2/4 – Japon et France : deux chemins vers une cyberdéfense active

Série · Cyberdéfense active japonaise · 2/4

À la suite des annonces du gouvernement japonais sur ses dispositifs de cyberdéfense, regard comparé avec la France : similitudes et différences.

Par Peggy LETAY, auditrice de l’Institut des hautes études de la défense nationale (IHEDN) · Rédigé le 9 octobre 2026 · Sources arrêtées à cette date

Rappel. Depuis le 1^er octobre 2026, le Japon applique l’essentiel de sa loi de « cyberdéfense active » : déclaration obligatoire des incidents pour les opérateurs d’infrastructures essentielles, partage d’informations entre l’État et les entreprises, neutralisation de serveurs d’attaque, et, au plus tard en novembre 2027, analyse de données de communication par l’État. Le premier article de cette série a présenté ce dispositif et sa chronologie.^1,2 Ce deuxième article le compare au modèle français.

L’essentiel

La France dispose depuis 2018 de capacités de détection sur les réseaux des opérateurs, et depuis 2023 de pouvoirs de filtrage des noms de domaine malveillants. Elle est en revanche en retard sur l’extension du périmètre des entités régulées : la transposition de la directive européenne NIS2 n’était toujours pas adoptée à la date de rédaction.^3,4
La France a puisé dans l’exemple japonais d’intelligence économique dès le rapport Martre de 1994, qui en faisait une référence sans le présenter comme un modèle à transposer, mais dans les deux pays, le partage d’informations sur les cybermenaces s’est construit par des textes distincts de cette tradition.⁵
La comparaison doit tenir compte des alliances : la réforme japonaise répond aussi aux attentes américaines, et la France agit de plus en plus dans un cadre européen (directive NIS2, règlement sur la cyberrésilience).^6,7

Deux architectures, deux chemins

La comparaison est instructive parce que les deux pays sont arrivés à des architectures voisines par des chemins opposés. La France a construit progressivement, par les lois de programmation militaire successives, des capacités de détection et d’entrave confiées à l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Le Japon a choisi une loi-cadre unique, plus tardive mais plus explicite sur la collecte de données et le contrôle.

Dimension	Japon	France
Fondement stratégique	Stratégie de sécurité nationale de décembre 2022 ; stratégie de cybersécurité de décembre 2025.^8,9	Revue nationale stratégique de 2022, actualisée le 14 juillet 2025, qui fait d’une « résilience cyber de premier rang » un objectif stratégique.^10,11
Déclaration obligatoire des incidents	Depuis le 1^er octobre 2026, pour 258 opérateurs désignés dans 15 secteurs.¹	Depuis la loi de programmation militaire de 2013 pour les opérateurs d’importance vitale, puis la transposition de la directive européenne NIS1 en 2018 (opérateurs de services essentiels). L’extension prévue par NIS2 (plus de 15 000 entités dans 18 secteurs) reste en attente.^12,13
Détection sur les réseaux	Analyse des données de communication par l’État au plus tard en novembre 2027, avec tri automatique ne conservant que des informations techniques.²	Depuis la loi de programmation militaire de 2018 : sondes de détection chez les opérateurs de télécommunications et marqueurs techniques installés à la demande de l’ANSSI. Élargie en 2023 (données de cache des serveurs de noms de domaine, copie de données de serveurs compromis).^14,15,16
Entrave et neutralisation	Neutralisation de serveurs par la police ; appui des Forces d’autodéfense dans des cas restreints, sur ordre du Premier ministre.²	Depuis 2023, l’ANSSI peut imposer le filtrage ou la redirection de noms de domaine malveillants. Sur le plan militaire, la lutte informatique offensive est une doctrine assumée depuis janvier 2019, conduite par le Commandement de la cyberdéfense créé en 2017.^15,17
Contrôle des pouvoirs les plus sensibles	Commission administrative indépendante créée en avril 2026 : autorisation préalable, inspections, rapports périodiques à la Diète.^2,18	Contrôle par l’Autorité de régulation des communications électroniques (ARCEP) : a posteriori depuis 2018, avec en plus des avis préalables depuis 2023.¹⁵ Les techniques de renseignement relèvent d’une autre autorité, la Commission nationale de contrôle des techniques de renseignement.
Obligations des éditeurs de logiciels	Les fournisseurs peuvent être sollicités pour corriger des vulnérabilités, sans devenir eux-mêmes opérateurs régulés.²	Depuis 2023, obligation pour les éditeurs de signaler à l’ANSSI les vulnérabilités et incidents significatifs affectant leurs produits.¹⁹ Depuis le 11 septembre 2026, le règlement européen sur la cyberrésilience impose en outre aux fabricants de produits numériques de signaler les vulnérabilités activement exploitées.^7,20
Moyens affichés	Objectif d’environ 4 000 personnels cyber au sein des Forces d’autodéfense, selon la presse américaine.⁶	Environ 4 milliards d’euros consacrés au cyber par la loi de programmation militaire 2024-2030.²¹ Les deux indicateurs ne sont pas de même nature et ne permettent pas une comparaison directe.
Coordination centrale	Bureau national de cybersécurité auprès du Cabinet ; quartier général présidé par le Premier ministre.²²	Secrétariat général de la défense et de la sécurité nationale et ANSSI, placés auprès du Premier ministre.

