Connexion Premium

Les propositions radicales de la commission de l’Assemblée sur la souveraineté numérique

À balles réelles

Les propositions radicales de la commission de l’Assemblée sur la souveraineté numérique

Illustration : Flock

Un lourd rapport a été publié ce 15 juillet, suite aux travaux de la commission lancée en février pour analyser les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Cette commission, présidée par Philippe Latombe avec Cyrielle Chatelain comme rapporteure, pointe six grandes catégories de failles et liste de nombreuses recommandations, dont certaines radicales.

Cet épais rapport sur la souveraineté numérique de 453 pages est le fruit d’un travail ayant réuni 26 députés issus de l’ensemble des groupes politiques. Le rapport a été adopté le 8 juillet, à l’issue de 45 auditions, 112 personnes ayant été entendues. Une semaine plus tard, le rapport est en ligne et une conférence de presse a été organisée pour en brosser les grandes lignes.

Constats amers

Dès l’avant-propos, Philippe Latombe donne le ton. Lui qui est également président de la commission chargée d’examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité situe le rapport dans la continuité d’une mission d’information qu’il avait déjà consacrée à la souveraineté numérique en 2021. Le propos se fait volontiers acide : « Mon principal regret reste sans doute qu’il ait fallu attendre l’ère MAGA pour qu’un plus grand nombre de politiques et de groupes parlementaires s’intéresse aux dépendances structurelles et aux vulnérabilités systémiques de la France dans le secteur du numérique, ainsi qu’aux risques pour l’indépendance et la souveraineté de notre pays ».

Le député dit avoir été « peu suivi » et « trop souvent cantonné au rôle de Cassandre ». À ceci près que le personnage mythologique « n’avait à alerter que sur un cheval de Troie, alors que nous devons faire face à une multitude de vulnérabilités : fournisseurs américains de cloud, systèmes d’exploitation étrangers, nombreux composants électroniques asiatiques, infrastructures internet mondiales… ».

L’introduction situe ensuite le périmètre retenu. D’une part, les administrations publiques et les entreprises d’intérêt vital, jugées prioritaires en raison de leur criticité. D’autre part une approche plus large des « dépendances systémiques », couvrant six familles de vulnérabilités. La commission indique explicitement ne pas avoir traité en détail la cybersécurité proprement dite ni les dépendances matérielles, qui font l’objet de travaux distincts.

Les six catégories de vulnérabilités sont les suivantes :

  • les failles démocratiques à travers les ingérences et la désinformation. Les algorithmes de recommandation des plateformes privées sont pointés du doigt, dont celui de X au travers des travaux menés par Germain Gauthier, directeur de recherche au CNRS : jusqu’à 15 % des électeurs indépendants peuvent changer d’opinion après une exposition aux réseaux sociaux ;
  • l’exploitation des failles techniques dans les administrations et les entreprises, et le torrent d’attaques cyber qui en découle, avec pour preuve les multiples fuites référencées ces dernières années ;
  • la quantité croissante de données à stocker et à protéger, avec les trois thématiques liées : légalité des traitements opérés (RGPD), extraterritorialité du droit (tout particulièrement américain) et captation des données ;
  • la primauté du profit sur les libertés individuelles, qui entraîne violation de la vie privée, exposition à des contenus nocifs et développement d’algorithmes addictifs ;
  • le verrouillage et la dépendance des utilisateurs, pratique jugée comme étant « au cœur des stratégies des fournisseurs de logiciels » ;
  • les vulnérabilités liées aux infrastructures et aux composants clés.

Où en sont les administrations françaises ?

C’est le chapitre le plus documenté du rapport. La méthodologie a reposé sur des questionnaires envoyés à l’ensemble des directions numériques ministérielles (annexe 2), complétés par des auditions des directeurs des systèmes d’information.

