Une histoire ordinaire
Le mardi 4 mars à 6h45, Étienne Saint-Éloi est réveillé par son téléphone. Hubert Vaillancourt, président d’Aubrac Mécanique, équipementier automobile français installé en Aveyron, principal client civil de Saint-Éloi pour les pièces de précision destinées aux véhicules utilitaires, l’appelle sans préambule à une heure inhabituelle. Sa voix est calme. Sa formulation est sèche. Aubrac est arrêtée depuis 4h12 ce matin. Toutes les chaînes de production. Tous les sites. Six cent quatre-vingts personnes en attente de consigne sur les sites d’Aveyron, de Lozère et de Haute-Loire. Étienne Saint-Éloi allume la lumière, prend un papier, écoute.
L’éditeur logiciel qui fournit à Aubrac le système central de gestion de production, basé en Californie, fournisseur historique depuis quatorze ans, a été cédé en décembre précédent à un fonds d’investissement privé spécialisé dans l’optimisation de portefeuilles logiciels. Le nouveau propriétaire a procédé en février à une revue de la base clients et a notifié à Aubrac, le 17 février, une révision unilatérale des conditions tarifaires de la licence et un changement des modalités de facturation, qui passe d’une licence perpétuelle assortie d’un contrat de maintenance à un abonnement récurrent dont le tarif annuel correspond à six fois ce qu’Aubrac payait jusqu’alors. La notification donnait quinze jours pour signer le nouveau contrat sous peine de suspension de l’accès. Hubert Vaillancourt avait reçu la notification, l’avait fait analyser par son service juridique, avait engagé une négociation. La négociation s’est interrompue le vendredi 28 février sans accord. Aubrac n’a pas signé.
À 4h12 ce matin, l’accès au système central a été suspendu à distance par le fournisseur. Les chaînes de production, qui dépendent du système pour le séquencement des ordres de fabrication, sont à l’arrêt depuis cette heure-là.
Hubert Vaillancourt parle pendant douze minutes. Il dit à Étienne Saint-Éloi qu’il ne sait pas combien de temps durera l’arrêt, qu’il a saisi son avocat dans la nuit pour examiner les voies de recours, qu’il a saisi en parallèle la direction générale des entreprises au ministère de l’Économie et qu’il a tenté sans succès d’obtenir un rendez-vous avec son éditeur logiciel français concurrent qui ne pourrait, de toute façon, ni reprendre les données ni mettre en service un système équivalent dans des délais compatibles avec la continuité d’Aubrac. Il dit que la commande hebdomadaire de Saint-Éloi, soit deux mille deux cents pièces de précision attendues le jeudi suivant pour l’assemblage du programme du véhicule utilitaire, ne pourra pas être réceptionnée selon le calendrier prévu. Il ne sait pas s’il faut décaler la livraison de quelques jours ou de plusieurs semaines. Il appelle pour prévenir, pour demander à Saint-Éloi de ne pas lancer la production ce matin, et pour solliciter la patience d’un partenaire industriel qu’il respecte.
À 7h08, Étienne Saint-Éloi raccroche. Il prend une douche, s’habille, sort de chez lui à 7h32, prend la route du site. Pendant le trajet, il appelle Sophie Lemoine, sa directrice commerciale, et Laurent Vasseur, son directeur technique. La production du jeudi est suspendue. Les opérateurs de l’équipe de matin seront redéployés sur l’entretien des machines et sur la finalisation d’une commande secondaire dont le délai était plus souple. Le préavis de la suspension a été donné aux deux chefs d’équipe à 8h00.
À 9h15, le comité de direction se réunit en session exceptionnelle dans la salle du premier étage. Étienne Saint-Éloi expose la situation. La commande Aubrac représente 14% du chiffre d’affaires mensuel de Saint-Éloi et engage 16% des heures de production. Si le décalage est d’une semaine, l’effet sur le compte de résultat de Saint-Éloi est gérable. Si le décalage est de trois semaines, les indicateurs de trésorerie passent au rouge. Si le décalage dépasse trois semaines, Saint-Éloi devra décaler à son tour ses propres engagements amont, principalement auprès de son fournisseur d’aciers spéciaux, ce qui suppose des pénalités contractuelles et une dégradation de la relation.
Aucun de ces trois scénarios ne dépend d’une décision prise par Saint-Éloi. Tous dépendent de la durée pendant laquelle Aubrac sera empêchée de produire par une décision contractuelle prise par un fonds d’investissement californien dont personne autour de la table n’avait jamais entendu le nom avant ce matin. Claire Bertrand, directrice administrative et financière, pose la question qui flotte dans la salle depuis le début de la réunion. Elle demande si Saint-Éloi est exposée, par ailleurs, au même type de fragilité capitalistique chez ses propres fournisseurs critiques. Elle dit que la cartographie des dépendances de Saint-Éloi documente les fournisseurs par leur nom, leur volume, leur substituabilité technique, mais qu’elle ne documente pas l’identité de leurs actionnaires ni la trajectoire capitalistique prévisible. Elle dit qu’elle ne sait pas, à cette minute, si l’éditeur logiciel qui fournit à Saint-Éloi son propre système de gestion de production, fournisseur français de taille moyenne, est resté sous contrôle français ou s’il est passé sous contrôle d’un fonds anglo-saxon au cours des dix-huit mois écoulés. Personne autour de la table ne sait répondre à la question.
À 10h22, Étienne Saint-Éloi confie à Claire Bertrand le mandat de produire, dans les dix jours, une cartographie capitalistique des dix premiers fournisseurs critiques de Saint-Éloi, avec identification des actionnaires effectifs, horizon prévisible de chacun, et évaluation du risque de bascule contractuelle unilatérale. Le comité se sépare à 10h45.
À midi, sur le téléphone d’Étienne Saint-Éloi, un message de Hubert Vaillancourt indique que les négociations ont repris sous l’intermédiation de la direction générale des entreprises et que l’accès au système central pourrait être rétabli dans les quarante-huit heures sous réserve d’un accord transitoire. Le décalage final sera de cinq jours. Cinq jours pendant lesquels six cent quatre-vingts personnes ont été en attente, deux mille deux cents pièces de précision n’ont pas été produites par Saint-Éloi, et personne, dans aucune des deux entreprises, n’a pu prendre une décision opérationnelle qui n’ait été dictée par la décision prise un matin de février par un fonds dont aucun salarié des deux entreprises ne connaissait le nom.
