La loi de programmation militaire 2024-2030 : la France face à un monde instable

Une loi née du retour de la guerre de haute intensité en Europe

Promulguée le 1^er août 2023, la loi de programmation militaire (LPM) 2024-2030 constitue la quatorzième loi de ce type depuis la création de cet exercice budgétaire et stratégique. Elle remplace par anticipation la précédente LPM, qui devait courir jusqu’en 2025 : un choix directement motivé par le retour de la guerre de haute intensité en Europe après l’agression russe contre l’Ukraine. Le texte s’appuie sur la Revue nationale stratégique de novembre 2022 et poursuit un triple objectif : garantir l’autonomie stratégique de la France, honorer ses engagements au sein de l’OTAN et de l’Union européenne, affirmer son rôle de « puissance d’équilibres » sur la scène internationale.

Un effort budgétaire inédit

La LPM prévoit, dans sa version initiale, une enveloppe de 413,3 milliards d’euros sur la période 2024-2030, dont 400 milliards de crédits budgétaires pour la mission « Défense » et 13,3 milliards de ressources complémentaires : une hausse d’environ 100 milliards d’euros par rapport à la LPM précédente, avec l’objectif de porter l’effort national de défense à 2 % du PIB à compter de 2025.

Les priorités affichées reflètent les enseignements tirés du conflit ukrainien : renforcement des stocks de munitions, modernisation du maintien en condition opérationnelle des matériels, doublement du nombre de réservistes, ainsi que des investissements marqués dans les « nouveaux champs de conflictualité » que sont l’espace, le cyber et les fonds marins. La loi prévoit aussi la construction d’un successeur au porte-avions Charles de Gaulle et le maintien de la crédibilité de la dissuasion nucléaire, pilier historique de la doctrine de défense française.

Côté effectifs : la réserve opérationnelle, qui comptait environ 40 000 volontaires fin 2023, doit doubler pour atteindre 80 000 réservistes en 2030 — ce qui porte à 290 000 le total des militaires visé pour cette échéance (210 000 d’active et 80 000 réservistes). Un palier supplémentaire est fixé à l’horizon 2035, avec 105 000 réservistes visés, pour atteindre l’objectif d’un réserviste pour deux militaires d’active.

Au-delà des chiffres, le texte comporte de nombreuses dispositions normatives : renforcement du lien entre la Nation et ses armées, amélioration des conditions de vie des militaires et de leurs familles, implication accrue de la société civile dans la protection du territoire.

Un texte revu par le Conseil constitutionnel

Adoptée définitivement par le Parlement le 13 juillet 2023, la loi a fait l’objet d’une saisine du Conseil constitutionnel par plus de soixante députés, qui contestaient la procédure d’adoption de trois articles (17, 22 et 45). Dans sa décision n° 2023-854 DC du 28 juillet 2023, le Conseil a jugé l’article 22 conforme à la Constitution, mais a censuré (déclaré non conforme) les articles 17 et 45 pour vice de procédure. Il a par ailleurs relevé d’office, comme « cavaliers législatifs » (des dispositions sans lien, même indirect, avec le projet de loi initial) neuf autres articles (14, 20, 36, 46, 48, 50, 52, 59 et 69). Au total, onze articles ont ainsi été déclarés contraires à la Constitution avant que le texte, ainsi expurgé, ne soit promulgué le 1^er août 2023.

Une actualisation accélérée par la dégradation du contexte stratégique

L’article 8 de la LPM prévoyait sa propre actualisation avant la fin de l’année 2027. Le calendrier s’est en réalité accéléré : dans son discours aux armées du 13 juillet 2025, le président de la République annonce une actualisation dès l’automne, sur la base d’une Revue nationale stratégique actualisée, publiée le 14 juillet 2025, qui vient compléter celle de 2022.

Présenté en Conseil des ministres le 8 avril 2026 par la ministre des Armées Catherine Vautrin, le projet de loi d’actualisation est adopté par le Parlement le 1^er juillet 2026, validé sans censure ni réserve par le Conseil constitutionnel le 6 août, puis promulgué le 16 août 2026 (loi n° 2026-791). Il ajoute 36 milliards d’euros à la trajectoire budgétaire pour la période 2026-2030, dont 10 milliards dès 2026-2027, portant les crédits de la mission « Défense » à environ 436 milliards d’euros sur l’ensemble de la période 2024-2030.

Ce texte crée par ailleurs un « état d’alerte de sécurité nationale », un régime intermédiaire entre le droit commun et les régimes d’exception existants (état d’urgence, état de siège). Déclenchable par décret en conseil des ministres en cas de menace grave et actuelle, pour une durée initiale de deux mois, il vise à accélérer les décisions et à permettre, le cas échéant, des dérogations aux normes environnementales, urbanistiques ou de commande publique, ainsi que la réquisition de moyens civils, logistiques, sanitaires ou industriels. Plusieurs groupes parlementaires ont critiqué des critères de déclenchement jugés trop larges et un contrôle parlementaire limité. Le Conseil constitutionnel a validé le dispositif sans réserve.

Comprendre le volet cyber : quelques repères

Avant d’entrer dans le détail des mesures, il est utile de rappeler quelques notions clés : la LPM ne s’adresse pas qu’aux armées, et une partie de son volet cyber concerne directement des acteurs civils, y compris des entreprises privées.

