18 Septembre 2026

Publié par I.R.C.E. - Institut de Recherche et de Communication sur l'Europe - Le Think et Do Tank des dynamiques européennes

Courrier Stratégie numérique et cyber française et européenne

Paris, le 17 septembre 2026

Madame la Vice Présidente chargée du digital

Mr le Vice président chargé de la stratégie industrielle

Monsieur le Commissaire chargé de la défense et de l’espace

Madame la Directrice générale chargée du digital

Monsieur le Directeur Général chargé des communications

Monsieur le Directeur exécutif de l’ENISA

Monsieur le Directeur exécutif de l’EU-LISA

(via email)

Objet : Stratégie numérique, IT et cybersécurité

Mesdames, Messieurs les destinataires

Pour mémoire, l'IRCE est un organisme de réflexion et d'action généraliste et indépendant, travaillant avec méthode, de la stratégie à la psychologie, sur les dynamiques européennes de manière décloisonnée, posant notamment les bonnes questions et exprimant des propositions à charge et à décharge sur ce qui est « bon pour l’Europe » à travers les politiques publiques et les écosystèmes principalement liés à la défense, l’énergie, l’environnement, les transports, le spatial et le digital.

Dans la suite de nos précédents dossiers et courriers aux commissaires et directeurs généraux, nous avons mené ces derniers mois une série de visioconférences et d’interview avec des intervenants français et européens représentatifs de la profession numérique et cyber, et d’institutions, complétées de rencontres sur des salons, de nombreuses conférences sur le thème et de réflexions internes, dont j’aimerais vous livrer les résultats.

Cette étude pourrait être développée largement en Europe, comme le font certaines autres organisations mandatées par la Commission européenne. Sans ne citer aucune entreprise, elle traite à la fois de la protection et de la réglementation, de l’approche globale des choix stratégiques de cyber-sécurité dans une approche globale avec cloud et infrastructures, de l’autonomie et veille technologique dont R&D, de la fragmentation du marché, de l’offre et solutions, du financement dont institutionnel, public et privé, du rôle de la gouvernance des institutions et des Etats avec certaines propositions.

Les cyber-attaques font partie de notre vie quotidienne et sont une affaire de sécurité transverse et duale dont il faut souvent y être confronté pour en prendre la mesure et en éprouver le besoin. Un baromètre annuel auprès des responsables des cyber-sécurité des entreprises françaises recense une hausse croissante des faits, sans typologie de ciblage, dont une majorité, désormais contrées. On citera les attaques sur les grands événements, sur les escroqueries en ligne (phishing), l’exploitation des vulnérabilités dont de santé ou financières et industrielles, l’utilisation de fournisseurs, des vols de données, des impacts sur les affaires avec perte d'image, sans oublier le cyber espionnage, les menaces géopolitiques, les affaires gouvernementales et les personnes publiques aux approches d’élections, dont certaines peut être trop facilement imputées à de grandes organisations ou d’Etats quand elles sont parfois en réalité nationales ou locales. En plus des possibles paiements, les amendes arrivent désormais par les CNIL et peuvent etre soutenues par les institutions.

Les Principales tendances des technologies de l’information (IT) concernent désormais l’intelligence artificielle, le Cloud & multi-cloud, la sécurité et la résilience, le edge computing et la 5G pour l’ioT, l’industrie 4.0, le Green IT et les infrastructures. La cyber-sécurité semble rester du domaine de spécialistes et d’initiés, comme la qualité, alors qu’elle devrait être généralisée, notamment dans les formations et largement connue plus qu’à travers certaines initiatives locales ou nationales. Comme dans les usages de filière, un regard est désormais plus apporté aux tiers et à la chaine de valeur, à la protection par externalisation, à la réglementation, à la mise en place de règlements, directives, normes et labels nationaux et européens dont NIS2, DORA, CRA qui doivent encore être appliqués de façon réaliste et réalisable dans tout l’écosystème.

