Dépendances numériques : comment bâtir un écosystème de confiance ?

Non. Ciao.

[musique] [musique] [musique] [musique]

Bonjour à tous, bonjour à toutes et bienvenue à cette nouvelle plaignière du forum INSBER. Bonjour à vous qui êtes dans la salle et bienvenue aussi à ceux qui nous rejoignent à distance. Nous ouvrons donc cet après-midi toujours avec ce même thème central, nos dépendances technologiques et on reviendra d'ailleurs sur les fondamentaux lors d'une table ronde dans quelques instants. Ensuite, Martin Cupenger, un fin analyste de la cybersécurité, nous livrera sa vision de l'écosystème européen. Michel Vanenberg, également, vous le connaissez, ancien patron du campus cyber, nous fera l'amitié de sa présence et il nous parlera de son expérience en tant qu'entrepreneur.

Il nous parlera de des obstacles aussi qu'il rencontre à la tête de CCL lab. Autre témoignage poignant aussi évidemment celui de Joséphine Ballon. Euh c'est l'une des cinq personnalités au côté de Thierry Breton qui s'est faite sanctionner par les États-Unis notamment avec une suspension de visa. Donc un programme très riche effectivement pour cette nouvelle plinière. Effectivement Julia Bonjour. Rebonjour à tous. On aura également cet après-midi la joie d'accueillir Bernard Gavgani de BNP Paribas.

Nous partirons à la découverte d'une question, d'une exploration avec un livre qui va parler d'un digital blackout ici en Europe, la possibilité, la conséquence d'un tel acte et puis la gouvernance européenne bien sûr qui sera au menu également cet après-midi ainsi qu'une table ronde sur la gestion de la dépendance sur le terrain. Nous aurons également dans quelques instants maintenant le plaisir de célébrer l'innovation dans le secteur de la cybersécurité avec la remise du prix des startup avec le soutien de crédit agricole.

Mais avant cela, nous avons l'honneur cet après-midi au forum INSber d'accueillir une voie engagée pour l'indépendance technologique européenne et particulièrement française. Et pour la présenter, nous avons la joie d'accueillir le général Vatin Augir. Merci à vous. Excellent après-midi

[musique]

madame la ministre, monsieur le préfet, mesdames et messieurs, nous sommes particulièrement heureux d'accueillir Annef au forum INSyber. Elle vient aujourd'hui comme ministre déléguée de l'intelligence artificielle et du numérique, mais je sais que c'est une fidèle de notre forum. forum qui comme vous le savez est à la fois un salon et une agora. Le salon, c'est là où on démontre les savoir-faires et on a beaucoup d'entreprises, notamment des entreprises qui sont capables de proposer des offres souveraines et c'est aujourd'hui quelque chose qui est important par rapport notamment au titre de notre forum, maîtrisons nos dépendances. Et puis c'est aussi un lieu d'échange pluridisciplinaire.

On parle du droit, on parle de la sociologie, on parle de philosophie. Demain, on parle de technique, mais je crois qu'il faut aujourd'hui aussi parler de politique. Pourquoi ? Parce que il me semble, et je me trompe peut-être que le numérique est peut-être la grande chance pour nous de reconfigurer la notion même de politique. La politique, c'est l'organisation, l'orientation de la cité.

Et aujourd'hui, lorsqu'on a un phénomène qui imbrique intrigue tous les aspects de la société, quand on est à la fois dans l'économique, dans le culturel, quand on est aussi dans toutes les questions portant sur la liberté individuelle, et bien je crois que là il y a un vrai discours politique qui mérite d'être conduit. Et nous le voyons bien au moment où avec les circonstances extérieures que nous connaissons, même intérieur, la guerre, la confrontation entre les puissances, les puissances cybernétiques et les puissances cinétiques, et bien aujourd'hui, on a besoin de rééfinir un vrai discours politique qui rassemble l'ensemble des citoyens par rapport à un objectif.

Et c'est pour ça cher Han Lenanf que c'est pour nous un plaisir de vous accueillir. Vous allez nous apporter cette touche politique au sens noble du terme pour bien nous montrer combien tout cela, toute notre action s'inscrit dans une vision dans une vision du présent mais surtout une vision du futur. Char lef, je vous cède la parole.

[musique] [musique]

Bonjour à toutes et à tous. Monsieur le président du forum INS Cyber, mesdames et messieurs les élus, monsieur le préfet, monsieur le directeur général de l'ANC, cher Vincentrubel, mesdames et messieurs les chefs d'entreprise, mesdames et messieurs les représentants des services de l'État, mesdames et messieurs en vos grades et qualités. Le cyberespace est devenu un espace de compétition, de contestation et parfois même d'affrontement désinhibé en miroir des tensions géopolitiques et des rivalités internationales. Ce constat, c'est celui de la revue nationale stratégique. Il nous rappelle que la cybersécurité est devenue une condition sinéquanon de notre liberté, de notre souveraineté.

et de notre autonomie stratégique. Malheureusement, à l'heure où la menace est constante, le niveau d'insouciance, voire d'ignorance face au risque cyber reste encore trop élevé dans notre société de sorte qu'il constitue encore trop souvent un sujet non prioritaire dans de nombreuses organisations publiques ou privées. Dans ce contexte, comment agir pour renforcer la résilience cyber de la nation ? Notre objectif, c'est de renforcer la vigilance et la protection de l'ensemble de la nation. Pour se faire, nous devons investir dans les talents, la formation, développer nos technologies et services de cybersécurité souverain.

Avec eux, nous pourrons collectivement entraver l'expansion de la cybermenace et soutenir la sécurité et la stabilité du cyberespace en Europe et à l'international. C'est tout le sens de la nouvelle stratégie nationale de cybersécurité 2026-2030 que j'ai présenté il y a 2 mois au campus cyber de Nouvelle Akitaine établi sous le pilotage du SGDSN et de l'ANC. Premièrement, nous devons renforcer la résilience cyber collective de la nation, c'est-à-dire partager et entretenir la conscience des menaces, des risques avec notamment des campagnes de sensibilisation nationale, la conduite d'exercice de crise et les moyens de faciliter l'appréhension globale des enjeux.

Il est nécessaire de réhausser le niveau de protection de chaque entité, de chaque organisation. Comment concrètement ? Ce serait d'abord par la création et ce sera d'abord c'est pas du conditionnel, la création d'une marque nationale de prévention. Ensuite, la création d'un portail national de la cybersécurité du quotidien qui sera piloté par le GIP Astima pour offrir à un large public une information claire et un aiguillage vers les bons dispositifs. cybermalveillance.gouff.fr, FR, mes services cyber, 17 cyber entre autres pour n'en citer que quelques-uns. Ensuite, l'Observatoire national de la résilience cyber aura pour objectif, quant à lui, de produire en temps réel l'état de la menace.

Il s'articulera autour de deux axes : la collecte, l'agrégation, l'exploitation de données cyber aujourd'hui dispersé au sein de l'écosystème national et puis la mise à disposition de la connaissance de la menace cyber à travers l'accès à des données brutes. Ensuite, la transposition de la directive Nice 2. Je sais que monsieur le député Philippe Lat, je le salue. La transposition de la directive Nice 2 nous aidera par ailleurs à atteindre un niveau minimum de protection pour les entités importantes et essentielles.

Vous pouvez compter sur mon engagement ainsi que sur celui du président de la commission spéciale pour que le projet de la loi résilience soit inscrit dès que possible à l'ordre du jour de l'Assemblée nationale. En attendant, le référentiel Cyberfrance présenté récemment par l'ANSY liste les mesures recommandées pour atteindre les objectifs de sécurité fixé par Nice 2 et oriente sur la mise en œuvre des bonnes pratiques. Cette approche est la bonne. N'attendez pas pour vous mettre en conformité en conformité. N'attendez pas la transposition de Nice 2 pour vous mettre en conformité.

Le réhaussement global du niveau de cybersécurité et de cyberprotection nécessite que l'ensemble du tissu économique et social prenne part à l'effort de sécurisation avec le souci de maîtriser le risque tout au long de la chaîne de sous-traitance. Nous passerons donc aussi au niveau de l'État par l'incitation avec la création d'un label de confiance élaboré en coopération avec l'écosystème cyber qui permettra au PME de bénéficier d'une présomption de conformité au référentiel de la directive européenne Nice 2 et de favoriser ainsi l'émergence d'une offre d'accompagnement adaptée.

Les PME labellisés pourront ainsi valoriser leur démarche auprès de leurs partenaires : assureurs, banques, clients. Je n'oublie pas le décret de mise en œuvre de l'article 31 de la loi sécurisé réguler l'espace numérique sur le recours au cloud de confiance qui sera publié dans les prochains jours. Pour que cette mobilisation générale soit possible, il est crucial de renforcer considérablement les compétences et les talents. Notre objectif est de faire de la France le plus grand vivier de talent cyber en Europe. Plusieurs dispositifs existent.

Je pense notamment à la campagne demain spécialiste cyber lancée en 2023 qui a permis de mettre à la disposition des équipes éducatives plus d'une centaine de ressources cyber et fiches métiers ainsi que de nombreux dispositifs phare. Je pense également au dispositif cyber enjeu qui a permis de former plus de 230000 élèves en 2 ans. Le challenge passe ton hack d'abord en partenariat avec le comstier qui a réuni lui plus de 20000 élèves en 2025 ou encore l'opération Cactus sous l'égide du Jipastima pour sensibiliser au risque d'ammeçonnage près de 2,5 millions d'élèves.

En parallèle, le campus cyber a lancé le projet Talent cyber pour sensibiliser le grand public aux enjeux cyber et faciliter leur orientation grâce à une plateforme présentant une sélection de formation cyber et de stage. Demain, nous irons plus loin encore pour développer dès le plus jeune âge une culture inclusive de la cybersécurité pour renforcer tous les pans de la formation en cybersécurité avec une plateforme nationale d'orientation pour soutenir au développement de la formation continue. Permettez-moi à ce sujet de partager un enjeu qui me tient particulièrement à cœur et je pense que je ne suis pas la seule dans cette salle.

On en parle régulièrement avec mes inants locuteurs, quel qu'ils soient, civil, militaire, public, privé, l'engagement des filles dans les métiers de la cybersécurité. Malheureusement, ce domaine est encore marqué par des préjugés tenaces, en particulier l'idée selon laquelle ces métiers sont par essence masculins. Nous devons impérativement combattre ces préjugés en investissant dès le plus jeune âge dans le champ éducatif et dans le champ culturel. Je souhaite m'adresser directement aux jeunes filles qui n'osent pas s'engager dans ces filières. Vous y avez toute votre place. Aucune raison valable ne pourrait expliquer que vous n'y soyez pas dans cette filière.

Et puis la deuxième raison, c'est que nous avons besoin de vous. Nous ne pouvons nous passer de la moitié de la population française et notamment des jeunes pour remplir ces défis qui nous attendent. Sur un autre plan, nous devons également investir dans les technologies et les services de sécurité, de cybersécurité souverain et structurer le marché cyber au niveau européen. C'est notamment grâce à vos solutions de cybersécurité que notre pays atteindra l'objectif de résilience cyber de premier plan fixé dans la revue nationale stratégique. et je saurai à vos côtés pour vous soutenir.

En 2025, selon Tick Capital, les jeunes pousses de la cybersécurité ont levé 15,6 milliards d'euros soit une hausse de 32 % en un an. Le nombre de levées de fond bat lui des records absolus avec 866 opérations recensées. Je m'en réjouis évidemment. Quelle meilleure démonstration de l'attractivité du secteur de la cybersécurité pour les investisseurs français et étrangers ? Le gouvernement participe à cette dynamique à travers le plan France 2030. Plusieurs dispositifs ont d'ors et déjà permis de soutenir des entreprises de cybersécurité française.

Je pense à l'appel à projet développement de technologies innovantes critiques axé sur la protection des données qui comprend une enveloppe de 35 millions d'euros. Dans le cadre de la première relève, cinq entreprises ont bénéficié d'un soutien financier à hauteur d'un peu plus de 11 millions d'euros. D'autres entreprises bénéficieront de ce fond dans le cadre de la seconde relève de l'appel à projet. Par ailleurs, dans le cadre du grand défi cyber haute intensité, 35 millions d'euros ont été débloqués pour financer la création d'un soc amélioré pour faire face aux nouvelles menaces cyber induite par le développement de l'IA.

Le soutien aux entreprises passe aussi par la mise à disposition de financement pour soutenir le rehaussement de leur niveau propre de maturité cyber. C'est tout l'objectif du dispositif cyber PME, accompagner les PME dans des secteurs critiques tels que l'aéronautique, l'énergie pour renforcer leur niveau de cybermaturité. À ce jour, 54 PME ont été accompagnés dans le cadre de la phase 2 du dispositif pour un montant de 3,2 million d'euros. Le gouvernement a également le devoir d'anticiper les futures menaces pour gagner les combats de demain. Nous devons nous préparer ensemble aux révolutions que constitue l'émergence de l'intelligence artificielle et du calcul quantique.

En plus des vulnérabilités de cybersécurité usuelle, les systèmes d'IA sont exposés à des vulnérabilités spécifiques liées à leur modèle. Il nous faut accompagner le développement indispensable de l'IA pour par l'élaboration d'un cadre permettant d'évaluer la cybersécurité des systèmes d'IA. C'est pourquoi nous avons créé l'Institut national pour l'évaluation et la sécurité de l'IA. À un horizon plus prospectif, nous devrons également relever le défi de l'émergence des technologies quantiques. La France dispose d'atouts formidables et nous avons nous n'avons pas à rougir des avancées majeures de nos pépites qui placent notre pays au rang des meilleurs mondiaux.

Je pense à Pascal, à Candela, à Lissébob, Cobli, C1. C'est également vrai de nos centres de recherche comme l'INRIA ou l'école polytechnique. Du point de vue de la cybersécurité, la nécessité de passer à la cryptographie post-quantique s'impose. La France est engagée depuis plusieurs années pour développer de nouveaux algorithmes de cryptographique post-quantique résistant aux capacités de calcul de l'ordinateur quantique. Désormais, il s'agit de commencer à déployer les systèmes de cryptographie post-quantique dans la vie réelle pour les données qui resteront sensibles dans 10 ans.

Nous voulons aussi structurer le marché européen des produits et services de cybersécurité avec une politique industrielle pensée à l'échelle européenne et le déploiement du cadre de certification européen. En effet, nous souhaitons créer des conditions de marché qui permettent aux offres souveraines de passer à l'échelle. C'est pourquoi je défends au niveau de l'Europe une préférence européenne dans le domaine du numérique. C'est la position que je porte dès que je me trouve à à des échelons européens, des rencontres au niveau européen avec des textes structurants à venir. Je pense évidemment au Cloud on AI Development Act, je pense à la révision du Cyber Security Act.

Depuis le sommet de Berlin, nous avançons avec l'Allemagne pour définir ce qu'est un un service numérique européen. Je souris parce que c'est pas toujours facile de se mettre d'accord et d'avoir les mêmes définitions entre la France et l'Allemagne, mais je suis assez optimiste. On avance pas à pas et je pense que la France et l'Allemagne pourront prochainement proposer une définition de ce qu'est un service numérique européen. Nous travaillons sur des des critères concrets comme la localisation du siège social de la société, la localisation de l'hébergement des données, la localisation des effectifs liés à l'exploitation du service numérique.

Voilà quelques critères sur lesquels nous sommes en train de discuter. Ces critères évidemment pour être acceptés par les 27 doivent être coconstruits. C'est pourquoi une consultation sera lancée dès le mois d'avril afin de recueillir votre avis. Au-delà de ces enjeux de préférence européenne, nous devons faire en sorte de distinguer au niveau européen les offres garantissant un haut niveau de sécurité comme nous le faisons en France avec Secum Cloud. C'est la position que nous continuons et que nous continuerons de porter en Europe. Mesdames et messieurs, c'est en s'appuyant sur ces forces que nous devrons collectivement entraver l'expansion de la cybermenace.

Bien sûr, l'État doit d'abord être lui-même en la matière. Je ne rentrerai pas ici dans le détail des leviers de ripost étatique à la main du gouvernement bien sûr, mais je peux partager avec vous que je réunirai à cet effet vendredi et pour la première fois au niveau ministre avec Davine Amiel l'instance stratégique de sécurité numérique de Bercy qui réunit l'ensemble des directions et services du ministère pour dresser la feuille de route de ce ministère en matière de cybersécurité. et j'incite j'invite mes collègues ministres à le faire également chacun au niveau de leur ministère.

J'aurai l'occasion d'y passer des messages forts ce vendredi à l'attention des directeurs d'administration centrale qui seront présents, mais également de leur témoigner toute ma confiance pour faire de Bercer un ministère exemplaire en manière en matière de cybersécurité. Surtout, nous voulons également vous mobiliser pleinement, vous les acteurs privés de manière très opérationnelle. Nous mettrons en place un ensemble de mesures de protection pour détecter, caractériser au plutôt les attaques dans le but de les bloquer. Nous déploirons le filtre anti-arnaque, filtre de cybersécurité à destination du grand public visant à prévenir l'accès au site web malveillant.

Sa mise en œuvre a été confiée à l'OFAC. Nous allons en outre renforcer le partage d'informations techniques sur les menaces de l'État entre les services de l'État et les secteurs privés via le développement de l'intercerte France. Enfin, puisque nous sommes au forum Inyber, rappelons une évidence. C'est aussi en européen que nous entendrons nos ambitions. Cela passe par des coopérations accrues avec nos partenaires, une mutualisation des savoir-faire et un un agenda industriel ambitieux. afin de construire ensemble un cyberespace sûr, ouvert, démocratique. Cela implique de pouvoir promouvoir un cadre et une gouvernance garantissant la sécurité et la stabilité du cyberespace.

La France et l'Europe ont dû faire face à d'innombrables défis dans leurs dans leur histoire. Nous avons tous les atouts nécessaires pour les relever. J'en suis convaincu. Pour ma part, attaché à l'équipe de France et au collectif, je suis convaincu qu'ensemble nous pouvons faire de notre pays la nation de référence en Europe en matière de cybersécurité et le forum in cyber y contribue très largement. Merci à vous pour cette constance, pour la qualité des événements en marge du salon.

Merci également pour le choix de la thématique de cette année, maîtriser nos dépendances numériques qui fait écho à un des axes prioritaires de mon action en tant que ministre, la souveraineté numérique ou je dirais plus aisément l'autonomie stratégique. Je l'aime de plus en plus ce terme. Merci à tous pour votre ascension. Bon salon et puis c'est parti pour une très longue déambulation. J'ai hâte de voir ce que vous proposez cette année. Merci madame Leenan. [applaudissements] Nous aimerions vous garder à nos côtés pour la prochaine séquence car nous allons à présent procéder à un moment très attendu du forum INSBER. C'est la remise du prix des start-ups.

On va célébrer l'innovation dans le secteur cyber dont vous avez si bien parlé précédemment. Et j'ai pour se faire le plaisir d'accueillir sur scène François Delzan qui est Oui. Sous vos applaudissements s'il vous plaît qui est directeur cybersécurité [applaudissements] et risques informatiques du Crédit Agricole. J'invite également le général Patrick Toak à nous rejoindre sur scène. Excusez-moi. Est-ce que le général va le général [musique] Patrick Toak à nous rejoindre sur scène pour décerner le premier prix ?

[musique]

Merci d'être à nos côtés cet après-midi. Alors François, chaque année, on va parler de ce prix. chaque année ce prix et cet écosystème font émerger des entrepreneurs et des équipes qui repoussent les limites de l'innovation dans la cybersécurité. Parlez-nous en fait de l'importance de ce prix pour et la raison pour laquelle le crédit agricole y apporte son soutien. Absolument. Bonjour Charlotte et ravi d'être avec vous pour la deuxème année consécutive pour la remise de ce prix de la start-up du forum In Cyber.

ce prix, les récompense, vous l'avez dit et madame la ministre, vous l'avez parfaitement exprimé, des start-ups qui contribuent euh qui contribue justement à faire émerger et à renforcer notre protection. On en a vraiment besoin dans le contexte actuel et c'est vraiment une ambition stratégique pour le crédit agricole d'accompagner l'émergence de de ces solutions technologiques. Olivier Gavalda qui était avec vous pas plus tard qu'hier sur cette même scène le le disait très bien. On a besoin en Europe de champions technologiques pour renforcer notre autonomie stratégique.

Avant de remettre le prix, je voudrais juste remercier le jury qui est vraiment un panel de de grands professionnels de la cybersécurité. C'était un plaisir de partager avec eux cette expérience. Leur nom s'affiche à l'écran en effet. Donc merci à eux. Euh et puis peut-être sans sans plus de transition, on va procéder à la remise du du premier prix. Du premier prix effectivement. Alors, nous allons remettre cinq prix cet après-midi, chacun distinguant une dimension spécifique de l'innovation cyber. Et nous profitons donc de la présence de madame la ministre et du général pour remettre le prix du président de la République. Et c'est la première fois François qu'on décerne ce prix.

Oui, c'est la première fois et c'est un un beau symbole, une belle incarnation de cette de cette ambition à l'échelle nationale de soutenir ces technologies françaises, européennes. Et donc ben merci à la présidence de la République et merci madame le ministre d'être présente pour la remise de ce prix. Alors, nous allons annoncer sans plus attendre le prix du président de la République qui est attribué à qui est attribué à Virtual Browser. Virtual Browser. Félicitations.

[applaudissements] [musique]

J'invite l'équipe à nous rejoindre sur scène. Édouard de Rur qui est CEO et Julien Roseau qui est head of sales pour la France. Félicitations Virtual Bazard. [musique] Alors, je vais vous inviter à vous tourner afin de faire face au photographe et d'immortaliser ce moment. Voilà, je vais vous demander de vous avancer un peu plus s'il vous plaît, d'être dans la zone bleu clair. Voilà.

[musique]

Merci à vous. virtual Bor Vous allez rester à nos côtés si vous voulez bien vous placer devant le signe inciber ce sera pour la photo de famille que nous effectuerons en fin de remise des prix alors François le prochain prix c'est le prix de la croissance le prix de la croissance absolument qui récompense une entreprise qui a démontré une forte dynamique de développement et de déploiement de sa technologie et le prix de la croissance François je vous invite à vous avancer un petit peu et j'ai le plaisir d'appeler Keflar et pour le prix de la croissance. Kevlar et félicitations

[applaudissements] [musique] [applaudissements] [musique]

Ahedc qui est CEO et condateur. Vous êtes venu seul du coup sans très bien. Ben félicitations en tout cas. Félicitations Ahed [musique] de Kevlar et [applaudissements]

[musique]

merci à vous et je vous invite à rester à nos côtés à m vous placer à côté de Virtual Brother. Alors François, nous allons maintenant passer au prix de l'impact opérationnel. C'est un prix qui distingue une solution qui apporte une réponse concrète aux besoins des organisations sur le terrain. Et le prix de l'impact opérationnel est attribué à cette année, le prix de l'impact personnel est attribué à Avanou. Avanou félicitations [applaudissements]

[musique]

et nous sommes rejoints par Tangy Duton [musique] qui est CEO du groupe avec son cfondateur Étienne. Voilà un autre est là. [musique] Voilà un peu d'applaudissement peut-être pour [applaudissements] Avalou. [musique] Merci hein. Je vous l'ai dit, on est ici pour célébrer l'innovation dans la cybersécurité. Nous passons à présent au prix de la recherche qui récompense une start-up dont le travail se distingue par la profondeur scientifique et technologique de son approche. Et François, le prix de la recherche est attribué à Label for AI. Label for AI. Félicitations.

[applaudissements] [musique] [musique]

Félicitations. Félicitations. Merci d'être avec nous. Nicolas Nicolas Baudin qui est fondateur CEO. J'attendais également Anthony Level qui est votre CSO. Merci d'être avec nous Nicolas et une fois de plus félicitations. Bravo ! [applaudissements] et d'aller peut-être pas trop loin. Et nous terminons avec un prix un peu spécial car c'est le prix coup de cœur du jury. Un prix qui distingue une équipe dont la vision l'audace et le projet ont particulièrement marqué le jury. Et cette année François le prix coup de cœur est attribué à c'est la première fois cette année que une start-up a deux prix puisque j'ai le plaisir de rappeler à nouveau Label For coup de C label for.

