Minutes

ÉRIC REVEL   Modérateur
« On va donc parler des technologies critiques, reprendre le contrôle de nos outils stratégiques. Pendant longtemps, nous avons regardé nos technologies sous l'angle de la performance, du coût, de l'innovation. Or, derrière certaines technologies critiques se cachent des dépendances qui sont parfois révélées, parfois invisibles : les composants, les logiciels, les licences, les mises à jour, les chaînes de sous-traitance, et puis des facteurs plus cachés. Ce débat posera trois questions principales : que révèlent les stratégies américaines et chinoises sur le nouveau rapport entre technologie et puissance ? Sommes-nous encore libres d'employer nos outils dans la durée ? Jusqu'où faut-il reprendre le contrôle, avec quelle priorité et quel coût ? »

Dépendance, souveraineté et autonomie stratégique

AMIRAL ARNAUD COUSTILLIÈRE   Ancien COMCYBER · Pôle d'excellence cyber
« Pour être très franc, non, parce que je sors de la direction interministérielle du numérique. C'était un séminaire pour les DSI (Directeur des systèmes d'information) et les RSSI (Responsable de la sécurité des systèmes d'information) des services de l'État sur la souveraineté, sur la nouvelle circulaire sortie par le Premier ministre avec des directives pour acheter souverain. Ce qui m'a frappé, c'est qu'il y a une prise de conscience qui a profondément changé ces 18 ou 24 derniers mois. Les services de l'État sont quasiment sommés de privilégier des solutions qui existent entre les ministères, qu'ils peuvent développer eux-mêmes, ou des prestataires extérieurs avec une préférence très nette, là où c'est possible, pour des prestataires européens. La majorité des dépenses de l'État, quand on met de côté le ministère des Armées ou le ministère de l'Intérieur, est déjà principalement orientée à 70 % vers des entités européennes voire françaises. » 

ÉRIC REVEL   Modérateur
« Le sous-texte un peu caché de cette guerre en Iran, c'est une course à la puissance économique entre les États-Unis et la Chine. Est-ce qu'aujourd'hui on a un mano a mano en matière de technologie numérique entre les États-Unis qui veulent préserver leur avantage et la Chine qui a vu naître un intranet très puissant avec des sites, des fournisseurs d'accès et des acteurs très puissants ? Est-ce que cette confrontation technologique sur le numérique est un sujet de premier ordre ? »

MATHILDE VEILLET   Chercheuse · IFRI
« Oui, évidemment, totalement. La montée en puissance technologique chinoise a beaucoup inquiété et continue d'inquiéter aux États-Unis, avec toute une série d'efforts déployés à partir de la première administration Trump puis sous l'administration Biden pour sécuriser les infrastructures face aux cyberattaques chinoises, gérer les risques liés à TikTok ou à d'autres applications, et aussi imposer des restrictions pour ralentir l'adversaire chinois avec des contrôles sur les exportations.

Ce qui est intéressant, c'est qu'il faut nuancer. L'administration Trump a nommé dans son équipe toute une série de faucons sur la Chine, mais ce qu'on a observé ces derniers mois, c'est aussi une tentation de privilégier les enjeux commerciaux et l'idée de vouloir faire un grand deal avec la Chine. On a vu l'administration Trump réautoriser certaines exportations de puces Nvidia avancées vers la Chine et suspendre plusieurs restrictions, parce qu'au département du Commerce on a dit : pour l'instant, la priorité, c'est de faire un deal avec la Chine. Donc il y a une ambivalence au sein de l'administration entre une bureaucratie qui pousse à davantage de restrictions et une autre partie plus favorable aux exportations et aux enjeux commerciaux. »

« J'ai tendance à nuancer quand on parle de guerre froide technologique, parce que la différence fondamentale, c'est l'interdépendance financière, économique et technologique des chaînes d'approvisionnement entre les États-Unis et la Chine, et évidemment au-delà en Europe aussi. Mais la technologie et l'innovation, par leur dualité civile et militaire, sont au cœur de cette rivalité. »

ÉRIC REVEL   Modérateur
« Il y a aussi une course aux terres rares derrière la course technologique. »

