Géopolitique et cyber : les entreprises contraintes de repenser leur organisation

Les tensions géopolitiques pèsent désormais directement sur les activités des entreprises, leurs choix technologiques et leur organisation à l'international. Entre multiplication des réglementations, dépendances numériques et impératifs commerciaux, les groupes internationaux doivent adapter leurs stratégies de cybersécurité à des environnements de plus en plus fragmentés. Un défi qui dépasse la seule protection des systèmes d'information et place la gestion des risques géopolitiques au cœur des décisions stratégiques.

Cet article est le troisième et dernier opus de la série "Géopolitique et numérique : les nouveaux instruments de la puissance"

© Image générée par IA

Quand les tensions entre États frappent les entreprises

Les rivalités entre États ne se limitent plus aux sphères diplomatique et militaire. Elles se prolongent dans le cyberespace, où les entreprises peuvent devenir des cibles directes, des leviers de pression ou des victimes collatérales. En mars 2026, le fabricant américain de dispositifs médicaux Stryker subit une cyberattaque majeure qui perturbe ses activités à l'échelle mondiale, affectant notamment le traitement des commandes, la production et les livraisons. L'opération est revendiquée par Handala, un groupe de hackers lié à l'Iran, qui la présente comme une riposte aux frappes américaines et israéliennes contre le pays. « Un conflit géopolitique presque localisé, d'un point de vue militaire, cinétique, va avoir des conséquences beaucoup plus larges », souligne Christine Dugoin-Clément, chercheuse à la chaire "Risques" de l'IAE Paris-Sorbonne, à l'Observatoire de l'Intelligence artificielle de Paris 1 Panthéon-Sorbonne et au centre de recherche de la Gendarmerie nationale (CRGN) et d’ajouter : « Quand vous voulez affaiblir un adversaire géopolitique, vous allez aussi vous attaquer à son tissu économique, parce que votre puissance économique participe à la capacité de projection de puissance ». Les entreprises peuvent également subir des stratégies de « cyber-coercition », combinant attaques informatiques et opérations informationnelles pour infléchir leurs décisions. Pour les groupes internationaux, cette exposition impose d'élargir leur lecture des risques. Implantations géographiques, accès des sous-traitants, relations avec les fournisseurs ou dépendances technologiques deviennent autant de facteurs à intégrer dans les décisions de sécurité.

Adapter la cyber aux réalités locales

Cette complexité se retrouve dans la multiplication des cadres réglementaires. « Chacun des différents Etats cherche à se protéger et à déployer ses propres mécanismes », observe Sébastien Blard, directeur cybersécurité de Renault Group. Le groupe implanté à l’international doit ainsi composer avec de nombreuses législations différentes. Appliquer une politique de cybersécurité uniforme ne tient plus. La réponse consiste davantage à définir un socle commun de sécurité, tout en l'adaptant aux obligations et aux usages de chaque pays. « Il faut savoir cloisonner lorsque les spécificités locales l’exigent, tout en conservant une approche globale lorsque la nature des incidents le nécessite », résume Sébastien Blard. Une approche qui suppose de disposer de relais locaux. « On ne peut pas comprendre et gérer depuis Paris ce qui se passe dans un pays », insiste-t-il. La présence d'équipes sur place facilite les échanges avec les autorités, la compréhension des exigences nationales et l'adaptation des dispositifs de sécurité.

Chez Pierre Fabre, groupe de 10 000 collaborateurs, cette organisation repose notamment sur des responsables sécurité implantés à Hong Kong, en Grèce et aux États-Unis. Pour Véronique Bardet, RSSI du groupe, ces relais permettent « d'éviter une lecture trop centrée sur la France » des enjeux et de prendre « des décisions adaptées aux réalités opérationnelles ».

