Saint-Malo : ces dépendances que nous ne voyons plus. Pierre Saillard

Le 18 septembre, à Saint-Malo, à l’initiative de Bertrand Leblanc-Barbedienne, Souveraine Tech réunissait près de 200 décideurs, militaires, industriels, responsables publics, entrepreneurs et experts autour de la résilience de nos infrastructures et technologies critiques. 

Numérique, énergie, monnaie, télécommunications, alimentation, data centers, cybersécurité, facteur humain… Des sujets qui semblaient, en apparence, très différents. 

Pourtant, plus la journée avançait, plus la même question revenait : que se passe-t-il lorsque ce dont nous dépendons cesse de fonctionner ou devient un moyen de pression contre nous ? 

Lors des interventions en salle, une image m’est revenue plusieurs fois : celle de l’éléphant attaché à une corde par son cornac. 

Petit, l’éléphanteau tire, lutte, tente de se libérer et, finalement, renonce. Adulte, il disposerait de la force nécessaire pour rompre la corde, mais il n’essaye même plus, car il a intégré que c’était impossible. Cette parabole renvoie à ce que le psychologue Martin Seligman a étudié sous le nom d’« impuissance apprise » : finir par ne plus essayer alors même qu’une possibilité d’action existe. 

La France et l’Europe ressemblent parfois à cet éléphant. Nous avons accumulé des dépendances industrielles, numériques, énergétiques ou financières au point de finir par les considérer comme irréversibles.  Pourtant, la première étape de la résilience consiste simplement à cartographier ce que nous ne maîtrisons plus, pour décider ensuite d’agir en conséquence.

Prenons l’exemple de l’alimentation selon le retour d’expérience présenté d’une des tables rondes de cette journée. Lors d’un test de résilience organisé dans le pays du Béarn, on a cherché à identifier ce que l’on pouvait mobiliser dans un rayon de 50 kilomètres pour nourrir 4 000 personnes. Un seul repas a malheureusement suffi pour mettre sous fortes tensions certaines ressources locales.  

Ce n’est pas parce que nous ne produisons plus, mais parce qu’entre le champ et l’assiette, il faut de l’énergie, du transport, de la transformation, de l’eau, des entrepôts et des hommes.

Le constat est identique avec le numérique. Sur ce sujet, il faut aussi regarder les infrastructures matérielles. Un data center, c’est aussi du béton, des transformateurs, des kilomètres de câbles, de l’électricité, du froid, de l’eau et surtout des techniciens capables d’intervenir lorsque la mécanique se dérègle. Dans ce contexte, les interventions du jour ont souligné que plus nos systèmes deviennent sophistiqués, plus la compétence humaine redevient stratégique le jour où ils cessent de fonctionner.
 
La cyber a apporté une autre idée très simple : détecter ne sert pas à grand-chose si l’on n’est pas capable de contenir, d’isoler ou de couper. Nous avons des SOC, du monitoring, du MFA, des alertes. Par contre, si une attaque survenait à deux heures du matin, qui sait réellement isoler le réseau ? Qui a l’autorité pour arrêter une production ? Et l’activité peut-elle continuer en mode dégradé ? Ce sont des questions fondamentales à se poser en amont plutôt que d’être confronté à la nécessité vitale d’y répondre au cœur de la crise.

Même le paiement mérite aussi d’être regardé autrement. Un intervenant a proposé une expérience de pensée contre-intuitive : « demain matin, votre compte est bloqué et votre carte ne fonctionne plus. Combien de temps tenez-vous ? »
Lorsque nous payons un café, nous ne voyons pas derrière ce geste banal les réseaux, les autorisations, les banques et les infrastructures.

Le cas de Nicolas Guillou, juge français à la Cour pénale internationale sanctionné par les États-Unis, rend la question beaucoup plus glaçante et concrète pour lui et sa famille. Lorsqu’une décision étrangère peut fermer l’accès à certains services financiers ou numériques, une dépendance technique devient un instrument de puissance et de pression pour peser dans le rapport de force et les décisions prises.
 
Sur notre dépendance au dollar, le Général de Gaulle, en défendant l’étalon or, alertait déjà qu’une base monétaire ne devait porter la marque d’aucun pays. D’autres alternatives ont été évoquées lors des échanges : le Bitcoin tout d’abord qui pose notamment la question d’un actif et d’un système de transfert décentralisé échappant au contrôle d’un Etat. Dans un autre maillon de la chaîne, Wero, également, développe une solution européenne alternative aux schémas internationaux Visa/Mastercard et constitue avec d’autres solutions (ex : CB, Euro numérique) des leviers complémentaires d’autonomie stratégique.
 

Considérés pendant longtemps comme des coûts à optimiser, les stocks ont également fait partie des discussions à Saint-Malo. En effet, plus que jamais, un stock de carburant, de médicaments, de pièces détachées, de semences ou de transformateurs possède une propriété remarquable et précieuse pour tenir : il achète du temps.

En recherchant l’efficience, peut-être avons-nous parfois supprimé, sans nous en rendre compte, une partie de notre marge de sécurité moins utile dans une période révolue de « mondialisation heureuse » ?
 
C’est aussi ce que nous rappelle la sécurité économique : les rapports de puissance ne passent plus seulement par les armées. Ils empruntent le droit, la finance, le numérique, les standards, les chaînes d’approvisionnement, les données et les infrastructures.
 

La souveraineté ne consiste évidemment pas à tout produire nous-mêmes. Elle consiste à connaître nos dépendances, à distinguer celles qui sont acceptables de celles qui peuvent devenir critiques, à disposer d’alternatives et à conserver notre liberté de décision lorsque la situation se tend.
 
Cela suppose des choix concrets : utiliser davantage la commande publique comme levier stratégique, soutenir certaines solutions européennes et le logiciel libre, protéger nos données, identifier nos fournisseurs critiques, conserver des compétences, constituer certains stocks, tester réellement nos plans de continuité et préparer entreprises, institutions et populations à fonctionner en mode dégradé.
 
Il y aurait finalement un exercice assez simple à faire dès demain dans chaque organisation : prendre les dix fonctions sans lesquelles l’activité s’arrête et demander pour chacune : de quoi dépend-elle, combien de temps pouvons-nous nous en passer, qui peut nous en priver et avons-nous réellement testé l’alternative ?
 

L’objectif de Saint-Malo n’était pas d’avoir peur, c’était même exactement l’inverse. Une organisation résiliente ne prétend surtout pas avoir tout prévu mais elle se doit de connaître ses fragilités, elle doit travailler pour les limiter et conserver des marges de manœuvre lorsque l’imprévu survient.

Nous ne supprimerons bien-sûr jamais toutes nos dépendances mais nous pouvons décider lesquelles nous acceptons et lesquelles nous ne voulons plus subir.

La corde existe bien mais l’erreur fatale pour notre pays serait de finir par croire qu’elle est impossible à rompre.

#DigitalSovereignty #TechnologicalSovereignty #StrategicResilience #StrategicAutonomy #EconomicSecurity #CriticalInfrastructure #StrategicDependencies #Cybersecurity #EnergySovereignty #EuropeanSovereignty