28 mai 2026
Le signal d'alarme
En l'espace d'une seule année, le nombre d'incidents cybernétiques d'importance nationale visant le secteur public britannique a plus que doublé, passant de 89 à 204. L' attaque contre Synnovis a interrompu les analyses sanguines dans tous les hôpitaux de Londres, entraîné l’annulation de plus de 10 000 rendez-vous et de 1 700 interventions non urgentes, et contribué au décès d’un patient. La violation de données de la Legal Aid Agency a compromis des données personnelles sensibles. L’ attaque par ransomware contre la British Library a dévasté l’une des institutions culturelles les plus importantes du pays. Une mise à jour non malveillante du logiciel CrowdStrike a paralysé des milliers de services du jour au lendemain.
Il ne s'agissait pas là de risques abstraits, mais de défaillances ayant des conséquences immédiates pour les citoyens. L'évaluation réalisée par le gouvernement britannique lui-même ne cache pas ce qu'elle a mis en évidence : une approche fragmentée de la cybersécurité qui nécessitait une réforme en profondeur et des mesures immédiates.
Ce que le plan cyber du Royaume-Uni change réellement
Le gouvernement britannique a publié le Plan d'action gouvernemental pour la cybersécurité, soutenu par un investissement central de 210 millions de livres sterling. Élaboré par le ministère des Sciences, de l'Innovation et de la Technologie (DSIT), il remplace un modèle vaguement fédéré et axé sur des lignes directrices par un système bien plus centralisé et directif.
Au cœur de cette initiative se trouve une nouvelle Unité gouvernementale chargée de la cybersécurité (GCU) chargée d’établir des normes, de coordonner la gestion des risques et de veiller à ce que des progrès mesurables soient réalisés dans tous les ministères. Le rapport sur l'état des lieux du gouvernement numérique avait déjà clairement établi le constat : le risque cyber pour l’administration est extrêmement élevé, 28 % de l’infrastructure numérique repose sur des technologies obsolètes et l’objectif initial de résilience fixé pour 2030 n’est plus réalisable.
Le plan se déroulera en trois phases :
- La phase 1 (d'ici avril 2027) vise à jeter les bases : création de la GCU, mise en place de cadres de responsabilité et publication d'un plan d'intervention en cas d'incident.
- La phase 2 (2027-2029) prévoit l'extension du modèle grâce à une prise de décision fondée sur les données et à des services d'appui centralisés.
- La phase 3 (à partir d'avril 2029) met l'accent sur l'amélioration continue et la gestion proactive de la chaîne d'approvisionnement.
Les ministères et leurs fournisseurs devront désormais démontrer leur conformité à des cadres d'assurance structurés, notamment GovAssure et le cadre d'évaluation cybernétique (CAF) du NCSC – et adopter le principe principes « Secure by Design » .
Le rôle de la vérification d'identité
L'avant-propos ministériel donne le ton en classant la vérification d'identité au même titre que les soins de santé et les prestations sociales parmi les « infrastructures essentielles de la vie britannique moderne ». Mais c'est ce qui est exposé dans les chapitres opérationnels qui revêt le plus d'importance pour les prestataires de services d'identité.
Tout d'abord, le contrôle de l'identité et des accès est un résultat clé du cadre d'évaluation de la cybersécurité – la norme à laquelle chaque ministère sera désormais évalué via GovAssure. Le principe B2 exige des ministères qu’ils démontrent que les utilisateurs accédant aux services sont « correctement vérifiés, authentifiés et autorisés ». Ne vous y trompez pas : il s’agit d’une exigence d’assurance mesurable faisant l’objet d’une supervision centrale.
Deuxièmement, le plan identifie explicitement l'authentification héritée comme une vulnérabilité systémique. Les systèmes hérités ne se limitent pas aux anciens serveurs : ils comprennent également les mots de passe, les clés matérielles et les méthodes de vérification basées sur les connaissances qui sous-tendent encore une grande partie de l’infrastructure d’identité du gouvernement. L’obligation de remplacer les systèmes fragiles s’applique directement ici.