Trouver l'équilibre entre sécurité et activité commerciale

En Chine, les usages numériques obligent parfois les entreprises à revoir leurs pratiques. « Dans certains pays, les ventes de dermocosmétiques se font sur Tik Tok », constate Véronique Bardet et de poursuivre : « On ne peut pas imposer des restrictions sans tenir compte des impératifs commerciaux. Notre rôle est d’identifier les risques, notamment sur les données partagées, et de proposer des mesures de protection. Ensuite, c’est au métier de prendre la décision » Chez Pierre Fabre, les arbitrages sont formalisés. Les risques sont présentés au comité des risques, dont les travaux alimentent le comité d'audit et le conseil d'administration. « Dans une précédente entreprise, nous avons été confrontés à des difficultés en Chine, où certains services Android et outils de communication utilisés par le groupe ne fonctionnaient plus. Nous avons dû nous adapter aux solutions locales, notamment WeChat », explique Sébastien Blard.

Faire de la géopolitique un sujet de gouvernance

Cette approche conduit les entreprises à décloisonner leur gestion des risques. « La question n'est pas seulement de savoir comment la géopolitique influence la cybersécurité, mais aussi de comprendre comment la cyber peut aider l'entreprise à mieux appréhender et gérer ses risques géopolitiques », souligne Véronique Bardet. Au sein du laboratoire, les équipes cyber travaillent désormais plus étroitement avec les directions juridiques, les ressources humaines et la sûreté physique, historiquement organisée pays par pays. Chez Renault, le comité de plus haut niveau consacré au risque cyber rassemble notamment l'audit, la conformité, le digital, la protection de l'information et la sécurité physique.

Pour mesurer réellement son exposition, une entreprise doit aussi connaître ses accès distants, ses sous-traitants et les dépendances qui relient ses activités d'un pays à l'autre. Les arbitrages peuvent être lourds de conséquences. « Nous avons dû cloisonner notre système d’information en Russie alors que nous étions en pleine harmonisation de notre chaîne d’approvisionnement autour d’un ERP unique. Cela nous a permis de renforcer l’autonomie et la sécurité de nos activités locales, mais nous avons aussi perdu une partie de notre maîtrise et dû reconstruire un écosystème informatique distinct », partage Véronique Bardet.

Anticiper les dépendances

Les tensions internationales se traduisent également par une multiplication des réglementations susceptibles d'affecter les entreprises au-delà des frontières nationales. « Le droit devient lui aussi un instrument de pression géopolitique, notamment à travers l'adoption de lois extraterritoriales ou la complexification des cadres juridiques », évoque Christine Dugoin-Clément. Restrictions à l'exportation, législations sur les données, obligations imposées aux fournisseurs : la maîtrise des dépendances technologiques suppose désormais une analyse juridique autant que technique. La nationalité d'un prestataire ou la localisation d'une filiale ne suffisent pas toujours à déterminer les règles auxquelles une activité est exposée.

Pour mieux appréhender ces risques plusieurs recommandations émergent. Parmi les priorités identifiées : adapter les dépendances technologiques à la criticité des activités, s'assurer que les dispositifs de réversibilité sont réellement opérationnels et associer davantage les directions juridiques aux décisions stratégiques. La menace interne constitue également un point de vigilance, dans un contexte où les tensions géopolitiques peuvent accentuer les vulnérabilités des organisations.

La réversibilité constitue un enjeu particulièrement concret. Prévoir contractuellement la possibilité de changer de fournisseur ne garantit pas qu'une entreprise sera capable de le faire dans des délais compatibles avec son activité. Encore faut-il disposer de solutions alternatives, identifier les données et services à récupérer et tester les conditions d'une éventuelle migration. Ainsi il apparait nécessaire de conserver certaines sauvegardes dans d'autres juridictions, de prévoir des clauses de notification et de tester régulièrement les plans de sortie. Le recours à des solutions open source peut également être envisagé, sans constituer à lui seul une garantie d'indépendance.

À mesure que les tensions internationales redessinent les chaînes de valeur et les dépendances technologiques, la fonction cyber prend ainsi une place croissante dans les décisions stratégiques. « Il y a un vrai enjeu à appliquer les enseignements de la cyber au-delà du périmètre classique », conclut Sébastien Blard. Pour les groupes internationaux, l'objectif n'est plus seulement de se protéger des conséquences de la géopolitique, mais de les anticiper suffisamment tôt pour préserver leur capacité à agir…