La normalisation doit rester une arme de structuration et mais également une arme commerciale. Les réglementations doivent donner envie et rester accessibles, adaptables, simples, réalistes et réalisables pour toucher l’ensemble des organisations jusqu’au maillon faible, au-delà de « l’excellence » et de cette notion de « confiance » ou de « souveraineté », que tout le monde adapte à sa façon, plutôt que parler nations ou Europe, comme l’arbre qui peut cacher la forêt ou bien des lacunes sous prétexte souvent d’une auto-certification, comme le marquage CE, le tout dans un cadre qui protège surtout le consommateur mais qui ne doit pas empêcher de faire des affaires. C’est souvent toute la différence et la complémentarité entre l’approche française et les autres pays de l’UE.

Par ailleurs, qu’en est-il du Cloud Development Act qui devrait aussi considérer toutes les strates minimales et complètes accessibles à toute forme d‘organisation avec une approche globale de sécurité incluant les infrastructures qui sont une des principales causes de risques, reconnaissant les apports de certains salons industriels qui les lient avec le software. En terme de communication, qui sait que le DSA a été mis en place dans 48 Etats des Etats-Unis et avec quels effets de valorisation européenne ? Qui sait que la Japon a adapté la RGPD dans le cadre des accords commerciaux et pourrait aussi intégrer les membres associés de l’UE au même titre que le Canada ? Faut-il se raccrocher aux offres 5G Cloud et 6G de la Chine et comment ? Faut-il créer un label « bio IA, ou IA free» ? Faut-il freiner ou contrôler l’IA considérant que l’éthique ne doit pas freiner l’innovation au moment où une grande entreprise étasunienne reconnait de nouveaux dérapages ? Pour quelles vraies raisons l’essai de label Cloud, notamment franco allemand entre ANSSI et BSI, a-t-il été abandonné alors que l’Europe a besoin de références exportables, même en intégrant des solutions complémentaires, comme réalisés dans d’autres domaines ? Dans des domaines proches, qui connait vraiment le Chips Act européen, au regard de l’étasunien, et désormais sa version 2, visant à relocaliser la production de puces électroniques, à sécuriser les chaînes d'approvisionnement et à réduire la dépendance technologique sur toute la chaine de valeur ? Pourquoi ne pas avoir une stratégie agressive et dissuasive avec un coup d’avance plutôt que toujours réactive et protectrice sous prétexte d’une gouvernance lourde ou d’une notion de valeurs, comme le zèbre qui essaie de se protéger face aux lions étasuniens et chinois quel qu’en soit la réaction potentielle ?

En terme de veille et de réaction technologique, chacun s’accorde à dire que la nécessité d'utiliser l'IA comme effet de levier et de l’importance du Quantique où la Chine semble prendre désormais une longueur d’avance. Ne serait-il pas judicieux de mieux répartir les efforts de recherche à partir de l’existant et de partenariats possibles, avec néanmoins une veille technologique alimentée et secondée par les jumeaux numériques pour les test de possibles lancements, et non uniquement entretenir une volonté de création, de compétition et de simple volonté ou possibilité de politique de financement comme nous le verrons ci-après ?

Les acteurs prennent conscience que les clés et les solutions du numérique ne sont pas uniquement en France ou dans chaque nation mais en Europe, à la fois comme terrain de conquête commerciale, mais également de structuration du marché, voire le l’offre. Des entreprises se développent dans l’UE mais restent ancrées dans des associations ou des organismes de tutelle, défendant des équipes nationales chassant en meute comme en France ou de façon plus globale de différente nature ou de taille comme en Allemagne. Dans ces conditions, il semble difficile de soutenir une possible segmentation européenne entre éléments communs et spécifiques pour réduire notamment la fragmentation tout en conservant une concurrence minimale interne, sans y déroger sauf introduire certains critères de préférence, aussi bien de l’offre comme de la demande. Pour autant la création d’équipes nationales n’empêche pas certaines cohérences entre éléments communs et spécificités et inversement, dans une concurrence intelligente à l’intérieur comme à l’extérieur de l’UE. L’entretien ou la réactivation et rafraichissement des consortia de recherche tels Sparta, Concordia, Cyber4Europe, ECHO créés en 2019 pour Horizon H202 en vue d’une autonomie européenne généralement tirés par la France, l’Allemagne ou l’Italie serait opportune pour travailler chacun sur des axes spécifiques mais liés.

