GYS franchit le pas : quand l'industrie française forge son propre OS pour ne plus dépendre de l'étranger

Un fabricant français qui refuse de sous-traiter son cerveau numérique

GYS est une entreprise française fondée en 1964, spécialisée dans la fabrication de matériel de soudage, de charge de batteries et de redresseurs industriels. Elle est présente dans une cinquantaine de pays. Jusqu'ici, GYS concevait des machines. Désormais, elle développe également la couche logicielle qui les pilote : son propre système d'exploitation (OS) industriel.

Un OS industriel, c'est le logiciel de base qui fait fonctionner une machine connectée, collecte ses données de fonctionnement et les transmet vers un système de supervision. C'est donc lui qui décide où vont les données de production : sur quel serveur, dans quel pays, sous quelle juridiction.

Le problème avec les OS industriels dominants aujourd'hui ? Beaucoup sont édités ou hébergés par des acteurs américains. Cela les soumet au Cloud Act, une loi américaine de 2018 qui autorise les autorités des États-Unis à réclamer l'accès aux données stockées par toute entreprise américaine, où qu'elles se trouvent dans le monde. Pour une PME européenne dont les données de production transitent par un tel système, le risque d'extraterritorialité est réel et souvent ignoré.

Ce que cela change pour la conformité des industriels européens

Le mouvement de GYS intervient dans un contexte réglementaire européen en pleine accélération. Trois textes sont à retenir.

NIS2 (Network and Information Security 2) est une directive européenne entrée en vigueur en 2023, qui impose des obligations de cybersécurité renforcées à un grand nombre d'entreprises industrielles, y compris des sous-traitants de secteurs critiques. Maîtriser la couche logicielle de ses machines, c'est maîtriser une partie de sa surface d'attaque.

DORA (Digital Operational Resilience Act) concerne principalement le secteur financier, mais il établit un précédent : les régulateurs européens exigent désormais que les entreprises documentent et contrôlent leurs dépendances numériques tierces. La logique se diffuse à l'industrie.

Le RGPD (Règlement Général sur la Protection des Données), enfin, interdit en principe le transfert de données personnelles vers des pays tiers sans garanties adéquates. Or les données issues de machines connectées peuvent contenir des informations indirectement identifiantes sur des opérateurs humains.

En développant un OS maîtrisé en interne, GYS réduit mécaniquement le nombre de tiers auxquels ses clients industriels confient leurs données. Pour un DSI ou un RSSI d'ETI manufacturière, c'est un argument de conformité concret, pas seulement un argument marketing.

Ce mouvement illustre une tendance plus large : des équipementiers européens qui comprennent que livrer une machine sans contrôler son logiciel, c'est livrer une porte d'entrée dans le système d'information de leur client. Reprendre la main sur la couche logicielle, c'est aussi reprendre la main sur la relation de confiance avec l'acheteur industriel européen.