03/08/2026
Cybersecurity Insights
L’Europe peut-elle réglementer sa voie vers la souveraineté numérique ?
Depuis 2022, l’Union européenne a profondément modifié sa posture dans le cyberespace. En attendant de pouvoir rivaliser industriellement avec Washington et Pékin, Bruxelles transforme elle aussi la régulation en instrument géopolitique. Longtemps perçue comme une puissance normative avant tout préoccupée par la protection des données et la concurrence, l’UE adopte désormais une approche plus offensive et stratégique, dans un contexte géopolitique marqué par la guerre en Ukraine et la menace russe, la montée des tensions sino-américaines, l’explosion des cybermenaces et la dépendance critique de l’Europe aux technologies étrangères. Pour les institutions européennes, la cybersécurité est désormais perçue comme un sujet de sécurité nationale et non plus de conformité IT.
Cette évolution marque un changement doctrinal majeur : la cybersécurité, la maîtrise des données et la résilience numérique ne sont plus seulement des sujets techniques ou économiques, mais des enjeux de souveraineté, de puissance et de résilience stratégique. Face à des investissements massifs des États-Unis et de la Chine dans l’intelligence artificielle, le cloud, les semi-conducteurs ou les infrastructures critiques, Bruxelles mise sur un levier actionnable à court terme qu’elle maîtrise historiquement mieux que ses concurrents : la régulation.
L’objectif est clair : compenser le retard industriel européen par une capacité à imposer des normes structurantes à l’échelle mondiale, tout en réduisant progressivement les dépendances stratégiques aux acteurs américains et chinois.
Une Europe qui fait de la régulation un outil géopolitique
Le précédent du RGPD avait déjà démontré la capacité européenne à exporter ses standards au-delà de ses frontières. Depuis 2022, cette logique s’est considérablement accélérée avec une multiplication de textes visant à encadrer l’espace numérique, sécuriser les infrastructures critiques et limiter les risques systémiques liés aux grandes plateformes technologiques.
Cette stratégie s’inscrit dans un contexte de dégradation sécuritaire durable. Les cyberattaques contre les administrations, hôpitaux, opérateurs d’importance vitale ou chaînes logistiques se multiplient, tandis que les menaces hybrides — mêlant désinformation, sabotage numérique et pression économique — deviennent centrales dans les rapports de force internationaux.
Cette nouvelle posture s’est encore renforcée avec la proposition, en janvier 2026, d’un nouveau paquet réglementaire baptisé « Omnibus digital », destiné à améliorer la résilience des services essentiels et des institutions démocratiques face aux cyberattaques et aux opérations hybrides. Le texte prévoit notamment un durcissement des exigences de sécurité pour les infrastructures critiques et l’exclusion explicite des fournisseurs considérés comme « à haut risque » issus de pays tiers.
En pratique, cette orientation cible principalement les équipementiers chinois comme Huawei ou ZTE, dans la continuité de la boîte à outils européenne sur la cybersécurité de la 5G. L’Union européenne assume désormais une logique de réduction des dépendances technologiques jugées critiques pour sa sécurité collective.
Une relation ambivalente avec les États-Unis
Si la position européenne vis-à-vis de la Chine apparaît de plus en plus ferme, la relation avec les États-Unis reste plus complexe.
L’Europe demeure profondément dépendante des acteurs américains dans des secteurs stratégiques : hyperscalers cloud, intelligence artificielle, systèmes d’exploitation, cybersécurité, semi-conducteurs ou plateformes numériques. Les géants technologiques américains occupent aujourd’hui une place structurante dans l’économie numérique européenne.
Cette dépendance nourrit des inquiétudes croissantes au sein des institutions européennes et des directions cybersécurité des grandes entreprises. Le risque de ce que certains appellent un « kill switch » — la capacité d’un fournisseur ou des autorités américaines à suspendre unilatéralement l’accès à un service critique — n’est plus, depuis le 12 juin 2026, une hypothèse théorique. Ce jour-là, à 17h21 heure de la côte Est, le département américain du Commerce adressait à Anthropic une directive de contrôle à l’export ordonnant la suspension immédiate de ses deux modèles les plus avancés — Claude Fable 5 et Mythos 5 — pour l’ensemble des ressortissants étrangers, qu’ils se trouvent aux États-Unis ou à l’étranger, y compris les propres salariés étrangers de l’entreprise. Trois jours après son lancement, le modèle le plus avancé jamais ouvert au public par Anthropic venait d’être éteint sur ordre du gouvernement américain, au nom de la sécurité nationale.
