rapport d'information fait au nom de la mission d'information sur le thème « Bâtir et promouvoir une souveraineté numérique nationale et européenne » — Auditions

À titre d’exemple, Airbus avait décidé de créer un écosystème pour être connecté à tous ses clients, compagnies aériennes, notamment pour améliorer la performance en service des avions. Des échanges de données sont acceptés entre les compagnies aériennes et Airbus, mais non entre les compagnies aériennes elles-mêmes, qui sont concurrentes. Cette plateforme a permis de le faire et de le démontrer à plus de cent reprises puisque 130 compagnies aériennes sont connectées à cette plateforme Skywise, pilotée par Airbus, qui est une première mondiale à cette échelle.

Une des autres spécificités de notre plateforme est que son design permet au client de respecter la loi et la protection des données personnelles. Vous me direz que c’est la moindre des choses, mais ce n’est pas partout évident. Il s’agit du legal by design. Nous n’avons pas eu à modifier le logiciel lorsque le Règlement général sur la protection des données (RGPD) a été édicté. Bien au-delà, nous permettons au client d’avoir une granularité beaucoup plus fine que ce qui est demandé actuellement par la loi. Non seulement nous ne regrettons pas la mise en œuvre du RGPD, mais ce type de règle est essentiel pour combiner l’utilisation de technologies qui sont indispensables pour que la France se modernise et ne soit pas dépassée par rapport à d’autres pays. Nous continuons ainsi à obéir à des règles d’éthique qui peuvent être tracées, contrôlées et auditées.

De plus, je n’ai guère vu de solution qui permette à des non-experts d’utiliser les données sur une plateforme. Foundry le permet. Elle fait le lien entre le monde de la donnée, de l’analytique et le monde opérationnel. Par exemple, si je suis un technicien de maintenance, je sais, sans formation particulière dans le numérique, utiliser des modules qui ne nécessitent pas que je sache coder ou même utiliser des tableaux Excel. Si je suis un ouvrier d’Airbus, un compagnon sur la chaîne d’assemblage, je vais pouvoir m’assurer qu’en cas de problème de qualité, j’ai des aides à la décision qui viennent du logiciel.

Le logiciel permet à diverses équipes de collaborer sur un sujet donné. C’est un élément essentiel de ce que peut apporter l’intégration des données. Nous savons faire travailler des sous-traitants avec des clients, différents secteurs d’activité qui sont normalement dans des « silos » organisationnels, notamment dans de grands groupes.

Enfin, je n’ai pas vu de limite de taille ou de complexité dans la gestion de bases de données de nos clients.

Je présente souvent Palantir comme un anti-GAFA, non seulement par la taille, mais aussi parce que nous ne récupérons pas de données. Nous nous refusons à faire du data crunching, c’est-à-dire aller récupérer des données pour le client. Des données sont disponibles en open source, de l’open data, ce qui est différent. Tout le monde a accès à ces données et nous permettons à nos clients de les intégrer très simplement.

Nous l’avons fait à de nombreuses reprises auprès de nos clients industriels pendant la crise du Covid. Il y avait beaucoup d’informations publiques. Ces entreprises devaient pouvoir réagir, établir des scénarios, faire des simulations en fonction des évolutions de l’épidémie, qui impacte la demande, leur clientèle, mais aussi leur base de sous-traitance, leurs flux d’approvisionnement. Nous avons apporté ces éléments en temps réel.

En outre, nous ne stockons pas les données. Ainsi, ce que j’entends sur le fait que Palantir récupérerait les données, de santé ou d’autres domaines, de ses clients et deviendrait le « roi du monde » est faux. Palantir n’a pas accès aux données, sauf lorsque le client demande un soutien spécifique d’ingénieurs de Palantir pour l’aider à atteindre des objectifs opérationnels.

Dans le travail d’enquête sur la lutte antiterroriste, l’un des domaines sensibles, les ingénieurs de Palantir et les enquêteurs ne travaillent jamais « main dans la main ». Les enquêteurs ont été formés pour valoriser eux-mêmes leur travail. Lorsqu’il y a besoin d’un soutien technique particulier, les équipes de Palantir sont présentes. En France, ce sont des ingénieurs français sortant des plus grandes écoles, qui ont été habilités, avec le degré adéquat d’habilitation, par le ministère de l’Intérieur.

Nous ne manipulons pas les données des clients. Nous ne les vendons pas, nous ne les monétisons pas. Nous permettons au client de valoriser lui-même sa mine d’or constituée de toutes les données disponibles, beaucoup plus vite qu’avec toute autre solution. Il peut soit rattraper son retard, soit prendre de l’avance sur les solutions plus classiques du big data qui sont proposées par de plus grands groupes. Palantir a investi au total environ 3 milliards de dollars depuis sa création, dans seulement deux plateformes logicielles, l’une pour un usage d’enquêteur gouvernemental, l’autre, générique, pour l’ensemble des autres activités, notamment commerciales.

Enfin, vous pouvez penser que si vous travaillez avec Palantir, vous serez « scotchés » à tout jamais avec nous, que si vous déployez la plateforme logicielle, vous serez pieds et poings liés, ce qui peut vous poser un problème de souveraineté. Vous ne voulez pas dépendre d’un partenaire dans la durée. Sachez d’abord que la plupart de nos clients étendent leurs contrats et que dans le domaine commercial, où la concurrence est forte, la durée moyenne de ces contrats s’établit à plus de six ans, ce qui montre une relation de confiance.

De plus, la plateforme logicielle n’est pas basée sur des codes propriétaires, que vous trouverez chez des éditeurs que je ne nommerai pas, dont certains sont français. Vous choisissez leur logiciel, il peut être excellent, mais ensuite, il est quasiment impossible d’en sortir. J’ai vécu cette expérience dans l’aéronautique, au moins auprès de deux grandes entreprises mondiales. Là, vous avez une plateforme logicielle dont la propriété intellectuelle appartient à Palantir, mais tout ce qui est développé peut l’être avec des codes du commerce, de l’open source. Tout ce qui est développé par le client lui appartient. Nous ne discutons pas de ces points.

Nous avons également démontré, à de nombreuses reprises, la réversibilité de la solution. Un client qui a développé son intégration et son analyse de données sur la plateforme peut, dès lors qu’il y aurait un concurrent meilleur ou français, changer simplement cette solution. Nous faisons évoluer en permanence les technologies et nous conservons une longueur d’avance sur la concurrence. Notre intérêt commercial est d’expliquer au client qu’il n’est pas bloqué avec nous et que nous travaillons dans un partenariat qui peut évoluer dans la durée. Nous espérons conserver le client, mais il peut sortir.

En France, nous sommes passés d’une trentaine d’ingénieurs, lorsque j’ai rejoint Palantir, fin 2018, à un peu plus d’une centaine. Nous sommes restés stables l’année dernière. Ce sont des ingénieurs de très haut niveau, qui ont une double compétence. Ils ont évidemment une compétence de data science. Ils sont capables de maîtriser parfaitement les outils, de former des utilisateurs. Ils ont aussi un sens business qui leur permet d’appréhender les enjeux opérationnels des clients. S’il s’agit, par exemple, de qualité de produits en usine, il faut être capable d’aller dans des usines et de s’interfacer avec de vrais opérationnels, les aider à comprendre ce qu’ils peuvent faire de cette plateforme.

Nous avons très peu d’équipes commerciales, ce qui est sans doute un point de faiblesse. Nous essayons de vendre notre produit à travers son excellence technique et notre approche de partenariat.

Nous avons la volonté de devenir, malgré la nationalité de la société mère, un acteur français de la tech – piloté par des ingénieurs français, lorsque cela est demandé. De plus en plus de groupes internationaux sont basés en France et nécessitent des équipes internationales, mais dans les cas de missions de souveraineté, il est bon de proposer des ingénieurs de talent, qualifiés, si nécessaire habilités et français.

Enfin, nous nous inscrivons dans un cadre où nous ne sommes pas un spécialiste de l’intelligence artificielle. Nous facilitons très grandement le travail des start-up qui, elles, pour la plupart, sont focalisées sur une application, sur des algorithmes qui permettent de donner de la valeur dès lors que les données sont disponibles. Nous sommes le catalyseur d’un écosystème. Je viens d’un grand groupe, le groupe Airbus. Il n’y avait pas que les avions dans ce groupe, il y avait aussi les activités de défense. Nous étions en discussion avec tous les autres « gros », ces grands groupes n’ayant ni l’ADN ni l’intérêt de développer un écosystème de start-up françaises qui viendraient petit à petit montrer qu’elles sont plus dynamiques et casser leur monopole.

C’est d’ailleurs ce que Palantir a fait aux États-Unis. Pendant des années, elle a été rejetée du ministère de la Défense. Les « gros » là-bas s’appellent Northrop Grumman, Lockheed Martin, Boeing et bien d’autres. Ils étaient en relation privilégiée avec le ministère de la Défense et se lançaient dans de très grands programmes qui coûtaient des milliards de dollars, une somme à l’échelle américaine, alors que ces « zouaves » de Palantir venaient avec des solutions logicielles qui ne coûtaient même pas 10 % de ces sommes. Ils ont été rejetés pendant des années. Il a fallu qu’ils se battent avec persévérance pour faire changer les règles d’achat aux États-Unis et faire en sorte que les solutions logicielles soient démontrées avant d’être achetées. Si nous procédions ainsi en France, nous aurions beaucoup plus de start-up qui deviendraient des licornes.

Je n’ai pas la prétention de vous apporter la définition de la souveraineté du groupe Palantir. Je vous donne la mienne, en tant que président de Palantir France, citoyen et, je l’espère, acteur de la souveraineté, au moins pendant ma carrière dans l’aéronautique. Pour moi, être souverain, c’est être capable de maîtriser son destin, être capable, dans le domaine du numérique, de faire appel aux meilleures technologies pour atteindre nos objectifs. Ils peuvent être de protéger la nation française, de réformer l’État, d’avoir une politique de santé dynamique, en utilisant les meilleures technologies, tout en en contrôlant l’usage. La technologie numérique, si elle est bien faite, permet les deux.

Pour moi, la souveraineté numérique française ou européenne tient dans cette capacité à définir ses propres règles. La France et l’Europe n’ont pas tout à fait les mêmes règles que les États-Unis ou le Royaume-Uni. Il revient à l’Europe de définir ses règles, comme elle le fait dans GAIA-X. Elle doit dire ce qu’elle attend en tant que client, le check and balance, définir un cadre clair et faire en sorte qu’il soit toujours possible, par le politique, de vérifier comment l’administration utilise les solutions numériques.

M. Philippe Latombe, rapporteur. Ce n’est pas méchant, mais vous seriez une femme, je vous épouserais tout de suite. Vous avez toutes les qualités. Vous présentez la société Palantir comme respectant la totalité de toutes les règles. Vous dites que vous n’avez même pas eu besoin de modifier le logiciel au moment de l’arrivée du RGPD parce que vous aviez un legal by design d’une granularité extrêmement fine. Comprenez-vous les « levées de bouclier » à l’encontre de Palantir, notamment parce que vous vous êtes exprimé sur la souveraineté française et européenne dans une émission de télévision ?

Nous devrons aussi parler de vos origines et de votre capital. Vous dites que vous êtes petit, mais vous pesez quand même autour de 20 à 25 milliards de dollars de capitalisation. Vous générez 1,1 milliard de dollars de chiffre d’affaires. Comprenez-vous ce mouvement, qui est aussi lié à GAIA-X ? Le fait que vous vous associiez au projet a généré une levée de boucliers et une inquiétude très forte de l’écosystème numérique français et européen. On ne comprend pas comment une société américaine de votre calibre participe de la souveraineté française ou européenne.

M. Fabrice Brégier. La souveraineté, c’est bâtir cet ensemble de règles, ce n’est pas être opposé à toute évolution technologique, et je sais que vous ne l’êtes pas. C’est utiliser le meilleur de ces technologies, sans lesquelles la France sera définitivement dépassée, c’est une certitude, au plan militaire, de la réforme de l’État, de son efficacité et de la performance de ses entreprises. C’est aussi en définir les règles pour qu’elles soient compatibles avec nos règles d’éthique, pour qu’il y ait un espace de confiance, pour que cela puisse être bâti dans une architecture de souveraineté, avec des supra-acteurs complètement souverains. C’est aussi stimuler un écosystème créateur de valeur pour la France.

La définition pourrait être autre, et j’ai parfois l’impression que c’est le cas. Votre question me le fait penser. Si pour vous, la souveraineté, c’est utiliser des solutions françaises, nous aurons des soucis, et je ne parle même pas de Palantir, je parle des GAFA, pour pouvoir les rattraper et faire en sorte que chaque Français puisse utiliser des logiciels purement français. Là, vous êtes soumis au lobbying des grands groupes franco-français. Ce lobbying est très simple : il consiste à dire que la souveraineté est un point tellement important qu’elle doit être pilotée par des acteurs français. Je pense que c’est une mauvaise définition. La souveraineté est très importante, vous en définissez le cadre. Il est évidemment nécessaire de faire en sorte que des acteurs français émergent, que des start-up se développent au plan national, qu’elles soient soutenues. Peut-être, dans certains domaines sensibles, faut-il seulement des acteurs français compte tenu de cette sensibilité, mais la souveraineté, ce n’est pas faire le lit des lobbyistes des grands groupes français, dont je faisais partie il y a peu de temps.

Je n’ai pas d’acteurs de lobbying chez Palantir. En ayant rejoint Palantir France, je pense que je contribue à la performance de mes clients, à ce que les clients commerciaux jouent d’égal à égal avec leurs grands rivaux. J’ai contribué à ce qu’Airbus, en s’appuyant sur Palantir, pourtant société américaine, relègue Boeing au second plan sur le digital. Demandez aux acteurs du monde de l’aéronautique ce qu’ils en pensent. Il y a cinq ans, Boeing était pourtant très en avance sur Airbus. L’avons-nous fait la « fleur au fusil » ? Non. Nous avons audité cette société, nous avons regardé sa façon de travailler. Dans ce cas spécifique, puisqu’il n’y avait que deux acteurs au plan mondial, nous avons demandé à Palantir d’exclure Boeing de ses clients potentiels. Le résultat est manifeste et démontre que cette association a permis à Airbus de gagner non seulement en performance, mais aussi en relation avec ses clients.

Cette souveraineté peut aussi être au service de l’État. Quand j’aide indirectement un État comme la France à lutter contre le terrorisme, je pense que c’est un acte souverain, que la nationalité du logiciel n’a aucun intérêt et que dans le cas où un logiciel français arriverait à réaliser cette performance pour d’autres raisons, il serait possible de nous remplacer. Nos solutions sont réversibles.

S’agissant de GAIA-X, je l’ai dit, nous ne sommes pas un acteur du cloud. Nous sommes en relation avec ces sociétés du cloud. Nous travaillons avec Amazon, Azure, Google, avec des systèmes propriétaires auprès de nombreux clients gouvernementaux. Nous ne souhaitons pas définir notre propre politique, mais partager notre expérience parce que notre intérêt est que l’Europe se dote de règles claires pour avoir des clouds dits souverains.

M. Philippe Latombe, rapporteur. Vous avez légèrement transformé mes propos. Je vous posais simplement la question de savoir comment vous perceviez ce qui est dit sur vous. Je n’ai pas posé de définition particulière de la souveraineté dans ma question.

Sur les clouds, nous avons des questions juridiques. Palantir est-elle soumise à des règles extraterritoriales américaines ? Si oui, lesquelles ? Y a-t-il eu des demandes de la part d’autorités américaines vis-à-vis de Palantir ? Qu’y avez-vous répondu ? Comment répondez-vous à ces demandes quand elles sont présentées ? Nous avons une vraie question sur l’extraterritorialité : le fait que vous soyez Palantir France n’exclut pas des règles extraterritoriales américaines.

M. Fabrice Brégier. Palantir n’a pas accès aux données de ses clients. Elle n’héberge pas les données. Elle n’est pas un acteur du cloud. Vous choisissez Palantir et, par exemple, AWS pour la solution cloud ou Microsoft Azure, les deux grands leaders dans le domaine de l’entreprise. J’espère qu’OVH arrivera prochainement à ce niveau grâce à son partenariat avec Google. Le client décide qui héberge ses données, avec ses propres clés de cryptage. Palantir n’étant pas un acteur du cloud, elle n’est pas soumise au Cloud Act. À ma connaissance, depuis que je suis chez Palantir, nous n’avons jamais reçu une demande de la nature que vous évoquez.

M. Philippe Latombe, rapporteur. Vous ne répondez pas sur le FISA.

M. Fabrice Brégier. Je ne sais pas ce que vous évoquez. Nous déployons une plateforme logicielle totalement maîtrisée par le client. Même si nous étions sous pression de quelque autorité, nous ne pourrions pas transférer de données. Nous ne sommes pas dans une logique de cloud provider américain, qui, même avec un hébergement de données en France ou en Europe, peut être sous pression de son instance dirigeante puisqu’elles sont hébergées sur ses propres serveurs. Nous n’avons pas à être soumis à ces règles.

M. Olivier Tesquet, journaliste spécialisé dans les questions numériques à Télérama. À vous écouter, Palantir serait une entreprise franco-française. Il manque tout de même des éléments de contexte importants. Cette entreprise a été fondée après les attentats du 11-Septembre, avec des fonds d’In-Q-Tel, le fonds d’investissement de la CIA. Le palantir, pour une personne qui serait familière de l’univers du Seigneur des Anneaux, c’est cette pierre qui permet de voir partout, tout le temps. Ce nom signe tout de même un pedigree.

S’agissant de souveraineté ou de sentiment d’appartenance à une nation ou à une valeur, je relisais avant cette audition la documentation qu’avait fournie Palantir à la Securities and Exchange Commission (SEC), l’autorité des marchés financiers américaine, juste avant son introduction en bourse. Je lisais la lettre qu’avait transmise Alex Karp, le patron de l’entreprise. Il écrivait que les solutions logicielles de Palantir étaient utilisées par les États-Unis et leurs alliés. La formulation m’a quelque peu interpellé, parce qu’elle montre que nous sommes face à une entreprise américaine qui évolue dans un environnement constitué de pays considérés comme amis.

Après avoir lu cette petite phrase, me sont revenus immédiatement en mémoire les propos de Jean-Jacques Urvoas, qui n’était pas encore garde des Sceaux à l’époque, mais président de la commission des lois de l’Assemblée nationale. Il avait déclaré : « Les États-Unis n’ont pas d’alliés, ils n’ont que des vassaux et des cibles. » Il ne parlait pas spécifiquement du renseignement, mais c’est particulièrement vrai dans ce domaine.

Dans ces conditions, je m’interroge sur l’obédience d’une société comme Palantir, qui a comme membre fondateur Peter Thiel. Il est le grand argentier conservateur de la Silicon Valley, mais il a le droit d’avoir l’appétit et les affinités politiques qu’il souhaite. Nous ne sommes pas face à quelqu’un qui est anodin. Dans des écrits de 2009, il a, par exemple, fait des déclarations indiquant que la liberté et la démocratie n’étaient pas forcément des valeurs très compatibles. Il est un libertarien, avec une vision assez absolutiste. Je me souviens également d’une interview qu’il avait donnée sur Reddit en 2014. Il y expliquait que Palantir n’était pas une façade de la CIA, la CIA était une façade de Palantir. Il pouvait s’agir d’une provocation, mais ces propos interpellent malgré tout. Ils peuvent susciter une forme de méfiance.

M. Fabrice Brégier nous a également expliqué que Palantir était l’anti-GAFA, mais Peter Thiel siège au conseil d’administration de Facebook. Nous avons appris ces derniers mois qu’il avait financé la société Clearview, à hauteur de quelques millions de dollars, ce qui n’est certes pas grand-chose. Elle fait de la reconnaissance faciale. En aspirant des visages sur Internet, elle a construit la plus grande base de données de reconnaissance faciale, vendue ensuite à des forces de police, ce qui a suscité plusieurs contentieux.

M. Fabrice Brégier. Vous n’interrogez pas Peter Thiel.

M. Olivier Tesquet. Je sais, mais vous êtes le représentant d’une entreprise dont le cofondateur est Peter Thiel.

M. Fabrice Brégier. Peter Thiel est quelqu’un de très respectable, mais nous n’allons pas passer une demi-heure sur lui. Nous pourrions passer une demi-heure sur le vrai dirigeant opérationnel, Alex Karp, qui a le profil opposé. C’est un juriste qui possède un doctorat de philosophie, qui est démocrate et pro-européen.

M. Olivier Tesquet. J’entends que le « pedigree » de M. Karp est différent. Je remarque d’ailleurs que chaque fois qu’il s’agit d’éteindre l’incendie, comme quand Palantir est accusé d’être le bras armé de la politique migratoire de Donald Trump et de favoriser l’expulsion de milliers de clandestins aux États-Unis sous la mandature précédente, on envoie Alex Karp pour faire un peu de relations publiques. Il n’aura échappé à personne qu’il était plutôt d’obédience marxiste, qu’il a étudié avec Habermas quand il était en Allemagne. Personne ne le conteste. Je me souviens toutefois d’une interview au Financial Times, à l’automne dernier, dans laquelle il expliquait que ce qui se jouait était une bataille pour l’Intelligence artificielle entre les États-Unis et la Chine et que l’hyperpuissance qui remporterait ce combat régnerait sur le monde.

Je sais que ce n’est pas l’audition de Peter Thiel, mais celui-ci dirige un fonds d’investissement, le Founders Fund. Il finance un certain nombre d’entreprises. Je pense à une autre société qui tire son nom du Seigneur des Anneaux qui s’appelle Anduril, fondée par Palmer Luckey. Il a créé les casques Oculus de réalité virtuelle. Parmi ses premières inventions, il avait mis au point un mur virtuel qui avait vocation à remplacer le mur physique que ne pouvait pas se payer Donald Trump.

Nous sommes donc quand même face à une entreprise qui vise une protection assez explicite des intérêts américains, qui est présentée comme telle. Il me semblait important de le rappeler. Par ailleurs, je pense que ces interrogations infusent assez haut dans l’appareil d’État en France. La DGSI travaille depuis longtemps sur des alternatives à Palantir pour essayer de s’en dégager. Je crois savoir, et je ne suis probablement pas le seul dans cette réunion, que la solution ne fait pas l’unanimité au sein de l’état-major français.

M. Fabrice Brégier. Je ne sais pas ce qui vous permet de dire cela.

M. Olivier Tesquet. Un projet qui s’appelle OTDH a vocation à remplacer Palantir.

M. Fabrice Brégier. Je ne peux pas vous laisser dire cela. Le partenariat est suffisamment confidentiel pour que je n’en divulgue pas les détails. Il a été exemplaire, après un début difficile. Tout le monde est « tombé » sur le choix de la solution américaine, « Palantir agent de la CIA », début 2016, notamment toutes les entreprises françaises qui, à l’époque, en échange d’une somme de l’ordre de 500 millions d’euros, étaient prêtes à développer, en trois ans, un logiciel pour le compte de la DGSI. Ainsi, pendant trois ans, nous ne faisions rien, nous ne luttions pas efficacement contre le terrorisme. Or, trois ans après, il n’y a toujours pas de solution disponible et notre contrat, lui, a été prolongé pour au moins trois ans. Prendre ce contrat juste pour ses propres intérêts, à coups d’argent public, pour essayer de développer une solution nationale qui ne marche toujours pas, six ans après, je considère que c’est agir contre la souveraineté de la France.

M. Philippe Latombe, rapporteur. Cette question fait partie de celles que cette mission a soulevées depuis de nombreuses auditions.

M. Fabrice Brégier. C’est pourquoi je suis ravi de pouvoir m’exprimer sur le sujet.

M. Philippe Latombe, rapporteur. Vous vous présentez comme un anti-GAFAM. Or, nous savons qu’il y a eu une volonté hégémonique des GAFAM de prendre commercialement la place, de prendre le marché et d’instaurer leurs propres standards. Qu’est-ce qui rassurerait et montrerait que Palantir ne ferait pas la même chose à terme ?

Vous nous dites également que vous stimulerez l’écosystème. Vous l’avez dit vous-même, Palantir a été retenu par la DGSI pour le premier appel d’offres de trois ans, renouvelé par un deuxième appel d’offres de trois ans. Pendant ce temps-là, qui peut prendre votre place et qui peut avoir la surface technologique et l’expérience pour développer une solution ? N’est-ce pas antinomique d’être le leader et de dire que vous permettrez l’émergence d’un écosystème ? C’est une question ouverte, qui serait valable pour d’autres acteurs américains, pas simplement Palantir.

M. Fabrice Brégier. La phrase concernant les États-Unis et ses alliés correspond à ce que j’ai dit en d’autres termes : États-Unis et démocraties occidentales. J’y ai ajouté le Japon et la Corée du Sud, qui n’ont rien d’occidental, mais qui sont des alliés des États-Unis. L’image vise à rappeler que nous ne vendons pas ces logiciels au monde entier. Regardez les entreprises françaises d’armement : elles vendent à un spectre beaucoup plus large, sans savoir ce que sera l’utilisation finale de ces armements, avec l’accord de l’État. Là, c’est une autocensure de Palantir. Vous pouvez l’interpréter et faire de la genèse de texte pour savoir si la France est un véritable allié des États-Unis, mais arrêtons. La France, l’Allemagne, les pays nordiques, le Royaume-Uni, l’Europe du Sud, le Japon, la Corée sont clairement dans cette catégorie. Ce n’est pas une demande des États-Unis, c’est une autocensure décidée par Alex Karp, compte tenu de l’importance de telles technologies et des garde-fous qui doivent être prévus. Elles doivent être utilisées par des démocraties, qui définissent ensuite leurs propres règles.

Palantir assume de travailler pour les gouvernements, contrairement aux GAFA. Les GAFA ont pris l’argent des États-Unis et ont tourné le dos au gouvernement américain. C’est en tout cas ce qu’affirme Alex Karp. Nous, nous assumons totalement d’avoir des missions de souveraineté pour les gouvernements, et pas seulement pour le gouvernement américain. Travailler dans les pays d’Europe du Nord n’est pas simple. Il faut leur démontrer tout ce qui doit être fait pour la protection des données personnelles. C’est au moins aussi sévère qu’en France.

Nous l’avons fait dans tous les pays, si ce n’est qu’en France, nous avons des entreprises qui n’acceptent pas qu’une start-up de cette nature, qui, certes, emploie maintenant 2 500 salariés, prenne leur place. Elles ont des capacités de lobbying et font jouer la fibre nationale, pour ne pas dire nationaliste, et celle concernant In-Q-Tel et la CIA. Or, la France doit agir de la même façon.

Le métier d’In-Q-Tel est de dénicher des pépites qui peuvent aider à la sécurité nationale des États-Unis. Palantir a été un bon choix de ce point de vue. Je ne sais même pas si In-Q-Tel est toujours au capital. Le fonds n’apparaît pas dans les rapports dans la mesure où le capital est désormais détenu en totalité par des investisseurs privés. Les règles de marché régissent Palantir, mais ces fonds ont permis à la société de prendre des risques et de se développer au-delà de ses investisseurs d’origine.

En France, il me paraîtrait intéressant que Bpifrance continue son travail remarquable d’investissement dans des entreprises de taille intermédiaires (ETI) ou même des grands groupes stratégiques, mais aussi dans les fonds d’investissement à l’usage de la tech et des start-up. J’ai également en tête le fonds Definvest, piloté par le ministère des Armées, qui investit dans des start-up de la tech. Dirions-nous que ces start-up sont dans la main du ministère de la Défense français, ne peuvent pas travailler à l’étranger, ne peuvent pas exporter ? Certainement pas. Un coup de pouce leur est donné et cela s’arrête là. Le parallèle doit être fait avec Palantir, qui assume de travailler pour les États, contrairement aux GAFA.

La capitalisation boursière des GAFA se situe autour de 1 000 milliards de dollars. Nous n’en sommes pas encore là. Nous ne sommes pas du tout comparables à la taille d’un GAFA. Nous n’avons pas les mêmes pouvoirs de lobbying, en France, en Europe ou à Bruxelles. Nous n’avons personne. Nous sommes une petite structure.

Nous aidons les clients à valoriser leurs données, nous n’y avons pas accès et nous n’avons pas l’intention de les monétiser, de les transformer ou de les vendre. Je ne peux pas le dire plus simplement. C’est un schéma établi. Même quand on nous demande si nous pouvons faire du crunching de données, sur Facebook ou autres, nous nous y refusons. C’est au client de le faire. D’autres entreprises ont moins de scrupules et le font pour lui. Nous, nous prenons les données de nos clients et nous les aidons à les valoriser et à les intégrer. C’est pour ces raisons que cette appellation d’anti-GAFA fait sens quant aux règles de comportement.

M. Olivier Tesquet. Je suis d’accord avec vous sur plusieurs points, mais je n’ai pas particulièrement de fibre nationale ou nationaliste sur ces questions. Je ne suis pas lobbyiste. Je crois que mon travail sur ces sujets me confère un certain totem d’immunité sur ce point.

M. Fabrice Brégier. Absolument.

M. Olivier Tesquet. Je vous rejoins sur le fait que, contrairement aux GAFAM, votre actif principal n’est pas publicitaire. Il ne provient pas de données personnelles que vous vendriez au plus offrant pour garantir votre hégémonie commerciale. En revanche, la manière dont vous présentez les choses donne presque l’impression que vous êtes une entreprise caritative et je ne vois pas très bien comment vous créez de la valeur.

M. Fabrice Brégier. Nous vendons notre logiciel.

M. Olivier Tesquet. Oui, des entreprises achètent le logiciel et paient des licences. En revanche, que se passe-t-il concrètement quand une entreprise, une administration ou un ministère veut se désengager ? Je me souviens d’un contentieux avec la police de New York. Quand elle a voulu se désengager de Palantir, elle a eu toutes les peines du monde, non pas à récupérer ses données, puisque celles-ci lui appartenaient, mais l’interprétation qui en avait été faite. Qui est propriétaire de cette analyse ? Quand Palantir signe avec le National Health Service (NHS), le système de santé publique britannique, celui-ci fournit ses données hospitalières dans un contexte sanitaire compliqué, avec gradation du contrat d’une livre symbolique, puis à un million de livres et jusqu’à vingt-trois millions de livres. Je suppose que des simulations sont réalisées à partir de ces données : ces données sont-elles alors entre vos mains ?

M. Fabrice Brégier. La réversibilité est un sujet fondamental. Les développements réalisés par le client, que ce soit les travaux sur la donnée, les algorithmes, tout ce qui « tourne » sur la plateforme, lui appartiennent. Il n’y a pas de problème de propriété intellectuelle. Cette garantie est contractuelle. Ensuite, tous les développements dans des langages ouverts peuvent être réutilisés tels quels par une plateforme du même acabit, sans difficulté. Nous avons aussi démontré à des clients qui souhaitaient changer de société de cloud que nous pouvions les aider à transposer toutes leurs données de la société A à la société B, en quelques semaines, ce qui constitue un exploit dans le cas d’un très grand groupe. Cette réversibilité existe donc.

Je suis dans le camp du pragmatisme. À supposer que la définition que vous retenez de la souveraineté soit d’en faire le maximum en France, dès lors qu’une solution française serait disponible, elle pourrait se substituer à celle de Palantir. Entretemps, que faisons-nous ? Rien ? Il y a des domaines considérables d’amélioration de la performance de l’État grâce à des solutions comme la nôtre.

Vous avez cité celui de la santé. Il est très sensible dans la mesure où il agrège des données personnelles et des données de santé. Sur nos plateformes, il n’y a pas de données personnelles. Elles sont regroupées et anonymisées. Une telle plateforme sert à suivre le comportement de l’épidémie. Vous n’avez pas besoin de savoir que Fabrice Brégier ou M. Dupond est dans telle ou telle catégorie. Généralement, le client lui-même prend ses propres protections, car il est, à juste titre, sous la supervision d’équivalents de la commission nationale de l’informatique et des libertés (CNIL). Les éléments sont utiles aux chercheurs, aux épidémiologistes pour suivre l’évolution de l’épidémie en temps réel à l’échelle du pays, de la région ou du quartier. La granularité forte maintient cette anonymisation.

La plateforme sert aussi à tout ce qui a trait à la chaîne logistique, autour de l’organisation des moyens de secours, des hôpitaux, de la vaccination. Ce n’est pas Palantir qui décide qui sera vacciné. Nous n’en savons rien. Les services de l’État coopèrent et décident quelle catégorie de population doit l’être. Ces personnes sont cependant pré-identifiées grâce aux bases de données et la diffusion peut être immédiate. En cas de changement, si une région devient beaucoup plus touchée, il est aussi possible de prendre des décisions immédiates et toute la chaîne logistique se met en œuvre.

Nous n’avons pas accès aux données personnelles, aux données de santé. Il n’y a pas de complot de Palantir qui nous permettrait de récupérer les données aux États-Unis, en Angleterre et dans d’autres pays du monde pour devenir le super connaisseur du domaine de la santé. Ce n’est pas ce que nous faisons et ce n’est pas ce que nous cherchons. Nous vivons en apportant des solutions immédiates, dans ce cas précis à une gestion de crise, en rendant service et en valorisant ce service à travers la vente d’une licence et le soutien d’équipes pour intégrer les données. Le seul lien qu’il peut y avoir avec des données intervient lorsque le client demande le soutien des ingénieurs de Palantir pour intégrer des données, toujours sur la plateforme d’hébergement du client. Ces éléments ne vont pas sur un serveur de Palantir. J’imagine qu’aux États-Unis et au Royaume-Uni, si ces ingénieurs répondent à des demandes de souveraineté plus poussée, ils seront aussi habilités.

Mes ingénieurs sont des ingénieurs de premier plan, qui ont la mission pour l’État chevillée au corps. Cela me fait mal au cœur pour eux qu’on suspecte qu’ils pourraient voler des données pour le compte de puissances étrangères alors que, par ailleurs, les portes sont grandes ouvertes pour des ingénieurs indiens, en sous-traitance de SSII françaises qui travaillent pour le Gouvernement français. Ce sont deux poids, deux mesures et vous devriez regarder ces aspects.

M. Philippe Latombe, rapporteur. Vous vendez des licences du logiciel Palantir. Vous n’êtes pas en langage propriétaire. Pour quelle raison personne ne vous a-t-il copié et n’arrive-t-il à avoir le même niveau que le vôtre ?

M. Fabrice Brégier. Le fait que toutes les interfaces ne soient pas en langage propriétaire ne veut pas dire que nous confions la propriété de ce que nous avons créé au monde entier. Nous protégeons notre savoir-faire. Si vous travaillez sur la plateforme de Foundry, vous n’êtes pas piégé parce que vous le faites avec des langages du commerce, que je ne vais pas énumérer. Ce sont les langages les plus classiques. Il s’agit d’un choix délibéré et raisonné. C’est le moyen d’avoir les logiciels les plus communs, donc sur lesquels la communauté d’ingénieurs travaille pour qu’ils soient les plus performants.

Selon notre vision, la vente de logiciels numériques se normalisera : d’ici quelques années, cinq ou dix ans, je ne sais pas, plus personne n’acceptera d’acheter des morceaux de logiciels qui ne se parlent pas entre eux et d’être obligé de faire un travail d’intégration. Quand vous achetez une voiture, on ne vous livre pas le moteur d’un côté et la boîte de vitesse de l’autre. Vous achetez un véhicule, avec l’intelligence intégrée à bord. Pour le numérique et le digital, ce sera la même chose. Vous ne pourrez le faire que si les briques sont basées sur du logiciel du commerce.