MATHILDE VEILLET
« Oui, absolument. Et sur les terres rares, c'est un enjeu très intéressant parce qu'il n'est pas du tout nouveau. Il y a déjà eu une crise en 2010 quand la Chine a imposé certaines restrictions vis-à-vis du Japon, ce qui a suscité aux États-Unis une volonté de relancer certaines mines et de se saisir de cet enjeu de vulnérabilité. Puis l'attention politique est passée à autre chose et ces projets ont été abandonnés, ce qui place aujourd'hui les États-Unis dans une grande situation de dépendance. Ce qui a changé la donne côté américain, c'est la volonté chinoise de montrer qu'elle est capable d'utiliser ce levier. On l'a vu avec les contrôles sur les exportations chinoises de terres rares. »

ÉRIC REVEL   Modérateur
« À partir de quel moment une dépendance technologique devient-elle un risque structurel ? » 

AMIRAL ARNAUD COUSTILLIÈRE
« Le terme de souveraineté, moi, je ne l'aime pas du tout. Je préfère le terme d'autonomie stratégique, qui vient du domaine de la dissuasion. Face à deux personnes beaucoup plus puissantes que moi, quelle est la troisième voie qui me permet de défendre mes intérêts ? Quand vous êtes dans une entreprise, cette troisième voie s'appelle la résilience. Comment rendre mon organisation résiliente à toutes les menaces qui me tombent dessus, qu'il s'agisse d'attaques cyber ou d'intelligence économique ?

La souveraineté numérique qu'on entend aujourd'hui a émergé en 2018 parce qu'on s'est aperçu que le domaine numérique était un monde de prédation. Ce n'était pas un monde de bisounours. Depuis le cloud, depuis les grandes plateformes, depuis l'IA, on est dans un univers de désintermédiation et de captation. Et aujourd'hui on ne peut jouer qu'au niveau européen. La France ne pèse pas grand-chose seule. On ne peut exister, pour peser dans le numérique, qu'au niveau européen. Le vrai combat de lobbying, il est à l'Europe. »

« Dans une organisation, il faut concilier le meilleur de la souveraineté pour défendre ses intérêts et le meilleur de la performance. Malheureusement, sur la performance, les boîtes américaines ont plusieurs longueurs d'avance. Donc il faut trouver un moyen terme, avec du chiffrement régalien, des isolations de réseau, des passerelles qu'on commande soi-même, des sondes souveraines. Le ministère des Armées a beaucoup travaillé sur ces sujets. »

« Si vous voulez être bons en IA, il faut une école mathématique. Si vous voulez être bons en crypto, il faut une école mathématique. Et malheureusement, on a tout cassé.»
ÉRIC REVEL   Modérateur
« Quel regard portez-vous sur cette dépendance ? Et comment attirer la confiance d'acteurs locaux ou nationaux quand on s'appelle Samsung Electronics France ? »
Références : IFRI · TikTok · Terres rares · Pôle d'excellence cyber · COMCYBER 

Le point de vue des acteurs privés

FRÉDÉRIC FAUCHÈRE   Directeur B2B Mobile · Samsung Electronics France
« L'amiral a déjà quasiment tout dit. D'abord, il est clair qu'en ce moment, il vaut mieux que la géographie du siège social de l'entreprise soit dans un pays allié et qu'il représente une troisième voie. Donc pas trop à l'est, pas trop à l'ouest non plus. Mais ce n'est pas tout. On a également besoin de se soumettre à l'État, d'accepter d'être audité, d'être certifié, et de se contraindre aux règles du droit français et européen. Ce sont des points essentiels.

Être un acteur de confiance, ça ne se déclare pas. Il faut apporter des preuves extrêmement fortes et tangibles. En l'occurrence, c'est être certifié par l'ANSSI, apporter une continuité de service, répondre aux demandes des acteurs publics et assurer par exemple des mises à jour de sécurité pendant sept ans. C'est aussi être capable, et c'est ce que nous faisons avec notre plateforme Knox, de codévelopper avec l'État des solutions qui permettent une approche souveraine. « Dans tout partenariat technologique, il y a de la dépendance. Et à un moment donné, la dépendance, c'est de la gouvernance. Il faut accepter, en tant que fournisseur de l'État, d'être gouverné, audité, certifié, et aussi de laisser le choix d'être remplacé si l'État en a envie.»  

