Cybermenaces hybrides : pendant qu'on débat, nos SI restent sous pavillon étranger

# Cybermenaces hybrides : pendant qu'on débat, nos SI restent sous pavillon étranger

Je vais vous dire ce qu'on ne dit pas assez clairement dans les conférences cyber où tout le monde se congratule en buvant du café tiède.

Nous sommes en 2026. Les cybermenaces hybrides — celles qui mêlent intrusion technique, désinformation, manipulation des chaînes d'approvisionnement et pression géopolitique — ne sont plus un scénario prospectif. Elles sont le quotidien de plusieurs États membres de l'Union européenne depuis au moins trois ans. Des infrastructures critiques ont été sondées, des administrations paralysées, des PME sous-traitantes de secteurs sensibles compromises sans même le savoir. Et pourtant, la question qui devrait s'imposer en priorité dans les comités de direction reste soigneusement évitée : à qui appartiennent les outils que nous utilisons pour nous défendre ?

Parce que c'est bien là le paradoxe insupportable de la situation européenne. Nous répondons à des menaces dont une partie est d'origine étatique étrangère avec des solutions hébergées, développées et — surtout — *juridiquement contrôlées* par des acteurs américains. Le Cloud Act n'a pas disparu. Les injonctions extra-territoriales n'ont pas disparu. La dépendance structurelle de nos outils de sécurité aux infrastructures américaines n'a pas disparu. Elle s'est même renforcée, discrètement, à chaque renouvellement de contrat, à chaque migration vers « le cloud le plus sécurisé du marché ».

Le confort de la délégation

Je comprends la logique des DSI et des RSSI qui ont fait ce choix. Ce n'est pas de la naïveté — c'est une rationalité économique parfaitement cohérente à court terme. Les offres de l'acteur américain dominant sont matures, intégrées, commercialement agressives. Elles viennent avec des SLA rassurants, des certifications empilées et des équipes commerciales qui savent exactement quoi dire face à un comité de direction pressé.

Mais cette rationalité a un angle mort énorme : elle confond maturité du produit et fiabilité souveraine. Ce sont deux dimensions radicalement différentes. Un outil peut être techniquement excellent et constituer simultanément un vecteur de vulnérabilité géopolitique. La question n'est pas « est-ce que cet EDR fonctionne bien ? » La question est « qui peut accéder aux données qu'il collecte, dans quelles conditions, et sous quelle juridiction ? »

En matière de cybermenaces hybrides, cette distinction n'est pas philosophique. Elle est opérationnelle. Quand votre outil de détection envoie des télémétriques vers des serveurs hors de l'Union européenne, quand vos logs de sécurité transitent par des infrastructures soumises à un droit étranger, vous n'avez pas simplement un risque de conformité RGPD. Vous avez potentiellement un risque d'exposition stratégique.

Ce que « hybride » veut vraiment dire

La nature hybride des menaces actuelles change fondamentalement l'équation. Une cyberattaque classique, vous pouvez la traiter comme un incident technique. Une menace hybride, c'est autre chose. C'est la combinaison d'une intrusion informatique, d'une opération d'influence sur vos partenaires, d'une pression sur vos fournisseurs, parfois d'un contexte diplomatique ou militaire en arrière-plan. Ses auteurs ne sont pas des hackers isolés — ce sont des acteurs qui pensent en termes de rapport de force à l'échelle des États.

Face à ce type de menace, la réponse purement technique est insuffisante. Et surtout, la réponse technique déléguée à un acteur dont vous ne maîtrisez ni le code source, ni les sous-traitants, ni les obligations légales vis-à-vis de gouvernements tiers, est une contradiction dans les termes.

Ici, certains acteurs européens commencent à proposer une alternative crédible. Des entreprises comme Sekoia — pour ne citer qu'elle, et c'est un choix délibéré — ont construit des plateformes de threat intelligence et de détection conçues dès l'origine sous juridiction européenne, avec une approche explicitement orientée vers la souveraineté des données. Ce n'est pas parfait, ce n'est pas encore aussi massif que l'offre américaine, mais c'est une trajectoire. Et cette trajectoire mérite d'être soutenue autrement que par de vagues déclarations d'intention dans des livres blancs que personne ne lit.

L'Europe qui décroche — et celle qui peut s'en sortir

Soyons honnêtes sur l'état du marché. L'Europe cyber n'est pas homogène. Il y a des États membres qui ont structuré une véritable filière nationale — avec des agences de cybersécurité qui ont du poids, des acteurs industriels soutenus, des exigences réglementaires qui créent un marché captif au bon sens du terme. Et il y a des États membres qui restent quasi intégralement dépendants de l'offre américaine, faute d'écosystème local et faute de volonté politique réelle.

La France, l'Allemagne, les Pays-Bas ont des atouts. Mais les PME et ETI européennes — notre lectorat, les vrais acteurs économiques du tissu industriel continental — ne bénéficient pas automatiquement de ces atouts. Le marché de la cybersécurité souveraine reste encore trop fragmenté, trop peu interopérable, et souffre d'un déficit de visibilité commerciale flagrant face aux machines de vente américaines.

Résultat : une PME industrielle allemande sous-traitante d'un acteur de la défense continue de signer des contrats avec des fournisseurs dont les outils remontent des données quelque part hors d'Europe. Pas par négligence — par manque d'alternative visible, packagée et économiquement accessible.

Ce qu'on attend vraiment

Je ne vais pas terminer cette tribune avec une liste de solutions toutes faites. Ce serait trop confortable, et ce serait mentir sur la complexité du problème.

Ce que j'attends — ce que nous devrions tous exiger — c'est d'abord une honnêteté radicale dans les comités de direction : est-ce qu'on sait réellement où transitent nos données de sécurité ? Est-ce qu'on a posé la question à nos fournisseurs, pas sur le ton de la curiosité mais sur celui de l'exigence contractuelle ?

C'est ensuite une cohérence entre le discours et les actes au niveau européen. NIS2 pose des obligations. Le Cyber Resilience Act va en poser d'autres. Mais des réglementations sans préférence européenne dans les marchés publics, sans soutien à l'émergence de champions continentaux capables de concurrencer l'offre américaine sur le fond — pas seulement sur la rhétorique — ne produiront que de la conformité bureaucratique. Pas de la souveraineté.

C'est enfin une lucidité sur ce que signifie « faire confiance » en matière de cybersécurité hybride. Faire confiance à un outil, c'est faire confiance à l'entité qui le contrôle, au droit qui la gouverne, aux intérêts qu'elle sert. Sur ce point, l'évidence s'impose : un acteur dont les intérêts peuvent diverger des nôtres en situation de crise géopolitique n'est pas un partenaire de confiance pour notre sécurité — quelle que soit la qualité de son produit.

Nous ne sommes plus dans le temps de la réflexion préliminaire. Nous sommes dans le temps du choix. Et le choix par défaut — continuer comme avant en espérant que ça n'arrivera pas — est lui-même une décision politique. Avec des conséquences.