Le CESIN et Hexatrust lancent un panorama pour recenser les offres souveraines en matière de cybersécurité pour la France. La liste sera régulièrement mise à jour et devrait s’étendre à toute l’Europe.

Jamais la question de la souveraineté numérique n’a autant été débattue. Largement alimentée par l’attitude peu consensuelle de la Maison-Blanche depuis le retour de Donald Trump à la présidence américaine, elle revient constamment sur le devant de la scène. 

En juillet, nous avions rassemblé les principales pour en offrir une vue de synthèse. Fin octobre, la Cour des comptes fustigeait la mauvaise gestion de cette question, soulignant notamment le manque de cohérence dans les décisions gouvernementales. Mais le sujet est loin d’être nouveau : en octobre 2021, Jean-Paul Smets estimait déjà que la France avait « tout d’un pays colonisé ».

• Souveraineté numérique : la Cour des comptes étrille le manque de cohésion en France

Dans ce contexte, le CESIN (Club des Experts de la Sécurité de l’Information et du Numérique) et Hexatrust, deux associations centrées sur la cybersécurité, ont uni leurs forces. Elles proposent un Cyber Panorama : un « outil opérationnel pour guider les organisations vers des solutions souveraines ».

Sérieux déséquilibre

Cette initiative a été lancée le 9 décembre. Le Cyber Panorama recense ainsi 320 noms environ d’acteurs français proposant des solutions souveraines. Dans le communiqué, on peut lire que le projet est né du constat alarmant que les organisations européennes éprouvent des difficultés majeures à identifier des alternatives crédibles aux solutions extra-européennes, majoritairement américaines. Et pour cause : selon un rapport du Cigref en avril dernier, 83 % des achats de technologies en Europe se font auprès d’acteurs extra-européens.

L’outil sert plusieurs objectifs. D’abord, réduire certains risques, toujours les mêmes sur ce thème : dépendance critique à des technologies étrangères (essentiellement américaines), exposition non maitrisée aux risques liés à l’extraterritorialité juridique (dont le fameux Cloud Act) et vulnérabilité stratégique face aux tensions géopolitiques.

Ensuite, le Cyber Panorama peut être abordé sous l’angle économique : en achetant des produits européens, les capitaux restent en Europe. C’était le cœur du rapport du Cigref, qui abordait aussi les nombreux emplois que la réorientation créerait. Jean-Noël de Galzain, président d’Hexatrust, insiste sur ce point : porter la part des achats purement européens à 30 % représenterait un chiffre d’affaires de 690 milliards d’euros d’ici dix ans, et jusqu’à 500 000 emplois.

Les acteurs sont déjà là

Le communiqué commun du CESIN et d’Hexatrust le clame haut et fort : l’Europe a déjà tout ce qu’il faut. Le problème majeur, pour les deux associations, est surtout que les organisations européennes ne savent pas qui sont ces acteurs. Le Cyber Panorama se propose donc de les recenser.

Le critère de souveraineté n’est pas expliqué dans le communiqué du Cyber Panorama. Selon le MagIT, qui assistait à la présentation, il est requis que le siège de l’entreprise et ses équipes de développement soient situés en France. Les cabinets de conseil, sociétés de services et intégrateurs ont été mis de côté. Sur le sujet du capital en revanche, les deux associations se seraient plus souples, acceptant qu’une part puisse provenir d’une société extra-européenne.

La structure de l’offre est fondée sur le NIST Cybersecurity Framework, référentiel largement utilisé venant des États-Unis. « Nous avons voulu opter pour une nomenclature qui parle à tout le monde », a déclaré Alain Bouillé, délégué général du CESIN. Elle établit six grandes fonctions : Gouverner, Identifier, Protéger, Détecter, Répondre et Récupérer. Chaque fonction est ensuite divisée en catégories plus spécifiques correspondant aux différents domaines de la cybersécurité (surveillance, sécurité des données, sensibilisation, etc.).

Pour l’instant, il s’agit d’une liste statique de noms. Prochainement, tout sera rassemblé au sein d’une interface web dynamique permettant de filtrer les acteurs selon ce que l’on cherche. Le CESIN et Hexatrust précisent que la liste sera régulièrement mise à jour, de sorte que les résultats devraient toujours être « frais ».

Une dimension européenne à venir

La liste des 320 acteurs est d’ailleurs présentée comme « une première étape ». Dans une future version, les deux associations ambitionnent d’ajouter les suites bureautiques et collaboratives, ainsi que les solutions de « Cloud de Confiance », dont les offres labellisées SecNumCloud, et Digital Workplace. Une nouvelle catégorie « Héberger » fera son apparition.

À plus long terme, l’outil devrait référencer les solutions européennes et devenir un outil utilisable par les autres. Les deux associations espèrent en outre que l’outil favorisera l’émergence d’une BITC (Base Industrielle et Technologique de Cybersécurité), équivalente numérique de la BITD (Base Industrielle et Technologique de Défense).

L’outil devrait avoir au moins le mérite d’accroitre la visibilité des acteurs mentionnés. Selon un baromètre publié en septembre (pdf) par Hexatrust et EY, 40 % des entreprises interrogées n’effectuent aucune veille des solutions françaises existantes.

• Le numérique de confiance a son contrat de filière : et maintenant ?