Depuis le 29 janvier 2026, date de présentation de la stratégie nationale de cybersécurité 2026-2030 au Campus Cyber de Nouvelle-Aquitaine à Bordeaux, le débat français sur la souveraineté numérique a changé de nature. Le sujet ne se limite plus à l’adresse du datacenter. Ce qui compte désormais, c’est la capacité à démontrer, preuves techniques à l’appui, la maîtrise réelle d’une chaîne logicielle.

La souveraineté ne se résume plus à la carte des données

Pendant plusieurs années, la lecture dominante a été simple : une solution était dite souveraine si les données étaient hébergées en France ou, plus largement, en Europe, avec une attention particulière portée à la juridiction applicable. Cette approche a eu une vertu politique et opérationnelle. Elle a donné des repères aux acheteurs publics, aux DSI et aux RSSI.

Mais cette grille apparaît désormais incomplète. Localiser des données ne suffit pas à éliminer une dépendance technologique. Une organisation peut stocker ses informations dans un environnement européen tout en restant exposée à des briques logicielles, à des mécanismes de maintenance ou à des chaînes de dépendances qu’elle ne maîtrise pas réellement.

Le basculement en cours est donc important pour les entreprises. La souveraineté n’est plus seulement une affaire d’implantation géographique ou de droit applicable. Elle devient un sujet de gouvernance technique, de sécurité vérifiable et de continuité d’exploitation. Pour les acteurs économiques français, ce déplacement du débat change les critères d’achat, d’audit et d’arbitrage budgétaire.

Ce qui change pour les directions générales

La question n’est plus seulement « où sont mes données ? », mais aussi « puis-je auditer le code, comprendre la chaîne d’approvisionnement logicielle, documenter la maintenance et prouver la résistance de mes applications ? ». Ce glissement a des conséquences directes sur les appels d’offres, les clauses contractuelles et les politiques de gestion du risque numérique.

ANSSI : l’open source n’est pas, à lui seul, un certificat de souveraineté

La clarification portée par l’ANSSI est nette. Une solution ne devient pas souveraine par simple affichage, ni parce qu’elle revendique une filiation open source. L’agence insiste sur des critères plus exigeants : vérifiabilité du code, maîtrise des licences, sécurisation de la chaîne logicielle et capacité à maintenir la solution dans le temps.

Ce point mérite l’attention du monde de l’entreprise. Depuis plusieurs années, certains éditeurs mettent en avant l’ouverture du code comme un argument de souveraineté. L’idée séduit facilement : si le code est accessible, le risque serait mécaniquement réduit. Or l’ANSSI rappelle qu’un code ouvert n’a de valeur souveraine que s’il peut être effectivement audité, intégré dans une gouvernance robuste et soutenu par une maintenance pérenne.

En février 2026, l’agence a actualisé sa politique open source. Cette évolution formalise un engagement en faveur de la publication de logiciels sous licences libres approuvées par le droit français, des contributions à des projets externes et du renforcement de l’écosystème. La doctrine s’inscrit dans une logique « open-by-default » et « secure-by-design », avec une réserve claire sur la protection des artefacts sensibles.

Pour les entreprises, cette position a une portée très concrète. Elle signifie qu’un achat technologique ne peut plus être justifié par un simple discours marketing sur l’ouverture. Il faut regarder la documentation, les dépendances, la maintenance, les processus de correctifs, la répartition des responsabilités et la capacité d’audit.

La vérifiabilité ne relève pas seulement de la cybersécurité. Elle touche aussi à la gestion de la responsabilité. Une organisation qui peut documenter ses choix techniques, ses audits, ses licences et sa chaîne de maintenance se place dans une position plus solide en cas de contrôle, de contentieux contractuel ou d’incident majeur. À l’inverse, une architecture opaque fragilise la démonstration de diligence.

La stratégie nationale du 29 janvier 2026 place la résilience au centre

La stratégie nationale de cybersécurité 2026-2030 a été dévoilée le 29 janvier 2026 par Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, au Campus Cyber de Nouvelle-Aquitaine à Bordeaux, en présence du directeur général de l’ANSSI. Commandée par le Président de la République et élaborée sous l’égide du Secrétariat général de la défense et de la sécurité nationale, elle prolonge la Revue nationale stratégique.

