Cet automne, les députés se pencheront sur un projet de loi de “résilience en cybersécurité” présenté comme une réponse à la massification des attaques. Derrière ce texte, un constat s’impose : la cybersécurité et plus largement la souveraineté numérique ne sont plus des questions techniques réservées aux experts, mais des enjeux de sécurité nationale. Chaque dépendance technologique, qu’il s’agisse du Cloud, du chiffrement ou des outils de cybersécurité, devient une vulnérabilité stratégique. Une réalité que les tensions croissantes avec l’Amérique de Trump rendent plus criante que jamais.
Un paradoxe européen : proclamer l'autonomie, cultiver la dépendance
Malgré cette vigilance nouvelle, l'Europe reste loin du compte. Les champions américains disposent de marchés domestiques immenses et de budgets colossaux. Les acteurs israéliens, eux, bénéficient d'un soutien public et militaire unique qui a fait émerger un écosystème de startups reconnu mondialement en cybersécurité.
Plutôt que d’unir leurs efforts, les États européens persistent à développer chacun leurs propres « champions nationaux ». Un cloud souverain ici, une messagerie sécurisée là, un service SOC ailleurs. Cette fragmentation produit des solutions redondantes, incapables de dépasser leurs frontières nationales, face à des concurrents qui disposent de budgets en milliards quand nos solutions souveraines doivent se contenter de dizaines de millions.
En cybersécurité, cette asymétrie de ressources se traduit immédiatement par un retard en recherche et développement, en attractivité des talents et en capacité de déploiement. Nos pépites finissent régulièrement rachetées par des groupes étrangers (Alsid par Tenable, Sqreen par Datadog, Vade par Hornetsecurity… puis Proofpoint) privant l’Europe des compétences nécessaires à son autonomie. En multipliant les initiatives locales, qu’il s’agisse du cloud souverain en France, des data spaces en Allemagne ou des SOC en Espagne, les États ne bâtissent pas un marché commun, mais un millefeuille de solutions incapables de franchir les frontières.
Cette dispersion est d’autant plus préoccupante que la menace est mondiale. Les pressions extérieures s’accentuent : les États-Unis restreignent désormais l’exportation de processeurs indispensables à l’intelligence artificielle et des plateformes comme Meta modifient unilatéralement leurs politiques, avec des impacts immédiats pour les entreprises européennes.
À cela s’ajoutent deux freins souvent sous-estimés : le lobbying massif des grands fournisseurs étrangers et la méconnaissance technique de nombreux décideurs publics. Ces deux facteurs conduisent à des arbitrages parfois déconnectés des réalités opérationnelles.
Par exemple, dans la commande publique, le recours à des cadres contractuels obsolètes, comme le cahier des clauses administratives générales (CCAG-TIC), document de référence pour les marchés publics informatiques dont près de 40 % des articles sont inadaptés aux spécificités du cloud, peut écarter de facto des solutions souveraines, malgré leur adéquation technique et juridique. Cette méconnaissance technique du marché conduit à privilégier sans le savoir des acteurs étrangers dominants.
Construire un projet collectif
Trop souvent, elles choisissent les solutions les plus matures comme AWS ou Google Cloud et relèguent les offres européennes au second plan. On l’a vu avec plusieurs projets publics et privés sensibles confiés à ces hyperscalers étrangers, alors même que des solutions françaises viables existaient. Or sans marché, il n’y aura jamais de souveraineté.
Il serait toutefois irresponsable de demander aux entreprises de renoncer aux solutions les plus performantes disponibles aujourd’hui. La continuité de leurs activités impose qu’elles s’équipent des outils les plus efficaces, même lorsqu’ils ne sont pas européens. Mais cette exigence de sécurité immédiate ne doit pas empêcher une stratégie de long terme.
Les entreprises ont un rôle clé à jouer en ouvrant progressivement un espace aux solutions locales, d’abord dans des environnements moins critiques, afin de leur permettre de grandir et de devenir demain de véritables alternatives. Cette responsabilité suppose aussi d’intégrer dès aujourd’hui dans les contrats des clauses de réversibilité, pour éviter que les choix dictés par l’urgence ne se transforment en dépendances structurelles.
La souveraineté ne se décidera pas d'un coup, elle doit se bâtir pas à pas. Les financements européens doivent se concentrer sur quelques champions capables d'atteindre une taille mondiale, quitte à ce qu'ils ne soient pas tous français. L'entrée en vigueur du Cyber Resilience Act crée une opportunité unique d'unifier le marché. Mais rien ne sera possible sans un projet collectif où l'État fixe le cap, l'Europe mutualise ses forces, et les entreprises assument leur part de responsabilité.