Repères chronologiques français

18 décembre 2013 — Loi de programmation militaire 2014-2019 : obligations de sécurité et de déclaration pour les opérateurs d’importance vitale.¹²
Mai 2017 — Création du Commandement de la cyberdéfense.¹⁷
13 juillet 2018 — Loi de programmation militaire 2019-2025 (article 34) : détection sur les réseaux des opérateurs, sous le contrôle de l’ARCEP.¹⁴
18 janvier 2019 — Publication des éléments publics de doctrine militaire de lutte informatique offensive.¹⁷
1^er août 2023 — Loi de programmation militaire 2024-2030 : filtrage des noms de domaine, collecte élargie, obligation de signalement des éditeurs.^15,19
15 octobre 2024 — Présentation en Conseil des ministres du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (transposition de NIS2, de la directive sur la résilience des entités critiques et de DORA).²³
Mars 2025 — Adoption du projet de loi par le Sénat, qui y introduit l’article 16 bis ; le texte est transmis à l’Assemblée nationale le 13 mars 2025.^4,35
14 juillet 2025 — Publication de la Revue nationale stratégique 2025.¹⁰
Septembre 2025 — Adoption à l’unanimité en commission spéciale de l’Assemblée nationale ; l’article 16 bis, qui interdit d’imposer des portes dérobées dans les services de chiffrement, est élargi. Il devient le point de blocage avec le gouvernement.^24,23
17 mars 2026 — L’ANSSI publie un référentiel de conformité en attendant le vote de la loi.²⁵
8 juillet 2026 — La Commission européenne saisit la Cour de justice de l’Union européenne contre la France, ainsi que l’Irlande, l’Espagne et les Pays-Bas, pour défaut de transposition de NIS2. Elle demande une somme forfaitaire et des astreintes journalières jusqu’à la transposition complète.²⁶
16 août 2026 — Loi n° 2026-791 actualisant la programmation militaire 2024-2030.²⁷
Octobre 2026 — L’examen en séance, prévu à partir du 7 octobre, est à nouveau reporté sans nouvelle date, faute de temps dans l’ordre du jour de l’Assemblée nationale. Le gouvernement a annoncé qu’il soutiendrait la suppression de l’article 16 bis. Au 14 octobre 2026, aucune nouvelle date d’examen n’avait été trouvée : ce point doit être revérifié.^4,23,28

Lecture comparative

La France a de l’avance sur la détection et l’entrave. Les sondes chez les opérateurs existent depuis 2018 et le filtrage de noms de domaine depuis 2023, alors que l’équivalent japonais pour la détection n’arrivera qu’en 2027. La France assume également, depuis 2019, une doctrine militaire offensive, là où le Japon a construit un régime de neutralisation policier, l’armée n’intervenant qu’en appui et sous conditions strictes, ce qui reflète les contraintes de sa Constitution pacifiste.

Le Japon est plus explicite sur la collecte et le contrôle. La loi japonaise inscrit dans son architecture technique la limite de ce qui peut être conservé : aucune personne ne peut consulter les données avant le tri automatique.² Son autorité de contrôle dispose d’un pouvoir d’autorisation préalable et d’inspection. En France, le contrôle de l’ARCEP a été critiqué en 2019 par plusieurs associations (La Quadrature du Net, la Fédération FDN et Franciliens.net), qui estimaient qu’il repose largement sur les informations transmises par l’ANSSI elle-même.²⁹ Dans les deux cas, il s’agit d’un contrôle administratif et non judiciaire.

Deux traditions d’intelligence économique, une même jonction à construire. La France a puisé dans l’exemple japonais pour fonder sa politique d’intelligence économique : le rapport Martre de 1994 en faisait une référence, sans le présenter comme un modèle à transposer, et le rapport Carayon de 2003, remis au Premier ministre, a contribué à en faire une politique publique.^5,30 Dans les deux pays, pourtant, le partage d’informations sur les cybermenaces s’est construit par des textes distincts de cette tradition : lois de programmation militaire en France, loi-cadre de 2025 au Japon. Faire converger l’intelligence économique, attentive aux dépendances et aux acteurs, et le renseignement cyber, attentif aux indicateurs techniques, reste un chantier commun.

