French MP Philippe Latombe recently pressed ANSSI director Vincent Strubel on whether a single incident-reporting form could unite financial regulators (ACPR/AMF), ANSSI, and the CNIL data protection authority. Strubel warned that one-stop forms can become a “fig leaf,” masking deeper legal conflicts. Rather than leaning on “administrative plumbing,” he argued for harmonising EU law to resolve contradictory obligations at their source.

A unified DORA/NIS 2 notification is nonetheless on the way. Strubel considers the two frameworks compatible enough that a single document will not compromise the “speed needed to alert the cyber-firefighters before it’s too late.” Integrating GDPR, however, is far trickier. Divergences in deadlines, impact assessments, and notification sequences mean a “brutal merger” of forms would put companies in an “impossible situation,” forced to satisfy contradictory requirements in one filing.

Behind this exchange lies a fresh cooperation pact between ANSSI and the ACPR (the Banque de France’s supervisory arm). The accord sets out four strands of reinforced cybersecurity collaboration, prominently including “advanced penetration tests.” This offensive posture echoes Prime Minister Sébastien Lecornu’s recent call for state bodies to stress-test their own vulnerabilities during a visit to ANTS, which suffered a breach in mid-April. Lecornu also floated a project to merge the DINUM and DITP digital agencies. A previous ANSSI–ACPR agreement in 2018 only committed to regular information exchange, without detailing specific workstreams.

« Vers un formulaire commun de déclaration ACPR/AMF + ANSSI + CNIL ? [..] Les entreprises l’attendent. »

Le député Philippe Latombe a récemment interpellé, en ces mots, le directeur général de l’ANSSI Vincent Strubel.

L’intéressé a répondu se méfier des guichets ou formulaires uniques, qui « peuvent rapidement servir de cache-misère ». Si le droit européen crée des injonctions contradictoires, il faut l’harmoniser plutôt que de se reposer sur de la « tuyauterie administrative ».

Un formulaire commun DORA / NIS 2 est toutefois prévu. D’après Vincent Strubel, deux cadres sont suffisamment compatibles. De sorte qu’un document unique ne nuira pas à la « célérité nécessaire pour saisir les ‘cyberpompiers’ avant qu’il ne soit trop tard ».

L’articulation avec le RGPD est plus délicate, explique le DG de l’ANSSI. Qu’il s’agisse des délais, de l’analyse d’impact ou de la cinématique de notification, les exigences sont suffisamment différentes pour qu’une « fusion brutale » des guichets et formulaires « place les entreprises dans une situation impossible, en les obligeant à satisfaire dans une même notification plusieurs injonctions contradictoires ».

La cyber offensive, récemment entérinée par l’État

Toile de fond à cet échange : un accord entre l’ANSSI, la Banque de France et l’ACPR (institution intégrée à cette dernière). Il prévoit un renforcement de leur coopération SSI autour de quatre axes… dont les « tests d’intrusion avancés ».

Cette orientation fait écho aux propos récents de Sébastien Lecornu. En visite à l’ANTS, piratée mi-avril, le Premier ministre avait déclaré avoir appelé les services de l’État à tester leurs vulnérabilités. À cette même occasion, il avait évoqué un projet de fusion entre la DINUM et la DITP.

L’ANSSI et l’ACPR avaient déjà signé un accord du genre, en 2018. Elles n’en avaient pas détaillé les axes, expliquant simplement prévoir un « échange régulier d’informations ».

À consulter en complément :

Les régulateurs somment les banques de se barricader face à l’IA

NIS 2 en suspens : les RSSI attendent, le marché aussi

Bercy crée une Direction de l’IA et du numérique

L’AI Act doit-il être l’affaire des DPO ?

Souveraineté numérique : et si on recentrait le concept ?

Illustration générée par IA

The post ANSSI et ACPR coopèrent sur la cyber offensive appeared first on Silicon.fr.