La Suite numérique de l’État : pourquoi Tchap, Visio et Fichiers remplacent les outils américains

Teams, Zoom, WhatsApp : pendant des années, ces outils se sont installés dans les administrations comme dans les entreprises, souvent sans que personne ne se demande où partaient les données. Depuis 2025, l’État français a changé de cap. Messagerie, visioconférence, stockage de fichiers, traitement de texte : il déploie ses propres outils, regroupés dans La Suite numérique, et veut faire de Visio le seul outil de visioconférence de ses services d’ici 2027.

Pourquoi ce virage ? Parce que le secteur public est l’une des cibles favorites des attaquants, et parce qu’une question longtemps restée théorique a reçu une réponse claire devant le Sénat : Microsoft France a reconnu ne pas pouvoir garantir que des données françaises ne seront jamais transmises aux autorités américaines. Dans cet article, on fait le point, sources à l’appui, sur ces attaques, sur les outils mis en place, sur leurs limites, et sur ce qu’une entreprise peut en retenir.

Le secteur public, une cible de premier plan

Chaque année, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) publie son panorama de la cybermenace. L’édition 2025, présentée le 11 mars 2026, recense 3 586 événements de sécurité traités par l’agence, dont 1 366 incidents. Les secteurs les plus touchés sont presque tous publics : éducation et recherche (34 %), ministères et collectivités territoriales (24 %), santé (10 %). L’ANSSI y décrit des acteurs liés à la Russie et à la Chine toujours actifs dans l’espionnage, une cybercriminalité qui se tourne de plus en plus vers le vol de données, et une frontière de plus en plus floue entre groupes étatiques et criminels (ANSSI, Panorama de la cybermenace 2025).

Ces chiffres ne portent que sur les incidents signalés à l’ANSSI : ils ne sont pas exhaustifs. Mais ils confirment une réalité que les agents connaissent bien : les administrations détiennent des données nombreuses et sensibles, et elles sont attaquées en conséquence.

France Travail : 5 millions d’euros d’amende pour une fuite massive

L’exemple le plus parlant reste celui de France Travail. Au premier trimestre 2024, des attaquants ont pris le contrôle de comptes de conseillers Cap emploi (les structures qui accompagnent les personnes en situation de handicap vers l’emploi) grâce à de l’ingénierie sociale, c’est-à-dire en manipulant des personnes plutôt qu’en forçant un système. Depuis ces comptes, ils ont accédé aux données de toutes les personnes inscrites, ou inscrites au cours des vingt dernières années : numéros de sécurité sociale, adresses e-mail et postales, numéros de téléphone.

Le 22 janvier 2026, la CNIL a sanctionné France Travail d’une amende de 5 millions d’euros. Elle relève des modes d’authentification « pas suffisamment robustes », une journalisation insuffisante pour détecter les comportements anormaux, et des habilitations « trop larges » : des conseillers pouvaient consulter les dossiers de personnes qu’ils ne suivaient pas. La CNIL note aussi que la plupart des mesures de sécurité adaptées avaient été identifiées à l’avance, sans être mises en œuvre (CNIL, 29 janvier 2026).

Retenez ce scénario : il revient plus loin. L’attaque n’a pas visé une faille technique sophistiquée, mais des comptes d’utilisateurs.

La vraie question : à quel droit obéit votre fournisseur ?

La sécurité ne se limite pas aux pirates. Une autre question pèse sur les choix de l’État : celle des lois extraterritoriales. Certaines législations, notamment américaines, permettent à des autorités d’exiger d’une entreprise qu’elle leur remette des données qu’elle héberge, y compris lorsque ces données se trouvent physiquement en Europe.

Le 10 juin 2025, devant la commission d’enquête du Sénat sur la commande publique, le rapporteur Dany Wattebled a posé la question directement au directeur des affaires publiques et juridiques de Microsoft France, Anton Carniaux : pouvait-il garantir, sous serment, que les données des citoyens français confiées à Microsoft ne seraient jamais transmises, à la suite d’une injonction du gouvernement américain, sans l’accord explicite des autorités françaises ? Sa réponse : « Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit. » (Sénat, compte rendu du 10 juin 2025)

Lors de la même audition, Microsoft a aussi été interrogé sur la Cour pénale internationale. En mai 2025, l’agence AP avait rapporté que le procureur de la CPI, visé par des sanctions américaines, avait perdu l’accès à sa messagerie Microsoft et s’était tourné vers Proton. Microsoft a affirmé sous serment n’avoir « jamais suspendu ni coupé les services » de la Cour (Next, 11 juin 2025). Les versions divergent, mais l’épisode a rendu concrète une crainte : un service dont on dépend peut devenir un levier de pression.