Félicitations Nicolas Baudin.

[applaudissements][musique]

Bravo.

[musique]

Voilà, je vous propose maintenant d'applaudir à nouveau chaleureusement tous [applaudissements] nos vainqueurs du prix de la startup. Nous allons prendre quelques [applaudissements] photos pour voilà immortaliser ce moment. Voilà, je vous je vous prie madame la ministre et le général de vous joindre peut-être au lauréat pour prendre une dernière photo.

[musique]

Alors et je vous prie de vous tourner effectivement vers les photographes et le public. [musique] Voilà une belle photo des laéat. Madame leance, merci d'être à [musique] nos côtés pour cette dernière photo du prix de l'innovation. Voilà les lauré des prix de la startup. Allez encore une dernière volée d'applaudissement [applaudissements][acclamation]

[musique]

pour ces jeunes gens très talentueux. Merci. Merci à vous et merci à tous. Merci madame la ministre d'avoir été avec nous. Merci au général TWAC et merci à vous bien sûr François Delzan. Merci beaucoup. Excellente après-midi et nous continuons bien sûr avec une table ronde animée par ma consœur Julia. Merci Charlotte, merci à tous. Merci pour cette belle énergie et félicitations à tous les lauréats. Vous le savez donc maintenant le thème central de ce forum c'est donc les dépendances technologiques. Mais voilà, je vous propose tout de suite de revenir sur les fondamentaux. En soit, qu'est-ce que la dépendance et quelles différentes formes revêtent-elles ?

Pourquoi la dépendance est-elle devenue un risque géopolitique ? Comment passer d'une interdépendance saine à une autonomie stratégique ? Ce sera donc tout euh t tous les sujets que nous allons évoquer lors de notre table ronde et je vais demander à nos invités de nous rejoindre. J'ai nommé Virginie Tournet, Joséphine Staron, Véronique Torner et Hakim Oural. Merci de les accueillir.

[musique] [applaudissements]

Ça va ? [musique] Asseyez-vous, je vous en prie. Prenez place. Merci beaucoup d'être avec nous aujourd'hui. Hakim, je vous en prie. Je vous en prie. Alors, attendez, on Est-ce qu'on pourrait pas [rires] du tout ? On va demander à l'organisateur peut-être de nous pas du tout Voilà, vous êtes en direct, vous le voyez. Euh je On va on va peut-être juste vous vous chercher un siège. Venez, venez, prenez place. Ah voilà. Merci beaucoup. Prenez place. Venez. Voilà, venez à côté de nous. Mais en toute transparence Farida, je vais vous demander de vous présenter parce que je n'étais je n'étais pas au courant que vous alliez nous rejoindre pour cette conversation.

Donc dites-moi, est-ce que vous pouvez peut-être vous présenter dans dans un premier temps et puis on va faire un tour de table ? Bien sûr. Alors je peux prendre un micro ? Ouaisich en haut mais bonjour donc Farida Poulin directrice générale du campus cyber nouvellement nommée il y a 4 mois. Voilà vous savez tout. Et bien félicitations et puis bienvenue dans cette table ronde. Akimoural vous êtes membre du collège Arcep. l'ARCEP qui est donc qui est l'autorité de régulation des communications électroniques des postes et de la presse et depuis la loi Senine du cloud notamment sur l'interopérabilité et la et la portabilité.

Euh Véronique Torner, vous êtes présidente de Numéum, c'est le syndicat patronal et l'organisation des professionnels du numérique. Bienvenue à vous également. Merci. Et juste pour information, voilà, c'est 2500 entreprises qui sont adhérentes de NUOM. Il y en a de nombreuses qui sont représentées aujourd'hui ici au forum. Merci beaucoup Joséphine Staron, vous êtes docteur en philosophie, analyste seor géopolitique et questions européennes. Bienvenue également. Et Virginie Tournet, vous êtes directeur de recherche au CNRS dans le domaine des sciences du politique depuis 2016. Merci beaucoup d'être avec nous. Alors, je voudrais que on parle he depuis hier des des dépendances.

On a entendu beaucoup de différentes définitions de de de ce que ça veut dire exactement c'est ces dépendances technologiques. Je voudrais quand même qu'on revienne dessus. Qu'est-ce que ça veut dire exactement ? Et c'est vraiment une définition qui va peut-être varier selon les acteurs, si on est un groupe privé à l'international ou si on est un acteur public. Donc comment est-ce que vous abordez ce thème de la dépendance technologique ? Et bien on va commencer avec vous. Far démarre. Merci beaucoup pour la question. Alors sur le sujet de la définition de la dépendance, qu'est-ce qu'on entend exactement par là ? Je pense que parfois on a une vision un peu simpliste de ce sujet.

Nous vivons dans un monde interconnecté. C'est comme ça. L'interdépendance, me semble-t-il, est normale. C'est pas un problème en soi. Je pense que le sujet n'est pas d'éliminer les dépendances, c'est de les maîtriser. D'ailleurs, la thématique du salon le prouve. La souveraineté, on parle souvent de souveraineté, de dépendance. Je pense d'une conviction profonde que c'est la capacité à maîtriser ses dépendances et non les subir. Une dépendance devient problématique, je pense, lorsqu'elle vous retire la capacité d'arbitrer, donc de choisir les standards, de choisir nos partenaires, de choisir nos trajectoires technologiques et notre niveau de risque.

Être souverain pour moi ne signifie pas produire tout soi-même. Cela signifie identifier ce qui est stratégique et en conserver la maîtrise. Donc en résumé, je dirais que la souveraineté n'est pas l'autarsie. C'est la capacité de choisir ses dépendances.

[grognement] Hakim oui je vais pas être très très nov et ce qui est bien c'est qu'on sent que tout le monde s'accorde tout à fait je pense qu'effectivement et c'est bien que d'ailleurs j'en suis ravi que on partage tous ici dans la salle et en ligne et dans ce dans ce formidable campus qui est l'agora qui est qui est in cyber Europe pour moi les dépendances évidemment vu de l'ARCEP qui est une autorité neutre vous savez qui régule le marché notamment du cloud avec ses enjeu de dépendance à à des à des à des grands acteurs notamment américains.

Pour nous la dépendance, c'est de capacité à faire monter des entreprises européennes parce que on rendra le marché loyal et ça c'est absolument fondamental. dès le rôle marché loyal, je le dis devant Numéum qui qui ne fait que ça toute la journée, de faire en sorte que tout le monde ait la même chance, c'est de faire en sorte que au fond nos entreprises qui sont talentueuses, on l'a évoqué précédemment dans le cadre des prix au start-up, qui invent l'avenir, qui pensent à à des projets dans le numérique dans les 10, 15 ans, 20 ans à venir, ne soit pas confronté à la puissance de frappe qui est souvent liée à la capacité d'investissement de grands groupes internationaux.

Notre rôle à l'ARCEP, c'est vraiment de rendre ce marché loyal, de faire émerger des talents, de faire émerger des entreprises dans un dans une règle du jeu qui soit la plus solide possible. Et c'est ça la régulation. Et c'est vrai que et et pardonnez-moi cette digression, mais l'élu que j'ai été pendant 15 ans à la métropole de Lille comme vice-président au numérique et mes adjoints de Lille où on a avec mes complices notamment le général Vin Hongire euh inventé ce temps de réflexion, d'intelligence collective et de partage. Je pense que au fond, moi ce que je constate depuis ces années 18 ans presque, on peut considérer que la France, elle est à ce rendez-vous là.

On peut toujours s'autoflageller considérant que c'est difficile, qu'on a une problématique évidemment de de de moins 10 an par rapport aux Américains, mais vraiment il y a une vraie énergie, une vraie puissance et une vraie envie de nos entreprises et ça c'est une grande fierté. Véronique. Alors, je suis assez alignée sur les définitions qui viennent être données, donc je vais pas les réexprimer avec d'autres termes, mais peut-être essayer de de porter une vision un peu plus holistique parce que je crois que ce qui est important, c'est de pas siloter nos sujets.

Et je crois qu'aujourd'hui sur le numérique, on doit embrasser trois dimensions : la compétitivité, la résilience et la responsabilité. Alors, les dépérances technologiques, c'est un des thèmes dans la résilience, mais ce qui me paraît important, c'est qu'on ne peut pas aborder une thématique sans adresser en fait les deux les deux autres. Et quand on parle de résilience, on va parler alors ici c'est au forum INCER, on en parle beaucoup, c'est les cyberattaques et donc la cybersécurité rappeler bien que c'est pas une dépense mais que c'est une prime d'assurance pour assurer la continuité de nos activités.

Évidemment, il y a aussi les compétences, on en parle moins, mais c'est aussi un sujet de résilience et un sujet de compétitivité et un sujet de responsabilité. Et puis évidemment, il y a les dépendances technologiques qui sont évidemment un sujet également de résilience. Et aujourd'hui, il faut constater que en France, en Europe, on a aujourd'hui des dépendances qui nous fragilisent et donc il est important. Ils sont devenus asymétriques. Exactement. Ouais. Joséphine Staron, est-ce que vous voulez rajouter aussi ? Oui.

Alors, je rajouterai pas la définition, mais peut-être une vision un peu historique de pourquoi en fait on on en est là on est arrivé à se poser ces questions sur la la dépendance, les dépendances asymétriques comme vous disiez. Euh c'est intéressant de revenir au père fondateur de de l'Europe parce que finalement notre marché, il est organisé aujourd'hui sous forme d'un marché intérieur. C'est le marché européen qui structure et qui est d'une certaine manière responsable peut-être de ces dépendances asymétriques. Mais pas euh pas à dessin.

J'ai envie de de rappeler quand même que ce qui a structuré la construction européenne, c'est la vision de Montescux qui est devenue une vision du fonctionnalisme qui a présidé à la construction de toutes les instances internationales qui était de dire "Nous sommes tous dépendants les uns des autres, nous sommes tous interdépendants et donc plutôt que d'avoir à subir ces interdépendances, choisissons-les, choisissons-les prudemment, de manière avisée et transformons progressivement ces interdépendances en solidar La question aujourd'hui qu'on doit se poser, c'est est-ce qu'on a passé ce dernier cap ?

ce cap que voulaient nous faire passer les pères fondateurs qui étaient de d'interdépendance choisie volontaire à une véritable solidarité structurelle et je pense que nous n'y sommes pas parvenus encore puisque nous n'avons pas un marché intérieur finalisé achevé sur un certain nombre de domaines et qui donc forcément nous positionne aujourd'hui dans une asymétrie des dépendances ou des interdépendances puisque les choix qui ont été faits au fur et à mesure des années et surtout depuis la fin des années 80 et 90 en Europe.

Euh ces choix de dépendance n'ont pas été faits en fonction euh je dirais de l'intérêt général ou d'une vision de très long terme, mais plutôt d'une vision de la mondialisation heureuse, une vision presque un peu utopique, naïve de la mondialisation qui correspond à un contexte historique et qui aujourd'hui pose question. On est vous diriez qu'on est dans un réveil un peu difficile peut-être de cette On se réveille depuis un moment, on se réveille progressivement depuis 2001. En tout cas, les États-Unis sont très bien réveillés depuis le 11 septembre 2001.

Nous, il a fallu attendre la crise sanitaire en 2020, la guerre en Ukraine et la juaposition des crises que nous vivons depuis 6 ans maintenant. On peut même revenir à la crise économique hein et à la presque faillite de la Grèce, la crise migratoire de 2015 et cetera. Donc c'est ce ce cycle interminable de crise dont on ne sortira probablement pas avant un long moment sur cette stratégie qui n'a probablement pas été euh gagnante. En tout cas, avec le recul qu'on a aujourd'hui, on peut dire qu'il il faut changer euh notre de braquet et je pense que tout le monde est d'accord. Par contre, tout le monde n'est pas d'accord sur la manière de faire. On va y venir. Et enfin, Virginie Tournet. Oui.

Alors, pour la scientifique de la vie politique, alors je rejoins tout ce qui vient d'être d'être dit. Alors, nos dépendances, c'est effectivement c'est une réalité structurelle et euh et historique de nos sociétés. Ce n'est pas une anomalie. Alors, ce n'est pas non plus nécessairement une faiblesse géostratégique, notamment quand il s'agit de systèmes industriels qui sont complexes au niveau de la production des valeurs, c'est-à-dire quand on a des chaînes de valeur qui sont fragmentées en plusieurs étapes avec différents types d'acteurs, de technologie et différents territoires impliqués.

Alors, c'est vrai pour le numérique et c'est également vrai par exemple pour pour l'énergie parce que vous avez différents niveaux euh différents empilements qui sont qui sont interdépendants. Si vous produisez de l'électricité mais que vous n'avez pas de réseau pour la transporter, vous n'avez pas de système pour la stocker, pour la la piloter, électricité, ça ne vaut rien. Et ben pour le numérique, on est exactement dans la même logique, sauf que la ressource brute, c'est la donnée. Donc pour qu'elle puisse avoir de de la valeur, pour qu'elle puisse faire un enjeu géostratégique, il faut pouvoir la faire circuler, il faut pouvoir la stocker, la traiter et l'exploiter.

Donc la puissance, l'autonomie, elle ne vient pas forcément de la ressource seule en tant que telle. Elle ne vient pas de la donnée, mais elle de elle vient de la capacité à faire fonctionner l'ensemble, c'est-à-dire notamment la capacité à organiser les flux de données numériques. Si vous subissez une cyberattaque, euh si vous subissez une ingérence étrangère dans vos processus électoraux ou si vous avez un câble sous-marin qui est endommagé, vous ne maîtrisez plus les flux.

Et quand les acteurs parlent de dépendance, il est souvent question en fait de ne pas maîtriser ses flux et d'être dans une sorte euh d'assymétrie ou euh de déséquilibre durable dans les rapports de force qui font qu'ils n'ont qu'ils n'ont pas l'impression d'être pris en compte et qu'ils n'ont pas l'impression de pouvoir intervenir sur ces flux. Quel alors on sait qu'il y a différents types de de dépendance, on a commencé aussi à en parler de depuis hier effectivement. Euh quelles sont celles peut-être qui fragilisent le plus l'Europe aujourd'hui ?

Alors moi je je pour répondre à cette question, je vais pas lister ces dépendances, je vais pas faire un inventaire à la prévre, mais je vais peut-être plutôt essayer de répondre en m'interrogeant à savoir qu'est-ce qu'il qu'est-ce qui fait que nos dépendances numériques sont spécifiques et sont peut-être à distinguer par rapport aux autres types de dépendan industrielle classique. Et là encore, je pense que l'analogie avec l'énergie, elle est particulièrement parlante parce que nos dépendances vis-à-vis de l'énergie, elles sont visibles, elles sont matérielles et elles sont négociables.

C'est-à-dire qu'en fait, elles elles reposent sur des ressources bon le gaz, le pétrole qui sont immédiatement liées à la à la géographie et au climat. Donc on est vraiment dans une géopolitique des lieux avec une ressource qui est directement déterminée par le territoire. Donc en cas de pénurie, bah la la dépendance énergétique, elle est directement visible, perceptible, palpable, hein. Euh on le voit au niveau des prix, on on le voit au niveau ensuite de de de la fabrication. Donc en fait, on est vraiment dans une dépendance d'approvisionnement, donc dans donc dans une dépendance qui est de nature transactionnelle.

Alors que si on regarde les dépendances numériques, on voit qu'elles sont invisibles, elles sont structurelles et elles sont cognitive. Et là, on n'est pas du tout dans une géographie qui est subie, on est dans une géographie qui est construite. C'est et là, on est plutôt dans une non plus dans une géopolitique des lieux, mais dans une géopolitique des acteurs qui sont dominés par les grandes entreprises Google, Amazon, Microsoft. Donc en fait l'enjeu c'est pas tant l'accès à la donnée que l'organisation de l'architecture du social. Donc on passe finalement d'une souveraineté qui est matérielle à une souveraineté qui est de nature cognitive.

Donc autant nos dépendances énergétiques elles contraignent l'action, nos dépendances numériques elles contraignent nos perceptions. Donc ça et ça passe par plein d'effets concrets. La dérégulation du marché de l'information, la polarisation des débats, les pertes de repères communs. Donc en fait pour moi le risque il est autant dans le fait de dépendre des autres pour fonctionner concrètement que dans le fait finalement de dépendre des autres pour interpréter la réalité. Merci beaucoup Véronique Turner sur sur cette question sur les différentes formes de dépendance. Est-ce qu'il en a une particulièrement qui qui pour vous fragilise plus l'Europe ?

Bah, on pourrait citer un chiffre parce qu'on a tout n'est pas quantifiable aujourd'hui. On il y a on n' pas beaucoup d'études non plus, je dirais sur euh les dépendances technologiques hein. Il y a pas d'études européennes euh importantes qui ont qui ont permis en fait de de de pouvoir je dirais euh chiffrer. Il y en a une récente, on a fait l'année dernière avec le SIGF qui est l'étude Astars et qui montrait en fait que 80 % des données aujourd'hui des entreprises européennes sont stockées en fait dans des clouds qui sont américains.

Ça c'est une très forte dépendance et on voit bien dans le contexte géopolitique 80 % vous avez dit 80 % alors on pourrait discuter du chiffre ça peut être 70 ça peut être 85 on est sur quelque chose qui est de cet ordre là donc là il y a une dimension qui est gênante parce qu'elle est elle est fragilante surtout dans le contexte géopolitique actuel c'est aussi ça génère en fait he cette dépendance sur les données. le cloud, ça génère une dépendance économique, hein, puisqueen fait derrière ce sont des flux financiers qui partent vers des les États-Unis qui ne sont pas du coup investis en Europe.

Ce qui fragilise en fait, il y a une sorte de de chaîne qui s'autoalimente, c'estàd que le fait de investir sur des solutions américaines permettent de de financer de l'innovation et on n'investit pas en fait dans l'innovation européenne. On a besoin euh en terme de résilience pour maîtriser nos dépendances d'avoir à un moment donné des champions européens, pas sur toute la chaîne de valeur, mais sur certains axes, on a besoin que d'avoir des champions européens.

D'où le fait que actuellement on est beaucoup à en parler de pouvoir en fait demander à l'Europe qu'elle développe une préférence européenne, ce qu'elle ne fait pas aujourd'hui pour pouvoir en fait le levier en fait de la commande publique, c'est un levier important pour pouvoir en fait développer des champions. C'est pas le seul levier hein, mais c'est un un important quand même et on en parle depuis longtemps quand même de de de la préférence européenne. On en discutait justement hier lors d'une table ronde avec Andy et Octave Claba qui ont aussi apporté cette dimension de dire que finalement c'est ces deux champions qui qui ont émergé.

Mais ils ont donné pour essayer d'expliquer avec pourquoi on est arrivé à ce degré de de dépendance, ils ont aussi donné une vision un petit peu historique en disant que finalement après la Seconde Guerre mondiale, on avait donné notre sécurité, notre défense aux États-Unis et finalement on a fait la même chose avec le numérique et avec une perte de confiance finalement dans ce qu'on était capable nous de faire et que donc il y avait pas cette préférence européenne, il y avait pas ce patriotisme économique qu'on pourrait qu'on voit peut-être aux États-Unis et et en Chine.

Comment est-ce que vous abordez juste pour aller un tout petit peu plus loin dans le diagnostic de pourquoi on en est arrivé là avec un tel degré de dépendance technologique même si évidemment on dit aussi qu'il y a de belles choses qui sont faites aujourd'hui. Mais juste pour essayer de comprendre peut-être au niveau de la mentalité, au niveau de nos actions, comment est-ce qu'on en est arrivé là ? Je crois qu'aujourd'hui euh la politique européenne, elle a été euh principalement la préoccupation, ça a été de protéger en fait les consommateurs. Il y a pas réellement aujourd'hui de volonté de politique industrielle en Europe.

Et ça, je crois que c'est ça le le problème que nous avons aujourd'hui, notamment sur le numérique parce que par exemple dans le spatial, il y a une politique industrielle, c'est qu'on n pas développé une politique industrielle dans le numérique. Donc ce qu'a fait l'Europe ces dernières années, c'est plutôt réguler pour créer en fait un cadre de confiance sur un marché et essayer de créer un marché unique. On voit que c'est difficile puisqueen fait même quand l'Europe réglemente, les pays derrière surréglementent et donc finalement il y a toujours des barrières à l'entrée pour une entreprise pour pouvoir adresser réellement le marché européen de manière unifiée.

Donc on reste encore très fragmenté. Donc moi, je crois que il doit y avoir des évolutions qui sont fait au niveau européen sur les polyt industrielles. Je pense qu'aujourd'hui on n'est pas encore prêt et même si les différentes crises nous bousculent et on voit que il y a une sorte de réveil qui se crée, je crois qu'on n'est pas encore prêt y compris en France de dire bah en fait il nous faut des champions européens et si le champion il est polonais c'est une bonne chose. Hm. Chaque pays a envie que les champions ils soient de sa nationalité et ça c'est un frein au fait de faire émerger euh des champions. Euh donc ça, je crois qu'il y a un changement de mindset important à faire.

Euh après, il y a il y a énormément de choses sur l'Europe qui doit évoluer. Je pense qu'on a une institution qui qui est difficile aujourd'hui dans ces prises de décision. Euh là, il y a l'émergence d'un 28e régime qui permettrait en fait de de d'accélérer, je dirais, le le fait d'avoir, je dirais, euh un marché unique et qui permet aux entreprises de d'avoir un marché euh plus accessible. voit qu'on crée régime parce que l'institution même permet pas aujourd'hui d'avoir l'agilité l'efficacité qui est attendue par rapport au contexte qui est le nôtre aujourd'hui. L'institution européenne a vieilli et elle a besoin de se moderniser.

Alors àim ensuite j'aimerais bien avoir la réaction de Joséphine sur les propos de Véronique. Bien sûr justement je revenir sur la question historique. Sans aucun doute, il y a une forme de naïveté au sortir de la deuxième guerre mondiale où la question des alliés était la question centrale de la stratégie industrielle, le partage de la valeur, la chaîne de valeur dans un monde qui se globalisait. Mais quand même, rappelons et dans la ville de du général de Gaulle, le général de Gaulle en 68 au moment de la question du nucle, le nucléaire monté en puissance a décidé de faire le plan calcul pour permettre justement d'avoir des équipements qui soient souverains.

Donc ça veut dire que c'est pas un sujet euh d'aujourd'hui. Le général de Gaulle à l'époque était désaligné sur de choses. notamment n'était pas dans le dans dans le temps militaire mais en restant dans le temps politique. Et donc il y a la conscience française sur cette question de la souveraineté, elle existe.

Elle s'est peut-être adouc dans les années 80 90 effectivement où là il y a eu une puissance de frappe de la Silicon Vallé qui amené un de de de technologie qui passionnait qui excitait la le le rêve commun de se dire le numérique va nous changer la science-fiction et tout ça mais sans aucun doute la France a été force de de une force de frappe extraordinaire sur la question de la souveraineté et la deuxième chose que je voulais dire et j'en arrête là sur cette question de de de la réglementation européenne.

Effectivement, l'Europe doit se renouveler dans dans sa manière de fonctionner, de pas être dans une approche de blocage de certains pays sur des stratégies communes parce que évidemment il y a des antagonismes entre ceux qui pourraient subir un marché commun avec une problématique de déf de commerce extérieur qui pourrait s'aggraver et donc il y a une problème problématique d'antagonisme. On peut dire quand même que le travail que Thierry Breton notamment a mené au travers du DMA de de du DSA dans la suite du data de de du DGA et du data act sont des sont des actions fortes de l'Europe.

Le problème aujourd'hui c'est qu'il faut que tout à chacun s'en empare pour faire en sorte que ce soit d'une certaine manière notre drapeau pour aller sur le combat dans les marchés. Joséphine et puis suite Farida. Oui, je je souscris tout à fait mais je pense qu'il faut revenir à l'origine de la construction européenne. Elle n'a pas été faite pour une montée en puissance progressive des économies européennes, des industries pour créer des champions dans l'énergie ou dans d'autres secteurs à l'époque.

l'Union enfin la communauté européenne lorsqu'elle est construite, elle est pensée pour être un facteur de paix, d'uniformisation progressive des marchés et donc des sociétés pour éviter que les facteurs qui ont mené à la guerre deux fois au 20e siècle se retrouvent à nouveau. Donc à partir de là, on est encore sur cette vision très montes que finalement des des rapports et des interdépendance qui est de dire si les économies sont interdépendantes, si les relations commerciales sont tellement imbriquées, et bien il n'y aura pas de raison ni de possibilité même de se faire la guerre. Et de ce point de vue-là, le Paris est réussi.

