Donald Trump baisse de 10 % le budget cybersécurité des Etats-Unis

Le projet de loi fiscale de Donald Trump, qu'il a signé le 4 juillet, contenait quelques éléments de financement cybersécurité dignes d'intérêt, notamment 250 M$ destinés à l'US Cyber Command pour des « efforts en matière d'intelligence artificielle ». Mais le prochain défi de financement de l'administration, le plus important, consistera à faire passer la demande de budget discrétionnaire de la Maison Blanche pour l'exercice 2026 à la Chambre des représentants et au Sénat, une tâche qui doit être achevée avant la fin de l'exercice 2025 du gouvernement fédéral, le 30 septembre. Cette année, fait sans précédent pour la Maison Blanche, la demande de budget de M. Trump appelle à une réduction des dépenses de cybersécurité dans les agences fédérales, ce qui représente une réduction de 1,23 Md$, soit une baisse de 10 % des dépenses de cybersécurité pour 2026 par rapport aux niveaux de 2024. De plus, les chiffres de l'administration montrent que la Maison Blanche a déjà réduit de 300 millions de dollars les dépenses du gouvernement en matière de cybersécurité pour l'année fiscale en cours (2025). La Maison-Blanche souhaite réduire encore davantage les dépenses en matière de cybersécurité, de 7 % supplémentaires, l'année prochaine.

« C'est sans précédent », déclare à CSO Michael Daniel, directeur général de la Cyber Threat Alliance. « Nous n'avons pas non plus vu d'exemple de grande entreprise ayant agi de la sorte, et il est difficile d'affirmer que nous devions dépenser moins pour la cybersécurité, où que ce soit ». Les réductions des dépenses en matière de cybersécurité sont d'autant moins logiques que les coupes budgétaires proposées interviennent à un moment où les menaces de cybersécurité provenant d'adversaires criminels et d'États-nations augmentent, ce que l'administration de Donald Trump elle-même a noté à plusieurs reprises. « Ce budget reflète un manque de sérieux en matière de cybersécurité », explique à CSO Mark Montgomery, directeur principal du Center on Cyber and Technology Innovation à la Foundation for the Defense of Democracies. « La rhétorique de l'administration est forte, mais ses ressources sont faibles. Il n'y a pas eu d'évolution de la menace qui justifierait cette réduction des ressources. »

De 2017 à 2024, les agences civiles du gouvernement américain ont dépensé plus pour la cybersécurité chaque année successive qu'elles ne l'avaient fait l'année précédente. NB : Les chiffres pour 2024, 2025 et 2026 reflètent les ajustements effectués par Donald Trump. (crédit : White House)

Une inversion de la tendance des dépenses en cybersécurité

Les coupes budgétaires de l'administration en matière de cybersécurité ne sont pas uniformément réparties entre les agences fédérales. En fait, selon les tableaux croisés publiés par l'administration Trump, certaines agences bénéficient d'une augmentation de leur financement pour la cybersécurité, comme le montre le tableau ci-dessous.

Estimation des dépenses en cybersécurité des agences civiles qui s'en sortent le mieux. (crédit : Cynthia Brumfield / CSO)

D'autres agences gouvernementales subissent d'importantes coupes budgétaires dans le domaine de la cybersécurité, certaines d'entre elles devant même voir leur budget cybernétique réduit à néant, comme l'indique le tableau ci-dessous.

Estimation des dépenses en cybersécurité des agences civiles qui s'en sortent le moins. (crédit : Cynthia Brumfield / CSO)

En l'absence d'explications ou de précisions sur ce qui motive les chiffres du budget cybersécurité, il est difficile de dire si les augmentations ou les diminutions reflètent des besoins de financement légitimes ou des gains d'efficacité.

Amélie Koran, RSSI et ancienne responsable gouvernementale de la cybersécurité, pense que le budget de l'administration est fortement influencé par le Projet 2025 de la Heritage Foundation, un supposé plan directeur que Trump a sporadiquement suivi jusqu'à présent dans son administration. Le projet 2025 a une vision négative de la science en général et affirme que certaines des innovations technologiques commerciales proposées par la NSF étaient « peu judicieuses ». « Si l'on considère que la Fondation nationale pour la science a été réduite à zéro, l'idée de ne pas y consacrer d'argent est en quelque sorte un signal », explique M. Koran à l'OSC. "Nous ne voulons pas de vous en tant qu'agence. Toutefois, il est possible que l'administration n'ait pas vraiment réfléchi ou analysé le budget cybersécurité. Si l'on considère la manière dont cette administration a procédé aux réductions, je n'emploierais pas les mots « stratégique » ou « réfléchi »", déclare Daniel, de la Cyber Threat Alliance.

« Cela correspond à l'approche philosophique selon laquelle nous voulons simplement réduire les activités du gouvernement fédéral », ajoute-t-il. « Il serait erroné d'y associer un plan stratégique plus vaste, ne serait-ce que parce qu'il n'y a pas eu beaucoup de personnes chargées de la cybersécurité en place depuis suffisamment longtemps pour gérer le budget. » Munish Walther-Puri, ancien directeur du risque cyber au centre de commandement cyber de la ville de New York et aujourd'hui membre de la faculté du Center for Global Affairs de l'université de New York, pense que, d'un point de vue plus général, le budget reflète la priorité que l'administration accorde à la gestion des risques de cybersécurité. « Si vous voulez savoir comment une organisation pense à son propre risque, regardez où elle alloue ses ressources », explique Walther-Puri à CSO. "Si nous déplaçons la conversation sur ce point, il s'agit moins de savoir si l'on dépense moins d'argent pour la cybersécurité que de savoir comment on envisage la cybersécurité dans le cadre de la gestion des risques du gouvernement fédéral.