Troisièmement, le nouveau modèle de responsabilité de la chaîne d'approvisionnement implique que les fournisseurs d’identité au service du gouvernement feront l’objet d’une surveillance accrue. Les fournisseurs proposant des services à grande échelle pourraient être désignés comme « stratégiques », ce qui les soumettrait à des partenariats formels avec la GCU et à des exigences d’assurance directe.
L'effet combiné est considérable : le dispositif de certification et d'approvisionnement rend désormais plus difficile de justifier des solutions d'identification peu sûres et facilite la promotion de solutions modernes et résistantes au phishing. Pour les fournisseurs d’identité, il s’agit là d’un changement plus significatif que n’importe quelle citation isolée dans une préface.
Résilience et sécurité : faire face à des menaces en constante évolution
Le plan présente systématiquement son objectif comme étant « la cybersécurité et la résilience », les considérant comme deux éléments d'égale importance. Cependant, l'accent mis sur la résilience est notable et incarne ce que le plan lui-même qualifie de « changement culturel et opérationnel dans la manière dont le gouvernement appréhende la résilience ». Concrètement, cela signifie que le gouvernement ne se contente plus de se demander « pouvons-nous repousser l'attaque ? », mais s'interroge également sur la capacité à « maintenir les services opérationnels et fiables en cas de problème ».
Cela a des implications particulières en matière d'identité. Prenons deux cas de figure :
- Le premier est la défaillance des services. Des incidents non malveillants, comme la panne de CrowdStrike, sont cités au même titre que les attaques par ransomware et celles menées par des États, car le résultat final pour les citoyens est le même : les services sont interrompus et la confiance s'érode. Les systèmes d'identité qui ne peuvent pas faire la preuve d'une architecture distribuée, d'une redondance et d'une reprise rapide constituent désormais un point de défaillance unique que le plan vise explicitement.
- Le deuxième risque concerne la compromission de l'identité. De plus en plus, les attaques visent la confiance humaine plutôt que l'infrastructure directement. Par exemple, un responsable financier peut recevoir un appel vidéo convaincant semblant provenir d'un haut responsable demandant une autorisation de paiement d'urgence. Les contrôles basés sur les connaissances, la reconnaissance de l'appelant et l'authentification traditionnelle peuvent tous sembler valides. L'échec ici ne réside pas dans la sécurité périmétrique, mais dans l'incapacité à vérifier que la personne à l'origine de l'interaction est bien celle qu'elle prétend être. Il s'agit d'une faille de résilience, et pas seulement d'une faille de sécurité.
Pour les équipes chargées des achats, cela redéfinit les critères d'évaluation. La question n'est plus simplement « est-ce sécurisé ? », mais « que se passe-t-il en cas de défaillance — et pouvons-nous encore faire confiance à notre partenaire ? ». Les systèmes d'identité capables de démontrer une surveillance active des menaces et une reprise rapide seront mieux à même de répondre aux attentes du plan que les outils traditionnels que celui-ci identifie explicitement comme vulnérables.
Ce que le plan cyber du Royaume-Uni ne fait pas
Il convient d'être lucide quant à la portée de ce projet. Ce plan est élaboré par le gouvernement, pour le gouvernement. Il n’impose pas directement de nouvelles exigences au secteur privé ni aux infrastructures critiques nationales – c’est le rôle du projet de loi sur la cybersécurité et la résilience, présenté au Parlement le même jour. Ce projet de loi étend les obligations en matière de résilience aux fournisseurs du gouvernement dans les secteurs de l’énergie, de l’eau, de la santé et des centres de données, mais ses implications ne seront pleinement comprises qu’au fur et à mesure de son avancement.
Plusieurs observateurs du secteur se sont également demandé si la somme de 210 millions de livres sterling était suffisante compte tenu de l'ampleur du défi. La stratégie de 2021 prévoyait une enveloppe de 2,6 milliards de livres sterling, et des problèmes subsistent.
En pratique : qu'implique pour vous le plan cyber du Royaume-Uni ?
Malgré ces réserves, la tendance est indéniable — et cela ne concerne pas uniquement les administrations publiques. Toute organisation faisant partie de la chaîne d'approvisionnement du secteur public en ressentira les effets. Trois évolutions se dégagent clairement.
La mise en place de normes centralisées transforme le modèle d'achat. La création d'une cellule cyber gouvernementale chargée d'établir des normes interministérielles ouvre la voie à des services partagés et à une infrastructure d'identité reposant sur le principe « créer une fois, utiliser partout ». Les jours des achats fragmentés, menés ministère par ministère, sont comptés.