Pourquoi restons-nous à part ? Pourquoi même Microsoft ou Google ne font-ils pas ce que nous faisons ? Ils n’ont pas eu la même stratégie. Ils se sont surtout concentrés sur le cloud, qui est très profitable et nécessite d’énormes investissements. Ils possèdent cette capacité financière et de très bonnes technologies. Ils ont aussi misé sur l’Intelligence artificielle, l’analyse de la donnée, la création de la valeur, indépendamment de leur métier de GAFA. Palantir a travaillé sur l’amont, sur ce qui est aride, ce qui ne se voit pas : comment aider les clients à intégrer des sources de données disparates, de mauvaise qualité, pour leur permettre de remplir leur mission. Très peu d’entreprises l’ont fait de façon systématique. Nous avons une multitude de concurrents sur chacune des sous-briques, mais nous n’avons pas de concurrent frontal capable d’offrir cette solution. Cela ne veut pas dire que des clients ne peuvent pas développer leur transformation numérique sans Palantir, mais relier l’ensemble de ces sous-briques entre elles pour en tirer une véritable valeur suppose beaucoup plus d’efforts. Voilà le réel savoir-faire de Palantir, qui est le maitre d’œuvre de cette intégration de données.

Nous avons quand même investi trois milliards de dollars en R&D depuis la création de l’entreprise. L’avantage de ces sociétés américaines est que des investisseurs y croient. Dans notre cas, ils ont eu raison, mais ils auraient pu perdre leur investissement. Palantir reste un leader dans ce domaine.

M. Thomas Gassilloud. Le dilemme pour la France est de savoir si nous dépensons notre énergie en faisant confiance à une solution tierce, pour une efficacité à court terme, ou si nous faisons des efforts en interne, tout de suite, avec moins de résultats immédiats, mais en capitalisant sur le long terme. Nous pourrions énumérer le nombre de solutions technologiques pour lesquelles nous avons choisi d’investir dans nos propres solutions, avec des outils moins efficaces dans un premier temps, mais une autonomie stratégique par la suite. Plus nous attendons, plus il est potentiellement difficile de rattraper le retard. Le défi opérationnel pousse à développer des solutions.

Pour ma part, j’ai un peu plus de doutes sur la réversibilité de la solution de Palantir. Elle a l’air très efficace, mais elle impose quand même, en interne, dans les organisations, beaucoup de formations, de l’intégration. Elle ne serait donc pas immédiatement transposable.

En outre, je n’ai pas la vision complète des effectifs de Palantir en Europe, mais j’ai lu par ailleurs qu’il y avait 600 chercheurs en Angleterre et une centaine en France. J’aimerais connaître les effectifs au niveau de l’Union européenne. Je pense qu’il faudra une répartition si vous avez une ambition en Europe.

Je voudrais également modérer vos propos sur le fait que vous feriez peu d’efforts commerciaux. Je pense plutôt que vous faites des efforts gratuitement, en avant-vente, pour rencontrer des gens et leur demander leurs données pour voir ce que vous pourriez en faire. Je pense qu’avant de signer le contrat avec Airbus, Palantir a mis des ingénieurs à disposition pour faire parler les données. Avec les entreprises françaises, il y a peut-être un déficit quant à la capacité à investir de l’argent avant même de signer des contrats.

Enfin, j’aimerais votre avis sur Artemis.

M. Fabrice Brégier. Pourquoi opposer court terme et long terme ? Il faut être pragmatique. Les besoins sont flagrants. En tant que politiques, vous les voyez tous les jours. Ce n’est pas que la France est en retard, la situation est la même dans beaucoup de pays, y compris aux États-Unis. Des technologies existent pour faire un bond en avant. Il faut s’assurer qu’elles sont réversibles, que les données sont protégées. Ce point doit faire l’objet d’approbations par les services compétents. En revanche, pourquoi avoir une vision de long terme qui empêche d’agir pendant des années ? Si nous avions procédé ainsi dans l’aéronautique, nous n’aurions pas eu Eurocopter, qui s’appelle maintenant Airbus Helicopters, que j’ai eu l’immense honneur et plaisir de diriger pendant quatre ans. Nous n’aurions peut-être même pas eu l’aventure nucléaire. Il faut donc être pragmatique, répondre à des besoins qui sont très importants pour l’État français, en ayant la certitude que l’on peut changer de solution.

Dans une entreprise, si j’ai un logiciel Microsoft et que je veux passer à une suite Google, parce que Google a innové, ce n’est pas gratuit. L’entrepreneur le fait parce que c’est son intérêt et qu’il peut le faire. Il faudra cependant qu’il forme ses personnels à la nouvelle suite. Ce sont des coûts marginaux par rapport à ce dont nous parlons.

Ce n’est pas à moi de définir ce qui est à la fois souverain et français ou européen dans la souveraineté numérique, mais j’ai quelques pistes. Avec l’écosystème pour développer les start-up françaises, nous avons un atout fantastique. Ce n’est pas juste du marketing. Nous avons encore la chance d’avoir des ingénieurs de très haut niveau et reconnus comme tels par les Américains et les Britanniques. Beaucoup d’entre eux se lancent dans des start-up. Beaucoup échouent, certains sont sur le point de réussir. Il faut leur offrir un environnement qui ne soit pas seulement financier. J’ai la prétention de penser qu’une solution comme Palantir peut les aider à se développer, y compris à l’international, alors que nous ne sommes pas du tout sur ce créneau.

Le cloud souverain est une bonne chose. Doit-il exclure des solutions américaines ? Non, mais il revient à l’Europe et à personne d’autre de définir des règles. De même, nous avons des compétences de cyber, mais nous n’en sommes pas un acteur. La cybersécurité doit être nationale. On ne confie pas la protection d’un pan aussi important à des acteurs étrangers. Malgré mon côté européen, du fait de mes onze ans à la tête d’Airbus, j’aurais tendance à dire que ce domaine doit être français.

Voilà des thèmes, et il y en a d’autres, dans lesquels la France devrait investir massivement. Le peut-elle partout ? Peut-elle remplacer Palantir ? Peut-être. Peut-elle remplacer Google ? Vraisemblablement pas. Il faut choisir ses combats. En France, nous avons l’intelligence, mais nous n’avons pas tous les moyens. Le Quantique est un excellent exemple. Il n’y a pas de retard à rattraper. Nous avons des atouts. Nous investissons plusieurs milliards d’euros et le projet fonctionnera.

Il ne faut pas se tromper avec ce discours indiquant que la souveraineté correspond au tout français. Cela ne marchera pas, dans le numérique ou d’autres domaines. Prenez cette réussite fantastique qu’est le groupe Safran dans l’aéronautique, que je connais encore mieux que le digital. La réussite de Safran vient d’une association à 50/50 avec General Electric (GE), les vilains qui ont racheté Alstom. Cette association a permis à Safran de devenir leader des moteurs de l’A320 et du Boeing 737 et d’en faire un énorme groupe, si performant dans l’aéronautique. Quand j’étais Airbus et que j’achetais un moteur, je savais qu’il était 50 % américain et 50 % français. En 100 % français, il n’y aurait pas eu de moteur. Il faut donc être pragmatique dans ces domaines, avec les règles que vous avez évoquées.

Vous avez raison, notre développement en Europe a d’abord eu lieu au Royaume-Uni. Il y a environ 600 ingénieurs au Royaume-Uni. Ils développent une grande partie du logiciel Foundry. En France nous en sommes presque à une centaine d’ingénieurs, en Allemagne aussi. Nous avons des équipes dans d’autres pays européens, notamment en Europe du Nord. Sur les 2 500 à 3 000 employés de Palantir, je dirais que 1 000 employés sont européens. Nous sommes donc loin d’un groupe dirigé des États-Unis par les États-Unis. J’ai une très forte autonomie d’action, et j’espère de parole, dans ce groupe sur le périmètre de Palantir France.

Enfin, vous avez totalement raison sur la dimension d’efforts commerciaux. Je n’ai pas de vendeurs, mais j’ai une stratégie commerciale, c’est évident. Nous avons adopté celle-ci, car dans le big data, vous avez des dizaines, voire des centaines d’acteurs, vous avez de grands noms. Dire que Palantir peut aider les clients à faire mieux qu’avec ces acteurs est très difficile. Tout le monde a les mêmes explications : « On intègre les données, on vous les nettoie, on vous les met à disposition, vous en tirez de la valeur », si ce n’est que nous le faisons, rapidement, à grande échelle, sans limites. Notre but est de le démontrer d’abord au client. Que ce soit un gouvernement ou une entreprise, nous cherchons un cas d’usage autour de la donnée qui nous permette de faire la différence. À partir de là, nous commençons à discuter d’un partenariat éventuel.

Nous n’avons pas énormément de clients dans le monde. Nous en avons beaucoup plus que ce qui est cité, car il revient aux clients de divulguer leur relation commerciale avec nous, mais ils sont quelques centaines. Nous n’avons pas vocation à avoir un marché de très grande masse. Nous ne sommes pas Salesforce, qui vend des solutions adaptées, y compris à de petites entreprises. Nous nous adressons plutôt à des entreprises de taille assez importante ou pour des problématiques gouvernementales complexes.

M. Éric Bothorel. Appliquez-vous des traitements qui vous sont confiés par des clients à d’autres jeux de données ? Vous arrive-t-il aussi d’enrichir ces données de données en source ouverte, sur lesquelles vous « tomberiez » et qui n’auraient pas leur place en source ouverte ? Quel est votre comportement dans ce cas ?

M. Fabrice Brégier. Nous l’avons fait en situation de crise, sur le Covid. À ma connaissance, ce sont des données véritablement en source ouverte, elles n’ont pas été pillées de tel ou tel site et mises à disposition. Nous y veillons. Je n’ai cependant pas la capacité de vous dire que cela n’a jamais été fait par inadvertance, mais pour moi, la règle est simple : les données en open data peuvent être disponibles. Elles devraient d’ailleurs l’être afin de permettre à certaines start-up de faire un bond en avant. En revanche, il faut s’assurer qu’il s’agit véritablement de données ouvertes et non piratées.

Par ailleurs, nous vendons un logiciel, d’une grande complexité, avec de nombreux modules mis à disposition de tous nos clients. Nous ne vendons pas d’application spécifique verticale. Nous avons maintenant une bonne connaissance de l’industrie, des problèmes de maîtrise de la supply chain, de qualité, dans l’aviation, l’automobile ou de grandes industries, des problèmes de conformité dans le domaine bancaire ou de maîtrise de la relation totale d’un client. Nous avons de nombreux exemples de cette nature. Nous avons ce savoir-faire, mais nous ne passons pas d’un client à l’autre avec l’étude que nous réalisons pour un client spécifique.

Je rappelle également que la plupart des analyses sont faites par le client lui-même. En tant qu’ancien entrepreneur, je considère qu’une entreprise et un service de l’État doit avoir ses data scientists, ses analystes capables de réaliser eux-mêmes leur propre analyse. Lorsqu’ils doivent traiter un sujet très pointu, ils peuvent faire appel à un sous-traitant, qui peut être Palantir, mais aussi Capgemini, Accenture, Sopra Steria et bien d’autres. Ils connaissent notre plateforme. Ils ont travaillé avec leurs ingénieurs, notamment pour le compte d’Airbus. Ils sont beaucoup plus introduits que nous auprès des entreprises françaises, car ils ont de nombreux clients. Personne n’est obligé de s’appuyer sur nos services.

En outre, ce n’est pas à moi de juger de l’opportunité d’Artemis. Je m’abstiens de commenter la nécessité pour la France de lancer un tel développement. La décision a été prise et il n’y a pas de raison de la mettre en cause, sauf si, après quatre années, on se rendait compte que le projet ne donnait rien et que c’était de l’argent public gaspillé. Ce n’est pas à moi d’en juger. Je pars du principe que cela doit progresser. Néanmoins, attendre qu’Artemis atteigne ses objectifs ambitieux et ne pas apporter de solutions aux militaires et aux opérationnels ne me paraît pas être la bonne option.

Par exemple, nos forces au Mali ont besoin de cartographies précises. Elles sont américaines. Elles viennent d’une société, Esri, qui a pignon sur rue. Faut-il attendre d’avoir une cartographie française pour leur apporter ce soutien ? Les yeux dans le ciel sont quelques drones qui, pour l’instant, sont d’origine américaine, alors qu’il y a un programme de drones européens. Offrons donc les bonnes solutions et basculons sur les solutions nationales si l’État le décide, qu’elles sont matures et efficaces.

M. Olivier Laurelli, cofondateur de Reflets.info. Je pense que nous resterons irréconciliables sur quelques points. Je souhaiterais revenir au tout début de votre présentation. Vous vous êtes clairement posé comme un marchand d’armes numériques en présentant Internet comme un champ de bataille, votre solution comme une solution de lutte contre la pédocriminalité, contre le terrorisme. Elle déborde forcément sur d’autres données, qu’on n’avait pas forcément prévu de vous confier, aujourd’hui à l’occasion d’une crise sanitaire avec des données de santé, demain peut-être d’une autre crise portant sur un autre aspect.

Seriez-vous en mesure d’affirmer que votre solution ne peut pas être backdoorée ? Pouvez-vous donner à vos clients, aux États et aux organisations diverses un accès au code source de vos applications pour qu’elles-mêmes auditent votre code ? La carte algorithmique voudrait que vous confiiez aussi vos « recettes de sorcier » à des clients qui vous confient des données stratégiques.

En outre, vous avez dit que vous ne vendiez qu’à de grandes démocraties. Je ne vais pas rappeler que ce n’est pas une grande démocratie qui a lâché la première bombe atomique. Êtes-vous en mesure de me jurer qu’on ne retrouvera pas dans les un, deux ou trois ans à venir votre solution au Moyen-Orient ou en Afrique ?

M. Fabrice Brégier. Sur votre premier point, vous partez du principe que ce que je dis est vrai. Vous me faites confiance puisque si vous imaginez des systèmes cachés pour voler les données, c’est que vous admettez que nous n’avons pas accès aux données.

M. Olivier Laurelli. Je n’aurais pas besoin d’accéder aux données. J’aurais simplement besoin d’accéder à un fichier de configuration, par exemple XML, avec les clés API en clair stockées par votre logiciel. Je n’ai pas besoin d’accéder directement aux données quand je peux me servir où je veux.

M. Fabrice Brégier. Nos clients, gouvernementaux ou entreprises, sont parmi les plus performants dans ces domaines. Nous ne nous adressons pas à de petites entreprises qui n’ont pas de compétences. Les logiciels de Palantir ont été audités des dizaines, voire des centaines de fois. Aucun client n’a été capable de détecter des failles. Il n’y a jamais rien eu contre la sécurisation de ce logiciel, d’aucune agence de renseignement non américaine, d’aucun grand groupe. Airbus et nous-mêmes avions demandé à l’ANSSI de réaliser des audits. Le retour était quand même plutôt flatteur pour la solution Palantir. L’ANSSI aurait naturellement préféré une solution française, c’est son métier, mais elle n’a rien trouvé à redire du point de vue de la sécurité. C’est même plutôt l’inverse, nous aidons les entreprises à prendre conscience de la valeur de leurs données et à définir elles-mêmes des règles de sécurité beaucoup plus dures que celles qu’elles auraient imaginées, parce que la plateforme le leur permet.

Est-il arrivé qu’un client se plaigne d’une fuite de données ? Je ne le pense pas. Je n’en ai aucun exemple depuis que j’ai rejoint cette société. La réponse vous suffit-elle ? Quand on est sceptique, il en faut plus. Par votre métier, il est normal que vous fassiez contrepoids. Des labellisations, des audits par des tiers indépendants permettront de valider ce que vous dites.

De plus, le problème n’est pas de divulguer les codes sources à des personnes compétentes, mais de ne pas se faire voler ses secrets. Je ne vais pas vous les donner maintenant pour que vous les donniez ensuite à un tiers parce que Palantir ne vaudrait alors plus rien. En revanche, les audits de sécurité peuvent être faits à tout moment par les clients. Ce point est évidemment prévu dans nos contrats.

M. Olivier Laurelli. Je partage en partie avec vous la définition de la souveraineté numérique. Je fais une dichotomie entre la souveraineté numérique d’un côté et le « franchouillardisme » numérique de l’autre. Je ne suis cependant pas d’accord avec vous sur la solution à y apporter. La souveraineté de l’Europe passera quoi qu’il arrive, que ce soit dans l’IA ou dans les solutions logicielles, par du logiciel libre parce que nous ne pourrons pas rattraper le retard qui a été accumulé. Nous avons déjà des briques pour ne pas réinventer la roue.

J’aime bien votre manière de vous présenter en périphérie des GAFAM. Elle vous rend sympathique.

M. Fabrice Brégier. Je ne le fais pas pour cela.

M. Olivier Laurelli. C’est touchant. En revanche, d’un côté plus pragmatique, je retiens que vous êtes un vendeur d’armes numériques, et vous l’avez bien expliqué. Vous êtes conscient de ce que vous vendez. Vous vous êtes d’ailleurs comparé à des groupes qui vendent des armes numériques à des puissances. Je reviens à ma première question : si votre solution est backdoorée, vous ne pouvez pas vous porter garant. Vous n’avez pas donné le code source pour qu’il soit audité. Les résultats ont été trouvés en audit « black box », c’est-à-dire sans le code source. Si malheureusement un jour votre code est backdooré, cette backdoor se retrouvera sur Internet, avec ensuite une fuite de données. J’imagine que vous comprenez les inquiétudes que peuvent avoir certains de vos gros clients, certains des États à vous confier non pas directement des données, mais une solution logicielle permettant d’accéder à ces données.

M. Fabrice Brégier. Très honnêtement, je n’ai senti ces inquiétudes chez aucun des clients. Quand ils auditent le logiciel et qu’ils vérifient ce qu’il permet de faire, la traçabilité est telle qu’ils sont au contraire surpris de sa sécurité. Quand on y ajoute des audits techniques, comme je l’avais fait lorsque j’étais directeur général d’Airbus, les retours proviennent de plusieurs centaines de très grands clients dans le monde. C’est une référence.

Ensuite, ce que vous avez dit est assez vrai, le monde se dirige vers de plus en plus de logiciels ouverts, ce qui ne veut pas dire que des entreprises ne peuvent pas avoir leur propre know-how, que tout doit être sur le net et que l’on fait ce que l’on veut. Il y aura un développement beaucoup plus fort et les États devront d’ailleurs réguler ces initiatives.

Enfin, je ne parle pas d’armes numériques, mais de souveraineté. Ce sont des logiciels qui comportent des garde-fous, dès lors qu’ils sont utilisés par des clients qui les respectent. C’est pour cette raison que Palantir s’est refusé à travailler avec certains États.

M. Olivier Laurelli. Vous travaillez avec la Corée du Sud. Vous avez vu ce qui s’est passé là-bas avec l’équivalent de l’application de TousAntiCovid. Ils ont juré que jamais les données de santé ne seraient utilisées pour autre chose que la lutte anti-Covid. Or, elles ont été exploitées par la police locale dans des enquêtes judiciaires. On constate donc une dérive.

M. Fabrice Brégier. Je vous rejoins : le risque de dérive existe. C’est à la loi coréenne de s’appliquer en Corée du Sud. Je pense d’ailleurs qu’elle est une démocratie qui n’a rien à apprendre de la France. Peut-être que, dans le cas présent, sur lequel Palantir ne travaille pas, la loi a été violée. Il faut des garde-fous et des contrôleurs. Pour moi, c’est cela l’objectif principal de cette souveraineté. Ces plateformes logicielles, ces solutions numériques sont fantastiques, offrent des services que personne d’autre ne peut offrir, mais si les règles de déontologie, d’éthique, de protection des données personnelles ne sont pas respectées, il faut être capable de le vérifier et d’arrêter les dérives.

Par ailleurs, faire référence à la première bombe atomique est peut-être un peu excessif pour dire que les États-Unis ne sont pas une démocratie.

M. Olivier Laurelli. Il n’y a pas de règle. Malheureusement, les États-Unis ne jouent pas souvent avec les mêmes règles du jeu que nous.

M. Fabrice Brégier. Pendant l’administration Trump, il y a eu ces débats sur l’Immigration and Customs Enforcement (ICE) et les méthodes utilisées par l’administration Trump contre l’immigration illégale. En soi, cela n’est pas condamnable, mais la façon dont cela a été déployé l’a été. Nous avons été très clairs sur ce sujet : il revient à la justice américaine et au Parlement américain de définir des règles liées à cette démocratie et à l’application de telles solutions. Une bonne partie des salariés de Palantir n’étaient pas satisfaits de l’utilisation qui avait été faite. Il y a eu des débats en interne, auxquels j’ai pu assister. Chacun avait la possibilité de s’exprimer.

Nous assumons notre position. Nous travaillons pour ces gouvernements et les alliés ou les démocraties. C’est aux États, aux politiques, aux juges de ces gouvernements de définir les règles. Cette responsabilité n’incombe ni aux GAFA, ni à Palantir.

M. Olivier Laurelli. J’aimerais vous entendre dire que vous assumez que vous vendez des armes.

M. Fabrice Brégier. J’assume que nous vendons des solutions logicielles qui permettent à un État de devenir souverain ou d’acquérir une certaine supériorité. Nous ne vendons pas des armes au sens missiles, avions de combat ou autre chose létale. En revanche, protéger des forces, faire en sorte que des menaces soient identifiées pour être détruites par d’autres acteurs, c’est du domaine d’un État souverain. Les solutions technologiques de Palantir le permettent.

M. Philippe Latombe, rapporteur. L’inquiétude de beaucoup de monde provient aussi du fait que des groupes, notamment américains, ainsi que l’État américain lui-même, se soient parfois affranchis des règles. Je pense aux révélations d’Edward Snowden sur des écoutes. Il existe un réflexe d’inquiétude. Ce n’est pas méchant, mais lorsqu’on sait que Palantir est à l’origine financée par des fonds provenant des services américains, ces questions sous-jacentes se posent forcément.

De manière plus technique, comment étalonnez-vous le succès de votre logiciel ? Vous nous dites que vous le vendez en licence à un gouvernement, à une société, et que vous n’avez pas accès aux données. Vous ne savez donc pas comment il apporte des résultats dans la pratique à l’entreprise ou à l’État qui vous l’a commandé. Comment l’étalonnez-vous, sur quelle base ? Avez-vous des retours d’expérience de vos clients ? Comment vérifiez-vous qu’ils sont le fruit des données qui y ont été introduites au départ ?

M. Fabrice Brégier. Nous avons ces retours. Des ingénieurs de Palantir sont en soutien sur des opérations ponctuelles, à la demande du client. Généralement, elles ont lieu au démarrage afin que le client prenne la main sur la plateforme.

Nous avons les retours de nos clients du monde de l’entreprise, parce qu’ils sont beaucoup plus ouverts. Nous ne parlons pas du tout de données personnelles. Il s’agit de données de capteurs d’avion, de problèmes de qualité en service des automobiles, d’optimisation de la maîtrise des sous-traitants, de la résolution de problèmes techniques. Vous avez des milliers de logiciels américains qui s’en occupent. Palantir n’a pas de raison particulière d’être suspectée par rapport aux autres.

Dans le domaine gouvernemental, nous n’avons pas de retour sur le travail d’enquête, qui est du strict ressort des analystes des services de renseignement. Ils appliquent leurs propres règles pour ceux qui ont à en connaître. En revanche, quand on me demande d’aider à mettre en place un dispositif particulier lors d’un événement international qui se tient en France, nous apportons notre contribution technique, mais le travail de ces agences est réalisé par leurs personnels.

Dans la très grande majorité, le travail d’analyse, le développement des algorithmes est réalisé par les clients eux-mêmes ou leurs sous-traitants. Nous ne sommes que 2 500, voire légèrement plus, à l’échelle mondiale, pour plusieurs centaines de clients. Nous ne pouvons pas nous permettre d’avoir des armées d’ingénieurs, dont le but serait de savoir ce qui se passe chez le client. Nous sommes là pour nous assurer qu’il comprend la valeur qu’il peut en tirer, qu’il sait parfaitement utiliser l’outil et qu’il prend progressivement la main avec une conscience de ce que le digital et la maîtrise de ses données lui permettent de réaliser.

Lorsqu’il s’est agi de connecter l’ensemble des compagnies aériennes clientes d’Airbus, ce qui représente un travail de titan, Palantir a eu pour mission de démarcher les compagnies aériennes et de réaliser la connexion à la plateforme d’Airbus avec leur accord. Il s’agissait d’une tâche spécifique.

M. Philippe Latombe, rapporteur. Je n’ai pas eu de réponse sur le FISA. Si vous avez, parmi vos 2 500 salariés, un juriste capable de contribuer par écrit sur ce plan, nous serions preneurs. Ce n’est pas seulement le cloud qui nous intéresse, c’est la partie de l’extraterritorialité, du droit, qui nous pose de véritables questions.

M. Fabrice Brégier. Nous apporterons la réponse en complément de mes propos. Ils étaient imparfaits sur ce point, j’en suis conscient.

M. Philippe Latombe, rapporteur. Le sujet pourra faire l’objet d’une question supplémentaire aux questions écrites que nous vous avons adressées.

M. Fabrice Brégier. Très bien.

M. Olivier Tesquet. Nous savons que les ingénieurs de Palantir sortent des meilleures écoles. Ils sont des Polytechniciens, des X-Télécoms. L’entreprise se gargarise d’ailleurs à juste titre d’employer des salariés de très haut niveau. Ma crainte n’est pas tant celle d’un « siphonnage » que celle de la délégation de pans entiers de ce que j’estime être un pouvoir régalien, que ce soit des fonctions de police, des politiques de santé, à ce qui reste des boîtes noires.

Les audits sont évidemment imparfaits puisque Palantir est une société qui possède, selon ma comptabilité personnelle, un peu plus de 1 000 brevets. Ils sont autant d’obstacles qui se situent entre nous et une transparence sur la manière dont fonctionne le logiciel. J’ai l’impression que nous sommes face à une situation dans laquelle nous nous habituerions à manger un plat étoilé sans en connaître la recette. Comment pourrions-nous nous prémunir contre ce risque ? Je cite de nouveau l’exemple du NYPD, la police de New York, qui s’était vu opposer la propriété intellectuelle de Palantir au moment d’accéder à l’analyse des données qu’elle avait injectées dans le logiciel. Cette situation engendre des questions d’opacité.

De mon point de vue, le débat porte donc moins sur l’aspect français/pas français, et je n’ai pas de chapelle préférentielle, que sur ce qui est traçable et ce qui est opaque.

M. Fabrice Brégier. Je suis conscient que ce n’est pas en une heure et demie de débat que je vais vous convaincre que nos solutions sont transparentes, traçables, auditables. Cela doit être fait par des experts indépendants de Palantir. Je vous ai tout de même fourni quelques pistes qui montrent que nous sommes conscients des limites de l’usage du numérique et des risques, que nous avons intégré des garde-fous en interne, dans le design. Depuis douze ans, nous avons une équipe, Privacy and Civil Liberties, sur les libertés civiles et privées. Elle est constituée d’ingénieurs, de philosophes, de juristes qui guident les ingénieurs dans le développement des plateformes pour que celles-ci soient robustes à des usages malveillants.

Je vous rappelle également que les données de santé, notamment les données personnelles, n’arrivent pas à la connaissance de Palantir. L’inverse serait inadmissible. Vous pouvez vérifier auprès de vos collègues britanniques qui ont dû regarder le contrat britannique. Nous n’en avons ni l’intérêt ni l’usage. La force d’une société comme Palantir est que l’on peut lui faire confiance. Dès lors qu’il y aurait, non pas des suspicions, mais une réalité de fuite de données, cela tuerait purement et simplement notre modèle de business.

M. Olivier Tesquet. On ne peut se satisfaire de la présence du comité d’éthique. Je précise tout de même que les chercheurs sont rémunérés pour y siéger. Je tiens cette information de l’une des personnes que j’avais interviewées lors de mon enquête sur Palantir, en 2017, à une époque où l’entreprise était encore un peu « sous le radar ».

S’agissant des données de santé, je n’ai pas parlé de « siphonnage ». Je n’ai pas eu besoin de cette audition pour savoir qu’effectivement, vous n’aviez pas accès aux données en tant que telles. En revanche, des questions se posent. Le partenariat signé avec le National Health Service (NHS) au Royaume-Uni fait l’objet d’une plainte d’ONG, qui veulent connaître les conditions d’attribution de ce marché. La question de la transparence et de l’opacité est quand même un point qui mérite d’être soulevé.

M. Fabrice Brégier. C’est vrai, mais elle appartient au client et non à ses sous-traitants.

M. Olivier Laurelli. Je reviens sur ma deuxième question : pouvez-vous nous promettre que d’ici un an, deux ans ou trois ans, on ne retrouvera pas vos outils au Moyen-Orient ?

M. Fabrice Brégier. Ce point n’est pas dans ma zone de responsabilité. Je pense qu’il y a eu quelques contrats avec des pays de la catégorie qui a été rappelée, les États-Unis et ses alliés, mais pas avec tous ces pays, certainement pas.

Je vous remercie d’avoir supporté mon élan parfois fougueux, car j’estime avoir eu une carrière industrielle au service de la France et de l’Europe et ne pas renier cette volonté d’aller de l’avant, d’aider à développer l’activité économique en France et d’aider mon pays à mener ses actions de souveraineté. Voilà ce qui m’anime. Depuis que j’ai rejoint Palantir, je n’ai aucun doute, aucune suspicion sur le fait que je suis soutenu dans cette démarche.

Audition, ouverte à la presse, de M. Éric Baissus, président-directeur général de Kalray (30 mars 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Nous auditionnons M. Éric Baissus, président-directeur général de Kalray, entreprise française et européenne spécialisée dans la production de microprocesseurs. Elle est un spin-off créé en 2008 au sein du Commissariat à l’énergie Atomique et aux énergies renouvelables (CEA). Nous avons souhaité répondre favorablement à votre demande d’audition au regard de l’origine de votre entreprise qui démontre la capacité de la France à soutenir la création technologique et son positionnement stratégique sur un certain nombre de marchés critiques en développement. Nous sommes très intéressés par votre vision de ce que pourrait être une forme de souveraineté numérique et technologique française et européenne à court ou moyen terme.

M. Philippe Latombe, rapporteur. En guise d’introduction, je souhaiterais évoquer avec vous trois sujets. Nous aimerions d’abord savoir comment vous définissez la notion de souveraineté numérique française et européenne. Ce concept revêt une forte dimension technologique, qui est aussi au cœur de votre activité puisque vous produisez des microprocesseurs intelligents.

Nous aimerions donc mieux connaître votre secteur d’activité. Quel est votre niveau de dépendance vis-à-vis des pays non-européens, en termes de composants par exemple, et comment les acteurs français et européens se positionnent sur votre marché par rapport à leurs concurrents internationaux. Nous sommes conscients que la maîtrise de la puissance de calcul est un enjeu décisif dans un nombre important de domaines comme l’industrie 4.0 ou le quantique.

Je souhaiterais également que vous puissiez nous présenter votre entreprise, en insistant sur son parcours original, qui dit quelque chose de notre système de recherche et développement technologique français. Le CEA y a joué un rôle important. Nous aimerions savoir comment vous jugez, en France, le niveau de soutien des pouvoirs publics à la création et au développement d’entreprises technologiques. Nous aimerions également vous entendre sur les difficultés que vous avez pu rencontrer, par exemple pour vous financer, lors de certaines phases de votre croissance. Vous êtes en effet bien placé pour partager avec nous l’existence d’éventuels obstacles à lever sur ce point.

Enfin, je souhaiterais aborder la question de la formation aux compétences numériques, notamment dans votre secteur d’activité. Comment jugez-vous le niveau des formations existantes ? Identifiez-vous des manques ? Avez-vous des difficultés à recruter des ingénieurs français pour réaliser, par exemple, les tâches les plus techniques ? Je soulève ces différents points qui renvoient aussi à la nécessaire féminisation des métiers du numérique, le sujet étant régulièrement revenu lors de nos précédentes auditions.

M. Éric Baissus, président-directeur général de Kalray. Je tiens à vous remercier de me donner cette opportunité de partager notre expérience. Je vous propose, après avoir présenté notre société, de partager deux éléments importants. Il s’agit d’un nouveau marché au cœur de la problématique de la souveraineté numérique et de l’accès à des composants permettant d’avoir de très grandes puissances de calcul. Cette industrie est au cœur de nos industries de demain, au cœur de pans de l’industrie européenne très importants. Ce marché est extrêmement stratégique et fait l’objet d’enjeux géopolitiques monstrueux, en particulier entre les États-Unis et la Chine.

Nous sommes une spin-off, c’est-à-dire un essaimage du CEA. Nous sommes une deep tech, qui est issue d’un laboratoire, qui a une avance sur la concurrence, mais qui doit maintenant devenir leader mondial. Je vais partager notre parcours, pour pouvoir vous expliquer nos réussites et nos challenges de demain.

J’aimerais vous expliquer qui nous sommes et, personnellement, comment je me suis retrouvé à la tête de Kalray. Je suis ingénieur de formation. J’ai commencé ma carrière dans les années 90 chez Texas Instrument, une société américaine, dans un grand centre de développement basé dans le sud de la France. C’est dans ce contexte que j’ai appris à développer des processeurs. J’ai passé dix ans à apprendre ce métier.

Ensuite, j’ai créé ma propre société. Là, j’ai commencé à apprendre un nouveau métier, qui est le monde de l’entrepreneuriat. J’ai cédé cette société à Alcatel Lucent. Suite à ce rachat, j’ai passé quelques années dans la Silicon Valley. Quand je suis revenu en France, en 2014, j’ai eu l’opportunité de rencontrer Kalray. Kalray a été créée en 2008 par des personnes qui venaient du CEA et de STMicroelectronics. Kalray était en redressement judiciaire. Des actionnaires qui me connaissaient m’ont demandé de transformer cette société en une société qui puisse avoir son mot à dire sur le marché. C’est ce à quoi nous nous attelons avec toute l’équipe, depuis six ans.

Aujourd’hui, Kalray a un positionnement très intéressant sur un marché qui a de l’avenir. Nous avons maintenant une technologie mature, le temps est venu d’appuyer sur l’accélérateur pour la déployer commercialement, tout en continuant à investir en R&D.

Nous sommes une société qui développe un nouveau type de processeur, qui a vocation à « adresser » le marché des systèmes intelligents ou de l’intelligence artificielle embarquée. Pourquoi ce marché est-il aussi important ?

Je vais prendre l’exemple de la voiture autonome. Une voiture autonome est une voiture bardée de capteurs qui filment la route et qui envoient un flot d’informations. Il faut extraire de ce flot de données des informations pertinentes (un panneau de signalisation, un feu rouge, un piéton qui traverse…). Pour faire cela, nous avons besoin d’un nouveau type de processeurs, les processeurs intelligents, qui analysent en temps réel ce flot d’informations, souvent en utilisant des algorithmes d’Intelligence artificielle, pour pouvoir diriger la voiture.

Il s’agit d’un nouveau marché, qui correspond à un besoin de nos sociétés modernes, qui génèrent de plus en plus de données. Certains rapports montrent que ce flot de données a été multiplié par dix en deux ans. Dans beaucoup de cas, ce flot de données n’a de valeur que si on l’analyse tout de suite. L’exemple de la voiture est pertinent.

Cette problématique est valable pour un très grand nombre d’industries, qui sont importantes pour la France et pour l’Europe : le marché automobile, le marché des data centers, le marché des télécoms, de la 5 G, le marché de l’aérospatial. L’un de nos actionnaires est Safran, avec qui nous travaillons à implanter nos processeurs dans les moteurs d’avion de demain pour analyser à la volée ce qui se passe dans le moteur et améliorer de 30 % à 50 % la consommation du moteur.