Euh je crois que dans à l'échelle de l'histoire et de la géographie, il n'y a jamais eu autant d'années de paix, c'est-à-dire plus de 70 ans entre autant d'États nation ou de régions ou de ou de de collectivités différentes. Donc c'est une réussite. Mais la création euh de d'industries puissantes ou euh d'entreprises leader en Europe n'a jamais été un objectif. vous mentionnez le général de Gaulle, c'est très intéressant parce que c'est un épiphénomène euh dans dans la construction européenne. Pourquoi ? Bien parce que notamment sur la question agricole, le général de Gaulle s'est battu pour que il y ait une préférence européenne dans le domaine agricole.

Dès que le général de Gaul a rendu son tablier, et bien cette préférence agricole sous pression américaine bien évidemment puisque ça ne plaisait absolument pas aux Américains, nous étions en dehors des accords du GAT à l'époque et bien cette préférence européenne a été lissée et cela correspondait également au moment à ce ce tournant qu'on peut appeler néolibéral ou il y a peut-être d'autres termes, peu importe, mais de l'Union européenne qui s'est qui s'est aligné sur les règles de l'Organisation mondiale du commerce.

euh en euh en se disant finalement la fin de l'histoire c'est ça, c'est que ces interdépendances économiques et commerciales vont structurer nos rapports et les rapports de puissance n'auront finalement pas lieu d'être. Or, nous n'avons pas pendant les 30 dernières années perçu que les seuls acteurs qui respectaient véritablement à la lettre scrupuleusement ces règles internationales étaient les Européens. Donc euh d'une bonne intention euh finalement la naïveté euh la naïveté a a prévalu et c'est pour cela qu'aujourd'hui on se retrouve euh face à enfin dans une situation euh critique. Critique pourquoi ?

parce que quand même le réveil, il est extrêmement tardif, extrêmement tardif et on est encore loin, vous le disiez, on commence à à parler de préférence européenne. C'est quelque chose qui a existé, qui a totalement disparu et même si ça revient dans les discours notamment de pays nordique qui est extrêmement farouchement opposé, on est encore loin aujourd'hui de la stratégie dont on a besoin qui est une véritable stratégie de préférence européenne à distinguer d'un protectionnisme. Bien évidemment, on a quelque chose à inventer ici qu'on a inventé dans le cas agricole dans les années 60 qu'on pourrait inventer aujourd'hui dans beaucoup d'autres secteurs.

Alors, l'un des arguments qu'on entend régulièrement notamment des grandes entreprises qui vont choisir des solutions américaines, c'est qu'il n'y a pas d'alternative aux cyberskyers américains ou en tout cas que les alternatives qu'on a sur le territoire européen ne sont pas haut niveau en terme de service. Qu'est-ce que vous en pensez ? Alors, je vais donc à la question. Avons-nous des des alternatives pardon européennes aux hyperscalers ? Donc je regarde le public même si je ne le vois pas avec la luminosité. La réponse est un grand oui. Voilà. Donc je voulais quand même m'arrêter dessus. Le problème n'est absolument pas l'absence d'acteur européen. Le problème est le passage à l'échelle.

Je pense que le sujet, j'ai pas dit problème mais le sujet c'est l'intensité aussi que peuvent doivent mettre les grands honneurs d'ordre sur ce choix justement de de dépendance numérique et quels sujets sont plus critiques que les autres. Donc le problème est bien le passage à l'échelle. Nous avons des solutions, nous avons des briques technologiques très solides. Ce qui manque c'est la massification et c'est exactement l'un des actes structurants de la feuille de route donc de notre président Jeoffre Célestin Urbain au sein du campus cyber sur 2026-2028. Aider l'écosystème en consolider l'offre, structurer les écosystèmes, organiser le passage à l'échelle bien évidemment.

Donc le problème n'est pas le talent, le problème est vraiment l'accompagnement au passage à l'échelle. ce que ça faire les Américains, il faut juste le reconnaître et se mettre en or de marche. Et mon mot de la fin, parce que je vois le temps qui court donc je vais faire cours, le mot de la fin, je dirais que le la préférence européenne, il faut peut-être moins en parler et plus le faire aujourd'hui. Voilà, c'est d'ailleurs un message qui a aussi été porté ce matin par Geoffrey Célestin Urbain. [rires] effectivement, mais qui a lancé aussi un appel absolument pour que pour que on se mette en action.

Euh peut-être cette question he qui on en a parlé, la dépendance technologique, c'est finalement faire le choix de ces dépendances. Comment est-ce qu'on maîtrise les dépendances aujourd'hui concrètement ? Alors, il y a beaucoup de choses encore une fois qui ont déjà été dites aujourd'hui, mais comment vous abordez cette question Hakim ? Alors euh maîtriser ses dépendances, c'est d'abord effectivement ça a été évoqué, c'est de de de regarder avec attention ce qui est la chaîne de valeur euh et les objectifs qu'on veut donner et la qualité de service qu'on veut apporter. Ça c'est vraiment un enjeu.

C'est aussi l'enjeu qu'on partage à l'Arcep, c'est que cette chaîne de valeur, même si nous n'atons pas dans toutes dans tous les séles de la chaîne de valeur, on regarde quand même ces questions. Je vous donne un exemple. Aujourd'hui, nous avons la France est est est leader sur la question du fibrage de son territoire. Le plan France Tréo débit qui a aujourd'hui 10 ans a permis de fibrer le territoire à quasiment 95 % et permet d'avoir une connectivité assez résiliente, assez robuste permettant voilà des usages nouveaux.

Euh on se pose aujourd'hui la question de quel impact aura le satellite notamment avec des acteurs comme Starling qui sont sans commune mesure des géants de du marché et nous étant neutre, on regarde les choses avec attention et on se et on se dit de quelle manière l'arrivée de Starling sur le marché européen sur une technologie qu'on appelle le D2D. Ça veut dire que vous pourriez prendre téléphoner avec un téléphone connecté au satellite directement. Le fait de switcher la question des réseaux fixes peut-être un acte de de non souveraineté. Et donc au fond la la question pour pour nous de de quelle manière préserver nos souverainetés, c'est monter en maturité.

ça a été évoqué à plusieurs reprises nos entreprises, c'est d'avoir de cette ce rêve qui doit devenir une réalité parce que c'est ce qui est aujourd'hui sur les rails, ce small business act que nous attendons tous d'une certaine manière que les Américains ont construit au travers de la DARP de leur DARPA et qui donne une force particulière à l'accès à la commande publique, à l'accès au marché, à créer une masse une masse critique de de de pour les entreprises. au niveau des au niveau de de leur capacité à vendre. Et donc c'est ça le sujet, c'est que de repérer toute la chaîne de valeur.

Regardez les segments, ça a été très bien évoqué par toi tout à l'heure, les segments sur lesquels on sera absolument absolument leader. Et on a parlé du quantique précédemment et ben on est on a des super gars sur le quantique aujourd'hui qui v qui ont une capacité sur du hardware à être fort. On est on invente les usages notamment la question du chiffrement postquantique. il faut qu'on reste là-dessus et que on se laisse pas avoir par une éventualité de de revente ou de ou de ou de prise en main de de nos technologies et de cette de ces actifs qui demain deviendront des facteurs de souveraineté. Peut-être pour maîtriser ces ces dépendances, il faut l'articuler s de deux niveaux.

Je pense qu'il faut l'articuler au niveau des États et donc là au niveau Europe. Euh je crois que il y a 2 ans, le rapport Dragy avait donné quand même une ligne directrice assez claire euh qui n'est pas réellement aujourd'hui mis en opération mais on on avait des segments. Je reviens sur le fait qu'il faut qu'on ait on pourra pas je dirais être leader sur l'ensemble de la chaîne de valeur. Donc il faut choisir des chaînes de valeur où on va être leader, ce qui nous donnera un rapport de force parce que là on vit dans un monde de rapport de force donc il faut être capable de pouvoir mener des négociations et pour ça il faut être musclé dans certains secteurs.

Donc ça le rapport Dragué avait fléché. Il y a l'IA, il y a le cantique, il y a la santé, euh il y a on a des atouts en Europe. Donc ça c'est au niveau euh des gouvernement et à l'échelle européenne être en capacité d'avoir des des politiques vision industrielles fortes. Au niveau des organisations, c'est important que chacun soit en capacité d'analyser et maîtriser ses risques également.

Donc là euh on on a lancé euh il y a quelques mois une initiative avec un indice de résilience numérique euh qui est plutôt aujourd'hui orienté pour les grandes entreprises mais qui va certainement se décliner derrière pour les ETI et les PME et qui permettent un outil qui permet de diagnostiquer en fait bah ces dépendances et qui permettent derrière de pouvoir prendre des décisions et ça c'est au niveau d'une organisation d'ailleurs publique ou privée. C'est une initiative qui est portée par la Caise des dépôts et consignations et enfin j'invite en fait les acteurs ici si vous ne connaissez pas cet indice de résilience à aller le télécharger et à faire votre propre analyse.

Alors Hakim, vous avez évoqué les les prochains virages technologiques. Je vais d'abord me tourner vers Farida, mais comment on fait justement pour faire en sorte de pas rater d'autres virages technologiques et peut-être quels sont ceux que vous avez identifié ? Merci beaucoup pour cette question. Euh parce que souvent on pense que ces ces sujets-là sont un sujet d'investissement. Donc c'est le cas mais je pense que ce n'est pas seulement une question d'investissement, c'est une question aussi d'infrastructure collective. D'ailleurs, notre feuille de route prévoit euh des plateaux techniques, notamment un plateau euh dédié à l'IA et à la et au quantique. Donc évidemment appliqué à la cyber.

Un plateau aussi dédié à la lutte contre la manipulation d'information par exemple pour répondre à votre question. Et pourquoi pourquoi on fait ça ? Parce que ma conviction, c'est qu'un pays isolé ne peut plus porter seul les ruptures technologiques. C'est bien ensemble en Europe qu'on doit y aller. Nous devons mutualiser les capacités de recherche, de test, d'expérimentation. Très important. Donc pour ne pas rater le prochain virage, ben je pense qu'il est nécessaire urgent de créer aujourd'hui les infrastructures qui permettront de le prendre. Voilà, de bien le prendre.

Et c'est d'ailleurs une des missions que l'on mène avec les équipes du campus cyber dans le cadre du triénal de la nouvelle présidence. Merci Farida Hakim sur cette question des virages technologiques. Alors c'est c'est un peu compliqué parce que j'ai pas de boule de cristal et l'ARCEP doit gérer la réalité du de maintenant pour préparer l'avenir.

Mais néanmoins effectivement sur les virages technologiques qu'il ne faut pas rater, on l'a évoqué sur le quantique, la question de la capacité à à à notre nos territoires qui sont quand même les les jalons d'une certaine manière à une de la stratégie nationale sur les sujets de data notamment la question du edge computing de quelle manière ce le edge computing peut être un facteur de réussite d'une IA qui soit une IA utile, une IA loyal, une IA qui soit éthique et éviter d'aller chercher des données qui soient des données altérées ou en tout cas dirigées ou biaisées. Et moi je crois beaucoup à la à la donnée territorial. À une époque, je l'évoqué avec Alexa qu'on préparait.

Euh je j'avais dans un rapport qu'on avait remis à Axel le maire et à Emmanuel Macron en 2015, on avait pensé et d'ailleurs dans la salle, il y a des il y a des acteurs territoriaux qui qui ont travaillé avec moi là-dessus à l'époque et on avait pensé à une compétence préparation de la donnée, vous savez dans ces ce qu'on appelle le CGCT qui est le truc qui sert à donner les compétences à chaque collectivité et administration. Et on avait dit, il faut qu'on pré on ait cette compétence préparation à la donnée pour organiser dans chacun des territoires une capacité d'agrégation de la donnée, la collecte, la sécurisation, la normalisation, standardisation jusqu'à la mise à disposition.

Et ça c'était fondamental parce qu'on voyait bien et à Lille et je vous l'ai évoqué tout à l'heure il y a 18 ans on lançait le campus cyber et donc on savait ces risques, ces vulnérabilités qui émergaient même avant l'automatisation et cette compétence aurait permis d'abord créer une maturité et de d'inventer d'une certaine manière des gouvernances territoriales de la donnée qui aujourd'hui nous aurait aidé. Ça ne peut plus exister. Par contre aujourd'hui, la question de l'agrégation de la donnée, la question du big data tel qu'on l'envisage dans nos stratégies territorial, il y a des acteurs aujourd'hui qui travaillent sur ce sujet, doit être lié à nos territoires. Ça vraiment j'y crois.

Je pense que impliquer les territoires dans la compétence d'agréger la donnée au service du territoire mais aussi au service du national est absolument fondamental pour réussir évidemment ce qui est là aujourd'hui l'IA li générative li antique mais aussi le quantique et la robotique aussi on en parle peu et la robotique oui j'en parce que on en parle peu mais c'est vrai que c'est un vrai sujet Véronique peut-être en compliment parce que je suis d'accord avec ce qui vient d'être dit c'est peut-être ce qui est important c'est le jeu collectif Donc le jeu collectif au niveau déjà national, on a lancé une initiative et le campus cyber fait partie de cette initiative qui s'appelle l'équipe de France du numérique.

Aujourd'hui en France, il y a un peu plus de 100 organisations qui adressent le sujet du numérique. 100 organisation c'est beaucoup. C'est à la fois une grande richesse puisqu'il y a des spécialistes ici. Il y a beaucoup d'organisations qui sont présentes et qui représentent le monde de la cyber. Mais vous avez la même chose dans le cloud. Dans l'IA, vous avez les territoires. Chaque territoire dispose de cluster dans le numérique. Bon, ça fait tout un écosystème qui est riche mais qui est finalement atomisé. Donc, on l' on l'a dit à plusieurs reprises, on doit passer à l'échelle.

Donc, le jeu collectif déjà au niveau français, donc on a créé ce collectif qui est l'équipe de France du numérique, puis le jeu collectif au niveau européen. Aujourd'hui, on a du mal euh à se coordonner avec nos amis européens. On n' pas tous la même vision de du mot de souveraineté. D'ailleurs, on le voit bien en septembre dernier quand on était au sommet franco-allemand sur la souveraineté. Euh on parle pas exactement des mêmes choses. Moi, mon homologue allemand s'appelle Bitcom. Quand je discute de ces sujets-là, bon benah, on voit bien qu'on parle pas tout à fait de la même chose.

Donc on a besoin de faire jeux collectif au niveau européen et c'est ce qu'on essaie de faire Numéum aujourd'hui en travaillant avec l'ensemble de nos homologues. Il y a un momentum qui va être important là cette année puisque cette année la France a la présidence du G7. Oui. Ce qui fait que nous avons la présidence du Texen qui est le collectif des organisations professionnelles du numérique des pays du G7. Et donc, il y a un momentum où on va pouvoir euh et bien faire quelque chose avec les Européens mais aussi au niveau international pour faire valoir notre vision, je redis sur la compétitivité, la résilience, mais aussi la responsabilité. C'est un axe qu'il faut pas sous-estimer.

Voilà, nous arrivons à la fin de cette table ronde mais peut-être en une phrase rapidement. Est-ce qu'il y a vraiment un message que vous souhaiteriez que la que la salle retienne parce que vous étiez nombreux autour autour de la table ? un message que vous souhaiteriez que que les personnes dans la salle retiennent de cette table ronde. Joséphine, bah écoutez, je pense que on a dit beaucoup de choses essentiel. Il y a un message politique quand même à faire passer aujourd'hui parce qu'on pourra se démener sur tous les secteurs, créer des des petits champions et essayer de les aider à passer à l'échelle.

Mais si on n pas une réflexion, vous parlez de collectif, mais véritablement politique aujourd'hui, c'est-à-dire un courage politique au niveau européen qui s'expliquerait comment ? Et bien, ce serait simplement de dire on n'y arrivera pas seul nation par nation, c'est impossible. Vous avez les États-Unis, vous avez la Chine sur d'autres sujets, vous avez la Russie, bref, vous avez des mastodontes euh qui font bloc parce que ce sont des États-nations. Euh et au milieu de tout ça, vous avez les Européens qui sont 27 individualités différentes avec un marché intérieur inachevé.

Si on ne alors le saut fédéral on n'y est pas et les opinions publiques n'y sont pas donc il faudra trouver un autre un autre moyen. Mais il y a un choix politique à faire qu'el le choix de la solidarité européenne aujourd'hui c'est pas une question d'humanisme ou ou même d'idéologie c'est un choix pragmatique. Si nous ne sommes pas solidaires entre européens, je ne sais pas si ça doit être à 27, à 19, à 12, peu importe, nous ne passerons pas à l'échelle sur aucun sujet. Et le correlaire de ça, c'est qu'il faut prendre des risques et l'Europe a été assez frileuse depuis sa création sur la prise de risque. Brièvement, qu'on puisse faire un petit tour de table.

Moi, je dirais que l'enjeu n'est pas seulement de devoir arbitrer entre différents types de dépendance, mais surtout et aussi de transformer la manière dont nous les abordons. Et ça passe par plusieurs leviers. Le premier, c'est d'inclure absolument le citoyen, les populations dans cette résilience et puis peut-être de penser davantage en terme de de souveraineté cognitive au niveau européen. Et je [grognement] conclurai par cette citation d'Isaac Azimov, donc scientifique et auteur de science-fiction qui disait que pour convaincre la vérité ne suffit pas. Merci beaucoup Farida. Peut-être en une phrase, le message clé que vous souhaitez faire passer.

Oui, un de mes messages clés ce serait bah dépêchons-nous, allons-y, soyons dans l'action parce que les attaquants ne nous attendent pas et donc imposons cette massification de la la réponse européenne Kim et puis ensuite Véronique, ce sera le mot de la fin. Oui, moi je rapidement, j'ai trop parlé donc je vais aller très vite. Je pense que ne soyons pas angoissés par nos éventuelles vulnérabilités, mais ayons confiance en nous. Très bien. Et Vérodique. Alors du coup, on vous laisse le mot de la fin. Le jeu collectif. [rires] Le jeu collectif. Et ben écoutez, merci beaucoup. Je pense qu'on peut les applaudir tous très chaleureusement. Merci de nous avoir rejoint.

[applaudissements]

Merci beaucoup. Je vous félicitations. Je vais vous demander de rejoindre la salle. Merci infiniment. Merci beaucoup. Our next guest is one of the finest cyberanalyst he Martin Cupinger is here to tell us more about what he calls a strong EU sovereign technology offering stressing the fact that the real dependencies are actually quite limited please welcome Martin Cupinger

[musique]

than you very I don't need that. I have to um welcome. Unfortunately my French is I think quite listen but not good enough to speak. Sorry for that. And I have a pry pretty short talk which will be about the European market facing its technological vulnerabilities.

And when we read this may read facing as being challenged by or we may interpret facing as having a great ability, a great opportunity to get things done and I want to focus on the the second aspect that I think we have a bit of a tendency in in our cyburity software markets full cycurity identity identity management to underw European technology can deliver and to be to be honest I was finally yesterday in the afternoon talked about and one of the thoughts I wasing around in my mind since then was there any element in cyburity which we can't solve based on European and come to any element with the entire cyberity identifi where there's no vendor from the EU that could deliver that there might be differences in the capabilities but we have them and I think one of the things to look at is clearly we have we have quite a lot of software companies the um European champions alliance just released their their annually report looking at cyburity market the ecosystem and they some a couple of them are really big of 100 million there are clear a lot of smaller ones which is also I think thanks to France who are in manner I believe fostering the the startup ecosystem in cyb security space so we have a lot of them and we have some global leaders here we have companies that we definitely can count in cyburity as a global leader complobeng companies are very competitive position at global scale technology I believe we have way more we have quite a number of power really really strong software firms that can do a lot of things here and clear we have the platforms the scaleups where we can build stuff upon it including all the startups mentioned and the niche specialist.

So we have we have a very attractive very interesting ecosystem I think it's very important that we also sort of look at what can we do based on that ecosystem what what is the opportunity and analy so our job is to be independent and to the best advice to the people who are leading reading our stuff who are listening to us this is what we do and So um I understand the need for I think there's a good logic in that. I also think that most important is to look at it from customer perspective what do you really need.

But what I want to do in the next few minutes is looking at a bit let's say foures on the cloud and cyburity serenity and maybe a bit of misconceptions that we sometimes may have around the power of our own ecosystem and the one seas is we don't have a gap and technology providers already talked about it.

have 1300 firms and so if if anyone spots an area where he says this part of cyb security there definitely no European vendor let me know I'm easy to find on LinkedIn the common oh there is no real European alternative really I doubt 30000 and what we must underestimate is the changing power of the open source software ecosystem I think there was a myth around told by the open source ecosystem for many years that was oh you have this open source software you just can review the code honestly who can earnestly review million lines of code right now we can use one or two or three of the AI solutions and check the code analyze the code we can autom a lot of things so it's not a miss anymore right now we can do of here super innovative second element we don't think enough about exit strategies and believe for cio for a decision maker the very first question to ask when you procure a software cloud strategy thing tool a lot of you know sent around someone with a tool is just etc I don't bring it up tools can cause login so if you go for a tool you need to think about how do you get rid of it And this is I think a very important aspect.

Um we we overlook so we we say okay that's cool thing great software everyone recommends it we go for it. And again this right solution tool is rarely the most featurage tool.

I've been advising companies for decades about selecting software and my experience is yes there is this by IBM and you won't be fireding to a certain extent or go for the upper right edge of whichever analyst quadrant but when once an organization goes through analysis usually one of the top two is someone who is a bit more specialized exotic smaller fitoud hyal storage ai et services of the hypalers and compare it to whatever stack it in the others then it reads like the hypalers have way more services but if you use all the services how would you ever run a multicloud more cooking a bit of salt is good if you use too much of salt it usually doesn't taste that well anymore.

So and there's no tool is perfect most features are never used how how much of your Microsoft 365 tooling pretty simple sample do you use? 5% maybe of all the capabilities and think about login and then last not least when we think about serity it's more than location and I think we have this challenge nowads I thinkersation wither US investment bank recently Martin I don't understand this antiamericanism un trust mitigate risks very very clearly a lot ofers currently come up and say oh we have EU data center nice to have a sovereinty batch on something reality is it's about way more. It's about location. It's about who owns the software, how do we handle the updates?

Where do they come from? Who runs the operations? What are the legal entities? How is this constructed? Who and last hardware ownership if the hardware is owned by by um someone else and then they can just ask to get the hardware back and then all the stuff is away. So we need to think about it much broader, much more differentiated. There's not a silver bullet this is right or that is right. What we need to learn is there is a tremendous European ecosystem. So we can face the challenge we need to think about what are the most risky the most critical areas where we need resilience about all things not from but we want to achieve resilience. This is my message for today.

Don't for questions but you know how to reach me. Thank you very much.

[applaudissements]

Thank you Martin. Thank you very much. Thank you. French car notre prochaine discussion s'ouvre avec une grande question. Que se passerait-il si demain matin l'accès au services numériques ici en Europe dont nous dépendons au quotidien était soudainement coupé ? Pas à la suite d'une cyberattaque ou bien d'une panne technique mais à la suite d'une décision géopolitique. Et bien cette question elle est au cœur d'un livre Blackout. Et si les États-Unis coupaient nos services numériques, pour en discuter, j'ai le plaisir d'accueillir Stanisnas de Remur et Michel Paulin.

[applaudissements] [musique]

Bienvenue à tous les deux. Merci de nous rejoindre.