La France est en retard sur le périmètre. Le dispositif japonais est étroit (258 opérateurs), mais il est en vigueur. Le dispositif français prévu par NIS2 est beaucoup plus large (environ 15 000 entités), mais il n’était pas encore adopté début octobre 2026, deux ans après la date limite européenne du 17 octobre 2024.^13,4 Le blocage porte sur une question sans lien direct avec la résilience des infrastructures : l’accès des services de renseignement aux messageries chiffrées.²³

La menace et le partage d’informations vus de France

Le panorama de la cybermenace publié par l’ANSSI en mars 2026 fait état de 3 586 événements de sécurité traités en 2025, soit 18 % de moins qu’en 2024, dont 1 366 incidents.³¹ L’agence y décrit une menace étatique principalement russe et chinoise, orientée vers l’espionnage et le pré-positionnement dans les infrastructures critiques, ainsi qu’un brouillage croissant entre acteurs étatiques et criminels. Ces chiffres ne sont pas comparables aux statistiques japonaises de paquets : ils mesurent des événements qualifiés par une agence, et non du trafic reçu par des capteurs. Ils confirment en revanche une menace de même nature dans les deux pays.

Pour la périphérie du périmètre réglementé, la France dispose d’un outil que le Japon n’a pas mis en avant : depuis 2022, l’ANSSI a soutenu, avec un million d’euros par région volontaire dans le cadre du plan France Relance, la création de centres régionaux de réponse aux incidents. Ils assistent les entreprises, les collectivités et les associations locales touchées par une cyberattaque et les orientent vers les acteurs compétents.³² Ce réseau ne résout pas la question de la réciprocité, mais il montre qu’un dispositif peut viser les acteurs situés hors du périmètre légal. Le retour d’information de l’État vers les entités régulées reste, en revanche, peu documenté publiquement dans les deux pays.

Une réforme inscrite dans des alliances

Les États-Unis. La réforme japonaise répond aussi à une pression américaine. Selon une enquête du Washington Post publiée en août 2023, l’Agence nationale de sécurité américaine avait découvert fin 2020 que des pirates liés à l’armée chinoise disposaient d’un accès profond et durable aux réseaux de défense japonais. Tokyo aurait alors décliné l’aide du commandement cyber américain pour nettoyer ses systèmes.⁶ Ces faits, rapportés par la presse, n’ont pas été confirmés en détail par le gouvernement japonais. Ils éclairent néanmoins l’enjeu : la crédibilité du Japon comme partenaire de renseignement dépend de la sécurité de ses propres réseaux.

La France. Le Japon et la France tiennent des consultations bilatérales sur la cybersécurité : la sixième session s’est tenue à Tokyo en juillet 2022, la septième à Paris en novembre 2023, avec au programme les stratégies nationales, la coopération multilatérale et le renforcement des capacités.^33,34 Aucune session postérieure n’a pu être identifiée dans les sources publiques consultées. L’entrée en vigueur de la cyberdéfense active offre un sujet concret à une prochaine session : l’échange d’indicateurs techniques entre le Bureau national de cybersécurité japonais et l’ANSSI.

L’Union européenne. La comparaison entre un État et un autre est en partie trompeuse. Le Japon agit par une loi nationale, alors que la France agit de plus en plus dans un cadre européen : la directive NIS2 pour les entités régulées, et le règlement sur la cyberrésilience pour les fabricants de produits numériques, dont les obligations de signalement s’appliquent depuis le 11 septembre 2026.^7,20 Face au Japon, l’interlocuteur pertinent est donc souvent l’Union européenne autant que la France.

Dans la même série

Cyberdéfense active au Japon : une loi qui pose les fondations juridiques du renseignement partagé
Japon et France : deux chemins vers une cyberdéfense active (vous lisez cet article)
Japon et France : les angles morts partagés de la cyberdéfense
Regard de terrain : l’évolution du cadre de sécurité économique au Japon (à paraître)