Il en est notamment ressorti que sur les 466 applications métiers recensées dans l’administration (liste non exhaustive), les deux tiers ont été développées spécifiquement pour les besoins associés, dont 57 % par des prestataires externes. L’analyse croisée par pays d’origine montre que les fournisseurs français dominent largement les applications les plus critiques : 69 % pour la catégorie 1 (atteinte à l’ordre public, sécurité, vie des personnes) et 83 % pour la catégorie 2 (interruption d’une mission de service public essentielle), soit respectivement 81 et 228 applications. Les États-Unis arrivant en deuxième position avec 7 et 12 applications respectivement.

Il reste 73% de l'article à découvrir.

Cadenas en colère - Contenu premium

Soutenez un journalisme indépendant,
libre de ton, sans pub et sans reproche.

Accédez en illimité aux articles

Profitez d'un média expert et unique

Intégrez la communauté et prenez part aux débats

Partagez des articles premium à vos contacts

Commentaires (22)

votre avatar
Pour le "zero microsoft" dans les écoles, je pense au école d'ingé ou "etudiant" ou l'on offre des tas de réduction ou gratuit car "l'etudiant d'aujourd'hui est le chef de projet de demain" (doctrine affiché en grand quand je travaillait dans une grande boite de logiciel du Texas), que propose le gouvernement ? un package "souverain" ? espace de stockage chiffré de bout en bout, email, depot git, des cours de programmation standard et LLM ?
votre avatar
et sinon personne n'a demandé à Marc Rees ou à l’équipe de next leur avis, vu que vous en parler quotidiennement ?
votre avatar
Ca va être compliqué de remplacer des ligiciels métiers... devenus incontournables (Catia, SolidEdge, Solid Works, Silvaco, Cadence, Centaurus, rien que pour en citer quelques uns en micro-électronique et en mécanique).
votre avatar
[Environ] 1,5 milliard d’euros de dépenses logicielles annuelles de l’ensemble des administrations publiques bénéficient à des acteurs extra-européens, dont environ 1 milliard seraient dès aujourd’hui substituables par des solutions open source équivalentes (Linux, LibreOffice, Openstack/Proxmox/Kubernetes, PostgreSQL/Tomcat…)
Les logiciels métiers comme ceux-ci font probablement partie du 0.5 milliards qui ne sont pas immédiatement substituables
votre avatar
On ne travaille pas tous sur des logiciels métiers fonctionnant exclusivement sous Windows, loin de là.
90% des gens sur informatique font juste de l'administratif, ou utilisent de plus en plus des applications web, pour lesquelles un navigateur suffit.
votre avatar
Oui, puis il ne faut pas oublier que toutes les écoles / collèges / lycées ont des dizaines de postes sur Windows ou on apprend à utiliser Word, Excel, Power point et Chrome. Idem pour les ordinateurs offerts aux élèves de seconde. Passer tout ça à Linux / libre office / firefox, ça ferait déjà beaucoup de bien. Le supérieur est évidemment plus compliqué à gérer, car demandant des logiciels plus spécifiques et puissants, mais il y a de la marge...
votre avatar
C'est bien gentil de chercher de la souveraineté mais sur quelle base légale ?
Le commerce est une compétence européenne, et l'Europe a décidé que les clauses sur le cloud sont exclusivement techniques. Donc hormis quelques cas critiques, nos administrations et entreprises sont à la peine pour monter des appels d'offres conformes qui imposeraient SecNumCloud.
votre avatar
Y'a pas que le logiciel. Les équipements réseaux sont aussi source de problème du genre.
Les FAIs sont des Opérateurs d'Infrastructures Vitales. Ce qui veut dire aussi : sécurité nationale. Donc l'Europe pour ces cas n'a rien à dire.
votre avatar
TL; DR
La France a déjà démontré sa capacité à ne pas jouer les règles du jeu quand elle ne le souhaitait pas.
À l'aune du droit des peuples à s'auto-déterminer prévu par les lois internationales, on pourrait tout à fait faire de même, pour de meilleure raisons, pour de meilleures fins, que ce que la France a réalisé jusqu'à présent.