ÉRIC REVEL   Modérateur
« À partir de quand cette notion de dépendance a-t-elle émergé dans les entreprises qui vous consultent ? Et comment se fait-il qu'alors que ces dépendances paraissaient structurantes, elles n'aient pas attiré la sonnette d'alarme plus tôt ? »

BAPTISTE CAZAGOU   Associé Cyber · Deloitte
« Il y a eu un premier événement marquant pour l'ensemble des Français : le Health Data Hub en 2019, avec l'hébergement des données de santé chez Microsoft. Depuis 2019, il y a une petite musique de prise de conscience citoyenne. Mais chez les entreprises, c'est beaucoup plus tard. Ce qu'on voit chez nos clients, les grands groupes français du CAC 40, c'est que les vraies questions sont arrivées depuis janvier 2025 avec l'arrivée de Donald Trump. C'est vraiment à partir de là qu'on a eu des clients qui nous ont demandé comment récupérer de l'autonomie stratégique sur leurs composants clés.

Il y a trois facteurs d'explication. D'abord, une fascination de nos élites politico-économiques pour la Silicon Valley et l'outre-Atlantique. Ensuite, le fait que nos champions français sont mondiaux : quand on s'appelle Danone, LVMH ou Airbus, on utilise des réseaux partout dans le monde, et la performance on est allé la chercher dans ce qu'il y avait de meilleur dans la technologie américaine. Enfin, il y a la pénurie d'offre en Europe et en France. On avait un champion comme Alcatel-Lucent, et on a abandonné progressivement une partie du hardware. Or l'IA, aujourd'hui, nous rappelle que c'est le retour du hardware : les puces Nvidia, le quantique, tout cela repose sur de l'infrastructure matérielle. Le retour d'une industrie hardware en France est nécessaire. »

« La France reste un territoire d'attrait pour les data centers. On a une énergie décarbonée et relativement peu chère, ce qui devrait être un levier important. »
Références : Health Data Hub · Alcatel-Lucent · ANSSI · Nvidia

Briques souveraines et hybridation

AMIRAL ARNAUD COUSTILLIÈRE
« La recherche de performance pousse les entreprises et les organisations à aller chercher les meilleures briques là où elles sont, principalement aujourd'hui dans certaines entreprises américaines. L'autonomie stratégique, cela veut dire mettre les briques dont vous avez besoin pour votre performance, tout en réservant des briques plus souveraines pour le traitement de vos données ou pour éviter que vos secrets de fabrication soient hébergés chez des prestataires soumis à des cadres juridiques problématiques. Les grands groupes sont en train de désoptimiser des réseaux qui avaient été optimisés autour des mêmes outils, pour retrouver de la résilience. »

« Il y a des sociétés plus de confiance que d'autres. Par exemple, quand Google accepte de se considérer comme un éditeur de logiciel et de mettre une partie de son logiciel sur une infrastructure opérée par Thales, c'est un moyen terme. Ce n'est pas aussi souverain qu'OVH, mais c'est beaucoup plus souverain que d'autres solutions. À l'autre extrémité du spectre, vous avez AWS comme marketplace, ou Palantir, dont la mission affichée est de garantir la suprématie de l'IA des armées américaines. Les relations entre l'État américain et ses contractants ne sont pas du tout de même nature que celles que peut avoir l'État français avec ses fournisseurs. »

Contrôles export et extraterritorialité

ÉRIC REVEL   Modérateur
« Les contrôles export américains ont été imposés non seulement à la Chine, mais aussi à leurs alliés. »

MATHILDE VEILLET« Je nuancerais un tout petit peu, parce que ce n'est pas une spécificité de l'administration Trump. Ils ont toujours été appliqués aux Européens pour les réexportations. L'idée, si je caricature un peu, c'est que les Américains ne veulent pas nous vendre un missile pour qu'on le repeigne en rouge et qu'on le revende ensuite comme missile européen. La différence, c'est que les contrôles export américains ne sont pas appliqués contre les Européens pour les ralentir comme ils le sont vis-à-vis de la Chine.