• L’ANSSI (Agence nationale de la sécurité des systèmes d’information) est l’autorité française chargée de la cybersécurité des administrations et des infrastructures critiques. Elle reçoit les signalements d’incidents et pilote la réponse aux crises cyber majeures.
• Les OIV (opérateurs d’importance vitale) rassemblent environ 300 entités, réparties dans douze secteurs (énergie, santé, transports, finance, communications électroniques, etc.), dont l’arrêt de fonctionnement menacerait gravement la vie de la Nation. Ils sont soumis à des obligations de sécurité renforcées : audits réguliers par des prestataires qualifiés (PASSI), sondes de détection qualifiées (PDIS), déclaration obligatoire des incidents.
• Les SIIV (systèmes d’information d’importance vitale) désignent, au sein d’un OIV, les systèmes les plus critiques, soumis au socle de règles le plus exigeant : cloisonnement strict, gestion rigoureuse des accès, maintien en condition de sécurité.
• La directive européenne NIS2, entrée en application en 2024, élargit ces logiques d’obligations bien au-delà des seuls OIV, pour couvrir un spectre beaucoup plus large d’entreprises. La France articule sa transposition de NIS2 avec le socle déjà posé par la LPM, les deux textes partageant des exigences proches (notification d’incidents, gestion des risques, sécurisation de la chaîne d’approvisionnement).

Cette architecture explique pourquoi une loi de défense, en apparence tournée vers les armées, produit des effets concrets sur la conformité numérique d’entreprises qui n’ont, a priori, rien de militaire.

Ce que change concrètement la LPM pour la cybersécurité

Un volet cyber resserré mais stratégique

Le rapport annexé à la LPM 2024-2030 initiale flèche 4 milliards d’euros pour la cyberdéfense, destinés à augmenter les effectifs, moderniser les capacités techniques, accompagner les entreprises du secteur de la défense et permettre aux armées d’appuyer l’ANSSI en cas de crise cyber majeure. Le volet normatif, lui, tient en quelques articles seulement, mais leur portée est significative : ils donnent à l’ANSSI de nouveaux pouvoirs de détection, de caractérisation et de remédiation face aux cyberattaques.

De nouvelles obligations pour les éditeurs de logiciels

L’article 66 de la loi, codifié à l’article L. 2321-4-1 du Code de la Défense, crée une obligation directe pour les éditeurs de logiciels distribuant leurs produits en France (y compris les éditeurs SaaS établis à l’étranger). En cas de vulnérabilité significative ou d’incident affectant la sécurité d’un de leurs produits, ils doivent le notifier à l’ANSSI, accompagné d’une analyse des causes et des conséquences. L’ANSSI fixe ensuite le délai dans lequel l’éditeur doit informer ses utilisateurs ; à défaut, l’Agence peut se substituer à lui pour les alerter, voire rendre publique l’absence de mise en conformité, dans une logique de « name and shame » qui vise à responsabiliser des éditeurs jusque-là peu contraints sur ce terrain.

Des pouvoirs élargis pour détecter et neutraliser les attaques

D’autres dispositions, précisées par le décret n° 2024‑421 du 10 mai 2024, ayant fait l’objet d’une consultation publique de l’ANSSI, mobilisent les hébergeurs, fournisseurs d’accès à Internet, bureaux d’enregistrement de noms de domaine et opérateurs de centres de données. L’ANSSI peut désormais leur imposer des mesures de filtrage ou de blocage de noms de domaine malveillants, obtenir certaines données techniques de connexion pour mieux identifier les attaquants et installer des dispositifs de détection chez les OIV et les opérateurs de services essentiels (OSE), ainsi que chez leurs sous-traitants et hébergeurs.

Ce dernier point a nourri la controverse. Pour certains acteurs du numérique, l’élargissement du périmètre de surveillance, combiné à la suppression de l’assermentation préalable des agents de l’ANSSI, marque un déplacement sensible de l’équilibre entre impératifs de sécurité et protection des libertés. Le Conseil d’État a néanmoins estimé que le dispositif restait proportionné à l’objectif de sauvegarde des intérêts fondamentaux de la Nation.

Ce que cela signifie pour les entreprises

Pour une entreprise qui n’est ni éditeur de logiciel ni OIV, l’impact direct de la LPM reste limité. Mais le texte s’inscrit dans une dynamique plus large, renforcée par NIS2, où la notification rapide des incidents, la sécurisation de la chaîne de sous-traitance et la traçabilité des vulnérabilités deviennent des standards attendus, y compris par les clients et partenaires commerciaux. Les organisations qui accompagnent des OIV ou des donneurs d’ordre sensibles ont donc intérêt à anticiper ces exigences plutôt qu’à les découvrir au moment d’un audit.

Concrètement, ces obligations rejoignent ce que pilote déjà une démarche de gestion intégrée des risques (IRM) : cartographier les systèmes et prestataires critiques, documenter les procédures de notification d’incident, tracer les vulnérabilités et les actions correctives, être en mesure d’en apporter la preuve lors d’un audit ou d’un contrôle. 

Pour les directions qui pilotent déjà ces sujets, l’enjeu n’est donc pas de traiter la LPM comme un texte isolé, mais de l’intégrer dans une cartographie réglementaire plus large, aux côtés de NIS2 : faire dialoguer les référentiels entre eux plutôt que de les gérer en silos.