Un autre pan de l’industrie est aussi très intéressant : l’industrie 4.0. Il y a une volonté de rapatrier dans notre pays des usines, mais cela nécessite des usines qui sont beaucoup plus automatisées. Pour cela, il est nécessaire d’avoir des technologies qui vont analyser à la volée les chaînes de production pour prendre des décisions.

Enfin, un marché est évident : le marché de la défense. La défense a besoin de technologies comme celle-ci pour pouvoir fournir les solutions les plus performantes possible.

Aujourd’hui, Kalray est une société qui emploie à peu près une centaine de personnes. Nous sommes basés à Grenoble. Nous avons développé un type de processeur breveté qui amène des capacités de calcul et qui permet d’être au cœur de ces nouvelles technologies. Nous sommes le seul acteur aussi avancé en France et en Europe et nous nous confrontons à de gros mastodontes, qui sont essentiellement américains, israéliens et, de plus en plus, chinois.

Comment le « Petit Poucet » Kalray peut-il avoir la moindre chance par rapport à ces mastodontes ? Si vous regardez l’histoire du monde des processeurs, vous constatez qu’à chaque vague, à chaque nouveau besoin, émergent de nouveaux acteurs. La première vague est celle des processeurs pour les ordinateurs et les serveurs. Intel, le mastodonte américain, détient aujourd’hui 95 % du marché mondial.

La deuxième vague a été la vague des processeurs pour téléphones portables. L’Europe était très en avance dans les années 90 et la plupart des centres de développement des puces pour téléphone portable étaient en Europe. Il se trouve que, petit à petit, l’Europe a abandonné ce marché parce qu’il était très orienté consommateurs, end-users, BtoC. Petit à petit, les fleurons européens ont arrêté d’investir dans ce marché, estimant qu’ils ne pouvaient pas y conserver un rôle de leaders. Les leaders de ce marché des téléphones portables sont de nouveaux acteurs. Ils étaient de nouveaux acteurs dans les années 90 et sont devenus aujourd’hui des poids lourds : Qualcomm, Samsung, Apple.

Dans ce nouveau marché de l’Intelligence artificielle embarquée, du edge computing, les cartes sont rebattues, ce qui constitue une opportunité pour un acteur comme Kalray et, plus largement, pour la France et pour l’Europe de prendre le leadership. Pourquoi ? Parce que ce marché nécessite des technologies que l’Europe a aujourd’hui, qui sont proches de l’embarqué et qui sont poussées par des donneurs d’ordres français et européen.

Kalray est une deep tech, comme je vous l’ai dit. En dix ans, nous avons investi 100 millions d’euros pour créer notre produit. Nous sommes encore au balbutiement commercial puisque notre chiffre d’affaires est autour d’un million d’euros. Pourquoi seulement un million d’euros ? Parce que nous vendons nos microprocesseurs à des acteurs qui sont en train de les tester et de développer leurs propres produits. Pour cela, ils n’ont pas besoin d’acheter des milliers de puces. En revanche, une fois que ces clients se déploieront sur le marché, ils développeront leurs produits avec nos processeurs, ce qui générera de plus en plus de chiffre d’affaires. Aujourd’hui, nous avons essentiellement deux marchés : le marché des data centers et le marché de l’embarqué (aérospatiale, automobile). Nous avons également comme actionnaire l’alliance Renault-Nissan-Mitsubishi.

Kalray est au cœur de cette problématique de souveraineté, et ce, pour plusieurs raisons. La souveraineté numérique est essentiellement la souveraineté technologique. Être souverain, cela veut dire être libre d’accéder à cette technologie. Nous nous en apercevons tous les jours quand nous parlons à nos clients. L’accès libre à ces technologies est crucial pour déployer leurs produits. Les acteurs de la défense sont soucieux d’avoir la liberté d’accès à ces technologies.

Deuxièmement, la souveraineté numérique, c’est avoir l’accès à la compétence. On parle de technologies qui sont complexes. Il est important, pour avoir cette souveraineté numérique, de comprendre ces technologies, de les maîtriser, d’avoir de l’expertise locale.

Enfin, la souveraineté numérique, c’est contrôler ce que font ces technologies. Si l’on ne sait pas ce qui se passe dedans, cela pose un vrai problème de souveraineté.

Chez Kalray, nous sommes au cœur de ces problématiques, puisque nous sommes l’un des rares acteurs aujourd’hui à fournir ces puces de calcul intensif. Si Safran, Renault, le fonds Definvest, créé par la direction générale de l’armement (DGA), investissent dans Kalray, c’est pour s’assurer que ces technologies seront accessibles dans les cinq, dix, quinze ans qui viennent.

Dans notre approche, nous poussons un modèle ouvert (open source, open hardware), afin de créer un écosystème autour de nous et de permettre à nos clients d’avoir une garantie d’accès à ces technologies, quel que soit notre futur.

Enfin, nous avons un rôle en vue de préserver la compétence. Nous sommes l’un des rares acteurs à développer des puces de calcul intensif. Nous formons notre personnel. Nous avons créé une compétence que nous essayons d’élargir petit à petit, pour l’utiliser pour nos propres besoins et afin qu’elle soit disponible plus largement.

Sur le marché de l’intelligence embarquée, l’acteur le plus important est Nvidia, une société américaine. Quand vous utilisez une technologie de Nvidia, vous utilisez un langage propriétaire, qui a été développé par Nvidia : CUDA. Par conséquent, tous les acteurs qui utilisent les technologies de Nvidia développent un historique en utilisant un langage propriétaire. Si demain, ils passent à un autre fournisseur que Nvidia, ils devront tout redévelopper. Nvidia a une stratégie de « locker », en imposant aux différents acteurs de l’industrie d’utiliser un langage propriétaire. Je pense que, dans ce contexte de souveraineté numérique, il est très important d’aider nos industriels à disposer d’un accès ouvert à ces technologies, en particulier en sponsorisant des technologies ouvertes.

Kalray est une société fabless, qui n’a pas d’usine. Aujourd’hui, aucune usine en Europe n’est capable de fabriquer nos processeurs. Seuls Intel, TSMC (Taiwan Semiconductor Manufacturing Compagny) et Samsung en sont capables. Nous travaillons avec TSMC. Nous dépendons d’usines de fabrication qui ne sont pas sur le sol européen.

Il est très difficile de financer une société de semi-conducteurs comme Kalray. Jusqu’à il y a un ou deux ans, il était quasiment impossible de financer une telle société en Europe, car ce type de société était considéré comme trop risqué. Heureusement, il existe une vraie prise de conscience de l’importance de cette industrie. Dans notre cas, nous avons levé autour de 100 millions d’euros. Nous investissons 15 millions d’euros par an. Nous avons encore un chiffre d’affaires relativement faible. Ce ne sont pas des sociétés faciles pour des investisseurs parce qu’elles demandent un investissement à long terme, avec des risques associés.

Je tiens à signaler l’effort qui est fait par la Bpifrance pour que les deep techs françaises puissent devenir les champions de demain.

Sur la formation et sur la compétence, aujourd’hui, nous sommes à la croisée des chemins. Il existe encore de la compétence en France dans les semi-conducteurs parce qu’il y en avait il y a une vingtaine d’années. En revanche, je pense que, si l’on n’investit pas massivement aujourd’hui dans ce secteur, petit à petit, cette expertise va partir. Il est donc très important d’investir, de faire que l’on ait des acteurs qui soient des leaders pour créer aussi des offres d’emplois et enclencher un cercle vertueux offre-demande.

M. Philippe Latombe, rapporteur. Vous avez beaucoup parlé des Américains, de Nvidia notamment, et de leur mode de fonctionnement avec un langage propriétaire qui permet de « locker » les industriels qui utilisent leurs technologies. Qu’en est-il des Chinois aujourd’hui ? Leur vendez-vous des puces ? On a beaucoup dit que la Chine copiait, puis développait. Où en sont-ils dans la R&D pour ces technologies ? Le marché automobile ne sera pas le seul à être intéressé par ces puissances de calcul, notamment en Intelligence artificielle embarquée. L’industrie de l’armement en a besoin, avec les drones, les avions, etc. L’industrie de défense chinoise est en train de se développer à grande vitesse.

Deuxième question, puisque nous parlons de puissance militaire, où en sont les Russes ? Ont-ils des compétences dans ce domaine ?

Quel est le risque pour vous d’être copié ?

M. Éric Baissus. Nous connaissons très bien le marché chinois, mais beaucoup moins le marché russe. Cela veut-il dire que les Russes sont moins actifs ? En tout cas, nous ne travaillons pas avec eux.

Aujourd’hui, les militaires ont compris qu’ils ont besoin de s’appuyer sur des acteurs civils pour récupérer ces technologies, compte tenu des investissements nécessaires. C’est la raison pour laquelle la DGA investit dans Kalray.

Dans cette stratégie, la Chine investit massivement pour créer ses leaders nationaux dans le monde du semi-conducteur. En gros, elle investit cinquante à cent fois plus que ce que nous faisons en Europe. Elle investit dans tous les domaines : la fabrication des puces, le design, etc. Les Chinois ont une stratégie de création de leaders nationaux en réservant le marché national à leurs leaders.

On se trompe quand on croit que nous sommes en avance. La Chine a quasiment rattrapé son retard. Bien sûr, il faut faire attention à ne pas être copié, mais la problématique n’est plus là : il faut faire en sorte que, dans cinq à dix ans, il y ait des champions européens. Pour cela, il faut que l’on ait des champions civils parce que seuls les marchés civils permettront de financer les investissements associés.

M. Philippe Latombe, rapporteur. Aujourd’hui, les Américains fonctionnent avec des licences pour la plupart. Les Chinois, eux, n’ont pas de licence. Sont-ils capables d’inonder le marché de leurs produits, ce qui rendrait la solution intermédiaire (la vôtre) difficilement commercialisable ?

M. Éric Baissus. La Chine, quand elle dépend de licences étrangères, développe sa propre technologie. La chance de la Chine réside dans la taille de son marché. Elle accepte que ses leaders nationaux ne soient pas aussi avancés que ce qui existe à l’étranger, en misant sur le fait que, petit à petit, ils rattraperont leur retard.

M. Philippe Latombe, rapporteur. Où les puces sont-elles fabriquées ? Faut-il recréer une industrie de la fonderie en Europe ou s’appuyer sur des pays tiers ? Existe-t-il un risque de voir les secrets industriels copiés en les confiant à des fondeurs non-européens ?

M. Éric Baissus. Aujourd’hui, nous utilisons des usines basées à Taiwan, chez TSMC, le plus gros fabricant au monde. Nous envoyons aux usines un fichier qui représente la position des transistors dans la puce. La puce compte 9 milliards de transistors. Les risques d’être copiés par ce biais sont donc très faibles.

Il existe quelques usines en France et en Europe, mais pour des process de gravure qui sont très larges. Ces usines peuvent fabriquer des petits composants, des composants de puissance, mais ne sont pas capables de fabriquer des processeurs comme les nôtres, avec de fortes capacités de calcul. Aujourd’hui, nous sommes obligés d’utiliser des usines basées à Taiwan. L’autre acteur qui croît énormément est aujourd’hui Samsung en Corée. Il n’existe pas d’acteur en Europe.

Quelles sont nos recommandations ? Pourquoi les acteurs aujourd’hui sont-ils Intel et TSMC ? C’est essentiellement parce qu’ils ont un marché. Comme leurs usines tournent, ils ont les moyens de les financer. TSMC va investir une dizaine de milliards cette année.

Ma recommandation est de travailler sur ces deux sujets : rapatrier des usines en Europe et faire en sorte qu’un écosystème utilise ces usines.

Si je prends l’exemple des vaccins, qui est d’actualité, il faut avoir des usines qui sont capables de les produire et des sociétés qui sont capables de les développer.

Chez Kalray, nous sommes ceux qui vont développer les puces et utiliser les usines. Il faut supporter cet écosystème si l’on veut avoir un vrai rapatriement, une vraie souveraineté.

Concernant les usines, deux approches sont possibles :

– soit faire un leader européen, ce qui nécessiterait un très fort investissement ;

– soit inciter des fabricants actuels (Intel, TSMC, Samsung) à mettre en place des chaînes de production en Europe. Cela nous permettrait de valoriser leur expertise, de créer un pôle de compétences, de garantir des acteurs à la pointe du progrès.

M. Philippe Latombe, rapporteur. Vous dites aujourd’hui que Kalray est une partie d’une solution technologique future. Comment cet écosystème travaillerait-il ensemble ? Est-ce que vous construisez la puce dans votre coin et l’industriel s’en sert et s’adapte autour de votre puce ? Ou est-ce vous qui avez la connaissance de ce que les capteurs récupèrent comme informations, nécessitent comme calculs pour pouvoir ensuite l’envoyer vers le « cerveau » de la voiture qui prend la décision ? Le législateur ou l’État a-t-il un rôle de structuration à jouer ?

M. Éric Baissus. Quand on développe un processeur, il faut qu’il soit un minimum générique, pour pouvoir être programmé. Cependant, ce composant matériel doit être adapté à un marché. Nous travaillons dans notre coin à rendre notre processeur générique et nous travaillons aussi avec les donneurs d’ordres (Safran, Renault…), pour être sûrs que notre offre est pertinente.

Il est important de travailler main dans la main avec le donneur d’ordres. Je pense que les projets collaboratifs sont très importants pour que tout l’écosystème travaille ensemble.

M. Philippe Latombe, rapporteur. Y a-t-il des standards dans votre métier ? Participez-vous à leur élaboration ? Vous travaillez avec Renault, mais Mercedes, Audi, Jeep auront-ils les mêmes standards ?

M. Éric Baissus. Nos produits sont assez génériques pour être utilisés par plusieurs acteurs du marché. Ensuite, chaque client les programme différemment. D’ailleurs, la plupart des clients veulent profiter de l’effet de volume pour avoir de meilleurs prix.

Ensuite, il est important d’avoir des standards pour permettre à nos clients de ne pas dépendre uniquement de nous. Nous poussons notre technologie pour en faire un standard ouvert. Si nous voulons devenir un leader demain, il faut que notre technologie soit déployée le plus massivement possible et donc en faire un standard.

M. Philippe Latombe, rapporteur. Je souhaiterais aborder la partie financement. Vous avez dit que la Bpifrance vous a soutenus. Je voudrais revenir aux difficultés que Kalray a connues dans sa vie d’entreprise. Comment ces difficultés sont-elles perçues par l’écosystème, par les acteurs publics et privés ? Aux États-Unis, on dit qu’il faut dix échecs pour une réussite. Est-ce valable aussi en France et en Europe ?

M. Éric Baissus. C’est le jour et la nuit entre être un investisseur aujourd’hui et il y a vingt ans. Les progrès sont énormes ! Aujourd’hui, on est plus tourné vers l’innovation, l’écosystème est bienveillant pour permettre à des start-up de se développer. En termes de culture, le changement est réel. Il y a vingt ans, le monde des laboratoires et le monde de l’entrepreneuriat se haïssaient. Aujourd’hui, non. Le CEA invite les entrepreneurs à venir voir les technologies qui sont développées pour lui et qui pourraient servir à créer une société. Il faut continuer à supporter cette démarche, car on voit que l’innovation est issue du monde des start-up, puis doit être transformée en leader mondial.

En termes de financement, il est inutile de vous cacher que la vie de Kalray a été très difficile. Pendant quatre à cinq ans, je disais à mes collaborateurs que je n’étais pas certain de pouvoir payer leurs salaires le mois suivant. Nous avons levé 100 millions d’euros, ce qui est énorme par rapport à notre parcours. La plupart de nos concurrents ont levé 400 à 500 millions d’euros. Nous avons eu la chance de faire une très belle introduction en bourse, puisque nous avons levé 50 millions d’euros. Pourquoi est-il si difficile d’avoir des financements privés ou publics dans le marché des semi-conducteurs ? Parce que l’Europe considérait qu’elle n’avait aucune chance de réussir sur ce marché et l’avait abandonné. Aujourd’hui, il existe une prise de conscience et il existe des aides et des supports en France et en Europe. Je pense que ces soutiens sont nécessaires pour créer dans notre industrie des champions nationaux et européens.

M. Philippe Latombe, rapporteur. Aujourd’hui, pensez-vous que l’intégralité des partenaires financiers arrivent à s’aligner correctement ? Si Bpifrance apporte son soutien, les partenaires financiers suivent-ils ?

M. Éric Baissus. Je pense que Bpifrance effectue un travail remarquable. Ensuite, l’investisseur privé est naturellement moins intéressé par les investissements stratégiques, car il veut avant tout un retour sur investissement, avec le moins de risques. Comment peut-on abonder ou favoriser l’investissement privé ? Je pense qu’il ne faut pas que l’investissement soit uniquement public, parce que le public seul a du mal à repérer les bons entrepreneurs, les sociétés qui ont la capacité de devenir des champions. En tout cas, le lien entre investissement privé et investissement public est très important. De grands progrès ont été réalisés. Il existe certainement des mécanismes d’abondement pour favoriser les investissements privés dans des sociétés de la deep tech qui sont des sociétés plus difficiles à financer, avec des retours sur investissement plus longs.

M. Philippe Latombe, rapporteur. Vous êtes un spin-off. Est-ce le bon modèle ? Est-ce comme cela que l’on va créer les entreprises de demain ? Comment faire pour arriver à en créer plus, selon vous ?

M. Éric Baissus. Les spin-off sont un réservoir formidable de technologies. Il s’agit pour moi d’un mode de déploiement assez intéressant. Notre pays investit, l’Europe investit énormément dans les laboratoires. Pour valoriser toutes ces technologies, il faut les commercialiser et faire des champions nationaux et européens. Je pense donc que le modèle de spin-off est très intéressant. Il a beaucoup évolué, mais il doit encore être amélioré.

Aujourd’hui, en France, on croit encore que vous pouvez créer une société, quand vous avez une technologie. J’ai tendance à dire que, quand vous avez une technologie, vous n’avez fait que 20 % du travail, vous devez encore déployer un effort considérable pour transformer une technologie en une société commerciale pérenne, leader de son marché. L’effort à fournir est largement sous-estimé. D’ailleurs, beaucoup de financements aujourd’hui sont plus liés à de la technologie (même si les mentalités sont en train d’évoluer) qu’au positionnement produit, à la mise au point d’une offre mature, à l’accès au marché.

Vous mentionnez le rôle de l’État. J’ai senti dans les plans de relance un changement culturel : on insiste de plus en plus sur les débouchés, le travail avec les donneurs d’ordres et moins sur la rupture technologique. Jusqu’à présent, on demandait de montrer en quoi une technologie est différente. C’est bien d’avoir une technologie différente, mais la différence en soi n’a pas de valeur. Il faut avoir une différenciation sur le marché.

C’est pour moi très important. Spin-off, oui, mais avec un environnement qui va favoriser la transformation d’une technologie en un vrai acteur commercialement viable.

M. Philippe Latombe, rapporteur. Pour vous, ce n’est pas suffisamment fait. Est-ce lié à la formation ? Comment mixer les deux mondes, financier et technologique ?

M. Éric Baissus. Une société comme Kalray est la conjonction d’une compréhension technique et d’une compréhension business.

Nous avons un retard culturel, car la France a toujours valorisé les compétences technologiques par rapport aux compétences marketing. Cela dit, cette culture est en train de changer. Les écoles d’ingénieurs proposent de plus en plus de formations à la création de start-up et, inversement, les écoles de commerce sont de plus en plus orientées vers la high tech. Je pense qu’un rapprochement de ces deux mondes est crucial. Il est important que ces deux mondes se parlent et travaillent ensemble.

M Philippe Latombe, rapporteur. L’Europe prend-elle le bon chemin aujourd’hui ? Sentez-vous que l’Europe a décidé de prendre son destin numérique en main ? Commence-t-on à reparler de l’Europe comme étant un futur grand compétiteur, dans votre domaine et au-delà, dans le monde numérique ?

M. Éric Baissus. Aujourd’hui, il existe une prise de conscience, mais elle est récente, elle date d’il y a un an. La crise du Covid a accéléré cette prise de conscience, au niveau de la France et de l’Europe. Comment est-ce perçu par l’international ? Comme des mots. Tant qu’un champion national ne remporte pas de marché, ce ne sont que des mots.

Comment transformer ces mots en actions ? Je suis confiant. En tout cas, je suis très positif. Il faut encore travailler pour transformer ces mots et cette énergie en action. Nous, Kalray, proposons notre collaboration pour constituer un champion national, voire mondial. Aujourd’hui, nous en sommes loin.

M. Philippe Latombe, rapporteur. Y a-t-il des points que nous n’avons pas encore évoqués et qui vous semblent importants ?

M. Éric Baissus. Si je dois résumer les points importants, il y a un nouveau marché, qui sera extrêmement stratégique dans un contexte de souveraineté numérique. Ce nouveau marché est au cœur de nos industries traditionnelles. Sur ce marché B to B, l’Europe a ses chances. Je pense que nous n’avons pas le choix. Si nous voulons notre souveraineté numérique, nous avons besoin d’être sur ce marché de l’Intelligence artificielle embarquée et du edge computing. Nous le pouvons. Il faudra transformer les mots en actions. De nombreuses actions sont en cours. Je suis donc très positif et confiant. Nous sommes très excités de voir comment nous pouvons faire de l’Europe un leader sur ce marché.

Audition, ouverte à la presse, de M. David Ofer, président de la Fédération française de la Cybersécurité (30 mars 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Nous recevons M. David Ofer, président de la Fédération française de la Cybersécurité, association ayant vocation à rassembler les professionnels de la cybersécurité, avec l’objectif de contribuer à la structuration de cette filière. Organisés en plusieurs collèges thématiques, vous assurez la promotion de la formation aux compétences cyber et innovation. Nous souhaiterions aborder avec vous les questions tenant à la certification et à la labellisation des solutions de cybersécurité.

M. Philippe Latombe, rapporteur. Comment appréhendez-vous la notion de souveraineté numérique ? De quelle façon les politiques menées peuvent ou doivent-elles évoluer pour mieux l’intégrer le cas échéant ?

Ensuite, je souhaiterais que nous puissions échanger à propos de l’écosystème des entreprises françaises de la cybersécurité. Comment ces entreprises se portent-elles dans le contexte actuel de crise sanitaire durable ? Quels sont leurs besoins et leurs attentes vis-à-vis des pouvoirs publics ? Quelles sont leurs propositions pour participer à la construction d’une forme de souveraineté numérique ? Comment faire en sorte que l’écosystème cyber français continue de se développer et de se renforcer ? Ce thème nous permettra d’aborder les annonces récentes du Président de la République et l’actualité européenne marquée par la révision de la directive NIS (Directive on security of network and information systems) et par la présentation d’une stratégie cyber par la Commission européenne, à la fin de l’année dernière.

Enfin, s’agissant de la diffusion d’une culture cyber au sein de la société, quel regard portez-vous sur le niveau de sensibilisation des entreprises, des administrations publiques, des collectivités territoriales et des citoyens ? Je souhaiterais aussi que nous évoquions la formation aux compétences cyber alors qu’un campus cyber est en cours de développement, avec l’appui, notamment, de l’agence nationale de la sécurité des systèmes d’information (ANSSI). Comment la France se positionne-t-elle par rapport aux autres pays ? Existe-t-il des segments sur lesquels nous devrions compléter notre offre de formation pour combler d’éventuelles lacunes.

M. David Ofer, président de la Fédération française de la Cybersécurité. La Fédération française de la Cybersécurité a pour objet de rassembler toutes les organisations, les associations professionnelles, les entreprises, les personnes et, plus largement, tous les acteurs directs ou indirects liés à la cybersécurité.

Comme vous le savez, il existe un grand nombre d’associations et d’initiatives qui parlent aujourd’hui de manière dispersée. Au regard de l’actualité et de l’évolution sociétale, il est important de coordonner les actions sur la cybersécurité, en consolidant une filière qui est marquée et représentée, beaucoup trop souvent, par la dimension technique du sujet. Notre ambition est bien de coordonner l’ensemble de ces actions.

La cybersécurité est un élément incontournable de la vie du citoyen et des entreprises. Elle doit d’inscrire dans la lignée de la responsabilité sociétale et environnementale des entreprises, car l’impact d’une cyberattaque pénalise gravement le tissu économique et la souveraineté. La notion de souveraineté est liée à l’indépendance, celle de nos citoyens, de nos entreprises et plus largement de notre pays.

Ce qui devient aujourd’hui un véritable défi sur les sujets de cybersécurité ne peut se réaliser pleinement qu’en fédérant les acteurs existants, qui peuvent apporter, chacun dans son périmètre, des savoir-faire qui feront avancer cette souveraineté et la replaceront à l’ordre du jour. Si nous souhaitons aller dans cette direction, tous ensemble, il faut adapter notre vision et créer un cercle vertueux, où l’État jouera son rôle pour insuffler une politique, les agences techniques apporteront des garanties, les grands groupes pourront utiliser les moyens financiers et les PME créer de la valeur et une proximité avec le terrain. L’objectif doit être la protection du citoyen et du tissu économique et, par incidence, la protection des institutions.

La Fédération française de la Cybersécurité souhaite consolider cette filière en portant des messages représentatifs sur les problématiques rencontrées, mais aussi mener des actions de terrain pour remplir les objectifs que j’évoquais précédemment.

Parmi les actions que nous avons lancées pour le maillage territorial que nous souhaitons promouvoir, je citerai notre plan de création de 20 000 emplois sur la base d’un nouveau métier dédié aux jeunes non diplômés ou à des personnes souhaitant se reconvertir professionnellement. Ce nouveau métier d’assistant cyber a pour vocation de créer une proximité de terrain avec les utilisateurs du numérique, en informant et en complétant notamment le rôle des ingénieurs et des spécialistes techniques qui ont déjà fort à faire. Les premières formations vont débuter cet été.

Autre action concrète, la mise en place d’un soutien direct aux PME par la réalisation d’un diagnostic de cybersécurité gratuit qui permettra leur prise de conscience et les aidera, lorsqu’elles auront subi une cyberattaque, en les dispensant de payer la franchise d’assurance qu’elles auraient souscrite. Nous estimons le coût de cette opération de diagnostic à 20 millions d’euros environ, montant que nous espérons collecter auprès de l’État et des collectivités territoriales.

La Fédération française de la Cybersécurité mène des actions concrètes, de proximité, pour encourager au maximum la protection du tissu économique et la souveraineté française avec un esprit altruiste et citoyen.

Je peux poursuivre si vous le souhaitez avec un état des lieux et quelques chiffres qui permettraient d’avoir un peu de visibilité sur ce qui se passe aujourd’hui en France et à l’étranger.

M. Philippe Latombe, rapporteur. Très bien.

M. David Ofer. Les chiffres sur la menace cyber sont sous-estimés, et ce pour plusieurs raisons. D’abord, les chiffres sont basés sur les déclarations des attaques, sur les plaintes des victimes et sur les interventions de l’ANSSI et des forces de l’ordre. Or toutes les attaques ne sont pas déclarées. Un grand nombre de statistiques proviennent d’entités non indépendantes de type cabinets de conseils ou éditeurs.

L’ANSSI a réalisé 192 interventions en 2020, soit une augmentation de 200 % par rapport à 2019. Cybermalveillance de son côté a recensé 837 entreprises et 159 collectivités attaquées. Par ailleurs, les compilations de chiffres que nous avons de notre côté montrent que neuf organisations sur dix sont victimes de cyberattaques. Il faut noter qu’une cyberattaque n’est pas forcément une paralysie du système d’information. Selon une étude d’un spécialiste de la cybersécurité, 91 % des organisations françaises ont été la cible de cyberattaques cette année et 60 % ont subi plusieurs actes malveillants. 75 % et plus des attaques sont faites par des ransomwares (rançongiciels) en France comme dans le reste du monde.

Dans le classement mondial du nombre de détections arrivent en premier les États-Unis, le Japon, puis l’Inde. L’Espagne est en 8ème position de ce classement mondial, l’Allemagne en 10ème, l’Italie en 11ème et la France en 16ème. Les pays européens les plus touchés par les rançongiciels sont l’Allemagne en tête, suivie de la France, de l’Italie et du Royaume-Uni.

Une unité du FBI aux États-Unis, l’IC3 (Internet Crime Complaint Center) recense l’intégralité des plaintes liées au cybercrime. L’IC3 a annoncé une moyenne de 791 790 plaintes pour 2020 et 4,2 milliards de dollars de pertes pour les États-Unis. Nous n’avons pas ce genre de chiffres en France, parce que nous ne les recensons pas de la même manière.

En nombre de plaintes déposées, le Royaume-Uni arrive en première position avec 216 000 plaintes, suivi par le Canada (5 300), l’Inde (2 930). La France est septième dans ce classement avec 1 640 plaintes déposées par des victimes en 2020. Il existe une différence colossale entre le nombre d’attaques non référencées et le nombre de plaintes déposées.

Enfin, selon un éditeur d’antivirus, la cybercriminalité coûterait environ 1 000 milliards de dollars à l’économie mondiale.

M. Philippe Latombe, rapporteur. En quoi la cybersécurité est-elle une composante essentielle de la souveraineté numérique ? A-t-on aujourd’hui les moyens de pouvoir être souverain dans ce domaine de la cybersécurité ?

M. David Ofer. Les chiffres d’affaires des entreprises françaises qui sont annoncés en cybersécurité incluent beaucoup d’assistance technique, le chiffrement, les matériels télécoms, l’identification des personnes. Les logiciels utilisés aujourd’hui sont américains pour la plupart, notamment les systèmes d’exploitation, la bureautique, les bases de données, le cloud et les usages grand public. Les éditeurs étrangers commercialisent auprès de nos entreprises des produits qui comportent des failles de cybersécurité. Ainsi, Microsoft corrige en moyenne 100 vulnérabilités par mois ces derniers temps.

Est-ce normal ? Accepterait-on de rouler avec une voiture dont les freins sont défaillants ? Je ne sais pas. Il nous manque en France des champions en cybersécurité dans les secteurs du futur, en associant notamment l’Intelligence artificielle.

Dans le domaine des produits de cybersécurité, nous avons un tissu économique qui est fort, mais nous sommes démunis ce qui concerne le socle technologique qui traite du numérique. Nous n’avons pas de système d’exploitation français. Nous n’avons ni système de bureautique ni système de base de données français. Le cloud est un grand débat. Aujourd’hui, nous utilisons pour cette visioconférence un logiciel américain alors qu’il existe d’excellents logiciels français de visioconférence.

La problématique de la souveraineté passe aussi par le soutien des entreprises françaises, par un certain nombre de mesures à mettre en place. Le plan cyber que le Président de la République a annoncé est, certes, une excellente avancée, mais il est insuffisant.

Pour donner des chiffres, Israël a levé l’an dernier 2,6 milliards de dollars pour la cybersécurité. Notre plan représente un milliard d’euros, dont un peu plus d’une moitié financée par l’État et le reste par le privé. Au regard de notre population qui est dix fois plus importante que celle d’Israël, il nous aurait fallu a minima 26 milliards de dollars.

En Intelligence artificielle et en cybersécurité, nous sommes très loin derrière les investissements astronomiques chinois.

M. Philippe Latombe, rapporteur. Avez-vous des propositions à nous soumettre ?

M. David Ofer. Tout à fait. Il faudrait créer un small business act, c’est-à-dire inciter très fortement les mairies, les collectivités territoriales, les institutions publiques et parapubliques à acheter des logiciels et produits français en allant au-delà de la simple recommandation. Je peux vous donner des exemples très précis. L’aéroport de Nice choisit un produit américain pour sa cyberdéfense, Agirc-Arrco choisit des produits étrangers, la métropole de Nantes choisit des produits américains alors qu’en France, nous avons des produits de premier ordre qui sont aussi bons que les produits étrangers, notamment américains.

Souhaitons-nous une souveraineté, c’est-à-dire une indépendance ? Souhaitons-nous pousser notre industrie et favoriser notre tissu économique ou laisser la porte ouverte à des pays étrangers pour assurer notre cybersécurité ?

M. Philippe Latombe, rapporteur. Dans les exemples que vous avez cités, qu’est-ce qui a emporté le choix ? Le code des marchés publics ? Les acheteurs qui ne sont pas curieux et qui ont pris ce qu’ils avaient sur étagère ? Est-ce une forme d’entrisme des Américains ?

M. David Ofer. Le code des marchés publics oblige quasiment à mettre en place une grille tarifaire. Quand une société qui a des moyens colossaux accorde une remise de 90 % sur le prix de ses produits pour pénétrer un marché, une PME française n’a pas les moyens de s’aligner.

Il existe tout un écosystème américain. Les États-Unis ont mis en place depuis des années une politique visant à faire rayonner leur économie avec le Small Business Act. Il faut absolument créer un small business act à la française. Il faut absolument que l’on puisse, dès qu’une PME émerge dans la cybersécurité, lui proposer des marchés avec les services de l’État, des collectivités territoriales sans que cela soit un frein au développement.

M. Philippe Latombe, rapporteur. N’est-ce pas le rôle des intégrateurs d’être dans le conseil et dans le choix de solutions souveraines ?

M. David Ofer. Je ne rejoins pas tout à fait cette vision. Aujourd’hui, les grands groupes français intégrateurs de solutions de cybersécurité commercialisent des produits américains alors qu’il existe des équivalents français. Pour quelle raison ? Nous avons vécu la même situation avec les PC et la téléphonie mobile. On n’a pas aidé nos entreprises françaises parce que ces intégrateurs vont chercher la facilité et uniquement la valeur ajoutée sur le prix de vente. On n’a pas une vision de défense du tissu économique. On a des articles très intéressants sur le ruissellement économique. Quand vous achetez un logiciel français, vous créez de l’emploi en France, vous créez de la valeur ajoutée pour le tissu économique, vous créez de la proximité avec nos institutions, vous créez des capacités pour le tissu économique français à aller rayonner au-delà des frontières. Toute cette création de richesse, vous ne l’avez pas quand vous achetez un logiciel américain.

M. Philippe Latombe, rapporteur. L’État, les administrations publiques, les collectivités territoriales, les entreprises et les citoyens sont-ils suffisamment acculturés à la cybersécurité ?

M. David Ofer. Toutes les collectivités territoriales que je rencontre sont sensibilisées au risque cyber.

Il faut se poser la question de ce qu’est le risque cyber. Est-ce uniquement la paralysie par une attaque ou est-ce également la possibilité d’avoir accès à nos données ? Là se pose une question de politique : est-on prêt à laisser l’accès à nos données à tout le monde ? Ou veut-on avoir une politique souveraine sur la protection de nos données ?

Les collectivités territoriales sont parfaitement conscientes des enjeux de cybersécurité. Les directeurs des systèmes d’information (DSI) et les responsables de la sécurité informatique que je rencontre sont les premiers à essayer d’acheter des outils de cybersécurité. Ils font appel à l’ANSSI qui joue un rôle très important. Ils essayent de sensibiliser leurs utilisateurs, mais aujourd’hui, les collectivités territoriales n’ont pas toujours des moyens financiers et humains suffisants. Aujourd’hui, nous souffrons d’une pénurie forte d’ingénieurs : il manque trois à quatre millions d’ingénieurs en cybersécurité. On ne pourra pas former en France plusieurs centaines de milliers d’ingénieurs en deux ans. Il faut cinq, six, sept ans.

Cette problématique des moyens est un véritable sujet. Pour cette raison, la Fédération française de la Cybersécurité a prévu le nouveau métier d’assistant cyber, qui sera le relais entre la dimension technique de la cybersécurité et l’utilisateur, notamment dans les collectivités territoriales.

Je vais prendre un exemple simple. La plupart des agents dans les mairies ne savent pas changer leur mot de passe. Il faut un accompagnement pour ces personnels pour garantir la cybersécurité.