En revanche, ils ont bien été utilisés de manière extraterritoriale pour empêcher des partenaires européens d'exporter certaines technologies stratégiques vers la Chine. À partir de 2018, les Américains ont exigé d'ASML qu'elle n'exporte pas certaines technologies avancées vers la Chine. Et même quand il n'y a pas de composant américain, ils ont déployé tout un ensemble d'outils : pressions diplomatiques, menaces sur le renseignement, et autres leviers. »

« Ce qui change aujourd'hui avec l'administration Trump, c'est la tentation d'utiliser cet outil du contrôle export comme un levier à des fins purement commerciales, parfois dénué d'enjeu de sécurité nationale. On a vu passer un brouillon de règle demandant au monde entier, y compris aux alliés, de demander une licence au département du Commerce pour acheter des GPU américains, avec des conditions liées à des investissements aux États-Unis ou à des garanties sécuritaires. Il y a donc une tentation d'utiliser cet outil contre les alliés, même si elle n'est pas encore pleinement mise en œuvre. »
Références : ASML · Thales (entreprise) · Palantir Technologies · Extraterritorialité du droit américain

Le faux confort juridique européen

BAPTISTE CAZAGOU
« En tant qu'Européens, on aime bien se faire plaisir avec ce mot d'extraterritorialité parce qu'on aime bien faire des lois et penser en État de droit. Quand on regarde la réalité de l'extraterritorialité aux États-Unis à travers le Cloud Act, le Patriot Act et d'autres lois, cela veut dire que les fournisseurs américains doivent accepter que le département de la Justice puisse demander un accès aux données. Mais quand on regarde profondément la réalité, il y a très peu de demandes, et elles concernent surtout des individus dans le cadre du contre-terrorisme.

La vérité est ailleurs : ils n'ont pas besoin de loi pour accéder à nos données. Pourquoi ? Parce qu'on leur donne, on est déjà sur leurs infrastructures, ils y ont déjà accès. Les Européens se font plaisir avec ces notions juridiques, mais la réalité des faits, c'est qu'on a donné nos données, elles sont sur des infrastructures américaines. »« La bonne notion, c'est celle d'hybridation : trouver les briques technologiques qu'on doit absolument maîtriser, les connaissances technologiques qu'on doit absolument maîtriser, et utiliser les briques étrangères nécessaires sur les segments où on n'a pas encore rattrapé notre retard. Mais plus on attend, plus cela prendra du temps. Il faut commencer par identifier les technologies clés. »

« Je ferais aussi plus attention à la pénétration du capital dans nos entreprises. Quand STMicroelectronics devient un fournisseur critique d'AWS et accorde des options préférentielles, cela m'interroge plus que la présence d'ingénieurs étrangers dans certains dispositifs. »
Références : Cloud Act · USA PATRIOT Act · STMicroelectronics

Directive NIS 2 et mise en conformité

ÉRIC REVEL   Modérateur
« On attend toujours la transposition de la directive NIS 2. Pour une entreprise comme la vôtre, elle est importante ? »

FRÉDÉRIC FAUCHÈRE
« Oui, elle est importante. Je ne sais pas quand elle va arriver, mais on l'attend depuis quelques années. Elle est très importante sur la résilience des infrastructures et sur la cybersécurité. C'est ce qui va permettre à tous les fournisseurs des organismes et organisations d'importance vitale et des grandes collectivités de se mettre en conformité avec des règles de cybersécurité.

Nous, on accompagne les entreprises en leur fournissant des équipements pour être en conformité, mais aussi des solutions qui leur permettent assez simplement de déployer cette mise en conformité. La difficulté, c'est d'arriver à faire passer ce message auprès des 15 000 entreprises et collectivités plus modestes. La prise de conscience est lente. Pourtant, ne pas être en conformité en cas d'audit peut engager la responsabilité personnelle du dirigeant ou du maire. »
Références : Directive NIS 2 · Samsung Electronics 

Solutions concrètes et priorités européennes — Questions de la salle

BAPTISTE CAZAGOU
« En cybersécurité, il y a un concept assez ancien, celui des joyaux de la couronne : définir quels sont les actifs critiques. Aujourd'hui, il existe des outils pour cela. Le dernier en date discuté tout à l'heure, c'est l'indice de résilience. Il s'agit d'identifier cette chaîne de dépendance, les actifs critiques, et de retrouver au moins le sens d'une certaine autonomie stratégique au niveau de l'entreprise. Ce mapping est très concret et doit avoir des conséquences technologiques en termes d'achat, y compris pour l'État. »

AMIRAL ARNAUD COUSTILLIÈRE
« Il faut un New Deal européen. Tous les sujets évoqués — financement, capacité industrielle, résilience — ne peuvent être résolus qu'au niveau de l'Europe. Cela suppose un lobbying extrêmement fort, et de rallier à notre position un certain nombre de nations qui ont la même vision. Cela rejoint les recommandations du rapport Draghi.