[musique]

Je vous en prie, vous munir d'un micro également. Alors Stanislas de Remur, vous êtes président et cfondateur de l'entreprise française Drive, une entreprise créée en 2000 avant même qu'on parle de cloud et aujourd'hui un acteur majeur du cloud de confiance. Vous êtes aussi le co-auteur de ce livre que j'évoqué en introduction et avec votre cfondateur bien sûr qui est ici avec nous aussi et coco Cédric Mermillot. Michel Paulin, vous êtes ancien dirigeant de OVH Cloud et SFR, président du CFS et observateur de long cours des transformation technologique, industrielle et stratégique de l'Europe. Vous êtes également l'un des contributeurs de ce livre.

Alors Stanisnas, ce livre, pourquoi maintenant ? Pourquoi ce livre ? Ce livre c'est quand même une sorte de tome 2 d'une histoire que vous avez déjà commencé à raconter. Oui, tout à fait. Alors juste avant de répondre à cette question, je voulais remercier te remercier Michel, remercier tous les contributeurs qui nous ont aidé à faire ce livre. Je sais qu'il y a Véronique Torner, je crois Ran Martin, Henry Dgrin qui sont qui sont là et donc je souhaitais avec Cédric, on souhaitait les remercier très chaleureusement. Euh pourquoi ce livre ?

Bah parce qu'il y a urgence, il y a une urgence aujourd'hui de bien comprendre les dépendances que nous avons vis-à-vis des solutions américaines et surtout de comprendre les risques qui sont associés. Et c'est vrai que ce livre, c'est un peu une réponse à l'élection de Donald Trump, mais c'est surtout une réponse au changement d'attitude de nos partenaires ou de nos ex-partenaires américains parce que aussi le monde a changé. Alors, c'est vrai que c'est c'est le tome 2.

On avait écrit un tome 1 qui était sur le cloud européen sur le besoin de faire émerger des champions nationaux ou européens pour pouvoir rééquilibrer le rapport de force qu'on avait avec les clouds américains parce queà cette époque-là, si je me souviens bien, on devait être à 78 % pour les cloud providers américains et quelques pourcents pour pour européens. Mais je pense que ce livre, c'est surtout une prise de conscience que nos infrastructures sont en grande partie dépendantes des solutions américaines. Euh on parle des hôpitaux, on parle des aéroports, on parle euh des moyens de paiement.

Euh tous ces toutes ces infrastructures aujourd'hui sont dépendantes et on oublie que on peut avoir un arrêt pour une cyberattaque, pour une décision géopolitique pour plein de raisons et je pense que le grand public n'a pas toujours conscience que ça peut l'impacter dans son quotidien et c'est ce qu'on a essayé aussi de mettre dans ce livre en prenant un peu de hauteur et à notre petit niveau en essayant de trouver quelques solutions.

Et avant de vous demander pourquoi Michel Paulin vous avez accepté de contribuer à ce livre, j'aimerais quand même évoquer le fait que ce type de conversation il y a quelques années euh aurait paru très spéculative finalement hein, quasiment de la science-fiction mais on est on y en est plus finalement. Je suis d'accord avec vous. Je me souviens il y a encore 7 8 ans quand j'abordais ces sujets d'autonomie stratégique ou de souveraineté, c'était presque un gros mot.

Et donc tout le monde disait "Mais de toute façon, mais je crois qu'aujourd'hui on on comprend très bien que les alliés ne sont pas nos amis." Et quant à même c'est un mot qu'on pourrait en ce moment quand j'entends ce qui est en train de se dire c'est même un mot qui peut disparaître. Et donc moi, je suis très modestement contribué parce que je pense qu'aujourd'hui, il est indispensable de comprendre pour le grand public qu'aujourd'hui le numérique c'est aussi important que l'agriculture, c'est aussi important que le sujet de la défense, c'est aussi important que nos institutions.

que le numérique aujourd'hui ça affecte nos vies personnelles et que sa vie bien entendu ça affecte aussi le monde du travail, ça affecte la productivité, ça affecte notre économie et aujourd'hui de se rendre compte que nous sommes dépendants de l'essence qui traverse et le prix de l'essence qui traverse un des tr et ben il faut se rendre compte que de la même façon si nous sommes 100 % dépendants aujourd'hui d'infrastructure de logiciel de cloud dia qui ne sont pas dans nos mains et bien nous serons totalement vassalisés Et la conclusion de ça, c'est qu'il y aura des conséquences. Il y aura des conséquences sur nos emplois. Il y aura une conséquence sur nos vies.

Il y aura une conséquence sur nos valeurs, sur notre éthique. Et donc clairement aujourd'hui, modestement, j'ai souhaité contribuer pour aussi montrer que le scénario qui est aujourd'hui un scénario blackout dans lequel on coupe tout, c'est pas un scénario la Black Mirror. Je pense qu'il faut l'envisager. La preuve, c'est qu'on peut couper l'approvisionnement de de pétrole. Pourquoi on couperait pas l'approvisionnement, comment dire numérique ? Ça existe déjà pour des individus. Je pense au malheureux juge de la Cour internationale qui n'a pas accès à ces choses-là. On peut imaginer que des gens puissent couper des services pour pouvoir avoir des contreparties.

C'est pour ça que il faut alerter sur l'exigence aujourd'hui d'avoir une filière forte parce que c'est le seul moyen de garantir une souveraineté confortable. Donc on n'est plus sur du spéculatif là, c'est vraiment du réalisme. Stanislas, on a beaucoup parlé de résilience au cours de ces derniers jours ici, en tout cas depuis le début du sommet hier. Mais concrètement, c'est quoi c'est quoi la résilience ? Et et est-ce que vous pourriez nous donner un peu plus d'idées d'ors de grandeur de cette dépendance ? Justement, vous avez évoqué le cloud, on l'a réduit justement, on vous a évoqué quelques quelques statistiques sur le cloud.

Euh on est moins dépendant des des technologies euh étrangères ou pas ? Non, malheureusement, on est toujours aussi dépendant. La résilience, c'est vrai que c'est la capacité qu'on a à pouvoir continuer à fournir un service, même si une ou plusieurs solutions numérique s'arrêtent de fonctionner. Et non, malheureusement en Europe, je pense que la résilience, ce point de résilience est arrivé tardivement. On était conscient d'un certain nombre de problèmes à aborder, mais c'est vraiment depuis maintenant 18 mois que au niveau de l'État, au niveau des entreprises, on prend en main cette question de résilience et on prend en main cette question de la souveraineté.

Même si je suis d'accord avec Michel, je préfère sur souvent le terme de d'autonomie numérique ou d'autonomie stratégique euh parce que la souveraineté ou cette autonomie, c'est en fin de compte une partie de la résilience parce qu'on doit pas dépendre d'un seul fournisseur ou on doit pas dépendre d'un seul pays pour ces infrastructures critiques. La résilience, on la voit souvent comme seulement technique. On se dit qu'est-ce qui se passe si on arrête si ce domaine arrête de fonctionner ?

Et c'est vrai que par exemple ce qu'on a tous vécu en juillet, je crois que c'est 2024 quand il y a eu une simple mise à jour du Microsoft, bah en fin de compte il y a eu des millions d'ordinateurs qui ont été de fonctionner et si on se rappelle bah les avions dans nos aéroports étaient cloués au sol. Bon ça c'est de la résilience, c'està dire que pour une simple mise à jour pendant plusieurs heures, on a des des aéroports qui sont bloqués. Mais la résilience, elle est pas seulement technique, elle est aussi financière. Et je prends un deuxième exemple. Je prends l'exemple du rachat de VMware par Broadcom. VMware pour faire simple, c'est de la virtualisation.

C'est ce qui sert à à faire marcher nos serveurs. Bon, ils avaient 65 % du marché. Broadcom rachète VMware et change de base modèle et multiplie selon les clients qu'on a pu entendre entre x 2 et x 10. Tout le monde dit je vais partir 3 ans après, qu'est-ce qui se passe ? La plupart des clients sont toujours clients de de Vemware maintenant de Broadcom. Le cours de bourse de Broadcom a fait x 6 en 3 ans et le problème c'est que comme rien n'avait été prévu, c'estàd que cette résilience n'avait pas été du tout euh euh anticipé et ben en fin de compte personne n'a pu vraiment partir et a subi ces augmentations de prix qui peuvent peser sur la profitabilité de nos entreprises.

Et c'est vrai que quand certains grands éditeurs américains disent "On va augmenter les prix de 25 % en fin de compte j'ai pas entendu beaucoup de cris parce qu'on n pas le choix." Et donc cette résilience, elle est technique, elle est financière et c'est vraiment pour le coup, comme le disait exactement Michel, il faut qu'on ait des alternatives crédib en Europe pour ne plus dépendre seulement des technologies américaines. Michel Polin, je vous laisse compléter sur ce sujet de la résilience. C'est quoi votre vision à vous de la résilience ?

Alors moi la première chose que je veux dire c'est qu'aujourd'hui je pense que le numérique c'est un sujet qui devrait être au niveau des conseils d'administration des comités d'audit des direction générale. Ça ne veut pas dire que bien sûr la direction informatique n'ont pas d'importance. Pourquoi ? parce que aujourd'hui le numérique a une telimpact dans les entreprises qu'il crée des dépendances qui sont des dépendances comme les achats.

Aujourd'hui, on on dit qu'il faut diversifier ses achats, qu'il faut diversifier ses capacités et donc je pense qu'il y a une vraie prise de conscience prance il est nécessaire parce que c'est pas toujours le cas malheureusement que les directeurs généraux, les conseils d'administration, les comités d'audit, les comités aujourd'hui comment dire stratégique analysent quel est le niveau de dépendance. Et pour moi alors pour un petit peu reprendre ce que tu viens de dire, il y a trois niveaux de dépendance. Le premier c'est une dépendance technologique. Là c'est un vrai sujet et il faut regarder la totaille du stack pas uniquement ce qui est en haut.

C'est l'IA, il faut regarder l'IA, faut regarder les systèmes, comment dire software, les systèmes d'exploitation, les GPU, les hardware, le software. Faut même descendre au terre rare. Pourquoi c'est important ? C'est parce qu'on s'est rendu compte que quand monsieur Trump a dit "Je vais vous mettre 25 % de taxe" et que les Chinois ont dit "Je vous coupe les ter immédiatement c'est descendu à 10".

Donc ça prouve aujourd'hui que la dépendance, elle est sur la totalité du stack et il faut analyser et toute entreprise alors elle va pas peut-être faire l'analyse de l'ensemble de ces sujets-là mais aujourd'hui si vous avez un acteur aujourd'hui et tu as parlé du KVMware à 100 % aujourd'hui chez vous et ben c'est un risque surtout si ce risque là c'est que il y ait deux autres risques, deux autres dépendances une dépendance juridique avec tout ce qui est le fait que vos données en fin de compte ne sont plus vos données parce qu'elles sont protégées par des lois extraterritoriales comme le cloud act ou que le fic acte.

Je crois que dans la précédent on en a parlé et ça crée alors ce qui est aussi important pour les entreprises et tu en as parlé pour VMware une dépense économique. Aujourd'hui 10 acteurs augmentent en moyenne de 5 à 8 % leur logiciel sans justification. C'est une prédation économique qui fait qu'aujourd'hui et je ne crois pas s'il y a des directeurs informatiques dans la salle que vous avez aujourd'hui depuis 10 ans une augmentation de vos budgets qui augmente de 5 à 10 %. Donc en fin de compte vous êtes obligé d'arbitrer pour pouvoir les garder auprès des autres. Et donc on voit bien qu'il y a une capture de valeur juste pour chiffrer.

83 % de part de marché du SAS et comment dire du cloud sur des acteurs américains. 286 milliards d'euros de valeur ajoutée et ça peut intéresser éventuellement comment dire ça veut dire des milliers d'emplois aujourd'hui qui sont en fin de compte bah absorbés aux États-Unis parce que c'est de la distribution. Et donc aujourd'hui, on a un vrai enjeu vraiment très important de comprendre que non pas de supprimer les dépendances, ça c'est illusoire. Il n'y a que la Chine qui a dit qu'aujourd'hui elle serait indépendante sur la totalité du stack. Personne même les Américains sont dépendants aujourd'hui TCMC à Taïwan.

Ils sont dépendants des terres rares, ils sont dépendants des fabrications aujourd'hui en Asie. Tout le monde a des dépendances. En revanche, le problème de l'Europe, c'est qu'elle a des dépendances à 90 % avec des acteurs qui sont non européens. Et donc, il faut rétablir un rapport de force. pour faire en sorte que nous soyons capables de réduire la taille de ces dépendances et l'impact de ces dépendances auprès des entreprises et vous je le dirai même auprès des particuliers. Et la seule façon de le faire, c'est d'avoir une filière locale, française, européenne forte. C'est le moyen premier pour vous donner à vous les alternatives.

Mais vous avez effectué une une analogie qui est très pertinente, c'est celle en fait de l'impact du Covid sur les chaînes d'approvisionnement mondial et c'est là qu'on est retourné effectivement en tout cas il y a eu de nombreux appels pour une production beaucoup plus locale pour diminuer et diversification aussi pour diminuer ce ce risque et cette dépendance. Alors justement pour pouvoir répondre à ces vœux, que doit faire l'Europe ? dans dans quoi doit-elle investir ? Quelles sont les priorités ? Qu'est-ce qu'il manque ? Comment est-ce qu'on peut développer cette filière Michel ? Ah ben moi je pense que avant de dire que faire l'Europe, faut regarder ce que peut faire la France.

Et je pense que bah oui, parce que c'est toujours facile d'aller dire que c'est l'autre qui est responsable alors que nous avons une responsabilité. Moi, j'en appelle d'abord bah à tout le monde, l'État. Il y avait C'est pour ça qu'on est arrivé, on a risqué d'arriver un peu en retard. Il y avait la ministre qui est qui était là. Euh bon, l'État doit être exemplaire et il l'est pas toujours. L'État, c'est un problème aujourd'hui. Quand vous regardez les filières taïwanaises, coréennes euh comment dire chinoise et je ne parlerai pas des intervenirs, ils sont massivement aidés par leur état, par la commande, pas par les subventions. La commande, c'est la commande qui est le driver premier.

Mais j'en appel à toutes les entreprises aujourd'hui. Il est indispensable que toutes les entreprises soient importantes. C'est on peut rêver d'un reb qui va mais ça va mettre 5 ans. Il va y avoir des vu, il va avoir plein de gens qui vont lutter contre. il y aura les lobby qui vont dépenser des centaines de millions de dollars pour empêcher ce genre de chos. Mais aujourd'hui concrètement si vous fléchez 5 % 5 % si vous passer de 83 % à 78 % de part de marché des acteurs américains, c'est pas pour moi un changement systémique par rapport à l'industrie. C'est 10 % de croissance pour la filière française. 10 % de croissance, elle passe de 12 % à 22 %.

C'est by the way à peu près 10000 emplois qui sont créés en France parce que la valeur ajoutée est en France et je le dis aussi pour l'État, c'est un milliard de taxes qui aujourd'hui ne partirait pas par l'Irlande en évasion fiscale légale. Et donc on voit bien aujourd'hui qu'il existe des solutions que l'on peut créer tout de suite sans créer un big band. Croire aujourd'hui qu'on va s'affranchir de toutes les solutions est une illusion. Mais quand vous faites du multicloud et que vous choisissez trois Américains, vous gagnez rien pour en terme de dépendance, rien. Au contraire, vous la croissez.

Si vous faites un multiclod avec deux acteurs, un acteur américain, un acteur européen, vous changez la donne. Et je pense que c'est ça que nous devons faire au concret. La filière, elle est prête. Les solutions, elles existent. J'ai vu qu'il y avait tout un débat pour savoir si elles existent, mais elles existent, elles sont bonnes. Et je n'en veux que pour preuve. Beaucoup d'acteurs aujourd'hui sont rachetés par des privility ou par des sociétés américaines. Ce qui prouve que les solutions existent parce qu'ils sont pas bêtes. Ils achètent pas les losers, ils achètent les winners. Merci Michel Paulin.

Et effectivement souvent le message lié à ce thème qu'on aborde aujourd'hui de la dépendance et lié au risqu mais on est en train de rater une opportunité économique aussi très et sociale du coup importante avec des créations d'emploi à la clé des taxes et cetera qui euh qui ne se matérialisent pas. Euh on va parler maintenant de cette dépendance justement. Il faut être réaliste aussi en même temps. Enfin, dans quelle mesure on peut on peut la réduire ? Est-ce qu'on se coupe de toutes les solutions extra européennes ou française ? Est-ce qu'on ne risque pas de se tirer une balle dans le pied si on le fait ? Ça veut dire de de d'arrêter de travailler avec les Américains.

Non, je pense que c'est comme comme le disait Michel, je pense que c'est utopique et et tu le disais très bien, on passer de 83 % à 78 %, c'est 5 %. Et c'est vrai que aujourd'hui, c'est je donne un chiffre supplémentaire, aujourd'hui le cloud en Europe permet de générer à peu près 2 millions d'emplois aux États-Unis. C'est quand même colossal. Et le but du jeu, c'est pas de revenir à zéro, c'est peut-être de gagner 5, 10 ou 15 %. Mais encore une fois, la résilience c'est de travailler avec plusieurs acteurs. Si vous ne travaillez plus avec les Américains, de nouveau, vous vous n'améliorez pas votre résilience parce que vous êtes dépendant d'un seul acteur.

Le but du jeu, c'est de travailler en bonne intelligence et surtout de rééquilibrer ce rapport de force qui est totalement en faveur des Américains et c'est bon pour personne. Après, il y a un deuxième sujet, c'est on parlait des infrastructures sensibles ou des données sensibles.

Là c'est un autre débat parce que on a des questions de confidentialité, on a des questions de sécurité et est-ce que on a envie que ces données qui sont extrêmement importante on parlait de l'IA mais c'est clé on peut pas avoir une bonne IA si elle est pas pour le coup éduquée grâce à ces et entraînée grâce à ces data là il faut absolument que cette dépendance elle soit beaucoup plus réduite peut-être à zéro à certains moment mais ça représente peut-être que 5 ou 10 % du marché européen. Mais il faut absolument que l'Europe aussi un rédu sa dépendance et de protège ces informations les plus sensibles en faisant confiance aux acteurs de la filière française européenne.

Cette conversation, ce livre, à moins que vous souhaitiez renchérir peut-être Michel Paulin je je suis tout à fait d'accord. Je vais juste faire une anecdote qui est quand même je vais aller donner sensibles, ça peut être très loin.

C'est le président de Total qui en l'année dernière lors d'une comment dire d'un d'un du séminaire du CGF a dit "Je suis assez inquiet parce que en ce moment avec les tensions géopolitiques qu'on a je veux dire que ça a pas dû se s'améliorer depuis je suis très inquiet que l'ensemble des données de mes puits de pétrole soit aujourd'hui accessible par les lois extraterrielles du FISA et du Claud ce qui est une réalité puisque c'est de droits public et donc toute la propriété intellectuelle aujourd'hui des entreprises doit être protégée C'est une c'est vital et quand je revenais au comité d'audit aujourd'hui un comité de direction ou un comité un conseil d'administration qui analyse les des causes de risque et si aujourd'hui on a un risque de comment dire de cyber et on parle de cyber en ce moment si aujourd'hui de manière légale vous pouvez avoir accéder à l'ensemble des propriétés intellectuelles des entreprises c'est un risque majeur systémique pour les entreprises et donc à ce titre il est indispensable en particulier dans la dans la sécurité d'utiliser pour pouvoir protéger au mieux un certain nombre de données plus que sensibles, stratégique pour pouvoir en faire en sorte.

Et pour ça, il faut avoir des acteurs fiables qui partagent la même les mêmes lois, les mêmes valeurs. Et c'est pour ça qu'il faut diversifier les l'ensemble des solutions pour pouvoir être sûr que vous allez protéger au mieux l'ensemble de votre propriétaire intellectuel. Voilà. Alors justement Michel, cela tombe très très bien car j'allais pour conclure cette conversation, j'allais dire qu'en fait elle est fascinante cette conversation et son livre aussi qui va sortir d'ailleurs Stanislas alors qui est déjà en précommande par exemple à la Fnac euh je vais pas dire Amazon mais je dire Fnac et qui va sortir dans une quinzaine de jours. Merci.

J'allais vous demander pour conclure peut-être de donner quelques recommandations justement très concrètes à ceux qui nous écoutent. Alors, protéger votre propriété intellectuelle. Michel Pollin, c'est la première peut-être. Que faire d'autre ? C'est vrai, audité, définir ses dépendances.

Vous avez des initiatives aujourd'hui qui sont qui prennent de plus en plus d'ampleurs comme par exemple l'indice de résilience numérique qui est aujourd'hui testé par un certain nombre de grandes entreprise et qui va servir après aussi d'outils pour mieux comprendre au sein de chaque entreprise l'indépendance qu'on a et pouvoir évidemment comme tu le disais Michel en come trouver des solutions pour y remédier. Moi j'ai un autre conseil c'est un conseil plutôt émotif. Je pense qu'il y a une 4rième dépendance sur lesquelles il faut lutter, c'est les habitudes.

Aujourd'hui, il y a des millions de dollars qui sont dépensés pour créer un narratif comme quoi il y a pas de solution alternative qui vous font croire que parce que vous êtes en haut du cadrant comme ce qui a été dit encore dans la présentation avant et bien vous êtes en dehors de la course. C'est faux. Il y a des alternatives. Soyez curieux. Faites-leur confiance. Merci Michel. Oui, je pense que ça mérite quelques applaudissements. Euh [applaudissements] et puis très rapidement Saintislas, un cocktail ce soir bien sûr sur votre stand. Oui, à 17h, il y aura un cocktail sur le stand drive. On sera ravi de vous de vous accueillir et de vous offrir le livre. C'est pour ça que je suis venu moi.

[rires] À ne pas rater bien entendu, un grand merci à vous. Michel Paulin et Stanislas de Remur. Merci d'avoir été [applaudissements] parmi nous cet après-midi. Alors, nous allons à présent nous demander jusqu'où nous pouvons accepter la dépendance numérique dans une organisation qui est critique. Car aujourd'hui, aucune grande organisation et en particulier dans le secteur financier, comme on l'a évoqué hier, n'échappe à un certain niveau de dépendance technologique. cloud, logiciel, infrastructure, chaîne de valeur numérique, ces dépendances sont devenues structurelles.

Mais à partir de quand cesse-t-elle d'être un choix pragmatique pour devenir un risque stratégique et surtout comment les intégrer dans la gouvernance des risques au plus haut niveau des organisations ? Et bien pour en discuter, nous avons le grand plaisir cet après-midi d'accueillir Bernard Gavgani qui est senior advisor to the group general management chez BNP Paris et ancien Group CIOIO et qui a une expérience particulièrement riche de ses arbitrages au cœur d'un grand groupe bancaire international et vous êtes déjà parmi nous. Merci de nous rejoindre Bernard Gavgni. Merci d'être à nos côtés.

Alors, avec l'année 2025 qui s'est achevé il y a quelques mois maintenant et celle dans laquelle on est rentré qui est très mouvementée, on a vraiment l'impression que la notion de dépendance est passée d'un constat technique, purement technique, à un risque systémique et opérationnel. Alors, comment est-ce qu'on a pu en arriver là ? comment l'un des angles morts les plus coûteux finalement pour les organisations, les économies européennes a pu s'installer ? Alors, je suis ravi d'être ici. Merci pour votre invitation et effectivement c'est c'est une très bonne question dans le sens où euh vous savez le chiffre a été enfin prononcé plusieurs fois.

La facture numérique de l'Europe a 286 milliards par an. C'est quelque chose qui doit nous interpeller parce que c'est la facture numérique des Européens envers les acteurs des intervenants américains. Il faut il y a une étude qui est faite par cabinet Aster à la demande de Sigf. J'invite vraiment tout le monde à les lire parce que c'est très passionnant et on n pas le temps d'ici expliquer le circuit de facturation tel qui est fait, de telle manière et cetera. C'est quand même une importance en fait en deux décennies sujet de performance et que une performance un sujet de performance est passé comme un risque est devenu un risque sismique et systémique pardon.