Le Centre européen de compétences en matière de Cybersécurité (ECCC) et son réseau de 27 Centres Nationaux de Coordination (CNC) répartis dans chaque État membre de l'Union européenne devrait être valorisé pour gérer les efforts de recherche et d’innovation, mieux coordonner la communauté pour réduire les déperditions d’efforts et faire le lien avec les agences nationales mais aussi identifier et favoriser des rapprochements sur la base d’impacts, de valorisation et d’utilisateurs finaux comme nous avons réussi à l’ancrer dans les projets. Il en va de la création de partenariats, entre coopérations, collaboration et d’alliances pour de vrais solutions européennes plus que nationales pour les autres pays d’Europe, d’une relation de confiance avec les structures de l’OTAN et ses centres d'excellences, comme celui de Rennes, de la reconstruction du régalien, de l’établissement de cartographie comme celle de l’essai des consortia cités ci-avant, de l’accession aux marchés plus que par des subventions, et surtout la réalisation d’un plan quinquennal à partir d’une stratégie et d’une politique générale réaliste, réalisable et déterminée dans le temps. Les phénomènes de partenariats se caractérisent aussi par l’annonce récente du raccordement des super calculateurs européens. Rappelons aussi que les partenariats incluent les coopérations, les collaborations et les alliances qui peuvent utiliser et valoriser des labels européens exportables, rappelant l’opportunité d’en imaginer et d’en créer, sauf à considérer des aspects de géopolitiques incohérents dans une dynamique européenne.

Les compétences sont là ou étaient là. L’UE, avec ses partenaires européens, voire extra-européens, a tout pour réussir. Un état des lieux de l’existant et de l’historique des capacités, savoirs, savoir faire, savoir être doit être fait pour chaque nation. Comme dans bien des domaines, la France était en avance sur la télématique avant que le concept soit repris par les Etats-Unis et internet, issu notamment d’une ancienne application militaire. L’ancienne créativité polonaise et tchèque, notamment sur la création de la machine Enigma devrait être valorisée au profit de la communauté, comme bien d’autres exemples à travers l’Europe. La France a été championne avec le minitel et le réseau militaire maillé RITA qui a été vendu aux Etats-Unis pour ensuite le faire revenir sous forme d’internet civil, comme d’autres nombreux exemples. Rappelons que l’Estonie a défini la première stratégie de cybersécurité territoriale, qui peut être dupliquée sur d’autres pays ou certaines régions sans attendre de démarche nationale

Un panorama européen établi sur plus de 1000 entreprises dont suisses, identifie 16 catégories d’activité principale répertoriée principalement présentes en France, Allemagne, Royaume Uni, Pays Bas, Suisse puis Pologne, Italie, Scandinavie, Espagne avec un écosystème dynamique mais fragmenté composé souvent de très petites entreprises de moins de 50 personnes avec une commande étatsunienne plus importante. De gros éditeurs apparaissent en centre Europe, en Pologne dans la région de Lodz avec des créations d’ETI plus rapidement sur la base de produits moins chers, avec un socle de démarrage et une traction technologique, et sans doute avec un meilleur portage et recentrage des actions autour des savoir faire existant plutôt que favoriser la création individuelle et son financement à tout prix. Il conviendrait aussi que ces pays, qui on bénéficié d’un fort soutien financier européen avec possibilité d’installer des solutions innovantes à partir d’une page blanche, agissent aussi en solidarité, en retour d’investissement d’origine des financements des pays fondateurs. Les projets transeuropéens Interreg comme celui piloté par la région Bretagne en France devraient se développer comme élément transverse au profit de multiples domaines demandant de l’agilité mais aussi de la sécurité comme la mobilité et la maintenance dont aéronautique. Les alliances en Hongrie ou autres associations en France devraient chercher à créer des stuctures plus importantes au lieu de simplement les héberger sans imitation de durée comme les incubateurs, devraient imaginer des axes de partenariats et de complémentarité avec d’autres pays, par dépendance dans l’interdépendance même si certains considèrent cette expression fumeuse, démontrant ainsi leur attitude du chacun pour soi.