C’est exactement l’argument du gouvernement. Le 26 janvier 2026, au CNRS, le ministre délégué chargé de la Fonction publique, David Amiel, l’a résumé ainsi : « Nous sommes devenus accro aux outils américains, et il faut sortir de cette dépendance. » Il évoquait le risque que ces dépendances du quotidien servent de moyen de pression en cas de crise, ainsi que l’usage d’outils grand public par des agents en dehors de tout cadre (Acteurs publics, 26 janvier 2026).

Ce que l’État a mis en place : La Suite numérique

La Suite numérique est l’espace de travail collaboratif « créé et opéré par la direction interministérielle du numérique (DINUM) ». Selon son site, elle est utilisée chaque mois par plus de 500 000 agents, dans quinze ministères et de nombreuses administrations. Ses données sont stockées sur un hébergement qualifié SecNumCloud et traitées en France. Son code est ouvert et publié sur GitHub, et elle s’appuie sur des briques open source reconnues (Matrix pour la messagerie, LiveKit pour la visioconférence, Grist pour le tableur).

Elle regroupe sept outils :

• Tchap : la messagerie instantanée sécurisée de l’État ;
• Visio : la visioconférence, hébergée en France ;
• Messagerie : l’adresse e-mail professionnelle ;
• Fichiers : le stockage et le partage de documents ;
• Docs : un éditeur de texte collaboratif ;
• Grist : un tableur collaboratif pour structurer des données ;
• FranceTransfert : l’envoi de fichiers volumineux.

Tous sont accessibles avec ProConnect, l’identifiant unique des agents publics.

Fichiers, l’alternative à Google Drive et OneDrive

Fichiers se présente comme la « solution de stockage et de partage de documents souveraine de l’État ». Concrètement, elle permet de déposer des fichiers de tout type (jusqu’à 2 Go par fichier), de modifier à plusieurs, en temps réel, des textes, tableurs et présentations grâce à OnlyOffice, de régler finement les droits de chacun (lecture, commentaire, modification), de partager par lien et de prévisualiser un document sans le télécharger. L’outil est ouvert aux agents de la fonction publique d’État ; le site met en avant l’homologation RGS et la conformité au RGPD.

Visio, seul outil de visioconférence de l’État d’ici 2027

Lancé en test début 2025, Visio comptait environ 40 000 utilisateurs réguliers en janvier 2026. Le gouvernement vise 200 000 agents fin 2026 et une généralisation à tous les services de l’État en 2027. Le CNRS a prévu de remplacer ses licences Zoom fin mars 2026 pour 34 000 agents et 120 000 chercheurs associés. L’outil est hébergé chez Outscale (filiale de Dassault Systèmes), sur une infrastructure qualifiée SecNumCloud, et accepte jusqu’à 150 participants (Le Monde Informatique, 26 janvier 2026).

Visio intègre aussi de l’intelligence artificielle : transcription des réunions avec identification des intervenants (technologie de la start-up française Pyannote) et sous-titres en direct issus des travaux du laboratoire Kyutai. Ces sous-titres sont présentés comme une aide pour les personnes sourdes et malentendantes, un vrai plus en matière d’accessibilité.

Tchap, la messagerie imposée aux cabinets ministériels

Une circulaire du Premier ministre du 25 juillet 2025 demande de « déployer largement la messagerie instantanée Tchap » dans la sphère publique et les cabinets ministériels. Le texte souligne que certaines messageries présentées comme sécurisées sont « sous l’influence de pays étrangers ». La circulaire ne nomme pas d’application, et les cabinets qui utilisaient déjà Olvid, une messagerie française, peuvent continuer à s’en servir ; Tchap reste recommandée pour échanger avec les administrations de l’État (Acteurs publics, 1er septembre 2025).

Souverain ne veut pas dire invulnérable : l’intrusion dans Tchap

Le 7 juin 2026, l’ANSSI a détecté une activité anormale sur Tchap. Le lendemain, la DINUM a confirmé une compromission : un attaquant avait utilisé un compte d’agent légitime, compromis, pour parcourir les salons publics de la messagerie. Le compte a été bloqué, la CNIL notifiée, et le parquet de Paris a ouvert une enquête confiée à l’Office anti-cybercriminalité (Solutions Numériques, 9 juin 2026).

Deux points méritent d’être soulignés :

• Le chiffrement a joué son rôle. Selon la DINUM, les conversations privées, chiffrées de bout en bout, sont restées protégées. Seuls les salons publics, ouverts à tous les utilisateurs et non chiffrés, étaient exposés.
• Les chiffres de l’attaquant ne sont pas confirmés. Il revendique plus de 643 000 messages et environ 73 000 agents concernés ; la DINUM n’a pas validé ces chiffres et l’analyse des journaux était toujours en cours lors des premières publications.