En matière de cybersécurité, il ne faut pas oublier que, quand on veut rentrer chez quelqu'un, on cherche d'abord une complicité, voulue ou non. La première complicité, ce sont les personnels de l'entreprise. Donc il y a besoin de beaucoup de vigilance, d'éducation du personnel, parce que ce sont eux qui voient les premiers symptômes d'une intrusion. » 

MATHILDE VEILLET
« Je rejoins exactement ce qui a été dit. Il y aura des choix importants à faire, structurés selon deux objectifs. Le premier, c'est la sécurisation, le derisking à l'européenne : effort de cartographie des dépendances, réduction des vulnérabilités, score de souveraineté pour les achats publics dans le cloud, SCNUM Cloud pour les données les plus sensibles, etc.

Le deuxième objectif, c'est de cultiver notre indispensable indice de dispensabilité. On pense à ASML, aux navires câbliers, au quantique : il y a des forces européennes parce que, dans ces secteurs, les jeux ne sont pas complètement faits. La difficulté et en même temps l'opportunité du moment, c'est que les Américains déploient aujourd'hui une campagne très nette pour freiner les efforts européens de souveraineté numérique, en utilisant la menace du contrôle export, les barrières douanières, les restrictions d'accès au marché américain ou encore des campagnes informationnelles. Paradoxalement, cela a plutôt tendance à encourager ces efforts, et la France, qui porte ce sujet depuis longtemps, a une carte à jouer auprès de ses partenaires européens. »

Question de la salle 
« Où situez-vous le curseur entre la nécessité de sécurité donnée par le chiffrement et la nécessité de facilité ? »

AMIRAL ARNAUD COUSTILLIÈRE« Sur le secret de défense nationale, il n'y a pas de compromis possible. Vous fermez vos opérations et vous faites en sorte que ce soit le plus fermé possible et réservé aux gens qui ont le besoin et le droit d'en connaître. Sur les affaires de portes dérobées dans les systèmes civils, il y a un vrai débat. Guillaume Poupard s'est exprimé avec une certaine réserve par rapport à la vision du ministère de l'Intérieur. Ce sont des sujets de société. Le numérique irrigue profondément notre société, et il ne peut pas échapper à ces débats sociétaux, y compris sur la manipulation de l'information.

La régulation ne peut être qu'internationale, parce que dès que vous voulez faire une porte dérobée sur une messagerie, vous croisez au minimum trois droits : celui de votre État, celui de l'État où la faute est commise, et celui de l'État dans lequel est acquis le système d'information. Et très souvent, vous retrouvez le droit américain. »

Question de la salle 
« Quand devra-t-on intégrer le renseignement économique, y compris militaire, dans la culture des entreprises et de la formation ? »

AMIRAL ARNAUD COUSTILLIÈRE
« Oui, et mille fois oui. Le numérique est un milieu comme un autre, mais probablement le plus complexe, avec davantage d'interpénétration entre défense, sécurité, criminalité et intelligence économique. À travers l'intelligence économique, vous pouvez produire des effets pour faire tomber une entreprise. Comme l'écrivait Sun Tzu, le summum de l'art de la guerre, c'est vaincre sans combattre. Et le numérique est un élément très important pour faciliter les actions d'intelligence économique, de manipulation et de désinformation. »
Références : Sun Tzu · L'Art de la guerre · Guillaume Poupard · Intelligence économique

« La bonne réponse n'est pas l'autarcie numérique. Il faut savoir composer, et il vaut mieux parler d'autonomie stratégique que de souveraineté numérique. »
— Éric Revel — Synthèse de la table ronde II