La suite est vertigineuse. Incapable de distinguer techniquement ses utilisateurs selon leur nationalité, Anthropic n’a eu d’autre choix que d’éteindre les deux modèles pour l’ensemble de sa base mondiale — le tout à peine soixante-douze heures après leur mise en ligne. La désactivation s’est propagée mécaniquement sur l’ensemble des plateformes partenaires : Amazon Bedrock, Google Vertex AI, Microsoft Foundry. Des dizaines de milliers d’entreprises européennes, dont beaucoup avaient intégré ces modèles dans des processus critiques, se sont retrouvées privées d’outils sans préavis, sans délai de transition, sans recours.
La coupure d’Anthropic n’a pas créé le problème : elle l’a rendu visible. Des pans entiers de l’activité économique européenne reposaient sur ces modèles, intégrés à la hâte dans des processus critiques, sans filet de sécurité ni alternative identifiée. Le rapport « Vers un barreau souverain », présenté au Conseil de l’Ordre des avocats de Paris en mai 2026, soit moins d’un mois avant la décision, avait précisément identifié ce risque : « les autorités nationales françaises compétentes en matière de cybersécurité ont souligné que l’hypothèse d’une restriction ou d’une suspension d’accès à certaines technologies, parfois désignée sous le terme de kill switch, ne relève pas d’une hypothèse théorique. » La prophétie venait de s’accomplir.
Pour les décideurs européens, la leçon est double : la dépendance à des fournisseurs extra-européens soumis à des logiques politiques et juridiques étrangères constitue un risque systémique réel, non un fantasme d’expert. Et ce risque peut se matérialiser à tout moment, pour des raisons extérieures à la relation commerciale elle-même. Plusieurs États membres avaient d’ailleurs déjà initié des démarches de « derisking » vis-à-vis des technologies extra-européennes dans leurs administrations, dont la France et l’Allemagne. L’affaire Fable 5 a transformé ces précautions en urgences stratégiques.
La relation avec Washington reste néanmoins plus nuancée qu’avec Pékin. L’Union ne peut pas, à court terme, se passer des technologies américaines. Le CLOUD Act cristallise particulièrement les tensions : cette législation américaine permet, sous certaines conditions, aux autorités des États-Unis d’exiger l’accès à des données détenues par des fournisseurs américains, indépendamment de la localisation physique des serveurs. Le Digital Markets Act (DMA) et le Digital Services Act (DSA) illustrent la stratégie d’encadrement retenue : empêcher que les infrastructures informationnelles européennes ne soient entièrement contrôlées par des acteurs non européens, sans pour autant rompre les relations commerciales.
NIS2 et le passage d'une cybersécurité déclarative à une cybersécurité démontrable
La directive NIS2 (et ses Lex Specialis comme DORA) constitue probablement le texte le plus structurant pour les acteurs cybersécurité et GRC (Gouvernance (Cyber), Risques et Conformité). Avec NIS2, l’Union européenne change radicalement de paradigme : la cybersécurité ne relève plus uniquement des équipes techniques — elle devient un sujet de gouvernance et de responsabilité exécutive.
Le texte étend considérablement le nombre d’organisations concernées, couvrant désormais des secteurs essentiels et importants : énergie, santé, transports, finance, industrie, numérique, eau, spatial ou encore administrations publiques. Surtout, NIS2 impose une logique de preuve. Les entreprises doivent démontrer concrètement leurs mesures de sécurité à travers des audits, des dispositifs de contrôle, des mécanismes de gestion des incidents et une gouvernance documentée des risques cyber.
