chaque cas la date, le périmètre, les postes inclus, le payeur, les coûts observés et les conséquences non chiffrées. Tenir à part les pertes privées, les dépenses et recettes publiques, puis l’éventuel effet sur le solde budgétaire ; aucun de ces postes ne se transforme automatiquement en dette publique. Les incidents connus de l’ANSSI, de Cybermalveillance.gouv.fr et d’ENISA ont des périmètres différents et ne s’additionnent pas.

L’hôpital, le cas le plus documenté

Le secteur de la santé dispose de son propre dispositif de signalement, le CERT Santé, rattaché à l’Agence du numérique en santé. Son observatoire publie chaque année des données précises, ce qui en fait la meilleure base disponible pour comprendre les effets concrets d’un incident.

En 2025, 764 incidents ont été déclarés, en légère hausse par rapport à 2024 (749) et nettement au-dessus de 2023 (581). Le nombre d’établissements ayant déclaré au moins un incident, 606, progresse de 9 %, une hausse tirée par les établissements et services médico-sociaux (+50 % de déclarants). Sur l’ensemble, 400 incidents sont d’origine malveillante, en hausse de 22 % sur un an, contre 323 d’origine non malveillante.

Le point le plus instructif concerne les conséquences sur les soins. En 2025, 288 signalements, soit 38 % du total, indiquent que l’établissement a dû passer en mode dégradé ou interrompre la prise en charge des patients, un nombre en hausse de 24 % sur un an. Or seuls 25 % de ces incidents ont une origine malveillante : les trois causes principales sont la perte du lien télécom, un bug applicatif, généralement sur le dossier patient informatisé, et un dysfonctionnement de l’infrastructure locale ou d’un prestataire. La désorganisation des soins par le numérique est donc majoritairement un problème de fiabilité, pas de malveillance. Le mode dégradé dure en moyenne une journée ; 20 % des établissements concernés ont subi une interruption de la prise en charge d’un patient.

Deux tendances positives ressortent du rapport 2025 : le nombre d’incidents liés aux rançongiciels recule de 30 % dans le secteur, et le nombre d’incidents majeurs poursuit sa baisse, avec 2 cas en 2025 contre 3 en 2024. Sur 63 mises en danger potentielles de patients recensées (8 % des incidents), 8 se sont traduites par une mise en danger avérée. Le CERT Santé rattache cette baisse à trois efforts collectifs : la remédiation de la surface exposée sur Internet et le durcissement des annuaires techniques menés avec l’appui du programme CaRE, la sécurisation des sauvegardes engagée au titre de l’axe 4 du même programme, et sa propre veille proactive sur les vulnérabilités.

Le rapport signale en revanche un déplacement du risque. Si les rançongiciels reculent, les fuites de données deviennent, selon le CERT Santé, l’un des risques les plus préoccupants du secteur, avec à la clé la revente ou la divulgation de dossiers médicaux et de résultats d’analyse. L’immense majorité de ces incidents provient de la compromission du compte d’un professionnel de santé ou d’un prestataire, par logiciel voleur d’identifiants, par hameçonnage ou par manque de robustesse des mots de passe.

Ce que l’État dépense pour s’en prémunir

La prévention constitue une dépense publique identifiable, distincte des frais de remédiation après incident. La Cour des comptes est sévère sur sa lisibilité : elle relève des « chiffres hétéroclites, établis sur une base déclarative, mélangeant des périodes différentes » et conclut à l’absence de visibilité globale sur cette politique publique.

Deux enveloppes sont néanmoins identifiées. Le volet cybersécurité de France Relance a mobilisé 136 M€ sur 2021-2022, porté à 176,9 M€ début 2022, soit environ 10,5 % des crédits consacrés à la transformation numérique de l’État et des territoires. Sa répartition est parlante : 100 M€ pour les « parcours de cybersécurité » destinés en priorité aux collectivités et aux établissements de santé, 32 M€ pour les ministères, 27,6 M€ pour des achats mutualisés au profit des collectivités et 17,3 M€ pour la création de centres régionaux et sectoriels de réponse à incident.

Dans France 2030, la stratégie d’accélération dédiée à la cybersécurité est passée de 376 à 322 M€, soit 11,4 % des crédits en faveur du numérique du plan. Fin 2023, 221,8 M€ étaient engagés, dont 61 % au profit d’établissements publics de recherche et de formation.