Le couple et moteur franco-allemand n’est pas compris dans son fonctionnement complémentaire, comme initialement sur les labels de certifications, avec des luttes entre ses agences nationales et un manque de dialogue entre ses industriels alors qu’il pourrait pourtant montrer l’exemple d’une dépendance interne dans l’interdépendance, montrant une capacité européenne numérique autonome et capable de s’affirmer bien que prenant désormais conscience de la nécessité de tenir compte des avancées des Gafam. Fréquentant les réunions de l’ENISA depuis de nombreuses années et notamment lors de son 15^e anniversaire en 2019 où l’on parlait déjà de fragmentation, le constat était que les industriels français étaient peu présents à Bruxelles, ne connaissant pas cette agence, essentiellement contrôlée par les antagonismes entre l’ANSSI et le BSI, qui se conforme aux directives politiques de sa Direction générale d’appartenance, et comptant sur leur propre agence nationale dont ce n’était pas le métier, considérant d’autant plus les réalités décrites plus avant et que le niveau européen peut aider à réguler. Si les propositions d’événements entre les deux agences ont été autrefois accueillies poliment en séance par les deux directeurs généraux, elles n‘ont jamais été suivies d’effet, comme pour l’exemple très sensible des structures de recherche Fraunhofer et Carnot qui auraient pourtant bénéfice à travailler ensemble en restant complémentaires.

Comme le disait le Président de la République française à Strasbourg, la France a parfois besoin de la dimension européenne pour avancer, comme d’ailleurs parfois les autres Etats membres et l’on peut dire aussi que parfois l’UE a besoin de la dimension mondiale. Travailler entre Européens signifie aussi créer des intégrations verticales ou horizontales, des coopérations, collaborations ou alliances pour créer des dépendances dans l’interdépendance et répartir la charge de travail même si chaque entité nationale veut récupérer son avantage afin d’être forts, voire autonomes ensemble au-delà de simples règles de circulation et de normalisation. Mais le domaine sensible de la cyber-sécurité peut aussi tenter de travailler avec les partenaires extérieurs sur les éléments de régulation et la veille technologique et industrielle. Les approches semblent identiques à travers les grands pays européens pour créer des champions nationaux et les petits pays plus dépendants peuvent aussi s’organiser entre eux et devenir autonomes en software et cyber-sécurité. Ils doivent représenter des avantages en terme de consolidation et non des risques de dispersion par rapport à la France et l’Allemagne, voire la Pologne et l’Italie. Il convient de porter attention à la possible valorisation des attributions des fonds de cohésion pour les infrastructures liées.

Certaines entreprises essaient de croitre seules dans l’espace européen, notamment par acquisition externe plutôt que représentation commerciale, montrant bien la prise de conscience des savoir faire à travers l’Europe au-delà de la notion d’implantation, essayant de créer certains champions européens désormais apparemment encouragés, comme l’a souligné enfin la Présidente de la Commission lors de son récent discours sur l’état de l’Union, proposant plus une solution européenne que des solutions nationales pour l’Europe, respectant les critères de concurrence, avec intervention semi libérale de politique générale visant à définir un cadre et encourager le regroupement et la hausse de taille par intégration plutôt que la création non encadrée risquant de produire des déceptions de développement à terme. Rappelons qu’Airbus et Ariane ont été deux des premières structures championnes dérogeant même la règle de non concurrence interne, afin de cristalliser le savoir faire européen face à une concurrence externe, certes non facilitée à son démarrage. Ces champions peuvent réduire la fragmentation et organiser cette segmentation de l’offre comme le font les grands groupes. Afin que Mistral puisse etre considéré comme un vrai champion comme Airbus, ne faut-il pas rassembler les autres compétences dans chaque pays pour créer une constellation européenne ?