La ligne affichée est ambitieuse : faire de la France une « Nation cyber de premier rang ». Le texte place le développement des compétences au cœur de l’action publique, avec l’objectif de constituer le plus grand vivier de talents cyber d’Europe.

Cette orientation n’est pas seulement institutionnelle. Elle intéresse directement les entreprises, confrontées à une rareté persistante des profils en cybersécurité, en architecture et en gouvernance des risques numériques.

La stratégie repose sur cinq piliers structurants et quatorze objectifs opérationnels. Parmi eux figurent le renforcement de la résilience cyber de la Nation et la préparation aux crises dues aux cyberattaques.

Pour les décideurs économiques, le message est clair : la cybersécurité n’est plus un sujet de conformité annexe. Elle conditionne la continuité d’activité, la réputation, l’exécution des contrats et, dans certains secteurs, la capacité même à produire.

Cette doctrine nationale a également une conséquence financière. Lorsqu’un référentiel public fait monter l’exigence de preuve, les budgets se déplacent.

Les dépenses ne concernent plus seulement les infrastructures sécurisées, mais aussi la cartographie applicative, la sécurisation des dépendances logicielles, l’outillage d’audit et la traçabilité des mises à jour. Le coût de la preuve technique entre dans le calcul économique de la souveraineté.

Ce que dit la stratégie 2026-2030 aux entreprises

  1. La menace cyber est structurelle et non ponctuelle.
  2. La résilience doit être pensée sur la durée, pas en réaction à un seul incident.
  3. Les compétences deviennent un facteur de souveraineté au même titre que les outils.
  4. La préparation aux crises cyber entre dans la gouvernance normale des organisations.

De l’infrastructure à l’application : la souveraineté se juge désormais couche par couche

L’autre inflexion majeure est technique. L’exigence de souveraineté ne s’arrête pas au cloud, au réseau ou à l’hébergement. Elle descend jusqu’à la couche applicative, c’est-à-dire l’endroit où passent les données les plus sensibles et où se concentrent une large part des incidents.

Ce point est essentiel pour les directions métiers. Une architecture présentée comme souveraine perd une partie de sa valeur si les applications qu’elle héberge restent exposées, mal cartographiées ou difficilement auditables. Autrement dit, la sécurité de l’infrastructure ne compense pas l’opacité applicative.

Pour les organisations privées comme publiques, cela modifie la hiérarchie des priorités. Longtemps, l’effort s’est porté sur la protection périmétrique ou sur la relocalisation de certaines briques critiques. La doctrine qui se dessine impose un travail plus fin : connaître les composants, documenter les dépendances, tracer les correctifs, démontrer la capacité de contrôle.

Cette évolution explique aussi pourquoi le débat sur la souveraineté devient moins déclaratif. Une entreprise peut affirmer qu’elle maîtrise sa chaîne numérique.

Elle devra de plus en plus le prouver, couche après couche, avec des éléments objectivables. C’est un changement important pour les comités d’audit, les directions juridiques et les fonctions achat, car la sélection d’un fournisseur ne peut plus reposer uniquement sur une promesse de localisation ou sur une terminologie rassurante.

La chaîne logicielle recouvre notamment le code source, les composants tiers, les licences, les dépendances, les outils de compilation, les procédures de mise à jour, les correctifs de sécurité et les modalités de maintenance. Dans une logique de souveraineté vérifiable, l’enjeu n’est pas seulement de disposer de ces briques, mais de pouvoir en attester l’intégrité et la gouvernance.

Achats, conformité et risque : un nouveau filtre pour sélectionner les solutions numériques

Pour le monde de l’entreprise, l’enjeu n’est pas théorique. La vérifiabilité s’impose progressivement comme un critère de sélection au même niveau que la performance, l’interopérabilité ou le coût total de possession. Cela rebat les cartes dans les consultations privées comme dans les marchés publics.

Première conséquence : les appels d’offres devront être plus précis sur les attentes de preuve. Les formulations générales sur la souveraineté ou sur l’ouverture du code risquent de perdre de leur portée si elles ne sont pas accompagnées d’exigences tangibles sur l’auditabilité, les licences, les dépendances et les mécanismes de maintenance.

Deuxième conséquence : la fonction juridique prend davantage de poids. Les contrats devront mieux traiter les engagements de maintenance, les accès à la documentation, la transparence sur les composants et la capacité de remédiation. Sur ce terrain, la souveraineté rejoint la maîtrise contractuelle du risque fournisseur.

