De la parole aux actes : pour une véritable stratégie pour l'autonomie numérique européenne

Le grand revirement d’Arnaud Coustillière : quand les artisans de la dépendance numérique (re)découvrent les vertus de la souveraineté

En avril 2025, le Vice-amiral d’escadre (2S) Arnaud C. , Président du « Pôle d’Excellence Cyber » et ancien responsable de la cyberdéfense française, publie une tribune alarmiste sur la nécessité pour l’Europe de “regagner le terrain informatique abandonné aux acteurs non européens, là où nos intérêts stratégiques et les données de nos citoyens le nécessitent.” Il affirme désormais que “l’autonomie en cybersécurité ne se limite pas à une question technique : c’est un enjeu politique, un impératif de souveraineté, de compétitivité et de stabilité sociale.”

Ce discours, s’il est pertinent sur le fond, ne peut manquer de surprendre quand on se souvient des positions que le même Arnaud Coustillière défendait en 2016, lors de sa participation à l’émission Cash Investigation consacrée au contrat “Open Bar” entre Microsoft et le ministère de la Défense française.

À l’époque, alors qu’il était “le grand patron de la cyberdéfense française, à la pointe sur les questions d’espionnage” selon les termes du reportage, il balayait d’un revers de main les préoccupations liées à ce contrat controversé :

“Je vous le dis, en termes de sécurité, moi, personnellement, ça ne m’inquiète pas plus que ça. Après effectivement, Microsoft étant propriétaire des sources de ce logiciel, il est très difficile d’avoir la garantie qu’il n’y a pas de back doors, qu’il n’y ait pas de vulnérabilité cachée dans les produits Microsoft. Si vous voulez, c’est une balance des risques par rapport à un coût. Donc aujourd’hui il est considéré que ce n’est pas là que résident nos principales failles de vulnérabilité de sécurité.”

Interrogé sur les révélations d’Edward Snowden concernant les accords entre les services de renseignement américains et Microsoft, sa réponse était d’une désinvolture déconcertante : “Oui, mais les accords entre le gouvernement américain et Microsoft, je ne les connais pas.” Quant à savoir s’il referait ce choix aujourd’hui, sa réponse était sans équivoque :

“Moi très franchement ? Vous voulez ma conviction ? Oui, je le referais. Oui. Dans le fond je m’en fous de ce débat-là. C’est un débat qui a plus de quatre ou cinq ans, ce truc. Pour moi c’est un débat d’informaticiens. C’est un débat qui est dépassé.”

Le même homme qui déclarait en 2016 “dans le domaine militaire, qui va m’espionner ?” et qui qualifiait les préoccupations de souveraineté numérique de “débat d’informaticiens” nous met en garde aujourd’hui contre “l’intensification des cyberattaques, l’ingérence étrangère et la dépendance technologique.”

Ce revirement spectaculaire illustre à la fois la prise de conscience tardive de nos élites et le poids des responsabilités dans l’aggravation de notre dépendance numérique. Car pendant que les responsables de notre sécurité numérique faisaient le choix délibéré d’une dépendance accrue envers des technologies étrangères, d’autres voix s’élevaient déjà pour alerter sur les risques.

L’accord secret qui questionnait notre souveraineté

Suite à la diffusion de Cash Investigation, Marc Mossé, alors directeur des affaires publiques et juridiques de Microsoft France, avait révélé l’existence d’un “accord de sécurité” entre Microsoft et l’État français. Interrogé par Élise Lucet, il déclarait :

“Je vais vous dire autre chose, je crois que je ne l’ai jamais dit. Ce n’était pas public jusqu’à maintenant. L’État français a un accord avec Microsoft pour bénéficier de toutes les informations techniques et de sécurité concernant les logiciels qu’il utilise.”

Pressé de préciser la nature de cet accord, il restait évasif :

“Ce sont des accords dont je ne donnerai aucun détail, ce sont des accords de sécurité, l’État français bénéficie des informations nécessaires à la sécurité de ses systèmes d’information, en lien avec les produits Microsoft.”

L’April (Association pour la promotion et la défense du logiciel libre) avait alors demandé la publication de cet accord, s’interrogeant légitimement : “Peut-on vraiment accepter que la souveraineté informatique de l’armée dépende de la bonne foi d’une entreprise privée ?”

Mais l’existence même de cet accord secret soulevait une question plus troublante encore : “sachant que ces outils Microsoft sont aussi largement utilisés par d’autres États, par les entreprises, par le public… s’agirait-il pour l’État français d’être informé en avant-première de failles permettant l’espionnage de tiers ?”

La réponse tardive à un choc géopolitique prévisible

Neuf ans plus tard, c’est le retour de Donald Trump à la Maison Blanche qui semble avoir finalement éveillé les consciences et questionne en ce moment même bien d’autres décideurs français. Ce que Arnaud Coustillière décrit comme un “électrochoc” n’est pourtant que la conséquence logique de décennies de démission stratégique dans le domaine numérique.

