Souveraineté numérique : il est en effet temps d’oser !

Nous avons passé suffisamment de temps à constater nos dépendances numériques. Il faut désormais avoir le courage de les réduire. La France et l’Europe se trouvent aujourd’hui dans une situation paradoxale. Nous avons construit l’un des cadres réglementaires numériques les plus ambitieux au monde, mais nous restons profondément dépendants de technologies, de logiciels et d’infrastructures que nous ne maîtrisons pas. Cette contradiction devient de plus en plus difficile à tenir.

Par Philippe Latombe, député de la Vendée 

La cybersécurité ne peut pas se résumer à la conformité

La transposition de NIS2 a pris beaucoup trop de retard. La situation évolue néanmoins : selon les dernières informations, le texte est désormais inscrit au calendrier parlementaire, avec un examen envisagé le 6 ou 7 octobre, sous réserve de l’examen de la Loi Intégrale. Il était temps ! Les entreprises doivent se préparer dès maintenant. Les principales obligations sont connues. NIS2 doit nous obliger à regarder beaucoup plus précisément nos dépendances. Cela suppose de cartographier son système d’information, ses données, ses fournisseurs, mais surtout ses vulnérabilités. Avec la multiplication des API, des prestataires et des interconnexions, le périmètre informatique d’une organisation ne s’arrête plus à ses propres murs. Ce raisonnement vaut également pour l’État. Nous ne pouvons pas demander aux entreprises une rigueur que le secteur public ne s’imposerait pas à lui-même. Pendant des années, nous avons interconnecté ou rapproché des systèmes d’information sans toujours mesurer les conséquences en matière de sécurité. Plus un système est interconnecté, plus une compromission peut permettre des attaques latérales. Segmenter les réseaux, tracer les accès, savoir qui consulte quelles données et être capable de détecter une extraction anormale devraient relever de l’évidence. 

Sortir de nos dépendances technologiques

Notre première vulnérabilité est matérielle. Sans puces, il n’y a pas d’économie numérique, pas d’intelligence artificielle, pas d’industrie moderne. Or nous ne disposons toujours pas des capacités suffisantes pour garantir notre autonomie. Nous devons donc soutenir beaucoup plus fortement l’effort européen dans les semi-conducteurs. Mais la dépendance ne s’arrête évidemment pas au hardware. Elle concerne également les briques logicielles devenues indispensables au fonctionnement quotidien de nos entreprises et de nos administrations. Cette dépendance a un coût stratégique, mais aussi un coût réel. Regardons ce qu’il se passe lorsque certains grands éditeurs modifient brutalement leurs conditions commerciales ou augmentent le prix de leurs licences. VMware en est un exemple, Microsoft également. Des sommes considérables quittent alors nos entreprises et nos administrations pour financer des acteurs américains, autant d’argent qui ne finance ni notre innovation ni notre transformation numérique. Nous ne pouvons pas accepter indéfiniment cette situation. Il faut construire des alternatives technologiques européennes, évidemment. Mais il faut également être capable de faire respecter nos propres règles. Lorsque des pratiques anticoncurrentielles ou des abus de position dominante apparaissent, nos procédures sont encore beaucoup trop longues. Dans le numérique, une procédure qui aboutit plusieurs années après les faits arrive souvent dans un marché qui a déjà totalement changé.

L’Europe doit être capable de tenir tête

Cela renvoie directement à la question de l’extraterritorialité. Aujourd’hui, notre exposition est principalement américaine parce que notre dépendance aux solutions américaines est massive. Mais le problème ne se limite pas aux États-Unis : il peut également concerner la Chine ou d’autres puissances. La réponse doit donc être européenne. Nous avons besoin d’une véritable protection juridique face aux législations extraterritoriales. Et surtout, nous devons être prêts à la faire respecter. Ce n’est plus seulement une question juridique. C’est une question de volonté et de courage politiques. L’Europe doit être capable de tenir tête à ses partenaires lorsque ses intérêts, ses entreprises ou les données de ses citoyens sont en jeu. C’est précisément la raison pour laquelle je conteste le Data Privacy Framework conclu entre l’Union européenne et les États-Unis. Je considère que ce cadre n’apporte pas aux Européens les garanties auxquelles ils ont droit. Si nous voulons rééquilibrer cette relation, il nous faut être capables de remettre le sujet sur la table, de négocier avec les États-Unis, plutôt que d’accepter un compromis insuffisant.

Oser au-delà de la réglementation

L’Europe a beaucoup réglementé. Il fallait le faire. Il faut maintenant rendre ces réglementations cohérentes entre elles, éviter les injonctions contradictoires et surtout donner de la stabilité aux acteurs économiques. Les entrepreneurs savent travailler avec des règles exigeantes à condition qu’elles soient compréhensibles, prévisibles et qu’elles ne changent pas en permanence. Une fois ce cadre posé, il faut investir et expérimenter. Nous devons cesser d’avoir peur des technologies au moment même où elles apparaissent. L’intelligence artificielle en est l’exemple parfait. Nous avons immédiatement voulu savoir comment la limiter avant même d’avoir totalement compris comment nous pouvions nous en servir. En cybersécurité, cette attitude serait une faute. Un RSSI ne doit pas attendre qu’un texte lui explique dans plusieurs années qu’il peut utiliser l’intelligence artificielle pour rechercher des vulnérabilités dans son propre système. Il doit expérimenter dès maintenant, tester, comprendre ces outils et apprendre à les utiliser pour renforcer sa défense. Car les attaquants, eux, n’attendront pas la réglementation. C’est finalement ce que signifie « oser ». Oser, ce n’est pas s’affranchir des règles. C’est comprendre que la règle ne constitue jamais qu’un point de départ. La réglementation est, par nature, ex post : elle arrive après l’innovation, après les usages, parfois après les premières crises. Ceux qui pratiquent quotidiennement la cybersécurité doivent donc conserver une capacité d’initiative.

Nous avons besoin de règles. Mais nous avons surtout besoin de stratégie, d’investissement, d’expérimentation et de courage politique.

Le cadre est une base. Le reste est à construire.