Le tout en supposant, évidemment, que des directives et/ou règlements européens empêche litéralement la souveraineté, et qu'il ne s'agit pas simplement d'un fatalisme opportun, déclarant impossible une cause que l'on ne souhaite pas soutenir…

--

La souveraineté est l'affirmation par un État de sa volonté d'appliquer son indépendance sur son territoire.
Rien ni personne ne peut s'opposer à ce principe fondamental, garanti par les lois internationales, notamment par les droit des peuples à disposer d'eux-même.

L'Europe (au sens Union européenne) est une construction inter-États, au droit de laquelle la France s'oppose déjà de manière régulière par exemple, en restant dans le domaine numérique, sur la conservation généralisée des données déclarée illégale de manière constante par de multiples décisions de justice de la CJUE… et que la France continue d'ignorer en toute impunité, continuant à obliger légalement ses entités à effectuer cette conservation.

Supposer que l'on aurait les mains liées me fait doucement rire, et cet argumentaire n'est généralement utilisé que pour cacher une absence de volonté à agir en sens contraire.
Là se situe bien le bât qui blesse.

Concernant les institutions, que l'on parle de ministères, administrations ou université, il y a une volonté positive d'imposer et de continuer à imposer ces technologies à leur population, en inversant la responsabilité qui reviendrait à la-dite population ("vous comprenez, les gens le demandent").
Là où cette inversion fonctionne le moins, le cas le plus "drôle", est la fourniture par certaines universités (toutes ?) de technologies M$ au travers du programme MSDN-AA, y compris à une population étudiante qui est bien plus malléable et bien moins enfermée a priori dans celles-ci.

Concernant les entreprises, il y a là-aussi une volonté positive d'exploiter ces technologies, de continuer à passer (lourdement) à la caisse pour des licences logicielles privatrices, et d'écarter les voix internes dissonantes. À titre d'exemple, quand une entreprise licencie ou n'embauche pas au prétexte du "coût du travail", mais que la ligne budgétaire allouée à ces licences dépasse celle du coût salarial.
Dans cet exercice, le petit théâtre consistant à faire semblant de protester lors de fausses renégociations pour repartir avec un catalogue forfaitaire de licences plus larges (coûtant globalement encore plus cher…) me fait penser au petit théâtre concernant les fausses renégociations avec les gloutons concessionnaires pour repartir du plus belle, leurs abus ayant été pourtant préalablement & largement démontrés.
Quelle proportion d'entreprises, si elles existent, n'ont pas une architecture dépendant centralement de technologies M$ ?

Qu'un individu, serviteur de la chose publique, cesse d'être Cassandre isolément est un pas en avant. Encore faudrait-il que la commission ne devienne pas, à son tour, une Cassandre.
Le chemin est encore long pour un passage par la loi, et que son application amène à de la régulation. Car les entreprises ne feront rien si ce n'est entretenir toujours plus de dépendances de leurs systèmes & applications.
Le matériel est un chantier à part entière et incroyablement plus compliqué, mais ses prémisses se trouvent dans la question des semi-conducteurs… réflexion paradoxalement déjà transcrite en plan.

De l'autre côté de l'échelle, les citoyens sont libres de s'intéresser à la chose informatique sans attendre la nécessaire éducation sur le libre & sa garantie juridique par d'autres licences, mises en opposition aux premières.

Aucun changement ne viendra en revanche d'un fatalisme consistant à répéter à s'en convaincre qu'il est impossible d'agir car un cadre européen nous y empêcherait.
La loi, si tant est qu'elle existe et n'est pas supposée comme obstacle virtuel, cela se fait évoluer, qui plus est des directives et/ou règlements européens s'ils ne servent pas le bien commun. L'Europe dérive ses traités de textes fondamentaux, ce qui a permis la force pénétrante du RGPD.
Si des règles établies ne conviennent pas, résultant potentiellement de l'existence ahurissante d'institutions de l'Union européenne ahurissants (coucou la Commission européenne, le Conseil de l'Union européenne, le Conseil européen), elles sont adressables sur la base du cadre de ces fondamentaux.
votre avatar
Les sénateurs se sont penchés sur ce problème dans un rapport sur la proposition de loi
relative à la sécurisation des marchés publics numérique
. Un article prévoyait de renforcer les exigences de souveraineté.
Les sénateurs ont conclu : "En premier lieu, les obligations nouvelles que l’article unique entend
imposer dans tous les marchés publics présentent un risque d’inconventionnalité et d’inconstitutionnalité". L'article a sauté.