La ligne de partage numérique
Le 19 juillet 2024 à 4h09 UTC, un éditeur américain de cybersécurité diffuse sur les postes de ses clients une mise à jour de routine de son capteur Falcon. Soixante-dix-neuf minutes plus tard, l’éditeur identifie l’anomalie et publie un correctif. Le délai est court, la réaction rapide, la gouvernance d’incident conforme aux bonnes pratiques. Pourtant, en ces soixante-dix-neuf minutes, 8,5 millions de systèmes Windows sont entrés dans la boucle de redémarrage de l’écran bleu. Aéroports paralysés, hôpitaux contraints au retour du stylo et du papier pour la prise en charge des patients, six mille vols supprimés chez la seule Delta Airlines pour un préjudice estimé à cinq cents millions de dollars, système d’accréditation des Jeux olympiques de Paris temporairement inaccessible. Le coût global a été estimé par les assureurs à une dizaine de milliards de dollars. Les postes affectés représentaient moins d’un pour cent du parc mondial. Cette minorité assurait des fonctions critiques. L’événement n’est ni un assaut, ni une catastrophe naturelle, ni une malveillance.
C’est l’outil de sûreté lui-même, l’agent installé sur les postes pour surveiller les menaces, qui est devenu le vecteur du désordre. Le gardien est entré dans le château en portant le cheval. La question juvénalienne du chapitre 5 prend ici une tournure technique. Quand le logiciel de protection s’exécute au niveau du noyau avec les privilèges les plus élevés, la moindre défaillance de sa part affecte le système tout entier. La proximité avec le cœur de la machine confère au gardien une puissance sans pareille, et par là même une capacité de nuisance sans pareille. Le 19 juillet 2024 a donc été une révélation. Les organisations contemporaines ont bâti, décision par décision rationnelle, des architectures de vulnérabilité dont l’agrégat se révèle catastrophique. Le paradoxe n’est pas dans la négligence, il est dans la rationalité même. Chaque décision prise isolément est défendable au regard des critères classiques de la gestion, à savoir externaliser l’hébergement, consolider les fournisseurs, réduire les stocks, unifier les systèmes d’information, installer un agent de sécurité homogène sur tous les postes. Leur accumulation produit une organisation que le moindre incident peut mettre en péril. L’efficience d’aujourd’hui est la fragilité de demain et la ligne qui sépare l’optimisation du point de non-retour passe souvent inaperçue à ceux qui la franchissent.
L’ouvrage a, jusqu’ici, traité la malveillance numérique de manière incidente, en évoquant les attaques par rançongiciel, les compromissions par chaîne d’approvisionnement logicielle, les dépendances aux opérateurs de cloud non européens. Une doctrine française de la sûreté ne peut s’en tenir à cette mention transversale. Elle doit poser une ligne de partage explicite entre ce qui relève de la sûreté entendue comme protection contre la malveillance et ce qui relève de la sécurité entendue comme protection contre la défaillance non intentionnelle. Cette ligne, qui structure depuis longtemps la pensée française de la sûreté physique comme le chapitre 2 l’a montré, doit être étendue au numérique sans glissement de sens.
La proposition tient en une formule : la cybersécurité relève de la sûreté lorsque l’événement procède d’une intention hostile ; elle relève de la sécurité au sens technique lorsque l’événement procède d’une défaillance, d’une erreur ou d’un aléa non intentionnel. Cette distinction, qui peut paraître scolastique au lecteur pressé, est en réalité opérationnelle pour trois raisons que la suite du chapitre développera.
La première raison est juridique. Le code pénal français consacre, aux articles 323-1 à 323-8, un régime spécifique des atteintes aux systèmes de traitement automatisé de données. L’élément intentionnel est constitutif de l’infraction. Il fait basculer l’événement du registre de la sécurité technique vers celui de la sûreté. Cette frontière n’est pas un détail, elle conditionne la qualification, la stratégie probatoire, l’orientation institutionnelle de la plainte et l’articulation avec les services compétents que la cartographie du chapitre 4 a exposée.
La deuxième raison est probatoire. La grille de proportionnalité dégagée par l’Assemblée plénière de la Cour de cassation le 22 décembre 2023, étudiée au chapitre 3, s’applique aussi aux preuves numériques produites contre un salarié déloyal ou un partenaire de mauvaise foi. La continuité doctrinale entre la preuve sociale et la preuve cyber est une exigence française, parce que les deux registres se rencontrent dans la quasi-totalité des contentieux contemporains de fraude interne, d’exfiltration de données ou de sabotage informatique.
La troisième raison est doctrinale. Le règlement européen NIS 2, le règlement DORA et le Cyber Resilience Act que la section 4 examinera ne distinguent pas explicitement, dans leur définition de l’incident, l’événement malveillant et l’événement accidentel. Ils traitent l’un et l’autre dans un même régime de notification et de gestion. Ce parti pris européen est compréhensible pour la résilience opérationnelle. Il l’est moins pour la sûreté française, qui ne peut renoncer à la qualification pénale de la malveillance sans abandonner ce qui fait sa singularité juridique.
La doctrine française de la sûreté doit donc, dans son rapport à la cybersécurité, reprendre la distinction là où le droit européen la dilue. Cette ligne de partage produit trois conséquences que les sections suivantes mettront en œuvre.
Elle commande une articulation entre les services régaliens compétents pour la sûreté pénale et les autorités techniques compétentes pour la résilience opérationnelle, articulation qui en France distribue les rôles entre l’Office anti-cybercriminalité, le Centre de lutte contre les criminalités numériques de la gendarmerie et l’Agence nationale de la sécurité des systèmes d’information. Elle impose une discipline de qualification des incidents qui conditionne la suite du traitement, parce qu’un incident qualifié de malveillant ouvre des droits et des charges différents de ceux d’un incident qualifié d’accidentel. Enfin, elle ouvre une réflexion sur la conception conjointe des dispositifs physiques et numériques que le chapitre 9 prolongera, parce qu’aucune sûreté par conception sérieuse ne peut désormais traiter séparément le bâtiment, le réseau et la chaîne d’approvisionnement logicielle.