Et c'est vraiment important de garder ça en tête parce que si vous voulez avant 2025 euh je prends ça parce que je pense que c'est à ce moment-là il y a eu un réveil collectif de tout le monde. Haïti ou technologie était un sujet Haïti était confié au ces de de ces de des DSI qui choisissaient le procurement qui négociait le legal qui écrivait les contrats. Globalement, j'ai envie de dire, personne ne gérait le risque dans son ensemble et ce qui est quand même une des problématiques que je reviendrai derrière.

Le cloud arrivée de Cloud était assez intéressante parce que Cloud était l'accélérateur d'accès et à la tout ce qu'on appelle de mark to market et à une source de de productivité tel queon peut on peuter en fait personne enfin tout le monde avait accepté jusqu'à là une telle dépendance parce que cette dépendance était le prix à payer pour avoir accès à la modernité. D'accord. Mais petit à petit, la technologie a changé de de même de nature. De mon point de vue, la première une des raisons de cette cette situation, c'est la fragmentation des responsabilités.

Comme je je vous je vous ai dit, c'est que le DSI qui décide, le procurement qui négocie et d'une tout cet ensemble des personnes et qu'il y ait personne qui assume une responsabilité totale, c'est quand même un sujet un sujet qui doit nous interpeller en disant comment on s'y prend. Et il y a été quand même une une et et changer un peu la donne. C'est dire pour la première fois les dirigeants ont réalisé que une interruption d'un service dans la chaîne de IA pouvait interrompre toute pôle une pôle de leur activité. C'était vraiment important parce que finalement c'est ça la illisibilité.

ce qu'on l'expliquait il y a un instant avant moi donc dans dans précédente discussion, c'était véritablement c'est cette partie qui est aujourd'hui le point fondamental. Alors euh si vous voulez si je prends le le le on a expliqué lorsqu'on a 83 5 % de la notre facture de cloud est concentré auprès de de d'une des entreprises de la même nationalité. Moi, je suis je veux pas m'être contre les États-Unis. J'ai fait mes études aux États-Unis, j'ai vécu aux États-Unis. C'est absolument pas ça. C'est par principe le fait de dire que on est quand même on paye 83 % de notre de notre facture de cloud à une notion. Bah, un changement politique, un changement tarifaire.

D'ailleurs, on a quand même quelques exemples changement tarifaire, hein, et ça quand même générera quand même une déstabilité dans notre dans notre système économique. C'est c'est ça le le fond de de problème qui est posé aujourd'hui. Oui, c'est pas une question idéologique, c'est une question de gestion des risques [raclement de gorge] euh et d'opportunités aussi comme on l'a évoqué précédemment. Alors, compte tenu du constat que l'on fait sur cette dépendance, quels sont les facteurs qui vont venir changer la la gestion de cette dépendance et qui tire des perspectives tendantielles dans dans les années à venir ?

Moi, je pense que les années à venir, on va on gérera plus de la même manière la dépendance que nous avons vu pour plusieurs raisons. D'abord parce que il a devient une infrastructure critique, d'accord ? et que ce qu'on appelle le le géopolitique technique deviendra parce que finalement la la la technologie deviendra une puissance. On vivra dans un monde disconnect. disconnecte étant que elle va d'abord connectée et ensuite dans un monde où chaque incident peut générer des faits de bord partout dans dans tout ce que tout ce que tout ce que tout ce que nous traitons.

Ça peut être comme je vous disais un problème de cybersécurité, ça peut être une panne, ça peut être une une crise énergétique qui nous amènera forcément dans ce genre de situation. Il faut pas penser que tout ça c'est impossible. Si c'est possible, ça viendra et le jour ça viendra, il faudra qu'on soit prêt. On se prépare. Le régulateur nous aujourd'hui nous demande de gérer cette indépendance. Demain, les patrons, les dirigeants des entreprises sont appelés à gérer non pas ces dépendances au niveau de Haïti et il faut que cette ces dépendances montent le plus haut niveau de l'entreprise. Moi je suis membre de quelques conseils d'administration dans les sociétés informatiques.

Il est absolument nécessaire que dans une société qui utilise ces services qui comprennent le choix que le D fait, c'est un choix assumé par l'ensemble de l' de l'entreprise. Sinon, c'est on aura quand même on découvrira le problème. Donc c'est vraiment une question de gouvernance là aussi, ça le devient. En tout cas, pour terminer cette dernière question, quelles sont nos marges de manœuvre finalement pour maîtriser ces risques associés aux dépendances numériques ? Il faut être lucide. Je pense que le fait de dire, c'est important que les gens comprennent qu'il y a quand même ce type de risque. Chaque entreprise aujourd'hui a ce type de risque.

Il faut réfléchir en se disant comment doivent devrait s'y prendre lorsque ces problèmes arrivent. Après, il y a une diversification des choix qu'on fait. diversifier, ça veut pas dire complexifier, c'est plutôt éviter de trouver des points de rupture euh dans son ensemble de dans son système d'information et bien réfléchir autour de ça. Et ensuite, il y a il y a une chose qui est important, il faut apprendre à travailler en mode dégradé. Alors moi la première fois quand j'ai dit à mes équipes, il faut travailler en mode dégradé. Tout le monde a dit c'est génial, c'est super mais en fait c'est beaucoup plus compliqué que ça. D'abord vous faites le mode dégradé pour un certain temps.

C'est pas pour une minute, 2 minutes, 3 minutes. C'est pour une semaine, 2 semaines voire des mois. Donc vous faites, vous devez simplifier votre process de la manière vous traitez l'information et le système d'information dans la durée en mode dégradé. D'ailleurs, ce que le régulateur aujourd'hui nous demande la preuve quand on est capable de traiter tout ça. Si vous voulez, c'est donc demain, on sera on aura quand même une entreprise qui sera beaucoup plus stratégique et ça sera on sera en mesure de pouvoir euh mesurer ses indépend ses dépendances et surtout être capable de le piloter.

faire travailler sur la sur le des dépendances, ça veut pas dire que on va complexifier, c'est plutôt on doit simplifier, comprendre où se trouvent nos points faibles et comment on arrive à les les manager. Voilà, c'est c'est pour moi c'est ces angles morts qui existent aujourd'hui dans le dans le système d'information doivent être traités de manière méthodique une une un diagnostic bien fait et surtout mettre on a quand même des ingénieurs enfin ici a c'est 90 10 % des des ou 99 % des gens sont des ingénieurs. Il faut les mettre ensemble pour que réfléchir pour dire qu'est-ce que c'est qu'un mode dégradé pour un entreprise.

D'ailleurs, j'invite de beaucoup de partenaires que nous avons ici qui sont des gens dévoués pour nous et je remercie parce que je travaille avec beaucoup de entre eux qui puissent nous amener cette cette valeur ajoutée en disant comment on peut simplifier pour travailler en mode dégradé, comment on peut travailler de manière globale dans l'entreprise afin que ça soit une une un partenariat de de gagnant gagnant. Enfin, on peut pas faire autrement que travailler tous ensemble et assumer les choix que nous faisons. Et bien, merci infiniment pour ces conseils extrêmement précieux. Bernard Gavgie, merci de votre présence parmi nous cet après-midi. Merci. Merci à bientôt. À très vite.

Et Julia, la prochaine séquence c'est un témoignage d'une grande puissance. Julia, merci beaucoup. Nous allons donc passer effectivement à une séquence témoignage d'une personne qui a pris le sujet de la dépendance technologique à bras le corps. Il y a 2 ans, Michel Vanenberg, ancien président du campus cyber que vous connaissez a repris SECLAB. C'est une entreprise spécialisée dans la protection des systèmes critiques et avec lui et bien on va aller dans le réel sur le terrain pour savoir pour comprendre ce que vivent les entreprises, les organisations qui tentent de se déployer et qui essayent de répondre à un besoin critique. Merci de l'accueillir.

[applaudissements] [musique]

Bonjour Michel ici [musique] aussi. Merci beaucoup Michel de nous rejoindre.

[musique]

Merci de m'avoir invité déjà. Alors comme je le disais, beaucoup vous connaissent en tant que ancien président du campus cyber mais aussi en tant qu'ancien directeur général d'Orange Cyberdéfense. Vous êtes aussi à la tête des Riams. Et comme je l'ai dit il y a 2 ans, vous avez repris donc une entreprise qui s'appelle SECLAB que vous avez racheté à EDF. Est-ce que vous pouvez peut-être dans un premier temps nous expliquer ce que fait Seclab et le quel est le problème auquel vous vous adressez ? Alors aujourd'hui, on fournit une plateforme qui permet justement de gérer les infrastructures critiques et industrielles.

Donc on fait une plateforme qui permet de faire la cartographie des de ces assets industriels. Donc on les cartographie, on regarde tous les flux qui passent sur ces réseaux un peu critiques, on les catégorise donc sensible, très sensible, voilà, opérationnel, moins sensible. À partir de là, on isole ce qui est complètement sensible pour l'entreprise qui doit jamais être attaqué avec notre technologie qu'on a racheté EDF.

Ils vont surveiller ensuite les autres assettes pour regarder si après cette cartographie qu'une fois qu'on a tout remis à niveau, il y a pas des gens qui viennent remettre des choses qui son qui pourraient mettre en en danger l'usine ou l'entreprise ou les réseaux critiques. Alors, votre témoignage, il est particulièrement euh important parce que comme je le disais, vous avez eu différents posts. Vous avez été dans le privé, vous avez été dans le public, vous êtes aujourd'hui à la tête d'une start-up. Donc euh comment est-ce que vous décrveriez votre quotidien aujourd'hui ? peut-être les obstacles auxquels vous vous confrontez dans le déploiement de de cette entreprise.

En fait, effectivement, on repart avec les pieds sur terre quand on a dirigé en cyberdéfense plus de 5000 employés, quand on a dirigé le campus hyper, voilà, on est un peu hors seul. Voilà, quand on reprend une start-up et qu'on redémarre une start-up from scratch parce que je l'ai racheté ODF, on était une dizaine, là on se confronte vraiment à que vivent au quotidien tous les créateurs de valeurs et d'entreprise françaises. Pourtant, j'ai tout fait bien. Donc, je me suis dit, je veux démontrer que on peut créer un acteur de la cybersécurité dans le monde critique industriel qui soit français, donc qui soit pas américain ou israélien.

J'ai un super réseau, j'ai 30 ans d'expérience et cetera. Je me suis dit ça va être finger in the nose quoi. [grognement] Et en fait c'est beaucoup plus compliqué que ça. Euh même avec mon réseau. Voilà, au début je me suis dit tiens, on a une usine parce qu'on fabrique nos technologies, on les assemble, on fabrique des boîtiers électroniques. Euh j'étais voir la présidente de la région de de l'Occitanie en disant voilà je veux changer, on va passer à l'échelle, on va aller à l'international, il faut que je change, je trouve des nouveaux locaux et cetera. Non Michel, on va t'aider et cetera. On veut absolument que vous restez dans la région Occitanie.

On a visité des locaux, il y avait une dame de la région qui était là machin dit c'est bien vous allez nous aider comment ? Ah bah sûrement pas financièrement nous on est là pour vous aider à bien trouver l'endroit. J'ai madame j'ai pas besoin de vous. Donc ça premier truc on se dit bon déjà faut pas trop compter sur la région pour céder. Après tu as l'anci donc tu te dis j'ai une technologie aujourd'hui qui sécurise des actifs comme les centrales nucléaires, le réseau de finalisation de SNCF c'est français. Lancy va adorer quoi. Donc je suis arrivé à Lancy comme tu sais Josn avec le verre dragon en disant moi j'ai trouvé un truc super pour lui. Ils disent tout le temps winter is coming.

Winter is coming. Je dis moi j'ai la bonne solution. Je dis par exemple vous pouvez m'aider puisque aujourd'hui tous les actifs critiques la solution qui est préconisée par l'any de mettre des diodes d'accord en disant voilà une diode c'est très simple he c'est le réseau pas dans un sens pas dans l'autre. Donc effectivement tu peux dire bah je passe une information vers vers le système d'information mais il peut pas me reparler ou inversement. Ces diodes aujourd'hui elles sont fabriquées par des technologies américaines. Moi ma technologie c'est comme une diode sauf que c'est double sens donc c'est mieux et c'est français.

Donc je vous allez pouvoir m'aider justement comment on peut faire pour aller remplacer tous ces techno américaines par des structures. Un éditeur français européen dire non ça on peut pas c'est pêcher. C'est on n pas le droit de faire ça c'est mettre en avance c'est de la préférence nationale on peut pas. OK voilà. Bon, après peut-être sur la partie technologique, vous êtes privé souvent que pour pouvoir sécuriser des actifs très critiques, faut mettre une double barrière de firewall. OK. Et moi je dis mais ça c'est débile parce qu'effectivement déjà des firewall, il y en a plein en amont. Ouais. Et puis c'est la même source. Voilà. Palow alto, Fortinette, tout ça c'est la même chose.

Et d'ailleurs, on voit quand il y a une vulnérabilité qui est faite sur un Fortinette, 2 jours après, tu as pas l'eau qui dit "Bon, on a la même vulnérabilité et cetera et cetera." Nous, on a une technologie de rupture. Donc peut-être qu'on pourrait aussi dire voilà, on met un firewall et derrière une technologie de rupture protocolaire, comment on fait ? Et ça encore, on nous dit non Michel c'est pas possible. On a on peut pas c'est voilà, on peut pas mettre en avant des technologies même si elles sont souveraines. Voilà. Et en fait, tu répares et en fait et en plus Michel ton boîtier comme tué en a créé un nouveau il est plus certifié CSPN, il faut refaire une certification.

J'ai ah bon mais ça coûte combien ? Ah bah c'est 70 90000 €. J'ai autre chose à faire que de payer des certifs tous les 2 ans quoi. Voilà donc c'est un peu ça. On n'est pas aidé au contraire voire même on est freiné. Voilà et ça je pense qu'il faut absolument que ça change. Donc de Josno, je suis un peu passé à Causette chez les Ténard quoi. Tu vois donc au point d'ailleurs où vous maintenant vous réfléchissez à peut-être aller ailleurs, vous êtes déjà ailleurs, je crois vers les Émirats, vers le Canada peut-être avant ça. Vous avez aussi évoqué un autre obstacle qui était le les biens à double usage civil et militaire. Mais ça aussi c'est catastrophique. Il y a que en Europe qu'on est ça.

Donc pour expliquer parce que à partir du moment votre technologie est utilisée dans les deux mondes donc civil et militaire. Vous êtes passer par un bureau qui s'appelle le BDU, le bureau des doubles usages quand vous vendez votre technologie en dehors de l'Europe. Donc vous êtes obligé de passer. Donc vous mettez vous remplissez un dossier. Donc déjà vous demandez à votre client alors que c'est pour sécuriser les infrastructures critiques où tu vas l'installer, c'est pour quoi faire et cetera. Donc déjà le mec qui tique un peu et à partir de là vous soumettez ça sur une plateforme et l'État a deux 2 mois pour vous répondre.

Exemple par exemple là pendant le conflit, on a été appelé par un grand opérateur de l'énergie qui a dit "Nous, on va absolument sécuriser nos réseaux parce qu'on a pas envie de se les faire taper si tout l'électricité tombe dans notre pays." C'est quand même embêtant. Ils ont vu notre techno parce qu'on était chez EDF. Ils nous ont appelé, on a dit "Ah bah nous faut qu'on fasse le cuf." Donc on a fait le cuf et il m'a dit "Bah non Michel, moi j'ai pas le temps." Donc il a appelé les Américains, ils ont fait un FedEx, le lendemain, il avait la technologie. Voilà.

Alors j'ai dit "Mais comment on peut sortir de ça ?" Al, il faudrait que tu prennes un cabinet de lobbyiste et que ce cabinet de lobbyiste aujourd'hui intervienne auprès du parlement pour que peut-être on pourrait changer la loi. Bah, je dis non, moi ce que je vais faire, je vais aller fabriquer mes technos au Canada et puis qui eux ont envie de m'accueillir et je serai plus sur cette problématique de double usage. Donc en fait ce qui se passe et Michel Colin en a parlé tout à l'heure, c'est que à force bah des emprendeurs comme moi qui sont convaincus qu'on pouvait faire quelque chose en France et avec tout le parcours que vous avez aussi.

C'està dire que on imagine ceux qui commencent de de abominable. Voilà. Et et ça faut le dire, personne do le dire mais moi je le dis très franchement faut qu'on arrête avec ces conneries là quoi. Le le cuf, ça flingue toutes les entreprises qui ont envie d'aller en Europe, hors de l'Europe. Voilà, c'est et donc c'est pour ça d'ailleurs que vous allez vers les Émirats, vers le Canada, comment vous êtes accueilli là-bas ? Parce que vous êtes ni une technologie chinoise, ni une technologie américaine. Est-ce que la technologie européenne peut-être à sa place ?

Bah effectivement, les Émirats par exemple, l'Asie sont l'Inde sont très friant de technologies qui sont ni américaines ni israéliennes. On arrive avec une technologie en plus le DF a bien fait le boulot. On a parlé beaucoup de protéger sa propriété intellectuelle. Je l'ai fait, on est avec une techno qui est unique. Ils adorent. Voilà, même je expliquer la mentalité est complètement différente. Euh on on fait un POC là-bas, ça dure une demi-journée. Imagine : D'habitude quand je fais un POC, c'est une semaine machin non Michel, tes trucs ils sont déjà installés chez EDF, c'est que ça marche.

Moi je veux juste tester mes deux ou trois spécificités et deux euh pour être très clair, il y a un je dirai pas le pays, mais ils ont dit mais nous si ta techno elle était chez nous, on la mettrait dans la loi. Voilà pour justement dire pour une fois qu'on a une techno qui n'existe pas ailleurs, mettonsla en avant. Voilà. Nous et ça quand vous dites ça aux politiques, quand vous revenez en France et que vous vous partagez la réaction que vous avez à l'étranger, qu'est-ce qu'on vous dit ? B On nous dit effectivement on peut pas voilà, c'est pas possible, c'est c'est la solution doit être européenne et cetera et cetera et et c'est ça qui nous freine vraiment.

Aujourd'hui, on parle beaucoup d'Europe, mais il faut savoir que en Europe euh quand vous êtes français, vous allez en Allemagne, vous êtes considéré comme un concurrent. Ça existe pas l'Europe en terme de marché. h quand vous êtes une boî française, aller en Allemagne, c'est extrêmement compliqué parce que vous êtes considéré comme un concurrent. Donc déjà notre marché, il est beaucoup plus petit. Quand vous voulez sortir de ce marché européen, vous retombez sur la problématique du cuf et l'Europe en fait, on en parle beaucoup mais elle fait rien du tout. Prendre Nice 2, tout le monde s'est dit Nice 2, c'est c'est extraordinaire.

Il y a je pense ou 15 transpositions de Nice 2 différentes dans les différents pays. Ce qui fait que les grands comptes aujourd'hui, ils vont devoir faire des rapports à leur dans à leur INC national de façon différente en fonction du pays dans lequel dans lequel ils sont. Donc tu as des mecs spécialisés en cyber qui vont passer leur temps à faire des rapports 12 13 rapports parce qu'il y a 12 13 pays dans lequels ils sont présents. Pendant ce temps-là, ils font pas des projets et pendant ce temps-là ça fonctionne pas. On n'investit pas en France euh on investit le marché européen intégré c'est un my le clot souverain on met des millions et des millions dans les clotes souverains.

Mais à la fin qui c'est qui qui qui vend des licences de ces clottes souverains ? C'est Google et c'est Microsoft. Donc essayons quand même de mettre en avant et d'aider aujourd'hui ces entrepreneurs français qui se défendent sur le terrain qui on les super technologies et Paulin l'a dit aussi tout à l'heure la preuve c'est que les boîtes françaises se font souvent racheter très vite par des Américains. C'est qu'on est bon. Voilà. Donc il faut qu'on change tout ça. La préférence nationale, ça peut exister. Je pense qu'aux États-Unis, il se gêneent beaucoup. Enfin pas et en Chine encore effectivement. On est d'accord. Merci beaucoup pour votre témoignage Michel Vanenberg.

Merci vraiment c'est extrêmement précieux. Merci d'être venu au forum in cyber. On peut l'applaudir chaleureusement. Merci.

[applaudissements]

We're now going to turn to a case that powerfully illustrates the very consequences of of digital and geopolitical dependencies. Josephine Ben was personally targeted by the United States sanctions, including a band from entering the US, a decision justified in the name of combating online censorship, but one that raises profound questions of extraterritorial power, digital sovereignty, and fundamental rights. Please welcome Joséphine Ballon.

[musique]

Josed

[musique]

by US entering the United States. You were all over the press. So I think people know about your case. But just for those who may not remember could you please tell us a little bit more about what exactly you experienced?

sitation and professional so it was the Christmas when the news break that there was a travel on five European and UK citizens and two of them were myself and my CEO colleague an Henberg we are running the organization hate aid and we are advocating for better platform regulation and platform accountability an department official release that was not mentioning the name but then like one hour later the other secretary of state s rers came out on and announced the name of the names of the five of the five individuals with short biography and Sarah Rogers was directly referring to our work around the digital services digital services act of shock we were definitely expecting might some trouble when we tried to travel to the US so we wouldn't even try but this very public announcement on Christmas coming of course can be good for a nonprit organization intimating.

It is intimidating and yeah I always used to say it was our biggest chit storm and the biggest laugh storm at the very same time which felt a little bit weird because depending on where you look there was so much solidarity and so much hate and frat on the other hand your case really illustrates how decisions taken outside of the of Europe can really directly affect European citizens and organizations. What does your situation reveal about extrritorial reach of digital and political power today?

on exivest what was taking place then it might be the next timeeps of the member states it might be officials working regulators the next time that might be sanctions sanction servic regulors regulation platforms. Now beyond the symbolic aspect uh what are the very concrete consequences of such a form of censorship or sanction um for example does it affect access to I'm thinking about payment services or digital platforms or international partnerships first of all first of all we are now labeled as radical activist this was the wedding of the state department and also of a weaponized organization whatever that means.

of lost funders because of because of might further s because bage state department used was verying ss evenowing around ss Russian oligarchs financial list providers all of course we are running people also afraid of personal consequences can imagine a life without visaard but pretty is life without a visa card so we will figure out everything but we are preparing because we see a responsibility are wor scenario taking care of our financial situation we trying to diversify our bank accounts to be not as vulnerable with only one bank institution and also we are trying to get away from US service providers as fast as possible because we don't want to be blackmailed access to Microsoft and other services.

So we can when listening to your testimony we can really understand how much it illustrates our dependencies uh on US and and Chinese also uh dependencies in this case it's US but um where do you see the most critical vulnerabilities today? Is it infrastructure? Is it platforms? Is it compliance mechanisms all of the above?

I think it's the service providers because we all rely on our IT infrastruct infrastructure you cannot run a company and also not profit organization without having infrastructures our data very sensitive data we saw in some occasions that big tech platforms were so peanut in the US and that very sensitive documents even with like real names of people working institutions and civil society organizations were published by the house judiciary committee in the US.

So there is a very specific threat that comes from these service providers which is why we should all think about our dependence on on them and their service but also the financial systems are definitely a because when you are associated as a terrorist organization as a radical activist then you need to be afraid that your bank accounts might be terminated and that you have no place to go with your money because banks Swift system and cut what does your situation tell us about the balance between fighting disinformation on one hand and protecting fundamental rights for freedom of expression and is there a risk of geopolitical instrumentalization of these issues there is definitely instrumentalization happening but of course it's always a question of the narrative So what we are doing is we are protecting those affected from online violence we are empowering them we are helping them to stay online and not be silenced by so this is no censorship we are what we are doing is we are trying to create a balance on the internet and we are trying to guarantee equal access to the to the public discussions that are taking place on social media these days and so we really have Europe regulation online platform regulation digital services act is not about censorship not only about removing illegal content about breaking arbitraress that big tech platforms put on us because everything that counted for them for a very long time for two decades almost was their own rules they were putting on our public user wake up little frame here.

I think the wake up we've heard it quite a lot since yesterday. What lessons should European organizations but also policy makers take away from your case? think about digital so discussed a lot already but we should not too much on the IT infrastructure and what really wish for is that we strongly enforce the laws that we have in Europe because this is in my opinion the only way to show that we are serious about it and that we cannot be blackmailed with threats of terrorists that are not to online platform regulation that are still used as a material. So yeah, I think we should we should be very confident about the rules that we put in place because they they are not a mistake.

