Demandez à cinq dirigeants ce que signifie la « souveraineté numérique » et vous obtiendrez cinq réponses différentes. Pour certains, il s’agit d’un débat politique. Pour d’autres, d’un argumentaire commercial. La plupart se sentent désemparés.
Dans cet épisode de STRIVE, j’ai rencontré Dirk Deridder, directeur technique chez Smals, le prestataire belge de services TIC pour le secteur public, et Mark Molyneux, directeur technique de Commvault pour l’Europe du Nord. Nous sommes parvenus à une conclusion commune. Comme l’a clairement exprimé Mark : « La souveraineté n’est pas une destination. C’est une capacité opérationnelle. » Regardez l’épisode dans son intégralité.
Points clés à retenir
- La souveraineté n’est pas l’objectif ultime. Ce sont la résilience et l’autonomie qui le sont.
- Le plus grand défi en matière de Recovery consiste à reconstruire un écosystème complet – données, certificats, clés et relations de confiance – et non à restaurer une seule application.
- Évaluez la portabilité, pas l’idéologie. Si vous pouvez remplacer un composant en une journée, le risque pour votre souveraineté est bien moindre.
- Tout ne doit pas nécessairement relever de la souveraineté. Déterminez le niveau minimal de souveraineté viable pour votre organisation en cartographiant vos dépendances et en classant vos services ; cela devrait vous aider à réduire l’ampleur du problème.
- Testez votre stratégie de sortie avant d’en avoir besoin.
Pourquoi le débat a changé
Dirk a vu l’informatique devenir la colonne vertébrale des services critiques au fil des décennies et a constaté que les dépendances ne sont pas un phénomène nouveau. Ce qui a changé, c’est le débat. Avant 2025, ses discussions portaient principalement sur la protection et la résidence des données. Depuis lors, la souveraineté est omniprésente.
Mark observe la même tendance. Dans toute l’UE, ce sujet figure désormais parmi les trois principales priorités abordées lors de ses réunions avec les clients. Les dirigeants ne se contentent plus de demander où sont stockées les données. Ils veulent savoir qui contrôle la pile technologique, ce qui se passerait si les conditions commerciales venaient à changer, et dans quelle mesure ils dépendent d’une seule juridiction.
La résilience est le véritable objectif
Dirk établit une distinction claire. Certaines décisions en matière de souveraineté relèvent des décideurs politiques. En tant que DSI ou directeur technique, vous ne pouvez pas renforcer la souveraineté de votre pays. En revanche, vous pouvez contrôler l’autonomie numérique de votre organisation : vous pouvez faire des choix indépendants et mettre en œuvre votre feuille de route. Et vous pouvez contrôler votre résilience si vous êtes capable de répondre à la question suivante : « Pouvons-nous continuer à fonctionner lorsqu’une dépendance fait défaut, quelle qu’en soit la raison ? »
Ce raisonnement s’applique également aux organisations privées. Identifiez vos dépendances, mais faites de la résilience votre objectif, que la cause d’une perturbation soit une catastrophe naturelle, une erreur humaine, un litige contractuel ou toute autre circonstance.
Le problème le plus épineux, c’est l’écosystème
Les organisations modernes n’exploitent pas des systèmes isolés. Elles exploitent des systèmes composés de plusieurs systèmes. Dirk prend l’exemple d’une plateforme nationale de santé en ligne reliée aux pharmacies, aux hôpitaux et aux médecins. Recovery ne se limite pas à la restauration d’une base de données. Elle implique de recréer l’environnement : certificats, identification des terminaux, règles de pare-feu, clés de chiffrement et relations de confiance tout au long de la chaîne.
Mark a ajouté que la cyber-résilience change la donne. Un objectif de délai de reprise (RTO) mesuré en secondes convient pour un serveur en panne. En cas de cyberattaque, il faut untemps moyen de nettoyage et de remise en service. La souveraineté nécessite le même changement de perspective.