Oui, il y a une prise de conscience réelle dans les collectivités territoriales. Cela dit, les élus ne prennent pas toujours des décisions adéquates parce qu’ils manquent de connaissance en matière de cybersécurité. Ils ne voient que le risque de paralysie, et pas la problématique de l’exfiltration de données. La stratégie des smart cities peut être mise en péril à partir du moment où vous donnez un accès non autorisé à vos données à un tiers.

M. Philippe Latombe, rapporteur. Dans le plan de relance, le plan cyber est aussi dirigé vers les collectivités territoriales. Vous dites qu’elles manquent davantage de moyens humains que de moyens financiers.

M. David Ofer. Les deux. Vous avez de grandes collectivités territoriales qui ont des moyens, mais les petites mairies ont des ressources limitées. Dans une mairie que je ne citerai pas, ma rencontre avec les responsables de l’informatique a été fort intéressante. Par décision des élus, ils disposaient d’un budget de 5 000 euros pour la cybersécurité, contre 1,5 million d’euros pour la vidéosurveillance.

Au-delà de l’argent, il faut qu’il y ait cette volonté et cette prise de conscience que la cybersécurité est un enjeu de protection du citoyen. Nous l’avons vu avec la paralysie des hôpitaux.

M. Philippe Latombe, rapporteur. Ne faudrait-il pas parler davantage des cyberattaques et de leurs conséquences ? Quand les hôpitaux ont été attaqués, on s’est rendu compte qu’ils n’avaient pas de plan de continuité d’activité. Suite à l’attaque de la ville d’Angers, une partie entière de l’activité est bloquée. Ils n’arrivent toujours pas à accéder aux données des horodateurs.

M. David Ofer. Communiquer sera toujours bénéfique, mais ne résoudra pas tout. La communication ne vous protégera pas des failles de sécurité que vous pouvez avoir dans les logiciels et dans les systèmes d’exploitation que vous achetez. Le seul moyen, c’est d’avoir une vision véritablement sociétale de la cybersécurité et peut-être d’avoir une approche à l’américaine, c’est-à-dire de quantifier très précisément le coût des cyberattaques. Aujourd’hui, des statistiques démontrent que plus de la moitié des entreprises qui ont vécu une cyberattaque sont absolument incapables de donner un chiffre précis du coût de celle-ci. 50 % des PME qui ont vécu une cyberattaque paralysante disparaissent dans les six mois qui suivent. Les grands groupes qui subissent des cyberattaques perdent, s’ils ne font rien, 20 % de leur valorisation, six à huit mois après. Ce sont des sommes colossales ! On ne pourra pas compenser ces problématiques uniquement avec de la communication, il faut des actions, il faut soutenir la filière de la cybersécurité, de manière à essayer de promouvoir ce tissu économique et de défendre nos institutions, nos entreprises et le citoyen.

M. Philippe Latombe, rapporteur. Il est communément admis que la France a un très haut niveau d’expertise en cybersécurité, que l’ANSSI est moteur dans la cybersécurité, que nous avons un écosystème de cybersécurité très à la pointe du progrès, qui suscite même des envies. Est-ce vrai ? Avons-nous des pépites qu’il faut absolument protéger ? À l’inverse, avons-nous des lacunes ?

M. David Ofer. Oui, nous avons un excellent écosystème français, parce que nous avons beaucoup d’entreprises qui développent de la technologie en cybersécurité avec des produits très innovants. L’ANSSI joue un rôle important pour les grandes entreprises.

Cela dit, quand on regarde la Suisse et la Grande-Bretagne, quand on regarde comment sont équipées les entreprises en termes de cybersécurité, les logiciels américains et israéliens dominent le marché.

L’écosystème français est bon et performant. Nous avons des logiciels et des ingénieurs de premier plan. Le vrai sujet est le suivant : comment promouvoir ces entreprises au-delà de nos frontières ? Je reviens à ma proposition de small business act à la française. Il faut aider nos entreprises à obtenir des marchés, il faut être capable d’investir massivement dans ces entreprises.

En 2016, un rapport américano-anglais présentait deux pépites françaises de la cybersécurité comme des licornes en devenir : Pradeo et ITrust. Ces deux entreprises ont levé respectivement un et deux millions d’euros, alors que deux entreprises américaines, Palantir et Tenable ont levé des centaines de millions et rayonnent sur le marché de la cybersécurité au niveau mondial.

Si l’on veut favoriser nos entreprises, il faut investir et aider les entreprises à accéder à des marchés, ce qui passe par la commande publique, par la génération de chiffre d’affaires et par un rôle d’accompagnement des autorités. L’ANSSI délivre des certifications qui sont utiles pour les grands groupes, mais elle devrait avoir un rôle de conseil et d’accompagnement pour les entreprises à l’export.

Il existe un grand nombre de certifications, mais aujourd’hui, la problématique est l’investissement dans les pépites et l’écosystème. Le plan d’un milliard est nécessaire, mais il faut aller au-delà. Pour faire une licorne, il faut investir dans une entreprise entre vingt et cinquante millions d’euros. Je ne connais pas un fonds français qui est prêt à investir un tel montant sur une entreprise qui ne réalise pas de chiffre d’affaires. Toute la problématique se situe à ce niveau. Aux États-Unis, en Israël et dans quelques autres pays, vous avez des entreprises qui, avec quelques centaines de milliers d’euros de chiffre d’affaires, lèvent des centaines de millions et deviennent de véritables champions.

En France, nous avons laissé filer des pépites. Je veux vous donner l’exemple de Sentryo, qui a été créée par un entrepreneur français qui a développé une solution pour vérifier l’IoT (Internet of the Things). Il a fait le tour des investisseurs français, qui ont regardé son dossier avec dédain. À cours de solutions, cet entrepreneur courageux a été obligé de passer sous drapeau américain. Malheureusement, les décideurs français regardent les dossiers d’investissement avec un œil de banquier, et non avec une prospective de souveraineté dans l’intérêt du tissu économique national.

M. Philippe Latombe, rapporteur. Voulez-vous dire qu’aujourd’hui, les entreprises de la cybersécurité sont trop petites et devraient se regrouper afin de pouvoir atteindre une taille critique qui leur permet d’avoir accès à des marchés plus gros et à des financements plus importants ?

M. David Ofer. Non, il faut qu’il y ait une floraison d’entreprises, parce que plus vous aurez d’entreprises qui vont émerger, plus vous aurez la chance d’avoir, au travers de l’une d’entre elles, des champions qui pourront créer de l’emploi, promouvoir notre économie et défendre notre souveraineté. C’est ce que nous n’avons pas aujourd’hui par manque de moyens.

M. Philippe Latombe, rapporteur. La floraison ne rend-elle pas plus difficile l’intégration de ces solutions dans le système d’information des clients ? Ne génère-t-elle pas un problème d’interopérabilité ?

M. David Ofer. La multiplicité des acteurs de la cybersécurité est liée à la multiplicité des outils informatiques. Un système d’exploitation ne se sécurise pas de la même manière qu’une base de données, qu’un réseau informatique, qu’un routeur, etc. Cette multiplicité de moyens demande une multiplicité d’outils de protection. Vous ne mettez pas un verrou sur une fenêtre, mais des barreaux.

M. Philippe Latombe, rapporteur. Si la cybersécurité est une conséquence d’une démarche d’ensemble (il faut que la cybersécurité soit présente sur l’ensemble de la chaîne numérique, de sa construction jusqu’à son utilisation), où faut-il investir aujourd’hui ? Où les entreprises de la cybersécurité doivent-elles être les plus proactives ?

M. David Ofer. Sur les systèmes d’information, la cybersécurité doit couvrir toute la chaîne. Vous ne sécurisez pas votre maison en laissant une fenêtre ouverte. C’est la raison pour laquelle aujourd’hui, des méthodes de R&D pratiquent la security by design, c’est-à-dire intègrent les problématiques de cybersécurité dès le début. Aux États-Unis, c’est devenu un standard. En France aussi. Néanmoins, ce n’est pas suffisant. On voit que même des géants se font aujourd’hui cyberattaqués et que certaines solutions américaines que l’on croyait sécurisées ne le sont pas du tout.

Il faut déployer ce security by design à chaque niveau d’utilisation. La partie IoT arrive, avec les outils connectés. Là se pose une problématique de sécurisation de l’un des maillons que l’on ne maîtrise pas. Cela fait partie des défis qui sont lancés aujourd’hui aux acteurs de la cybersécurité.

M. Philippe Latombe, rapporteur. Quelles sont les trois actions qui devraient être mises en place, qu’elles soient financières ou législatives.

M. David Ofer. Il faut savoir de quoi l’on parle. Veut-on de la souveraineté avec une indépendance ou veut-on partager notre data avec nos alliés ?

Aujourd’hui, nous sommes dans une position de faiblesse extrême. Comment peut-on vouloir une souveraineté européenne à partir du moment où l’on utilise des produits et des technologies non européens ? Je peux prendre des exemples pour être concret. L’OSCE (Organisme de la Sécurité et de la Coordination européenne) a passé il y a deux ou trois ans un appel d’offres pour sa cybersécurité. Il n’utilise que des produits américains !

Quand on parle de souveraineté et d’indépendance, il faut faire des choix difficiles. Sommes-nous prêts à jeter nos téléphones portables ? À jeter les systèmes d’exploitation ? À changer toutes les habitudes des utilisateurs que certains appellent des consommateurs ? Aujourd’hui, si vous voulez acheter un téléphone mobile français, un système d’exploitation français ou un ordinateur français, vous aurez beaucoup de mal. Cette problématique a un impact sur la cybersécurité, car il est très difficile de sécuriser des systèmes que l’on ne maîtrise pas de bout en bout.

Microsoft présente des failles de cybersécurité qu’il corrige régulièrement. Finalement, vous vous retrouvez dans la situation dans laquelle vous achetez des produits américains et, parce qu’ils ne sont pas sécurisés, vous devez acheter des antivirus américains. Ce faisant, vous appauvrissez votre pays, vous enrichissez les États-Unis et en plus, vous subissez quand même des cyberattaques.

Si j’avais le pouvoir, je mettrais en place un fonds de soutien pour les entreprises qui se font cyberattaquer et une contribution obligatoire pour les entreprises étrangères qui commercialisent leurs logiciels en Europe. Il faut qu’à un moment, ces entreprises payent une contribution qui soit reversée aux entreprises victimes des cyberattaques qui sont permises par les logiciels qu’elles nous vendent. C’est un sujet sur lequel nous travaillons à la Fédération. Nous espérons que nous pourrons le mettre en place en France, avec votre aide. Si cette contribution est mise en place, elle obligera les fournisseurs étrangers à déployer des efforts conséquents pour améliorer la qualité des systèmes qu’ils nous vendent.

M. Philippe Latombe, rapporteur. Y a-t-il d’autres sujets que vous voulez évoquer ou des sujets sur lesquels vous voulez remettre l’accent ?

M. David Ofer. Non, je suis là pour répondre à vos questions. J’ai donné beaucoup d’informations et d’exemples très concrets. J’ai martelé qu’il fallait favoriser la commande de produits français dans la commande publique. J’espère que le message est passé.

M. Philippe Latombe, rapporteur. Le message est passé. Le sujet a été identifié dès le début des travaux de la mission d’information.

Audition, ouverte à la presse, de MM. Pierre Lelièvre et Olivier Charlannes, vice-présidents de la société IDEMIA, et de M. Cosimo Prete, président fondateur de la société Crime Science Technology (1er avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le Président Jean-Luc Warsmann. Avec MM. Olivier Charlannes, vice-président « Développement et marketing » de la société IDEMIA, Pierre Lelièvre, vice-président « Identité digitale » de cette même société et Cosimo Prete, président fondateur de la société Crime Science Technology, notre échange portera principalement sur l’identité numérique, qui s’entend comme la capacité à fournir aux citoyens et aux entreprises un moyen de s’authentifier avec un haut niveau de sécurité, lorsque ceux-ci accèdent à des services publics ou privés.

Nous nous intéressons aux enjeux de souveraineté technologique et de sécurité, afin de nous assurer que les solutions déployées sont les plus sûres et autonomes possible.

M. Philippe Latombe, rapporteur. Je souhaite d’abord que nous échangions sur les enjeux de l’identité numérique et sur la façon dont le déploiement de ces solutions, publiques ou privées, peut contribuer à renforcer la souveraineté numérique de la France et de l’Europe. À ce titre, j’aimerais vous entendre sur les choix faits, notamment dans le projet d’identité numérique régalienne, ainsi que sur le positionnement de notre pays par rapport à ses homologues européens. Le déploiement de ces identités numériques, qui devait intervenir à l’occasion du lancement de la carte nationale d’identité électronique (CNIe), suscite des inquiétudes sur lesquels vous nous donnerez votre avis.

J’aimerais ensuite que vous abordiez les conditions de réussite du déploiement de ces solutions auprès des citoyens et des professionnels, notamment sur les attentes et les besoins de ces utilisateurs, ainsi que sur les usages offerts par ces solutions. Nous pourrons ainsi prendre connaissance de l’état actuel du marché de l’identité numérique et échanger sur ses principales évolutions à venir. À cette occasion, nous évoquerons le modèle économique de l’identité numérique, qui a fait l’objet de nombreux débats. Concrètement, vous nous direz quelle doit être l’articulation entre l’action de la puissance publique et les solutions offertes par les acteurs privés dans ce domaine.

Je vous propose enfin de nous parler des enjeux de sécurité et de protection des données, qui préoccupent l’ensemble des utilisateurs de ce type de solutions. Vous nous indiquerez quelles sont leurs principales inquiétudes et comment les solutions d’identité numérique sont actuellement sécurisées.

M. Pierre Lelièvre, vice-président « Identité digitale » de la société IDEMIA. Je vous remercie de votre invitation. Pour IDEMIA, leader de la biométrie, il était important de pouvoir prendre part à ce débat.

De notre point de vue, l’identité numérique constitue la base de la souveraineté numérique de l’État, qui doit garantir une identité pour tous et assurer la sécurité de ses citoyens. Or, à l'heure actuelle, un citoyen sur six dans le monde ne dispose d’aucune identité. Ce point figure parmi les objectifs des Nations Unies pour 2030.

L’une des missions régaliennes de l’État est de garantir l’identité de ses citoyens, alors que notre économie se trouve actuellement en pleine transformation numérique, tirée par des nouveaux usages en ligne. Ces usages imposent aux États de nouveaux enjeux de lutte contre la fraude, notamment à l’identité connectée. Selon nous, l’introduction de la biométrie demeure l’un des moyens les plus efficaces pour y répondre, car celle-ci fait le lien entre le document physique et l’identité numérique, en réduisant les risques de fraude à l’identité.

IDEMIA maîtrise la sécurisation de l’identité, notamment grâce à la biométrie. Il s'agit d’un Groupe international issu du rapprochement de fleurons de l’industrie française. Nous sommes présents dans cent quatre-vingts pays et investissons plus de 200 millions d’euros par an en recherche et développement (R&D). Nous possédons également plus de mille cinq cents familles de brevets actifs. Nous sommes donc un pilier du numérique français, engagé auprès du Gouvernement pour favoriser la recherche et l’emploi, notamment en France. À titre personnel, je suis responsable du développement de l’identité numérique dans le monde, pour le secteur public.

En tant que leader de l’identité augmentée, notre objectif est de contribuer à une identité pour tous. Nous fournissons une réponse technologique de confiance, avec pour mission de créer un écosystème pour servir tous les usages. Ces usages peuvent être aussi bien publics (disposer d’un document d’identité, accéder à des services en ligne tels que l’éducation, la santé ou les aides sociales) que privés (souscrire à une ligne téléphonique, ouvrir un compte bancaire).

Depuis plus de quarante ans, le Groupe IDEMIA agit auprès des gouvernements, les accompagnant dans leur stratégie vis-à-vis de l’identité civile, à la fois par le biais de documents physiques sécurisés et de solutions s’appuyant pour partie sur la biométrie. Dans les années 1970, nous avons créé le premier capteur et le premier moteur d’analyse biométrique au monde, pour le compte du Federal Bureau of Investigation (FBI).

Depuis 2020, nous assistons l’agence européenne eu-LISA dans sa conception du système qui gérera les entrées et sorties du territoire européen. Il y a quelques jours seulement, nous avons été désignés, par le National Institute of Standards and Technology (NIST), numéro 1 dans le monde sur l’un de nos algorithmes d’analyse biométrique.

Il ne peut pas y avoir de souveraineté nationale sans identité numérique. En effet, la multiplication des services en ligne appelle au renforcement du niveau de sécurité. À ce propos, la crise sanitaire aura prouvé que certains actes essentiels au bon fonctionnement de notre système ont dû être stoppés ou reportés, en particulier les élections de mars 2020.

De façon plus générale, nous avons besoin d’accéder à une multitude de services de façon connectée. Or l’État demeure le seul acteur en mesure de vérifier l’identité de la personne se trouvant en face de nous lorsque nous sommes connectés. En ce qui concerne notre échange par Zoom de ce jour, je n’ai pas pu prouver mon identité. Il est donc urgent que nous puissions disposer d’une identité numérique.

Certains acteurs, notamment les géants du net, ont pu collecter pendant des années les données des citoyens français ou d’autres pays dans le monde, sans aucun encadrement. En Europe, le Règlement général sur la protection des données (RGPD) a corrigé une partie de ce déséquilibre, mais celui-ci existe toujours. À ce sujet, la souveraineté implique de pouvoir solliciter des acteurs locaux partageant les mêmes valeurs, respectant les mêmes lois et les mêmes codes éthiques. Pour autant, l’égalité de traitement n’est pas respectée.

La donnée est nécessaire au développement d’un logiciel d’analyse biométrique. Or pour l’heure, il nous faudrait des années pour accéder au même volume de données que certains de nos concurrents Nord-Américains ou Asiatiques, car la réglementation européenne actuelle ne nous permet pas de progresser à la même vitesse. Il est donc urgent de permettre à notre industrie de rester compétitive et d’avoir accès aux données de façon sécurisée, afin d’éviter les dérives observées dans d’autres régions.

Dans le secteur des télécommunications, certains acteurs européens comme Alcatel, qui ne disposaient pas du même appui gouvernemental que leurs homologues étrangers, ont vu leur position s’affaiblir. De la même manière que ce lien existe dans l’aéronautique, il devrait exister dans le domaine de l’identité, car il représente un enjeu majeur pour notre avenir.

Il est encore temps de renforcer le partenariat entre le public et le privé, pour compenser les déséquilibres. Notre intérêt n’est pas d’obtenir des subventions, mais de nous doter des moyens de rester dans la course. Pour y parvenir, IDEMIA souhaite la mise en place d’une réglementation permettant de protéger l’usager en respectant sa vie privée.

En parallèle, la compétitivité de notre industrie devra être soutenue. Nous pourrions par exemple nous inspirer de l’Allemagne, qui a transposé dans son droit interne la possibilité d’utiliser les données à des fins de R&D.

Nous devons protéger notre savoir et l’avance dont nous disposons encore. Plusieurs pistes existent, comme la création d’un label de fournisseur de confiance en matière d’identité numérique, dont la gestion pourrait, par exemple, être confiée à l’agence nationale de la sécurité des systèmes d'information (ANSSI). Il sera ensuite temps de définir ce que nous souhaitons mettre en place pour nos citoyens, en nous donnant les moyens de contrôler l’environnement mobile, de garder un droit de regard sur l’utilisation des données à des fins de recherche, ainsi que de disposer d’acteurs industriels supportant nos ambitions.

En France, un appel d’offres en cours devrait permettre de mettre en place la première étape de l’identité numérique. Si le retard pris s’explique en partie par la pandémie, tout retard supplémentaire n’enverrait pas un signal positif concernant notre capacité à nous doter d’un système d’identité numérique.

M. Cosimo Prete, président de la société Crime Science Technology. L’identité numérique et notre souveraineté sont des sujets qui me sont chers, car je suis un ancien expert de la police technique et scientifique.

Notre entreprise Crime Science Technology (CST) est spécialisée dans la fourniture de solutions de sécurité pour protéger les documents d’identité ou encore les billets de banque. Nous identifions également les personnes à partir de leurs empreintes digitales, grâce à des solutions déployées dans une vingtaine de pays dans le monde.

Chez CST, nous définissons la souveraineté numérique comme l’interaction harmonieuse entre l’État, les citoyens, les territoires et les acteurs économiques, dans l’intérêt du bien commun. Puisque la notion de frontière géographique n’a plus vraiment de sens dans le cadre du déploiement d’une solution d’identité numérique, il est important d’entretenir une relation de confiance entre les acteurs de l’industrie, les citoyens et l’État, afin de garantir l’identité de tous les individus.

S'il est désormais tout à fait possible de s’identifier à distance, rien ne dit en revanche que le support que vous tenez entre les mains est un document authentique. Il semble ainsi fondamental de combiner identité physique et numérique de manière harmonieuse, afin de pouvoir tirer le meilleur des deux mondes.

Les éléments déclinés à l’échelle européenne doivent pouvoir se retrouver au niveau national. Or nous sommes en droit de nous demander si le monopole régalien chargé de l’identité de confiance de tous les Français est en capacité de tirer le meilleur de ce que peut produire l’industrie française. Nous comptons des fleurons tels qu’IDEMIA ou Thales, plaçant la France dans le top 3 mondial des pays les mieux dotés en matière d’industrie de la sécurité. La question est de savoir si nous sommes en mesure de tirer le meilleur de tous les industriels et fournisseurs de solution, afin de garantir un niveau de sécurité maximal et une identité de confiance pour tous les Français.

Historiquement, la gestion des données n’a jamais été simple dans la culture française. Depuis l’après-guerre, une peur du fichage s’est même développée. L’enjeu est donc de regagner la confiance des citoyens, tant par une bonne gestion des données que par la manière dont celles-ci seront sécurisées sur les plans physique et digital. Chez CST, nous réfléchissons à cette relation de confiance, en prenant en compte les besoins opérationnels du terrain et les attentes des citoyens, tout en étudiant les meilleures façons de travailler avec les industriels pour déployer nos solutions.

L’organisation de l'aviation civile internationale (OACI) est une institution internationale chargée de formuler des recommandations de sécurité concernant les éléments électroniques, numériques et physiques des documents d’identité. C’est sur elle que s’appuie le Règlement européen pour concevoir nos titres français. Celle-ci produit également un état de l’art tous les trois ans. Je m’interroge toutefois sur la prise en considération de cet état de l’art dans notre identité numérique, tant sur sa composante physique que digitale.

En 2015, la Cour des comptes a affirmé qu’il était important de réfléchir à la façon de réguler le monopole d’État dans l’intérêt du bien commun. Or depuis la privatisation de l’Imprimerie nationale se pose la question de l’existence d’un conflit d’intérêts, car cette institution est devenue un centre de profits devant, dans le même temps, garantir la sécurité nationale. Il convient donc de s’assurer que nous disposons des outils de contrôle nécessaires pour tirer le meilleur de notre industrie.

M. Philippe Latombe, rapporteur. Vous avez indiqué que les géants du numérique avaient creusé leur avance, d’une part, en commençant à collecter les données plus tôt que nous, d’autre part, en bénéficiant d’un environnement juridique plus favorable à la poursuite de leur collecte. Quel type de données ont-ils collecté de manière massive ? Lesquelles vous seraient utiles en tant qu’industriels de la sécurité numérique ?

À ce jour, où en est la France par rapport à ses partenaires européens ? Existe-t-il des innovations apparues dans certains pays mais qui ne sont pas utilisées en France ? Connaissez-vous des pays situés hors de l’Europe présentant des niveaux de sécurisation de titres identiques ?

M. Cosimo Prete. Il y a environ trois ans, CST a été approché par la Bundesdruckerei (l’imprimerie nationale allemande), au sujet de notre solution de sécurisation Optical variable material (OVM). Cette technologie permet d’authentifier les documents en moins de trois secondes, aussi bien à l’œil nu qu’avec un simple appareillage. L’Allemagne a ainsi manifesté son intérêt lors du salon mondial de la sécurité de Londres en 2018. Depuis cette date, nous travaillons en toute confidentialité avec l’imprimerie nationale allemande, pour réfléchir au déploiement de cette technologie dans ce pays.

L’Allemagne pratique une véritable veille technologie, en s’appuyant sur des budgets colossaux. Ainsi, en 2015, le budget R&D de l’imprimerie nationale allemande était huit fois supérieur à celui de son homologue français, s’appuyant sur une politique très forte en matière de propriété intellectuelle, ainsi que sur des partenariats tirant l’ensemble de l’écosystème vers le haut. Afin d’offrir le meilleur niveau de sécurité possible à ses documents, l’Allemagne ambitionne également d’aller chercher un certain nombre de solutions à l’extérieur. Ainsi, l’imprimerie nationale allemande construit et finance des programmes de R&D avec différents partenaires, notamment en collaboration avec les experts de la police allemande. Ces synergies ont permis à cette nation de mettre en place une identité électronique depuis une dizaine d’années. De son côté, la France reste l’un des derniers pays à déployer la sienne.

Le programme INES (identité nationale électronique sécurisée) a été lancé en 2005, posant les premiers jalons d’une CNIe. Du retard a ensuite été pris, probablement pour des raisons réglementaires quant à l’exploitation des données. Le projet de l’époque a alors été transféré sur le titre de séjour et sur le permis de conduire électroniques. Les technologies nécessaires étaient donc déjà disponibles, il y a une dizaine d’années. Avec les autres experts, nous ne comprenons pas comment autant de retard a alors pu être pris dans la conception de ce document, tant sur le plan physique que numérique. À l’inverse, les Allemands ont su mettre à profit ce qu’ils avaient accompli il y a une dizaine d’années, pour désormais évoluer.

Plusieurs centaines de milliers d’usurpations d’identité sont recensées chaque année en France. La fraude sociale se chiffre par exemple à 14 milliards d'euros pour l’État. Il est donc surprenant de constater que les moyens consacrés à la R&D demeurent limités, comparativement à ce que pratiquent nos voisins.

L’Allemagne scrute avec attention l’état de l’art triennal de l’OACI, dans lequel figure CST. À l'heure actuelle, une cinquantaine de technologies ont été identifiées à l’échelle mondiale, dont une quarantaine concerne la sécurité numérique et une dizaine la sécurité physique. Sur ces dernières, trois proviennent de chez CST. À ce stade, je m’interroge donc sur l’absence de ces solutions sur notre titre régalien, alors qu’elles profitent à des pays tels que l’Allemagne ou d’autres situés en Océanie. Il est en effet surprenant que la France ne soit pas capable de mettre en œuvre les meilleures solutions présentes sur son territoire.

La photo en noir et blanc figurant sur notre carte d’identité est fournie par une solution américaine, alors qu’IDEMIA ou Thales sont capables de produire une photo en couleur depuis plusieurs années. Une telle solution est déjà proposée dans des pays comme l’Estonie. Je m’interroge donc sur les choix technologiques ayant été faits, qui témoignent parfois d’un certain archaïsme. En effet, la moyenne d’âge des éléments de sécurité actuellement embarqués sur notre titre sécurisé dépasse la dizaine d’années, alors qu’il a paradoxalement été préconisé de limiter la durée de ce titre à dix ans, pour des raisons de sécurité.

Les innovations présentées par la presse n’en sont pas véritablement. Pour preuve, l’une des sécurités embarquées date d’il y a une trentaine d’années. Celle-ci a été préférée à une solution française figurant dans le dernier état de l’art. Cette tendance se vérifie également pour le cachet électronique visible (CEV), qui date d’il y a une dizaine d’années, alors qu’il serait possible de recourir à une norme universelle interopérable. Tous ces choix suscitent des interrogations sur le pilotage des projets, ainsi que sur l’articulation entre l’agence nationale des titres sécurisés (ANTS), l’Imprimerie nationale et l’ensemble des fournisseurs français.

M. Pierre Lelièvre. Il faut établir une distinction entre le volet lié au document et le volet numérique de l’identité française. Ce dernier a été lancé en 1974, avec l’initiative SAFARI (système automatisé pour les fichiers administratifs et le répertoire des individus), qui s’est conclue par la création de la CNIL (commission nationale de l'informatique et des libertés). Nous avons donc pris le temps de bien étudier les différents modèles dont il était possible de s’inspirer. Un certain nombre d’expérimentations ont ainsi été réalisées en France, nous permettant de tirer de nombreux enseignements des initiatives passées. J’espère à présent que l’accélération dont nous avons besoin se produira dans les mois à venir, tant en matière de volume que de valeur apportée par l’identité numérique.

La qualité du résultat du développement d’algorithmes dépendra de la qualité de la donnée initialement injectée. Nous disposons encore d’une certaine avance en la matière mais sans accès à la donnée, cette avance finira par être remise en question. Or les GAFAM (Google, Apple, Facebook, Amazon et Microsoft) ont eu accès à un volume de photos sans précédent. L’enjeu est donc de pouvoir accéder à ces données, pour les transposer en informations biométriques et ainsi améliorer les performances de l’algorithme.

Dans le monde, il n’existe pas une façon unique de traiter un système d’identité numérique. En Europe, le modèle estonien sert de point de référence, avec une taille critique permettant de prendre des décisions plus facilement. Il a tout de même fallu près de vingt ans avant que ce système obtienne un taux de pénétration satisfaisant.

La vraie question pour la France est de savoir comment se donner les moyens d’une identité numérique accessible à tous. Pour y parvenir, le virage vers le « tout numérique » est souvent évoqué, mais celui-ci devra tout de même être accompagné, notamment de pédagogie. Des moyens humains seront nécessaires, afin de proposer des parcours alternatifs. Quoi qu'il en soit, l’utilisation d’un modèle complètement numérique ne nous semble pas réaliste et ne constituera pas un facteur clé pour créer la confiance entre les utilisateurs et la technologie.

L’Estonie se repose fortement sur son titre sécurisé équipé d’une puce permettant d’accéder à un panel de services en ligne. Dans ce pays, il est possible d’effectuer l’ensemble des opérations de la vie de tous les jours grâce à son identité numérique.

D’autres modèles étrangers s’appuient sur des infrastructures radicalement différentes. En effet, chaque pays où nous intervenons présente une législation et une population qui lui sont propres. En 2010 par exemple, l’Inde a démarré son virage vers l’identité numérique, en déployant le programme Aadhaar. L’État a alors demandé à ses citoyens de partager leurs informations biographiques et biométriques, dans un but de pratiquer la déduplication. Cette technique permet de valider qu’une même personne n’existe pas sous plusieurs noms différents. Plus de 90 % des 1,3 milliard d’Indiens ont été « embarqués » dans ce système. Équiper autant de personnes d’un titre sécurisé a toutefois représenté un coût très élevé.

En plus de disposer de documents sécurisés, certains gouvernements d’Amérique latine se sont par ailleurs dotés d’un système biométrique permettant aux différents acteurs des pays de vérifier l’identité des personnes.

De son côté, le modèle européen s’est tourné vers un titre sécurisé, pour des raisons historiques. Dans tous les cas, l’identité numérique implique de passer par plusieurs étapes. Il faut d’abord valider le document en lui-même, avant de s’assurer que sa date de péremption n’est pas dépassée. Seul le Gouvernement est en mesure d’effectuer ces opérations. Une fois le titre d’identité validé, ce même Gouvernement se charge d’y associer le porteur. Plusieurs technologies existent pour y parvenir. La biométrie est par exemple très largement déployée dans le monde, en raison de sa grande facilité d’utilisation.

M. Philippe Latombe, rapporteur. Le projet Aadhaar incluait effectivement les analyses biométriques des dix doigts et des deux iris. Le problème de la biométrie est que ces informations se retrouvent parfois à des endroits où elles ne devraient pas. Une partie des informations d’Aadhaar a ainsi été vendue par des pirates, pour se retrouver sur le dark web. Je me demande donc si la biométrie est suffisamment sécurisée ou si elle ne constitue pas au contraire une nouvelle mine d’or pour certains hackers, y compris au titre de l’Intelligence entre pays.

M. Pierre Lelièvre. Les logiciels IDEMIA sont utilisés en Inde mais le programme est ensuite géré en local. Le stockage et la protection des données n’a donc pas fait partie de notre champ d’action. Notre rôle est d’accompagner les gouvernements et de leur montrer l’état de l’art pour collecter ces données, les stocker et les gérer de façon sécurisée. Nous insistons par exemple sur la nécessité de séparer et de rendre anonymes un certain nombre d’informations.

M. Philippe Latombe, rapporteur. En France, au sujet de la sécurisation du titre ou de l’identité numérique associée, vos interlocuteurs sont-ils en capacité d’accepter ce que vous leur proposez ? À cet égard, le fait de recourir à une technologie américaine pour mettre une photo en noir et blanc sur un titre d’identité, alors même que des sociétés françaises comme Thales ou IDEMIA sont capables d’offrir de la couleur, pose question.

M. Pierre Lelièvre. Nous n’utilisons pas les photos sur la partie biométrique, car le procédé consiste, dans un premier temps, à transformer la matière brute. Ainsi, la photo est transformée en un template qui permettra d’en tirer une analyse biométrique, mais celui-ci n’est pas directement exploitable. Il sera alors stocké, via plusieurs niveaux de chiffrement. Les premières informations dont nous disposons sont donc stockées dans le coffre-fort de l’État.

L’identité est prouvée au moment de sortir son document. Il existe ainsi un décalage entre les usages demandés en ligne et les moyens dont nous disposons à l'heure actuelle pour nous authentifier.

Sur les documents physiques, nous investissons plus de 200 millions d’euros par an. Nous investissons également massivement dans des technologies liées à la photo, notamment en couleurs, permettant de valider que le document en présence a bien été émis par un gouvernement. Sur ce point, nous proposons de nombreuses technologies différentes aux gouvernements du monde.

M. Philippe Latombe, rapporteur. L’État pratique-t-il le sourcing ? Accepte-t-il de se pencher sur les nouvelles technologies ou préfère-t-il se réfugier dans une forme de conformisme ? Sur certaines solutions totalement numériques, les acheteurs publics n’ayant pas le temps de pratiquer le sourcing, ces derniers se contentent de passer des marchés publics qu’ils connaissent déjà. Cette tendance conduit à conserver des technologies anciennes et généralement américaines, pour lesquelles l’ensemble des briques sont rassemblées en un même endroit. En toute logique, c’est l’ANTS qui devrait s’occuper de ces sujets. Quoi qu'il en soit, sommes-nous en capacité d’aller sourcer le meilleur de l’état de l’art, pour ensuite donner l’ordre à l’Imprimerie nationale de faire le nécessaire ?

M. Pierre Lelièvre. La sécurité s’apparente à une course contre des acteurs produisant des attaques et gérant de la fraude dans nos systèmes. Cette course ne connaît pas de fin et nous pousse en permanence à nous remettre en question et à développer des innovations. Par conséquent, ni la France, ni l’Estonie, ni aucun autre pays dans le monde ne se trouve à un niveau maximum de protection de ses documents d’identité, car il est toujours possible de faire mieux. Nous développons donc constamment des innovations, qui doivent ensuite accéder au terrain.

Au sujet de la CNIe, nous faisons partie des fournisseurs, notamment de la puce. Celle-ci permettra une évolution significative, en matière de niveau de sécurité, pour vérifier l’authenticité du titre. Cette puce respecte également tous les standards du marché.

M. Olivier Charlannes, vice-président « Développement et marketing » de la société IDEMIA. Il existe des technologies alternatives à celles ayant fait l’objet d’une décision du Groupe Imprimerie nationale. D’autres éléments de sécurité qui seront inscrits sur la CNIe ont en effet été sourcés sur le territoire français par le biais d’autres sociétés. Dans ce cadre, une évaluation est menée sur l’ensemble des fonctions de sécurité.

