L’Europe, et le monde avec elle, traverse une période d’incertitude géopolitique majeure. Risques liés aux sanctions, divergences juridiques et disruptions du paysage cyber remontent jusqu’aux plus hautes instances de décision. Pour le vice-président et responsable des affaires gouvernementales et des politiques publiques pour la région Europe chez Zscaler, Casper Klynge, la souveraineté numérique est devenue une exigence opérationnelle portée par les impératifs de résilience, la dépendance aux services critiques et la montée des risques géopolitiques et cyber.
Les définitions varient : localisation des données, politique industrielle, sécurité nationale. Peu importe. L’absence de consensus ne signifie pas l’absence de volonté. La souveraineté façonne déjà les décisions d’achat, les obligations de conformité et les stratégies technologiques.
À l’intersection des mondes politiques et technologiques, j’ai vu des politiques numériques se muer en frein opérationnel. J’ai aussi vu que le mot « souveraineté » masquait souvent des craintes plus profondes : dépendance, géopolitique, crainte que les services critiques ne soient plus disponibles au moment où on en a le plus besoin.
Deux enjeux structurent le débat
Le premier : les décideurs publics ont raison. Une dépendance excessive aux technologies étrangères est un risque de résilience nationale. Le marché du cloud en est l’illustration : en Europe, les trois premiers fournisseurs mondiaux captent environ 70 % du marché, contre 15 % pour l’ensemble des acteurs européens. Si cette concentration n’est pas une faille en soi, elle constitue une dépendance stratégique qui peut devenir critique quand les régimes juridiques divergent, quand l’accès est contesté, ou quand un choc géopolitique réduit les marges de manœuvre. Et elle amplifie le risque systémique : une défaillance chez un petit nombre d’acteurs peut se propager à des milliers d’organisations et à leurs chaînes d’approvisionnement.
Deuxième enjeu : les dirigeants d’entreprise ont raison, eux aussi. Des initiatives de souveraineté mal calibrées font grimper les coûts et la complexité réglementaire. Si la souveraineté devient une obligation de localisation stricte ou une logique de « stack exclusivement souverain », elle entraîne la duplication des infrastructures, bride la compétitivité et l’agilité, et freine la modernisation. Dans les faits, elle peut aussi fermer l’accès aux meilleures technologies et maintenir les organisations sur des systèmes obsolètes plus longtemps que prévu.
Ce débat s’invite aussi dans la question de la compétitivité européenne. Mario Draghi l’a formulé clairement : la sécurité est une condition préalable à une croissance durable, et des dépendances trop profondes exposent l’Europe à des formes de coercition dans un monde géopolitiquement instable. La question n’est donc pas de savoir si la souveraineté compte. Elle compte. La question, c’est comment la construire sans en faire une idéologie d’achat contre-productive.
Quand la politique dicte les choix technologiques
La décision du gouvernement français de restreindre certains outils de visioconférence étrangers au profit d’une solution nationale dit quelque chose sur la direction prise à l’échelle de l’UE. Que l’on soit en accord ou non avec cette décision, elle envoie un signal clair : la souveraineté est désormais un ensemble de contraintes concrètes, capables de remodeler les choix technologiques du jour au lendemain.
Beaucoup d’organisations répondent par une troisième voie, la plus dangereuse : l’attentisme. Dans une étude récente, 73 % des répondants ont déclaré que les enjeux de souveraineté numérique les avaient conduits à retarder ou annuler des initiatives de transformation. Cette dynamique de pause est toxique. Elle prolonge l’exposition aux risques des systèmes obsolètes, affaiblit la posture cyber et laisse les organisations moins armées face aux rançongiciels, aux compromissions de chaîne d’approvisionnement, aux pannes systémiques ou aux changements soudains des règles transfrontalières, alors même que le paysage des menaces évolue plus vite que jamais.
Si l’Europe veut une souveraineté qui renforce la résilience plutôt qu’elle ne la mine, il faut un cadre pratique, mesurable, compatible avec des marchés ouverts, et construit avec le secteur technologique. En voici un : Contrôle. Choix. Continuité.
Un cadre fondé sur les résultats
La souveraineté commence par ce qu’une organisation peut concrètement maîtriser : qui accède aux données, qui administre les systèmes, si un fournisseur peut consulter les contenus clients, où sont stockés les journaux, comment les clés sont gérées, ce que les sous-traitants peuvent voir, comment les politiques sont appliquées. Le contrôle, ce n’est pas l’isolement. C’est une gouvernance opposable et la réduction des dépendances invisibles.
La souveraineté exige aussi le choix : des alternatives crédibles quand les hypothèses de départ s’effondrent. Trop d’organisations le découvrent trop tard : leur “stratégie fournisseur” est en réalité une stratégie de dépendance, avec très peu d’issues réalistes.
