Souveraineté numérique et cybersécurité : de la prise de conscience à l'action

AVIS D’EXPERT

Longtemps cantonnée aux cercles d'experts, la souveraineté numérique s'est imposée en quelques années comme une préoccupation stratégique majeure pour les directions informatiques. Le rapport du Cigref publié en février 2025 révèle ainsi que près des deux tiers des DSI considèrent désormais ce sujet comme prioritaire. Une évolution qui traduit une réalité de plus en plus tangible : nos infrastructures numériques, nos données et une partie de nos capacités d'innovation reposent largement sur des technologies développées et opérées hors d'Europe. Dès lors, une question s'impose : comment préserver la performance et la sécurité des systèmes d'information tout en renforçant leur autonomie ?  

Le numérique n'échappe plus aux rapports de force internationaux. Les rivalités entre les États-Unis, la Chine, la Russie et l'Union européenne redessinent progressivement les équilibres technologiques mondiaux. Dans le même temps, les cyberattaques se multiplient et gagnent en sophistication. Ransomwares, attaques par déni de service distribué (DDoS), campagnes d'espionnage ou de déstabilisation : les infrastructures critiques sont devenues des cibles privilégiées. Chaque incident rappelle à quel point la maîtrise des infrastructures numériques constitue désormais un enjeu de sécurité autant qu'un enjeu économique.  

Ces risques sont multiples et bien documentés. Selon une étude du Cigref menée en 2025, 80 % des dépenses liées aux logiciels et services cloud en Europe sont réalisées auprès d'acteurs américains, ce qui expose les organisations à des vulnérabilités structurelles. La hausse des coûts de licence et d'infrastructure pèse par ailleurs sur les budgets, avec une inflation estimée à 5 à 10 % par an pour les solutions cloud et logicielles étrangères.  

La question de la confidentialité constitue un autre sujet majeur. Lorsque des données transitent ou sont hébergées par des acteurs soumis à des législations extraterritoriales, elles peuvent potentiellement faire l'objet de demandes d'accès émanant d'autorités étrangères. Le Cloud Act américain illustre parfaitement cette problématique. Il permet aux autorités des États-Unis de solliciter l'accès à certaines données détenues par des entreprises américaines, y compris lorsque celles-ci sont stockées en dehors du territoire américain.  

Cette réalité concerne également certains services de cybersécurité. Dans le cadre de la protection contre les attaques DDoS, par exemple, les centres de nettoyage du trafic analysent les flux afin d'identifier et d'éliminer le trafic malveillant. Même lorsqu'aucune donnée n'est conservée durablement, des métadonnées ou certaines informations applicatives peuvent être exposées selon les architectures mises en œuvre et le niveau de chiffrement utilisé. À cela s'ajoute une préoccupation émergente : le scénario du « harvest now, decrypt later ». Des données interceptées aujourd'hui pourraient être conservées puis déchiffrées ultérieurement lorsque les capacités de calcul, notamment quantiques, permettront de contourner les mécanismes cryptographiques actuels.  

Au-delà des enjeux techniques, les organisations doivent désormais intégrer un risque plus politique : celui d'une interruption ou d'une restriction d'accès à des services numériques sous l'effet de décisions gouvernementales. Les récents différends entre l'administration américaine et certains acteurs de l'intelligence artificielle comme Anthropic ont montré que des considérations stratégiques ou de sécurité nationale pouvaient influencer l'accès à certaines technologies. De même, la suspension en 2025 du compte Microsoft du procureur de la Cour pénale internationale à la suite de sanctions américaines a illustré de manière concrète l'impact potentiel de décisions politiques sur l'accès à des services numériques essentiels. Ces situations rappellent qu'une dépendance technologique peut rapidement devenir une dépendance opérationnelle.