L'Europe croule sous les normes, pas sous les solutions 

La virtualisation promet l’agilité aux industriels. Elle transfère les automates vers le cloud et glisse la maîtrise opérationnelle dans les mêmes bagages. Un marché de dupes : alors que l’industriel achète une performance en régime normal, il découvre sa dépendance en régime dégradé. Outre l’origine de la technologie, la souveraineté tient ici à la résilience des organisations lorsque la production vacille.  “On est dépendant d'un fournisseur externe, éventuellement, d'une plateforme cloud. Si un incident surgit, vous dépendez d'une équipe externe qui va réagir... ou pas”, a averti Pascal Steichen, directeur de la Luxembourg House of Cybersecurity, lors d'une table ronde, sur le thème “Virtualisation et souveraineté, le nouveau front de la cybersécurité industrielle”. La durée d'une interruption dépend d'abord de la capacité à comprendre son propre système d'information. Les compétences rejoignent ainsi la liste des actifs stratégiques, au même titre qu'un automate, un réseau ou une salle de contrôle. C'est un manque d'agilité qu'il faut mettre dans l'équation avant de choisir la virtualisation sur des composants critiques”, a-t-il poursuivi. Les textes européens pour la souveraineté cherchent à qualifier les fournisseurs, à certifier les produits ou à sécuriser les chaînes d'approvisionnement. Aucun règlement ne remplacera pourtant une compétence disparue. 

Faute de production, l'Europe écrit le cahier des charges 

La virtualisation ne crée pas seulement une dépendance envers les plateformes. Elle rappelle aussi une réalité industrielle. L'Europe ne maîtrise plus les composants sur lesquels reposent ces infrastructures. “Sur la partie matérielle, il est très difficile de parler de souveraineté”, a reconnu le directeur de la Luxembourg House of Cybersecurity. Les capacités de fabrication se concentrent en Asie. Les chaînes d'approvisionnement traversent plusieurs continents et restes interdépendantes. Toute perspective d’une reconquête industrielle à court terme s'évanouit. Faute d'imposer ses produits, Bruxelles trouve dans la normalisation sa planche de salut. Plus que d'accompagner le marché, l'UE entend imposer ses spécifications. “Quand on regarde les groupes ISO, on n'est pas forcément les mieux représentés. Même à l'ETSI, les Américains, les Britanniques ou les Chinois ont une bonne présence”, a relevé Philippe Blot, chef de secteur certification à l'Enisa. Écrire un standard revient déjà à choisir les produits qui pourront demain entrer sur le marché européen. Le Cyber Resilience Act (CRA) ouvre pourtant un nouveau front avec quarante-et-un standards en préparation. “On a envie de se réapproprier le champ de la spécification”, a-t-il poursuivi. L'Europe ne fabrique plus l'essentiel des composants. Elle entend désormais écrire le cahier des charges auquel leurs fabricants devront répondre 

Certifier n'est pas gouverner 

La virtualisation retire une part de la maîtrise aux industriels. Bruxelles répond avec une inflation de certifications. L'équation paraît séduisante, plus un produit inspire confiance, moins il crée de risque. L’UE confond pourtant deux sujets. Une certification mesure la conformité technique d'un produit mais jamais la dépendance qu'il installe. “Il faut savoir si le cahier des charges correspond à son besoin”, a rappelé le chef de secteur certification à l'Enisa. Un certificat éclaire un achat. Il ne garantit ni la capacité d'un industriel à reprendre la main sur son système d'information, ni la continuité d'exploitation lorsqu'un fournisseur suspend ses mises à jour ou qu'un service cloud devient indisponible. L'Europe l'a appris à ses dépens avec l'EUCS. Conçu pour harmoniser la certification des services cloud, le schéma s'est enlisé dans une controverse sur la souveraineté. La France refuse d'abandonner les exigences de souveraineté intégrées à SecNumCloud. Les États membres refusent d’intégrer des critères géopolitiques dans un dispositif de certification. Le blocage dure depuis 2022. “La certification n'est pas la solution à tous les problèmes”, a reconnu Pascal Steichen. La Commission en a tiré les conséquences. Les critères liés aux fournisseurs migrent à marche forcée vers le Cybersecurity Act 2 et son futur volet consacré à la chaîne d'approvisionnement. Le projet, présenté en janvier, prévoit des sanctions pouvant atteindre 7 % du chiffre d'affaires mondial, la désignation de fournisseurs à haut risque et une obligation de sortie des actifs critiques sous trente-six mois pour dix-huit secteurs essentiels. Le débat sur la souveraineté ne disparaît pas. La certification cède simplement la place à un dispositif assumant enfin une dimension géopolitique. 

Souverain aujourd'hui, racheté demain 

Une entreprise peut satisfaire toutes les exigences européennes avant de passer sous pavillon étranger. Que devient une entreprise européenne qualifiée, certifiée et jugée stratégique lorsqu'elle change de propriétaire ? Depuis la salle, Olivier Bacati, directeur cybersécurité chez Artelia, a illustré cette limite à partir d'un cas concret. Son entreprise qualifie ses ingénieurs sur des solutions françaises ou européennes. Si l'un de ces éditeurs se voit racheté par un groupe américain ou chinois, cette souveraineté disparaît. Et les compétences acquises ou les certifications obtenues n'y changent rien. La France contrôle bien certains investissements étrangers dans ses secteurs sensibles. Mais aucun dispositif comparable n'existe à l'échelle de l'Union. “Je ne vois pas ça dans le paquet réglementaire européen”, a admis Pascal Steichen. Bruxelles intervient pourtant bien avant un éventuel rachat. Horizon Europe finance la recherche, Digital Europe réserve certains dispositifs aux acteurs européens et le Centre européen de compétences en cybersécurité soutient leur développement. L'Union aide ainsi ses entreprises à émerger, sans pouvoir empêcher leur acquisition. “Il faut se donner des approches basées sur des valeurs communes et peut-être pas forcément toujours le critère du plus grand gain”, a appelé de ses voeux Pascal Steichen. La virtualisation transfère la maîtrise des systèmes. Les acquisitions, elles, peuvent achever cette migration en emportant celle des technologies.