L’efficience qui se retourne contre elle-même
La théorie des accidents normaux formulée par Charles Perrow en 1984 éclaire cette mécanique. Étudiant l’accident de Three Mile Island, le sociologue américain proposait une grille de lecture applicable à tout système complexe. Deux propriétés conjuguées produisent l’accident inévitable : (i) la complexité interactive, c’est-à-dire la multiplicité des interactions non linéaires entre composants, et (ii) le couplage serré, c’est-à-dire l’absence de jeu temporel ou spatial entre ces composants.
Dans un système à couplage serré, une perturbation ne peut être absorbée. Elle se propage à la vitesse des flux qui le traversent. L’opérateur n’a pas le temps de comprendre, encore moins d’agir. Le système exige une réaction que ses propres caractéristiques rendent impossible. Perrow avait pensé sa théorie pour la centrale nucléaire, le porte-avions, l’industrie chimique lourde. Son propos s’est révélé, quarante ans plus tard, d’une portée universelle que son auteur n’avait sans doute pas pleinement anticipée. Les organisations contemporaines, à force de lean management, de juste-à-temps, de plateformisation numérique, ont reproduit à l’échelle économique ordinaire les propriétés qu’il avait identifiées dans les infrastructures les plus sensibles.
La distinction mérite ici d’être affinée. Interconnexion et interdépendance ne sont pas équivalentes. L’interconnexion désigne la capacité de communiquer, d’échanger des données, de coordonner des opérations. Elle suppose des canaux, des formats, des protocoles. Elle est choisie, contractée, configurée. L’interdépendance, en revanche, désigne l’impossibilité de fonctionner l’un sans l’autre. Elle n’est pas toujours voulue comme telle. Elle s’installe par sédimentation, par glissements successifs, par habitude organisationnelle, par verrouillage technologique progressif. Une entreprise qui interconnecte son système comptable à celui de son expert-comptable peut, au bout de quelques années, se retrouver dans l’incapacité matérielle de fonctionner si le prestataire subit une panne prolongée. L’interconnexion de départ est devenue interdépendance de fait, sans qu’aucune décision explicite n’ait été prise dans cette direction. Le paradoxe tient en ceci que l’interconnexion est souvent un choix, tandis que l’interdépendance est subie par omission.
À cette première distinction s’ajoute une seconde, plus insidieuse encore. L’externalisation n’est pas seulement un transfert de coût et de risque. Elle est aussi, et souvent surtout, une évaporation du savoir-faire. Lorsqu’une organisation confie à un prestataire la gestion de son infrastructure, elle se défait progressivement de la compétence interne qui lui permettrait de comprendre ce prestataire, de le contrôler, le cas échéant de le suppléer. La dépendance devient cognitive avant de devenir opérationnelle. Le jour où le fournisseur fait défaut, l’entreprise cliente ne sait même plus reprendre la main, parce que la génération des collaborateurs capables de le faire n’existe plus en son sein, et parce que les systèmes exploités sont devenus des boîtes noires dont la documentation appartient au prestataire. Saint-Gobain, dont le directeur général exécutif Claude Imauven témoignait en 2018 que l’attaque NotPetya avait, entre autres effets, conduit les équipes des enseignes Point P et Lapeyre à redécouvrir les bordereaux de commande manuscrits, a su faire jouer la réserve d’intelligence humaine que seules les grandes organisations peuvent encore se permettre. La même question posée à une entreprise de moins de deux cents salariés reçoit rarement la même réponse.
Le chapitre 6 a traité du rhinocéros gris comme d’une menace qui marche vers l’organisation sans qu’elle se mette en mouvement. Le présent chapitre traite d’une espèce voisine mais distincte, celle du rhinocéros que l’organisation a elle-même installé dans son enclos, croyant y abriter un auxiliaire utile. La différence entre les deux bêtes n’est pas toujours aisée à discerner. Elle est pourtant essentielle, car elle commande des postures différentes. Face au rhinocéros externe, il faut lucidité, veille, anticipation. Face au rhinocéros domestique, il faut connaissance de soi, cartographie, réversibilité.
La concentration cachée du numérique
Si l’affaire CrowdStrike du 19 juillet 2024 est l’exemple le plus saillant de la fragilité de nos architectures numériques, elle n’est ni la première ni sans doute la dernière. Trois affaires supplémentaires méritent d’être convoquées pour saisir la profondeur du phénomène.
Le 27 juin 2017, un rançongiciel baptisé NotPetya par les chercheurs en sécurité se propage depuis l’Ukraine via le système de mise à jour d’un logiciel fiscal largement diffusé dans le pays, M.E.Doc. En quelques heures, l’infection atteint plus de 2 000 entreprises dans le monde, parmi lesquelles le français Saint-Gobain, le transporteur danois Maersk, le laboratoire américain Merck et le publicitaire britannique WPP. Saint-Gobain chiffrera officiellement, dans sa communication financière du 27 juillet 2017, l’impact de l’attaque à deux cent cinquante millions d’euros sur le chiffre d’affaires annuel et à quatre-vingts millions d’euros sur le résultat d’exploitation. Dix jours d’arrêt, deux pôles particulièrement touchés, la distribution bâtiment d’un côté, les produits pour la construction de l’autre. L’industriel français, faut-il le souligner, n’était alors pas assuré contre ce type de risque. La propagation s’est effectuée par le détournement d’un canal légitime de mise à jour logicielle, un canal que toutes les organisations utilisent quotidiennement sans en interroger la sécurité, tant il semble faire partie du décor. La question posée, dès 2018, par Claude Imauven lors des rencontres des risk managers d’Amrae, reste insurpassable dans sa brutalité : Saint-Gobain a résisté parce que sa taille le permettait, mais quid de la PME ou de l’ETI ?
Le 10 mars 2021, à minuit quarante-sept, un incendie se déclare dans un onduleur du centre de données SBG2 d’OVHcloud à Strasbourg. Le feu est circonscrit à sept heures. Entre les deux, le datacenter SBG2 est entièrement détruit, le SBG1 partiellement, les SBG3 et SBG4 coupés électriquement par précaution. Quatorze à seize mille entreprises clientes découvrent au petit matin que leurs sites, applications et services ne sont plus disponibles. Trois millions six cent mille serveurs HTTP et 464 000 noms de domaines cessent de répondre. Le rapport d’enquête du Bureau d’enquêtes et d’analyses sur les risques industriels, publié le 27 mai 2022, pointera des choix de conception du bâtiment, en particulier l’absence de système d’extinction automatisé, comme facteurs aggravants. Surtout, il apparaît que pour un nombre non négligeable de clients ayant souscrit à l’offre de sauvegarde du prestataire, les sauvegardes elles-mêmes se trouvaient dans le bâtiment en flammes. Le tribunal de commerce de Lille a condamné le 9 mars 2023 OVHcloud à verser cent mille euros à la société Bati Courtage, au motif que l’engagement contractuel d’isolement physique des sauvegardes n’avait pas été respecté, les trois réplications ayant été stockées dans le même site que le serveur principal. Une action collective rassemblant plus de cent soixante-dix entreprises a été engagée.
