F-Secure alerte sur la dépendance numérique européenne

Le patron de F-Secure, Timo Laaksonen, avertit que l’Europe dépend de services critiques contrôlés depuis les États-Unis. Derrière le cloud, l’identité numérique ou les mises à jour de cybersécurité, l’enjeu n’est pas seulement l’hébergement des données, mais le pouvoir d’en couper l’accès.

Imaginez une employée d’hôpital qui arrive un lundi matin. Le bâtiment fonctionne, les câbles réseau sont en place, les serveurs tournent au sous-sol. Pourtant, son mot de passe est refusé. Pas à cause d’une cyberattaque ni d’une panne électrique : l’entreprise américaine qui gère le système d’authentification de l’hôpital a changé les conditions d’accès. Les dossiers des patients sont à quelques mètres. Elle ne peut plus les ouvrir.

C’est cela, la dépendance numérique dans sa forme la plus concrète. Elle ne passe pas forcément par des câbles sectionnés ou des centres de données à l’arrêt, mais par une couche d’accès contrôlée ailleurs. Quand Timo Laaksonen, le directeur général du finlandais F-Secure, a averti ce mois-ci que l’Europe dépendait fortement de services critiques sous contrôle américain, il décrivait cette vulnérabilité silencieuse (Yle).

Le code de la porte n’est pas en Europe

Pour comprendre où se situe le risque, il faut regarder ce qui se passe avant même qu’un salarié ouvre sa boîte mail.

Il saisit ses identifiants dans un système de connexion. Beaucoup d’organisations européennes s’appuient sur des services d’identité opérés par des entreprises américaines, Microsoft Entra ID étant le plus répandu, pour vérifier qui a le droit d’accéder à quoi. Si ce fournisseur tombe en panne ou restreint l’accès, toutes les applications placées derrière cette porte deviennent simultanément inaccessibles (Hypergate).

Le même problème se pose avec le poste de commande du cloud : les tableaux de bord qui permettent aux équipes informatiques de créer des serveurs, gérer des bases de données et administrer les clés numériques protégeant les informations sensibles. Les dossiers d’un hôpital peuvent très bien être stockés physiquement à Francfort. Mais si le tableau de bord, le compte de facturation et les clés d’accès dépendent d’une maison mère américaine, « hébergé en Europe » ne signifie pas « contrôlé par l’Europe » (JRC).

Cette dépendance traverse la messagerie, le stockage documentaire, les mises à jour logicielles et même le DNS, l’annuaire d’Internet qui indique aux navigateurs où trouver les sites web. Des travaux allemands estiment qu’environ 96 % des entreprises allemandes dépendent de technologies numériques importées, tandis que les fournisseurs américains de cloud détiennent plus de 70 % du marché européen (egovernment.de).

Quand la serrure a vraiment tourné

Trois cas récents montrent que le risque n’est pas théorique.

Anthropic, l’entreprise d’intelligence artificielle, a suspendu l’accès à ses modèles les plus récents pour certains utilisateurs afin de se conformer aux contrôles américains à l’exportation. Aucun serveur n’a été débranché. Une contrainte juridique a suffi à faire disparaître une capacité numérique de certains écrans (AP, Reuters).

Aux Pays-Bas, un tribunal a bloqué le rachat de Solvinity par l’américain Kyndryl. Solvinity héberge DigiD, le système d’identité numérique utilisé par les citoyens néerlandais pour leurs impôts et leurs démarches de santé. Le motif est juridique : en vertu du CLOUD Act et du FISA, les entreprises détenues par des intérêts américains peuvent être contraintes de transmettre des données, même si celles-ci sont stockées hors des États-Unis. Un système national d’identité ne peut pas dépendre d’un tel régime légal (Ius Mentis).

En France, une mission d’information de l’Assemblée nationale a établi qu’environ 80 % des achats publics de logiciels passent par des acteurs américains, pour près de 1,5 milliard d’euros par an. Ministères, opérateurs énergétiques et réseaux de transport dépendent ainsi de fournisseurs qui pourraient, en cas de pression politique ou juridique, restreindre l’accès à des services essentiels (Banque des Territoires, Clubic).

Des solutions de repli, pas des chimères

L’Europe ne reconstruira pas à court terme l’ensemble de la pile technologique américaine. Les économies d’échelle rendent cette hypothèse peu crédible. En revanche, elle peut réduire ce qui cesse de fonctionner lorsqu’une couche d’accès disparaît.

La France exige désormais que les services cloud certifiés pour les usages publics sensibles ne puissent pas être contraints par un droit étranger à abandonner le contrôle de leurs données ou de leurs opérations (CER). L’Allemagne développe openDesk, une suite bureautique open source. La Commission européenne inscrit, de son côté, la souveraineté technologique dans un ensemble plus large couvrant les semi-conducteurs, l’intelligence artificielle, le cloud et les logiciels libres (European Commission).

Le chercheur finlandais en cybersécurité Mikko Hyppönen rappelle un point souvent négligé : les outils défensifs eux-mêmes peuvent devenir des dépendances. Un pare-feu installé à Helsinki, mais alimenté par des renseignements sur les menaces, des signatures antivirus et des mises à jour logicielles venus de l’étranger, reste tributaire d’un flux extérieur. Si ce flux s’interrompt, le mur existe encore, mais il ne voit plus rien (YouTube / Hyppönen).

Le test utile, pour un hôpital, une commune ou un ministère européen, tient en une question simple : si un compte fournisseur, un service d’identité ou un flux de mise à jour disparaît demain matin, les agents peuvent-ils encore se connecter, consulter les dossiers et communiquer ? Les institutions qui répondent oui disposent d’une souveraineté opérationnelle. Les autres découvrent qu’elles occupent des locaux numériques dont quelqu’un d’autre garde la clé.