Le CESIN refuse que la cybersécurité reste un sujet de circonstance 

Une campagne présidentielle se gagne rarement sur un sujet absent du débat. Dans une lettre ouverte destinée aux candidats à la présidentielle de 2027, le Club des experts de la sécurité de l'information et du numérique ne réclame pas un énième plan cyber ni une nouvelle stratégie nationale. À neuf mois de l’échéance, il demande aux prétendants à l'Élysée de dévoiler leur doctrine. Quelle place le prochain quinquennat accordera-t-il à la souveraineté numérique ? Les cinq priorités de la lettre exigent une doctrine concernant la souveraineté, l’émergence d’un marché européen, la politique industrielle, la gouvernance et la capacité à résister aux chocs numériques ainsi que géopolitiques. En 2022, les recommandations du club pour la présidentielle se concentraient sur la cybersécurité. Quatre ans plus tard, celle-ci cesse d'accompagner la souveraineté : elle en devient l'une des conditions. “On aurait pu ne parler que de cyber. On a construit notre lettre sur un triptyque cyber, IA et souveraineté sachant qu'on ne peut pas vraiment dissocier les trois”, explique Alain Bouillé, délégué général du CESIN. Parmi la vingtaine de candidats déjà déclarés ou pressentis, seuls Raphaël Glucksmann, Bruno Retailleau et Gabriel Attal ont abordé ces questions dans leurs prises de position. Une première étape, mais certainement pas une garantie. “Ce n'est pas simplement que les candidats en parlent (...). Il faut qu'ils prennent bien la mesure de la situation”, ajoute Alain Bouillé. Le club leur propose aussi de confronter leurs positions à l'expérience de ses 1 300 RSSI. Une façon d'ancrer les futurs arbitrages dans les réalités du terrain et d'installer le CESIN comme un interlocuteur des décideurs publics. 

L'épée de Damoclès descend d'un cran 

Les inquiétudes du CESIN ne relèvent plus de la spéculation. Elles remontent du terrain. Selon le baromètre 2026 du club, 53 % des RSSI estiment que la menace d'origine étatique progresse, tandis que près de deux entreprises sur trois se déclarent concernées par les enjeux de souveraineté numérique et de cloud de confiance. Le choix d'un fournisseur cloud, d'une suite collaborative ou d'une infrastructure de calcul ne relève plus uniquement du DSI. Il devient un arbitrage de souveraineté. “En 2022, on n'avait pas cette avalanche d'IA et on n'avait pas cette épée de Damoclès au-dessus de nos têtes par rapport à nos dépendances américaines et chinoises”, estime le délégué général du CESIN.

Donald Trump n'a pas révélé les dépendances numériques européennes. Il a rappelé leur potentiel en tant qu’instrument de puissance. Le kill switch, scénario autrefois théorique, s'invite à présent dans les analyses de risque. Le phénomène interroge la capacité de résilience des organisations s'il venait à être activé. “Depuis que Trump menace le Danemark d'annexer le Groenland, des villes comme Copenhague se débarrassent complètement de Microsoft (...) et le gouvernement est dans le même état d'esprit”, observe Alain Bouillé. En quelques semaines, la géopolitique a redessiné les politiques numériques du Danemark. 

Le numérique cherche encore son ministre 

La hiérarchie décide souvent du poids d'un sujet. La cybersécurité n'échappe pas à la règle. Alain Bouillé compare volontiers l'État à une entreprise. Un RSSI placé sous la DSI sécurise des décisions déjà prises. Un RSSI rattaché au Comex participe aux arbitrages. “Tant que la sécurité est reléguée au 36e dessous de la DSI, ce sera toujours le DSI qui aura raison. Au gouvernement, ce n'est pas différent”, estime le délégué général. Le parallèle résume l'une des principales revendications de la lettre ouverte.