Aperçu : votre organisation est-elle capable de se remettre d’une défaillance catastrophique ?
Dans cet extrait de la discussion STRIVE, Dirk décrit deux scénarios de défaillance différents, allant d’une panne catastrophique de l’ensemble d’Internet à un point de défaillance unique causé par un élément aussi insignifiant qu’une dépendance DNS inconnue. Dans les deux cas, il invite les organisations à déterminer si elles sont suffisamment résilientes pour tout rétablir – et pas seulement les données – si un tel scénario venait à se produire. Et il conseille de commencer par cartographier les dépendances pour s’engager sur la voie de la résilience.
Évaluer la portabilité
Dirk propose un test pratique pour évaluer la souveraineté : fixez-vous un objectif de délai de portabilité pour vos services critiques. Si vous pouvez remplacer un composant ou un fournisseur en une journée sans aucun coût, vous n’avez aucun problème de souveraineté. Il vous suffit de passer à un autre composant ou fournisseur.
La plupart des organisations en sont incapables. La cause n’est pas la dette technique. C’est la « gravité technique ». Les migrations peuvent prendre des mois et peser lourdement sur les budgets. Il affirme que la gestion des identités et des accès constitue l’une des principales contraintes ; commencez donc par là.
Chaque choix a un coût
Vous payez pour bénéficier d’un contrôle accru en termes de fonctionnalités, d’assistance et de coûts. Il en va de même pour la résilience. Une haute disponibilité peut signifier six serveurs au lieu d’un seul. Chaque copie supplémentaire de vos données – en production, en sauvegarde, physiquement isolée ou conservée dans une « ambassade de données » – engendre un coût supplémentaire. Ce sont votre appétit pour le risque et votre secteur d’activité qui déterminent le niveau approprié.
Le point de vue de Mark : l’objectif n’est pas d’atteindre une souveraineté maximale, mais de trouver le juste équilibre en fonction de votre appétit pour le risque.
Identifiez vos dépendances, puis déterminez ce qui doit primer
Le conseil de Dirk est d’adopter une approche fondée sur les risques. De petits éléments peuvent entraîner de graves défaillances, et une seule dépendance DNS peut vous paralyser. Mark a ajouté que la cartographie des dépendances vous fournit le filtre nécessaire. Classez vos services métier et les données qui les sous-tendent. Il n’est pas nécessaire que l’intégralité de votre parc soit souveraine. Une fois que vous les avez classés, le défi s’amenuise rapidement.
Il s’agit d’un exercice métier, et pas seulement informatique. Demandez aux métiers ce qui est critique et vous entendrez toutes sortes de réponses. Décomposez le tout en processus clés et une liste restreinte se dégagera.
Les contrats avec les fournisseurs vous permettent de garder le contrôle – les tests vous donnent les moyens d’agir
Un contrat solide avec les fournisseurs est essentiel. Dirk recherche des clauses claires, telles qu’un délai de 12 ou 24 mois pour résilier le contrat si un fournisseur cesse de fournir un service. J’ai ajouté que les accords de services de transition précisent en détail comment se déroule la transition. Cela couvre une partie de l’aspect juridique. Cela ne résout pas la question de la résilience, qui est une capacité opérationnelle difficile à mettre en œuvre.
Il faut donc tester le système. Le conseil de Mark est d’effectuer ce contrôle avant d’y être contraint. Transférez régulièrement des données d’un prestataire à l’autre. Faites-le lorsque l’expert habituel est absent. Vous ne voulez pas découvrir vos lacunes à deux heures du matin.
Par où commencer ?
Le conseil de Dirk à un dirigeant qui entame son parcours vers l’autonomie :
- Commencez par ce qui vous est familier. Définissez votre « produit minimum viable » en identifiant les éléments indispensables dont vos collaborateurs ont besoin pour faire leur travail.
