Dans les infrastructures critiques, la souveraineté ne se résume pas à l’origine d’un fournisseur ou à la localisation d’une technologie. Pour Sébastien Viou, stratège cybersécurité chez Fortinet, elle dépend aussi de la capacité des organisations à comprendre leurs systèmes, conserver les compétences nécessaires et reprendre la main lorsque les dépendances deviennent un problème.
Dans les secteurs d’infrastructures critiques, la souveraineté n’est pas un concept abstrait. Elle ne relève ni du marketing, ni d’un simple positionnement stratégique. Elle se mesure à une réalité assez concrète : quand un système s’interrompt, ce ne sont pas seulement des indicateurs qui passent au rouge, ce sont des services essentiels qui sont affectés.
Aujourd’hui, la souveraineté est souvent abordée sous l’angle de l’origine géographique : privilégier des solutions nationales ou régionales, réduire les dépendances extérieures, reprendre davantage de contrôle. Mais si l’on regarde plus finement la façon dont les infrastructures critiques sont construites et comment elles opèrent, cette lecture mérite d’être complétée.
La géographie comme facteur de maîtrise du risque
L’origine géographique des solutions joue un rôle réel, c’est indéniable. Les contraintes réglementaires, les enjeux d’extraterritorialité, les dépendances juridiques ou encore les alignements géopolitiques ne sont pas des sujets secondaires, en particulier pour des infrastructures qui conditionnent le fonctionnement d’un pays. La proximité peut faciliter les échanges, la compréhension des enjeux locaux, et parfois la capacité à réagir plus vite.
Vu sous cet angle, la souveraineté peut apparaître comme une forme de réduction du risque par le choix des bons partenaires, comme une manière de reprendre une partie du contrôle en limitant les dépendances les plus critiques.
Une souveraineté qui ne résiste pas à la réalité opérationnelle
Cette approche peut toutefois montrer certaines limites dès lors que l’on passe du cadre théorique aux réalités opérationnelles.
Prenons un cas volontairement simple : une usine automobile exploitée localement par un constructeur étranger. Les décisions stratégiques ne sont pas prises sur place. Pourtant, les lignes de production tournent, les équipes savent intervenir, diagnostiquer, corriger. Les compétences sont là, ancrées dans le territoire.
À l’inverse, une entreprise nationale qui a progressivement externalisé sa R&D, sa production et son support, conserve une identité, parfois une maîtrise contractuelle, mais perd peu à peu sa capacité d’action autonome.
Dans les deux cas, l’origine seule ne suffit pas à refléter pleinement la réalité opérationnelle.
Transposé aux infrastructures critiques, ce décalage devient encore plus perceptible. Un système peut être conçu, certifié et opéré dans un cadre conforme aux exigences de souveraineté, et ainsi répondre à l’ensemble des critères attendus. Et pourtant, en situation de crise, plusieurs questions demeurent essentielles : le fonctionnement reste-t-il assuré ? Qui comprend suffisamment le système pour en diagnostiquer les failles sans dépendre d’un tiers ? Qui peut l’adapter, le contourner, le reconstruire si nécessaire ?
De plus en plus connectée, l’infrastructure IT a perdu progressivement de son autonomie, elle se retrouve assujettie à des paramètres industriels ou économiques et intégrée dans le cadre plus large d’une optimisation en temps réel. Les dépendances existent, et elles sont partout : dans la matière première, dans les composants matériels issus de chaînes globales, dans les briques logicielles open-source maintenues par quelques individus, dans la dette technique accumulée.
Dans ce contexte, parler de souveraineté comme d’un état stable devient difficile. Elle apparaît plutôt comme une construction fragile, qui tient tant que l’environnement reste favorable.
La souveraineté réelle : une question de compétences et de portabilité
Si la souveraineté absolue est hors de portée et que l’origine des solutions ne suffit pas, la question mérite d’être reformulée : une infrastructure critique est-elle souveraine par ses choix technologiques ou par sa capacité à fonctionner en toutes circonstances ?
Le rôle des compétences devient alors central. Une organisation qui comprend réellement ses systèmes conserve une capacité d’action. Elle peut diagnostiquer, adapter, fonctionner en mode dégradé, et surtout, reprendre le contrôle. À l’inverse, une dépendance totale à des expertises externes, même locales, maintient une forme de vulnérabilité.
La portabilité s’inscrit dans cette logique. Présentée comme un enjeu technique, elle dépend en réalité des équipes. Une architecture n’est réversible que si elle peut être effectivement maîtrisée.
La souveraineté dans les infrastructures critiques relève peut-être autant de la capacité à reprendre le contrôle que de la nationalité des solutions. Investir dans les compétences, comprendre ses dépendances et tester ses scénarios de rupture ne supprime pas les risques liés aux dépendances, mais elle évite d’en être prisonnière.
Cette perspective invite à dépasser le seul choix du fournisseur. Car si sélectionner un partenaire constitue une décision structurante, maintenir dans le temps les compétences nécessaires pour conserver une réelle marge d’action représente un enjeu tout aussi déterminant.
