La loi de programmation militaire 2024-2030 : la France face à un monde instable

Une loi née d'un contexte géopolitique bouleversé

Promulguée le 1^er août 2023, la Loi de Programmation Militaire (LPM) 2024-2030 constitue la quatorzième loi de ce type depuis la création de cet exercice budgétaire et stratégique. Elle a remplacé par anticipation la précédente LPM, qui devait courir jusqu'en 2025, un choix directement motivé par le retour de la guerre de haute intensité en Europe après l'agression russe contre l'Ukraine. Le texte s'appuie sur la Revue nationale stratégique publiée en juillet 2025 et poursuit un triple objectif : garantir l'autonomie stratégique de la France, honorer ses engagements au sein de l'OTAN et de l'Union européenne, affirmer son rôle de « puissance d'équilibres » sur la scène internationale.

Un effort budgétaire inédit

Le texte initial prévoyait une enveloppe de 413,3 milliards d'euros sur la période 2024-2030, dont 400 milliards de crédits budgétaires pour la mission « Défense » et 13,3 milliards de ressources complémentaires. Cet effort représentait une hausse d'environ 100 milliards d'euros par rapport à la LPM précédente, avec l'objectif de porter l'effort national de défense à 2 % du PIB à compter de 2025.

Les priorités affichées reflétaient les enseignements tirés du conflit ukrainien : renforcement des stocks de munitions, modernisation du maintien en condition opérationnelle des matériels, doublement du nombre de réservistes opérationnels (pour atteindre 80 000 réservistes sur un total de 290 000 militaires), ainsi que des investissements marqués dans les « nouveaux champs de conflictualité » que sont l'espace, le cyber et les fonds marins. La loi prévoyait aussi la construction d'un successeur au porte-avions Charles de Gaulle et le maintien de la crédibilité de la dissuasion nucléaire, pilier historique de la doctrine de défense française.

Au-delà des chiffres, le texte comportait de nombreuses dispositions normatives : renforcement du lien entre la Nation et ses armées, amélioration des conditions de vie des militaires et de leurs familles, implication accrue de la société civile dans la protection du territoire.

Une validation partielle par le Conseil constitutionnel

Adoptée définitivement par le Parlement le 13 juillet 2023, la loi a fait l'objet d'une saisine du Conseil constitutionnel par plus de soixante députés. Dans sa décision du 28 juillet 2023, le Conseil a censuré plusieurs articles (14, 17, 20, 36, 45, 46, 48, 50, 52, 59 et 69), avant que le texte, ainsi expurgé, soit promulgué le 1^er août 2023.

Comprendre le volet cyber : quelques repères 

Avant d'entrer dans le détail des mesures, il est utile de rappeler quelques notions clés. La LPM ne s'adresse pas qu'aux armées, une partie de son volet cyber concerne directement des acteurs civils, y compris des entreprises privées.

• L'ANSSI (Agence nationale de la sécurité des systèmes d'information) est l'autorité française chargée de la cybersécurité des administrations et des infrastructures critiques. C'est elle qui reçoit les signalements d'incidents et pilote la réponse aux crises cyber majeures.
• Les OIV (opérateurs d'importance vitale) sont environ 300 entités, réparties dans douze secteurs (énergie, santé, transports, finance, communications électroniques, etc.), dont l'arrêt de fonctionnement menacerait gravement la vie de la Nation. Ils sont soumis à des obligations de sécurité renforcées : audits réguliers par des prestataires qualifiés (PASSI), sondes de détection qualifiées (PDIS), déclaration obligatoire des incidents.
• Les SIIV (systèmes d'information d'importance vitale) désignent, au sein d'un OIV, les systèmes les plus critiques, soumis au socle de règles le plus exigeant : cloisonnement strict, gestion rigoureuse des accès, maintien en condition de sécurité.
• La directive européenne NIS2, entrée en application en 2024, élargit ces logiques d'obligations bien au-delà des seuls OIV, pour couvrir un spectre beaucoup plus large d'entreprises. La France doit articuler sa transposition de NIS2 avec le socle déjà posé par la LPM, les deux textes partageant des exigences proches (notification d'incidents, gestion des risques, sécurisation de la chaîne d'approvisionnement).