Il cite plusieurs exemples historiques pour appuyer son appel à l’action :

“Souvenons-nous de Suez en 1956 ! Les Français et les Britanniques ont été sommés, du fait d’un accord entre les États-Unis et l’URSS, de stopper leurs opérations. Cela a été le point de départ de la constitution de la Force de Dissuasion par le général de Gaulle dans l’objectif de ‘Retrouver notre autonomie stratégique pour défendre nos intérêts nationaux’.”

“Le rapport ‘Nora-Minc’ sur l’Informatisation de la Société Française datant de 1977 avait déjà anticipé beaucoup de choses, mais que d’échecs et de démissions collectives depuis face à l’émergence de l’hégémonie américaine.”

Si la comparaison avec Suez est pertinente, elle souligne aussi l’ampleur de notre retard. Il aura fallu attendre neuf ans après les révélations d’Edward Snowden, qui constituaient déjà un “moment Suez” pour notre souveraineté numérique, pour que nos responsables prennent pleinement conscience des enjeux.

Des propositions insuffisantes face à l’urgence de la situation

Face à ce constat alarmant, les quatre initiatives proposées par Arnaud Coustillière apparaissent étonnamment timides et déconnectées de l’urgence qu’il décrit lui-même.

1- Lancer une dynamique nationale

“Promouvoir à la fois les offres souveraines et de confiance, mais lancer un échange entre les acteurs « français » et les GAFA pour faire comprendre que la situation actuelle est intenable et sera « perdant-perdant » comme semble le montrer les récentes évolutions de la bourse américaine. Faire des affaires ne veut pas dire écraser ou prendre son client en otage….”

Cette proposition témoigne encore d’une naïveté préoccupante. Les GAFAM ne sont pas de simples partenaires commerciaux avec lesquels on pourrait négocier d’égal à égal, mais les instruments d’une stratégie de domination géopolitique : les fameux partenariats de dépendance technologique… Dans le contexte d’un retour de Trump au pouvoir, ces entreprises constituent le bras armé de l’administration américaine pour maintenir et renforcer sa domination numérique mondiale.

L’idée que l’étendard d’une situation « perdant-perdant » peut constituer un levier de négociation efficace face à des entreprises qui disposent de réserves de trésorerie colossales et d’un soutien politique sans faille est illusoire.

2- Conduire des États généraux du numérique

Si le champ militaire pourrait effectivement être un lieu pour faire émerger un plan ambitieux, on pourrait adapter la célèbre phrase de Georges Clemenceau en disant que “L’autonomie stratégique dans le domaine du numérique est une chose trop grave pour la confier uniquement à des militaires.”

La souveraineté numérique est un enjeu transversal qui concerne l’ensemble de la société et nécessite une mobilisation bien au-delà des seuls cercles militaires ou techniques.

3- Élargir les travaux de France 2030 en allant au-delà des seuls projets techniques

Ce n’est plus de financements R&D dont nous avons besoin en tant qu’écosystème du numérique français et européen. Il faut des actes forts d’adoption pour :

• Dépasser l’ère des discours et que les décideurs fassent preuve d’audace et fassent confiance aux acteurs nationaux pour certains engagés depuis 25 ans dans cette stratégie d’indépendance

• Se confronter réellement à la hauteur des défis qui sont les nôtres et qui résultent des choix passés qui ont malheureusement accéléré notre dépendance

• S’apercevoir que c’est possible sans devoir remettre en cause notre sécurité nationale, la productivité des agents et collaborateurs dans les entreprises et encore moins l’interopérabilité avec les tiers.

Sur ce point, on peut rejoindre Arnaud Coustillière lorsqu’il affirme que “l’État ne doit pas vouloir agir seul, ce doit être une action conjointe entre politiques et fonctionnaires, mais aussi et surtout avec les représentants des entreprises consommatrices et leurs DSI (Cigref, Club Décision DSI…).“

4- Lancer une sensibilisation et concertations avec les associations de DSI

Plutôt qu’à la sensibilisation, qui s’est accélérée ces dernières semaines, consacrons notre énergie et les moyens à l’action ! Le temps de la prise de conscience est révolu, celui de l’action concrète est venu.

Pour une stratégie véritablement à la hauteur des enjeux

Face à l’urgence de la situation et aux défis identifiés, une véritable stratégie de souveraineté numérique européenne devrait s’articuler autour de mesures contraignantes et structurantes, capables de transformer radicalement notre écosystème numérique. Voici les principales mesures qui devraient être mises en œuvre :

1. Un cadre réglementaire contraignant pour les secteurs stratégiques

Obligation d’usage de solutions souveraines dans les secteurs critiques et stratégiques (défense, santé, énergie, finance, communications électroniques, transports). Cette obligation doit s’accompagner d’un calendrier précis de migration, avec des étapes intermédiaires contrôlables.