La sécurité d’un document physique dépend d’une combinaison de l’ensemble des fonctions de sécurité intégrées sur ce document. Or il nous est difficile d’affirmer qu’il aurait fallu ajouter telle fonction plutôt qu’une autre, car IDEMIA est actuellement partie prenante du projet de lancement de la nouvelle CNIe, en particulier au niveau de la puce et du logiciel embarqué. Ce dernier a été développé par nos équipes de R&D en France et a été certifié au plus haut niveau de sécurité par l’ANSSI.

M. Cosimo Prete. S'agissant de l’évaluation de la sécurité, les forces de l’ordre observent au quotidien les retours du terrain. Les agents disposent en moyenne de cinq secondes pour contrôler un document. Ils n’ont donc pas le temps d’examiner les changements de couleur, le nombre d’étoiles ou encore de tourner la pièce à quatre-vingt-dix degrés. Ils ont donc besoin de quelque chose d’intuitif, que tout le monde peut comprendre et mémoriser en moins de trois secondes. Les informations concernant l’évaluation de la fraude sont ensuite remontées au niveau de l’ANTS et de l’Imprimerie nationale, lorsque des réunions sont organisées, car la conduite du projet ne comporte aucun point d’étape.

La moyenne d’âge des éléments de sécurité est supérieure à une dizaine d’années. Hormis la puce, le package proposé s’avère ainsi plus ou moins équivalent à celui du permis de conduire ou du titre de séjour européen (TSE). L’année dernière, Europol a constaté que des falsifications de ces titres ont été retrouvées dans certaines officines de faussaires démantelées en France et en Europe. Or les spécialistes du ministère de l’Intérieur et les experts de l’Imprimerie nationale se sont aperçus que les mêmes techniques étaient employées pour le document d’identité nationale. Il semble donc surprenant que des combinaisons d’éléments de sécurité figurant sur des titres dits secondaires se retrouvent sur notre document régalien, qui se doit d’être le plus sécurisé de tous.

M. Philippe Latombe, rapporteur. Il me semblait que le ministère de l’Intérieur était le donneur d’ordre via l’ANTS et que l’Imprimerie nationale était l’exécutant. À cet égard, un marché public doit avoir été lancé avec un cahier des charges. Comment se fait-il que le ministère de l’Intérieur n’ait pas déjà été au courant de ces éléments ?

Par ailleurs, il avait initialement été convenu que la CNIe et l’identité numérique seraient disponibles en même temps, alors que les deux ont finalement été décorrélées. L’État n’est-il donc pas en capacité de gérer ce type de sujets en mode projet ? Le retard de l’un a-t-il entraîné le retard de l’autre ?

M. Cosimo Prete. L’absence d’appel d’offres pour la partie relative à la conception physique du document constitue une véritable difficulté. Cette situation est liée au monopole régalien de l’État, qui exclut toute forme de compétitivité technologique et économique.

Une autre difficulté majeure concerne les effectifs de l’ANTS, qui ne comptent plus qu’un seul ingénieur spécialisé. L’agence cherche donc actuellement à recruter un chef de projet pour le programme CNIe, ce qui paraît inquiétant.

Il n’est pas possible d’être expert à la fois de la partie juridique, normative et industrielle. Or il me semble qu’une seule personne est pour l’instant en charge du sujet et le porte à bras-le-corps. Au final, une forme de déséquilibre se crée entre le donneur d’ordre et l’exécutant. Faute de pouvoir pleinement engager sa responsabilité, en raison d’un manque d’expertise, il me semble que le projet repose davantage sur l’exécutant.

Dans le même temps, l’avis des experts de la police et de la gendarmerie n’est plus écouté, car ces derniers s’autocensurent, faute de pouvoir exiger des technologies. Par conséquent, pour un élément de sécurité donné, l’ANTS affirmera que l’Imprimerie nationale ne lui a soumis aucune proposition, alors que l’Imprimerie nationale répondra que l’ANTS ne lui a pas demandé l’élément de sécurité en question. De fait, l’Imprimerie nationale finira par l’emporter, car c’est elle qui propose la combinaison figurant sur le document final.

Il n’existe pas de cahier des charges mais plutôt des cibles de sécurité posant une problématique opérationnelle de terrain, à laquelle une réponse tente d’être apportée sans y associer de nombre de sécurités. Tout le monde finit ainsi par se renvoyer la responsabilité, pour aboutir à une forme de raisonnement circulaire. À l’arrivée, une réponse est apportée à la cible de sécurité mais il n’est pas certain que celle-ci soit la meilleure possible.

Le Règlement de l’Union européenne formule des demandes très précises. Par exemple, pour une encre optiquement variable, différentes solutions existent sur le marché. Il est alors très simple de comparer les éléments de sécurité, au moins en ce qui concerne la partie physique. Ces éléments présentent trois niveaux de contrôle : à l’œil nu, avec un petit appareillage, en laboratoire. Un quatrième niveau sera bientôt ajouté, avec le téléphone portable. Lorsqu’un élément de sécurité retenu ne peut être vérifié que sur un seul niveau de contrôle alors qu’une autre technologie répondant à la même fonctionnalité peut se vérifier sur quatre niveaux de contrôle, je m’interroge sur la politique mise en œuvre. Il semble en effet que la politique du « moins-disant » soit privilégiée, par méconnaissance des éléments de sécurité et des technologies déployées sur le terrain.

En 2018, l’Imprimerie nationale a pris l’initiative, avec l’ANTS, de proposer notre technologie à la Commission européenne, pour sécuriser le TSE. La technologie a alors été éprouvée en profondeur par l’Imprimerie nationale. Nous avons ensuite été « retoqués », au motif que l’ANTS et l’Imprimerie nationale considéraient que notre technologie ne répondait pas à la norme. Trois ans plus tard, nous avons pourtant appris que la norme avait mal été interprétée. Ironiquement, notre technologie en question est désormais classée dans le top 50 de cette norme.

M. Pierre Lelièvre. Je suis d’accord avec M. Cosimo Prete concernant l’importance de disposer de moyens pour contrôler l’identité sur le terrain.

Par ailleurs, le contexte actuel diffère radicalement de celui de 2019. Nous sommes ainsi contraints de nous connecter en ligne pour échanger, opérer ou effectuer des transactions. Aussi critique que soit la vérification des titres physiques, nous nous trouvons désormais en plein virage numérique. Cette tendance existait déjà depuis plusieurs années, mais connaît actuellement une forte accélération à cause de la crise sanitaire. Or, personne n’avait anticipé le niveau des attentes auxquelles nous sommes confrontés.

S'agissant de notre souveraineté numérique, nous faisons face à un déséquilibre, car nous nous trouvons face à des acteurs en position dominante maîtrisant l’environnement mobile. Le smartphone est désormais devenu totalement incontournable, dans le domaine privé comme dans le public. À l'heure actuelle, ces téléphones sont maîtrisés par deux acteurs décidant de ce qu’il est possible ou non de réaliser avec eux. Ainsi, certains choix commencent déjà à se fermer pour nous. Si nous ne prêtons pas la plus grande attention à la façon dont nous souhaitons nous positionner, en tant que nation ou en tant qu’Europe, face à ces acteurs gérant une partie de notre écosystème, nous finirons par rater le virage et il sera presque impossible de le rattraper.

Il convient donc de nous interroger sur notre façon d’utiliser les téléphones et sur les informations qui y seront disponibles. Dans le cas contraire, nous serons amenés à charger des informations liées à notre identité pivot sans savoir où celles-ci se retrouveront. Nous pourrions par exemple exiger de la part de ces acteurs un certain niveau de sécurité concernant la zone de stockage et la zone d’exécution. Il sera donc nécessaire de décomposer les étapes et les informations que nous avons besoin de partager, ainsi que de nous demander comment elles seront utilisées. Pour rappel, lors de la parution du RGPD, ces acteurs ont tenté de lutter contre les contraintes que celui-ci impliquait.

Nous nous trouvons à un point critique où un système d’identité numérique est en passe d’être lancé à l’échelle de la nation. Cette identité numérique reposera sur un certain nombre d’infrastructures. Les fournisseurs de service tels que les collectivités locales, les banques ou les opérateurs auront besoin d’accéder à l’information gouvernementale, car c’est bien l’État qui est en mesure de confirmer l’identité d’une personne. Cette information devra de toute façon être partagée sur certains supports, qu’il s’agisse d’ordinateurs ou de téléphones portables.

Nous avons donc besoin d’exprimer nos exigences et d’établir une certaine normalisation. Un premier niveau a été mis en place en ce qui concerne les données avec le RGPD. Un deuxième l’a également été avec le Règlement eIDAS (Electronic Identification Authentication and trust Services), qui a permis d’atteindre un premier objectif d’harmonisation au sein de l’Europe. Nous devons désormais nous montrer plus spécifiques concernant nos attentes vis-à-vis des parties prenantes. Sur ce point, impliquer les GAFAM me paraît être une bonne façon de répondre à l’accélération face à laquelle nous nous trouvons.

M. Philippe Latombe, rapporteur. L’année dernière, les députés ont adopté une loi interdisant la simple déclaration de majorité sur Internet pour la visite de sites pornographiques. Le conseil supérieur de l’audiovisuel (CSA) est en train de mettre cette loi en pratique, en demandant à ces sites de vérifier que les personnes souhaitant y accéder sont bien majeures. Comment y parvenir, alors que l’identité numérique n’est pas encore disponible ? Des pistes existaient autour du micro-paiement bancaire mais elles ont été rejetées par le CSA, car certaines cartes bancaires peuvent être délivrées avant l’âge de 18 ans. FranceConnect représente une autre option. Un système de capture d’écran pourrait également être envisagé, la personne montrant sa carte d’identité pour accéder au site.

Au final, nous ne sommes pas en capacité de mettre en œuvre la loi adoptée. Ce retard sur l’identité numérique n’est-il pas le signe que le sujet a été pris à l’envers ?

M. Pierre Lelièvre. Nous avons participé à un certain nombre de groupes de réflexion autour de la question des usages, animés par le ministère. Cette question se pose dans de nombreux pays, en lien avec le contenu de certains sites ou à la consommation de certains produits, pour lesquels il est nécessaire de prouver son identité ou son âge. La question est donc de savoir comment partager certaines informations sans forcément transmettre l’intégralité du contenu figurant sur nos documents d’identité.

Un moyen de pallier la difficulté est de considérer l’identité comme un service pouvant être offert par l’État à sa population. L’idée est de percevoir l’identité comme un besoin fondamental, en particulier l’identité numérique. Nous pourrions alors disposer d’un service de l’État auquel il serait possible de se connecter pour accéder à certaines d’informations pertinentes aux cas d’usage. Ainsi, dans le cas où l’âge d’une personne devait être vérifié, seule cette information serait disponible. Or il existe déjà des solutions permettant de ne contrôler qu’une partie des attributs définissant notre personne. À titre personnel, je ne souhaite pas partager mon adresse avec n’importe quel fournisseur de service ou acteur.

Quoi qu'il en soit, la technologie existe déjà et il nous reste désormais à définir la façon dont nous souhaitons la mettre en œuvre pour répondre aux différents cas d’usage.

M. Philippe Latombe, rapporteur. L’État dispose-t-il des talents nécessaires pour mener à bien ce projet ? J’ai cru comprendre que l’ANTS manquait d’experts.

M. Pierre Lelièvre. La France possède un vivier d’universités extrêmement pertinent. De notre côté en tout cas, nous ne rencontrons aucune difficulté pour recruter, tant pour les profils ingénieurs que commerciaux.

M. Philippe Latombe, rapporteur. L’État a-t-il la capacité de trouver des personnes à la fois intégrées en son sein et ouvertes sur le plan technologique, afin de pratiquer le mode projet ?

M. Pierre Lelièvre. Nous menons de nombreux projets avec le Gouvernement ainsi qu’avec l’Europe, sans pour autant rencontrer de problèmes de gestion. Dans ce cadre, nous émettons des recommandations, mais toutes ne sont pas entendues. Je suis en tout cas satisfait de nos échanges avec l’ANTS ou avec les forces de l’ordre.

L’État n’est pas seulement accompagné par des acteurs tels qu’IDEMIA ou des start-up, mais également par certains grands intégrateurs. Par exemple, l’appel d’offres sur l’identité numérique lancé en fin d’année sollicite l’aide de ces intégrateurs. Ainsi, le Gouvernement français semble bien conseillé.

M. Philippe Latombe, rapporteur. J’évoquais le mode projet car d’autres auditions ont mis en évidence que certains ministères n’étaient pas en capacité de gérer par projet.

M. Pierre Lelièvre. S'agissant de l’identité numérique, nous considérons que les moyens mis en œuvre sont insuffisants par rapport aux attentes et aux enjeux.

M. Philippe Latombe, rapporteur. Selon vous, les montants de l’appel d’offres semblent trop restreints ?

M. Pierre Lelièvre. Oui, très clairement. Je pense que nous ne sommes pas parvenus à nous maintenir dans les objectifs qui nous avaient été fixés. D’un point de vue technologique, cet appel d’offres répond vraiment à la situation actuelle, en prenant en compte différents types de documents à valider. Il permet également de se projeter vers l’avenir, avec l’utilisation de la biométrie.

M. Philippe Latombe, rapporteur. S’agit-il d’un appel d’offres alloti ou général ?

M. Pierre Lelièvre. L’appel d’offres est alloti, comme c’est souvent le cas à l'heure actuelle. Pour y répondre, un cahier des charges très précis a été formulé et a évolué en suivant certaines recommandations, notamment en provenance de l’ANSSI. Nous avons alors été amenés à travailler en consortium avec d’autres entreprises, chacune devant y trouver sa place. Nous n’avons toutefois pas été en mesure de totalement répondre aux conditions financières demandées, alors que notre réponse était cohérente sur le plan technique.

M. Philippe Latombe, rapporteur. Aucun appel d’offres n’a été lancé sur la partie relative au titre physique ?

M. Cosimo Prete. À notre connaissance, les éléments de sécurité physique de la carte n’ont fait l’objet d’aucun appel d’offres.

Je suis en grande partie d’accord avec les propos tenus par M. Philippe Lelièvre. Un élément m’interpelle cependant au sujet de l’authentification à distance. À ce propos, le CEV vient d’être présenté par l’ANTS, alors qu’un tel dispositif était encore inimaginable il y a deux ans. Les mouvements associatifs ont en effet dû batailler pour faire intégrer le CEV sur la carte. Le contraste semble ainsi saisissant avec les annonces du Président de la République. Si les associations n’avaient pas bataillé à travers des collectifs, notre CNI ne comporterait pas de CEV.

Le CEV ayant été adopté sur notre CNI en est à sa version 101 et non 105. Par conséquent, chaque fois qu’un nouveau cas d’usage n’ayant pas été prévu par le CEV actuel se présentera, il sera nécessaire de réactualiser l’ensemble du système. À l’inverse, la version 105 du CEV a été validée selon la dernière norme AFNOR pour être universelle et interopérable, avec une mise à jour des différentes fonctionnalités. Nous nous fixons ainsi nos propres limites, en adoptant la version 101 et non 105 du CEV, alors que cette dernière pourrait être lue hors de France.

Par effet ricochet, cette décision plombera d’autres projets comme le pass sanitaire (qui consistait à déployer une solution française à l’échelle européenne), à cause de l’absence d’un référencement national stratégique. Cette situation semble vraiment surprenante.

M. Philippe Latombe, rapporteur. Vous voulez dire que l’avenir n’a pas assez été anticipé ?

M. Cosimo Prete. Assurément.

Je ne suis pas favorable au « tout digital » ni au « tout physique ». Il faut plutôt combiner le meilleur des deux mondes de manière harmonieuse. À ce sujet, l’ANSSI a lancé en mars le référentiel d’exigences applicables aux prestations de vérification d’identité à distance (PVID). Si certains fournisseurs de solutions devront travailler à l’authentification à distance de ce document, il est aberrant de penser que toutes les données pourront être contenues dans un téléphone portable ou dans une carte. Il existe en revanche des technologies permettant de déterminer que le CEV placé sur le document et le document en lui-même sont tous les deux authentiques. Il ne faut donc pas chercher à opposer les deux mondes.

En l’éclairant à l’aide d’un téléphone portable, il est possible de faire changer la couleur du CEV et ainsi de prouver à la caméra l’authenticité du support et du CEV. Cette méthode sera déployée chez nos voisins alors qu’il s’agit d’une solution française. Nous ne sommes donc pas capables de préparer l’avenir. Des impératifs nous sont indiqués mais nous ne parvenons pas à nous donner les moyens intellectuels, économiques et industriels pour aller plus loin.

L’enjeu est de déterminer la part de mixité technologique entre les grands fournisseurs de solutions et le monopole de l’État pour préparer l’avenir ensemble. Nous rencontrons des difficultés sur ce point, notamment car les ressources dont nous disposons en matière de gestion de projet ne sont pas à la hauteur de nos ambitions.

M. Philippe Latombe, rapporteur. Notre identité numérique sera disponible bien plus tard que ce qui était initialement prévu. Combien de temps faudra-t-il attendre avant que celle-ci ne soit lancée ?

M. Pierre Lelièvre. Différentes étapes devront être franchies, mais il faudra un peu plus d’un an pour mettre en place la première brique de ce système d’identité numérique. Une partie est déjà disponible chez FranceConnect, qui doit généraliser certains éléments tels que l’accès à DOCVERIF. Ce système permet de valider un certain nombre d’informations auprès de l’État, par exemple pour vérifier qu’un document existe bel et bien ou qu’il est toujours en cours de validité. À l'heure actuelle, ces informations ne sont pas encore totalement généralisées dans le modèle.

Le seul fait de disposer d’une puce dans les documents permettra de débloquer un certain nombre d’usages en ligne, car ces puces demeurent des éléments extrêmement sécurisés. Elles sont par exemple utilisées dans les passeports pour passer les frontières. Elles permettent également de disposer d’une authentification de niveau élevé auprès des différents fournisseurs de services. À ce sujet, le Règlement européen considère la puce comme l’élément ultime qui permettra de procéder à l’authentification d’un document puis à l’identification d’une personne. Ce dispositif vérifiera notamment que la photo présente à l’intérieur de la puce correspond réellement à la personne en question. Plusieurs méthodes permettront d’y parvenir. L’ANSSI envisage de placer un humain de l’autre côté de la vidéo, mais il est également possible d’utiliser un système automatique. Quoi qu'il en soit, les deux approches devront être complémentaires.

M. Philippe Latombe, rapporteur. Le temps que l’identité numérique, telle qu’elle est prévue dans l’appel d’offres, soit mise en place, de nouveaux usages non prévus risquent-ils d’émerger d’ici douze à vingt-quatre mois, générant ainsi un blocage à l’arrivée ? Cette éventualité a-t-elle été intégrée dans le process ?

M. Pierre Lelièvre. Des nouveaux usages émergent en permanence. En Estonie par exemple, il est désormais possible de voter avec son document d’identité.

M. Philippe Latombe, rapporteur. Le vote figure parmi les grands sujets que nous avons évoqués hier. Le conseil scientifique a en effet affirmé que si nous avions pu vérifier l’identité numérique des citoyens, il aurait alors été possible d’organiser des élections municipales et régionales dans des conditions sanitaires convenables. La question est donc de savoir si nous disposerons d’une interopérabilité complète pour assurer ces nouveaux usages, dont l’émergence n’est pas forcément encore connue.

M. Pierre Lelièvre. Il est nécessaire de protéger la santé de nos concitoyens, en leur offrant la capacité de voter en ligne. Dans le même temps, nous avons besoin de protéger notre République, en nous assurant que les élections se déroulent dans un certain cadre. À l'heure actuelle, je ne pense pas que nous soyons en mesure d’affirmer que nous disposons d’un système permettant d’organiser des élections de façon connectée. Une telle mesure ne serait de toute façon pas en ligne avec la réglementation européenne.

En tant qu’industriel, notre rôle est de déterminer si la technologie actuellement disponible nous permet d’« adresser » ces cas d’usage. Or nous y parvenons déjà dans d’autres pays et pas seulement en Estonie. De manière générale, tous les projets dans le monde doivent faire face à une certaine flexibilité. S’il est utile de disposer d’un cahier des charges initial, certains critères évolueront en fonction de l’actualité, comme c’est en ce moment le cas.

Les informations de base dont nous aurons besoin seront présentes sur la puce de la prochaine carte d’identité. Ces informations permettront de passer à des cas d’usage nettement plus critiques, comme les élections. Il sera toutefois nécessaire de légiférer pour y recourir.

M. Philippe Latombe, rapporteur. Il semble que les individus ne voient pas trop d’inconvénients à utiliser leur empreinte digitale pour déverrouiller leur téléphone, ou à présenter leur visage pour déverrouiller leur ordinateur. À l’inverse, à partir du moment où l’État souhaite récolter des données biométriques pour sécuriser l’identité de ces citoyens, un problème finit par se poser. Quel est donc votre point de vue sur la façon dont l’opinion perçoit le recours à la biométrie ?

M. Pierre Lelièvre. La biométrie est de plus en plus utilisée. Je pense donc que le niveau de confiance s’améliore. Le grand public est en tout cas en train de se familiariser avec des systèmes d’authentification biométriques. S'agissant du téléphone, les empreintes ont d’abord fait leur apparition, avant d’être suivies par la reconnaissance faciale.

Nous avons besoin de recourir à la pédagogie, ainsi que de mieux expliquer ce que nous souhaitons faire et comment nous comptons y parvenir. Sur ce point, il est essentiel d’établir une distinction entre l’identification et l’authentification. Un dispositif d’identification de masse au sein d’une population donnée sera perçu comme un système de surveillance, alors que l’authentification consiste à prouver qu’un nom correspond bien à une personne donnée. Pour leur part, les téléphones pratiquent essentiellement l’authentification et n’ont pas vraiment intérêt à recourir à l’identification.

Il existe trois niveaux de sécurité pour s’authentifier : ce que l’on possède, ce que l’on sait et ce que l’on est. Pour augmenter le niveau de sécurité, nous cherchons à associer toutes ces notions. Vous possédez ainsi un titre sécurisé dont la puce contient un certificat doté d’éléments cryptographiques permettant d’attester de façon certaine qu’il s'agit bien d’une carte du Gouvernement français. Cette carte peut également vous distribuer un code PIN. En entrant ce code, vous démontrerez que vous êtes effectivement la bonne personne ayant reçu la carte, comme c’est le cas dans le domaine bancaire. Enfin, le dernier niveau de sécurité est incarné par la biométrie, qui consiste à démontrer que vous êtes bien une vraie personne avec un visage en trois dimensions et que ce visage correspond au nom affiché.

La biométrie paraît assez largement utilisée aujourd'hui, que ce soit dans le monde du mobile ou dans la sphère gouvernementale, dans d’autres régions du monde. Il existe ainsi une question relative au téléphone et à la confiance accordée à l’État. Sur ce point, il est vrai que la défiance s’avère plus forte lorsqu’il est question de partager plus d’informations. Je ne sais pas si cette perception concerne l’ensemble des citoyens français ou si elle résulte simplement de certains lobbies. Toujours est-il que l’État demeure le mieux placé en la matière, car il dispose de plus d’informations, que n’importe quel acteur privé.

Certaines chaînes de grande distribution demandent des informations biométriques à leurs clients afin qu’ils puissent réaliser leurs achats. À titre personnel, je ne suis pas tellement favorable à de telles pratiques, car nous ne savons pas comment sont stockées ces données, comment elles sont protégées, ni qui peut y accéder.

La confiance entre le Gouvernement et la population ne se créera pas toute seule. Pour y parvenir, il sera nécessaire d’expliquer précisément pourquoi et comment les identités numériques seront gérées. Celles-ci ne seront peut-être pas destinées à des fins d’identification mais plutôt d’authentification, afin de permettre aux individus d’effectuer des transactions de façon plus sereine sur le web, par exemple pour accéder à des services ou pour vendre des objets.

La biométrie demeure donc un vrai enjeu. La question n’est plus de savoir si elle sera utilisée, car elle l’est déjà, mais quand elle le sera dans ce contexte.

M. Philippe Latombe, rapporteur. Chacun d’entre vous dispose à présent de deux minutes pour aborder un point qui n’aurait pas été évoqué et pour conclure.

M. Pierre Lelièvre. Je ne souhaite pas que le débat se cristallise sur la biométrie, qui est un moyen d’authentification présentant trois niveaux de sécurité, la puce correspondant probablement au plus élevé.

La question du niveau de maturité de la biométrie se pose, et pas seulement à l’échelle de la France. À l'heure actuelle, l’état de l’art montre que les algorithmes de biométrie ont environ une chance sur un million de confondre une personne avec une autre. De plus, la probabilité que le système échoue à identifier une personne donnée a été estimée à moins de 1 %. Le niveau de maturité de la technologie s’avère donc très bon.

Il convient désormais de nous demander comment nous souhaitons utiliser la biométrie dans le parcours client et dans notre vie de tous les jours en tant que citoyens, plutôt que de lutter contre elle. À condition de nous en donner les moyens, nous devons absolument nous équiper car nous sommes en train de perdre notre avance au profit d’autres acteurs.

M. Olivier Charlannes. M. Philippe Lelièvre a insisté à juste titre sur l’importance de pouvoir accéder aux données dans le développement des technologies d’Intelligence artificielle.

Il semble également judicieux, au niveau européen, de mettre en place un organisme d’évaluation de la performance de ces technologies, en opposition au NIST (National Institute of Standards and Technology), l’organisme américain de référence. Pour l’instant, l’évaluation des différentes technologies est réalisée à l’aune de cet organisme. Ainsi, la mise en place d’un organisme comparable, au niveau européen, offrirait la possibilité à chaque État membre de s’y référer pour évaluer les technologies qui lui seront soumises, leur niveau de performance et la manière dont elles ont été développées. Cette mesure permettrait de disposer d’un vrai référentiel de comparaison au niveau européen, auquel les État membres pourraient avoir recours.

M. Philippe Latombe, rapporteur. Je prends ce point, afin d’étudier comment nous pourrions approfondir le sujet.

M. Cosimo Prete. La proposition de M. Olivier Charlannes peut être déclinée au niveau national. Nous pourrions ainsi nous doter d’une commission mixte composée d’experts de l’industrie et d’experts publics, afin de renforcer les ressources de l’ANTS dans le pilotage des programmes régaliens. Cette mesure permettrait de prendre de la hauteur par rapport au monopole d’État et de rationaliser les choix technologiques. Pour l’heure, ce monopole se trouve encore tiraillé entre source de profit et sécurité nationale.

Nous pourrions même envisager d’aller plus loin, avec la mise en place d’un small patriot act, afin de nous aider à bâtir une souveraineté nationale à l’échelle de l’Europe.

Il est toujours possible de mieux faire, mais qu’avons-nous fait de plus depuis la création en 2010 de la puce implémentée dans notre nouvelle CNIe ? Le pilote ne pourrait-il pas évoluer sans pour autant perturber les contraintes calendaires d’ici le mois d’août ?

Audition, ouverte à la presse, de Mme Valérie Péneau, inspectrice générale de l’administration, directrice du programme interministériel France Identité numérique (FIN), et de Mme Anne-Gaëlle Baudouin-Clerc, préfète, directrice de l’agence nationale des titres sécurisés (ANTS) (1er avril 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Je remercie Mme Valérie Péneau, inspectrice générale de l’administration et directrice du programme interministériel France Identité numérique (FIN), ainsi que Mme Anne-Gaëlle Baudouin-Clerc, préfète et directrice générale de l’agence nationale des titres sécurisés (ANTS) d’avoir accepté de participer à nos travaux.

Notre échange portera principalement sur le projet d’identité numérique régalienne développé par l’État, qui est censé garantir à chaque Français une identification sécurisée sur les services publics et privés qu’il utilise dans sa vie quotidienne. Le numérique occupe une place croissante dans la vie de chacun, ce qui rend nécessaire la proposition d’une solution publique sécurisée de confiance, pour que les garanties apportées par l’État dans le monde réel se déclinent également dans la sphère numérique.

Je me réjouis donc que nous puissions dresser ensemble un état des lieux de l’avancement de ce projet, ainsi qu’évoquer la nécessité de maximiser le recours à des technologies souveraines dans ce cadre.

Je souhaiterais vous entendre sur trois points.

J’aimerais d’abord que vous nous présentiez un état des lieux de l’avancement du projet d’identité numérique porté par l’État. Ce projet est en effet important pour l’ensemble des citoyens, au regard de leur utilisation croissante des services numériques publics et privés. Le calendrier de déploiement de cette identité numérique, qui devait intervenir à l’occasion du lancement de la carte nationale d’identité électronique (CNIe), suscite actuellement des inquiétudes. Comment cette identité numérique régalienne peut-elle participer à la construction d’une forme de souveraineté numérique nationale ou européenne ? Comment nous positionnons-nous par rapport à nos principaux voisins européens ?

Mon second point porte sur le fonctionnement de cette identité numérique. Je souhaite que vous reveniez sur ses principes et que vous indiquiez comment cette identité numérique régalienne s’articulera avec FranceConnect. J’aimerais également vous entendre sur la façon dont cette solution sera sécurisée et sur les usages qu’elle offrira aux entreprises et aux citoyens. Nous pourrons ainsi échanger sur le modèle économique de l’identité numérique et donc sur l’articulation entre la puissance publique et les acteurs privés dans ce cadre.

Enfin, j’aimerais élargir notre échange à la gestion du pilotage des projets numériques au sein de l’État. Quels sont, selon vous, les prérequis méthodologiques indispensables pour mener à bien un projet numérique de cette nature ? Nous avons eu un échange avec M. Dominique Pon, responsable de la stratégie du numérique en santé, qui nous indiquait qu’il fallait privilégier l’approche par briques, sans tenter de tout révolutionner en même temps. J’aimerais donc savoir si vous partagez cette approche, par petits pas, de la numérisation de l’État et des administrations publiques. Je souhaite également connaître les principaux obstacles qu’un gestionnaire de projet comme vous peut être amené à affronter dans l’exercice de ses fonctions.

Mme Valérie Péneau, inspectrice générale de l’administration, directrice du programme interministériel France Identité numérique (FIN). Nous sommes deux à nous adresser à vous, illustrant l’articulation et la complexité du projet d’identité numérique régalienne. Je m’occupe pour ma part de la partie relative aux systèmes d’information du moyen d’identification électronique que nous concevons. Celui-ci a pour particularité de s’articuler avec des documents sources, que sont les titres d’identité électroniques, en premier lieu la carte nationale d’identité électronique (CNIe) mais aussi les passeports et titres de séjour, portés par Mme Anne-Gaëlle Baudouin-Clerc.

Le programme France Identité numérique s’inscrit dans la même temporalité que les autres projets liés à l’identité numérique. Il s'agit de projets complexes, sur lesquels nos voisins ont souvent pris de l’avance, certains d’entre eux ayant déjà été notifiés à la Commission européenne. Je précise qu’il ne suffit pas de notifier un schéma à la Commission européenne, l’identité numérique doit ensuite être utilisée au quotidien.

La France a souhaité accélérer un processus qui avait connu plusieurs échecs par le passé, pour des raisons assez diverses. Cette nette accélération a été permise par le nouveau Règlement européen sur les cartes d’identité électroniques, les deux projets ayant été lancés de manière concomitante. L’articulation entre les deux a ainsi pu s’établir de façon native. Dès la conception de la carte d’identité, nous avons en effet été en mesure d’y inclure une approche technologique permettant d’intégrer une application à l’origine de l’identité numérique. Cette approche a pu être définie très rapidement avec les industriels. La distribution de la carte sera donc prochainement généralisée.

Nous ne disposons toutefois pas encore du système d’information permettant d’exploiter cette dimension de l’identité numérique, puisqu’un décalage de quelques mois est attendu. Celui-ci s’explique d’abord par la complexité du processus, notamment au niveau de la mise en place de l’expertise et des compétences nécessaires. Il s’explique également par le fait que nous avons déjà fait l’objet de recommandations de la part du conseil national du numérique et de la mission parlementaire ad hoc de Mme Christine Hennion et de M. Jean-Michel Mis, qui ont déjà expertisé le projet. Une consultation publique avait également eu lieu sur le sujet. Notre cahier des charges a ainsi été complété.

Au-delà des garanties fixées par le Règlement eIDAS (Electronic IDentification Authentication and trust Services) et des référentiels de l’agence nationale des systèmes d’information (ANSSI), nous avons intégré ce cahier des charges citoyen qui a été défini l’été dernier. Celui-ci nous a amené à revoir certains parcours envisagés, pour tendre vers une plus grande inclusion, nous conduisant à reformuler un certain nombre de process.

Dans le même temps, l’ANSSI s’est penchée sur le sujet, pour aboutir à un référentiel sur la vérification d’identité à distance, publié en mars dernier. Nous avons alors dû en tenir compte lors du lancement des marchés.

Cette période de travaux complémentaires nous a par ailleurs permis de « maquetter » un certain nombre de parcours. L’objectif était de nous doter d’un premier moyen d’identification électronique. Celui-ci ne correspondra toutefois pas au niveau de sécurité le plus élevé, en raison de la longueur du temps de qualification. D’ici la fin de l’année 2021, il permettra, en revanche, à l’usager, d’utiliser sa CNIe en interface avec une application. Il s’agira par la suite d’obtenir un moyen d’identification électronique qualifié au niveau eIDAS, le délai moyen d’instruction s’élevant en moyenne à quatre mois.

Ce décalage se retrouve dans les autres pays européens, où les cartes sont en générale distribuées dans un premier temps, avant d’être accompagnées d’une offre numérique. Quoi qu'il en soit, le projet a fait l’objet d’un cadrage très précis, qui le sécurise et nous permettra, dans les prochains mois, de répondre à la demande.

Mme Anne-Gaëlle Baudouin-Clerc, directrice de l’agence nationale des titres sécurisés. Le projet relatif à l’identité numérique est piloté et mis en œuvre par le programme interministériel FIN dirigé par Mme Valérie Péneau. De son côté, l’agence a lancé l’appel d’offres précédemment évoqué à l’été 2020. Elle joue également un rôle d’ordonnateur pour les dépenses engagées autour de ce projet.

En tant que porteurs responsables pour le compte du ministère, nous sommes en charge de la gestion de quatorze titres sécurisés, pour lesquels nous sommes responsables à la fois de la conception des systèmes, de l’acheminement des titres et du support usager. En effet, le développement des téléprocédures a fait émerger un fort besoin d’accompagnement.

La priorité pour 2021 concerne le déploiement progressif de la nouvelle CNIe. Depuis le 15 mars dernier, celle-ci est déployée dans le département de l’Oise. Depuis la semaine dernière, elle a également été lancée à la Réunion et en Seine-Maritime. Sous réserve du succès de ces différents pilotes, le déploiement de la carte sera par la suite étendu par vagues successives à l’échelle des régions, entre la mi-mai et le début du mois de juillet. Dans le même temps, le Règlement européen a prescrit à chaque État de se doter d’une nouvelle carte d’identité avec puce avant le 2 août. La France est ainsi en passe de rattraper son retard sur les autres pays de l’Union européenne.

En 2020, nous avons connu une diminution importante de la demande de titres, dans une proportion inédite en ce qui concerne les passeports et de 19 % pour la carte d’identité, malgré ses usages liés à la vie quotidienne. Le déploiement de la nouvelle carte d’identité dépend donc également des évolutions de la crise sanitaire. Nous anticipons désormais une forte augmentation de la demande, qui surviendra probablement au cours de la seconde partie de l’année 2021 et en 2022. Avant la crise, cette demande de cartes d’identité se trouvait en revanche en augmentation structurelle. Cette donnée devra être prise en compte lors de la mise en service opérationnelle de l’identité numérique.