It's a mistake to not have rules at all. Is one of your messages the fact that it happened to you but it can happen to any of us?

I think there was a reason that it happened to us because we were somehow put in the spotlight of the US government a while before it happened to anyone working in platform regulation ecosystem and as I said can also happen to MEPs for example or stakeholders that work for the regulators because they also involved in the censorship that US is claiming and of sy women attack on European regulation after all and also stressing the very beginning which of course is a mechanism also draw the attention away from the people because I mean there is already a long list of people that are not allowed to travel the US because of their nationality are white women with European citizenship and of course is bigger out because of the fact that we were chosen because of our status as a trusted flagger which is a legal status under the digital services act was also a member of the board of the digital services coordinator that was implemented by the German parliament so we have official roles that have a democratic legitimization about not Jonas [grognement][applaudissements] and Charlot is back with yet another panel Many thanks Josephine forestful testimony of mods manags des derniers jours, nous avons beaucoup parlé de souveraineté numérique, de cybersécurité, de résilience et d'autonomie stratégique.

Mais dans cette session, nous voulons vraiment insister sur la façon dont on passe de la stratégie de l'ambition politique à quelque chose de beaucoup plus opérationnel. Quand on est une grande organisation, une institution publique, un aéroport, un gouvernement ou une organisation de défense, comment gère-t-on concrètement la dépendance numérique ? Comment achète-t-on ? Comment arbitre-on ? Comment sécurise-t-on ? Comment est-ce qu'on réduit la dépendance sans casser ou s'ennuyire aux opérations ? Et bien pour en discuter, je suis ravie d'accueillir Arnaud Martin, David Crief, Michel Van Dervine et le général de brigade Xavier Guimard. Merci de nous rejoindre.

[applaudissements] [musique] [musique]

Merci de nous rejoindre. Je vous demande juste un instant, nous allons apporter des sièges supplémentaires pour [musique] cette conversation. Merci de trava-midian.

[musique]

Can we have some more guests, please? Ok, it's my

[musique]

OK, merci à tous. Veyez nous excuser pour ce petit contetemps. Introduction of course with David Griev, vous êtes directeur des systèmes d'information du groupe ADP aéroport de Paris et vice-président du du GREF. Je m'adresse aussi à la production pour avoir un casque de traduction pour notre interlocuteur néerlandais. S'il vous plaît, si vous pouviez amener ça dans quelques instants. Je poursuis en français pour le moment également. [raclement de gorge] Avec nous Arnaud Martin qui est chief information security officer du groupe Caisse des dépôts et vice-président du Césin. Nous avons également avec nous Michel Vvin qui est business director cyber security chez TNO au Pays-Bas.

C'est une organisation indépendante de recherche et d'innovation et je crois qu'il n'est pas encore parmi nous. Si. Voilà le casque de traduction. Venez nous excuser pour ces petits soucis techniques. Voilà. Voilà. Alors, en fait, il nous manque notre interlocuteur néerlandais. C'est bien ce que je pensais. On va commencer sans lui. Je vous prie de nous excuser pour ce petit contetemps et je vous prie également de faire venir un autre siège pour Michel qui va nous rejoindre rapidement. Alors, je vais commencer donc cette conversation par la question de l'évaluation parce qu'avant de gérer une dépendance, il faut d'abord la comprendre bien sûr et la mesurer.

Et cette étude récente du SGF sur la dépendance technologique de l'Europe au logiciel et services cloud américain qu'on a évoqué un peu précédemment a montré qu'environ 80 % des dépendances européennes en logiciel et services cloud vont à des entreprises américaines, soit environ 265 milliards d'euros. Et ces dépenses soutiennent environ 2 millions d'emplois aux États-Unis et pas ici bien sûr en Europe pendant ce temps-là. Et l'étude montre que si seulement 15 % de ces dépendances étaient réinjectées dans l'économie européenne d'ici 2035, et bien cela pourrait créer environ 500000 emplois en Europe. C'est énorme bien entendu.

Alors, je vais commencer par poser la première question à David Crief parce que cette dépendance bien sûr ce n'est pas juste une question technologique ou géopolitique, c'est aussi une question économique, industrielle et stratégique. Tout à fait. Merci. Alors, peut-être un élément également pour illustrer le chiffre de 264 milliards parce que sauf si vous êtes extrêmement chanceux, je pense que le chiffre ne vous parle pas tellement plus qu'à moi. Euh donc pour l'illustrer, c'est la comparaison avec l'énergie. L'énergie c'est les importations de d'énergie fossile, gaz, pétrole et cetera. En Europe, c'est 350 milliards en 2024, donc à peu près le même ordre de grandeur.

Et avec ce niveau de dépendance, étant donné que l'énergie, ça permet quand même de façonner le monde physique, ben on a investi des milliards d'euros de francs, dechmark à l'époque. On a revu l'ensemble de nos alliances géopolitiques. On a transformé le monde pour assurer l'approvisionnement en énergie. Les dépenses qu'on évoque là, 250 milliards, c'est le cloud, les softwares, ça n'inclut pas l'intégralité de la stack IT. Et l'informatique est essentielle dans la sphère immatérielle. Les processus, la communication, les idées, tout cela ça fonctionne avec de l'informatique. Le rôle est à peu près identique à celui de l'énergie mais dans le monde immatériel.

Et ça appelle donc assez naturellement une action un peu similaire à celle qu'on a pu conduire dans le monde de l'énergie. Bon, tout ça c'est vrai. Ça compte à mes yeux David en tant que citoyen français mais en tant que membre d'une entreprise multinationale. Pourquoi est-ce que cela devrait compter pour moi ? Après tout, une entreprise n'est jamais qu'une entreprise. Les relations de dépendance sont quelque chose de naturel. C'est l'ordre des choses pour une entreprise que d'être dépendante de relation avec des tiers. Et nous tous dans notre vie, on expérimente les dépendances. Il y a des dépendances qui sont neutres.

On est dépendant de personnes pour la nourriture qui nous qui nous fait vivre tous les jours. On est dépendant d'autres personnes, des pharmaciens, des médecin pour se soigner. Il y a des dépendances qui sont positives, celles qu'on peut avoir à nos enfants, à nos épous, épouses et cetera. Et avec ça, il y a des dépendances qui sont euh toxiques. Les dépendances toxiques sont celles qui caract qui se caractérisent par des relations qu'on ne peut ni gérer ni quitter. Et ça, ce sont les dépendances qui ont les conséquences économiques que vous évoquez.

Si on prend un pas de côté et qu'on prend l'exemple de la fiscalité, alors imaginez, ça va pas être trop compliqué en ce moment, que l'État crée une nouvelle taxe qui frappe votre entreprise. Qui va payer cette taxe ? Alors, les économistes ont une réponse à cette question pour savoir si ce sont les actionnaires, les employés d'aujourd'hui ou les employés de demain ou les clients qui vont payer la taxe. La réponse en langage d'économiste, c'est l'acteur qui a la plus faible élasticité prix. Et comme le disait David Ricardo il y a un peu plus de siècles, la personne qui va supporter le poids de la taxe, c'est la personne qui peut le plus difficilement y échapper.

Alors quand on est en relation comme je caractérisais tout à l'heure qu'on ne peut ni manager, ni gérer, ni quitter lorsque l'éditeur, c'est de ça qu'il s'agit doit augmenter le revenu versé à ses actionnaires parce qu'on lui demande, il a pas le choix lui non plus ou parce qu'il doit investir de nouvelles technologies, de nouveaux marchés ou parce que au hasard il a trop investi dans des data center qui se retrouvent présents à profusion dans le monde d'ici quelques années, qui va payer le la facture qui va supporter la charge ? Poser la question, c'est déjà un peu y répondre. Sur le plan industriel, ça contraint également nos choix.

Si aujourd'hui on veut maintenir une politique de d'informatique on premise, on peut de plus de plus en plus difficilement le faire. Les éditeurs nous imposent un changement qu'on le souhaite ou pas. De plus en plus, on doit également adapter nos informatiques, adapter nos systèmes pour accompagner les évolutions qui nous sont imposées. Et puisque nous sommes dans des relations de dépendance qu'on ne peut ni manager ni quitter, il faut que nous investissions de l'argent et plus encore des expertises internes, rares pour accompagner le mouvement, c'est-à-dire aider l'autre parti, le celui dont nous sommes dépendants à mettre en œuvre sa politique industrielle.

Donc tout ça pour pour finir, c'est pas tellement du fait d'un acteur qui serait méchant, mauvais ou trop dur. C'est simplement les lois de l'économie. Si on laisse de telles relations s'établir, dans ce cas, de la même manière que la pomme là tombe quand on la lâche, de la même manière la charge économique industrielle tombera sur nous parce qu'on a pas su gérer nos dépendances. Il faut donc les mesurer, les évaluer et les gérer. Merci beaucoup David Kriev. Et j'en profite pour inviter notre participant Michel Van Dervine à nous rejoindre ici sur scène. Michel, please come and join us here and my bad apologies and gentlemen.

[applaudissements] Michelle discussion on to manage dependencies on the grant and my apology is my bad. It's entirely my fault I started this session earlier than planned. But you are with us and we are delighted to welcome you. We have a translation handset at your disposal Michel. Arnaud Martin. Arnaud Martin, la sensibilisation et et laure sont vraiment essentielles. On l'a évoqué précédemment et vous avez beaucoup travaillé sur ce sujet notamment avec cet indice dont on parle beaucoup en ce moment, l'IRN bien sûr.

Alors, est-ce que vous pouvez nous expliquer comment les organisations peuvent mesurer leur dépendance numérique et comment vous faites remonter ce sujet au niveau de la gouvernance et pas seulement au niveau du département Haïti ? Alors Charlotte, bonjour à tous et à toutes. Je crois que tout à l'heure on a David et enfin David Jz et Arn Pon qui vont vraiment faire un zoom sur cette partie-là. Donc je vais pas spoiler l'intervention mais je vais quand même vous donner quelques statistiques parce que on dit c'est bien en terme de sensibilité d'avoir cette notion de Ouais. Est-ce que c'est quelque chose d'important ou pas ?

au SIN dont je suis le vice-président, on a un baromètre qui nous permet de sonder en fait l'ordre de 1200 enfin les 1200 adhérents qu'on a. Et dans ce baromètre, on leur pose deux questions qui vont éclairer un petit peu voilà mes propos. Première question, c'est déjà est-ce que la souveraineté est-ce que les solutions de confiance c'est un sujet pour vous ? C'est un sujet au niveau du comité exécutif ? Alors la réponse est 63 % oui en augmentation par rapport à l'année précédente qui était de 52 %. Donc, on était très satisfait quand on a annoncé ces résultats-là.

Et je me souviens quand on a fait le la la session, on était avec Geoffrey Séestin Urbain qui nous a dit euh "Oui, mais quand même, ça veut dire qu'il y en a un sur trois qui pensent que c'est pas un sujet. On est en 2026." Donc euh voilà, c'est ça reste quand même assez problématique de ce point de vue-là. Et le deuxième sujet, c'était on parle de mesure, enfin, une fois qu'on a cette prise de conscience, après on parle de mesurer. En fait, on va pas mesurer la totalité des dépendances technologiques qu'on peut avoir sur son système d'information. Donc le prérequis de base, c'est de connaître quels sont ces actifs numériques les plus critiques.

Les actifs numériques qui permettent d'assurer la continuité du business critique pour chacune des entreprises ou chacune des grandes administrations. Et donc là, quand on pose la question, est-ce que vous connaissez vos actifs les plus critiques, vos joyaux, enfin les les joyaux de la couronne ? La réponse est 74 % oui, 57 % l'année dernière, donc c'est en croissance. 8 % qui sont assez francs qui nous disent non. et il y en a 18 % qui nous disent de manière politiquement correcte, c'est en cours, c'est en cours.

Donc tout ça pour dire globalement cette prise de conscience, elle est là, elle est latente, elle est émergente et on voit qu'elle est en augmentation, c'est bien mais par contre on n'est pas encore au bout du chemin. Donc euh il faut qu'on continue dans cette vision-là et il faut qu'on continue avec un sujet qui est dire en effet, il faut pas qu'on remonte au niveau du bord, enfin au niveau des conseils d'administration, au niveau des comités exécutifs de manière séparée. Alors je vois, je suis alors j'ai les équipes cyber dans mes équipes. J'ai aussi la totalité des risques opérationnels et la totalité du contrôle permanent de la Caisse des dépôts.

Donc en fait, je vais voir monx et ma commission de surveillance assez régulièrement, une fois par an sur les sujets cyber et je leur explique pourquoi est-ce qu'on est les meilleurs au monde bien évidemment en terme de maturité cyber. Après, je vais les voir en disant en terme de contrôle permanent, voyz pourquoi est-ce qu'on est très très bon aussi en terme de compliance et notamment comment est-ce qu'on assure la continuité d'activité. Euh puis je vais les voir sur d'autres risques opérationnels et je leur remonte aussi un certain nombre de choses par rapport voilà à des à des risques de dépendance de tiers et cetera.

Et en fait ce qui manque et lorsque je j'en discute avec mon DG avec Olivier Sichel, il me dit "Je t'adore Arnaud, on s'entend super bien, on a bossé ensemble dans d'autres boîtes avant et cetera, mais ce que j'aimerais c'est que tu puisses me donner en une un seul indice, en un seul Capi la vision globale que je puisse communiquer à un certain nombre de mes collègues qui sont peut-être moins techniques que nous et à mon au niveau de la comm enfin le conseil d'administration donc la commission de surveillance de la Caisse des dépôts qui par définition elle est beaucoup moins technique et c'est vraiment l'enjeu de cet indice de rés résilent numérique d'avoir cette vision boussole autour de h axes qui vous seront développées tout à l'heure qu'on souhaite promouvoir en terme de vision consolidée.

Merci Arnaud Martin. Merci beaucoup Michel. I'm gonna switch to you and switching to English to ask the following question. Another quick introduction business of cyber security at TNO and TNO is a research institute based in a Netherlands that um specializes in independent research linked to innovation.

mostly and I guess the following question I have to you is um maybe to share some of the initiatives you have in the Netherlands in place I here you've got the Brabant House of cyber that brings together companies research institutions and public authorities so people and and companies and organizations that work across very different sectors and uh is managing digital dependency something organizations can do alone or is this crosssector collaboration essential It's almost a rhetorical question. Yeah. So, companies cannot do it alone. So, welcome. Excuse me for being a bit late. I'm very happy it's my bad. It's my bad.

So I'm working for TNO which is the in the Netherlands the largest independent research organizations and we help industries and governments with all kinds of questions also digitalization and souverity is probably one of the top priorities which has being asked to us today and I think it's good indeed to think in in terms of examples and and one example that we are concretely working on is in the southern part of the uh the Netherlands which is the region Brabant which is the heart of the hightech sector and the semicon sector. ASML is there NXP and a lot of other hightech companies and just imagine the transition that this industry is facing in the coming 10 years.

Uh we have the promise of AI uh being integrated in the engineering processes in the production processes but also in the products. And that's key because the productivity needs to increase. There's a labor shortage and AI has this promise. And if I talk to those industry companies and say, "OK, if if this is what you want, uh, how do you proceed? Where do you buy your systems and and uh do you buy it from a country a company uh outside Europe or within Europe?

And are those technologies available?" and and then the difficulty starts because if you realize that this whole ecosystem is dependent on the supply chain h so companies supplying to each other so there's a large independency and that also means that if you want to integrate AI in this entire supply chain then you need to come up with a genetic facility which is serving the entire supply chain uh which is by preference uh independent entities both on the data layer on the compute layer but also on the application layer hè so so there the question on the table is can we help the industry in this case the hightech and semicon industry in transitioning towards an AI enabled world uh by building on a sovereign uh AI facility and and the question is and the answer is yes that can but that can only burn if you do that together.

Um and that is a nice bridge to an initiative which which we are running at at the Netherlands at the moment which is called GPTNL uh which is a large language model uh with data which is gathered on a legal way uh with legal contracts it's fully sovereign it's trained and now the it's being adopted by the Dutch government as a lead customer and that's a bold vision and that's also a vision that is uh that's absolutely within reach for example for the highch taking industry example energy transition health doms include that gptl gpt [rires] absolutely général de brigade xavier guimard vous êtes cito et software architecte chez chez Linagora et vous allez avec nous partager l'exemple de la gendarmerie nationale française et sa stratégie de migration sur le long terme car c'est possible bien sûr de réduire ses dépendances.

On va en parler tout de suite avec vous. Et là c'est vraiment un exemple très concret he qu'on vous demande. Vous avez dû réduire la dépendance. C'est un travail opérationnel bien sûr de très long terme. Et l'exemple de la gendarmerie nationale est souvent cité comme un exemple de migration à grande échelle depuis des logiciels propriétaires vers l'open source. un exemple un grand succès d'ailleurs je dirais allier Guimard. Voilà donc bonjour à tous.

Donc c'est euh c'est effectivement euh je suis dans une enfin en parlant au nom de la gendarmerie que j'ai quitté il y a pas de temps, on est dans une situation euh effectivement différente des autres parce que on parle de réduire la dépendance, on parle de réduire euh les l'argent qui part à l'étranger et euh donc la gendarmerie l'a fait pour bon pour plein de raisons, mais d'abord parce que je veux dire qu'elle avait construit son hyperdépendance à un seul fournisseur américain que je ne nommai pas mais qui qui commence pareil mais qui finit par Microsoft.

Et donc au à la à la mort du seul concurrent possible de de cette société qui était donc Corel euh et bien la négociation suivante, les prix ont augmenté de 25 % parce que effectivement quand on négocie avec un fournisseur en situation de monopole, on négocie rien du tout, on se fait imposer les prix et donc ce problème de dépendance et de et donc de finance ça a été le principal moteur de la gendarmerie pour dire on peut pas rester dans cette situation où on n pas de marge de négociation, on n pas des budgets qui augmentent. Donc finalement toutes ces augmentations consistent à réduire la dépense sur autre chose, réduire l'investissement, réduire l'innovation.

Et donc la gendrier s'est lancé dans une démarche effectivement de transformation de intégrale de son système d'information avec pas forcément une c'était pas une volonté très souveraine au départ. C'était vraiment le moteur le moteur c'était l'économie. mais de se dire comment on va comment faire en sorte que chaque fois que je renouvelle un marché public, je puisse mettre mon fournisseur en situation de concurrence.

Donc on est parti de cette démarche là et puis on a imposé de la standardisation tout des choses qui aujourd'hui paraissent évident à tout le monde mais je rappelle qu'on était en 2002 2005 et donc progressivement on a préparé les solutions et on a fait on a appliqué alors pour le coup des raisonnements assez militaires qui sont des des raisonnements de stratégie à savoir que quand on a une idée dans le monde normal on fait une feuille de route et on donne des dates mais les dates peuvent être à contetemps dans le monde militaire et ben en fait on on sait où on veut peut aller, on prépare tout et on attend que euh finalement que Microsoft mette le pied dans le tapis tout seul.

Donc ça s'est fait sur une deuxième augmentation de prix bascule vers Open Office sur une migration technique compliquée du passage Windows XP à Windows 7. bah, on est passé de Windows XP à Linux et ainsi de suite. Et donc les résultats sont là, c'est que aujourd'hui euh le système d'information gendarmerie, c'est moins de 3 % d'ordinateur sous Windows. Donc ce qui est quand même voilà et il reste pour de mauvaises raisons d'ailleurs mais bon voilà moins de 3 % de Windows, c'est une un donc un OPEX qui n'augmente pas plus que ça parce que le prix de l'open source n'augmentent pas. Donc l'économie initiale était en brute de 2 millions d'euros par an.

le non renouvellement des ordinateurs à 3 4 ans parce que tout le monde a connu avec Windows 11 sauf la généralie il y a pas très longtemps bah ça a creusé un peu l'écart donc on aurait été à 7 8 millions d'économies par an et puis comme les prix continuent d'augmenter et pas de l'open source aujourd'hui l'at il est de 30 40 millions d'euros par an c'est si on voulait faire aussi mal qu'avant il faudrait injecter déjà 100 millions de migrations et remettre 25 millions par an pour ne pas faire mieux voilà donc ça alors après on peut dire oui mais vos utilisateur ils ont souffert Alors dans les conférences, on me dit souvent oui mais c'était des militaires donc c'est facile vous donner l'ordre ils l'ont fait bien mal connaître la gendarmerie ça fonctionne pas comme ça dans aucune organisation au monde on peut dire à un utilisateur tu vas faire un effort pour que moi je fasse des économies ça ne fonctionne nulle part donc il faut organiser les choses pour que l'utilisateur quand il fait un effort il a une contrepartie une vraie contrepartie donc quand il a par exemple quand ils ont quitté Word ils sont passés sur donc Open Office à l'époque puis librefice maintenant.

Mais ils ont eu une vraie plus-value, c'est que le libre office qu'on leur a donné était parfaitement intégré au système d'information. Il était connecté aux bases de données. Donc quand il rentrait une identité, le le système de lui-même enfin faisait tout le travail que le genre devait faire. On a gagné 3 millions d'heures de travail en mettant des workflow en place qui finalement en partant du document Open Office, on était capable de générer des messages d'information statistique et judiciaire qui prenaient jusque-là 3 millions d'heures au total par an. Et donc l'utilisateur lui, il avait un progrès. Ouis. ça a jamais été fait un effort, je veux faire une économie.

Et une fois qu'on a fait toutes les applications, le changement de plateforme de Windows à Linux, c'est ça été transparent. On en a beaucoup parlé à l'extérieur, ça a été un non événement interne parce qu'on a gardé le même fond d'écran, on a gardé les mêmes icônes et finalement je me souviens d'une plainte d'une secrétaire qui qui se plaignait du passage à Linux, sauf qu'elle était dans le périmètre qui venait de passer à Windows 7. Voilà, parce qu'à l'époque il resta un périmètre de d'environ 10000 postes. Voilà.

Donc en gros, un non événement interne parce que bien organisé euh ça s'est bien passé et en même temps il y a eu d'autres tentatives de migration à l'époque et je je passe ce dernier petit message mais tous ceux qui ont voulu de façon un petit peu dogmatique dire "On va quitter brutalement, on va remplacer le poste Windows Office par un poste Linux libre office brutalement, ils ont tous fait machine arrière et définitivement." Alors, un nom événement peut-être, mais vous l'avez bien vendu quand même ce projet hein. Il y a eu quand même toute une culture de la transformation, du changement qui a été mise en place visiblement.

Mais j'ai quand même envie de demander rapidement à Arnaud Martin et David Rief, vous qui travaillez respectivement dans des des infrastructures critiques, hein. Euh David, le groupe ADP opère un réseau de 26 aéroports dans le monde. La caisse des dépôts, bah c'est la banque de la banque. Vous qu'en est-il de vos propres parcours finalement vers plus d'indépendance numérique ? Alors, comme je le disais, nous on a commencé les travaux du coup avec voilà l'association Adri de mesure du niveau d'IRN chez nous.

Alors, on a bien évidemment cette vision très voilà visible côté user de l'environnement de travail, mais en fait le gros du travail c'est situé en déclinaison de l'ensemble des fonctions critiques d'OURA puisque nous sommes assujettis à DOA de la banque. Donc c'est 11 fonctions critiques qui aboutissent à peu près à 130 applications. Donc vraiment cœur de business pour la caisse des dépôts.

Et on a non seulement cette vision applicative en terme de de d'actif numérique, mais ce qui est important et comme le rappelait tout à l'heure Michel Paulin, c'est d'avoir cette vision en fait multistack et parce que une application, elle tourne pas toute seule, elle tourne sur des operating system, elle tourne sur un certain nombre de hardware et cetera. Et donc là, on a aussi été revisité le niveau de dépendance qu'on pouvait avoir sur ces sujets. Et en terme d'infra, on a listé à peu près 150 infras qui nous permettent d'opérer les 130 applications. Donc le diable est dans le détail.

