72% de la défense cybercriminalité vient de l’étranger

Environ 72 pour cent des solutions de cybersécurité dans les entreprises allemandes proviennent, selon des études, de fournisseurs étrangers. Précisément la discipline qui est censée protéger la souveraineté numérique est elle-même fortement dépendante des importations. Pour les CISOs, ce n’est pas un sujet politique, mais une question de risque dans leur propre pile.

En relation :Détection-ingénierie sans verrouillage de fournisseur : pile Wazuh 2026  /  Où les PME sont encore à la traîne techniquement avec NIS2

À quel point la pile de sécurité allemande est réellement dépendante

Qu’est-ce que la souveraineté numérique dans la sécurité informatique ? La souveraineté numérique désigne la capacité à contrôler sa propre technique de manière autonome : sans contrôle externe non contrôlé et sans fuite de données non souhaitée. Dans le contexte de la sécurité, cela signifie maintenir la logique de détection, les clés et les données de protocole sous sa propre autorité, au lieu de les laisser entièrement à des fournisseurs étrangers.

Les chiffres sont inconfortables. Ils proviennent de plusieurs enquêtes, pas d’une seule source. Les études sectorielles mentionnent de manière concordante une part d’environ 72 pour cent de fournisseurs étrangers dans les solutions de cybersécurité utilisées par les entreprises allemandes. La dépendance à la technologie américaine en général, y compris les systèmes d’exploitation, le cloud et les chaînes d’approvisionnement, est indiquée dans la même situation d’étude avec des valeurs autour de 87 pour cent.

Ces pourcentages sont à lire comme un ordre de grandeur, pas comme une statistique officielle. La tendance est cependant claire. Pour une équipe de sécurité, elle est particulièrement délicate. Qui fonde presque entièrement sa défense sur des outils dont le fabricant, la chaîne de mise à jour et le cadre juridique se situent hors de sa propre juridiction, a un risque concentré dans exactement la fonction qui est censée réduire les risques.

Personne ne conclura de cela qu’il faut remplacer tous les produits étrangers. Cela ne serait ni faisable ni judicieux. La bonne question est autre : à quels endroits dans la pile la dépendance est-elle un véritable risque gérable ? Et à quels endroits est-elle acceptable ?

Ce que signifie concrètement le facteur américain

La dépendance à l’égard de fournisseurs américains n’est pas en soi un problème de qualité. Les produits américains offrent souvent un niveau de sécurité technique élevé. Le risque est juridique et politique. Le Cloud Act américain permet aux autorités américaines, sous certaines conditions, d’accéder aux données traitées par un fournisseur américain, même si elles sont physiquement situées en Europe. Ce risque résiduel peut être atténué contractuellement, mais pas complètement éliminé.

Une nouvelle variable s’ajoute à cela. Le BSI a souligné dans son rapport de situation que les développements politiques aux États-Unis peuvent affaiblir la cybersécurité en Europe. Les réductions budgétaires des agences de sécurité américaines en 2025 en sont un exemple : elles concernent des structures dont les défenseurs européens ont indirectement profité. Celui qui fonde sa défense sur un écosystème dont l’infrastructure étatique est en train de se réduire devrait au moins en tenir compte dans l’évaluation des risques.

Le catalogue C3A : l’Allemagne définit ses propres règles

L’étape la plus concrète est de nature réglementaire. Fin avril 2026, le BSI a publié le catalogue de critères C3A, un ensemble de règles techniques qui définissent des normes pour une utilisation souveraine du cloud. Au lieu de formuler une exigence politique, le catalogue décrit des propriétés techniques vérifiables.

La stratégie sous-jacente du BSI est pragmatique. Elle ne demande pas d’exclure les produits non européens. Elle exige de les intégrer techniquement de manière à exclure techniquement une commande non contrôlée depuis l’extérieur de l’UE et un flux de données non souhaité. C’est une approche différente d’une interdiction pure et simple basée sur l’origine. Pour les CISOs, c’est l’approche la plus pratique. La souveraineté devient ainsi une propriété d’architecture que l’on peut mesurer, et non une question de siège social.

Pour la planification interne, cela signifie que le catalogue C3A fournit un vocabulaire et une liste de contrôle. Même ceux qui ne fournissent pas de services à des administrations publiques peuvent utiliser les critères comme grille d’évaluation pour leur prochain achat.

Où la souveraineté est réaliste dans la pile de sécurité

Une évaluation honnête distingue les niveaux. Dans certains domaines, une réduction de la dépendance est réalisable aujourd’hui, dans d’autres, elle reste théorique pendant des années.

Évaluation par niveau de pile, pas d’évaluation de fournisseur.

Le schéma est clair. Plus un composant est proche de la plate-forme et du système d’exploitation, plus la marge de manœuvre est faible. Plus il est proche de l’analyse, des règles et des processus, plus elle est grande. C’est précisément pourquoi le centre d’opérations de sécurité est le point de départ le plus judicieux. Une pile de détection issue de composants ouverts est aujourd’hui suffisamment robuste pour une exploitation productive. Elle déplace le contrôle de la logique de détection et des données vers la propre maison.

Ce que les CISOs devraient évaluer maintenant

Trois étapes pragmatiques peuvent être déduites de la situation, sans geste politique.

Premièrement, l’origine des fournisseurs doit être prise en compte dans l’évaluation des risques, non pas comme un critère d’exclusion, mais comme un facteur documenté avec sa propre évaluation. Deuxièmement, il est utile d’examiner sérieusement les options ouvertes et européennes lors du prochain projet de détection ou de SOC, car c’est là que la marge de manœuvre est la plus grande. Troisièmement, le catalogue C3A du BSI devrait être intégré dans le processus d’achat comme une grille d’évaluation, même sans commande officielle.

La souveraineté en matière de sécurité n’est pas un état que les entreprises proclament. Elle se construit couche par couche, là où une dépendance peut être résolue sans grand dommage. Reboot Germany signifie exactement cela dans le domaine de la sécurité : non pas une rupture majeure, mais un transfert ordonné du contrôle, aux endroits où cela est réalisable.

Foire aux questions

Chaque question est verrouillée. Un clic déverrouille la réponse.