OSINT : une pratique indispensable, un cadre juridique encore à bâtir

La cybersécurité est désormais au cœur de notre sécurité nationale, comme l’a rappelé la dernière revue stratégique. Pas un jour ne passe sans qu’une cyberattaque ou une fuite de données ne touche des hôpitaux, des entreprises ou des administrations. La cyberattaque subie par le ministère de l’Intérieur en décembre 2025 illustre la sophistication croissante de nos adversaires.

Pour relever ce défi, l’Union européenne a adopté la directive NIS 2. Cette directive, publiée au Journal officiel de l’UE en décembre 2022, vise à atteindre un niveau élevé commun de cybersécurité et étend considérablement son périmètre par rapport à la première version Elle incite également les États membres à renforcer leur coopération en gestion de crise.

Le projet de loi français de transposition de NIS 2 tarde à être inscrit à l’ordre du jour alors même que l’article 21, paragraphe 2, impose aux entités essentielles et importantes de garantir la sécurité tout au long du cycle de vie des systèmes d’information. Cette obligation suppose l’identification et le traitement des vulnérabilités, ainsi qu’un cadre clair pour l’open‑source intelligence (OSINT).

Dans une tribune publiée dans Les Échos, j’ai plaidé pour que la pratique de l’OSINT, indispensable à la détection et à la prévention des attaques, bénéficie enfin d’un cadre juridique adapté. Nous devons protéger ceux qui recherchent et signalent des failles tout en veillant au respect des libertés publiques. Je continuerai à porter ce message afin que la France reste parmi les nations cyber de premier plan.