M. Philippe Latombe, rapporteur. L’identité numérique s’appuiera dans un premier temps sur la CNIe, avec l’arrivée d’une interface d’ici un an. Les deux projets sont-ils liés et embarquent-ils tous les deux des caractéristiques évolutives, ou bien d’autres projets ont-ils été menés en parallèle ?

Mme Valérie Péneau. L’identité numérique existe déjà dans le cadre de FranceConnect, mais la proposition de valeur supplémentaire que nous sommes en train de construire concerne l’obtention d’une identité numérique très sécurisée. Pour y parvenir, l’enjeu est d’aboutir à la dématérialisation de nouveaux usages, ainsi qu’à la sécurisation d’un écosystème d’échange de données. L’idée est de s’appuyer sur les titres d’identité à l’aide d’une interface cryptographique faisant le lien entre les données d’identité protégées dans la puce du titre et une application.

Les deux projets sont intimement liés. Selon la définition figurant dans la loi pour une République numérique, un moyen d’identification électronique doit servir à transmettre des données d’identité. Ces données doivent provenir de quelque part. À la différence d’autres États, la France ne dispose d’aucun registre unique de population. Ce sont en effet nos titres d’identité qui font office de source d’identité. Notre moyen d’identification électronique tirera donc ses données de ces titres. Un ensemble logiciel passera ensuite par le smartphone de l’intéressé, pour exporter et exploiter ces données d’identité.

Avant la CNIe, nos seules sources d’identité possibles se limitaient aux passeports et aux titres de séjour. Malgré leur diffusion à environ vingt-deux millions d’exemplaires, les passeports ne sont pas très inclusifs. La perspective de déploiement de la CNIe implique donc un changement de modèle.

Mettre au point une CNIe en deux ans constitue un exploit pour un pays aussi vaste que le nôtre. Quoi qu'il en soit, puisque les deux projets ont été lancés à la même date, ils ont été conçus en partenariat. À ce propos, le programme est logé sur la même plateforme que l’ANTS et bénéficie de moyens en partie fournis par cette dernière. Nous avons également travaillé ensemble à la définition des spécificités de la puce et poursuivons notre partenariat.

Une direction de programme a été mise en place, en raison du caractère particulier de l’identité numérique, impliquant notamment des interférences interministérielles. Le projet est donc totalement articulé avec l’agence. Ensemble, nous travaillons quotidiennement à la définition des spécificités de la carte et nous nous pencherons prochainement sur les parcours ainsi que le support utilisateurs.

M. Philippe Latombe, rapporteur. Nous venons d’auditionner la société IDEMIA ainsi qu’un industriel. Selon ce dernier, la CNIe ressemblerait fortement à un copier-coller du titre de séjour ou du permis de conduire. Or d’après ce que vous évoquez, ce support aura une importance majeure, puisqu’il embarquera la partie liée à l’identité électronique. S’agit-il réellement d’une copie ? Quelles sont les évolutions apportées ? Cette carte sera-t-elle à terme en capacité d’évoluer, en fonction des besoins qui pourraient survenir ?

Mme Anne-Gaëlle Baudouin-Clerc. Le fait d’avoir pu sortir cette CNIe en deux ans constitue une franche réussite. Cette carte respecte l’état de l’art de ce que nous pouvons attendre pour un titre sécurisé.

Le ministère de l’intérieur considère qu’il n’existe pas de sécurité unique mais plutôt un ensemble de sécurités incluses dans ce nouveau titre. Ce dernier constitue une protection supplémentaire pour lutter contre l’usurpation d’identité. Des sécurités physiques y ont donc été incluses, à un niveau qui n’avait jamais été atteint en la matière. Nous sommes donc très loin de la carte actuelle, qui a été élaborée en 1995. La carte se rapproche en revanche du titre de séjour dans sa dernière version, même si le niveau d’exigence en matière de sécurité a été renforcé.

L’apport majeur se situe dans l’introduction d’une puce contenant des données biométriques. Celle-ci contient à la fois les données prévues au titre du règlement de l’organisation de l'aviation civile internationale (OACI), conformément aux prescriptions communautaires, et l’identité numérique en tant que telle. L’application pourra ainsi être déverrouillée par un code PIN associé.

Quoi qu'il en soit, cette nouvelle carte n’aura rien à voir avec une simple copie des titres existants, en particulier le permis de conduire, qui ne comporte pas de puce. Ce dernier a d’ailleurs vocation à évoluer.

M. Philippe Latombe, rapporteur. La photo d’identité qui figurera sur le titre est en noir et blanc et provient d’une technologie américaine. Certains industriels français sont en capacité de fournir des photos en couleur. De plus, le cachet électronique visible (CEV) suivra la norme 101 et non 105, qui aurait pourtant permis des évolutions à terme.

Utilisons-nous les savoir-faire de nos industriels et les privilégions-nous dans la mise en place de ce titre ? En raison du caractère régalien du sujet, il serait en effet normal de recourir à des industriels français voire européens. Il en va également du rôle de l’État de soutenir sa filière, surtout lorsqu’il s’agit d’une filière d’excellence.

En raison de sa construction rapide, ce titre est-il en capacité d’évoluer à terme en fonction des nouveaux usages dont nous pourrions avoir besoin ?

Enfin, concernant la partie relative au titre physique, aucun appel d’offres n’aurait été lancé, en raison du monopole de l’Imprimerie nationale.

Mme Anne-Gaëlle Baudouin-Clerc. La loi garantie effectivement un monopole à l’Imprimerie nationale.

M. Philippe Latombe, rapporteur. Quel rapport entretenez-vous avec l’Imprimerie nationale sur ce sujet ? Est-ce vous qui définissez les besoins et l’Imprimerie nationale qui exécute ? Celle-ci dispose-t-elle d’une force de proposition vis-à-vis de vous ?

Mme Anne-Gaëlle Baudouin-Clerc. En la matière, l’État a fait en France un choix de souveraineté qui n’est pas unique au monde, même si d’autres modèles existent.

Une convention a été conclue entre l’agence et l’Imprimerie nationale. Cette convention détermine les objectifs que nous lui fixons en matière de sécurité, ainsi que les conditions tarifaires, les objectifs de production, les conditions de déploiement et le choix des industriels.

Nous avons fixé des objectifs de sécurité à l’Imprimerie nationale, en nous basant sur notre connaissance des phénomènes de fraude et à partir d’un dialogue avec les forces de sécurité intérieures. L’une de nos préoccupations était bien de nous laisser des possibilités d’évolution dans le temps, afin de pouvoir nous adapter aux nouvelles attentes.

En revanche, l’agence ne choisit ni les prestataires, ni les sous-traitants, ni les fournisseurs de l’Imprimerie nationale, qui doit faire ses propres choix en tant qu’industriel. Nous fixons simplement des objectifs et nous assurons qu’ils sont atteints. Pour sa part, l’Imprimerie nationale recourt de plus en plus à des appels d’offres concernant le choix de ses différents fournisseurs.

Le CEV constitue une innovation par rapport à la carte nationale d’identité actuelle. S’il est vrai que la norme 105 présente l’immense avantage d’offrir l’interopérabilité, elle a en revanche l’inconvénient d’être, pour l’instant, relativement mal reconnue par les différents lecteurs. La norme 101 s’avère ainsi nettement plus accessible et inclusive. C’est pour cette raison que nous l’avons privilégiée. Nous sommes toutefois conscients que nous aurons à un moment ou l’autre de bonnes raisons de la faire évoluer, même s’il est encore trop tôt pour se prononcer sur les conditions ou le calendrier. Il ne s’agit en tout cas pas d’un choix du passé mais plutôt d’une priorité donnée à l’inclusion et à l’accessibilité, en particulier sur le territoire national, qui concentre la majorité des usages de la carte.

Certains États ont opté pour des cartes d’identité avec des photos en couleur, d’autres non. Le noir et blanc présente en tout cas des avantages en matière de lutte contre la fraude. Ce choix est donc assumé et ne traduit en aucun cas un manque de maîtrise du système.

M. Philippe Latombe, rapporteur. Je me tournerai vers l’Imprimerie nationale pour comprendre pourquoi elle a fait appel à une technologie américaine, alors qu’il aurait été possible de faire aussi bien avec des prestataires français.

S'agissant de la CNIe, je n’ai toujours pas compris pourquoi l’Imprimerie nationale n’a lancé aucun appel d’offres.

Mme Anne-Gaëlle Baudouin-Clerc. Environ 70 % des composants de la carte ont donné lieu à des appels d’offres. Je pourrai vous confirmer le chiffre exact.

Le régime juridique de l’Imprimerie nationale l’autorise à déroger à certaines règles de la commande publique. L’État actionnaire souhaite toutefois voir augmenter la part de l’activité sous monopole donnant lieu à des appels d’offres.

M. Philippe Latombe, rapporteur. C’est donc bien l’ANTS qui a délibérément choisi de produire le cachet électronique selon la norme 101 et non 105, ou encore d’opter pour la photo en noir et blanc ?

Mme Anne-Gaëlle Baudouin-Clerc. Nous prenons en compte certaines contraintes industrielles, mais ces deux aspects ont fait l’objet d’un choix assumé. J’ai toutefois conscience que, pour l’Imprimerie nationale, le passage à la norme 105 aura des conséquences industrielles, notamment de modification de sa plateforme. À titre personnel, je pense en tout cas que la situation a vocation à évoluer. Ainsi, parvenir à utiliser la norme 105 pour le pass sanitaire présentera un véritable intérêt. Enfin, la norme 105 a besoin de conforter sa gouvernance, ainsi que de clarifier ses conditions de sécurité et de souveraineté.

M. Philippe Latombe, rapporteur. L’ANTS fait face à une forme de contraction de son personnel, entraînant une perte de compétences dans ce domaine. Êtes-vous à la recherche d’un chef de projet au sujet de la CNIe ? Vous trouvez-vous réellement sous pression en matière de personnel ? Disposez-vous de la capacité à attirer des talents présentant un profil d’ingénieur, afin d’être en mesure de pratiquer des activités telles que le sourcing ?

Mme Anne-Gaëlle Baudouin-Clerc. Le plafond d’emploi de l’agence a été revalorisé cette année de six ETP, afin de répondre aux enjeux auxquels nous sommes confrontés. Nous rencontrons des difficultés de recrutement, mais pas plus que la plupart des services de l’État. À ce sujet, nous nous sommes engagés dans une démarche de type « marque employeur », afin de mieux recruter et mieux conserver nos talents, pour pallier le fort turnover que connaît l’agence. S’il est vrai que notre cheffe de projet CNIe a annoncé qu’elle souhaitait partir, ce départ ne remet pas en cause la capacité de l’agence à mener à bien ses projets.

D’aucuns ont pointé du doigt le déséquilibre existant entre l’agence, qui compte environ cent quarante collaborateurs (hors support usagers) et l’Imprimerie nationale qui demeure l’un de nos interlocuteurs majeurs. Il est de notre responsabilité de structurer le dialogue entre ces deux entités, en gardant à l’esprit que l’agence est soutenue par le ministère de l’intérieur, lui permettant de mobiliser l’expertise disponible en matière de fraude sur les titres. L’agence ne doit donc pas être réduite à ses effectifs stricto sensu.

M. Philippe Latombe, rapporteur. Il existe deux types d’attractivité, celle liée à la « marque employeur » et celle liée à la rémunération. Avez-vous la capacité d’attirer des ingénieurs ou des profils techniques figurant parmi les meilleurs dans leur domaine ?

Existe-t-il à ce jour en France, dans la sphère publique, des talents spécialisés sur l’identité numérique, ou sont-ils massivement partis chez les industriels ?

Mme Anne-Gaëlle Baudouin-Clerc. La rémunération constitue un sujet sérieux. Nous sommes engagés dans des référentiels, en termes de compétences, dans le secteur du numérique, ce qui nous permet d’être plus proches des données du marché. Sur ce point, j’accorde une grande importance à tout ce qui a trait à la cybersécurité. Au sein de l’agence, nous sommes très clairement sous-dimensionnés pour ces questions. Le référentiel se trouve ainsi en décalage avec le marché.

En quelques mois, nous avons constaté une diminution du nombre de candidatures, bien que nous recourions à un chasseur de têtes pour notre recrutement. Sur un type de poste donné, nous avons reçu trois candidatures cette année, contre une trentaine l’année dernière. Cette tendance n’est pas liée à la « marque employeur », mais à la rémunération et à l’assèchement du marché, puisque tout le monde recrute en même temps. Ce sujet nous handicape fortement.

Mme Valérie Péneau. Sur la partie relative aux systèmes d’information, nous avons lancé un appel d’offres. L’offre française s’avère de qualité sur les différents lots que nous avons publiés.

La future carte d’identité sera dotée d’une puce embarquant une application d’identité numérique. Nous avons travaillé avec les industriels français pour définir les spécificités de cette puce. L’enjeu était de déterminer collectivement la technologie pouvant se retrouver de la façon la plus interopérable possible sur le marché déjà existant. Nous devions également réfléchir aux éléments qui pourraient évoluer de la façon la plus pertinente. Pour respecter le délai de deux ans, une première cible a alors été définie. Celle-ci est actuellement mise en place dans la carte.

Dans le contrat de filière signé en janvier 2020, nous travaillons avec les industriels français à la définition de la cible de la « puce V2 » de la future CNIe. Nous projetons ainsi de définir les spécifications avant la fin de l’année, avant de passer à la mise en œuvre technique, puis à la qualification par l’ANSSI. Au final, l’objectif est de sortir la deuxième génération de la CNIe d’ici 2024.

La future application d’identité numérique intégrée pratiquera nativement la divulgation sélective d’attributs, alors que cette dernière nécessite pour l'instant d’être opérée séparément. L’application pourrait également traiter la question des pseudonymes. Tous ces sujets font l’objet d’un travail partenarial avec les industriels français. Nous souhaitons en effet que l’identité numérique régalienne repose sur des technologies françaises. Les industriels ont par ailleurs vocation à porter à l’étranger ces technologies et approches nationales.

Le recrutement s’avère effectivement compliqué, d’autant que l’identité numérique requiert des compétences extrêmement pointues, dont le marché n’abonde pas. J’ai toutefois la chance de disposer d’une équipe de grande qualité, qui s’est constituée au fur et à mesure. Celle-ci se compose à la fois de fonctionnaires et de contractuels, que l’agence nous a aidés à recruter. Les membres de mon équipe restent quant à eux en poste par passion pour le projet, car il est vrai qu’assez peu d’entre eux ont déjà eu l’occasion de travailler sur une future application grand public touchant à l’identité et au régalien. Ces personnes sont donc passionnées par le projet et ne nous restent pas fidèles pour des questions de rémunération.

Le référentiel ne semble plus du tout à la hauteur des enjeux ni de nos besoins. Ainsi, si nous souhaitons conserver une capacité de pilotage et de maîtrise des prestataires, nous devons disposer des compétences adéquates, ce qui représente un combat quotidien.

M. Philippe Latombe, rapporteur. Nous avons auditionné des membres des GAFAM (Google, Apple, Facebook, Amazon, Microsoft), qui disposent d’une assez puissante capacité de lobbying. Il leur arrive ainsi de payer le prix fort pour recruter des talents et ensuite les utiliser dans un cadre commercial. Ces personnes qui ont quitté vos équipes pour rejoindre les industriels, les retrouvez-vous sur le projet ?

Mme Valérie Péneau. S'agissant de mon projet, nous nous trouvons en phase de recrutement. Une personne risque certes de nous quitter mais elle part rejoindre une autre agence de l’État et non un GAFAM. Il peut donc parfois exister de la compétition en interne, même si nous ne pouvons pas nous opposer aux évolutions de carrière. Quoi qu'il en soit, mon équipe n’a subi aucun détournement d’expertise au profit des GAFAM, même si sa taille reste réduite.

M. Philippe Latombe, rapporteur. En évoquant les GAFAM, je pensais également à d’autres industriels spécialisés sur le sujet.

Mme Valérie Péneau. Le programme a au contraire attiré des experts en provenance d’industriels. Deux d’entre eux nous ont ainsi rejoints car le projet les passionnait.

M. Philippe Latombe, rapporteur. S’agit-il plutôt de contractuels ?

Mme Valérie Péneau. Mon équipe se compose d’une majorité de contractuels, ainsi que de deux fonctionnaires.

Mme Anne-Gaëlle Baudouin-Clerc. Nous recrutons très largement des contractuels, dont un grand nombre provient du monde industriel. Une certaine concurrence peut également exister entre les différents ministères.

M. Philippe Latombe, rapporteur. L’année dernière, les députés ont adopté une loi interdisant l’accès aux sites pornographiques aux mineurs. Le CSA demande donc que des preuves de majorité soient données pour accéder à ces sites. La même question pourrait se poser pour la vente d’alcool ou de produits interdits aux mineurs. Or pour l’heure, nous ne disposons pas d’une identité numérique. Cette dernière n’arrive-t-elle donc pas un peu tard ? Embarquera-t-elle tous les usages possibles et imaginables dont l’invention humaine pourrait à terme avoir besoin ? En d’autres termes, disposez-vous d’une capacité d’évolution rapide ? Comment pourra-t-on ainsi justifier son âge sur internet ? L’identité numérique offrira-t-elle la possibilité de voter à distance d’ici cinq ou dix ans ? Certains pays comme l’Estonie ont déjà intégré cette fonction.

Mme Valérie Péneau. L’identité numérique transmet uniquement des données, dans le but de prouver une identité. La divulgation sélective des attributs est effectivement envisageable, en particulier l’âge. En attendant, nous devrons d’abord être en capacité de délivrer une première application, avant de la faire évoluer par la suite.

Grâce à la composante logicielle, il est tout à fait envisageable de faire évoluer le projet afin de l’adapter aux différents usages, à condition de disposer d’un cadre juridique et d’un haut niveau de sécurité. Rien ne s’opposera alors à ce que l’identité numérique soit interfacée avec un système de votation. Un tel système est d’ailleurs prévu concernant les élections professionnelles ainsi que le vote des Français de l’étranger. Je pense que le Conseil constitutionnel devra toutefois se prononcer sur cette évolution.

Le sujet des mineurs présente une complexité, tant sur le plan technique que juridique. Il existe par exemple des âges de majorité différents selon les sujets. La loi pour une République numérique a ainsi fixé à quinze ans la majorité numérique pour les services issus de la société de l’information mais pas pour les services publics. D’autres textes plus récents font état d’âges évolutifs. Sur la partie pénale également, l’âge présente un caractère variable. Il est donc difficile de construire des parcours totalement évolutifs avec l’âge.

Tant que le mineur est considéré comme tel pour une activité donnée, ce dernier doit obtenir le consentement du détenteur de l’autorité parentale. La création et l’usage de l’identité numérique d’un mineur ne pourront pas échapper à cette règle. Une telle mesure n’est pourtant pas facile à implémenter sur le plan technique, car il est nécessaire de recueillir à la fois l’identité numérique des détenteurs de l’autorité parentale et celle des mineurs. Nous finirons par y parvenir mais la première offre sera d’abord dédiée aux majeurs.

Si nous parvenons à passer le cap de la création d’identité numérique au bénéfice de mineurs, le fournisseur de service sera informé de façon sécurisée concernant l’âge de son utilisateur. Cette mesure est possible sur le principe et tout reste envisageable concernant les usages, même si certaines difficultés juridiques et techniques doivent être résolues. Les perspectives s’annoncent ainsi considérables et la cadence devra s’accélérer, afin d’articuler cette première identité sécurisée avec les titres d’identité.

Mme Anne-Gaëlle Baudouin-Clerc. Au sujet de la preuve de majorité, nous sommes en train d’étudier la possibilité d’utiliser le CEV sans attendre la mise en place de l’identité numérique. Cette solution éviterait ainsi de devoir montrer l’ensemble de sa carte. La question fait en tout cas l’objet d’un travail approfondi.

M. Philippe Latombe, rapporteur. L’ANTS se situe en dehors du ministère, ce qui ne l’empêche pas d’entretenir de forts liens avec celui-ci. Cette agence fonctionne en mode projet complet sur la question de l’identité numérique. Êtes-vous le seul organisme à fonctionner de la sorte au sein de l’État ? Ce mode de fonctionnement apparaît nouveau. Vous apporte-t-il un vrai plus pour faire avancer le projet le plus vite possible et ne pas répéter les erreurs du passé ?

Mme Valérie Péneau. Je ne sais pas si beaucoup d’autres projets sont managés de cette façon au sein de l’État, car je n’ai pas réalisé de benchmark en la matière.

Mon expérience en tant qu’inspectrice générale de l’administration m’a appris que lorsqu’un système d’information dysfonctionne, une task force est créée pour tenter de rattraper le retard. Un mode industriel classique est alors abandonné, pour concentrer des expertises et adopter un mode opératoire permettant de réactiver un projet et d’enclencher une accélération.

En l’espèce, la task force a été constituée en amont du projet, avec un rassemblement d’expertises en provenance à la fois de l’ANTS et du ministère de l’intérieur. Ces forces ont été placées sous mon autorité fonctionnelle. Ce mode de fonctionnement est particulièrement adapté à un projet numérique, rapprochant de façon très nette la maîtrise d’ouvrage et la maîtrise d’œuvre.

La difficulté du projet réside dans la complexité technique du sujet, avec tous les aléas y étant associés. Il existe également une forte interférence avec d’autres acteurs, notamment FranceConnect, qui demeure l’écosystème dans lequel nous nous insérons. Les usages sont quant à eux en cours de définition et concernent l’ensemble des sphères publique et privée. Ainsi, ce rapprochement très étroit entre maîtrise d’ouvrage et maîtrise d’œuvre permet, selon un calendrier beaucoup plus restreint, d’accélérer le projet ainsi que la traduction concrète des fonctionnalités attendues.

L’accomplissement de notre mission n’est pas simple, car elle implique des interactions continues avec l’ensemble des parties prenantes du projet, au sein de ministère de l’intérieur comme de l’écosystème interministériel. La direction de programme est ainsi chargée du bon fonctionnement du projet.

Nous disposons également d’un comité de pilotage interministériel regroupant l’ensemble des ministères concernés, ainsi que la direction générale des entreprises (DGE), la direction interministérielle de la transformation publique (DITP) et l’ANSSI. La direction de programme parvient ainsi à fédérer l’ensemble des intérêts et des parties prenantes au projet. Dans le même temps, elle essaie de limiter au maximum le risque lié à la conduite d’un projet technique, pour lequel le calendrier est très tendu et les attentes sont extrêmement fortes. Au final, tous ces éléments justifient une telle organisation, au moins pendant quelque temps.

La direction de programme n’a toutefois pas vocation à perdurer. Par conséquent, une fois que le projet aura été stabilisé, il retrouvera probablement une gestion, une gouvernance et une organisation nettement plus classiques. Le mode de fonctionnement actuel correspond en effet à un temps politique et technique très particulier.

M. Philippe Latombe, rapporteur. Selon vous, où sera logé le programme une fois que le projet sera achevé ?

Mme Valérie Péneau. Il s'agit d’une excellente question à laquelle je ne peux pas apporter de réponse. En raison des liens très forts existant avec les titres d’identité, je suis en tout cas persuadée que la relation avec le ministère et avec son opérateur perdurera.

Ce moyen d’identification étant destiné à prendre place dans un écosystème interministériel, je pense qu’une gouvernance adaptée est amenée à durer pendant un certain temps. À ce titre, cet objet ne peut demeurer uniquement l’apanage du ministère de l’intérieur, même si j’estime, à titre personnel, que nous sommes en train de construire un service public. Étant donné que nous aidons les citoyens à prouver leur identité dans le monde physique, nous devons également leur offrir un moyen de faire de même dans le monde numérique, qui est devenu le lieu où se déroulent la majorité des interactions.

Selon moi, ce service public a plutôt vocation à être placé du côté du ministère de l’intérieur. Pour les usages quotidiens, toutefois, nous devrons conserver cette gouvernance interministérielle. Quoi qu'il en soit, la question devra se poser à l’avenir.

M. Philippe Latombe, rapporteur. Je souhaite à présent que nous abordions la question du marché de l’identité numérique.

Mme Valérie Péneau. J’émets certaines réserves concernant l’expression « marché de l’identité numérique », car il convient de différencier plusieurs éléments.

En premier lieu, l’État a la responsabilité de protéger les données d’identité de ses citoyens, en lien avec ses missions régaliennes ou relatives à la souveraineté. Ce point se rapporte à ses responsabilités en matière d’état civil et ce depuis la Révolution française.

En parallèle, l’État se doit également de sécuriser l’accès à ses propres services publics, ces éléments entrant dans la sphère des prérogatives de la puissance publique. En ce qui me concerne, je pense que l’accès aux services publics et l’identité numérique permettant d’y accéder sont liés à la notion de service public.

La question de l’accès aux services privés se pose ensuite. Dans ce cadre, les informations revêtent une véritable valeur, que les banques monétisent dans le cadre des KYC (know your customer). Ces éléments relèvent sans doute de données de marché.

Pour autant, il me semble qu’il n’est pas encore possible d’affirmer qu’il existe un marché de l’identité numérique, car sa maturité est encore en construction. Nous avons à ce propos mené des études avec des cabinets de consultants, pour tenter de préciser le modèle économique de ce marché de l’identité numérique. Une étude d’Ernst and Young sur le sujet a ainsi été transmise à la mission parlementaire. Cette étude fait état d’un potentiel de développement économique mais dans des proportions encore limitées.

À partir du moment où l’identité numérique en tant que telle repose sur des titres d’identité, c'est-à-dire la constitution d’un moyen d’identification électronique, celle-ci n’apparaît pas comme une source de marché évidente.

Plusieurs dispositifs existent en France. Notre environnement correspond par exemple aux moyens d’identification électroniques dans le cas d’une identité numérique reliée à FranceConnect. En parallèle, le nouveau référentiel d’exigences applicables aux prestations de vérification d’identité à distance (PVID) de l’ANSSI définit des modalités de vérification d’identité à distance. Celui-ci s’adresse aux acteurs de confiance, sera bientôt « embarqué » par les banques et correspond au marché de la vérification d’identité. Ce dernier est amené à croître, notamment au bénéfice des banques. Quant à elles, les banques se trouvent à cheval entre, d’un côté, des acteurs tiers pour vérifier à distance l’identité de leurs usagers et, de l’autre, l’écosystème FranceConnect, auquel la plupart d’entre elles sont déjà rattachées. La mise en place d’une identité numérique sécurisée pourrait donc les intéresser.

À ma connaissance, l’écosystème FranceConnect n’a pas encore complètement été stabilisé. Le principe défini suppose en tout cas que toutes les identités numériques permettant d’accéder à des services publics soient gratuites. En revanche, l’accès aux services privés connectés à FranceConnect obéit à une forme de marché. Sur ce point, il me semble que les fournisseurs d’identité privée, qui demeurent peu nombreux, pourront librement fixer leurs tarifs. Le sujet de la gratuité du moyen d’identification électronique régalien au bénéfice des acteurs privés n’a en revanche pas encore été tranché.

Les situations varient sensiblement d’un État à l’autre. Au sein du modèle anglais, par exemple, il a été constaté que le marché était insuffisant pour permettre à des acteurs privés de vivre correctement. D’autres modèles s’orientent plutôt vers une forme de partenariat public-privé, avec des redevances ou des indemnisations croisées n’atteignant pas des sommes considérables. Le seul modèle véritablement éprouvé demeure le scandinave, selon lequel les banques produisent nativement l’identité numérique. Ce modèle diffère du nôtre.

En matière d’identité numérique, la légitimité de l’État s’avère donc plus ou moins importante en fonction des cultures. Celle-ci demeure globalement assez forte, comme c’est notamment le cas en Suisse. Cette tendance a également été mise en évidence par le rapport de la mission parlementaire, qui fait état d’une certaine confiance de la part des citoyens envers l’État pour fournir cette brique d’authentification appuyée sur les titres d’identité dans le monde numérique.

Ce sujet fait l’objet d’interrogations depuis trois ans. Peu d’acteurs privés existent dans FranceConnect, peut-être parce que le modèle économique n’est pas encore complètement défini. Toujours est-il que l’identité numérique implique de lourds investissements, alors même que, dans le modèle actuel, le retour sur investissement n’est pas complètement garanti.

M. Philippe Latombe, rapporteur. Vous avez indiqué que les citoyens considèrent que l’État est le plus à même de s’occuper des questions relatives au domaine de l’identité. Percevez-vous toutefois une réticence de la part de certains citoyens français à confier leurs éléments biométriques à l’État dans l’optique que celui-ci les intègre dans un titre d’identité, qui ferait ensuite office d’identité numérique ? Comment évolue la situation sur ce point ?

Mme Valérie Péneau. Il est vrai qu’il peut parfois exister des contradictions chez nos concitoyens. Ainsi, alors même que les sondages font état d’une plus grande confiance dans l’État que dans les acteurs privés ou commerciaux pour garantir les données d’identité, des réticences apparaissent chez une partie de la population à propos de la transmission de ses données biométriques.

Pour rappel, dans le système Alicem, les données biométriques ne servaient qu’à vérifier l’identité au moment de la création de l’identité numérique et n’étaient par la suite jamais redemandées. Ce principe a pourtant suscité certaines confusions.

À ce stade, il est possible de pratiquer l’identité numérique sans recourir à la biométrie. Des parcours permettent ainsi de créer l’identité numérique et de la faire vivre par la suite, sans pour autant recourir à la vérification d’identité à distance et donc à la biométrie. En effet, cette dernière s’apparente à la comparaison entre une vidéo ou un selfie pris par la personne et la puce se trouvant dans le titre.

La carte d’identité actuelle intègre nativement les données biométriques de l’usager. Cependant, la partie de la puce en charge de la création de l’identité numérique ne contient pas de données biométriques, seulement des données alphanumériques.

Mme Anne-Gaëlle Baudouin-Clerc. Les données biométriques sont spécifiquement protégées en tant que telles. Nous nous sommes d’ailleurs assurés de l’effectivité de cette protection à travers un audit de sécurité ayant été conduit avant le lancement de la carte. De plus, l’accès à ces données demeure par principe réservé aux autorités publiques.

M. Philippe Latombe, rapporteur. Une partie de nos concitoyens craint la mise en place conjointe d’une CNIe contenant des données biométriques et d’une identité numérique, le tout couplé à du fichage et éventuellement à de la reconnaissance faciale. Sentez-vous cette crainte monter, à l’image de l’opposition à la 5G ? Les usages pourront-ils montrer que ces craintes sont infondées et ainsi remporter l’adhésion de la population ? Comment appréhendez-vous le lancement de l’identité numérique ?

Mme Valérie Péneau. Depuis le début, nous sentons effectivement qu’un travail de conviction et de pédagogie sera nécessaire.

L’application Alicem nous a permis de monter en maturité de façon considérable. L’un de ses intérêts a notamment été de pouvoir immédiatement constater les réactions qu’elle a suscitées. Nous avons également pu nous rendre compte des limites du modèle de cette identité numérique, qui avait initialement été conçue comme un prototype. Cette approche initiale était en tout cas parfaitement justifiée par l’objectif de l’époque.

En définitive, projeter un objet nativement conçu dans un but de vérification d’identité à distance (donc autour de la reconnaissance faciale) et dont seule la sécurité est valorisée n’apparaît pas être la meilleure porte d’entrée vers l’identité numérique sécurisée.

De plus, il existe une très forte confusion concernant les usages de la technologie faciale. Cette confusion se situe entre l’usage à des fins d’identification dans l’espace public pour des raisons sécuritaires et l’usage dans un but d’authentification, qui n’ont rien à voir entre eux. En effet, l’authentification reste à la main de l’usager et se base uniquement sur le titre plutôt que sur un fichier central. La commission nationale de l'informatique et des libertés (CNIL) a clairement affirmé cette distinction mais la subtilité demeure mal comprise.

Par conséquent, nous pensons qu’il est préférable de commencer par offrir des parcours n’obligeant pas les utilisateurs à recourir à cette technologie, qui suscite certaines inquiétudes. En parallèle, il serait intéressant de ne pas immédiatement recourir à l’authentification renforcée pour certains usages du quotidien comme la preuve de la majorité dans le monde physique, avant d’entrer dans l’identité numérique sécurisée.

L’État doit également adopter une approche un peu différente. Nous avons ainsi demandé à nos prestataires d’utiliser des briques open source, dans un souci de transparence. À l’inverse, Alicem était protégée par des licences. Nous avons donc souhaité adopter une approche plus progressive et plus itérative. Dans cette optique, nous avons recruté des UX designers afin de recueillir régulièrement les retours des utilisateurs.

À l’avenir, ce seront les usages qui porteront l’identité numérique. Ceux-ci demeurent encore relativement peu nombreux, puisque la solution n’est pour le moment pas disponible. Lors de sa sortie, j’espère qu’elle ne fera pas l’objet d’un rejet, par exemple parce que la technologie serait mal supportée ou en raison de l’existence de présupposés sur un éventuel traçage. Or un tel traçage n’est pas du tout prévu et il ne serait de toute façon pas possible. Le but est au contraire que la solution soit largement déployée dès que les usages seront prêts.

M. Philippe Latombe, rapporteur. La souveraineté technologique, française ou européenne, constitue-t-elle l’un des moteurs de votre projet ? Allez-vous totalement l’intégrer dans le projet, quitte à exclure des solutions américaines qui pourraient poser question ?

Mme Valérie Péneau. Ma réponse est très clairement positive. En effet, lors de la formulation du cahier des charges de notre système d’information, nous avons veillé à ce qu’aucune licence ne devienne la propriété d’acteurs privés français ou européens.

Dans ce cahier des charges, nous avons également intégré l’application native du Règlement général sur la protection des données (RGPD), auquel sont soumis l’ensemble des acteurs européens et français.

Avec les acteurs français, nous définissons les spécificités de la puce de demain. La souveraineté fait ainsi partie intégrante du projet. Je pense d’ailleurs que la souveraineté numérique est un sujet éminemment régalien et même national. En effet, les schémas notifiés par les États correspondent à des pratiques administratives qui leur sont propres, selon qu’ils disposent ou non de registres de population ou d’identifiants uniques. Au final, chaque schéma est d’ordre national, même s’ils se doivent d’être interopérables au niveau européen.

Lors du discours de l’Union, la présidente de la Commission européenne a soumis l’idée d’une identité européenne, qui a ainsi été intégrée aux discussions de révision du règlement eIDAS. Cette idée suscite de fortes interrogations, car nous ne disposons d’aucune définition précise de ce que représenterait cette identité européenne au-delà de l’interopérabilité de nos dispositifs. La Commission devra donc expliciter ce point, alors que la révision du règlement eIDAS a été reportée. Quoi qu'il en soit, cette question fera l’objet d’importants travaux dans les prochains mois, peut-être au moment de la présidence française. L’un des enjeux sera de définir l’articulation avec les schémas nationaux, ainsi que d’aborder le sujet de la souveraineté nationale.

M. Philippe Latombe, rapporteur. La souveraineté technologique figure-t-elle parmi les critères principaux de l’ANTS ? Plutôt que de recourir à une technologie américaine proposant une photo en noir et blanc, ne pourriez-vous pas inclure d’autres solutions au cahier des charges que vous tenez avec l’Imprimerie nationale ?

Mme Anne-Gaëlle Baudouin-Clerc. Nos projets doivent apporter les garanties en matière de sécurité informatique et être en conformité avec le cadre français et européen. J’ai conscience que nous devons encore globalement progresser dans leur conduite, ainsi que sur les questions de propriété numérique au sens large, qui ne figurent pas encore au centre de nos préoccupations. Des évolutions devront donc être intégrées.

M. Philippe Latombe, rapporteur. De manière générale, les industriels préfèrent que l’État soit leur client plutôt que de recevoir des aides de sa part.