La France a changé cinq fois de ministre du Numérique en dix ans, sans jamais accorder à ce portefeuille l'autonomie réclamée par le club. “Comment voulez-vous que le ministre du Numérique ait une quelconque autorité sur les autres ministères alors qu'il se trouve lui-même sous leur tutelle ?”, interroge Alain Bouillé. Pour le CESIN, le numérique doit désormais être traité au même niveau que la justice, la défense ou les finances. Le retard de transposition de NIS2 nourrit ce constat. La principale directive européenne sur la cybersécurité attend toujours son application en droit français. Ce retard expose le pays à une procédure d'infraction et à d'éventuelles sanctions financières de la Commission européenne. Difficile, dans ces conditions, d'ériger le numérique en priorité politique.  

Toujours un train de retard 

Faute de pilote, la cybersécurité demeure une politique de réaction. Quelques semaines après l'attaque contre l'Agence Nationale des Titres Sécurisés (ANTS), le gouvernement dévoilait sa stratégie nationale de cybersécurité 2026-2030. Un plan de 200 millions d'euros l'accompagnait afin de renforcer la sécurité des applications de l'État, accélérer la transition vers la cryptographie post-quantique et créer une autorité numérique issue de la fusion entre la DINUM et la DITP. “Les stratégies arrivent souvent après les incidents. L'affaire de l'ANTS a probablement constitué l'élément déclencheur de la dernière feuille de route”, estime le délégué général du CESIN. Le contenu du plan ne fait pas débat.

Son déclenchement, davantage. La faille exploitée contre l'ANTS était documentée depuis plus de vingt-cinq ans. “La première chose à faire avant d'inventer une énième stratégie, c'est d'appliquer déjà les règles qui sont en place”, martèle-t-il. La future autorité numérique clarifie l'organisation administrative de l'État. Elle laisse toutefois entière la question du pilotage politique soulevée par l’association. Les impératifs opérationnels continuent de l'emporter sur la sécurité. “La pression métier est souvent telle que l'on finit par oublier le soldat cyber en route”, résume Alain Bouillé. Le CESIN ne demande donc pas une stratégie supplémentaire. Il demande que la suivante n'attende pas la prochaine crise. 

Les règles ne bâtissent pas une industrie 

La stratégie publique génère de la souveraineté uniquement lorsqu’elle rencontre un marché. L’Europe a multiplié les cadres avec NIS2, DORA, le Cyber Resilience Act ou l’AI Act. “Les textes sont nécessaires. Ils ne suffiront pas à faire décoller le marché européen de la cybersécurité”, prévient Alain Bouillé. La norme réduit le risque. La commande publique construit les filières. Cette équation prend une dimension nouvelle avec l’intelligence artificielle, dont la croissance dépend autant des modèles que des infrastructures capables de les alimenter. La course se joue désormais dans les centrales autant que dans les laboratoires. "Aujourd'hui, le moteur de l'IA, c'est l'énergie. Avec une IA souveraine alimentée par une énergie nucléaire décarbonée, nous devrions être les maitres du jeu”, lance Alain Bouillé. Et, grâce à son parc nucléaire, la France dispose d’une des électricités les plus décarbonées d’Europe. Le défi consiste à convertir cet avantage en débouchés industriels. Le CESIN plaide pour un Small Business Act européen afin d'orienter davantage la commande publique vers les acteurs du continent. Le Cyber Panorama, réalisé avec Hexatrust, recense déjà plus de 320 solutions françaises de cybersécurité. Impossible de nier leur existence. “Personne ne s'est jamais fait reprocher d'avoir choisi Microsoft. Il faudra pourtant que cet état d'esprit évolue”, relève Alain Bouillé. Le CESIN ne défend pourtant pas un réflexe protectionniste. Une solution européenne ne vaut que si elle offre le même niveau de service et de sécurité que ses concurrentes. La souveraineté prendra corps le jour où elle pèsera autant dans les appels d'offres que dans les discours.