S’agissant de la demande, qu’elle vienne des administrations ou des entreprises, cette dernière fait davantage confiance à des solutions éprouvées de grosses structures, dont extra européennes, souvent du fait de la fragmentation du marché et des offres qui n’incite pas à adopter et faire confiance à des solutions de startup. En France, les écosystèmes germent avec un substrat initial favorable dans leur logique de création et de développement, pour ne pas négliger la bonne idée avec ou sans utilisateur final, mais sans marché, et donc incités de partir à l’export, voire à déménager, comme dans d’autres domaines où naissent start et scale up comme le spatial. Un marché unique, qui existe pourtant pour la libre circulation mais cette fois pour rassembler les besoins, favoriserait sans doute une structuration au profit des solutions européennes et de leur préférence, comme initié dans la défense avec un retour d’au moins 65%, voire uniquement substantiel, et avec des critères d’obligation de travail local avec des PME nationales et locales compétentes d’au moins 30% comme initié dans le spatial, sans dérogé aux marchés publics, n’empêchant pas les coopérations avec l’extérieur. Quand les leaders étasuniens et chinois sont en contrat avec leur nation, les leaders nationaux européens le sont avec éventuellement les leur et donc l’échelle n’est pas comparable, d’où la nécessité de contrats à dimension européenne. Les questions de souveraineté, en choix de décisions comme en choix de fabrication, doivent être posées à savoir si l’on peut réaliser, quand, comment, à quel prix et cout, quel délai, quelle qualité et en cas d’achat externe, en exerçant une veille et des simulations par jumeaux numériques et intelligence quantique pour identifier comment re-fabriquer telle ou telle solution en interne.

Comme quand les guerres font davantage prendre conscience de la dépendance fossile, faut-il attendre un autre covid pour imaginer et faire passer certaines idées de façon disruptive en passant parfois outre du cadre autorisé ? Peut-être faudrait-il créer certaines centrales d'achat avec labels comme l’UGAP en France mais également la NSPA de l’OTAN où toute structure peut être référencée qu’elle que soit sa taille, mais à partir d’une expérience éprouvée. Par ailleurs, la commande peut-être privée et donc être incitée, en sensibilisant et rassemblant davantage par exemple l’industrie manufacturing de l’industrie du numérique et cyber, notamment lors de salons pourquoi pas de type « weimar » pour commencer à définir une épine dorsale, comme plutôt en Allemagne qu’en France, au-delà de l’optimisation des logiciels, car rien ni personne n’est à l’abri de quoi que ce soit, et que le risque vaut souvent la chandelle d’être prévenu même si le marché de la cyber assurance semble désormais en maturité. Les obligations de déclaration de faits, en lien avec la sécurité des biens et des personnes, visent à être portées au sens pénal avec amendes en plus de préjudice pour peut-être aussi faire réagir les structures étatiques comme privées. Egalement en terme de métiers, et reconnu par certaines agences européennes, la cybersécurité semble être absente de la maintenance et du maintien en condition opérationnel aéronautique, qui devraient pourtant structurer les programmes en amont et surtout dans les domaines sensibles et, face cachée de l’iceberg, représentent un risque majeur. Elle semble être également relativement absente de la demande dans le domaine spatial qui cherche à se structurer et développer ses besoins minimaux, comme dans les télécommunications sécurisées eu de là de l’observation, et a besoin de sécurité pour ses transferts avec la terre mais aussi désormais pour les flux autonomes sur orbites et notamment pour les projets cloud, de stockage et d’autonomie décisionnelle sans repasser par la terre. et les constellations actuelles et futures. Ce volet devrait apparaitre systématiquement sur chaque projet et surtout lorsqu’il s’agit d’un partenariat extérieur rentrant dans la chaine de valeur. Sans aller jusqu’au transport spatial, un plus grand décloisonnement bonifierait par ailleurs les actions entre les transports terrestres aéronautiques et maritimes dont fluviaux, à la fois sur le sujet des marchandises, des passagers comme de la signalisation.

Une politique de management de risques devrait être développée par les agences concernées avec une analyse poussée et des critères optimisés de cout, délais et performance permettant notamment de repasser parfois rapidement d’un état rouge, inacceptable, à vert avec quelques simples prises de décisions réalistes et réalisables. Mais elle doit aussi considérer toute la chaine de valeur, non uniquement les semi conducteurs, des besoins en besoins de matières premières, comme nous le traitons dans nos symposiums énergie depuis 10 ans, comme sur les réseaux internationaux, territoriaux, hospitaliers, la gestion de l’eau et la conservation des talents avec également une réserve de compétence en cas de crise grâce aux retraités qui peuvent rester actifs et en bonne santé.