Audition commune, ouverte à la presse, de MM. Rodolphe Belmer, directeur général d’Eutelsat, et Hervé Derrey, président-directeur général de Thales Alenia Space) (6 avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Je remercie M. Rodolphe Belmer, directeur général d’Eutelsat, qu’accompagne M. David Bertolotti, directeur des affaires publiques de cette société, et M. Hervé Derrey, président-directeur général de Thales Alenia Space, d’avoir accepté de participer à nos travaux.

L’espace extra-atmosphérique donne lieu à des confrontations croissantes. Deux phénomènes principaux s’y révèlent à l’œuvre.

Il s’agit d’abord d’une tendance à la privatisation. Dans ce qu’il est convenu d’appeler le new space, elle se traduit par l’irruption d’acteurs privés innovants, tel SpaceX. Ils remettent en cause les fondamentaux de certains marchés, comme celui du lancement de satellites, et se positionnent en matière de connectivité par satellite.

Les grandes puissances étatiques inclinent ensuite à accaparer l’espace. Face aux initiatives des États-Unis et de la Chine, l’Europe entend se doter de sa propre constellation de satellites. Le commissaire européen au marché intérieur, M. Thierry Breton, le rappelait encore récemment.

Thales Alenia Space, entreprise notamment spécialisée dans la construction de satellites, et Eutelsat, opérateur de satellites commerciaux, sont parties prenantes de l’action de l’Europe. Le satellite de télécommunications géostationnaire Eutelsat Konnect, opérationnel en orbite depuis novembre 2020, illustre cette action.

M. Philippe Latombe, rapporteur. J’évoquerai trois sujets sur lesquels nous souhaiterions vous entendre.

D’une part, nous apprécierions que vous présentiez votre secteur d’activité, en proie à de profonds bouleversements. Apparus depuis plusieurs années, ceux-ci se manifestent désormais avec prégnance. Ainsi que le rappelait M. le président, les grandes puissances investissent toujours davantage l’espace extra-atmosphérique, quand les acteurs privés y font irruption, d’une façon inédite par son ampleur. Comment la France et l’Europe peuvent-elles ici défendre leurs intérêts et leur souveraineté ? Voulez-vous nous exposer brièvement le projet de constellation européenne, que porte M. le commissaire Thierry Breton et que M. le président évoquait dans son introduction ?

D’autre part, nous aimerions approfondir les enjeux d’innovation, voire de rupture technologique, qui animent votre secteur d’activité. Comment, en particulier, jugez-vous le niveau de soutien aux entreprises spatiales en France et en Europe, tant de la part des pouvoirs publics qui en subventionnent l’effort de recherche, que du marché qui doit permettre aux entreprises innovantes de se financer ? Formulez-vous des propositions en vue de mieux appuyer le développement de ces entreprises ? Nous aimerions également savoir s’il existe d’autres segments technologiques où des ruptures majeures devraient intervenir dans les prochaines années. Le cas échéant, comment faut-il que nous nous y préparions ?

Enfin, au cœur de la réflexion de la mission d’information, nous ouvrons une séquence sur la formation. Pourriez-vous nous dire quelle est votre évaluation des formations aux métiers du spatial en France et en Europe ? Avez-vous connaissance de pratiques ou de dispositifs dont nous tirerions avantage à nous inspirer ?

M. Rodolphe Belmer, directeur général d’Eutelsat. Eutelsat est un opérateur de télécommunications par satellites. Notre métier consiste à apporter des services de télécommunications dans le monde entier, là où les opérateurs terrestres éprouvent des difficultés à offrir les leurs. Il peut s’agit de zones géographiques à très faible densité de population ‒ zones dites de déserts numériques ‒, ou de zones inaccessibles par nature aux télécommunications terrestres, tels que l’espace aérien pour les avions en vol ou la pleine mer pour les navires.

Quoique peu connue du grand public, la société Eutelsat représente, avec près d’1,3 milliard d’euros de chiffre d’affaires, le troisième opérateur mondial de son secteur. Elle compte 1 200 employés. Modeste en comparaison de son chiffre d’affaires, son effectif atteste de la forte valeur ajoutée de son activité. Plus que le nombre, celle-ci requiert une ressource extrêmement qualifiée et spécialisée. J’y reviendrai au sujet de la formation que vous avez abordée dans vos questions.

En outre, l’organisation d’Eutelsat s’avère des plus ouvertes à l’internationalisation. Plus de cinquante nationalités la composent. Son siège se situe en France, à Issy-les-Moulineaux, où il vient de s’installer. Son principal téléport, ou lieu de réception des signaux produits par sa flotte de satellites, se trouve à Rambouillet, en région parisienne.

À ce jour, Eutelsat exploite une quarantaine de satellites dits géostationnaires. De taille importante, d’un poids de cinq à six tonnes en moyenne, ces satellites évoluent à 36 000 km d’altitude, en orbite autour de la Terre, selon une vitesse de rotation qui lui est identique. Ils demeurent donc à une position fixe par rapport à la surface du sol. Une telle fixité facilite les services de télécommunication.

Eutelsat est présente dans 150 pays.

Historiquement, notre cœur de métier consiste en la diffusion de chaînes de télévision. Premier acteur mondial à égalité de cette activité vectrice d’information, de culture et de divertissement, nous distribuons 7 000 chaînes de télévision. Grâce aux satellites, environ un quart de la population mondiale les reçoit.

Depuis quelques années, notre activité prend un nouvel essor. Au-delà de la télévision, elle s’adresse de plus en plus au marché de la connectivité. Dorénavant, la promesse devient celle de l’Internet accessible en tous lieux, y compris là où les opérateurs terrestres ne peuvent, pour des raisons physiques ou économiques, le proposer.

En conséquence, nous avons engagé avec nos partenaires une stratégie d’innovation et d’investissement. Il s’agit de financer les infrastructures de télécommunications spatiales à mêmes de fournir des services Internet de haute qualité à un prix acceptable aux populations des zones où les opérateurs terrestres ne parviennent pas à se rendre.

Je reprendrai un exemple que vous avez cité dans votre introduction. Nous avons récemment mis en orbite le satellite Konnect. Notre partenaire Thales Alenia Space en a assuré la fabrication, Arianespace s’est occupée de son lancement. Il permet de proposer à nos concitoyens un service Internet performant, distribué par la société Orange, d’une capacité de connexion de 100 mégabits par seconde (Mb/s). Son prix mensuel de 39,90 euros équivaut aux offres de télécommunications terrestres. De ce point de vue, une initiative de bout en bout française contribue à réduire la fracture numérique sur notre territoire. Rassemblée dans toute sa chaîne de valeur, l’industrie française a ici produit un service assurément innovant et utile.

Je répondrai maintenant à vos questions.

Sur les aspects de souveraineté, de perturbation de notre secteur d’activité et de stratégie d’innovation, il faut à l’évidence reconnaître une profonde évolution de notre champ concurrentiel. Ainsi que je le signalais, le marché des opérateurs de télécommunications par satellites se déplace vers les enjeux de connectivité. Les dernières générations de satellites sont en mesure de connecter à l’Internet de haut débit et à des prix compétitifs, tant dans les pays émergents que dans les pays développés, de vastes segments de population qui ne l’étaient pas. Étendu, le marché qui s’ouvre répond à un besoin indéniable et d’une importance cruciale. Il suscite bien des convoitises.

De nouveaux acteurs apparaissent. Forts d’investissements puissants, ils font montre d’une ambition marquée. Ils s’efforcent de capter la demande universelle de connexion par les satellites. La situation de concurrence exacerbée favorise sans conteste l’innovation et la qualité du service proposé. Ma remarque vaut évidemment bien au-delà des seules frontières françaises.

Au regard de la souveraineté nationale et européenne, la difficulté s’avère de deux ordres.

En premier lieu, les services de connectivité proviendront toujours plus d’un nouvel outil, les constellations en orbite basse.

Pour l’heure, comme la plupart de ses concurrents, Eutelsat utilise de volumineux satellites géostationnaires, éloignés du sol et fixes par rapport à lui. Appelée à s’y substituer, la technologie des constellations en orbite basse arrive progressivement à maturité. Elle repose sur une approche toute différente. Les satellites évoluent alors beaucoup plus près de la Terre et tournent autour d’elle. Dans ce cas, apporter un service constant suppose de couvrir l’orbite d’un nombre élevé de satellites. De flottes de quelques dizaines de gros satellites, nous passons à une logique de centaines, voire de milliers ou même de dizaines de milliers d’objets en orbite basse.

En comparaison du système géostationnaire, le léger avantage de l’orbite basse tient à la latence. Recevoir un signal d’un satellite géostationnaire nécessite 0,4 seconde ; pour un satellite en orbite basse ou très basse, la communication devient quasiment instantanée, de l’ordre de 10 ou 14 millisecondes. Elle équivaut à celle de la fibre optique.

Son inconvénient majeur réside dans le fait que les constellations en orbite basse n’excéderont pas un nombre fort restreint. Le spectre des fréquences qu’elles utilisent s’avère en effet lui-même contraint par nature. Quoiqu’elle puisse être amenée à évoluer encore, l’estimation la plus communément admise aujourd’hui prévoit un maximum de cinq ou six constellations. Au-delà, l’orbite atteindra son niveau de saturation.

L’espace des constellations en orbite basse étant limité, ou « fini », il en résulte que les positions à y prendre deviennent rares, donc onéreuses. Les acteurs nord-américains, dont SpaceX d’Elon Musk, Amazon de Jeff Bezos avec Project Kuiper et la société canadienne Telesat, les Anglais avec OneWeb, ainsi que les Chinois, se préparent à occuper des positions dans l’orbite basse. La place des Européens se réduit, voire est menacée. Nous ne pouvons en effet exclure que l’ensemble de l’espace de l’orbite basse fasse l’objet d’une captation par des puissances non européennes.

En second lieu, l’attention doit porter sur le financement des opérations que je viens de décrire. À ce stade, vous pourriez vous interroger sur la raison pour laquelle Eutelsat, un des chefs de file mondiaux d’une activité rentable, ne développe pas directement sa propre constellation en orbite basse.

La réponse renvoie au coût extrêmement élevé des objets en orbite basse. La mise au point d’une constellation en orbite basse suppose un investissement d’environ 5 milliards d’euros en moyenne. En regard de notre chiffre d’affaires, que je vous ai précédemment indiqué, la disproportion est flagrante. Un investissement de cette envergure ferait peser un poids économique et un risque commercial beaucoup trop lourds sur une société de la taille d’Eutelsat. Elle ne peut, en l’état, mener seule une telle entreprise.

En comparaison, nos concurrents y parviennent grâce au soutien massif de leurs institutions nationales, en particulier celles des États-Unis d’Amérique. Outre qu’elles portent la marque de l’incontestable dynamisme entrepreneurial de l’industrie américaine, les initiatives d’Elon Musk, Starlink pour les constellations en orbite basse et SpaceX pour les lanceurs, bénéficient du soutien déterminé et coordonné des institutions de ce pays à son industrie spatiale. Ce soutien permet ici au promoteur des initiatives de prendre une position clé dans le domaine des fréquences et de l’orbite basse.

Trois agences américaines contribuent à leur financement : celle de l’armée, la Defense Advanced Research Projects Agency (DARPA, l’agence du département de la défense), la National Aeronautics and Space Administration (NASA, l’agence fédérale en charge du programme spatial civil) et la Federal Communications Commission (FCC, commission fédérale des communications) avec son programme de réduction de la fracture numérique aux États-Unis. Elles y contribuent à hauteur de plusieurs milliards de dollars. Leur engagement témoigne de la perception, par la puissance publique, de ce pays de l’importance des nouveaux systèmes que nous évoquons et de la nécessité d’en financer puissamment la mise en œuvre.

Pour la Chine, du fait de données publiques moins accessibles, les avancées n’apparaissent pas avec la même évidence. Cependant, tant les déclarations de ses autorités que les échanges avec nos interlocuteurs et pairs Chinois montrent une volonté non moins marquée de déployer les nouveaux systèmes.

Pour sa part, Eutelsat prend activement part au consortium dont la Commission européenne a encouragé la création. Communément, ce projet spatial reçoit souvent le nom de son principal instigateur, le commissaire Thierry Breton. Il poursuit pour objectif de développer une constellation de satellites propre à l’Union européenne ou, au moins, d’identité européenne. Par rapport à ses concurrents, il introduirait une logique novatrice de systèmes complexes mêlant orbites basse, haute et moyenne.

Sans rien augurer, les réserves à formuler tiennent ici à la célérité des décisions et à la portée des projets de l’Union européenne, qui ne s’avèrent pas toujours conformes aux exigences des marchés des techniques de pointe. Ceux-ci se caractérisent par la rapidité de l’innovation et l’ampleur des moyens engagés. Il convient de ne le pas perdre de vue.

M. Hervé Derrey, président-directeur général de Thales Alenia Space. Complémentaires, mes propos s’inscriront à la suite de ceux qui viennent d’être tenus. Je partage une vision et une analyse équivalentes de la dynamique qui anime actuellement notre marché.

Je reviendrai d’abord sur certains fondamentaux de l’industrie spatiale. Ils préexistaient à l’émergence des nouvelles constellations de satellites en orbite basse.

À l’évidence, notre marché est celui d’une très haute technologie. Par essence, il revêt un double caractère institutionnel et stratégique. Les États, en particulier les États-Unis, la Chine, mais également la Russie, le financent de manière significative. Nos concurrents y jouissent de soutiens institutionnels et législatifs majeurs. Je pense par exemple au Buy american Act (« loi achetez américain ») de 1933 ou à la législation relative au commerce international des armes (International Traffic in Arms Regulations, ITAR) qui favorisent l’industrie nationale.

À ce jour, environ 50 États possèdent des infrastructures spatiales. Un nombre croissant d’entre eux se dotent de moyens autonomes de production. Bien que la France et l’Union européenne reconnaissent l’espace extra-atmosphérique comme un domaine important, voire stratégique, les budgets qu’elles y consacrent demeurent faibles en comparaison de ceux d’autres pays. Sous l’angle de la dépense par habitant, nos budgets dédiés à l’Espace ne nous placent qu’au quatrième rang mondial. Pour donner un ordre de grandeur, celui des États-Unis s’avère cinq fois supérieur, ceux de la Russie et du Japon respectivement trois fois et deux fois plus élevés.

Nos concurrents internationaux dépendent du marché commercial et de la compétition qui s’y livre pour environ 20 % de leur chiffre d’affaires. Ils bénéficient par ailleurs du financement de programmes institutionnels à hauteur de 80 % de ce même chiffre. En Europe, les équilibres se situent plutôt de l’ordre de 50 % en provenance du marché compétitif, l’autre moitié de celle du marché institutionnel.

Dans cet environnement, l’élément nouveau consiste, comme il a été dit, en l’apparition assez massive du secteur privé. C’est le cas de SpaceX, entité présente à la fois sur le segment des lanceurs et sur celui des satellites avec Starlink, ainsi que des GAFAM (Google, Apple, Facebook, Amazon et Microsoft) et notamment d’Amazon. Ces acteurs disposent de moyens financiers considérables qui leur permettent de ne pas appliquer les modèles économiques (business models) classiques. Ils procèdent ainsi à des analyses de rentabilité sur le long terme.

Dans cette conjoncture de forte compétition, Thales Alenia Space s’efforce de rester l’un des chefs de file français et européens du satellite, et de consolider sa position. Elle est une co-entreprise, ou entreprise en participation (joint-venture), entre les groupes Thales, pour 67 % de son capital, et Leonardo, à hauteur de 33 %. Implantée dans 17 sites, elle compte environ 7 700 salariés, dont 4 000 en France et 2 000 en Italie. Les autres se répartissent entre plusieurs États européens, en Espagne, en Allemagne, en Belgique, et plus récemment au Royaume-Uni, en Pologne, ainsi qu’en Suisse.

En 2020, en dépit d’une mobilisation et du soutien insignes des agences nationales ‒ l’agence spatiale italienne (agenzia spaziale italiana, ASI), le centre national d’études spatiales (CNES) et la direction générale de l’armement (DGA) en France ‒ de même que de l’agence spatiale européenne (European Space Agency, ESA), la crise sanitaire, les mesures qu’elle a provoquées, ont pesé lourdement sur nos programmes. Le marché de l’exportation s’est également montré quelque peu atone, notamment avec nos clients moyens-orientaux. Les conséquences en apparaissent assez significatives sur notre chiffre d’affaires et sur notre rentabilité. Ainsi, le premier tombe à 1,85 milliard d’euros en 2020, quand il s’établissait à 2,17 milliards d’euros un an plus tôt.

Dans le domaine de la connectivité, Thales Alenia Space se distingue de ses concurrents français, européens et mondiaux. Son implantation nationale se révèle marquée, particulièrement dans le champ des télécommunications et des charges utiles de télécommunication. Les trois-quarts des satellites de télécommunication qu’elle met en orbite géostationnaire sont de fabrication française. Leur production alimente ainsi un vaste tissu de petites et moyennes entreprises (PME) nationales.

Notre prééminence concerne aussi le domaine des constellations spatiales de télécommunications. Depuis la fin des années 2000, nous sommes les maîtres d’œuvre de l’ensemble des constellations commerciales actuellement opérationnelles en orbite basse : Globalstar 2, O3b, Iridium Next. Elles représentent un montant cumulé d’activité de près de 3 milliards d’euros.

Au début de 2020, Telesat, le quatrième opérateur mondial, nous a choisis pour construire sa constellation de télécommunications en orbite basse, nommée Lightspeed. Elle comprendra 300 satellites interconnectés et délivrera partout dans le monde plusieurs térabits par seconde (Tb/s) à des coûts particulièrement compétitifs, pour des services professionnels sécurisés à forte valeur ajoutée. Elle vise principalement un marché d’entreprises, tel que la mobilité à bord de navires ou d’aéronefs, la connexion des stations de base au reste du réseau en matière de communications de quatrième et cinquième génération (4G et 5G), ainsi que les communications sécurisées gouvernementales et d’entreprises.

Comme le signalait M. Rodolphe Belmer, ce marché sera un marché contraint. Du fait de la ressource rare des fréquences, cinq ou six constellations, au maximum, y prendront leur place. Dans ces conditions, les enjeux de souveraineté apparaissent déterminants. Vous ne les ignorez pas. Il importe que nous puissions offrir à nos concitoyens des communications sécurisées et intègres.

La puissance publique en a bien compris et reconnu la nécessité. À l’occasion du comité de concertation entre l’État et l’industrie spatiale (COSPACE) du 24 octobre 2017, M. Bruno Le Maire, ministre de l’économie, des finances et de la relance, s’est exprimé en ce sens. Il soulignait l’importance de privilégier les solutions françaises pour l’accès à l’Internet dans les territoires métropolitains et d’outre-mer, plutôt que de recourir à des systèmes américains, à l’époque Viasat, aujourd’hui Starlink et SpaceX, ou OneWeb, que contrôlent l’État britannique et l’opérateur indien Bharti Global. En 2018, le choix de Thales Alenia Space par Eutelsat, pour réaliser le prochain satellite Konnect VHTS, est intervenu en ce sens.

Si la dimension de souveraineté nationale apparaît essentielle au titre de la protection des communications de nos concitoyens, elle revêt également un enjeu de première importance en matière militaire. Dans ce domaine, proposer des communications parfaitement sécurisées, exemptes de tout brouillage, confine à l’autonomie stratégique. Il s’agit d’acheminer les flux de données depuis ou vers les théâtres d’opération.

À mon tour, j’insiste sur le net soutien de la puissance publique américaine à l’égard des principaux acteurs privés de son industrie spatiale. Ce soutien s’étend aux secteurs des lanceurs et des satellites. Starlink, en particulier, bénéficie de son appui afin de couvrir les zones blanches de 35 États fédérés américains. Dans ce cas précis, l’aide est évaluée à 900 millions de dollars. Outre le dessein de réduire la fracture numérique, ces subventions interviennent également en faveur de l’innovation.

J’ajouterai que SpaceX et Microsoft viennent de signer un accord. Il lie Microsoft Azure, la solution de cloud computing, ou informatique en nuage, de Microsoft, et le réseau de communication Starlink, en vue de permettre l’accès depuis n’importe quel point de la planète à l’ensemble des services de la première : la conservation des données, leur analyse instantanée, l’Internet des objets, etc.

Dans le même ordre d’idée, celui d’une logique de bout en bout, Amazon entend associer sa solution de cloud à celles que lui ouvriront ses nouvelles possibilités de connectivité ainsi que son lanceur.

À travers l’intrication des solutions de connectivité et de cloud, nous percevons que l’enjeu touche à l’ensemble des services numériques proposés aux citoyens français et européens.

Nous avons déjà évoqué l’exemple du satellite Konnect VHTS, projet que Thales Alenia Space conduit en partenariat avec Eutelsat. Il illustre ce que peuvent être de bonnes pratiques en Europe.

En septembre 2017, le Gouvernement a fixé des orientations quant à la stratégie d’aménagement numérique des territoires. À cette occasion, il soulignait la nécessité de mobiliser l’ensemble des technologies adaptées, en particulier les nouvelles solutions satellitaires.

L’intérêt du satellite réside dans la possibilité de déployer un accès à haut et très haut débit dans des zones à faible densité de population ou d’accès difficile, à un coût très compétitif et dans un délai extrêmement bref. Une fois le satellite en orbite, l’accès à l’Internet devient en effet immédiatement possible en tous points du territoire national. Il apparaît ainsi comme une solution universelle de désenclavement. Au-delà, le coût de raccordement de l’utilisateur devient indépendant de la localisation de celui-ci quand, s’agissant des réseaux terrestres, il augmente de façon exponentielle à mesure que la densité de population décroît.

Thales fournit Eutelsat depuis plus de 30 ans. La première fabrication et le premier lancement d’un satellite issu de leur partenariat intervinrent en 1990. Vingt-huit autres ont suivi.

Sous l’angle des technologies disponibles, nous pouvons affirmer que les satellites géostationnaires et les constellations de satellites se révèlent complémentaires. Les premiers offrent des solutions de très haut débit pour des points spécifiques de la planète à un prix compétitif. En cours de développement, le satellite de dernière génération Konnect VHTS que nous lanceront en 2022 sera le plus puissant satellite de télécommunications jamais mis en orbite. Il pourrait contribuer à réduire fortement la fracture numérique dans quelque quarante pays que nous avons identifiés, en Afrique, en Asie, ainsi qu’en Europe de l’Ouest. Nous le voyons, les enjeux internationaux et d’exportation ne manquent pas d’importance.

Un tel projet, sa technologie de charges utiles à très haut débit, en particulier un processeur embarqué de cinquième génération développé avec STMicroelectronics, son infrastructure au sol de bout en bout des plus robustes et sécurisées, ne sont disponibles que parce qu’elles ont bénéficié d’un fort soutien à l’innovation de la part du CNES, du programme français d’investissements d’avenir (PIA) et de l’ESA. Il faut continuer d’en appliquer le modèle.

En définitive, la réponse à la problématique de concurrence mondiale exacerbée que nous soulevons se partage en deux volets principaux. D’un côté, le soutien à l’innovation permet le recours aux technologies indispensables à l’élaboration des nouvelles solutions, qu’elles soient celles des satellites géostationnaires ou des constellations en orbite basse. De l’autre, nous trouvons les grands programmes, à l’instar en Europe de Galileo en matière de navigation et de Copernicus dans le domaine de l’observation de la Terre.

S’agissant de l’initiative du commissaire européen M. Thierry Breton, je rejoins l’analyse de M. Rodolphe Belmer. Une initiative de cette nature, qui tend à fédérer les forces, se révèle incontournable en ce que nos acteurs privés en France et en Europe ne possèdent pas, seuls, la capacité de financement que l’ampleur des programmes, de l’ordre de cinq voire six milliards d’euros, commande.

L’enjeu tient désormais à la vitesse d’exécution. Nos concurrents américains font montre d’une célérité redoutable. Le service Starlink connaît actuellement sa phase dite de bêta-test. Sa commercialisation complète est annoncée dès la fin de l’année 2021. Il faut que l’ensemble des acteurs européens progressent aussi rapidement que possible, tant du point de vue des financements des projets que sur un plan industriel.

Quant à la Chine, nous savons qu’une volonté forte s’y manifeste de participer à la compétition relative aux constellations. Toutefois, nous ne disposons assurément que de peu d’informations au sujet de ses programmes et de leur calendrier de mise en œuvre.

Je conclurai provisoirement en répétant combien l’innovation constitue le moteur de la compétitivité de l’industrie spatiale. Sur ce constat, il nous faut persévérer dans la direction que le CNES, la DGA, le PIA et le plan de relance ont prise. S’ajoutent la contribution de la France à l’ESA et les financements de la Commission européenne, tels ceux issus du programme-cadre Horizon Europe et du fonds européen de défense.

L’étendue du soutien financier que la France apportera à l’occasion de la conférence ministérielle de l’ESA prévue en 2022 sera décisive. Le Gouvernement et la représentation nationale doivent y assigner un objectif prioritaire, au service de programmes européens majeurs, dont celui d’une constellation européenne. Qu’il s’agisse de l’emploi, de la balance commerciale, de ses capacités industrielles stratégiques, de sa souveraineté numérique tant en matière civile que militaire, l’investissement produira indubitablement un bénéfice direct pour la France.

M. Philippe Latombe, rapporteur. Vous l’avez évoqué tous deux, les GAFAM s’impliquent désormais dans le secteur spatial. Quelles conséquences en prévoyez-vous ?

Je pense par exemple à l’initiative d’Amazon d’ouvrir une manière de concours aux jeunes entreprises innovantes, les start-up, de ce secteur. Celles-ci peuvent poser leur candidature jusqu’au 21 avril 2021, en vue d’être incubées, autrement dit de bénéficier d’un appui à leurs projets et développement. L’une des conditions en tient à leur utilisation du cloud d’Amazon Web Services (AWS). Ne s’agit-il pas pour le géant américain d’un moyen de capter certains de nos talents du domaine spatial ? Dans l’environnement, ou « écosystème », que vous connaissez, pensez-vous que de nombreuses sociétés répondront à l’appel d’Amazon ? Des méthodes de ce type induisent-elles pour nous un risque véritable de perte de compétences et de technologies d’avenir ? Au contraire, nos chercheurs sont-ils suffisamment intégrés pour ne pas céder à cet appel ?

M. Hervé Derrey. Du moins ces méthodes ne surprennent-elles nullement. Les principaux acteurs du cloud visent à attirer le plus d’applications possible sur celui qu’ils hébergent, d’une manière plus ou moins partenariale et ouverte. Amazon appartient plutôt à la catégorie des acteurs au système relativement fermé. L’exemple que vous décrivez s’inscrit dans la cohérence de sa stratégie et de son approche.

Certainement le risque existe-t-il qu’Amazon ou d’autres acteurs américains du cloud attirent de jeunes entreprises innovantes européennes. Il revient à la puissance publique d’organiser un environnement qui leur soit favorable et susceptible d’obvier à ce risque.

M. Rodolphe Belmer. Ici, le risque ne diffère pas sensiblement de celui qui prévaut dans tous les domaines d’innovation technologique. Aujourd’hui, l’idée de financer la recherche et l’innovation par les petites entreprises, les start-up, joue en faveur des marchés qui détiennent les capitaux les plus abondants. Elle entraîne une migration des talents, notamment de l’Europe vers les États-Unis. La situation ne concerne pas uniquement le domaine spatial. Nous la retrouvons dans bien d’autres secteurs de l’industrie.

Historiquement, la recherche spatiale en Europe bénéficiait de l’appui de grands groupes, à l’instar de Thales ou Airbus. Progressivement, la recherche se répand dans le monde des start-up. Moins coûteuse, reposant davantage que par le passé sur des logiciels informatiques (softwares), elle prend une forme nouvelle. Désormais, le poids des capitaux prime celui des groupes industriels en place. Il semblerait que l’Europe n’en ait pas pleinement pris la mesure.

M. Philippe Latombe, rapporteur. Avec le programme Ariane, l’Europe dispose d’un lanceur d’une indéniable qualité. Pour autant, nous avons manqué le marché du lanceur réutilisable. Les raisons en sont multiples. Peut-être n’y avons-nous pas suffisamment cru.

Resterons-nous maintenant en marge d’innovations majeures ? Vous-même nous l’avez indiqué : la bataille qui se joue est une bataille de place, au sens d’espace physique. L’espace autour de la Terre ouvert aux constellations de satellites s’avère limité. Y prendre une place requiert de ne pas atermoyer, car l’occasion ne se représentera plus. Or, nous constatons qu’un programme suit déjà sa phase de bêta-test. Amazon prévoit de lancer le sien. D’autres acteurs montrent une volonté identique. Ne sommes-nous pas en train de prendre un retard rédhibitoire ? Le type d’initiative qu’Amazon promeut en matière d’innovation n’aggrave-t-elle pas la situation ?

M. Rodolphe Belmer. Votre intervention appelle plusieurs niveaux de réponse.

S’agissant des constellations en orbite basse, leur nombre sera en effet nécessairement circonscrit. Nous l’avons signalé. De fait, lorsque les places seront prises, et à moins que les Européens ne parviennent à occuper l’une d’elles avant cette échéance, ils n’auront ensuite plus le moyen de rattraper leur retard.

C’est pourquoi j’estime que les constellations en orbite basse représentent une infrastructure de télécommunication critique et de souveraineté. Du moins faut-il qu’elles le deviennent en France et sur notre continent. Par suite, il appartient aux Européens d’agir de telle sorte que l’une de leurs entreprises ou institutions s’impose en la matière. La difficulté ne revêt ici nulle dimension technologique : nos industriels, comme Thales Alenia Space, savent d’ores et déjà concevoir des constellations en orbite basse ; nous savons également procéder au lancement des satellites, puis les exploiter. La difficulté ressortit d’abord à une question d’ordre financier.

Or, le secteur commercial n’est à ce jour pas structuré pour financer intégralement un investissement aussi étendu et risqué. Afin de pondérer le risque d’une infrastructure technologique de la dimension des constellations de satellites, et à l’imitation de ce qui prévaut sur d’autres continents, nous avons besoin du soutien de la puissance publique.

La décision revêt un caractère politique. Compte tenu de l’échelle de l’investissement, son niveau est vraisemblablement celui de l’Union européenne.

Un deuxième sujet porte sur l’innovation et la compétitivité de l’industrie nationale et européenne. Vous évoquiez, M. le rapporteur, l’exemple d’Ariane. Vous releviez que ce programme avait manqué l’étape du lanceur réutilisable. Sans doute sous-entendiez-vous par là que l’exemple était la marque d’un déclin, d’un déclassement, de l’industrie spatiale européenne.

Je souhaiterais nuancer l’affirmation. Je m’y emploierai en qualité de représentant d’une société cliente de l’industrie spatiale européenne et du lanceur Ariane.

Cette industrie demeure sans conteste performante. En dépit de son manque de soutien public, elle ne cède en rien à la concurrence internationale, tant du point de vue technique que sous l’angle du rapport qualité-prix. Eutelsat acquiert ainsi 90 % de ses satellites auprès des deux acteurs européens Thales Alenia Space et Airbus Defense and Space. Elle sous-traite la moitié de ses lancements à Ariane.

Toute autre considération mise à part, Eutelsat agit d’abord comme une entreprise commerciale privée. Des exigences de rentabilité la meuvent. Ses choix se fondent donc sur des critères strictement rationnels. Le satellite Konnect VHTS en cours de fabrication par Thales Alenia Space représentera une innovation de niveau mondial. Le premier de cette classe, il permettra d’offrir d’excellents débits de connexion à prix réduit à la population européenne située dans des zones rurales.

Cependant, le risque d’un déclassement existe-t-il à terme ? Nous ne pouvons l’exclure. Assurément, le secteur spatial change de paradigme. Jusqu’à présent, l’industrie repose sur une logique d’expertise et d’innovation. Chaque objet de sa production s’avère différent. Pièce unique, chaque satellite remplit des missions en propre. Elle évolue désormais vers un marché de volumes. Les constellations en orbite basse supposent la fabrication de milliers de satellites. Une logique de réplicabilité et d’industrialisation est appelée à prendre le pas.

Si notre industrie se révélait incapable d’entrer dans cette nouvelle logique, faute de commandes suffisantes en volumes, elle courrait un risque d’un déclassement. En effet, elle perdrait en productivité, ce qui jouerait défavorablement sur ses prix et sa compétitivité sur le marché.

Sans doute la co-entreprise ArianeGroup se confronte-t-elle à l’amorce d’un phénomène de ce type. Si ses ingénieurs n’ont pas opté pour la solution des lanceurs réutilisables, la raison en tient à un volume insuffisant de commandes.

Dans sa configuration actuelle, Ariane répond au besoin d’un certain nombre de lancements par an. Les institutions européennes et le marché commercial ‒ principalement Eutelsat ‒ les lui commandent. La faible fréquence de ces lancements ne permet pas d’envisager un bénéfice effectif à l’emploi de lanceurs réutilisables.

Au contraire, avec son projet Starlink, SpaceX s’apprête à lancer des milliers, voire des dizaines de milliers de satellites. Ils nécessiteront plusieurs centaines de lancements. Soutenue, comme nous l’avons rappelé, par le financement de la puissance publique américaine, la logique devient ici celle des gains de productivité et des volumes.

De toute évidence, une telle politique industrielle influe sur la performance économique d’acteurs comme Ariane et sur leurs choix stratégiques. Nous ne saurions néanmoins reprocher au lanceur européen ceux qu’il a adoptés en l’absence d’augmentation du volume de ses commandes. Ariane reste un excellent lanceur en considération de la mission qui lui incombe.

M. Philippe Latombe, rapporteur. Ne pouvons-nous tout de même identifier un manque d’anticipation ? Le choix de ne pas s’engager dans l’utilisation de lanceurs réutilisables en l’absence de marché au moment de la décision ne décèle-t-il pas un défaut de vision quant à l’avenir des usages et de ce marché ? Les Américains, à l’inverse, paraissent s’être projetés plus avant, avoir perçu les futures pratiques bien en amont de leur matérialisation.

M. Rodolphe Belmer. Dans ce débat, je me dois de tenir la place qui me revient. Toutefois, s’il me faut formuler un avis en tant que citoyen, je reconnaîtrai que les acteurs européens pâtissent vraisemblablement d’un problème de vision stratégique. Vous l’avez sûrement constaté dans le cours des travaux que vous menez à l’Assemblée nationale au sujet de l’Internet par satellite : jusqu’à une époque récente, la puissance publique ne croyait pas en la pertinence de ce mode de connexion. Elle en rejetait l’idée. Toute l’attention se reportait sur la fibre optique.

Or, la nécessité du recours aux nouvelles constellations de satellites, de leur lancement, naît du constat que les opérateurs terrestres ne sauront satisfaire l’ensemble des besoins de connexion des populations. En la matière, les États-Unis ont apporté la preuve de leur pragmatisme. À partir de leur constat du caractère indispensable des satellites pour couvrir les zones rurales, ils mettent en branle l’ensemble de la chaîne de valeur, de la fabrication de ces satellites à leurs lanceurs. Par leurs institutions, par le programme Rural Digital Opportunity Fund (RDOF), ils y apportent les financements adéquats.

M. Philippe Latombe, rapporteur. Nous manque-t-il l’équivalent de la DARPA américaine ?

M. Hervé Derrey. Je reconnais également que, dans le domaine spatial, l’industrie européenne se révèle très performante. Elle remporte des marchés partout dans le monde. Plus tôt au cours de nos échanges, je citais l’exemple de la constellation de TeleSat. Cet opérateur a choisi les services de Thales Alenia Space.

Nous sommes manifestement en capacité de répondre aux attentes, à condition que se maintienne ou se renforce le financement de l’innovation. Politique, la décision d’appuyer les grands programmes permettra d’offrir des solutions autres que celles des entreprises et de l’industrie américaines.