Ils le regrettaient, et moi aussi.
Donc, je fais remarquer que les intentions doivent aussi se matérialiser dans la loi.
Après, tu peux à titre individuel en faire plus, tenter de pousser ta boîte à en faire plus, mais sans un cadre légal adapté ce sera toujours limité ou risqué.
votre avatar
Via SecNumCloud.
On ne peut pas discriminer sur la nationalité de l'entreprise mais on peut trouver des alternatives. Les marchés publics de nourriture pour les écoles ont compris la technique en imposant un critère de distance de transport maximale plutôt qu'une "origine France" par exemple.

SecNumCloud à son tour impose la non-dépendance à un droit extra-communautaire au lieu de la nationalité (une entreprise hors UE qui peut prouver que les données transmises ne peuvent être en aucun cas soumises à un droit extra-communautaire peut obtenir SecNumCloud).
Le label est en place et légalement obligatoire pour les hébergements de données sensibles par du public, sans s'être attiré les foudres de la ComUE.
votre avatar
Je vois bien et soutiens le principe de ta proposition "on peut trouver des alternatives", cependant d'après le Vade-mecum sur la sensibilité des données au sens de l'article 31 de la loi SREN, tu ne peux réclamer SecNumCloud qu'avec une double condition relativement restrictive.
Si tu tentes des alternatives pas assez subtiles, ton appel d'offres ou son résultat sera contesté.
J'ai entendu parler d'une grosse institution (la Caisse des Dépôts et Consignations) qui a trouvé une alternative en se basant sur DORA pour imposer SecNumCloud. Donc certains y arrivent, mais ce n'est franchement pas trivial, et je me demande si ce ne serait pas limité aux OIV.

Je reste très favorable à la souveraineté numérique, mais si elle est limitée légalement, ce sera compliqué de la faire avancer.
votre avatar
Superbe article. Merci Vincent.
votre avatar
La gendarmerie nationale citée en exemple…
Alors la dernière fois que j’ai malheureusement eu à porter plainte, leurs systèmes m’ont juste fait de la peine…
Genre faire de la retranscription vocale ça serait pas un peu un B A BA ?!
Ok sur la souveraineté, mais niveau efficacité opérationnelle, on repassera…
Je dis pas qu’il faut pas y aller, mais que si switch il doit y avoir, il est illusoire de penser que le libre atteint la maturité des technos des scalers dans les intégrations, et dans les possibilités de leurs cloud.
C’est bien pour ça que beaucoup de députés utilisent des iPhone et chat gpt…
votre avatar
Ne pas confondre le fait qu'ils n'aient probablement pas les moyens de se moderniser et la maturité du libre. L'exemple de la transcription est bien mauvais d'ailleurs vu les capacités excellentes des modèles libres a ce sujet, et depuis des années.

La maturité pour scaler ? Faudra m'expliquer, jusqu'à preuve du contraire c'est plutôt le libre qui est un éléments fondateur de tous ces clouds justement.
votre avatar
Ok je te rejoins sur le fond, Whisper, Voxtral (Mistral, sorti cette année, cocorico), c’est la référence du domaine et c’est libre, pas de débat là-dessus.

Mais on parlait pas de la même chose. La techno existe, best-in-class même. Mon point c’est l’industrialisation : faire tourner un modèle en POC un vendredi après-midi, et le maintenir à jour, sécurisé, monitoré, supporté sur des dizaines de milliers de postes pendant 10 ans sans que ça devienne un fossile numérique, c’est un tout autre métier. C’est exactement cette charge-là que les scalers absorbent dans leur package.