Le choix ne s’achète pas en dupliquant chaque technologie. Il se construit dans l’architecture et les contrats : portabilité des données et des configurations, transparence complète sur les dépendances et les ressorts juridiques impliqués, mécanismes de sortie définis à l’avance et mobilisables en urgence. Il suppose aussi que les dirigeants refusent que la souveraineté devienne un prétexte à l’immobilisme. Tout programme soumis à des contraintes de souveraineté doit suivre un chemin de décision : refonte, atténuation ou sortie, avec un calendrier.
Le troisième C, c’est la continuité : maintenir les services critiques en toutes circonstances. Si la souveraineté est censée réduire la vulnérabilité stratégique, c’est la continuité qui en détermine la valeur réelle : réalité opérationnelle ou mise en scène.
La continuité se mesure : objectifs de reprise, basculements testés, exercices de défaillance fournisseur, scénarios de changement de cadre réglementaire. Les chiffres disent l’urgence. En Europe, les attaques par rançongiciel les plus destructrices progressent : Espagne (+116 %), Allemagne (+74 %), Belgique (+73 %), Italie (+53 %), France (+34 %). 52 % des responsables informatiques estiment leurs dispositifs de sécurité insuffisants face à l’IA agentique et à l’informatique quantique. En France, l’ANSSI a enregistré une hausse significative des incidents affectant des opérateurs d’importance vitale et des services essentiels, une tendance qui s’inscrit dans une dégradation générale du paysage cyber européen.
L’IA démultiplie les risques. Elle offre déjà aux acteurs malveillants de nouveaux moyens d’action pour accroître la vitesse, l’ampleur et la sophistication de leurs attaques. La question n’est plus de savoir si une perturbation surviendra. Elle surviendra. La question, c’est de savoir si les systèmes seront en mesure d’y faire face.
Exiger des résultats, pas des noms de fournisseurs
Les dirigeants d’entreprise ont raison : la souveraineté fait grimper les coûts, alourdit la conformité, réduit l’accès aux meilleures technologies. Les décideurs publics ont raison aussi : une dépendance stratégique fragilise la sécurité nationale et la résilience. Les deux camps ont raison. C’est précisément le problème.
L’erreur, c’est d’écrire des règles qui désignent des fournisseurs plutôt que d’exiger des contrôles, ceux qui permettent de maintenir les services en cas de crise.
Les exigences de souveraineté les plus utiles sont ancrées dans les résultats : contrôle effectif des accès et des données, liberté de choix réelle via la portabilité et les mécanismes de sortie, continuité démontrée par les tests et la rapidité de reprise. Elles permettent d’utiliser des plateformes technologiques en toute sécurité, de respecter les exigences locales, sans figer la modernisation.
Si la souveraineté est désormais une exigence opérationnelle, chaque acteur a un rôle défini.
Les conseils d’administration définissent ce que signifie « suffisamment souverain » pour leur organisation, et exigent rapports réguliers, tests, et incitations liées à la résilience. Les CEO et COO traitent la souveraineté comme un enjeu de continuité, financent la modernisation qui réduit les dépendances fragiles, et forcent les décisions sur les programmes bloqués. Les CIO et CISO cartographient et limitent les accès tiers, déploient la résilience multi-régions là où c’est nécessaire, et préparent des plans concrets pour les scénarios de défaillance fournisseur ou de changement de cadre réglementaire.
Les régulateurs doivent clarifier les définitions, harmoniser les exigences autant que possible, et créer des parcours de conformité avec des périodes de transition qui récompensent la modernisation plutôt qu’ils n’encouragent l’attentisme. Une approche fondée sur le risque, co-construite avec les acteurs des secteurs d’activité concernés.
Contrôle, choix, continuité : de l’intention à la pratique
La souveraineté ouverte se construit à plusieurs : interopérabilité entre acteurs, préparation commune aux incidents, sous-traitance transparente, partenariats qui réduisent la concentration plutôt que de le déplacer. Elle doit s’ancrer dans les réalités locales et nourrir les écosystèmes de proximité.
La conformité rend la souveraineté mesurable : définitions claires, preuves auditables, approches réglementaires centrées sur les contrôles opérationnels, pour favoriser le développement des organisations plutôt que de le freiner.
L’épreuve de la souveraineté européenne, c’est le terrain : gouverner les accès, préserver les alternatives, se rétablir vite, maintenir les services critiques quand les dépendances lâchent. Bien conduite, elle devient un catalyseur de résilience, d’innovation, de croissance. Mal conduite, elle devient le frein à la transformation même qu’elle prétend protéger.
