II. LA COORDINATION DU TRAVAIL GOUVERNEMENTAL
Le programme 129 « Coordination du travail gouvernemental » regroupe des fonctions d'état-major, de stratégie, de prospective et de coordination permettant le soutien du Premier ministre dans sa responsabilité de direction de l'action du Gouvernement.
Parmi ces fonctions, la coordination de la défense et de la sécurité nationale revêt une importance toute particulière dans un contexte où la lutte contre le terrorisme et la cybercriminalité demeurent des priorités.
A. LE SECRÉTARIAT GÉNÉRAL DE LA DÉFENSE ET DE LA SÉCURITÉ NATIONALE
Le secrétariat général de la défense et de la sécurité nationale (SGDSN) assure la coordination interministérielle de la sécurité et de la défense au profit du Premier ministre et du Président de la République. À ce titre, il gère le secrétariat des conseils de défense et de sécurité nationale qui se réunissent chaque semaine depuis les attentats de 2015.
Le SGDSN assume différentes fonctions en sa qualité d'opérateur. Il est en charge de la planification de la gestion de crise ; il organise les moyens de commandement et de communication nécessaires au Gouvernement en matière de défense et de sécurité nationale ; il propose et met en oeuvre la politique du Gouvernement en matière de sécurité des systèmes d'information, notamment par l'intermédiaire de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) ; il garantit la coordination technologique (cohérence des actions en matière de recherche et développement - contrôle des exportations d'armement et des transferts de technologie sensible) ; il assure la coordination des enseignements de défense et de sécurité ; il apporte son appui à l'action du coordonnateur national du renseignement et de la lutte anti-terroriste.
Un rôle d'administration centrale lui est enfin dévolu dans la mesure où il assure son propre soutien, tandis que les autres entités du programme ont recours à la direction des services administratifs et financiers (DSAF) du Premier ministre.
Le Secrétariat général de la défense et de la sécurité nationale s'organise autour de deux directions d'administration centrale (direction des affaires internationales, stratégiques et technologiques et direction de la protection et de la sécurité de l'État), d'un service à compétence nationale (Agence nationale de la sécurité des systèmes d'information - ANSSI), et d'un service d'administration générale. En outre, le SGDSN dispose d'un centre de transmissions gouvernemental (CTG), unité militaire chargée de la mise en oeuvre et de l'administration de télécommunications sécurisées et il assure le soutien administratif, financier et logistique du groupement interministériel de contrôle (GIC).
Les moyens alloués à l'action n° 02 « coordination de la sécurité et de la défense » continuent de croitre depuis 2010, passant de 363 ETPT à 1 226 ETPT pour 2019 (998 ETPT pour le SGDSN et 228 pour le GIC), soit 35 ETPT de plus qu'en 2018.
Des effectifs supplémentaires sont affectés à l'ANSSI dont le développement se poursuit afin de faire face aux risques cyber. Dotée de 80 emplois à sa création en 2009, l'ANSSI s'est vu allouer, après l'adoption de la loi de programmation des finances publique pour 2018 à 2022, des effectifs complémentaires de 25 ETPT par an, au lieu de 50 auparavant. Pourtant de nouvelles missions lui ont été confiées depuis 2013 avec la protection des systèmes d'information des opérateurs d'importance vitale, et l'élargissement de son périmètre d'action aux opérateurs essentiels à l'économie et à la société.
L'an passé, votre rapporteur avait attiré l'attention de la commission des lois sur la nécessité de s'assurer que l'ANSSI dispose des moyens de faire face à ses missions. Or, non seulement la croissance du plafond d'emplois a été ralentie pour 2018 malgré la persistance de la menace et de l'accroissement des missions, mais, de surcroît, 17 des 25 emplois supplémentaires n'ont pas pu déboucher sur des embauches. En effet, le SGDSN, dont l'ANSSI dépend, ne s'est pas vu allouer des crédits suffisants en titre 2. Cette situation est tout à fait regrettable. S'ajoute le problème récurrent du renchérissement des emplois nécessaires à l'agence.
L'ANSSI a obtenu en 2018 un complément au titre de la masse salariale, mais trop tardivement. Les postes seront pourvus en 2019, et s'ajouteront aux embauches déjà planifiées, ce qui représentera 40 postes supplémentaires. Elle devrait atteindre, voire dépasser la barre des 600 emplois fin 2019.