Entre ces deux jalons s’insère l’épisode CrowdStrike du 19 juillet 2024, déjà évoqué en ouverture. Trois événements séparés, trois mécanismes différents, une même leçon : la concentration silencieuse des infrastructures numériques a créé des points de défaillance unique dont les organisations clientes n’ont généralement pas conscience. L’hyperscaler de l’informatique en nuage, l’éditeur de l’agent de sécurité, le fournisseur d’identité, l’autorité de certification, le fournisseur de noms de domaine, le réseau de diffusion de contenu, parfois même l’éditeur de la suite bureautique, constituent chacun un nœud dont la défaillance affecte simultanément des dizaines de milliers de clients. À une panne localisée de 1990 s’est substituée la panne systémique de 2024. Le couplage s’est resserré, la propagation s’est accélérée, la surface d’attaque s’est étendue, et le nombre des clients partageant un destin commun a crû dans des proportions que la théorie classique du risque n’avait pas préparées à intégrer.
Cette concentration touche des secteurs que l’on croirait a priori préservés. L’expertise comptable ne fonctionne plus aujourd’hui sans plateforme de dématérialisation fiscale et sans interface bancaire automatisée. La biologie médicale combine dépendance à l’automate, dépendance aux réactifs livrés en flux tendu, dépendance à l’interface logicielle qui transmet les résultats au praticien puis au patient. L’ensemble s’articule et se conditionne réciproquement, si bien que la défaillance d’un seul des trois maillons suffit à interrompre la chaîne.
Le bâtiment lui-même, secteur que son ancrage physique pourrait laisser croire à l’abri, dépend désormais de modélisations collaboratives en temps réel, les maquettes numériques de bâtiment ou Building Information Modeling, hébergées le plus souvent sur des plateformes américaines. Un chantier de plusieurs dizaines de millions d’euros peut se trouver arrêté non pas pour rupture d’approvisionnement en matériaux, mais pour perte d’accès à un environnement logiciel. L’immatériel commande au béton. La distribution spécialisée dépend d’un progiciel de gestion intégrée dont le basculement vers un autre éditeur exigerait plusieurs années de migration.
Le transport routier dépend de plateformes de gestion de flottes qui centralisent géolocalisation, ordres de mission, temps de conduite et facturation. La cosmétique peut reposer sur un ingrédient critique dont la production mondiale est concentrée dans deux ou trois sites asiatiques. La maintenance industrielle s’appuie sur des logiciels patrimoniaux dont les éditeurs ont parfois disparu, laissant les utilisateurs face à un risque de perte d’exploitation sans recours. La liste n’a pas de valeur d’exhaustivité. Elle témoigne d’un phénomène général. La transformation numérique des vingt dernières années a substitué à un tissu économique fait d’acteurs relativement autonomes un écosystème où chaque maillon est tributaire, par cascades successives, de quelques infrastructures mondiales dont la défaillance serait catastrophique et dont la santé échappe au contrôle des clients.
L’illusion contractuelle
Face à ces dépendances massives, la réponse spontanée du juriste d’entreprise est contractuelle. Négocier des garanties, insérer des clauses de niveau de service, stipuler des pénalités, organiser la réversibilité, prévoir la résiliation pour motif légitime. Cette démarche est saine dans son principe. Elle rencontre pourtant, dans la pratique, des limites dont la sûreté d’entreprise doit prendre la mesure.
La première limite est structurelle. Les relations entre une PME ou une ETI et un hyperscaler de l’informatique en nuage ne sont pas négociées. Elles relèvent du contrat d’adhésion. Les conditions générales d’utilisation sont imposées dans leur rédaction, parfois dans une langue qui n’est pas celle du client, régies par un droit qui n’est pas celui de son siège, soumises à la juridiction de tribunaux éloignés. L’article 1171 du Code civil, issu de l’ordonnance 2016-131 du 10 février 2016, dispose pourtant que dans un contrat d’adhésion, toute clause non négociable, déterminée à l’avance par l’une des parties, qui crée un déséquilibre significatif entre les droits et obligations des parties, est réputée non écrite. La chambre commerciale de la Cour de cassation, par arrêt du 26 janvier 2022, n° 20-16.782, a précisé que ce texte s’applique aux contrats conclus entre professionnels lorsqu’ils ne relèvent pas des pratiques restrictives de concurrence de l’article L.442-1 du Code de commerce. La protection existe donc en théorie. Elle est, en pratique, d’un maniement difficile face à des acteurs de droit étranger, dans un contentieux long, coûteux, aléatoire, et dont l’issue favorable laisserait de toute façon sans réponse la question pratique de la continuité d’activité.
La seconde limite est arithmétique. Les clauses de niveau de service prévoient des pénalités calibrées sur la valeur du service, généralement exprimées en mois de facturation remboursés ou en avoirs. Pour une PME dépensant vingt mille euros annuels auprès d’un fournisseur de nuage, l’avoir maximal indemnisera quelques milliers d’euros. La perte d’exploitation, dans un scénario d’indisponibilité prolongée, peut se chiffrer en millions. L’asymétrie est structurelle, non pas accidentelle. Elle tient au fait que le prestataire ne peut, sauf à rendre son modèle économique insoutenable, garantir à chaque client une indemnisation à hauteur de son dommage. La clause de niveau de service n’a jamais eu pour fonction de réparer, elle a pour fonction de discipliner. Elle fixe un repère de performance attendue. Elle n’assure pas l’entreprise contre les conséquences économiques d’un événement majeur. Confondre la discipline et l’assurance est une erreur classique, dont l’effet se mesure le jour où le risque se réalise.
