118 millions de raisons de ne plus sous-traiter notre sécurité à l'autre rive de l'Atlantique

# 118 millions de raisons de ne plus sous-traiter notre sécurité à l'autre rive de l'Atlantique

Cent dix-huit millions d'euros. Prenez le temps de lire ce chiffre. Pas une projection. Pas un scénario de stress test sorti d'un cabinet de conseil. Un impact réel, documenté, sur un acteur financier européen de premier plan. Crédit Mutuel Arkéa, 2026. Et pendant que les équipes de communication gèrent la crise, pendant que les actionnaires encaissent, pendant que les clients attendent des explications — moi, je veux poser la seule question qui vaille : est-ce qu'une architecture de sécurité plus souveraine aurait changé quelque chose ?

Je ne suis pas là pour accabler Arkéa. Je suis là pour refuser que cet épisode soit traité comme un simple fait divers technique, un incident de plus dans la longue liste des brèches que l'on classe, que l'on archive, et dont on ne tire jamais les vraies leçons organisationnelles.

La vraie question n'est pas « comment c'est arrivé » mais « à qui on a confié les clés »

Depuis des années, le secteur financier européen — comme l'ensemble des grandes organisations — a rationalisé, optimisé, mutualisé. Et dans ce mouvement de fond parfaitement logique sur le papier, nous avons progressivement externalisé des couches entières de notre sécurité informatique vers des prestataires dont les centres de décision, les équipes de R&D, les protocoles de réponse aux incidents et parfois les données elles-mêmes se trouvent hors d'Europe.

Ce n'est pas un complot. C'est une dérive structurelle. Et elle a un coût.

Lorsqu'une organisation dépend majoritairement d'un écosystème de sécurité conçu, administré et mis à jour depuis une autre juridiction, elle accepte implicitement plusieurs réalités inconfortables : ses délais de réponse aux incidents sont conditionnés par les priorités d'un prestataire qui n'a aucune obligation légale envers le droit européen, ses capacités de personnalisation sont limitées par des roadmaps produit pensées pour le marché américain, et sa capacité à comprendre ce qui se passe dans son propre système d'information dépend de boîtes noires dont elle ne contrôle ni le code, ni les mises à jour, ni les accès tiers.

Je ne dis pas que les alternatives européennes sont infaillibles. Personne ne l'est. Je dis que la nature de la dépendance change tout.

Ce que ça coûte vraiment — et ce n'est pas que de l'argent

Cent dix-huit millions, c'est la partie visible. Mais une cyberattaque de cette ampleur génère une autre facture, celle-là invisible dans les comptes mais dévastratrice dans les organisations : la perte de maîtrise interne.

Quand la crise éclate, que se passe-t-il dans les équipes ? Les DSI appellent leurs prestataires. Les prestataires envoient des équipes de réponse aux incidents. Ces équipes ont accès à tout, voient tout, documentent tout — et repartent avec une connaissance fine de l'architecture du système d'information de votre organisation. C'est le paradoxe absolu de la sécurité externalisée : votre crise devient la donnée d'apprentissage de quelqu'un d'autre.

Et pendant ce temps, en interne ? Les compétences ne se développent pas. Elles s'atrophient. Les équipes IT deviennent des orchestrateurs de tickets, des intermédiaires entre la direction et des fournisseurs qu'elles ne comprennent plus vraiment. La gouvernance de la sécurité se réduit à la lecture de rapports que personne n'a produits et que peu de monde peut contester.

C'est là que se joue la vraie question organisationnelle que cet incident devrait forcer à poser : combien d'entreprises européennes seraient aujourd'hui capables de répondre à une attaque de grande ampleur sans décrocher immédiatement leur téléphone pour appeler un prestataire américain ?

Redevenir compétent, pas seulement conforme

La réponse réflexe après une crise de ce type, c'est le renforcement de la conformité. DORA pour le secteur financier, NIS2 pour les autres. Des audits, des certifications, des rapports. Je ne dis pas que c'est inutile. Je dis que c'est insuffisant — et parfois contre-productif quand la conformité devient une fin en soi qui remplace la compétence réelle.

Ce dont les organisations européennes ont besoin, ce n'est pas de cases cochées. C'est de réinternaliser une capacité stratégique que nous avons laissé partir, progressivement, sans même nous en rendre compte.

Concrètement, ça veut dire quoi ? Ça veut dire recruter et former des équipes de sécurité offensive et défensive qui connaissent les systèmes de l'intérieur — pas des équipes qui savent lire des dashboards fournis par un éditeur tiers. Ça veut dire exiger de ses équipes IT une capacité de threat hunting autonome, pas déléguée. Ça veut dire que le RSSI doit redevenir un acteur de gouvernance réel, pas un traducteur entre la direction et des contrats qu'il ne peut pas modifier.

Et ça veut dire regarder sérieusement du côté des acteurs européens de la cybersécurité — pas par idéologie, mais parce que travailler avec un acteur soumis au droit européen, dont les équipes sont localisées sur le continent, dont les pratiques de sous-traitance sont auditables, change fondamentalement la nature du contrat. Pas le contrat commercial. Le contrat de confiance.

Des acteurs comme Sekoia, pour ce qui est de la détection et réponse aux incidents, montrent qu'il est possible de construire une réponse technique de niveau mondial sans dépendre de l'écosystème américain. Ce n'est pas un catalogue. C'est un signal que l'option existe — et qu'elle mérite d'être évaluée sérieusement plutôt qu'écartée au motif que « tout le monde fait autrement ».

Le moment de décision

Il y a quelque chose de particulièrement cruel dans la temporalité d'une cyberattaque : on n'a jamais le temps de réfléchir quand elle arrive. Les décisions qui déterminent la résilience d'une organisation se prennent des mois, parfois des années avant l'incident. Dans les budgets IT que personne ne veut défendre en COMEX. Dans les arbitrages entre une solution souveraine un peu moins mature et une solution américaine packagée avec un marketing rassurant. Dans le choix de ne pas former une équipe interne parce que « le prestataire s'en charge ».

Arkéa paie aujourd'hui, en partie, les arbitrages d'hier. Je ne sais pas lesquels exactement — et je me garderai de toute condamnation facile. Mais je sais que d'autres organisations européennes font ces mêmes arbitrages en ce moment. Et que certaines d'entre elles liront cet article dans six mois, après leur propre incident, en regrettant de ne pas avoir posé les bonnes questions plus tôt.

Cent dix-huit millions d'euros, c'est peut-être le prix qu'il faudra que nous payions collectivement pour comprendre que la souveraineté numérique n'est pas un argument politique. C'est une ligne de défense. Et elle commence dans les organigrammes, les fiches de poste et les plans de formation — bien avant de commencer dans les firewalls.