Cybersécurité : renforcer Renater ne suffira pas à sécuriser l’enseignement supérieur

Un changement d’échelle et non une création

Le 30 septembre 2026, l’Anssi a annoncé les huit lauréats de son appel à manifestation d’intérêt consacré aux centres sectoriels de réponse aux incidents. Sur 15 dossiers, celui de Renater (Réseau national de télécommunications pour la technologie, l’enseignement et la recherche) a été retenu dans la catégorie « développement » pour le CSIRT (Computer Security Incident Response Team) Enseignement supérieur, recherche et innovation. Le barème publié prévoit 120 000 euros pour les dossiers de développement, sans préciser, à ce stade, le montant notifié à chaque lauréat.

Il faut le dire clairement : Renater ne devient pas soudainement un acteur de la réponse à incident. Son CERT (Computer Emergency Response Team) assure déjà des missions d’information, de détection, de protection et d’assistance sur le réseau Renater. Le fait nouveau est la consolidation d’un dispositif existant, afin d’en accroître la charge, la professionnalisation et la pérennité.

Ce choix est pertinent. L’enseignement supérieur rassemble des universités, des écoles et des organismes de recherche très hétérogènes. Face à des attaques qui exploitent des vulnérabilités communes, aucun établissement ne peut reconstruire seul toutes les compétences rares nécessaires. Renater apporte une connaissance sectorielle, une proximité avec les équipes et une visibilité sur une partie des signaux qui traversent son réseau.

La responsabilité ne doit plus se diluer

La doctrine de juillet 2024 répartit déjà les rôles. Le président ou le directeur d’un établissement public est l’autorité qualifiée pour la sécurité de son périmètre, une responsabilité qu’il ne peut déléguer. Le Cossim (Centre opérationnel de la sécurité des systèmes d’information ministériels) est le centre ministériel de référence. Pour l’enseignement supérieur et la recherche, il s’appuie sur le CERT-Renater, qui reçoit les signalements initiaux, qualifie les incidents et assiste les établissements. Les incidents classés au moins « important » appellent une assistance conjointe avec le Cossim.

L’instruction va même plus loin : face à une menace majeure, confirmée et imminente, le CERT-Renater peut mettre en œuvre une protection immédiate avec l’accord du FSSI (Fonctionnaire de sécurité des systèmes d’information) ou, à défaut, du Cossim, notamment lorsque le RSSI (Responsable de la sécurité des systèmes d’information) et l’autorité de l’établissement sont injoignables. Le cadre juridique existe donc. Reste à expliciter ce mode d’emploi opérationnel et à le rendre accessible aux établissements.

Renater ne devient pas soudainement un acteur de la réponse à incident

Le ministère chargé de l’enseignement supérieur devrait fixer avec Renater, dans les six mois, une doctrine de service précisant les plages de disponibilité, les délais de prise en charge, les informations à transmettre et l’autorité qui tranche lorsqu’un isolement technique menace les examens, les inscriptions ou une activité de recherche.

Le financement de départ doit servir à bâtir ce service, pas à en repousser la définition. Dans l’établissement, la décision et la préparation relèvent du dirigeant ; Renater qualifie et assiste ; le Cossim apporte son assistance opérationnelle aux incidents majeurs ; le FSSI coordonne la cellule opérationnelle de crise cyber, à laquelle participent le Cossim et le CERT-Renater. Cette chaîne doit être lisible avant la crise, pas reconstruite pendant celle-ci.

Un socle minimal vérifié dans chaque établissement

Un CSIRT ne peut pas inventer après l’attaque l’inventaire des actifs, retrouver des journaux qui n’ont pas été conservés, identifier des comptes privilégiés inconnus ou restaurer des sauvegardes jamais éprouvées. Le premier kilomètre de la réponse reste local : détecter l’anomalie, préserver les preuves, décider d’un isolement et mesurer ses conséquences métiers.

J’en ai fait l’expérience à Versailles, lors d’une attaque par déni de service, antérieure à 2017, qui a paralysé le système d’information pendant plusieurs semaines. L’appui de Renater a été précieux, mais ce qui a nettement réduit l’indisponibilité lors des tentatives suivantes, c’est ce que l’académie a elle-même construit : une sonde de détection, un monitoring renforcé et des équipes entraînées. Un centre de réponse accélère la sortie de crise ; il ne tient pas lieu de préparation locale.

Sortir des simples recommandations

Il faut donc sortir des simples recommandations. Chaque établissement bénéficiant du dispositif sectoriel devrait attester annuellement un socle minimal de préparation, vérifié par sondage par le ministère : annuaire de crise à jour, inventaire des systèmes critiques, journalisation exploitable, comptes d’administration identifiés, sauvegardes isolées et testées, autorité disponible pour décider.

Un exercice annuel associant présidence, DSI, RSSI, métiers, communication et protection des données devrait éprouver l’ensemble. L’assistance d’urgence, en revanche, ne saurait jamais être conditionnée à ce socle : un établissement en crise doit être aidé, pas écarté.

Les résultats doivent se mesurer en délais de détection, de qualification, de confinement et de restauration, ainsi qu’en fermeture effective des actions correctives. Compter les alertes diffusées ou les incidents traités mesure l’activité du centre ; cela ne démontre pas que le secteur sait reprendre la main.

Financer une fonction permanente

Le soutien annoncé est une amorce

Le soutien annoncé est une amorce, pas un modèle économique. Une mission permanente ne peut dépendre d’un financement ponctuel. Elle exige une trajectoire pluriannuelle associant l’État et la communauté des établissements, une offre de service transparente et des effectifs compatibles avec une réponse en temps contraint. Le recours au CSIRT ne devrait pas être facturé au moment de l’incident : ce serait inciter les structures les plus fragiles à signaler trop tard.

C’est ici que se joue une souveraineté collective. Être souverain ne signifie pas tout faire seul, mais savoir sur qui l’on s’appuie, selon quelles règles et avec quelle faculté de décision et de reprise. Renater renforcé peut accroître le capital de maîtrise du secteur si la mutualisation transmet les savoir-faire au lieu d’installer une dépendance supplémentaire.

Un CSIRT n’est pas une assurance : c’est une capacité commune, qui suppose des établissements acteurs et non bénéficiaires passifs. Aucun dispositif national ne se substitue à la responsabilité du chef d’établissement. Cette capacité ne vaut que si elle est financée dans la durée, reliée à des équipes locales préparées et régulièrement mise à l’épreuve.