La troisième limite tient à la force majeure. Les contrats stipulent quasi invariablement une clause d’exonération pour les événements extérieurs, imprévisibles et irrésistibles, dans la définition que l’article 1218 du Code civil donne de cette notion. Cyberattaque d’envergure mondiale, incendie de datacenter, rupture d’approvisionnement liée à un conflit géopolitique, les qualifications ne manquent pas pour faire entrer un sinistre dans la catégorie. Le prestataire s’exonère, le client absorbe. L’articulation avec l’article 1231-1 du Code civil sur la responsabilité contractuelle pour inexécution laisse au juge une marge d’appréciation, mais la prévisibilité qu’appelle la sécurité juridique commande de considérer que, hors cas de faute lourde ou de manquement caractérisé à une obligation substantielle, le sinistre systémique sera pour le client l’événement pour lequel il est désormais sans recours. Le jugement du 9 mars 2023 contre OVHcloud a retenu la responsabilité contractuelle, non pour l’incendie lui-même, mais pour le manquement à l’engagement d’isolement physique des sauvegardes. La nuance est capitale. Le juge n’a pas condamné le prestataire pour avoir subi un sinistre, il l’a condamné pour avoir violé un engagement technique précis. Une entreprise dont les sauvegardes auraient été correctement délocalisées n’aurait eu que le sinistre comme dommage et le sinistre, au regard du contrat, incombait à elle.
La quatrième limite tient aux cascades contractuelles. Dans la réalité des chaînes numériques, le client final contracte avec un prestataire qui sous-traite à un fournisseur de plateforme, lequel repose sur un hébergeur, lequel utilise les services d’une autorité de certification, d’un fournisseur d’identité, d’un réseau de diffusion. Comme dans la réalité, la chaîne peut compter cinq, dix, parfois davantage de maillons, dont le client final ignore l’existence jusqu’au jour de l’incident. Le règlement DORA, dans son article 28, impose aux entités financières d’identifier l’ensemble de la chaîne des sous-traitants pour les services soutenant des fonctions critiques. Cette exigence, nouvelle pour le secteur financier, constitue une inversion doctrinale à mesurer. Elle pose en principe que la visibilité sur les sous-traitants de rang supérieur est une condition de la gestion du risque. La plupart des secteurs n’y sont pas soumis, mais la question s’y pose dans les mêmes termes. Connaître ses fournisseurs, c’est déjà connaître quatre cinquièmes de son risque. Ignorer leurs propres fournisseurs, c’est se priver du dernier cinquième, qui est souvent le plus critique.
Une dernière difficulté, transversale aux quatre limites qui précèdent, mérite d’être évoquée pour ce qu’elle est, parce qu’elle conditionne en pratique tout ce qu’une entreprise peut espérer obtenir par voie contractuelle de ses fournisseurs critiques. Le pouvoir de négociation des entreprises clientes face à leurs fournisseurs n’est pas homogène et il est en particulier marginal face aux acteurs en position dominante sur leur marché. Pour les fournisseurs auprès desquels l’entreprise représente un volume d’achat significatif, l’imposition de clauses de réversibilité, de transparence sur la cascade des sous-traitants, ou de niveau de service réellement protecteur, est faisable au prix d’un effort juridique substantiel mais reste à portée. Pour les fournisseurs auprès desquels l’entreprise représente un volume marginal, et particulièrement les éditeurs de logiciels en position dominante, les hyperscalers de l’informatique en nuage, les opérateurs de réseaux de diffusion de contenu, les autorités de certification mondiales, l’imposition de clauses spécifiques est tout simplement impossible. C’est le partenaire qui dicte ses conditions, et l’entreprise cliente n’a d’autre choix que d’adhérer ou de renoncer.
Cette asymétrie de pouvoir de négociation, qui n’est pas un défaut accidentel mais un trait structurel des marchés numériques contemporains, transforme la sûreté concentrique en programme à deux vitesses dont les angles morts sont les dépendances les plus critiques. La doctrine doit en prendre acte sans masquer la difficulté ni promettre une solution qui n’existe pas à l’échelle individuelle. La cartographie de cette asymétrie est en soi un acte doctrinal, parce qu’elle applique aux relations contractuelles le principe général posé ailleurs dans cet ouvrage selon lequel la dépendance doit être portée à la conscience plutôt qu’éliminée par fiction. L’entreprise qui sait précisément où son pouvoir de négociation cesse, et qui le documente comme un risque assumé, est mieux protégée que celle qui croit tenir contractuellement ce qu’elle ne tient pas.
Là où le pouvoir individuel de négociation atteint sa limite, la coopération sectorielle ouvre une voie que la doctrine peut nommer sans la prescrire dans le détail. Plusieurs ETI d’un même secteur, regroupées au sein d’une fédération professionnelle, peuvent imposer collectivement à un éditeur en position dominante ce qu’aucune ne peut lui imposer seule. Cette mutualisation du pouvoir de négociation contractuelle, qui n’a rien d’inédit dans la tradition économique européenne mais qui reste sous-développée dans le secteur du numérique, prolonge à l’échelle interentreprises la logique du système immunitaire distribué que le chapitre précédent a décrite à l’échelle de la nation. Elle suppose que les fédérations professionnelles assument cette mission comme un service à leurs adhérents, ce qui appelle de leur part une professionnalisation de leur fonction de négociation contractuelle qui n’est pas encore acquise dans toutes les filières.
La matérialité de l’interconnexion comme vecteur d’atteinte est documentée dans le rapport annuel sur la cybercriminalité 2026 du Commandement du ministère de l’Intérieur dans le cyberespace, qui retrace plusieurs cas français survenus en 2025 où la chaîne d’approvisionnement numérique a été le principal vecteur d’atteintes massives, dont la campagne d’extorsion conduite par le collectif ShinyHunters à partir d’une intrusion dans une application Salesforce, qui a ensuite touché par effet domino plusieurs grandes entreprises françaises. Le rapport consacre par ailleurs un développement aux menaces hybrides, dont il pose qu’elles ne se limitent pas aux atteintes physiques ou aux intrusions techniques, mais qu’elles englobent désormais une articulation étroite entre actions numériques, opérations physiques et stratégies d’influence.
Cette grammaire hybride, formulée par l’autorité publique compétente, prolonge dans le registre opérationnel la doctrine de l’interconnexion que le présent chapitre construit. Elle confirme que l’angle mort doctrinal des PME et ETI françaises ne se réduit pas à un défaut d’outils techniques, mais relève d’une conscience encore imparfaite de la continuité entre cyberespace et monde physique que la sûreté contemporaine doit formuler.