Une opportunité pour les cybercriminels

En l'absence d'une stratégie cybersécurité claire, une autre incertitude concernant le budget est ce qu'il pourrait faire au niveau de la sécurité du gouvernement fédéral. « Il ne fait aucun doute dans mon esprit que nous augmentons notre risque cybersécurité d'une manière difficilement quantifiable », déclare M. Daniel. « Si j'étais un État-nation adversaire, je me réjouirais de ce qui se passe au sein du gouvernement américain. La diminution du financement ne fera que l'alimenter. » M. Walther-Puri souligne que moins le gouvernement dépensera pour la cybersécurité, plus les acteurs de la menace seront tentés d'attaquer les États-Unis. « Cela pourrait modifier l'ordre de priorité de certains adversaires, qui seraient plus enclins à cibler des organisations ayant des contraintes connues en matière de budget ou de personnel. Pour les agences qui subissent des réductions budgétaires, même modestes, les effets d'entraînement sur les autres parties prenantes peuvent être considérables. » M. Montgomery, par exemple, s'inquiète de la suppression du budget cybernétique de la National Science Foundation, qui a fourni des ressources cybersécurité non seulement au gouvernement, mais aussi au secteur privé. « Je suis inquiet pour le programme de bourses de service de la NSF », déclare-t-il. "C'est grâce à lui que nous recrutons des personnes compétentes dans le domaine de la cybersécurité.

Il est aussi préoccupé de l'avenir de l'Institut national des normes et de la technologie (NIST), qui dépend du ministère du Commerce. Ce dernier est confronté à une réduction de 14 % de son budget pour 2026, et l'administration Trump a par ailleurs proposé de réduire le budget du NIST de 325 M$ pour 2026 parce qu'il a poursuivi selon lui un programme climatique radical. « Le NIST manquait de ressources même pendant l'administration Biden », déclare M. Montgomery. « Je dois m'inquiéter pour la division de cybersécurité du NIST, même si nous ne disposons pas encore de tous les faits. » Enfin, les coupes budgétaires fédérales dans le domaine de la cybersécurité pourraient créer des problèmes pour les États, les collectivités locales et d'autres entités qui dépendent des subventions fédérales pour la sécurité informatique. « L'un des aspects de la coupe transversale est qu'elle incorpore les dépenses liées à la cybersécurité des réseaux fédéraux eux-mêmes, ainsi que les programmes de sensibilisation et de subventions qui soutiennent les États et les collectivités locales », explique M. Daniel. « Cela aura un effet en aval pour ceux qui reçoivent des subventions fédérales », ajoute M. Koran. « Ce sont les budgets consacrés à la cybersécurité dans le cadre des programmes locaux et étatiques qui seront touchés de plein fouet. »

La difficile sanctuarisation des dépenses en cybersécurité

Alors que les différentes commissions du Congrès commencent à adopter leur propre budget, elles pourraient revenir sur certaines des réductions proposées par M. Trump. Par exemple, la commission de la sécurité intérieure de la Chambre des représentants a avancé son projet de loi de finances le 3 juin, allouant 2,74 Md$ à l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA), ce qui représente une réduction de 146 M$, soit une réduction de 5 % par rapport au budget 2025 de la CISA, ce qui est bien inférieur à la réduction de 500 M$ du budget de la CISA que M. Trump avait préconisée. M. Daniel craint toutefois que l'approche fragmentaire adoptée par la commission parlementaire soit aussi utilisée pour réduire les budgets. « Je ne suis pas surpris que la commission de la sécurité intérieure de la Chambre des représentants ait rétabli une partie des fonds de la CISA, car la cybersécurité reste une question relativement bipartisane », déclare-t-il. « Maintenant, la commission du commerce, de la justice et des sciences va-t-elle rétablir le financement de la NSF ? Ce que l'on va voir, c'est qu'une fois que la politique et les inclinations s'ajoutent à la cybersécurité, il va y avoir encore plus de fractures en termes d'absence d'approche stratégique de la gestion du financement de la cybersécurité. »

Ce qui pourrait aider, c'est de permettre à l'Office of the National Cyber Director, qui a maintenant un directeur confirmé en la personne de Sean Cairncross, et au chef de la CISA, qui n'a toujours pas confirmé son directeur désigné, Sean Plankey, de peser sur ces questions budgétaires. « Pour remédier à cette situation à long terme, il faut des dirigeants bureaucratiques compétents qui défendent efficacement les intérêts de la Commission dans le cadre du processus budgétaire. Sean Cairncross et Sean Plankey sont exactement ce genre de leaders », déclare M. Montgomery. M. Daniel est également d'accord, même s'il pense que les deux fonctionnaires devront encore faire face à des contraintes. « Si les dépenses diminuent de manière générale et que l'administration veut cibler des éléments de ce type, il est souvent difficile de protéger les dépenses en matière de cybersécurité », explique-t-il. Quoi qu'il en soit, M. Montgomery estime que la communauté de la cybersécurité ne devrait pas laisser passer ces baisses de financement. « Lorsque vous ne dépensez pas suffisamment pour la cybersécurité, les gens doivent vous le faire savoir », déclare-t-il. « Les ressources sont la politique, et un manque de mise en œuvre des ressources, avec un manque d'alignement des ressources, conduira à un manque de mise en œuvre de la politique. »