26_INT_155 - Interpellation Didier Lohri - Cyberattaque visant la plateforme de support de la DGEP : gouvernance informatique et rôle de la DGNSI dans l'enseignement obligatoire et postobligatoire.

Séance du Grand Conseil du mardi 3 novembre 2026, point 2.6 de l'ordre du jour

Texte déposé

Le lundi 26 octobre 2026, les services de l'État ont détecté un accès non autorisé à la plateforme de support informatique de la Direction générale de l'enseignement postobligatoire (DGEP). Les noms, prénoms et adresses électroniques scolaires d'environ 41'500 élèves et enseignants ont été copiés, ainsi que le contenu de demandes d'assistance. Le communiqué officiel n'a été publié que cinq jours plus tard, le samedi 31 octobre.

Au-delà de l'incident lui-même, cette affaire pose la question de la coexistence d'environnements informatiques, d'annuaires d'identité et de budgets en marge du périmètre de la Direction générale du numérique et des systèmes d'information (DGNSI). Cette problématique concerne aussi l'enseignement obligatoire.

À titre d'exemple, le portail IAM cantonal « Accès Internet sécurisé » propose, à côté de l'authentification cantonale, une connexion par edu-vd pour la DGEO et une connexion par eduvaud pour la DGEP (constat du 1er novembre 2026). Cette dernière est réservée aux enseignants de six établissements seulement.

Une telle dispersion multiplie les points d'entrée, fragmente les responsabilités et rend plus difficile l'application de standards de sécurité homogènes à l'échelle de l'État.

Afin d'obtenir des clarifications techniques, budgétaires et organisationnelles, le soussigné a l'honneur de poser les questions suivantes au Conseil d'Etat :

1. Plateforme compromise : la plateforme de support visée était-elle exploitée par la DGEP de manière autonome avec pare-feu ou relevait-elle du périmètre de la DGNSI ?
2. Annuaires d'identité : pour quelles raisons l'État maintient-il trois sources d'identité distinctes (authentification cantonale, edu-vd et eduvaud), dont l'une, eduvaud, n'est ouverte sur le portail IAM cantonal qu'aux enseignants de six établissements de la DGEP ?
3. Standards de sécurité : les environnements gérés par la DGEP et la DGEO sont-ils soumis aux mêmes exigences que ceux de la DGNSI (authentification multifacteur, surveillance des connexions, audits réguliers) ?
4. Budgets hors périmètre : quel est le montant global consacré et ventilé par direction générale DGEP et DGEO, à des acquisitions informatiques effectuées sans validation de la DGNSI entre 2023 et 2025 ?
5. Logiciels hors catalogue : combien de logiciels ou de services en cloud, classés par type, la DGEP et la DGEO exploitent-elles en dehors du catalogue validé par la DGNSI ?
6. Centralisation : dans un souci de sécurité et d'efficience, le Conseil d'Etat entend-il soumettre l'ensemble des acquisitions, des infrastructures et des annuaires informatiques de la DGEP et de la DGEO à l'autorité de la DGNSI ?

Bassins, le 1^er novembre 2026

Conclusion

Souhaite développer