Et c’est précisément pour ça que la gendarmerie est dans l’état où elle est aujourd’hui, pas parce qu’ils vont se planter demain, mais parce qu’ils sont déjà en retard : scaler et maintenir du libre à cette échelle dans la durée, c’est dur, ça demande des moyens humains et une organisation que peu d’administrations ont. Le libre te donne le moteur, mais si t’as pas l’écurie derrière pour le faire vivre 10 ans, tu te retrouves avec exactement ce que je décrivais dans mon message initial.

Donc oui à la souveraineté sur le principe, mais sans mesurer cet effort d’industrialisation, on va droit vers un plan sur la comète.
votre avatar
Pour avoir testé de la retranscription vocale, je préfère largement que l'officier qui est devant moi tape son rapport au clavier.
Parce que si c'est pour dicter, avoir le collègue qui tape l'incruste et qui se fait retranscrire également, relire (et éventuellement corriger), etc ...

En plus, ça sous-entend qu'il faut du matériel un minimum qualitatif.

Et il y a gros à parier qu'avec le temps, ils ne seront plus relus. C'est dommage si ça doit figurer dans une procédure et que le contenu est inexploitable.
votre avatar
github.com GitHub ou bien github.com GitHub

À essayer, c'est assez pratique. Et oui, il faut relire, évidemment. Mais y a du push-to-talk, donc pas de souci pour le collègue qui rentre à l'improviste.
votre avatar
Salesforce pour le téléservice relation-usager de la police et de la gendarmerie ;
Ça tombe bien, la relation usager de la gendarmerie est encore un logiciel propriétaire :D
votre avatar

Nom du fichier :

l17b3054-t1_rapport-enquete.pdf
Taille du fichier :

7,18 Mo (7 529 368 octets)
Titre :

Microsoft Word - i3054_V2.docx
Auteur :

vgodier
Sujet :

-
Mots-clés :

-
Date de création :

13/07/2026 10:42:00
Modifié le :

13/07/2026 10:42:00
Créé par :

PDF24 Creator


Dans les méta-données du PDF. C'est ironique, n'est-ce pas ?

Mais ma vraie critique c'est : y a toujours pas de sommaire dans le PDF créé à partir de Word ? Hé, les gens, essayez LibreOffice, vous verrez, c'est peut-être plus moche, mais en fait c'est mieux.
votre avatar
Justement, apparemment le PDF n'a pas été créé directement à partir de Word, mais avec PDF24 Creator... Quand on crée un PDF dans Word c'est possible d'avoir un sommaire (caché dans les options de création du PDF).

Ça n'enlève rien à l'ironie de la chose, mais c'est probable que docx ait été utilisé comme format d'échange même si seulement quelques personnes participant au rapport utilisaient réellement Word...
votre avatar
C'est ce que je trouve complexe lorsqu'est évoqué la notion de "logiciel souverain". C'est souvent jugé sur l'application finale mais pas sur les dépendances ou sur la totalité incluant les logiciels intermédiaires, il me semble.

Une application client/serveur sous Windows sous entend souvent:
- Un système d'explotation Windows Server pour héberger l'application serveur
- un SGBD SQL (ou autre) pour la ou les bases de données
- Une infrastructure utilisée par l'application (réseau, stockage,..)
- Un système d'exploitation Windows pour faire fonctionner l'application cliente
Enfin:
- l'application serveur & l'application cliente

Les éditeurs de logiciels peuvent être souverains ET être uniquement compatibles/supportés avec un composant non souverain (ie/ SQL).
Certains composants ne seront jamais réellement totalement souverain (stockage, réseau)?

C'est un sujet très complexe après je suis d'accord qu'il faut bien commencer le nettoyage en débutant avec le plus simple des produits: application autonome, bureautique, ..