Cette architecture explique pourquoi une loi de défense, en apparence tournée vers les armées, produit des effets concrets sur la conformité numérique d'entreprises qui n'ont, a priori, rien de militaire.

Ce que change concrètement la LPM pour la cybersécurité

Un volet cyber resserré mais stratégique

Le rapport annexé à la LPM 2024-2030 initiale flèche 4 milliards d'euros pour la cyberdéfense, destinés à augmenter les effectifs, moderniser les capacités techniques, accompagner les entreprises du secteur de la défense et permettre aux armées d'appuyer l'ANSSI en cas de crise cyber majeure. Le volet proprement normatif du texte, lui, tient en quelques articles seulement, mais leur portée est significative : ils donnent à l'ANSSI de nouveaux pouvoirs de détection, de caractérisation et de remédiation face aux cyberattaques.

De nouvelles obligations pour les éditeurs de logiciels

L'article 66 de la loi, codifié à l'article L. 2321-4-1 du Code de la Défense, crée une obligation directe pour les éditeurs de logiciels distribuant leurs produits en France, y compris les éditeurs SaaS établis à l'étranger : en cas de vulnérabilité significative ou d'incident affectant la sécurité d'un de leurs produits, ils doivent le notifier à l'ANSSI, accompagné d'une analyse des causes et des conséquences.

 Cette logique s’inscrit dans un mouvement plus large de renforcement de la cybersécurité des produits et services numériques au niveau européen, auquel se rattache également le Cyber Resilience Act (CRA), centré sur les exigences de sécurité applicables aux produits comportant des éléments numériques tout au long de leur cycle de vie. 

L'ANSSI fixe ensuite le délai dans lequel l'éditeur doit informer ses utilisateurs. À défaut, l'Agence peut se substituer à l'éditeur pour alerter les utilisateurs, voire rendre publique l'absence de mise en conformité (dans une logique de « name and shame » qui vise à responsabiliser des éditeurs jusque-là peu contraints sur ce terrain).

Des pouvoirs élargis pour détecter et neutraliser les attaques

D'autres dispositions, précisées par un décret ayant fait l'objet d'une consultation publique de l'ANSSI, mobilisent les hébergeurs, fournisseurs d'accès à Internet, bureaux d'enregistrement de noms de domaine et opérateurs de centres de données.

L'ANSSI peut désormais leur imposer des mesures de filtrage ou de blocage de noms de domaine malveillants, obtenir certaines données techniques de connexion pour mieux identifier les attaquants, et installer des dispositifs de détection (sondes) chez les opérateurs d'importance vitale (OIV) et les opérateurs de services essentiels (OSE), ainsi que chez leurs sous-traitants et hébergeurs.

Ce que cela signifie pour les entreprises

Pour une entreprise qui n'est ni éditeur de logiciel ni OIV, l'impact direct de la LPM reste limité. Mais le texte s'inscrit dans une dynamique plus large (renforcée par NIS2) où la notification rapide des incidents, la sécurisation de la chaîne de sous-traitance et la traçabilité des vulnérabilités deviennent des standards attendus, y compris par les clients et partenaires commerciaux. Les organisations qui accompagnent des OIV ou des donneurs d'ordre sensibles ont donc intérêt à anticiper ces exigences dans leurs propres pratiques de conformité numérique, plutôt que de les découvrir au moment d'un audit.

Cette trajectoire illustre une caractéristique devenue structurelle de la politique de défense française, où une programmation pensée pour définir un cap sur plusieurs années est constamment bousculée par l’accélération des tensions géopolitiques et la multiplication des menaces hybrides, cyber comprises.