Le mode d’entrée exact n’a pas été rendu public. Mais le schéma rappelle celui de France Travail : ce n’est pas l’outil qui a cédé, c’est un compte. La DINUM a d’ailleurs rappelé une règle simple : aucune information sensible, personnelle ou couverte par le secret professionnel ne doit circuler dans un salon public.

Les limites et les débats

La Suite numérique n’échappe pas aux critiques, et il est utile de les connaître :

• SecNumCloud n’est pas une garantie absolue. L’ANSSI elle-même explique que cette qualification vise à assurer la confiance face à une injonction d’un État non européen, notamment en exigeant que le prestataire relève uniquement du droit de l’Union. Mais elle précise aussi que la qualification ne garantit pas la sécurité des services qu’un client héberge dessus, et que chaque organisation reste responsable de la maîtrise de ses risques (ANSSI, FAQ SecNumCloud).
• Des éditeurs français s’inquiètent. Certains, comme le dirigeant de Tixeo (visioconférence sécurisée), estiment qu’un outil développé par l’État lui-même ferme le marché public aux solutions françaises et freine leur croissance (Le Monde Informatique).
• Le financement reste à consolider. En février 2026, la DINUM a demandé aux ministères de contribuer volontairement au développement de la suite : environ 4 millions d’euros sur un coût estimé à 12 millions pour 2026 (Acteurs publics, 16 février 2026).

Et l’IA dans tout ça ?

La Suite numérique intègre l’IA de manière transversale : transcription dans Visio, résumé et reformulation de texte dans Docs. L’État teste par ailleurs un assistant d’IA auprès de 10 000 agents. Le message est clair : l’IA n’est pas mise de côté, elle est utilisée dans un cadre maîtrisé, avec des données hébergées et traitées en France.

Pour une entreprise, la question se pose dans les mêmes termes. Quand un salarié colle un contrat, un fichier client ou un compte rendu de réunion dans un outil d’IA générative, où partent ces données ? Peuvent-elles servir à entraîner le modèle ? Le traitement est-il conforme au RGPD ? Ce sont exactement les questions qu’il faut savoir trancher avant de généraliser ces usages.

Ce qu’une entreprise peut en retenir

La Suite numérique est conçue pour les agents publics. Mais les leçons de ces deux dernières années valent pour toutes les organisations :

1. Cartographiez vos outils. Messagerie, visio, stockage, IA : pour chacun, sachez où sont hébergées les données et à quel droit est soumis le fournisseur.
2. Activez l’authentification à plusieurs facteurs partout. France Travail comme Tchap montrent que la porte d’entrée, c’est le compte.
3. Donnez à chacun l’accès dont il a besoin, pas plus. Des habilitations trop larges ont multiplié l’ampleur de la fuite de France Travail.
4. Fixez des règles de partage claires. Rien de sensible dans les canaux ouverts, même dans un outil réputé sûr.
5. Pour les données sensibles, regardez les critères de confiance : hébergement dans l’Union européenne, qualification SecNumCloud, code ouvert et possibilité de changer de fournisseur.
6. Formez vos équipes. L’ingénierie sociale et l’usage non encadré des outils grand public, IA comprise, restent les premiers risques.

Conclusion : la souveraineté, une affaire de choix et de pratiques

En construisant La Suite numérique, l’État ne cherche pas seulement à remplacer des logiciels américains. Il cherche à reprendre la main sur des données qui, comme l’a reconnu Microsoft devant le Sénat, peuvent échapper au droit français. L’intrusion dans Tchap rappelle pourtant qu’un outil souverain ne protège pas d’un mot de passe volé. La souveraineté se joue donc à deux niveaux : choisir des outils dont on maîtrise le cadre juridique, et adopter les bonnes pratiques qui rendent ces outils réellement sûrs.

Sources

• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.
• CNIL, Violation de données : sanction de 5 millions d’euros à l’encontre de France Travail, 29 janvier 2026.
• Sénat, Commission d’enquête sur la commande publique, audition de Microsoft France, 10 juin 2025.
• Next, Microsoft nie avoir coupé l’accès de ses services à la Cour pénale internationale, 11 juin 2025.
• DINUM, La Suite numérique et Fichiers, consultés le 13 octobre 2026.
• Acteurs publics, L’État déploie son outil de visioconférence souverain à l’ensemble de ses agents, 26 janvier 2026.
• Le Monde Informatique, L’État généralise Visio dans tous ses services, 26 janvier 2026.
• Acteurs publics, Les agents désormais sommés de se tourner vers la messagerie d’État Tchap, 1er septembre 2025.
• Solutions Numériques, Tchap compromis : la Dinum confirme l’intrusion, 9 juin 2026.
• ANSSI, FAQ avant de se lancer dans la qualification SecNumCloud.
• Acteurs publics, La Dinum demande aux ministères de mettre la main au portefeuille, 16 février 2026.