C'est quelque chose qui enfin comme je vous l'ai dit, faut que ce soit un index qui soit très très simple pour le management. Par contre, on doit le travailler en avant. Et là où on là où on voit un certain nombre de choses émerger côté case de dépôt, alors on était très fier au départ. On se disait qu'on allait être bon sur toutes les lignes et cetera. On est très orienté open source, pas sur la partie collaborative mais sur voilà sur l'ensemble du de de de l'IT. On est on a très peu d'infras qui sont dans le cloud public sur les actifs critiques et également on est hosté sur les data centers de la Banque de France.

Donc moi je m'attendais à ce que on soit bon de partout et en fait le diable est dans le détail. Alors on a aussi inventé un nouveau enfin on a créé un nouveau pays en terme de dépendance qui est le pays open source. Donc c'est un pays génial parce qu'on a très peu de dépendances, sauf un sujet qui est quand même la dépendance des enfin la des compétences techniques parce que bah celui-là il faut il faut le péréniser.

Donc c'est quand même à prendre en compte aussi dans la mesure globale et on aboutit en terme de résultats des résultats qui sont très très bons en terme de dépendance applicative puisque alors on n pas encore les pondérations et cetera, mais globalement on serait sur 80 % entre l'open source plus euh les fournisseurs et les développements des solutions euh effectuées par des Européens au niveau applicatif. Mais là où le babless, c'est sur la partie infrastructure. Là, on est on a encore un baricentre et pourtant comme je vous l'ai dit, on est déjà on était déjà dans cette démarche. On a un baricentre pour le monde non pondéré qui est de l'ordre de 50 % de dépendance US sur cette partie.

Et là, le travail sera juste gigantesque. Donc ces solutions, enfin ces sujets-là, il faut les remonter au niveau du comex. Donc nous, on va les remonter. Alors, on a ce qu'on appelle l'appétit au risque assez classiquement l'appétit au risque financier. L'appétit au risque voilà l'appétit au risque en terme de dépendance technologique qu'on va introduire, qu'on va demander à chacune de nos filiales de mesurer et on a une ambition globale sur du pluriannuel de réduire ce cette dépendance là. Merci beaucoup David. H alors nous aussi on on adhère à à l'IRN, l'indice de résilience numérique.

Auparavant, on avait un indice qu'on appelait l'ISVL, l'indice de sensibilité au venderlocking qui nous a permis d'identifier les endroits sur lesquels on voulait faire porter les efforts. Et euh ben un petit peu comme dans la gendarmerie, une échelle évidemment beaucoup plus beaucoup plus humble, euh la clé réside dans l'anticipation. Donc ça signifie qu'on a retourné les équipes d'innovation interne de la DSI vers l'identification de solutions alternatives à 3 4 5 ans en fonction des échanges contractuels, des échanges de négociation dans une approche de réduction ou de possibilité de réduction des périmètres de dépendance.

Un élément qui a été peut-être l'un des plus l'un des plus importants qui qui est pas toujours le plus simple, c'est de faire confiance à ses convictions et à celles de ses équipes. On a quand même en face de nous et dans dans le discours ambiant l'idée qu'il faut avoir nécessairement des milliards d'euros ou des milliards de dollars pour réussir à faire quelque chose de bien, ce qui est évidemment pas tout à fait vrai. Donc il faut quelque part donner crédit aux analyses que l'on peut faire. Euh à titre d'exemple, on était il y a eu il y a quelques temps un un incident sur CR Strike, un logiciel de sécurité qui a paralysé énormément d'entreprise.

Nous, il se trouve qu'on a eu la chance de pas être exposé à ce problème-là parce qu'on afficha conviction que l'on pouvait voulait surveiller tout ce qui était fait chez nous et donc [grognement] il n'y a pas de déploiement automatique sur nos systèmes. C'était pas forcément au goût du jour mais on avait soutenu cette thèse là. Et enfin, dernier point, c'est très important de coopérer aussi dans un cercle de confiance parce que même si vous faites confiance à vos analyses, vous avez besoin un petit peu de trouver des réassurances à l'extérieur. Merci beaucoup David.

Il nous reste quelques minutes simplement pour vous demander Xavier rapidement les principales leçons que vous avez tiré justement de cette migration, de ce grand projet. Alors la première leçon, c'est que ce n'est possible que si on est bien organisé. C'est si le si l'informatique interne est déjà pas très contrôlé, on peut pas l'envisager. Et la et la deuxième c'est l'utilisateur au centre, c'est les messages, les slogans classiques, mais si on veut le faire contre l'utilisateur, on y beaucoup Michel. And yet we have very little time. But is it possible to be independent here in Europe?

And and maybe the real question here is not so much how we can eliminate dependency but how we can manage it in well smartly I'd say intelligently. Yeah, that's a good question and fully independent is not possible and it is even not needed. So you will always depend on solutions and systems. I think it's a matter of identifying and that's also what I heard in the panel the critical dependencies. So I talked about the example of industries wanting to adopt AI. So in that specific case you need to think about okay what about the data layer? What about the compute layer? What about the application layer? And then sovereinity for me is all about having the right or the possibility to choose.

So to choose vendor at an acceptable cost. Uh and once you reach that uh yeah then you also address the souverity issue probably in in a proper way. Well many thanks to all of you for joining us here this afternoon and apologies yet again for the fairly chaotic start. En my fault here but it was great to hear all of you on this very important topic of how you manage dependency on the ground. Un grand merci à tous pour votre contribution cet après-midi. Merci à vous.

[applaudissements]

is no longer just about defense. It's about who owns the technologies that secure our data, our networks, our critical infrastructures and ultimately our autonomy. To explore this topic further we are delighted to welcome Joana Zadkovska and Hans please come and join us here on stage. Thank you. And a warm round of applause please.

[musique]

Thank you for joining us here this afternoon and apologies for the delay in

[musique]

taking you to the stage here for this very important conversation. Indeed, please help yourselves to a microphone, a proper a proper round of introductions. Joana, you are secretary general of the European cyburity organization, Exo and Hief cyber security and operations officer at the EU agency for cyburity. Thank you so much for joining us here this afternoon.

So I'm going to start with question for you Joan because you recently published it's this it's rather striking at say article for in cyber forum Europe um you are a member of the advisory board of cyber forum Europe and in this article you talk about the fact that Europe's cyburity challenges are not so much a lack of talent or innovation but it's a failure to to scale to finance and to retain our champion us back here. Thank you so much Charlotte first and foremost for having me on the stage and I'm absolutely delighted to sh this stage with Hans. That's an honor for me personally but also for Exo. So thank you so much for giving us this opportunity.

Uh thank you also for pronouncing my last name so nicely. That's not very common [rires] thing to hear so I appreciate it. I was in Poland in September. That's why that explains a lot but yes indeed. So before maybe I'll say a few words about the gaps that we observe and that in our view impacted our let's say condition of our cyburity market.

I think it's important to start by saying that it's quite interesting that here in Lil and in general I would even there to say we start to speak about cyb security not only through the lens of national security international security resilience critical infrastructure protection but we start to recognize cyburity as the key driver for our economic prosperity for our technological leadership and actually as a fundamental aspect for I do believe and argued with the article that cyurity these days contributes largely to where we are in the technological race and we have a lot of good ingredients to be extremely successful in these regards yet we fail to translate it fully into let's say um a success story.

So it's not about talents we do have them. It's not about innovative ideas we do have them. It's not about research. We have an excellent research but actually so we have it all yet we are not there yet. There are several reasons in our view why um why we are not reaching our full potential and they come from the structural difficulties that we observe on the market. one we still believe that EU cyburity market segment is underfunded.

So we did calculate in 2022 I believe together with European Investment Bank that we see a gap of 1.75 billion euros gap versus in the US when it comes to the high risk investment capital flying to the market and that translates into cascading issues so for instance our VC specializing in cyb security are on average three times smaller than their American counterparts. So obviously if they want to support startups with meaningful tickets and investment rounds, they fail to do so simply because they do not have enough capital to significantly help them out.

So when our startups a scale they unfortunately very often choose to go over the pond to find enough capital to basically you know scale up their business. Second element that I bring as yet another obstacle that we observe is the fact that unfortunately we tend to in Europe we tend not to buy enough European technologies and products. Of course we can discuss why it is an issue and I'm happy to do so but I think that very often we have very competing and comparing technological offer which is not being used to the fullest. And the last element that I will just mention and then again we can discuss it at length later on is the fact that we still see the fragmentation of the market.

So digital single market is not there yet and ispering quite significantly our business to grow and we are losing our talents. We are losing our innovative solutions because they continue their professional career very often to often. Well, thank you very much for that. Hans, do you share assessment? What can we do to reinforce the cyburity value chain here in Europe? Um, and what can we do realistically here or not? for for the sake of the panel I disagree because otherwise it would be very boring right if I would just say I agree and that's it. Um what what I see is that it's a more complex problem than that.

So the let's say the risk appetite in Europe from both governments and business is different from the risk appetite in the United States where you look at a lot of the innovation. So here as a investor or a company and you feel that seen as a well that's a problem while in the United States if you haven't been um failing and go bankrupt you haven't tried enough. So it's a cultural issue defin so there is definitely a cultural issue about taking risks.

That's one part I think we are very riskasive in Europe in general and the other part just look if you're talking about the the split market or the mechanisms it was interesting to hear about let's say GPTNL why we have 27 countries in Europe so why not GPT EU because that would be more logic from my perspective because we do it again on a local meaning country level And I think if you look at the current turmoil with the geopolitics, I will not go into that. I'm too diplomatic for that. Uh but it's certainly something that we have to address.

So when you're talking about skills and the people I do disagree because what we see in our threat landscape is the biggest threat out there on number two is skills. So we have to address that. And what you also see is the moment we have the people and we have the knowledge in house, the let's say the pay of the people tend to be much higher in United States because the capital venue is there and therefore they have the possibility actually pay more. So it's like a circle that that we need to break down. I understand and I agree that governments need to do the first buy and we have to do with that. But it's not only that part.

I definitely think that taking risk from financial capitals and with large uh industry players moving forward and thying things out and yes some will fail that is crucial to actually get to that nurturing of the innovation culture that we actually do need if we really w to keep our heads above uh the water. That's something you just Yeah, please do follow up. Thank you so much. So that's funny because you disagre disagreed with me Hans and I agree with your disagreement and actually [rires] I can give you even a supportive argument because when I say that the market is underfunded it does not mean that we don't have capital as such in Europe.

It does exist but indeed to your point the key players are quite reluctant to take a risk and invest in new technologies in technological breakthroughs. Let me give you an example. So the pension funds here in Europe they invest 0.01% Europeas level 10% imagine which difference that would bring to the market should we take this risk and basically go full on to support sometimes risky I just I just flew back from San Francisco the RSA conference where you speak with both countries and industry and the talk that I heard people have heard this earlier as well but the venture capital they understand that one in 10 will be successful. So nine in 10 will fail.

They don't they don't mind because the one in 10 will bring in the budget and the and the and the and and the budget and the money for that for all the others. And that is a psychological thinking that we kind of miss here because we try to do everything successfully at that level. Now what we can actually do is I of course I hope that the funding and especially when you look at the the defense spending well from my perspective cyburity is an integral integral horizontal essential part of defense in Europe.

not seen as such which is odd but from my perspective without cyburity mechanisms and without the innovation surround it we would not survive in a digital world very simple look at how the world runs right now I mean if uh and it's going to be scary the coming two years we going to be very scary to be honest because if you look at the AI and and the genic AI and the the speed where where which vulnerabilities are found right now we cannot cope normal to level spike getting to deal with the difficulty coming out there.

Now what I've heard when I was there the reason why I tell that is because I heard some solutions and my thought was he's making 150 million with a simple idea that we could have done as well in Europe. So there is definitely a lot of work for us to do. Absolutely. And um the key here is changing mindsets according to you that's what we really need to do urgently here in Europe. That's an interesting take on it. Um very quickly Joanna the priorities. Ok how do we move forward because you have identified a set of priorities for collective European action. What are they? That's correct. So in principally as I would say that the main message is to start acting as Europe in wholeess.

I mean like not only 27 separated countries I mean we will forever have this beautiful diversity in Europe but I think that if we want to have a meaningful market we need to start working together and that of course translates into many different concrete steps no time to speak about them all but let me bring to your attention maybe one particular initiative that has been advocating for since very long time we would like to and it will take place now I can officially tell that the project has been officially group will investment vehicle in form of fund of funds concentrated on defense at large but with a very strong cyber security component where both private and public money will come to better support specializing in those domains and as such in a consequence also startups so the good news is that there are those things in motion but I think that we need to take even an extra step to bring not only public funding but private capital meaning market and just one single step but then my second recommendation would be really to complete the digital single market so our companies once they are established they can do businessingly across the continent I'm very I didn't know this so I heard it right before we started the panel that the decision has been made.

Great uh from's perspective from GG Connect from Europe we also have funds to actually do some part of that uh and we work very closely with the European competent center the ECCC which which directs and and distributes those fundings. So there is a lot of things already in a positive way happening and what I do hope is that organizations who are in this innovation part do it secure by design and secure by default because that is going to be the future.

And it's a market competitive edge forward because everyone will need to do that and really get the problems out of the way before you put it in the market and not an alpha beta version because that's not going to be the same way anymore with the Sab resilience act starting in well between somewhere like September and and the beginning of 27 that will be the rule of the game. If you want to sell in Europe, you need to abide by the C meaning secure by design, secure by default. H youve alluded to the need to change mindsets here in Europe. It's very important. We also need to invest more, of course, we need to coordinate our action better across Europe.

But there's also a messaging problem here, possibly when it comes to cyburity and the fact that we often frame it as a security risk mitigation.

protection resilience issue and you've actually alluded to it very briefly but it's also driver of competitiveness of innovation and of prosperity i fully agree and that's exactly how why i started sort of with the statement um just you know 15 minutes ag cyb security contributes largely to our economic prosperity why simply because it underpins the digital transformation in general without it there will be no successful in regards second element it directly contributes to GDP like seriously cyber security segment in Europe is fairly large and it's rapidly growing we are talking about compound annual growth rate at the level of 10% this is extremely interesting and a good place to do business and invest and basically seed as an economic driver I will absolutely agree with that statement from my part cyburity is an integal part of doing business.

It's an essential step before that you're not allowed to be on the market from my perspective it's CEO we call that chefs it is the most important thing out there. It is not about an IT thing it is a business need to actually do the right thing and because you have responsibilities for your supply chain and for your customers and that's much bigger than just a toy or a product on the market and then you'll see what happens. It's it is and I said that in United States as well with different companies all over the world the national security for company for countries is almost on let's say 95% on the private industry's shoulders. They build the stuff they often run the stuff.

It's extremely important that they take that seriously because they're part of let's say national therefore European uh security as a whole. And so it's a much important thing than just a gimmick that you oh you will bolt it on later on. No then you really haven't understood it. Well many thanks to both of you for a very engaging conversation here this afternoon where we initially agree to disagree to finally agree and that's what matters. It's very European in many ways. Thank you so much to both of you Joan and Hans. Thank you for being here this afternoon.

[applaudissements]

Nous allons maintenant aborder un sujet qui prend une importance croissante dans les organisations comme dans les politiques publiques. C'est la mesure de la résilience numérique que l'on a beaucoup évoqué ces derniers jours ici au forum. Car si l'on parle beaucoup de cybersécurité, de risque, de dépendance, de souveraineté ou encore de continuité d'activité, une question revient toujours. Comment mesure-t-on réellement la résilience numérique d'une organisation ou encore d'un pays ? Et bien, c'est précisément l'objectif de l'IRN, l'indice de résilience numérique.

Et pour nous présenter cet indice, j'ai le plaisir d'accueillir Arnaud Ponce et David Jay, cfondateur de l'IRN sous vos chaleureux applaudissements une fois de plus. Merci.

[musique]

Bonjour à tous, ravi d'être avec vous aujourd'hui pour vous présenter l'indice de résilience numérique. J'ai cru comprendre que plusieurs personnes avaient déjà mentionné dans la journée l'IRN et c'est tant mieux, notamment Arnaud Martin de table rondeavant qui a déjà bien pitché le principe. On va évidemment être plus précis, rentrer un peu plus en détail avant que David présente le contexte dans lequel on a lancé l'indice et vous montre un peu le framework et l'avancée des des travaux. Je vais peut-être faire un point de chronologie où on en est. En fait, l'indice a été lancé il y a un an.

Initiative de David Jais, de Yan Léchelle qui est pas avec nous aujourd'hui et donc de moi-même au nom de Digital New Deal. Une petite parenthèse Digitalud est un sing dédié aux enjeux de souveraineté numérique dont le fondateur est Olivier Sichel et qui est le président d'honneur de l'association Digital Residence Initiative qui opère l'indice donc la bouclé bouclé. Euh donc ça a été lancé euh le lancement, on l'a fait au mois de juillet l'année dernière euh à Provence euh lors des rencontres économiques euh avec les dizaines partenaire. C'est-à-dire que c'est un très important de comprendre que cet indice est fait par et pour les entreprises.

Et donc on a euh des entreprises condatrices euh qui siègent avec nous et qui est là depuis le premier jour. On peut citer par exemple RTE Crédit Mutuel, MAIF, le groupe Sud-Ouest, EDF, Docapost et bien d'autres. Euh et donc deuxième date qui était importante pour nous, c'était le 27 janvier dernier. On a lancé officiellement l'association Digital Ailience Initiative à Ber en présence de la ministre dans le cadre de la journée de la souveraineté numérique. Et puis pour vous donner un petit peu une perspective de nos travaux actuels, on a aussi une date cible qui est le G7 puisque le ministre Barreau souhaite mettre à l'agenda du G7 l'indice de résilience numérique.

David, je te je te laisse la main. Merci beaucoup. Donc euh on va vous donner quelques quelques éléments d'information. Alors, vous voyez, ça c'est une courbe qui est extrêmement intéressante parce que elle nous montre euh l'évolution de la dépendance numérique dans les entreprises et les montants qui sont dépensés. On parlait tout à l'heure du chiffre de 265 milliards d'euros par an qui chaque année les poches des entreprises européennes pour aller vers des acteurs extraeuropéens essentiellement américains.

Et on voit que à chaque vague d'innovation technologique, cette dépendance se creuse et il y a une vraie accélération à partir de la fin des années 2000 avec le move to cloud et avec ce qu'on appelle le mode de facturation à service, infrastructure as a service, plateforme as a service, software as a service. Et ce qu'on voit c'est qu'aujourd'hui on est dans une révolution technologique avec l'IA générative et que l'IA générative selon qu'elle sera ou non intégrée dans la bundlisation euh du cloud euh aggravera cette dépendance qui est d'une triple nature.

C'est une dépendance technologique, c'est une dépendance économique et c'est aussi une dépendance de plus en plus surtout depuis que les relations entre l'Europe et les États-Unis se tendent une dépendance géopolitique. Et c'est la raison pour laquelle donc nous avons voulu créer l'indice de résilience numérique. Vous voyez ici comment ça se partage, c'est les dépenses de cloud, les dépenses de software à service, les dépenses de hardware et les dépenses de services. Et tout ça fait un montant de 265 milliards d'euros par an. Alors euh ce qui est très important aussi, c'est de voir que cette dépendance s'est renforcée avec l'évolution des modèles de facturation et des modèles économique.

On est passé d'un modèle propriétaire à un modèle qu'on pourrait appeler locatif puisque avec le SAS, on paye une licence annuelle à des éditeurs ou à des opérateurs qui ont la faculté d'augmenter les tarifs un peu comme ils le veulent. Moi, je compare souvent ça à un locataire qui lourait un appartement, à un propriétaire qui lui dit "Ben, le loyer cette année va augmenter de 300 %. C'est pas possible dans le droit de l'immobilier, mais c'est tout à fait possible dans le monde de la dépendance numérique. Et on a maintenant avec les sorts de l'intelligence artificielle un nouveau mode de facturation qui s'appelle le pay as you go qui est de la consommation dynamique facturé au token.

Et là on a c'est très volatile et c'est surtout très inflationniste parce qu'on ne sait pas quel sera le prix du token dans 3 ans, dans 5 ans, dans 7 ans. Je rappelle que l'IA, y compris dans ses couches basses, c'est une industrie qui aujourd'hui encore est très largement subventionnée et que quand on reviendra à des niveaux de facturation à peu près conforme aux pratiques de marché, les prix du token pourraient très fortement augmenter.

Et donc ce qui est important de de comprendre si vous voulez, c'est que cette dépendance, elle génère des risques économiques, on en a parlé, des risques juridiques et contractuels, des risques géopolitiques et puis des risques bien sûr opérationnels et de sécurité. Et on a essayé de faire rentrer tout ça dans un cadre d'analyse euh unique qui s'appelle l'indice de résilience numérique. Alors l'indice de résilience numérique, c'est le nouveau langage universel pour les entreprises, les DSI, les boards pour essayer de quantifier cette dépendance et ses risques associés et essayer de mettre en œuvre des plans de transformation qui permettent de sortir de cette situation de dépendance.

Le point de départ, c'est toujours les processus métiers critiques, c'est-à-dire dans une entreprise, qu'est-ce qui est critique pour moi ? Dans une banque, les système de paiement ou l'activité de crédit, dans une assurance, la gestion des sinistres, dans une entreprise industrielle, bah tout le RP de production. Ça dépend vraiment des univers professionnels et des entreprises. Et puis sur la base de cette analyse des métiers critiques, on reconstitue des chaînes d'actif numérique par grappes grapp s'appellent des systèmes. Donc vous avez vraiment une approche à trois entrées.

L'entrée par les métiers, l'entrée par les grappes d'actifs qu'on appelle des systèmes et puis les actifs critiques dont parlait Arnaud Martin tout à l'heure. Vous voyez ici, ça nous permet d'avoir une analyse qui est full stack. Et ce qu'on va regarder, c'est que pour chaque actif ou pour chaque grap d'actif, on va regarder les huit grandes zones de risque qui relèvent de l'indice de résilience numérique. Donc ces huit grandes zones de risque, ben ces premières zone de risque, c'est tout ce qui touche à la géopolitique, à la juridiction des fournisseurs, donc les risques FISA par exemple pour les traitements de données. Deuxième zone de risque, c'est les risques économiques et juridiques.

Et ce qui est intéressant, c'est que ces deux zones de risque, c'est vraiment les relations vendor, hein. c'est les relations au fournisseur. Ensuite, vous avez des zones de risque qui relèvent de ce que j'appelle la sécurité au sens large opérationnel. Est-ce que je peux opérer, continuer à fonctionner, y compris en mode dégradé en toutes circonstances ? sécurité et continuité d'activité, y compris la cybersécurité bien sûr. Et puis environnemental, c'est pas au sens de l'empreinte carbone du numérique, c'est au sens de est-ce que des disruptions météorologiques par exemple peuvent impacter les infrastructures et donc le bon fonctionnement de de mes systèmes.

Et puis trois zones de risque qui relèvent plutôt de la dépendance technologique, c'est évidemment les datas et la supply chain, l'approvisionnement en composant hardware et puis ce que nous on appelle la technologie. C'est-à-dire est-ce que les codes sources sont auditables ? Est-ce que les modèles sont explicables ? Est-ce que je suis pas en train d'introduire des boîtes noires dans mon entreprise ? Et c'est là qu'il y a une vraie innovation de l'IRN, c'est qu'on va regarder aussi bien la dépendance sous l'angle économique business, la dépendance sous l'angle des risque de sécurité et la dépendance sous l'angle technologique.

Parce que comme le disait très justement Arnaud Martin tout à l'heure, un dirigeant, il va pas regarder le problème en tranche de saucisson, il va pas regarder le problème en silo. Il a besoin de comprendre comment on pilote l'IT de son entreprise, comment on pilote les risques, comment on pilote les dépendances de manière globale. Et juste peut-être pour terminer, on commence, je le disais, par l'identification des systèmes critiques. On reconstitue la chaîne applicative. On fait un scoring. Donc ça c'est intéressant parce qu'on est capable sur les systèmes critiques de donner une note, de donner un scoring. Et ce scoring, il pourra s'appliquer aussi demain au fournisseur de solutions.