Le droit distancé
À la complexité contractuelle répond une complexité réglementaire qui s’est considérablement étoffée au cours des dernières années. Quatre textes structurent aujourd’hui le paysage européen de la résilience numérique et des infrastructures critiques. Le panorama n’est toutefois pas aussi stabilisé qu’on pourrait l’espérer en avril 2026.
Le premier étage, le plus ancien, demeure le régime national des opérateurs d’importance vitale (OIV), issu de la loi de programmation militaire du 18 décembre 2013 et codifié aux articles L.1332-1 et suivants du Code de la défense. Environ 300 opérateurs y sont soumis, couvrant des activités dont l’indisponibilité ou la destruction affecteraient gravement le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la nation. Le régime impose la désignation de points d’importance vitale, l’adoption de plans particuliers de protection, et un dialogue continu avec l’autorité nationale de sécurité des systèmes d’information. Le régime a vieilli, la menace a changé, l’écosystème s’est étendu. Le constat a conduit à une refonte.
Le deuxième étage est européen. La directive UE 2022/2555, dite NIS 2, adoptée le 14 décembre 2022, devait être transposée par les États membres pour le 17 octobre 2024. Elle étend très substantiellement le périmètre des entités assujetties. Là où la précédente directive NIS 1 concernait environ 300 opérateurs en France, NIS 2 concernera 15 à 18 000 entités, réparties entre entités essentielles et entités importantes. Les sanctions peuvent atteindre dix millions d’euros ou 2% du chiffre d’affaires mondial pour les entités essentielles. L’article 20 de la directive introduit une innovation majeure : les organes de direction des entités régulées doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, suivre une formation régulière et peuvent voir leur responsabilité personnelle engagée en cas de manquement. Le dirigeant n’est plus le spectateur distant de la politique cyber de son directeur des systèmes d’information. Il en devient juridiquement le garant. La cybersécurité quitte la technique pour entrer dans la gouvernance.
Le fait mérite d’être souligné : au jour de la rédaction de cet ouvrage, la France n’a pas encore transposé la directive NIS 2. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en première lecture le 15 octobre 2024, puis à l’unanimité par la commission spéciale de l’Assemblée nationale le 17 septembre 2025, sans être encore inscrit à l’ordre du jour de la séance plénière. La Commission européenne a ouvert le 7 mai 2025 une procédure d’infraction à l’encontre de la France. L’échéance politique désormais évoquée est celle de l’été 2026. L’ANSSI, dans l’intervalle, a publié le 17 mars 2026 le Référentiel Cyber France, à ce stade document de travail non obligatoire, pour donner aux futures entités assujetties un cadre de montée en maturité. Ce retard de transposition n’est pas un détail. Il illustre, à l’échelle de l’État français, la dynamique même que le chapitre entend éclairer. Les institutions courent après un réel qui va plus vite qu’elles. La réglementation qui devait protéger contre les rhinocéros gris arrive elle-même au pas de l’éléphant qu’elle entend remplacer. Le chapitre 7, consacré au retard français, a repris cette observation dans un cadre plus large.
Le troisième étage est sectoriel. Le règlement UE 2022/2554, dit DORA pour Digital Operational Resilience Act, adopté le 14 décembre 2022, est entré en application le 17 janvier 2025. Il s’impose aux entités financières européennes au sens large, banques, entreprises d’investissement, sociétés de gestion, assureurs, prestataires de services sur crypto-actifs, et, de manière indirecte mais contraignante, à leurs prestataires tiers de services TIC. L’article 28 exige une classification interne des services TIC soutenant des fonctions critiques ou importantes. L’article 30 impose des clauses contractuelles spécifiques pour ces services, incluant notamment des stratégies de sortie documentées, ce que l’on appelle dans la pratique la réversibilité. L’article 31 permet aux autorités européennes de supervision de désigner des prestataires tiers comme critiques, avec à la clé un régime de surveillance renforcée. L’article 35 prévoit des astreintes pouvant atteindre 1% du chiffre d’affaires quotidien mondial moyen, sanction dont l’ordre de grandeur n’a d’équivalent que dans le règlement général sur la protection des données. DORA, par sa qualité de lex specialis, prime NIS 2 dans le secteur financier. Il marque surtout une première reconnaissance, dans le droit européen, de la notion d’infrastructure numérique critique partagée, supervisée directement au niveau européen.
Le quatrième étage concerne les produits eux-mêmes. Le règlement UE 2024/2847, dit Cyber Resilience Act, publié le 20 novembre 2024 et entré en vigueur le 10 décembre 2024, s’appliquera principalement à compter du 11 décembre 2027. Il impose des exigences de cybersécurité à tout produit comportant des éléments numériques mis sur le marché européen. La gestion des vulnérabilités sur au moins cinq ans, la fourniture d’une nomenclature logicielle, la mise à disposition de mises à jour de sécurité gratuites pendant la durée de support, la publication d’une politique de divulgation des vulnérabilités, et, pour les produits critiques, une évaluation de conformité externe. Le marquage CE est étendu à cette dimension cyber. Dès le 11 septembre 2026, les fabricants devront notifier à l’ENISA, dans les vingt-quatre heures, toute vulnérabilité activement exploitée, et dans les soixante-douze heures, tout incident grave. Les sanctions peuvent atteindre quinze millions d’euros ou 2,5% du chiffre d’affaires mondial. Pour une ETI industrielle qui fabrique des machines-outils connectées, des équipements médicaux, des jouets interactifs, ou des objets du quotidien avec composant numérique, le CRA n’est pas une contrainte périphérique, il est une condition d’accès au marché. Si le produit n’est pas conforme, il ne peut être mis en vente. Une nouvelle dépendance apparaît, la dépendance au marquage, avec son corollaire, le risque de perte d’accès au marché en cas de défaillance de conformité en cours de vie du produit.