Certification obligatoire de souveraineté pour les solutions numériques utilisées dans ces secteurs, avec des critères stricts concernant la localisation des données, la transparence du code, l’indépendance juridique vis-à-vis des législations extraterritoriales, et la capacité de support et de maintenance sur le territoire européen.

Interdiction légale pour les entités stratégiques de recourir à des services cloud soumis à des législations extraterritoriales comme le Cloud Act américain, avec des sanctions financières dissuasives en cas de non-respect.

2. Une révolution des marchés publics

Clause de préférence européenne systématique dans tous les marchés publics liés au numérique, avec obligation de justifier tout recours à une solution non-européenne par une impossibilité technique avérée et validée par une autorité indépendante.

Prime à la souveraineté numérique dans les critères d’attribution des marchés publics, accordant un avantage substantiel (15-20%) aux solutions souveraines lors de l’évaluation des offres.

Création d’un fonds de mutualisation permettant aux collectivités territoriales et aux petites administrations de s’équiper en solutions souveraines sans surcoût par rapport aux solutions dominantes du marché.

3. Un plan d’investissement massif dans les solutions logicielles stratégiques

Plateforme PaaS européenne souveraine offrant une alternative crédible aux solutions américaines, permettant aux développeurs européens de déployer et gérer leurs applications sans dépendance technique vis-à-vis d’acteurs extra-européens.

Programme #NoMoreOffice visant à développer et déployer une suite bureautique et collaborative complète, interopérable et souveraine, capable de remplacer définitivement Office 365 dans les administrations et entreprises européennes, avec des fonctionnalités équivalentes et une expérience utilisateur optimisée.

Écosystème souverain d’IA incluant des modèles de fondation entraînés sur des données européennes, des plateformes de déploiement, et des APIs accessibles aux développeurs et entreprises du continent, garantissant une indépendance face aux monopoles américains et chinois dans ce domaine stratégique.

Fonds d’investissement souverain dédié aux solutions logicielles critiques (PaaS, IA, collaboratif, cybersécurité), doté d’au moins 100 milliards d’euros sur 5 ans et capable d’accompagner les entreprises européennes stratégiques de leur création jusqu’à leur passage à l’échelle internationale, avec une priorité donnée aux solutions permettant de s’affranchir des dépendances actuelles.

4. Un programme ambitieux d’indépendance technologique

Plan de formation massive aux technologies souveraines dans l’enseignement supérieur et la formation professionnelle, avec des objectifs chiffrés de diplômés dans les filières stratégiques.

Émergence d’un champion européen intégré proposant une offre complète PaaS/Collaboratif/IA, capable de rivaliser avec les géants américains sur le marché mondial tout en garantissant une souveraineté juridique et technique complète. Cette émergence serait soutenue par des politiques publiques ciblées (commande publique, incitations fiscales, accompagnement à l’internationalisation) plutôt que par une approche descendante de type consortium.

Programme de recherche coordonné entre les États membres sur les technologies de rupture, avec des objectifs d’autonomie stratégique clairement définis et des mécanismes de transfert rapide vers l’industrie, en privilégiant les approches agiles et l’expérimentation rapide plutôt que les grands programmes monolithiques.

5. Des instruments économiques au service de la souveraineté

Fiscalité avantageuse pour les entreprises utilisant des solutions numériques souveraines, avec un crédit d’impôt dédié à la transition vers ces solutions.

Taxe spécifique sur l’utilisation de services numériques non-souverains dans les secteurs stratégiques, dont le produit alimenterait directement le développement d’alternatives européennes.

Conditionnalité du versement de certaines aides publiques à l’utilisation de solutions numériques souveraines, particulièrement pour les secteurs bénéficiant de subventions importantes.

6. Une diplomatie européenne offensive sur le numérique

Coalition internationale pour la diversité numérique, rassemblant les pays (au delà de l’Europe, je pense au Canada) soucieux de préserver leur autonomie stratégique face aux hégémonies numériques.

Négociations commerciales intégrant systématiquement la réciprocité d’accès aux marchés publics numériques et la protection des acteurs européens.

Représentation unifiée de l’UE dans les instances de gouvernance du numérique mondial, avec un mandat clair de défense des intérêts européens.

Conclusion : le temps de l’action

L’Europe a son destin entre ses mains : il ne lui appartient qu’il soit Libre et respectueux de nos institutions et de nos citoyens. La prise de conscience tardive de nos élites, illustrée par le revirement spectaculaire d’Arnaud Coustillière, doit maintenant laisser place à des actions concrètes et courageuses.

Si la comparaison avec le “moment Suez” est pertinente, rappelons que la réponse du Général de Gaulle ne s’est pas limitée à des colloques et des groupes de travail, mais a conduit à la création d’une force de dissuasion nucléaire indépendante en moins d’une décennie. De même, face au défi actuel de notre souveraineté numérique, seule une mobilisation d’ampleur comparable, avec des mesures contraignantes et structurantes, sera à la hauteur des enjeux.

L’avenir de notre souveraineté n’est pas dans les discours, mais dans l’action. Et cette action doit commencer maintenant.