Votre rapporteur ne peut que souligner cette année encore la nécessité de permettre à l'ANSSI de procéder aux recrutements des personnels qui lui sont alloués. En effet, l'impact économique d'attaques informatiques visant des entreprises peut être très important financièrement et désorganiser totalement des pans entiers de la société. Dès lors, il paraît judicieux d'investir dans l'accompagnement de ces opérateurs essentiels et l'information du plus grand nombre car la prévention en matière de sécurité informatique se révèle toujours moins onéreuse que la gestion des crises de grande ampleur qui mobilisent de nombreux agents de l'ANSSI.
Si l'ANSSI est désormais bien connue dans les secteurs sensibles pouvant être objet d'attaques informatiques, il est regrettable que l'agence ne soit pas saisie systématiquement en matière de grands projets de l'État. De même, les grands projets informatiques de plus de 9 M€ obligatoirement soumis à la DINSIC, ne font l'objet que d'un avis informel de l'ANSSI. Il pourrait être judicieux de soumettre ces grands projets, dès l'origine, à un avis officiel de l'agence, la prévention étant la première des protections informatiques.
La dernière difficulté à laquelle l'ANSSI est confrontée est d'ordre immobilier. L'agence occupe actuellement deux sites : l'un aux Invalides et l'autre à la tour Mercure, quartier Beaugrenelle, à Paris. Cette seconde implantation, de surface insuffisante, fait l'objet d'un bail à terme. Le directeur de l'ANSSI, M. Guillaume Poupard, a indiqué aux services du Premier ministre qu'il était opposé à la solution qui consisterait à rechercher un troisième site, ce qui serait à ses yeux intenable du point de vue de la bonne gestion et de la coordination des personnels. S'il semble avoir été entendu, le déménagement de la tour Mercure ne devrait toutefois pas avoir lieu en 2019. Il faudra, le moment venu, provisionner dans le budget les loyers à venir mais aussi le coût de transfert des installations informatiques.
Le GIC, groupement interministériel de contrôle, qui existe de facto depuis 1960, a vu son existence officialisée par décret n° 2002-497 du 12 avril 2002. Il assure un rôle central depuis l'adoption de la loi n° 2015-912 du 24 juillet 2015 relative au renseignement. Il est chargé de centraliser les demandes d'autorisation de mise en oeuvre des techniques de renseignement émises par les services. Les demandes d'autorisation sont adressées au Premier ministre après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR) qui se prononce sur leur légalité. Le GIC contrôle la mise en oeuvre des techniques de renseignement et conserve les renseignements recueillis. Il a l'exclusivité du pouvoir de réquisition auprès des opérateurs de communications électroniques et des fournisseurs de services sur Internet.
Le GIC est adossé administrativement et financièrement au SGDSN par décret n° 2016-1772 du 20 décembre 2016.
Le GIC fait état d'une constante évolution de son activité, qu'il s'agisse des six modifications du cadre légal depuis 2015, auquel il doit immédiatement s'adapter, mais aussi à la croissance constante de l'activité (+ 15 % de demandes traitées en 2018). Il dispose de sa propre équipe de développeurs informatiques afin d'être en mesure de s'adapter rapidement aux évolutions en créant leurs propres outils de travail, toute externalisation étant exclue pour des raisons de sécurité.
Comme pour 2018, 15 ETPT supplémentaires sont alloués au GIC pour 2019, ses effectifs passant de 213 à 228 ETPT. L'objectif de 243 ETPT, point d'arrivée de la montée en puissance du GIC sera atteint en 2020. Toutefois cette prévision, faite en mai 2016, pourrait se révéler insuffisante si l'activité continue de croître au même rythme.
Il est primordial que le GIC dispose des moyens de mener à bien ses missions de recueil et de mise à disposition de données brutes au bénéfice des services de renseignement dans le respect de la loi et de permettre à la Commission nationale de contrôle des techniques de renseignement de mener ses opérations de contrôle.
Deux difficultés sont à souligner concernant le Groupement interministériel de contrôle. Confronté lui aussi à des difficultés de recrutement de personnels, le GIC explique qu'un nombre important de candidats ne peuvent in fine être recrutés, tant contractuels que fonctionnaires, compte tenu des délais d'obtention de l'habilitation secret défense. Nombreux sont les candidats qui ne donnent pas suite faute de pouvoir patienter plusieurs mois. Par ailleurs, le GIC est plus qu'à l'étroit dans ses deux sites parisiens, avec moins de 4 m 2 par personne, ce qui rend le travail au quotidien très difficile et ralentit les recrutements. Une extension des locaux, prévue en 2018, ne s'est finalement pas réalisée. L'acquisition de nouveaux locaux a été actée récemment avec une entrée dans les lieux prévue mi-2020.