C'est-à-dire qu'on pourra certifier les systèmes critiques des entreprises utilisatrices, mais on pourra aussi scorer les fournisseurs de solutions et puis ensuite mettre en place évidemment des plans d'action, des plans de transformation à court terme et à long terme qui permettent de piloter cette résilience. Donc vous voyez là, c'est un exemple des spider chart sur un système d'une grande entreprise qu'on regarde par grande couche de la stack hein. On peut regarder aussi pour une grande entreprise d'assurance bah les résultats qu'on a sur la stratégie, la sécurité, la technologie. Tout ça pour vous dire que c'est un instrument extrêmement précieux de pilotage.

Moi je compare ça un peu à l'ESG il y a une dizaine d'années. On a un sujet de dirigeants et on essaie de le prendre en charge. Et Arnaud, tu vas parler peut-être de la gouvernance de l'association. Exactement. Et tu parles du SG et un des modèles qui a qui nous a guidé c'est celui de justement du label Bicorp. Euh on va peut-être s'arrêter une minute sur ce schéma qui va vous permettre de comprendre notre gouvernance euh et surtout de vous projeter vous en tant qu'acteur une partie prenante potentiel euh dans ce dans ce schéma où est-ce que vous pouvez vous trouver.

Euh l'association laader donc accrédite des entreprises qui vont former euh les entreprises qui vont être elles les entreprises conseilles qui vont être agrées pour qui elles-mêmes vont labelliser les entreprises clientes. Donc c'est le schéma que vous voyez à gauche. À gauche les entreprises accréditées vont former et là on en est aujourd'hui à ce qu'on est en train de faire valider ce processus d'accréditation seront je pense validé pour le mai et donc à partir du mois de mai vont commencer à être formé les entreprises conseil.

Donc aujourd'hui, on a 50 entreprises qui ont candidaté des ESN, des entreprises de tout de toute taille qui veulent donc être agré pour pouvoir accompagner leurs clients et prospects sur le processus de labellisation. Euh la flèche que vous avez tout en haut est importante, c'est que vous pouvez aussi vous autodiagnostiquer. C'est-à-dire que c'est un standard ouvert d'ailleurs, il est disponible sur le Getlab si vous voulez sur depuis notre site.

Et donc vous pouvez toute entreprise de petite ou moyenne grande taille peut s'appliquer soi-même ce ce standard ouvert mais vous ne serez pas laisser, vous serez pas dans le processus donc qui est maîtrisé par l'association puisque certes la méthodologie, le référentiel est ouvert mais les le scoring, les critères du scoring, l'algorithme qui permet d'avoir la la note finale et et appartient entre guillemets à l'association et donc à l'exclusivité des entreprises agréées. Donc ça ça vous permet un peu de de comprendre comment on fonctionne. C'est un travail depuis un an intense où il y a beaucoup de parties prenantes, notamment des acteurs qui sont des acteurs structurants de cet événement.

Euh je pense au SIGF, je pense évidemment au Sésin qu'on remercie euh pour s'impliquer dans les groupes de travail et qui fait qu'aujourd'hui on arrive à un consensus et on va pouvoir assez rapidement vous dévoiler euh et ouvrir euh à toutes les entreprises la participation à à à donc à l'IRM. Voilà, donc c'est une démarche qui est ouverte à tous, aussi bien les entreprises utilisatrices que les entreprises conseil que les offreur de solutions, c'est-à-dire que les éditeurs de logiciel, les cloud providers qui s'inscrivent dans cette démarche de résilience numérique pourront demain aussi être audité, labellisés et participer à cette nouvelle gouvernance du numérique.

Et bien merci à tous les deux pour cette excellente présentation, un indice fort attendu de tous. Euh on vous garde juste quelques instants avec nous pour vous poser d'autres questions par rapport à à cet indice. D'ailleurs, on vous félicite au passage pour la création de celui-ci, mais c'est sur vos ambitions euh pour cet indice et votre calendrier en ce qui concerne son adoption. Qu'est-ce que vous avez en tête ? Je l'ai un peu mentionné, on a on a deux calendriers en parallèle. Le premier, c'est celui de l'internationalisation. Alors, d'abord de l'européanisation. Donc, c'est on a un gros focus là-dessus.

notre président d'honneur Olivier Schel nous aide grandement puisque il a déjà mis euh donc en discussion avec le ministre des affaires étrangères le mettre au menu du G7, ce qui n'est pas rien. Euh aussi une discussion qui a lieu entre les caisses des dépôts au niveau européen, c'est-à-dire que ils sont mis d'accord pour que ça soit un programme commun et donc qui est en train de de se mettre en place une tasse force pour pour que ça soit généralisé.

Euh après donc sur par rapport au schéma que j'ai montré, c'est que là on est en train d'accélérer euh pour pouvoir assez rapidement avoir les premières entreprises formées conseil pour rentrer dans un précessellisation, je dirais à plein à partir de de septembre qu'on puisse commencer à à véritablement élargir le processus qui est aujourd'hui entre guillemets béta par les dizaines de partenaires que j'ai cité qui déjà depuis plusieurs mois ont déjà appliqué ça à leur système critique qui ont déjà fait des retours d'expérience qui sont très constructive. Et j'ai une question relative à la méthodologie que vous avez employé.

Qu'est-ce que vous avez trouvé le plus difficile finalement à intégrer en terme de mesurabilité ? Qu'est-ce qui était compliqué ? Alors le plus difficile, c'est ce que disait Arnaud Martin tout à l'heure, c'est de reconstituer les actifs numériques dans les entreprises parce que dans une entreprise, on a des cartographies. Alors, les DSI connaissent les les CMDB hein, qui font un peu l'inventaire des actifs numériques. Mais en fait, ces cartographies, elles sont pas toujours mises à jour. Et dans une entreprise, il y a plein de filiales, il y a plein de métiers qui utilisent tous les jours des applicatifs, y compris en Shadow IT, qui ne sont pas dans ces cartographies.

Si on veut être capable de mesurer la résilience numérique d'un système ou d'un processus vital dans une entreprise, il faut déjà qu'on ait une vision globale des actifs numériques et surtout de leurs interdépendances. C'est-à-dire que certains actifs, ça peut être un connecteur, ça peut être une machine, ça peut être un software, ont des interdépendances avec plein d'autres actifs qui font que si cet actif là tombe, c'est tout le système et tout le métier qui tombe. Et dans des opérateurs d'importance vitale, ça a des conséquences assez graves, hein.

C'est-à-dire que ça peut être l'arrêt d'un système de paiement, ça peut être des avions qui restent cloués au sol et qui décollent pas, ça peut être des trains qui roulent pas, ça peut être de l'électricité qui est plus livrée. Donc on est sur des choses qui sont vitales et qui sont extrêmement concrètes. Et donc peut-être pour répondre aussi à la question sur qui va adopter l'indice de résidence numérique, on voit que les entreprises qui vont le plus fortement, ce sont les banques, les assurances, les opérateurs d'énergie, les infrastructures, les opérateurs de transport parce que là, on est dans des univers où il y a des risques vitaux et ces risques vitaux, on ne peut pas plaisanter avec.

Et le lien avec la cybersécurité, c'est que la cybersécurité, c'est une composante essentielle de la résilience numérique. Mais ça n'est pas toute la résilience numérique. Il y a aussi des relations avec les vendors, il y a les dépendances technologiques, il y a la géopolitique, il y a la question de la souveraineté. Toutes ces questions en fait doivent être pilotées et comprises ensemble. Et pour conclure cette présentation, un dernier message peut-être pour notre auditoire pour les convaincre du bien fonder de tout ça. Qu'est-ce qu'il faut retenir finalement de cet indice ? Qu'est-ce que ça va changer concrètement dans la vie d'un sizeo ou d'un CTO ? C'est de s'en saisir en fait.

c'est queon l'a vraiment pensé comme un outil à disposition de tous que les entreprises se saisent de cette opportunité et notamment les profils que vous venez de citer. C'est aussi une pour eux la capacité aussi de prendre de l'importance d'un point de vue stratégique au sein des entreprises parce que un un des objectifs aussi c'est de d'impliquer les bordes et donc les CEO, les DG et cetera sur ces questions là parce que comme le disait David comme la question était un petit peu silotée, il [grognement] y avait pas tout à fait une compréhension stratégique de ces enjeux.

de continuité de de opérationnel de la capacité opératoire technologiquement avoir la main sur toute la chaîne de valeur et cetera. ces questions-là sont euh n'étaient pas forcément à l'ordre du jour et dans les injadas compris par les par les chefs d'entreprise. Ça va permettre de faire monter d'un point de vue stratégique ces questions et donc de ceux qui les portent d'avoir une importance plus transversale au sein des entreprises. Donc il y a deux réactions possibles. He c'est soit de se de se dire que je reste un peu sur mes acquis soit je profite effectivement de cet élan pour donner toute la visibilité à l'importance stratégique de ces postes au sein des entreprises.

Je crois qu'ils seront convaincus. Merci beaucoup à tous les deux Arnaud et David pour cette présentation de l'indice de résilience numérique. Merci à vous. Julia vient modérer la prochaine conversation. Merci Julia. Merci beaucoup Charlotte. Nous allons à présent vous parler d'un document qui je suis sûr va vous passionner. C'est un livre blanc qui est intitulé maîtrise de nos dépendances numériques vers une autonomie numérique choisie et gouvernée. Ça a été rédigé par le forum INS Cyber en collaboration et en partenariat avec le Sésan. Et c'est un ouvrage très concret.

Vous allez dire, vous allez le voir richement illustré qui explique donc clairement les différentes formes de dépendance ainsi que les risques associés. Pour en parler, merci d'accueillir Éric Singer et Emmanuel Garnier.

[musique]

Bonjour, bienvenue. Je vous en [musique] prie, prenez place. Voilà, vous avez le document donc avec vous. Donc maîtriser nos dépendances numériques vers une autonomie numérique choisie et gouvernée. On va donc vous expliquer tout ce qu'il faut savoir à propos de ce document. Dans un premier temps, est-ce que vous pouvez peut-être nous expliquer peut-être la jeunèse de ce livre blanc, ce que vous souhaitez accomplir avec cet ouvrage et également comment le lecteur doit l'aborder ? Merci. Merci Julia. Merci à tous d'être d'être présent pour ce livre qui est important. On l'a fait déjà l'année dernière avec le Forum In Cyber.

C'est une vraiment une association qu'on veut maintenant régulière annuelle entre le forum In Cyber et le Césin. L'année dernière, nous avions parlé du Zot Trust. On a fait un livre blanc sur le Zot Trust. Ben cette année, on fait un livre blanc sur maîtriser nos dépendances numériques. Alors on est arrivé d'une une conviction simple. Si on voulait faire quelque chose de pragmatique et partir du terrain. Et c'est pour ça on n pas fait ce livre blanc dans une tour d'ivoire. Non, on a travaillé avec une ensemble de d'un ensemble de ciseaux. euh d'experts cybersécurité, une douzaine et on a aussi fait un sondage avec l'ensemble des membres du Sésin.

Donc il y a 150 membres du Sésin qui ont répondu et ça permet de pouvoir étayer le livre blanc de chiffres, d'indicateurs qui nous permettent justement de mieux comprendre qu'est-ce que c'est le justement cette dépendance numérique. Ça donne sa solidité. Bonjour à tous. Bon er tu le dis hein, l'idée c'est de partir du terrain. Alors si on parle du terrain, on peut retenir quelque chose de très simple, c'est que la dépendance numérique c'est plus un sujet secondaire. C'est notre thème aujourd'hui, mais ça devient un risque structurant. Alors ce qui est intéressant dans le livre blanc, c'est que en fait il y a une double approche enfin sur deux axes.

Il y a un axe plutôt micro euh autour de tout ce qui est organisation, les RSSI, les fournisseurs la continuité d'activité et la réversibilité. H et puis un axe plus macro en fait là pour la partie souveraineté, compétitivité, liberté publique, capacité d'un état ou d'une société à garder la main et c'est euh Merci merci Emmanuel. C'est c'est vraiment deux parties importantes ça. Aspect micro qui est vraiment pour les RSSI et l'aspect macro plus global stratégique. Et c'est un peu ce qu'on a voulu faire pour ce livre. On n pas voulu faire un manifeste, quelque chose de qui serait qui reste pour caler les tables.

Non, quelque chose vraiment de concret, pragmatique qui peut utiliser pour des ciseaux mais aussi pour des dirigeants d'entreprise voire des politiques. Oui, effectivement, c'est quelque chose de très pédagogique à destination donc des entreprises mais aussi vous le disiez de de décideurs publics. Euh vous proposez vraiment de véritables clés, on le disait, c'est vraiment très concret, des outils opérationnels pour mesurer son degré de dépendance. D'ailleurs, on a entendu plusieurs personnes évoquer ce fameux IRN. et s'en réjouir. Euh, est-ce que vous pouvez nous en dire plus cet indice donc de de résilience numérique ?

Bon, après le l'intervention de tout à l'heure, j'ai du mal à parler d'IRN, mais bon, l'idée c'était très simple, c'est tant qu'on mesure pas, on pilote pas. Donc c'est vraiment ça, c'est que l'indice de résilience numérique, ça permet de rendre visible les dépendances pour qu'elle reste pour qu'elle reste pas diffuse, hein, d'ailleurs et de répondre à des questions très concrètes. Si le fournisseur tombe, en gros, est-ce que je continue à opérer ? C'est c'est un vrai point. Si les conditions changent brutalement, alors notamment contractuel ou autres, ben c'est quoi ma marge de manœuvre ?

Et puis plus globalement, on peut dire "Ben est-ce que j'ai un plan B ?" Tout à fait, tout à fait Emmanuel hein. Ce qui est intéressant avec l'IRN, c'est on va sortir du sujet technique, on va devenir vraiment stratégique. On parle pas de cybersécurité, hein, comme on a pu le dire avec Arnaud Ponce précédemment. On parle dépendance aux fournisseurs, on parle de continuité d'activité, de gouvernance, de conformité, de capacité réelle d'une entreprise. Et donc là vraiment ce qui est important, on passe d'un sujet technique à un enjeu stratégique.

Et donc ça permet d'objectiver le risque, ça on l'a vraiment montré avant, de dialoguer avec lex parce que c'est vraiment un sujet qui est complexe et de pouvoir prioriser les investissements et définir progressivement comment on va challenger cette dépendance numérique et comment on va pouvoir mieux la maîtriser. Du coup, Éric, je te propose de prendre un exemple très simple, hein. [grognement] Je suis une entreprise, j'ai centralisé euh tout chez un même acteur, hein, que ce soit ma messagerie, mon identité, la gestion de mes outils collaboratifs, ma sécurité, mon stockage. Alors, sur le papier, c'est très efficace, hein. J'ai tout au même endroit, j'ai les mêmes compétences.

Par contre, bah si ce fameux acteur subit une panne majeure, ben du coup, ça où changent ces conditions contractuelles ? Ou alors s'il me crée une contrainte juridique, bah là l'impact, il devient global. Et l'IRN, ça permet justement de mesurer ce niveau de concentration qu'on peut avoir et d'identifier où il faut remettre de la diversibilité, de la diversité pardon ou de la réversibilité. Alors, vous évoquez également les les impacts sociétaux. Vous êtes allé plus loin, on va dire dans dans l'exercice. Vous évoquez les les impacts sociétaux découlant de de ces dépendances numériques, qu'ell soi technologique, qu'ell soi normative ou encore réglementaire.

Est-ce que vous pouvez peut-être nous donner quelques exemples concrets ? D'accord. Merci Julia. En fait, l'idée du livre, ce soit très facile à lire et avec des exemples concrets, des angles récents. En fait, le livre, il est truché d'exemples sur ce qui s'est passé entre Polytechnique et Microsoft par exemple avec l'incident qu'il y a eu avec la Poste en fin d'année. Et on voulait aussi parler spécifiquement aujourd'hui de l'incident qu'il a eu en octobre 2025 avec AWS et le 29 octobre avec Azure où en quelques heures, il y a eu des services numériques essentiels qui ont été perturbés. Ça vait perturber des outils professionnels de télécommunication, de transport, de services publics.

Et ce qui ce qui est frappant ici de ces incidents, c'était pas une cyberattaque, c'était pas un sabotage, c'était juste une défaillance technique. Donc on sort vraiment de l'aspect cybersécurité. la dépendance numérique, je peux je peux ça ça va vers justement vers des défaillances techniques et puis euh comme en fait ça repose sur les mêmes briques hein, les effets se propagent très vite donc on a été introduit euh cette notion clé en fait le fameux blast tradus là où on se dit bah finalement une seule défaillance bah impact en cascade tout le monde reposant sur les mêmes fondations.

En fait, on voit que on parle plus de panne local, hein, parce que là, il y a un impact beaucoup plus large et là, on est plutôt sur des événements systémiques et puis du coup, dans les cellules de crise qui vont forcément se réunir là-dessus, en fait, on a la la question bah en gros, c'est quoi le plan B ? Et puis bah là, souvent c'est compliqué de se dire bah le plan Bref. H c'est vrai, ça me fait penser, on a parlé avec Emmanuel en préparant cette réunion, ça fait penser à l'effet papillon en fait hein.

Une un incident quelque part, ben petit incident, un petit code comme Lock Forg qui a été oublié, qui a pas été bien développé en open source, qui a pas été maintenu et ben qui a pour avoir un impact global sur systémique. Et donc c'est ça le blastradus très important et qu'on l'explique en détail de manière didactique dans le dans le livre et parce que derrière on parle des hôpitaux, on parle des administrations, on parle de services essentiels, on parle des citoyens, on parle de notre vie et c'est ça gérer nos dépendances numériques, c'est pouvoir devenir être sur un sujet économique, sociétal, politique et en fait on comprend cette dépendance numérique.

quand elle casse parce que la dépendance numérique est invisible et c'est vraiment ça qu'on voulait expliquer aussi dans le livre. Alors dans un des focus que vous avez fait, vous en avez fait un sur l'IA spécifiquement sur l'impact de l'IA dans dans nos sociétés. Quelles sont les conclusions que vous avez tiré ? On peut pas ne pas parler de l'IA, hein. C'est donc c'est un accélérateur, c'est clair. C'est aussi un amplificateur de dépendance parce qu'on se dit en fait euh alors pourquoi en fait ça va concentrer les aspects et puissance de calcul et les données et les modèles qu'on peut avoir autour. Tout ça sur un nombre assez limité d'acteurs.

Et du coup, on se dit ben on est plus sur des dépendances que techniques. Là, il y a cette notion introduite sur la partie dépendance cognitive et décisionnelle. Hm hm. Et en fait ce qu'on voit, on parle pas uniquement de de cybersécurité, mais le sujet de cyber est important ici parce que l'Atre, c'est aussi une opportunité, on le voit partout. On voit dans le support, on peut utiliser donc justement l'intelligence artificielle. Donc ce qui est support, analyse, détection, détection anticipée justement d'incidents, la production documentaire, faire des politiques de sécurité avec de l'IA, ça devient beaucoup plus simple.

De la l'aide à la décision avec des risques de de cette aide à décision, dans cette automatisation euh et on peut être dépendant d'une chaîne qu'on maîtrise mal. Et donc le risque c'est pas seulement la PAD, c'est cette perte de contrôle, c'est aussi l'opacité du modèle, la hausse des coûts et ça c'est super important et ça peut avoir un impact sur nous sur le coût de la cybersécurité, la difficulté à auditer parce qu'on narrive pas à comprendre justement comment est fait ce code, la perte de savoir-faire et ça on en a parlé également et la dépendance un fournisseur unique parce que souvent on dépend d'une seule type de de de Ion Éric, faut pas avoir une vision défensive on dit pas que.

Enfin, ça je te charie mais en fait ça permet aussi de reprendre la main Lia parce que avec ça on peut cartographier nos dépendances, on peut détecter les risques invisibles, on peut aussi améliorer notre résilience. H en effet et ça c'était un point fort du livre. La vraie question c'est n'est pas est-ce qu'il faut ou pas utiliser l'IA ? dans quelles conditions la gouverner, l'utiliser correctement. Il faut avoir faut pas avoir cet aspect justement maniquin, faut avoir une approche mesurée. C'est ce qu'on présente dans le livre.

La gouvernance de la de la dépendance numérique, c'est justement avoir cette approche mesurée parce qu'une IA bien gouvernée, c'est une une IA qu'on comprend, qu'on encadre, qu'on challenge, c'est important qu'on challenge l'IA et dont on sait mesurer la dépendance. Alors brièvement puisqu'on arrive à la fin de de cet entretien, vous avancez des donc des pistes des solutions très concrètes pour justement aller vers une autonomie numérique choisie hein. C'est ce qu'on a entendu d'ailleurs tout au long des tables rondes. Quelles sont certaines de ces recommandations et où est-ce qu'on peut trouver cet ouvrage ?

Alors cet ouvrage, merci déjà Julia, il est sur le site de Forum In Cyber aussi sur le site de du Césin bien évidemment en libre accès euh numérique. Euh il y a encore quelques exemplaires au lounge du du Sésin pour ceux qui peuvent y aller. Euh et je voudrais parler de quatre recommandations très rapides. La première c'est de voir clairement ces dépendances. Dans beaucoup d'organisations, elles existent mais elles sont pas tout le temps nommé. Euh et donc faut pouvoir et on a parlé des dépendances invisibles en fait hein. Donc ça dépend d'un fournisseur, d'une techno, d'un cloud, d'un outil mais pas tant que ça. On faut se poser la question, identifier ce qui est critique.

Et puis la seconde partie, Emmanuel, qu'est-ce que c'est pour toi ? Alors la deuxième qu'on a retenu en fait pour être très concret, c'est si un service s'arrête demain, qu'est-ce qu'on fait ? Donc là, on a des questions. Est-ce que j'ai une solution de secours ? J'ai un mode dégradé, je suis totalement bloqué ? Enfin bref, ça permet de donner du relief en fait par rapport à la dépendance qu'on peut avoir. H et de fait euh le rôle d'un d'un directeur cybersécurité d'un ciseau, il reste un peu le même parce qu'on a fait de l'analyse de risque, on a l'habitude d'en faire là, c'est de l'analyse de risque sur une approche au différente.

Donc ici, il faut en plus que il faut vraiment mesurer, faut pas seulement constater, l'IRN ça peut être un outil qui permet de pouvoir mesurer. Il faut être capable de dire voilà où sont nos fragilités, voilà ce qui est prioritaire, voilà ce qu'il faut traiter en premier. En fait, faut être concret Manuel. Ouais, faut être concret comme toujours pragmatique. Bon, on va pas tout changer non plus du jour au lendemain. On s'en doute l'indépendance, l'idée c'est pas d'avoir une indépendance totale, mais c'est bien de garder des marges de manœuvre et de maîtriser en fait nos dépendances. On va peut-être résumer euh nos recommandations en quatre parties.

On va finaliser comme ça si vous voulez bien. Euh un c'est identifier ses dépendances 2 mesurer. 3 préparer des alternatives et gouverner le sujet dans la durée. Vous trouvez tout ça dans le livre. Voilà. Maîtriser nos dépendances numériques. Peut-être un dernier message. Non mais en gros Éric c'est capable de de choisir et pas subir. C'est ça l'idée. Et bien nous allons finir donc sur ça. Merci beaucoup. Donc encore une fois, vous pouvez le retrouver sur le site internet du forum Incyber et sur le site du Sésin. Alors, n'hésitez surtout pas. Un ouvrage précieux. Merci beaucoup messieurs. Merci à vous. On peut vous applaudir chaleureusement. Merci. Merci. [applaudissements] Je vous en prie.

Merci Julien. Merci à tous. Merci à tous nos interlocuteurs aujourd'hui ici sur scène. Merci à vous pour votre attention. Un public très fidèle en cette fin d'après-midi de 2è journée. Absolum. On se retrouve donc demain à 9h pour parler de la protection du cyberespace et on vous souhaite également une excellente soirée et un excellent gala. Merci beaucoup et très bonne soirée à tous. Excellente soirée à tous. Merci beaucoup. Thank you for your attention. Bye bye.

[musique] [musique] [musique] [musique] [musique] [musique] [musique]

C'est Ah. Je

[musique] [musique] [musique]

Non mais pour Ah oui, ah oui mais c'est vrai qu'on C'est vrai que deh demain il y a pas besoin un panel Je peux rallumer la salle complètement rallumer la plateau. la salle escaliers tout