Pour les équipes GRC, ce changement est fondamental. La conformité cyber ne peut plus être gérée comme un exercice documentaire : elle nécessite une capacité opérationnelle continue, mesurable, auditée. Cela implique concrètement :
- une explosion des obligations de preuve ;
- une révision de la contractualisation avec les fournisseurs — notamment les prestataires cloud et IA ;
- une gouvernance des tiers renforcée et une pression accrue sur les boards.
L’affaire Fable 5 illustre parfaitement cette logique : les entreprises qui avaient intégré ces modèles sans plan de continuité ni alternative identifiée se retrouvent en situation de défaillance opérationnelle imputable à une décision géopolitique extérieure. NIS2 exige précisément que ce type de scénario soit anticipé, documenté et adressé.
La transposition encore incomplète de NIS2 dans certains États membres crée toutefois des incertitudes opérationnelles pour les entreprises multinationales, confrontées à des rythmes et des interprétations nationales différents.
Le Cyber Resilience Act : sécuriser les produits numériques dès leur conception
Le Cyber Resilience Act (CRA) marque une autre évolution majeure : l’extension des exigences cyber aux produits numériques eux-mêmes. Le règlement fait suite aux incidents liés aux vulnérabilités critiques type Log4Shell et SolarWinds, et à la difficulté de sécuriser les composants logiciels tiers, l’OT et les IoT. Il impose aux fabricants de produits comportant des éléments numériques de respecter des exigences de cybersécurité tout au long du cycle de vie. Les vulnérabilités activement exploitées ainsi que les incidents graves devront être notifiés sur une plateforme européenne unique à partir de septembre 2026.
Le CRA introduit une logique de « security by design » à l’échelle du marché européen. Les fabricants devront démontrer : une gestion sécurisée des vulnérabilités, des mécanismes de mise à jour, une documentation de sécurité et des capacités de réponse aux incidents.
Pour les équipes GRC, cette évolution a un impact significatif sur les chaînes de fournisseurs et sur les relations contractuelles entre industriels, éditeurs et sous-traitants. Démontrer la conformité CRA d’un composant tiers intégré dans un produit critique — et a fortiori d’un composant IA dont la disponibilité peut être suspendue par décision d’État — devient un exercice à part entière de la gestion des risques fournisseurs.
Par ailleurs, les expériences acquises dans l’IT autour de la gestion des incidents et des vulnérabilités seront précieuses aux équipes produits.
L'IA Act : première tentative mondiale d'encadrement de l'IA
Avec l’IA Act, l’Union européenne ambitionne de devenir la première puissance à encadrer de manière exhaustive les usages de l’intelligence artificielle. Le règlement adopte une approche fondée sur les risques, avec des obligations graduées selon le niveau de criticité des systèmes d’IA. Les systèmes dits « à haut risque » devront respecter des exigences strictes de gouvernance, de documentation, de qualité des données et de supervision humaine.
L’IA Act poursuit plusieurs objectifs : prévenir les usages incompatibles avec les valeurs européennes, renforcer la confiance dans l’IA, limiter les risques systémiques et favoriser l’émergence d’un marché européen de l’IA de confiance. Pour les équipes GRC, il introduit une nouvelle dimension : évaluer la conformité des systèmes d’IA intégrés dans les processus métier, y compris ceux fournis par des tiers extra-européens dont la disponibilité, comme l’illustre le cas Fable 5, ne peut être garantie contractuellement.
Le défi pour l’Europe sera d’éviter que cet encadrement nécessaire ne devienne un désavantage compétitif vis-à-vis d’acteurs américains ou chinois soumis à des contraintes moindres — sans pour autant renoncer aux protections que ces textes instituent.
Le risque de fragmentation réglementaire
Le principal paradoxe européen réside peut-être ici : la régulation est devenue son principal levier stratégique, mais cette multiplication normative comporte aussi des risques. Les entreprises européennes font désormais face à une superposition de textes — NIS2, DORA, CRA, AI Act, DSA, DMA, Data Act, CER — tous convergeant vers le même objectif : déplacer la cybersécurité du périmètre technique vers celui de la responsabilité stratégique.