La preuve de conformité devient une condition préalable à tout marché public. L'évolution vers la conformité aux normes GovAssure et CAF implique que les équipes chargées des marchés publics attendront de plus en plus des fournisseurs qu'ils fournissent une documentation de conformité préétablie démontrant leur adhésion à des normes de certification reconnues à l'échelle internationale. Il convient d'en tenir compte dès le début de la planification, et non pas seulement au moment de la signature du contrat.
Les délais de remplacement des systèmes obsolètes se resserrent. Les méthodes d'authentification fragiles étant désormais clairement identifiées comme des vulnérabilités systémiques, les organisations qui s'appuient encore sur des mots de passe, des clés matérielles ou des vérifications basées sur des connaissances devraient dès à présent élaborer des plans de transition, sans attendre l'entrée en vigueur des obligations de la phase 2. Le remplacement des systèmes obsolètes est désormais inévitable, et non plus simplement recommandé. Les services qui remplacent ces méthodes d'authentification fragiles rechercheront de plus en plus des partenaires capables d'accélérer ces transitions en toute sécurité tout en réduisant les risques opérationnels. Les systèmes d'identité capables de démontrer une résistance au phishing, une résilience opérationnelle et une surveillance active des menaces seront mieux adaptés à ces exigences de migration.
Perspectives d'avenir
Le plan d'action cyber du gouvernement va plus loin que les stratégies précédentes : il intègre la vérification d'identité au cœur du cadre d'assurance du gouvernement, lie la performance cyber à la résilience plutôt qu'à la simple conformité, et met en place un mécanisme centralisé de mise en œuvre assorti d'une véritable obligation de rendre des comptes.
Ce plan reflète une évolution plus générale de la réflexion des pouvoirs publics : la cyber-résilience ne se mesure plus uniquement à la capacité à empêcher les attaquants d'accéder au système, mais aussi à la capacité des services essentiels à rester fiables en cas de perturbation. Dans ce contexte, les systèmes d'identité deviennent une infrastructure opérationnelle, et non plus de simples couches d'authentification.
Pour tous ceux qui planifient leur prochain cycle d'approvisionnement — qu'ils travaillent au sein de l'administration ou dans sa chaîne d'approvisionnement —, la question n'est plus de savoir s'il faut moderniser l'authentification, mais à quelle vitesse.
Les efforts politiques se poursuivront, notamment avec l'avancement du projet de loi sur la cybersécurité et la résilience ainsi que la création de la GCU elle-même. Nous suivrons ces deux dossiers de près.
Découvrez notre dernier rapport Threat Intelligence 2026 pour mieux comprendre l'évolution du paysage des menaces, ou contactez-nous pour discuter de la manière dont votre organisation peut s'aligner sur les nouveaux cadres d'assurance.
FAQ sur le plan cyber du Royaume-Uni
Q : Quelles sont les implications du plan d'action cyber du Royaume-Uni en matière de vérification d'identité ?
R : Ce plan fait de la gestion des identités et des accès un critère d'assurance essentiel dans le cadre du Cyber Assessment Framework (CAF). Les ministères doivent désormais démontrer que les utilisateurs sont « correctement vérifiés, authentifiés et autorisés » par le biais des évaluations GovAssure, et les méthodes d'authentification traditionnelles, telles que les mots de passe et les clés matérielles, sont explicitement identifiées comme des vulnérabilités systémiques devant être remplacées.
Q : Qu'est-ce que GovAssure et en quoi cela concerne-t-il les fournisseurs du gouvernement ?
R: GovAssure est le cadre d'assurance cybernétique du gouvernement britannique, utilisé pour évaluer les ministères au regard du cadre d'évaluation cybernétique du NCSC. Dans le cadre du plan d'action cybernétique 2026, 90 % des principaux ministères doivent garantir la conformité de leurs chaînes d'approvisionnement à ces normes d'ici la phase 2 (2027-2029). Les fournisseurs proposant des services d'identité à grande échelle peuvent être désignés comme « stratégiques », sous réserve de partenariats formels avec la Cyber Unit du gouvernement.
