L’essentiel
Le décret présidentiel n° 26-07 du 7 janvier 2026 organise la création d’une structure chargée de la sécurité des systèmes d’information et de la protection des données au sein des institutions et organismes publics.Une responsabilité rattachée au plus haut niveau
Le texte prévoit une structure indépendante, placée auprès du premier responsable de l’organisme concerné. Ce positionnement vise à donner à la sécurité une portée transversale, au-delà du seul service informatique.La mission est permanente : préparer la politique de sécurité, coordonner sa mise en œuvre et suivre la protection des systèmes et des données. L’organisation exacte doit tenir compte de la taille, des activités et des risques propres à chaque entité publique.
De la conformité à la gestion quotidienne des risques
Créer une structure ne suffit pas. Elle doit disposer de compétences, d’outils et de procédures pour inventorier les actifs, évaluer les risques, gérer les accès, surveiller les incidents et organiser la continuité des services.La formation du personnel reste déterminante, car les erreurs humaines, les mots de passe faibles et les messages frauduleux constituent des voies d’attaque fréquentes. La sécurité doit donc devenir une pratique quotidienne et mesurable.
Un cadre commun pour renforcer la confiance
Un dispositif homogène peut faciliter la coordination entre organismes et améliorer la remontée d’incidents. Il peut aussi clarifier les responsabilités lorsque plusieurs prestataires ou administrations partagent des données et des infrastructures.L’efficacité du décret se jugera dans l’application : désignation des équipes, budgets, audits réguliers, exercices de crise et suivi d’indicateurs. Une gouvernance claire est essentielle pour protéger les services publics numériques sans ralentir leur développement.
Les prochains indicateurs à surveiller
La réussite de la nouvelle structure dépendra de sa capacité à établir des règles communes et à aider concrètement les administrations. Des audits réguliers, des exercices de crise et un mécanisme de signalement partagé peuvent améliorer la détection des incidents tout en évitant que chaque organisme travaille isolément.
Les résultats devront être évalués avec des indicateurs publics et compréhensibles : délais de correction, nombre d’agents formés, continuité des services essentiels et traitement des vulnérabilités critiques. La protection du secteur public exige aussi une coordination avec les opérateurs, les chercheurs et les entreprises spécialisées, dans un cadre clair pour les données sensibles.
Source : Journal officiel, décret présidentiel n° 26-07 du 7 janvier 2026. Consulter la source ↗