Sources

Bureau national de cybersécurité et Bureau du Cabinet, note sur l’entrée en vigueur, septembre 2026 (en japonais) : cao.go.jp
Recorded Future, Insikt Group, Japan Adopts Proactive Cyber Defense Strategy, rapport CTA-2026-1008, 8 octobre 2026 (diffusion libre), recordedfuture.com (version PDF : assets.recordedfuture.com)
ARCEP, avis n° 2023-0542 du 9 mars 2023 sur le projet de loi de programmation militaire 2024-2030 : arcep.fr
Next, inscription du projet de loi Résilience à l’ordre du jour de l’Assemblée nationale, article du 22 septembre 2026 mis à jour le 6 octobre 2026 (report de l’examen) : next.ink
Henri Martre (président du groupe), Intelligence économique et stratégie des entreprises, Commissariat général du Plan, La Documentation française, février 1994 : vie-publique.fr
Engadget, reprise de l’enquête du Washington Post sur l’intrusion chinoise dans les réseaux de défense japonais, 7 août 2023 : engadget.com
Commission européenne, obligations de signalement du règlement sur la cyberrésilience : digital-strategy.ec.europa.eu
Secrétariat du Cabinet, Stratégie de sécurité nationale, 16 décembre 2022 (en japonais) : cas.go.jp
Jiji Press via Nippon.com, adoption de la nouvelle stratégie de cybersécurité, 23 décembre 2025 : nippon.com
Gouvernement, publication de la Revue nationale stratégique 2025, 14 juillet 2025 : info.gouv.fr
Secrétariat général de la défense et de la sécurité nationale, Revue nationale stratégique 2022 (objectif stratégique n° 4 : une résilience cyber de premier rang) : sgdsn.gouv.fr
ARCEP, avis n° 2018-0101 sur le projet de loi de programmation militaire 2019-2025 : arcep.fr
Commission supérieure du numérique et des postes, communiqué du 18 mars 2026 (document hébergé par Next) : next.ink
ANSSI, note sur le décret d’application de l’article 34 de la loi de programmation militaire 2019-2025 (copie archivée par le Cyber Policy Portal) : cyberpolicyportal.org
ARCEP, avis n° 2024-0369 sur le décret d’application des mesures cyber de la loi de programmation militaire 2024-2030 : arcep.fr
Assemblée nationale, étude d’impact du projet de loi n° 1033, articles 32 à 35 : assemblee-nationale.fr
Ministère des Armées, Commandement de la cyberdéfense, éléments publics de doctrine militaire de lutte informatique offensive, janvier 2019 : defense.gouv.fr
Issoh, présentation de la commission de contrôle des données de communication (en japonais) : issoh.co.jp
ANSSI, foire aux questions sur le décret d’application des mesures cyber de la loi de programmation militaire 2024-2030, avril 2024 : cyber.gouv.fr
Jones Day, « EU Cyber Resilience Act: 24-hour reporting duties start September 11, 2026 », juillet 2026 : jonesday.com
Sénat, rapport d’information sur le volet cyber du projet de loi de programmation militaire 2024-2030 : senat.fr
Agence du numérique, conférence de presse du ministre chargé de la cybersécurité, 20 juin 2025 (en japonais) : digital.go.jp
LCP, « Cybersécurité : pourquoi la France a-t-elle autant tardé », 4 octobre 2026 : lcp.fr
Next, adoption du projet de loi Résilience en commission spéciale, 11 septembre 2025 : next.ink
Next, publication par l’ANSSI de son référentiel de conformité (ReCyF), 19 mars 2026 : next.ink
Commission européenne, « La Commission saisit la Cour de justice d’un recours contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de transposition des règles en matière de cybersécurité », 8 juillet 2026 : digital-strategy.ec.europa.eu
Loi n° 2026-791 du 16 août 2026 actualisant la programmation militaire (copie publiée par la Fédération hospitalière de France) : fhf.fr
Leto, « NIS 2 : l’Assemblée nationale reporte de nouveau l’examen du projet de loi Résilience, sans nouvelle date », octobre 2026 : leto.legal
Next, recours d’associations devant le Conseil d’État contre le décret d’application de la loi de programmation militaire 2019-2025, 27 février 2019 : next.ink
Bernard Carayon, Intelligence économique, compétitivité et cohésion sociale, rapport au Premier ministre, 2003 : vie-publique.fr
ANSSI, « Panorama de la cybermenace 2025 », 11 mars 2026 : cyber.gouv.fr
ANSSI, communiqué sur la création des centres régionaux de réponse aux incidents, 11 janvier 2022 : cyber.gouv.fr
Ministère japonais des Affaires étrangères, sixièmes consultations bilatérales Japon-France sur la cybersécurité, 7 juillet 2022 : mofa.go.jp
Ministère japonais des Affaires étrangères, septièmes consultations bilatérales Japon-France sur la cybersécurité, 21 novembre 2023 : mofa.go.jp
Assemblée nationale, projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat, n° 1112, enregistré le 13 mars 2025 : assemblee-nationale.fr

Les analyses et opinions exprimées dans cet article n’engagent que leur auteur et ne reflètent pas nécessairement la position de l’Institut des hautes études de la défense nationale.