L’empilement de ces quatre textes pose la question, d’une acuité particulière pour les PME et ETI, de la soutenabilité de la mise en conformité. L’ANSSI et le Secrétariat général de la défense et de la sécurité nationale (SGDN) ont publié des ordres de grandeur indicatifs. Pour une entité importante au sens de NIS 2, l’investissement initial de mise en conformité serait de cent à deux cents mille euros, avec un coût de maintenance et de mise à jour augmentant de 10% par an. Pour une entité essentielle, la fourchette monte de quatre cent cinquante à huit cent quatre-vingts mille euros. Ces chiffres sont à mettre en regard de l’étude de la Cour des comptes de juin 2025 selon laquelle le coût moyen d’une cyberattaque représente cinq à dix pour cent du chiffre d’affaires de l’entreprise victime, indépendamment de sa taille ou de son secteur.
L’équation économique plaide pour la conformité, mais à la condition que l’entreprise puisse amortir l’investissement initial, ce qui n’est pas donné à toutes. L’enjeu politique, dans les années qui viennent, sera de concilier l’exigence réglementaire avec la vitalité du tissu économique. La soutenabilité de NIS 2 pour les PME françaises n’est pas acquise. Elle constitue l’une des lignes de tension doctrinales des prochaines années.
La maîtrise des dépendances
De cette exploration, une conviction se dégage. L’organisation qui veut faire face aux dépendances qu’elle a elle-même construites ne dispose pas, pour y parvenir, de la seule ressource contractuelle. Ni de la seule ressource réglementaire. La réponse, pour être complète, doit être cognitive, organisationnelle et doctrinale. Elle se structure autour de trois opérations qui correspondent chacune à une dimension déjà posée dans la doctrine de l’ouvrage et qui prolongent, dans le registre de la dépendance, la valse à trois temps que le chapitre 7 a formulée.
La première opération est la cartographie des dépendances. Elle consiste à identifier, hiérarchiser et documenter les tiers sans lesquels l’organisation ne peut fonctionner. L’exercice paraît trivial. Il est en pratique rarement mené à son terme. Les dépendances cachées, les sous-traitants de sous-traitants, les composants logiciels embarqués dans les produits acquis, les comptes à privilèges confiés à des prestataires techniques oubliés, constituent autant de zones grises que la pression de l’urgence opérationnelle laisse dans l’ombre. Une cartographie utile n’est pas un inventaire comptable, elle est une carte de souveraineté. Elle interroge, pour chaque dépendance identifiée, trois questions de nature différente : (i) l’organisation peut-elle continuer à fonctionner si cette dépendance est interrompue, sous quel délai, et dans quelle proportion ? ; (ii) existe-t-il une solution de substitution accessible et opérationnellement mobilisable ? ; et (iii) l’organisation détient-elle encore, en interne, le savoir-faire de basculement ? Ces trois questions définissent la criticité de la dépendance. Elles ne sont pas, ou trop rarement, documentées.
La deuxième opération est la réversibilité. Le concept, consacré par le règlement DORA à l’article 30, mérite d’être étendu au-delà du secteur financier. Il s’agit de construire et de maintenir, pour chaque dépendance critique, un plan de sortie éprouvé, dont le coût et le délai sont connus à l’avance. La vraie mesure de la dépendance n’est pas le coût du service, elle est le temps et le coût nécessaires pour en sortir. Une organisation qui ne sait pas répondre à cette question est une organisation qui ignore la nature exacte de son exposition. La question peut être formulée sous une forme plus brutale, plus évocatrice, mieux adaptée au conseil de direction qu’à la commission des achats : si ce partenaire disparaissait demain matin, combien d’heures avant que l’activité s’arrête, et quel est le coût pour relancer ailleurs ? La réponse n’est pas toujours agréable à entendre. Elle est toujours précieuse à connaître. Elle fait entrer la dépendance dans le champ du mesurable, et, par là, dans le champ du pilotable.
La troisième opération est la sûreté par conception appliquée à l’écosystème. Le chapitre 9 développe la notion générale. Ce qui la rend pertinente ici est son extension au-delà du périmètre juridique de l’entreprise. La sûreté concentrique, déjà posée dans la doctrine, commande que les engagements pris par l’organisation en matière de sûreté soient répercutés, par voie contractuelle éducative, sur ses partenaires critiques. Le pacte de confiance documentable s’étend alors aux prestataires. Il devient exigible d’eux comme il l’est de l’interne. Cette extension transforme le contrat en instrument pédagogique autant qu’en instrument de protection. Le partenaire qui signe une clause exigeant de lui la mise en place d’un plan de reprise d’activité, la communication de sa propre cartographie de sous-traitants critiques, la participation à des exercices conjoints de gestion de crise, n’est pas seulement soumis à une obligation juridique. Il est associé à une démarche commune, dont la finalité dépasse l’intérêt de chacune des parties pour rejoindre ce que le chapitre 6 a désigné comme l’intérêt social étendu, incluant la pérennité écosystémique comme composante de la mission de l’entreprise.
Ces trois opérations (cartographie, réversibilité, sûreté concentrique étendue) ne sont pas des techniques sophistiquées. Elles sont des disciplines, elles se mettent en œuvre progressivement, à partir d’un état des lieux honnête, par incréments successifs, avec la constance qu’appelle toute démarche structurelle. L’organisation qui les conduit trouve, au terme de l’effort, un bénéfice que les tableaux de bord ne capturent pas mais que les événements révèlent. Elle sait où elle est fragile, elle sait comment elle peut réagir, elle sait ce qu’elle peut exiger des siens. Elle n’a pas supprimé la dépendance, elle ne le pourrait pas. Elle l’a portée à la conscience. C’est déjà la condition de la maîtrise.
Ces trois disciplines, lues à la lumière de la valse à trois temps formulée au chapitre 7, en constituent la déclinaison opérationnelle dans le registre de la dépendance. Cartographier est l’opération qui rend possible l’anticipation. Une organisation qui ignore la composition de ses propres chaînes ne peut anticiper les recompositions qui les affecteront, parce qu’elle n’en a pas même la lecture. La réversibilité prépare les deux temps suivants à la fois. Elle arme l’amortissement, parce que basculer vers une solution de substitution au moment du choc est ce qui maintient la cohérence opérationnelle pendant que la dépendance interrompue cesse d’être disponible. Elle prépare également la reconfiguration, parce que le plan de sortie éprouvé fournit, lorsque le cycle s’achève, le matériau d’une recomposition durable de la chaîne. La sûreté concentrique étendue, enfin, inscrit les trois temps dans une dimension collective.