Cette densification réglementaire entraîne une complexité croissante pour les directions cybersécurité, conformité et juridique. Le risque est double : une fragmentation des interprétations nationales, et une surcharge de conformité pesant particulièrement sur les ETI et PME. La révision du Cybersecurity Act proposée dans le cadre de l’Omnibus digital vise justement à simplifier certains mécanismes tout en renforçant les schémas de certification européens. Mais l’équilibre reste délicat : protéger le marché européen sans créer une bureaucratie qui freinerait l’innovation.
Vers une souveraineté en deux temps : les armes du présent et celles du futur
Pendant longtemps, le reproche adressé à la stratégie numérique européenne était légitime : l’Europe régulait ce qu’elle ne produisait pas. Elle imposait des normes à des technologies dont elle dépendait. Cette tension demeure — mais elle est en train de se résorber, par une combinaison inédite d’instruments à court et à long terme.
À court terme, le corpus réglementaire déjà en vigueur ou en cours de déploiement constitue une première ligne de défense réelle. NIS2 oblige les organisations à documenter leurs dépendances critiques et à démontrer leur résilience — ce qui inclut désormais explicitement les dépendances aux fournisseurs d’IA extra-européens. Le CRA impose la sécurité dès la conception des produits numériques et introduit une obligation de continuité sur le cycle de vie. DORA, pour le secteur financier, exige une évaluation et une contractualisation rigoureuses des risques tiers, y compris les risques de concentration. L’Omnibus digital, en durcissant les exigences sur les infrastructures critiques et en excluant les fournisseurs à haut risque, traduit en obligations formelles ce que l’affaire Fable 5 a rendu évident : une dépendance technologique non maîtrisée est un risque systémique, pas un risque résiduel.
Pour les équipes GRC, ces textes ne sont pas seulement des contraintes : ils deviennent des leviers. Exiger contractuellement des garanties de continuité de service, démontrer à sa direction la réalité du risque géopolitique fournisseur, piloter activement la diversification technologique — voilà des missions que la régulation européenne légitime et outille désormais explicitement.
À long terme, c’est le Paquet pour la souveraineté technologique européenne présenté par la Commission le 3 juin 2026 qui change réellement l’équation. Ce paquet comprend deux propositions législatives majeures — le Chips Act 2.0 et le Cloud and AI Development Act (CADA) — ainsi qu’une Stratégie pour l’open source et une feuille de route pour la digitalisation de l’énergie. Pour la première fois, l’Union européenne ne se contente plus d’encadrer les technologies d’autrui : elle se dote des instruments pour produire les siennes.
Le Chips Act 2.0 vise à renforcer l’industrie européenne des semi-conducteurs et à réduire les dépendances stratégiques — les mêmes puces qui alimentent les modèles d’IA dont la suspension brutale a mis en lumière notre vulnérabilité. Le CADA, de son côté, vise à tripler au minimum la capacité européenne en centres de données dans les cinq à sept prochaines années, à simplifier les procédures d’autorisation, et à établir un cadre de souveraineté cloud et IA à l’échelle de l’Union — ce qui inclut une définition commune de la souveraineté et un dispositif d’achats publics coordonnés. L’objectif déclaré est de permettre à l’Europe de développer, déployer et sécuriser les technologies dont ses citoyens, entreprises et administrations dépendent, en réduisant les dépendances structurelles qui ont rendu possible un épisode comme celui du 12 juin.
Comme l’a formulé la présidente von der Leyen au moment de présenter ce paquet : « Nous ne pouvons pas nous permettre de dépendre d’autres pour les technologies qui font fonctionner nos hôpitaux, stabilisent nos réseaux électriques et sécurisent nos services. » Ce n’est plus un vœu programmatique : c’est un constat tiré des faits.
La souveraineté numérique européenne n’est donc plus un projet uniquement normatif. Elle est en train de devenir une architecture à deux niveaux : des règles qui imposent dès aujourd’hui la maîtrise des dépendances, et des capacités industrielles qui, demain, permettront de les réduire à la source. La compliance GRC est au cœur de ce dispositif — non comme un exercice documentaire, mais comme un instrument de résilience stratégique.
Jules MEUNIER
Consultant GRC
François EHLY
Senior Manager GRC