- Définissez vos processus critiques. Si une heure d’indisponibilité vous conduit à la faillite, ce processus est critique. S’il s’agit d’un processus tel que la paie, pour lequel vous disposez de sauvegardes ou de solutions de secours à mettre en œuvre pendant l’indisponibilité du système, il n’est pas critique.
- Faites le point sur vos dépendances. Examinez d’un œil critique votre infrastructure technologique, non seulement sous l’angle de la souveraineté ou de la géographie, mais aussi du point de vue des fournisseurs. Que se passerait-il si ce fournisseur triplait ses prix ? Serais-je pris en otage ? Ou pourrais-je dire : « Non, je vais changer de fournisseur » ?
J’ajouterais un critère supplémentaire : pouvez-vous toujours effectuer des virements et continuer à servir vos clients ? Si les euros continuent de circuler, c’est que vous êtes toujours opérationnel.
Pourquoi ce débat est-il important ?
La souveraineté continuera à occuper une place de plus en plus importante dans les priorités des dirigeants. Ceux qui considèrent la souveraineté numérique comme une fin en soi poursuivront un idéal qui n’existe pas. Ceux qui la considèrent comme une capacité opérationnelle construiront quelque chose de mieux : la capacité avérée de changer de cap, de se remettre sur pied sans heurts et de maintenir les processus critiques en fonctionnement. C’est cela,le ResOps.
Dirk conclut par le meilleur conseil de la session : restez pragmatiques. Préparez-vous au pire scénario que vous puissiez raisonnablement envisager, et considérez cela comme un exercice.
Regardez l’épisode dans son intégralité
Au cours de cette conversation, nous abordons les thèmes suivants :
- Pourquoi l’autonomie et la résilience sont des objectifs plus importants que la souveraineté.
- Comment reconstruire un écosystème d’écosystèmes.
- À quoi ressemble concrètement un objectif en matière de durée de portabilité ?
- Comment cartographier les dépendances et déterminer le bon niveau de souveraineté.
- Les trois premières étapes à suivre pour les dirigeants qui se lancent dans cette démarche.
Regardez-le dès maintenant.Et pourEn savoir plus sur la souveraineté numérique, nous avons rassemblé une sélection de ressources, comprenant un rapport de Readiness, un webinaire, ainsi que plusieurs articles de blog et podcasts.
FAQ
Q : La souveraineté numérique est-elle synonyme de résilience ?
R : Non, mais ces deux notions se recoupent. La souveraineté est une capacité opérationnelle s’inscrivant dans le cadre d’opérations résilientes. Elle entre en jeu lorsque vous devez exercer un contrôle, par exemple pour réaffecter une charge de travail ou mettre fin à une relation avec un fournisseur.
Q : Qu’est-ce qu’un objectif de durée de portabilité ?
R : Il s’agit du temps nécessaire pour remplacer un composant ou un service critique par une alternative. Plus ce délai est court, plus votre risque en matière de souveraineté numérique est faible.
Q : Tout doit-il nécessairement relever de la souveraineté ?
R : Non. Cartographiez vos dépendances, classez les services et les données, puis appliquez le niveau de contrôle adapté en fonction de votre appétit pour le risque.
Q : Qu’est-ce que la souveraineté minimale viable ?
R :La souveraineté minimale viablecorrespond à l’ensemble minimal d’exigences dont une organisation a besoin pour exercer un contrôle effectif sur ses actifs numériques, ses opérations et ses données, sur la manière dont les données doivent être traitées, sur les lieux où elles peuvent être hébergées et sur les plans de secours qui doivent être disponibles. L’emplacement des plateformes technologiques et de l’infrastructure a son importance, mais il ne suffit pas à lui seul.
Q : Par où dois-je commencer ?
R : Commencez par votre environnement de travail : identifiez vos processus critiques et dressez un inventaire de vos dépendances technologiques et vis-à-vis de vos fournisseurs.
Ruben Rendersest directeur des solutions MSP chez Commvault.