En matière de financements, qui est finalement ce que tout le monde réclame sans trop vouloir accepter d’obligation, la cyber-sécurité a d’énormes besoins d’amorçage et de développement publics privés en veillant qu’il ne s’agisse pas de retomber dans l’ancienne bulle internet, comme certains experts le prédisent dans l’IA ou le quantique, où l’on parle déjà de post-quantique, en l’absence d’applications concrètes et de retours sur investissements avec désormais des besoins pour les fabricants de capacité RAM.

En haut de la chaine de valeur, une politique semi libérale doit apparaitre dans le financement de la recherche avec meilleure imbrication entre les actions institutionnelles et nationales, à la fois incitative pour créer un cadre voire orienter pour limiter la fragmentation et combler les lacunes. Elle peut aider et surtout contribuer à structurer l’offre et la demande en favorisant les actions de recherche et de l’innovation en cohérence entre l’ERC, l’EIC, notamment sur les financements de projets non banquable avec le soutien de la BEI qui peut décider de mieux s’impliquer sur ces activités duales, et l’EIT, le programme cadre Horizon avec décloisonnement au sein des cluster avec notions de valorisation, d’impacts et d’utilisateurs finaux, mais également les initiatives HEDI, EUDIS, Diana de l’OTAN, Eureka et Eurostar, en cohérence avec les aides d’état de la recherche et de l’innovation nationales de type BPIFrance ou France 2030.

Les institutions peuvent ensuite jouer leur rôle à travers des initiatives comme SAFE dans la défense, dans la création d’un fonds européen institutionnel dédié en plus des fonds privés nationaux mais avec des investissements intelligents, et accorder les aides d’état si décidées en cohérence avec les autres Etats-membres. Des supports d’investissement mobilisant l’épargne peuvent être spécialisés sur le numérique notamment dans un secteur évoluant sans cesse. Il ne s’agit pas d’effectuer un jeu de comparaison en interne national, ou entre l’UE et les Etats-Unis, sur le scoring de la capacité à financer des start-up ou des scale-up qui pourtant ont déjà des marchés acquis, à avoir des licornes ou ETI, mais plutôt d’optimiser la façon de les faire grandir et les contrôler en réduisant la fragmentation plutôt qu’y contribuer, la façon dont on doit ou non espérer un retour sur investissement, en cohérence entre fonds publics, institutionnels et privés de capital risque et développement, qui revendront un jour leurs acquisitions, et de savoir par exemple utiliser les jumeaux numériques, et l’IA pour leur donner de la consistance. Il conviendrait de généraliser les expériences de portage et de couvage d’entreprises et de projets en maintenant les liens initiaux par des licences, même si le poussin décide de partir à l’étranger.

Au-delà des types de structures citées ci-avant, il convient aussi, d’une façon générale, de ne pas oublier les PME qui se trouvent souvent délaissées quand aux soutiens à espérer et obtenir, souffrant de normalisation administrative dont CSRD et ESG, ne rentrant pas des les cases du scoring relatif aux star-up, scale-up et ETI qui ne savent d’ailleurs pas changer de structure ni de politique générale, comme hélas les structures trop élevées aux hormones sans réelles subsistance, alors que c’est un des axes de développement de la DG GROW et de la commission européenne. Les créations d’usines avec au moins deux à trois ans de développement peuvent avoir un bonus si « cyber sécurisées infrastructures by design » tout comme les critères de respect sociaux de l’état de droit pour répondre aux valeurs de l’UE. Enfin, la préférence européenne à travers l’ « Industrial Accelerator Act », qui doit également concerner la cyber et le numérique, doit rester substantielle dans ses critères de financement et de choix, comme le made in France, en privilégiant d’abord le « European by design » avec des produits locaux, nationaux ou européens de façon justifiée, sans pour autant ensuite se limiter en cas de manque de substitut aux GAFAM ou autres 7 merveilleux, mais en conservant le pouvoir de gouvernance avec une dose savante, comme en France, entre les notions « souverain » et « Secnumcloud ».

En espérant avoir attiré votre attention, veuillez agréer mes sincères salutations

François CHARLES

Président de l'I.R.C.E.