Aucune entreprise n’amortit seule un choc qui traverse l’écosystème auquel elle appartient et aucune ne reconfigure seule la chaîne dont elle n’est qu’un des maillons. L’extension de la sûreté aux partenaires critiques, dont le chapitre 9 développera la doctrine sous la formulation « confiance, culture, conception », fait de la chaîne de dépendance un terrain partagé d’anticipation, d’amortissement et de reconfiguration.
L’articulation entre les trois opérations du présent chapitre et les trois verbes de la grammaire d’ensemble n’est pas mécanique. Elle est dynamique. La cartographie alimente l’anticipation par l’information qu’elle produit. La réversibilité arme l’amortissement et prépare la reconfiguration par les options qu’elle conserve. La documentation contractuelle de la sûreté concentrique étendue diffuse les trois temps dans l’écosystème par la pédagogie qu’elle déploie auprès des partenaires critiques. Les disciplines opérationnelles ici exposées ne sont donc pas des techniques juxtaposées au service d’un objectif vague de résilience. Elles sont les outils précis qui rendent praticable, dans le registre de la dépendance, la grammaire que le présent chapitre partage avec le chapitre 7.
Ces trois opérations appellent un prolongement qui découle de la réémergence, dans le paysage français contemporain, de la menace délibérée sur les flux d’infrastructure exposée au chapitre 6.
La cartographie des dépendances (initialement conçue autour des prestataires numériques, des éditeurs logiciels et des fournisseurs critiques) gagnerait à inclure désormais la cartographie des nœuds physiques partagés dont l’entreprise ne maîtrise pas la propriété mais en subit la fragilité : poste source électrique alimentant le site, sous station haute tension du corridor industriel, artère de fibre transportant les données opérationnelles, rond-point logistique sur lequel convergent les flux de livraison. Ces nœuds, extérieurs au périmètre juridique de l’entreprise, sont devenus les points de vulnérabilité privilégiés des mouvances qui appliquent la doctrine dite des flux.
La sûreté concentrique étendue aux partenaires doit s’étendre, par voie de conséquence, aux opérateurs d’infrastructure dont la continuité de service conditionne celle de l’entreprise. Cet élargissement se traduit opérationnellement par le dialogue documenté avec le gestionnaire de réseau territorial, par l’identification des alimentations de secours mobilisables en cas de coupure prolongée, par la simulation périodique d’une rupture d’alimentation électrique dans le cadre des exercices mentionnés au chapitre 6, et par la formalisation contractuelle, lorsqu’elle est juridiquement possible, d’engagements réciproques de notification et d’entraide.
À cette extension physique s’ajoute une extension immatérielle qui n’est pas moins structurante. La dépendance réputationnelle constitue une catégorie à part entière de dépendance subie, dont la cartographie est rarement menée à son terme dans les organisations qui la subissent. Les atteintes idéologiques ne visent pas seulement à casser une machine ou à interrompre un flux, elles visent souvent à casser l’image de marque pour couper, par effet de cascade, les lignes de financement bancaire et la couverture assurantielle. Une campagne coordonnée contre une entreprise désignée comme symbole peut produire, en quelques semaines, le retrait de partenaires financiers, le durcissement des conditions de garantie, la désaffection de clients institutionnels soucieux d’éviter le contentieux réputationnel par contagion. Ce mécanisme, que les directions financières découvrent généralement trop tard, transforme une atteinte initialement physique ou informationnelle en risque existentiel pour l’organisation, par épuisement de ses ressources externes.
La cartographie des dépendances doit donc inclure, à côté des dépendances opérationnelles, les dépendances financières et assurantielles susceptibles de céder sous pression réputationnelle, et la doctrine de réponse à une crise idéologique doit intégrer dès l’origine cette dimension cascade que le calcul exclusivement opérationnel laisse hors champ.
À ces extensions physique et réputationnelle s’ajoute une dimension capitalistique que la cartographie des dépendances ne saurait ignorer sans se priver de sa portée prospective. Les éditeurs de logiciels, les opérateurs de plateformes, les fournisseurs d’identité, les autorités de certification, les réseaux de diffusion de contenu dont la section 3 a documenté la concentration silencieuse, font depuis plusieurs années l’objet d’une financiarisation accélérée. Les fonds d’investissement spécialisés entrent massivement à leur capital et imposent des modèles économiques fondés sur l’abonnement récurrent, la maximisation du chiffre d’affaires par compte client et la construction d’une trajectoire de revente programmée. Cette financiarisation n’est ni illégitime ni surprenante au regard des logiques du capital-investissement. Elle modifie cependant, pour l’entreprise cliente, la nature même de la dépendance qui la lie à ces fournisseurs. Le partenaire industriel durable, dont la stratégie s’inscrit dans la pérennité de la relation, cède la place à un partenaire dont l’horizon est borné par celui de ses investisseurs et dont la stratégie commerciale est subordonnée à des arbitrages financiers que le client n’a aucun moyen d’influencer.
Cette mutation aggrave les quatre limites de la réponse contractuelle exposées en section 4, parce qu’elle introduit dans la chaîne une instabilité qui ne tient ni à la qualité du service ni à la fiabilité technique du ournisseur, mais à la temporalité propre du capital qui le détient. La cartographie des dépendances critiques doit donc inclure, comme attribut documenté de chaque fournisseur, la nature de son actionnariat, l’horizon prévisible de ce dernier, et le risque qu’une opération capitalistique fasse passer le service consommé sous une gouvernance dont les priorités diffèrent de celles qui prévalaient au moment de la contractualisation. Cette dimension prolonge naturellement les questions posées en début de section sur la criticité de chaque dépendance, en y ajoutant une question complémentaire qui mérite d’être documentée avec la même rigueur. Qui détient le partenaire, et pour combien de temps encore.
Le paradoxe de la dépendance et de l’interconnexion trouve ici sa formulation finale. Les organisations contemporaines ont construit, pour leur propre compte et sans volonté collective, une architecture de vulnérabilité que personne ne contrôle entièrement. Cette architecture est la face non recherchée d’une efficience qu’elles ont, à juste titre, cherchée. Elle est irréversible dans sa dimension écosystémique. Elle peut être lucide dans sa dimension organisationnelle. La lucidité, ici comme ailleurs, n’annule pas la dépendance. Elle la rend gouvernable. Et la gouvernabilité, pour une direction d’entreprise, n’est pas un mince résultat.