Cyberattaques contre l’État : pourquoi la souveraineté ne peut pas tout régler

Au-delà de leurs conséquences immédiates, ces incidents posent une question de fond : comment garantir la sécurité forte des organismes publics dont les systèmes d'information sont de plus en plus interconnectés ?

La souveraineté numérique occupe les esprits pour se protéger des interventions étrangères néfastes et ce débat est bien sûr légitime : où sont hébergées les données ? Qui contrôle les infrastructures ? Quelle législation s'applique ? Quelle dépendance vis-à-vis de certains acteurs ?

Cependant, l’enjeu de souveraineté ne doit pas atténuer celui de la cybersécurité. Ils répondent à deux problématiques différentes mais néanmoins complémentaires :

• La souveraineté tend à conserver la maîtrise des technologies, des infrastructures et des données. Elle réduit les dépendances.
• La cybersécurité vise à empêcher qu'un acteur non autorisé puisse accéder aux données publiques, les modifier ou les exfiltrer. Elle réduit les risques.
• La très grande majorité (75%) des décideurs publics interrogés par Exaegis fin 2025 plaçaient la cybersécurité parmi leurs chantiers numériques prioritaires.
• En complément, au-delà de l’origine d’une solution, le critère le plus soutenu par les décideurs publics pour définir la souveraineté est la capacité à gérer la réversibilité des données (73%) ou encore la maitrise du contrôle de l’accès aux données selon 64% d’entre eux.

Les organismes publics doivent bâtir leur stratégie sans faire l’impasse de l’une ou l’autre, les plus aguerris le reconnaissent :

Souveraineté et cybersécurité se rejoignent alors sur ce sujet cœur de la maitrise pour l’un et de la protection des données pour l’autre.

Top 10 des chantiers numériques prioritaires pour le Secteur Public

Top 10 des chantiers numériques prioritaires pour le Secteur Public
(source : Exaegis - Tendances & priorités d'investissements - Secteur public & santé, 2025-2028)

En outre, à l'ère de l'administration numérique, les données fiscales, sociales, administratives ou de santé circulent entre différentes applications, d'opérateurs publics, de collectivités et de partenaires. Ces interconnexions simplifient le travail des agents en leur fournissant à un instant précis les données dont ils ont besoin pour traiter le dossier d'un usager, par exemple. Or, chaque interconnexion crée un nouveau point d'entrée potentiel.

L'essor des agents IA rend cette problématique encore plus critique. Un agent peut interroger plusieurs applications, récupérer des données et déclencher des actions au sein du SI. À quoi cet agent est-il autorisé à accéder et que peut-il réellement faire ?

La cybersécurité ne peut donc plus se limiter seulement à protéger les applications et les infrastructures. Il s'agit également de sécuriser les flux qui circulent entre elles : qui appelle quelle application ? Avec quelle identité ? Pour accéder à quelles données ? Avec quelles autorisations ? Comment retracer cet échange ?

Une couche de sécurité et de gouvernance des flux se révèle essentielle afin d'appliquer de manière homogène des contrôles sur les échanges (authentification, contrôle des identités, gestion fine des autorisations, chiffrement des données sensibles…).

La résilience numérique du service public ne dépend donc pas de la seule souveraineté ou cybersécurité. Elle repose sur une défense en profondeur des postes de travail, des réseaux, des applications, des flux d'échanges. Car si savoir où se situent les données publiques est important, savoir qui peut y accéder, comment elles circulent et pouvoir en garder la trace, l'est tout autant.