Sur les moyens humains, l’ANSSI devait atteindre 786 agents civils en 2027 selon son schéma d’emploi de début 2024, mais la loi de finances pour 2025 a suspendu cette trajectoire en stabilisant les effectifs. À titre de comparaison, l’agence allemande équivalente, le BSI, rassemblait environ 1 000 agents en 2021, la loi allemande sur la sécurité numérique de la même année prévoyant de renforcer cet effectif au rythme de 200 agents par an pendant quatre ans. Ce point rejoint le débat plus large sur les moyens de l’État numérique, traité dans notre page sur la numérisation administrative.

Pourquoi parler de dette cachée demande de la prudence

La « dette cachée » est ici une image du risque budgétaire, pas une dette publique déjà constatée.

Aucun total national n’existe. La Cour des comptes constate en juin 2025 qu’« une méthode de décompte normalisée des cyberattaques, tenant compte de leur intensité et de leur profondeur, reste à définir » et recommande de confier à l’ANSSI une fonction d’observation centralisée. Les cas publiés ne forment ni un échantillon représentatif ni une base pour multiplier un coût moyen par un nombre d’incidents.

Trois comptes distincts. Une entreprise peut perdre du chiffre d’affaires et payer sa remise en état : ce sont des coûts privés. Un hôpital ou une collectivité peut engager des dépenses supplémentaires, perdre des recettes ou réaffecter des crédits : ce sont des effets sur les finances publiques à vérifier cas par cas. Une dette supplémentaire n’apparaît que si le solde public et son financement l’impliquent ; la dépense de prévention, elle, existe même sans attaque. Additionner ces postes ou assimiler toute perte privée à une hausse de dette serait trompeur.

Un risque à préparer. L’interruption d’un service essentiel ou la compromission d’un prestataire partagé peut toucher plusieurs organismes à la fois : l’ENISA documente ces dépendances en Europe. Cela justifie des scénarios de continuité, des moyens récurrents et un suivi public des coûts constatés, sans prétendre connaître aujourd’hui la probabilité ni le coût d’un tel scénario en France.

Notre proposition : un socle continu, obligatoire et proportionné

Ce que prévoit le droit en septembre 2026. L’article 21 de NIS 2 demande aux États d’imposer aux entités essentielles et importantes des mesures adaptées au risque, à la taille et à la gravité possible des incidents. En France, le projet de loi de transposition reste en examen ; le ReCyF de l’ANSSI est alors un document de travail, par défaut non obligatoire. Pour les entités financières concernées, le règlement DORA s’applique déjà depuis le 17 janvier 2025 avec gestion du risque numérique, notification, tests et surveillance des prestataires ; l’ACPR précise que le calendrier du projet de loi français ne reporte pas ces obligations pour les entités déjà visées.

Notre proposition. Imposer progressivement aux administrations, services essentiels et prestataires critiques un minimum vérifiable, financé dans la durée et proportionné à leur taille, leur exposition et la criticité du service. Les petites collectivités doivent pouvoir mutualiser expertise et réponse à incident. Le suivi doit porter sur des protections réellement opérationnelles :

1. Connaître et fermer les accès. Inventaire des systèmes et fournisseurs, responsable désigné, authentification multifacteur des accès sensibles et distants, droits minimaux, interfaces d’administration non exposées, correctifs priorisés selon les failles exploitées.
2. Détecter et reprendre. Journaux et alertes suivis en continu, cloisonnement des systèmes, sauvegardes isolées et tests de restauration réguliers, plans de continuité et de crise exercés avec les métiers et les prestataires.
3. Vérifier dans le temps. Revue régulière des risques, audits et exercices adaptés à la criticité, correction suivie des écarts, procédure de signalement et mesure après incident du délai de reprise et des coûts réels. Publier des indicateurs agrégés sans exposer les systèmes.

Le panorama 2025 de l’ANSSI et le CERT Santé documentent les failles d’accès et l’intérêt de sauvegardes testées ; la Cour des comptes invite à comparer investissement de sécurité et coût des attaques. Cette comparaison motive une prévention soutenue, sans garantir qu’une mesure donnée évitera tout incident ni qu’elle sera rentable dans chaque cas.

Cyberattaques et finances publiques : questions fréquentes