Troisième conséquence : la gouvernance financière change elle aussi. L’investissement dans la cybersécurité ne se limite plus à l’achat d’un environnement conforme à une attente politique. Il faut financer une capacité continue de vérification. Ce point intéresse directement les directions financières, car il transforme une dépense ponctuelle en exigence récurrente de contrôle.

Dans cette logique, les acteurs capables de fournir des preuves techniques crédibles prennent un avantage. Les autres restent exposés à une remise en cause de leur promesse souveraine, notamment lorsque survient un incident. La différence entre discours commercial et démonstration technique devient un facteur concurrentiel.

Repères de marché : des infrastructures aux grands opérateurs numériques

Le débat sur la souveraineté se déroule aussi dans un marché où coexistent grands opérateurs télécoms, plateformes d’infrastructure et prestataires spécialisés. Les comptes publiés au greffe donnent un ordre de grandeur utile pour mesurer le poids économique de certains acteurs présents dans l’écosystème numérique (Source : Infonet, comptes publiés au greffe).

Ces données ne disent pas, à elles seules, le niveau de souveraineté d’une solution. En revanche, elles rappellent un point souvent négligé : la capacité à maintenir, auditer et faire évoluer des environnements techniques repose aussi sur des moyens industriels et financiers. La soutenabilité de la maintenance n’est pas un détail ; elle participe de la robustesse attendue sur le long terme.

Données clés

Indicateur Valeur Exercice
Chiffre d'affaires 7,82 Mds€ 2024
Résultat net 280 M€ 2024
EBITDA 810 M€ 2024

Positionnement marché

  • BOUYGUES TELECOM 7,82 Mds€ (2024)
  • CREDIT AGRICOLE-GROUP INFRASTRUCTURE PLATFORM 1,19 Mds€ (2024)
  • ALLIANCE AUTOMOTIVE TRADING GROUP 954,7 M€ (2024)
  • A2I DARTY OUEST 650,8 M€ (2017)
  • BNP PARIBAS 3 STEP IT 551,9 M€ (2025)

Source : Infonet — données issues des comptes publiés au greffe (exercice 2024).

BOUYGUES TELECOM : masse critique et continuité opérationnelle

Avec un chiffre d'affaires de 7,82 Mds€ en 2024, un résultat net de 280 M€ et un EBITDA de 810 M€, BOUYGUES TELECOM apparaît dans ce jeu de données comme l’acteur au volume le plus élevé. Pour les entreprises clientes, ce type de surface financière peut compter lorsqu’il s’agit d’évaluer la continuité de service, les moyens de maintenance et la capacité à absorber des exigences de conformité élevées. Ces chiffres n’autorisent toutefois aucune conclusion automatique sur la souveraineté elle-même, qui reste une question de preuve technique et de gouvernance.

CREDIT AGRICOLE-GROUP INFRASTRUCTURE PLATFORM : l’infrastructure comme actif stratégique

Le niveau de 1,19 Mds€ de chiffre d'affaires en 2024 place CREDIT AGRICOLE-GROUP INFRASTRUCTURE PLATFORM parmi les acteurs significatifs du positionnement marché présenté ici. Pour les grands groupes, l’infrastructure n’est plus seulement un support informatique. Elle devient un actif stratégique dont la gouvernance, la sécurité et l’auditabilité influencent directement le risque opérationnel.

Ce que les chiffres de marché ne disent pas

Un volume de chiffre d'affaires élevé ne vaut ni label de souveraineté, ni garantie d’auditabilité. Les comptes donnent une indication sur le poids économique et la capacité potentielle d’investissement. La doctrine publique, elle, exige autre chose : des preuves sur le code, la chaîne d’approvisionnement logicielle, les licences et la maintenance.

Le vrai test commencera au moment de l’audit et de l’incident

Le tournant français en matière de souveraineté numérique est donc moins sémantique que probatoire. Une architecture sera jugée sur ce qu’elle permet de vérifier, pas seulement sur ce qu’elle promet. Pour les organisations, la question n’est plus de revendiquer une maîtrise, mais d’être en mesure de l’établir avec constance.

La souveraineté numérique entre dans une phase plus exigeante : celle où la crédibilité technique devient la première preuve de solidité.