Le programme de constellation européenne nécessite le soutien massif des États membres de l’Union européenne. Son financement, ainsi que son déploiement rapide, en dépendent. Pour l’heure, nous accusons certainement quelque retard par rapport aux initiatives américaines. Paradoxalement, il nous laisse la possibilité de nous montrer plus innovants encore et d’apporter une vraie valeur ajoutée. Ce résultat suppose une volonté politique forte. Sa concrétisation laisse désormais peu de champ à d’autres retards.

M. Philippe Latombe, rapporteur. Mais pensez-vous que nous ayons besoin d’un organisme stratégique de vision à long terme ? Dans l’affirmative, doit-il se placer à l’échelle française ou européenne ? Subsidiairement, le personnel politique, les décideurs, vous paraissent-ils suffisamment au fait des technologies à l’œuvre de nos jours ? Ne percevez-vous pas un déficit d’acculturation de leur part dans le domaine des techniques de pointe ?

M. Hervé Derrey. Pour ce qui a trait aux organes, je ne crois pas qu’il nous en faille de supplémentaires. Je n’en perçois pas véritablement l’intérêt. Nous disposons déjà des agences spatiales nationales et de l’agence européenne, l’ESA. En France, le CNES se révèle éminemment compétent.

Quant à la conscience politique, nous constatons qu’elle émerge. À mon sens, M. le commissaire Thierry Breton et ses équipes énoncent une vision parfaitement claire dans le domaine dont nous traitons. Ils en comprennent les sujets et enjeux. Il faut désormais qu’ils trouvent un relais dans le soutien indéfectible des États membres de l’Union.

M. Rodolphe Belmer. Pour ma part, j’estime que le long terme prime dans les domaines d’innovation technologique. Il incombe à l’État de remplir son double rôle de stratège et de stimulateur d’investissements qui s’inscrivent dans la durée. La logique en échappe parfois au marché commercial qui, par définition, s’attache prioritairement à des considérations de rentabilité de moyen terme.

Concernant la culture de l’innovation, du progrès, celle de la technologie, je procède au même constat que M. Hervé Derrey. J’en tire cependant une conclusion différente.

Certes, avec l’arrivée de M. Thierry Breton, l’Union européenne prend en charge la nouvelle problématique des constellations en orbite basse et des télécommunications par satellites, essentielle à notre souveraineté numérique. Elle y donne une impulsion forte. Devons-nous uniquement nous en féliciter ? Rien n’est moins sûr.

Nous pouvons en effet nous interroger sur ce qu’il serait advenu si une autre personnalité politique avait pris la responsabilité du portefeuille du marché intérieur. Doté de qualités de meneur hors du commun, l’actuel commissaire européen vient lui-même du secteur industriel, il y a acquis une compétence considérable. Sa présence, son action, constituent une chance précieuse et décisive. Nous ne saurions cependant laisser les institutions européennes reposer sur le talent d’un seul homme.

M. Philippe Latombe, rapporteur. Souhaitez-vous aborder d’autres aspects du sujet qui nous réunit ou insister sur certains de ceux dont nous avons traité ?

M. Rodolphe Belmer. Vous nous avez demandé s’il existe dans notre domaine des segments d’innovation qui méritent notre attention parce qu’ils représentent des services d’avenir. Je répondrai par l’affirmative.

Nous nous distinguons avantageusement en France dans ce que nous appelons le segment spatial. Par le moyen des lanceurs, il consiste à amener des satellites dans l’espace extra-atmosphérique. Bientôt, les systèmes de télécommunication spatiaux reposeront sur des systèmes espace et sol. Autrement dit, les systèmes sols prendront davantage d’importance dans la création de valeur ajoutée. Or, nous ne disposons que de fort peu de segments sols de qualité en Europe. Nous n’innovons pas suffisamment en la matière. Il nous semble que la puissance publique devrait y réfléchir et l’industrie s’organiser pour développer les technologies qui s’imposent.

M. Hervé Derrey. Je souhaite pareillement intervenir sur la question des nouveaux segments. Outre le segment sol, pour lequel je souscris aux propos de M. Rodolphe Belmer, je mettrai en avant le sujet de la maîtrise de l’espace. Il induit en particulier l’enjeu de la supervision des objets spatiaux. Lui-même a trait au problème des collisions et recouvre par ailleurs une dimension de défense. J’évoquerai ensuite les services en orbite. Ils sont appelés à se développer significativement. Enfin, l’attention demeure de rigueur en matière d’observation spatiale vers la Terre ou l’espace, qu’elle soit optique, radar ou hyperspectrale. Elle progresse également selon une cadence soutenue et apparaît comme un domaine stratégique d’avenir.

M. Philippe Latombe, rapporteur. Je prends bonne note de vos dernières remarques.

Audition commune, ouverte à la presse, de représentants - du groupe Atos : Mme Coralie Héritier, responsable des identités numériques, dirigeante d’IDnomic, et d’IN Groupe : MM. Romain Galesne-Fontaine, directeur des relations institutionnelles, et Yann Haguet, vice-président exécutif identité numérique, copilote du groupe de travail identité numérique au sein du comité stratégique de filière des industries de sécurité (6 avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Nous accueillons Mme Coralie Héritier, dirigeante d’IDnomic et responsable des identités numériques chez Atos, M. Yann Haguet, vice-président exécutif identité au sein d’IN Group, copilote du groupe de travail identité numérique au sein du comité stratégique de filière (CSF) des industries de sécurité, ainsi que M. Romain Galesne-Fontaine, directeur des relations institutionnelles d’IN Group.

Notre échange s’inscrit dans une réflexion sur l’identité numérique. La semaine dernière, nous avons auditionné les représentants de l’agence nationale des titres sécurisés (ANTS), du programme interministériel France Identité numérique, ainsi que le responsable d’une entreprise concernée par ce sujet.

Aujourd’hui, notre objectif consiste à mieux comprendre les choix technologiques qui s’opèrent à l’occasion du projet d’identité numérique régalienne. Nous souhaitons également mieux cerner la façon dont les acteurs de ce projet interagissent au service de la meilleure performance possible et de la prise en compte des enjeux de souveraineté qui occupent nos travaux.

M. Philippe Latombe, rapporteur. J’évoquerai trois sujets sur lesquels nous aimerions vous entendre.

Le premier a trait aux enjeux de l’identité numérique et à la manière dont le déploiement de solutions publiques ou privées est susceptible de contribuer au renforcement de la souveraineté numérique de la France et de l’Europe. Quels choix technologiques ont été retenus et la position de l’Imprimerie nationale vis-à-vis de l’ANTS.

Pour parler sans détour, nous cherchons à savoir comment vous vous organisez pour définir ensemble des solutions techniques qui, dans le domaine de la sécurité, répondent à l’état de l’art. J’entends des solutions qui intègrent les dernières innovations. La question s’étend également à votre capacité à privilégier des solutions souveraines.

Le deuxième point intéresse le déploiement de la carte nationale d’identité électronique (CNIe), dont il était prévu qu’il s’effectue en lien avec une identité numérique. Vous ne l’ignorez nullement, cette perspective nourrit de fortes inquiétudes. Des parlementaires s’en sont récemment fait l’écho dans un courrier qu’ils ont adressé au Gouvernement.

Selon vous, comment s’explique le retard de déploiement que nous enregistrons, alors que la France s’avère déjà en décalage avec les autres pays européens ? Des marges de manœuvres, des moyens existent-ils afin d’accélérer le mouvement qui permettra d’apporter à nos concitoyens les nouvelles solutions disponibles ?

Enfin, nous reviendrons sur les usages de l’identité numérique. Je m’interroge, d’une part, sur les besoins et attentes des utilisateurs, d’autre part, sur les possibilités que ces solutions offrent ou offriront à terme.

J’apprécierais tout particulièrement de vous entendre sur le modèle économique de l’identité numérique. Il a fait l’objet de nombreux débats. À votre avis, quelle place les acteurs privés doivent-ils y prendre ? Comment convient-il de le financer ? En dernier lieu, de quelle manière rassurerons-nous les citoyens quant à la protection de leurs données personnelles, alors que la presse révèle régulièrement des affaires de fuites de ces données ?

M. Romain Galesne-Fontaine, directeur des relations institutionnelles, IN Groupe. Mon propos liminaire concernera IN Groupe. Structure publique, IN Groupe est l’imprimerie de l’État. Celui-ci en détient intégralement le capital. Spécialiste de l’identité et des services numériques sécurisés, IN Groupe opère au service de la mission régalienne de réalisation des documents et des systèmes d’identité sécurisés. Il s’agit des passeports biométriques, des cartes nationales d’identité électroniques, des permis de conduire, des titres de séjour.

IN Groupe conçoit également les documents et systèmes qui permettent l’exercice d’un droit professionnel reconnu par l’État, telles que les cartes des agents publics, celles des conducteurs de poids lourds en France, ou la plateforme d’identité des professionnels de santé.

IN Groupe mène sa mission conformément au cadre légal applicable aux prérogatives de l’Imprimerie nationale exercées pour le compte de l’État.

Comme la plupart des membres de l’Union européenne, la France a choisi de s’appuyer, en matière d’identité, sur un opérateur industriel public capable d’intégrer de manière agnostique les meilleures technologies du marché. Ce choix permet à l’État de préserver sa souveraineté et son indépendance technologique, tout en garantissant la protection et la confidentialité de l’identité de ses ressortissants. De fait, l’Imprimerie nationale est amenée à connaître de l’identité de l’ensemble des Français.

Ses prérogatives trouvent leur contrepartie dans les engagements qu’elle prend vis-à-vis de l’État. Qu’il s’agisse des composants, des moyens de sécurité, des systèmes et des innovations, elle assure tout d’abord une veille technologique permanente dans le domaine de l’identité. Par cette action, elle apporte à l’État une maîtrise technologique à l’état de l’art. Elle lui garantit ensuite la sécurité de l’approvisionnement de ses titres d’identité, de leurs composants et des techniques qui concourent à leur fabrication. Enfin, dans sa démarche de sécurisation des titres, elle sélectionne les solutions techniques pour lesquelles elle sait compter sur au moins deux fournisseurs qualifiés ou qualifiables.

L’exigence en est devenue centrale depuis les crises de 2017 et de 2018. Les liquidations judiciaires inopinées et soudaines de fournisseurs risquèrent alors de compromettre la production des passeports français. Seules la mobilisation des réserves de sécurité de l’Imprimerie nationale et l’identification d’autres fournisseurs permirent de maintenir la production. Ces situations ont conduit le ministère de l’intérieur, l’ANTS et l’Imprimerie nationale à entériner, en matière d’identité, une obligation de travailler simultanément avec plusieurs fournisseurs et de diversifier les sources d’approvisionnement.

Les fournisseurs retenus dans le respect des règles de la commande publique se soumettent de plus à une qualification industrielle stricte. Elle permet de vérifier leur capacité à fournir leur prestation à l’Imprimerie nationale pendant toute la durée de vie du titre. La qualification intègre ensemble des aspects techniques, économiques, de durabilité, de conformité aux normes et de sécurité d’approvisionnement.

À titre d’exemple, pour chaque approvisionnement stratégique, le choix des fournisseurs de l’Imprimerie nationale en vue de la production de la nouvelle CNIe a fait l’objet d’une sélection rigoureuse. De façon non exhaustive, je citerai le polycarbonate, les encres, le dispositif holographique, les composants électroniques, la plateforme de personnalisation ou les équipements de fabrication. Il est à noter que la plupart des entreprises partenaires du programme de CNIe sont françaises ou européennes.

L’enjeu consiste évidemment à assurer le déploiement généralisé de la CNIe, engagé le 15 mars 2021. La montée en puissance repose sur un outil industriel que nous avons dimensionné en conséquence. Nous aurons la capacité d’atteindre un volume de production et de personnalisation de 10 millions de CNIe par an. Pour la partie identité numérique de la carte, nous sommes aussi en mesure de poursuivre les travaux relatifs aux conditions de fourniture aux usagers d’un code confidentiel, ou numéro d’identification personnel (PIN, personal identification number).

Par ailleurs, pour le compte de l’agence du numérique en santé, nous développons le projet e-CPS. Il consiste en une version dématérialisée, sur smartphone, de la carte des professionnels de santé. Avec elle, nous évoquons une identité numérique que ces professionnels utilisent notamment pour se connecter au système informatique de l’assurance maladie.

IN Groupe mène aussi des activités à l’exportation. Elles contribuent à maintenir sa maîtrise de l’état de l’art. Le gouvernement monégasque nous a par exemple sélectionnés pour mettre en œuvre sa nouvelle plateforme d’identité légale, physique et numérique. IN Group lui fournira une carte d’identité électronique puis, à partir d’elle, une identité numérique dérivable sur smartphone, ainsi qu’une plateforme de services numériques.

Je compléterai mon propos en revenant sur une audition que votre mission d’information a conduite ce jeudi 1er avril 2021. Il me semble que l’une des personnes que vous avez entendues a fait montre d’approximation, voire vous a volontairement communiqué des données erronées.

En aucun cas la nouvelle CNIe n’équivaudra-t-elle à une simple copie du permis de conduire de 2013 ou du titre de séjour des étrangers.

Certes, comme ces titres, la CNIe doit respecter la réglementation européenne. Elle partage avec eux un cadre commun. Elle en partage encore quelques propriétés : le polycarbonate, le format d’une carte bancaire. Cependant, pour tout expert de l’identité, la ressemblance s’arrête là.

La CNIe inclut des sécurités de toute nouvelle génération. Elles n’avaient pas encore été employées. Son dispositif holographique utilise ainsi des nanomatériaux. Il autorise un contrôle variable optique. Inédit, le bord transparent de la carte prolonge le fonds sécurisé. Sa puce comprend un conteneur identité numérique développé avec l’industrie française. Un cachet électronique visible associe une signature numérique. La liste est longue des innovations visibles ou invisibles du nouveau titre. Des raisons évidentes de confidentialité m’interdisent de décrire les secondes.

La CNIe correspond à un titre dont les innovations côtoient des sécurités expérimentées et robustes. Les unes et les autres se conforment au cahier des charges de l’ANTS et des forces de police.

Une remarque avait porté sur un possible déséquilibre de la relation entre l’ANTS et l’Imprimerie nationale. Je rappelle qu’il s’agit d’une relation de confiance entre un donneur d’ordre public et un expert industriel public. L’ANTS, ainsi que les forces de police, établissent le cahier des charges sécuritaire d’un titre. Nous parlons alors de « cibles de sécurité ». En réponse, l’Imprimerie nationale propose une architecture qui combine un ensemble de sécurités physiques, électroniques et numériques. L’ANTS et les forces de l’ordre valident ensuite cette architecture : elles conservent donc le dernier mot sur la conception (design) et les aspects de sécurité du titre que l’Imprimerie nationale leur soumet.

Au cours de votre audition, des questions portaient sur la photographie du nouveau titre d’identité.

Avant toute chose, je préciserai qu’il ne s’agit pas d’une photographie en noir et blanc, mais d’une photographie en tons de gris. La directrice de l’ANTS a expliqué que la demande en provient des forces de l’ordre. Les raisons en tiennent au contrôle visuel, physique, du titre.

Ensuite, on a pu se demander si le procédé en était américain et ce qui avait justifié le choix de recourir à une technique étrangère.

Je déments ici un quelconque défaut de maîtrise technique : l’Imprimerie nationale peut parfaitement produire des titres en polycarbonate qui contiennent de la couleur. Elle le démontre à l’occasion de son partenariat avec le gouvernement monégasque. Il s’avère que 90 % de la centaine de pays qui, dans le monde, émettent des titres d’identité en polycarbonate, utilisent le système de gravure laser en tons de gris au cœur de la carte, choisi pour la CNIe française.

La technique en comprend deux blocs principaux : le matériau et les équipements de gravure laser. Une société européenne développe et fournit le premier. Les seconds se révèlent d’origine française. Une société située à Orléans, qui emploie 50 collaborateurs, produit et utilise ces équipements. Il se trouve qu’elle a fait l’objet d’un rachat, voici quelques années, par une entreprise américaine. La technologie que nous sollicitons n’en demeure pas moins française. Conclure que nous aurions opté pour un procédé américain au détriment de techniques d’une origine géographiquement plus proche de nous, paraît pour le moins contestable.

Enfin, s’agissant du cachet électronique visible de la CNIe, et ainsi que la directrice de l’ANTS l’a indiqué au cours de son audition, le projet n’a pas pu intégrer dans les premières phases de son développement la norme 105 car la publication de celle-ci ne remonte qu’au mois d’octobre 2020. En revanche, il reste loisible d’envisager une évolution conforme aux spécifications de cette norme dans les prochaines phases du projet. La décision en reviendra à l’ANTS.

Nous nous confrontons souvent à des sollicitations de sociétés qui surenchérissent sur les aspects de sécurité en vue de promouvoir leurs solutions. Je rappelle qu’un titre d’identité se compose d’un ensemble d’éléments de sécurité qui répondent précisément aux cibles que le ministère de l’intérieur et l’ANTS ont déterminées. La surenchère que nous constatons ne nous apporte rien, à plus forte raison quand la technique dont elle vante le mérite n’a obtenu aucune reconnaissance en dix ans d’existence et qu’elle fait peser un risque certain en matière d’approvisionnement stratégique.

Je terminerai ma présentation en ramenant le débat sur un sujet central, celui de l’identité numérique. De véritables enjeux s’y décèlent sous l’angle de la souveraineté nationale.

En elle-même, l’identité ressortit à la souveraineté. Pour IN Groupe, elle constitue non un service, mais un droit fondamental. Il nous semblerait inconcevable que l’État ne prenne aucune part à la mise en place de l’identité numérique. Au contraire, par le moyen de la CNIe, l’État introduit un support qui autorise un large déploiement dans la population française, à l’attention de ceux qui le souhaitent, d’une ou plusieurs identités numériques sécurisées.

À notre niveau, nous nous réjouissons de contribuer à ce vaste projet. Nous saluons l’ambition et la qualité des travaux de son promoteur, le programme France Identité numérique.

Prête à fournir l’identité numérique des Français, l’Imprimerie nationale jouera son rôle au service de la stratégie de l’État, à l’instar d’autres acteurs publics ou parapublics, telle La Poste. Moyennant la délivrance du code confidentiel PIN de la CNIe, nous pouvons dès 2021 déployer la solution d’identité numérique que nous avons développée.

Ici, souveraineté nationale et souveraineté européenne se combinent. Par sa puissance normative, face à d’autres modèles qui émergent à travers le monde, l’Europe doit incarner une troisième voie dans la société numérique : celle de la protection des données personnelles et de l’identité. Elle se distinguera alors d’un modèle de monétisation de la donnée personnelle, ainsi que d’un autre modèle où données et identité numériques serviraient au contrôle social.

Mme Coralie Héritier, dirigeante d’IDnomic, responsable des identités numériques du groupe Atos. Je comprends que j’interviens devant vous principalement en ma qualité de copilote d’IN Groupe auprès du comité stratégique de filière (CSF) sur le projet identité numérique et en tant qu’experte de l’identité numérique.

Je vous présenterai le groupe Atos puis, en son sein, l’activité relative à l’identité numérique qui retient aujourd’hui notre attention.

Le groupe Atos est issu de la réunion de plusieurs acteurs du conseil et des services du numérique, ou technologie de l’information (information technology, IT) : Sligos et Sema Group, puis Siemens IT Solutions and Services et Bull. Son histoire a conféré au groupe Atos une dualité d’activités complémentaires, entre les services numériques et des produits intéressant des domaines comme la cybersécurité ou les supercalculateurs. S’ajoute une activité de recherche et d’innovation en matière d’informatique quantique.

D’une manière générale, le groupe Atos soutient le développement numérique de ses clients. À ce titre, il s’attache aux questions de cybersécurité. L’identité numérique figure au nombre de ces questions. Elle forme en effet l’un des piliers qui assurent la confiance indispensable au déploiement des activités numériques.

Anciennement Keynectis SA, spécialisée en cybersécurité, l’entreprise IDnomic a rejoint le groupe Atos en octobre 2019. À cette date, elle assurait déjà le copilotage du groupe de travail consacré au projet identité numérique du CSF des industries de sécurité.

IDnomic conçoit des certificats électroniques, selon une technologie d’infrastructure à gestion de clés. Celle-ci apporte des éléments de sécurité, comme le chiffrement de communications ou de fichiers, de l’authentification forte, la signature électronique. Nous l’avons tôt mise en service, en sous-traitance de l’Imprimerie nationale, désormais IN Groupe, et en partenariat avec l’ANTS. Son utilisation a d’abord concerné les passeports électroniques, devenus biométriques, français. Nous l’avons ensuite exportée. Elle a servi au déploiement des passeports d’environ trente autres pays.

Dans le processus d’émission des passeports biométriques, nous avons fourni avec cette technologie une chaîne de sécurité et de confiance.

M. Philippe Latombe, rapporteur. Sur l’identité numérique et, en particulier, la CNIe, pourquoi avons-nous pris autant de retard en France ? Pourquoi avons-nous dû, dans l’urgence, nous diriger vers une solution dont l’Union européenne nous avait d’assez longue date montré la voie ?

Mme Coralie Héritier. La réaction française n’est cependant pas si récente. Avec IN Groupe, nous appartenons aux acteurs qui nous trouvons au cœur de la question depuis des années. Nous avons œuvré dans différentes commissions, à des projets tels qu’IdéNum. Le Parlement s’est également saisi du sujet. Le frein qui y fut mis eut une origine essentiellement politique. Il ne m’appartient pas d’insister sur cet aspect. Sans doute, la société ni le monde politique français n’étaient-ils suffisamment prêts.

Désormais, la réponse que nous apportons se conforme parfaitement au Règlement européen. J’évoquais les passeports biométriques précisément parce que ce Règlement tend à généraliser les exigences qui, à l’instigation de l’organisation de l’aviation civile internationale (OACI, ICAO en anglais), prévalent en matière de transport aérien.

M. Philippe Latombe, rapporteur. S’agissant de la carte nationale d’identité, nous avons le sentiment que des pays européens ont été nettement en avance sur la France. Je pense en particulier au Portugal. Il semble qu’il en aille de même en matière d’identité numérique. La France paraît très en retard. Ce constat a incité, voici quelques jours, plusieurs de mes collègues parlementaires qui ont conduit la mission identité numérique à écrire au Premier ministre. Ils lui demandent d’intervenir pour hâter les réalisations françaises dans ce domaine.

La base réglementaire existe. Que se passe-t-il donc pour que nous accusions un tel retard ? La question reste ouverte.

M. Yann Haguet, vice-président exécutif identité numérique d’IN Groupe, copilote du groupe de travail identité numérique au sein du comité stratégique de filière des industries de sécurité. Je n’entrerai pas non plus dans des considérations d’ordre politique. Je puis néanmoins apporter certaines précisions. Par les retours d’expérience qui s’y échangent, le groupe de travail consacré aux enjeux d’identité numérique auprès du CSF des industries de sécurité offre un observatoire privilégié sur ces questions.

La genèse du programme s’avère plutôt ancienne. Elle remonte aux années 2000. Mme Coralie Héritier évoquait la multiplicité des commissions ou groupes de travail qui sont intervenus. Je puis citer le projet d’identité nationale électronique sécurisée (INES). La préoccupation a tôt existé. Les industriels se sont pareillement vite intéressés au sujet.

Le projet de protection des identités est apparu à partir de 2005. Il comportait deux volets. La France a d’abord choisi de concentrer ses efforts sur le problème du passeport, parce qu’il s’agit d’un document de voyage. Ils ont abouti en 2006 à la création du passeport électronique, en 2009 au passeport biométrique.

Au début des années 2010, la France s’est penchée sur la question de la CNIe. Par sa décision n° 2012-652 DC du 22 mars 2012, le Conseil constitutionnel a porté un coup d’arrêt à son élaboration. La décision de la Haute instance remettait en cause le principe de la mise en place d’une base centralisée des données biométriques de la population française, que la Commission nationale de l’informatique et des libertés (CNIL) jugeait par ailleurs irrecevable.

Il a fallu en conséquence retenir une approche non seulement différente, mais qui tînt compte de la pratique des autres États membres de l’Union européenne. Des événements sont ensuite intervenus.

Je pense d’abord à l’adoption le 23 juillet 2014 du Règlement européen n° 910/2014, relatif à l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (Electronic Identification, Authentification and trust Services, eIDAS). Il a significativement contribué à façonner la solution française de CNIe.

Il y a introduit la notion d’interopérabilité entre les identités numériques des différents pays, la nécessité d’utiliser un langage commun. Le Règlement eIDAS a eu le mérite de clairement caractériser les niveaux d’identité numérique : faible, substantiel ou élevé, et d’en définir les critères d’appréciation.

En 2014 toujours, l’apparition de FranceConnect a posé un autre jalon de la création d’une identité numérique à la française. FranceConnect correspond au souhait de l’État d’ouvrir à l’ensemble de ses ressortissants la possibilité de s’identifier sur un serveur unique, afin d’accéder à des services publics en ligne. Ce serveur fédère les identités numériques, il favorise lui aussi l’interopérabilité entre elles, standardise les critères d’identification des citoyens. À terme, conformément à la réglementation eIDAS, il jouera le rôle de nœud de connexion également pour des identités européennes qui, si elles y sont autorisées, pourront ainsi accéder à des services publics français.

Certes, la France a attendu le début de l’année 2019 avant d’entreprendre de définir précisément son modèle de CNIe et la manière dont elle y intégrerait la dimension d’identité numérique. La carte émise depuis le 15 mars 2021 applique les diverses spécifications, les choix et arbitrages qui sont intervenus depuis lors.

En obligeant les États membres à renforcer la fiabilité de leurs titres d’identité, l’Union européenne et sa réglementation ont joué un rôle de catalyseur. Le choix d’un mode électronique garantit le respect de ces contraintes de sécurité. Il permet de plus de transformer la carte nationale d’identité en vecteur de diffusion de l’identité numérique.

M. Romain Galesne-Fontaine. Soyons clairs, la situation actuelle ne résulte nullement d’un défaut de maîtrise technique. Avec de nombreux acteurs français, l’Imprimerie nationale possède celle de l’identité numérique. Dès 2012, à l’occasion de l’adoption de la loi relative à la protection de l’identité, qui prévoyait la mise en place d’une CNIe, nous étions prêts. La censure du Conseil constitutionnel en a retardé la réalisation.

Toutefois, depuis 2019 et l’essor de FranceConnect, nous comprenons que le succès d’une identité numérique ne repose pas uniquement sur un support ou la fourniture d’une telle identité. Pour qu’elle atteigne ses buts, les exemples européens nous montrent que l’identité numérique suppose de fournir avec elle tout un ensemble, ou « écosystème », de services qui répondent à des usages. FranceConnect nous a justement permis de réfléchir plus avant à cet aspect décisif, que nous avions auparavant qu’insuffisamment considéré.

Désormais, notre démarche embrasse toutes les dimensions nécessaires à la réussite du projet. Ce projet d’identité et de services numériques sécurisés s’avère d’autant plus ambitieux qu’il concerne à terme une population de 67 millions de Français et un nombre proportionnellement élevé de connexions quotidiennes.

Mme Coralie Héritier. J’ajoute que dorénavant, à côté de la CNIe, l’identité, et même les identités numériques dérivées, gagnent en importance. Elles requièrent que nous nous projetions et poursuivions, notamment au sein du CSF, notre travail en commun avec les industriels de la sécurité.

Démocratisée, une identité numérique citoyenne et régalienne doit permettre d’accéder à un autre niveau de services, pour des usages courants. Je pense notamment à la possibilité de l’employer depuis un smartphone. Je suis d’accord pour dire que son utilisation dépendra de l’étendue des services auxquels elle donnera accès. Il nous faut faire en sorte que l’identité numérique interagisse avec son environnement. Isolée de lui, elle ne sert à rien. Au contraire, l’interopérabilité et une large connectivité avec des services numériques lui conféreront toute sa valeur.

M. Philippe Latombe, rapporteur. Force est de constater que dans l’administration même, le réflexe perdure qui consiste à demander systématiquement des photocopies de la carte d’identité. À ce jour, il reste impossible d’engager une action en justice, d’immatriculer une société au greffe du tribunal de commerce, d’ouvrir un compte bancaire, voire simplement d’actualiser le dossier client qui s’y rapporte, enfin d’engager nombre de démarches, par exemple auprès de la caisse d’allocations familiales ou des organismes de sécurité sociale, sans produire une copie papier recto-verso de la carte nationale d’identité. Selon les cas de figure, il s’y ajoutera la demande d’une copie de la fiche d’imposition, ainsi que d’un justificatif de domicile, autrement dit une facture d’eau, de gaz ou d’électricité.

L’utilité de l’identité numérique ne laisse aucun doute. Prouver sa majorité sur Internet en donne un autre exemple.

Mme Coralie Héritier. Les progrès que la CNIe amène avec elle font présager une évolution rapide dans le sens que nous souhaitons. L’autorité nationale de la sécurité des systèmes d’information (ANSSI) vient de publier un référentiel d’exigences applicables aux prestataires de vérification d’identité à distance (PVID).

Lorsque nous parlons d’écosystème, nous nous interrogeons sur la manière d’adopter, grâce aux technologies disponibles, des solutions qui répondent aux usages que vous décrivez. Des prescriptions réglementaires, des référentiels adaptés nous le permettent dans des conditions de sécurité et de confiance qui garantissent l’intégrité ainsi que la fiabilité des données, et empêchent l’usurpation d’identité. Tel est bien l’un des objectifs que la CNIe poursuit.

M. Romain Galesne-Fontaine. Vos exemples, M. le rapporteur, ne manquent pas d’intérêt. Ils montrent combien la fourniture d’une identité numérique, outre qu’elle constitue un enjeu sur le plan de la sécurité, représente, ou peu s’en faut, un chantier de transformation culturelle. Elle emporte la modification d’un certain nombre de processus administratifs. Au préalable, il nous appartient de nous figurer comment ces services peuvent évoluer à l’aune du numérique.

Nous voyons qu’il s’agit à présent de travailler concomitamment à la conception d’une identité sécurisée et de penser la relation à l’usager à l’ère du numérique. Ainsi dédoublé, l’effort requiert davantage de temps. Néanmoins, nous le pouvons considérer comme suffisamment avancé sur ces deux aspects pour affirmer que la CNIe, qui ouvre la possibilité de lui associer une identité numérique, offre désormais un outil efficace en vue d’une amélioration à brève échéance des services mis à la disposition des usagers.

M. Philippe Latombe, rapporteur. Bien que la CNIe soit prête, les usages ne suivront pas immédiatement son entrée en vigueur. Il suffit que nous songions à la carte vitale en matière de sécurité sociale. Le réflexe n’est manifestement pas encore celui d’une identité numérique à part entière. Dans les prochaines années, nous aurons toujours besoin d’un titre d’identité physique. La fracture numérique existe dans notre pays. Quand même elles en disposeront, des personnes n’utiliseront pas l’identité numérique et lui préféreront l’élément strictement physique de la carte pour justifier de leur identité.

La remarque me conduit à revenir, après vous M. Galesne-Fontaine, sur les auditions que nous avons tenues la semaine passée. Quoique vous affirmiez le contraire, il me paraît en ressortir que l’ANTS ne dispose plus, faute d’un effectif suffisant d’experts, de la maîtrise totale du projet. Vous semblez avoir pris une forme d’ascendant sur l’agence.

Je l’illustrerai par un exemple : actuellement, l’ANTS recherche un chef de projet CNIe.

C’est pourquoi je vous pose sans détour la question de savoir si la CNIe se situe réellement à l’état de l’art du point de vue de la sécurité. Nombreux sont ceux qui prétendent le contraire et estiment qu’elle accuse un retard dans ce domaine. À leur avis, d’autres pays en proposent le même format depuis plusieurs années ; certains ont indiqué depuis une grosse dizaine d’années.

Je prolongerai ma question par celle-ci : que coûte à l’État la production de la nouvelle CNIe ?

M. Romain Galesne-Fontaine. Sur votre première question, je rappellerai que l’Imprimerie nationale aurait été en mesure de produire une carte en polycarbonate dès 2012. Tel en était le projet. Des cartes de ce type existent donc depuis longtemps.

Pour autant, le fait que la nouvelle carte d’identité utilise le même matériau que des titres sortis dix ou quinze ans plus tôt revient-il à dire qu’elle présente des sécurités en tous points identiques aux leurs ? Je le répète : la réponse est négative. Je vous la donne en ma qualité d’expert industriel de l’identité. À l’Imprimerie nationale, nous travaillons pour plus d’une trentaine d’États à travers le monde, nous produisons régulièrement des titres d’identité modernes qui s’appuient sur les dernières innovations.

La CNIe française ne s’écarte pas de cette exigence. Elle comprend par exemple un dispositif holographique tout à fait original qui, composé de nanomatériaux, se distingue de l’habituel hologramme.

Au surplus, je n’affirme pas seul que la CNIe correspond à l’état de l’art en matière de sécurité. Pensez-vous que les forces de l’ordre françaises et l’ANTS, qui en ont supervisé le projet, en auraient validé la réalisation s’il en allait autrement et si elles avaient constaté que la carte ne répondait ni à leurs besoins ni à leurs prescriptions ? Je répète ici que l’Imprimerie nationale leur a soumis une architecture de sécurité destinée soit à prévenir les tentatives de fraude, soit à atteindre des objectifs de contrôle de sécurité sur le titre. La décision finale de valider cette architecture ne lui revenait pas.

M. Philippe Latombe, rapporteur. Sous l’angle des spécificités techniques, le format de CNIe, tel qu’il existe aujourd’hui, applique-t-il l’ensemble des préconisations que les spécialistes de la police aux frontières et de la gendarmerie nationale ont formulées ?

M. Romain Galesne-Fontaine. L’Imprimerie nationale s’est vu prescrire ce que nous appelons des cibles de sécurité. Elle devait y ajuster la nouvelle carte d’identité qu’elle mettait au point. Pour les atteindre, notre expertise tant nationale qu’internationale, notre veille technologique permanente, nous ont permis de combiner des éléments innovants de sécurité avec des solutions aussi robustes qu’éprouvées.

Nous ne saurions condamner des techniques qui ont apporté la preuve de leur efficacité en matière de sécurité au seul motif de leur ancienneté. À ce jour, nous n’avons connaissance d’aucun phénomène de fraude massive réussie sur nos titres français en polycarbonate. Jouant leur rôle, les sécurités en place ont permis de détecter immédiatement, à l’occasion d’un contrôle, les rares tentatives de fraude.

Mme Coralie Héritier. J’ajoute que l’ensemble des acteurs qui interviennent dans l’élaboration de la carte française ont exporté les technologies qu’ils mettent en œuvre. Ailleurs qu’en France, des titres d’identité les utilisent. Elles se conforment aux exigences en vigueur, notamment aux normes européennes. En aucune façon une moindre rigueur ne s’y attache dans le projet français.

M. Romain Galesne-Fontaine. Une partie des sécurités des titres que l’Imprimerie nationale produit, qu’il s’agisse des permis de conduire, des titres de séjour ou de la nouvelle carte d’identité, correspondent à des sécurités réglementaires. L’Union européenne les impose.

M. Philippe Latombe, rapporteur. Nous pourrions aussi nous interroger sur le point de savoir si la France trouve systématiquement un intérêt à reprendre à son compte les technologies que d’autres États utilisent.

Pour ce qui a trait au refus de recourir à la photographie couleur, je vous avoue n’avoir toujours pas saisi la raison qui le motive. J’entends l’explication relative au rachat d’une entreprise française par une entreprise américaine. Néanmoins, quand j’interroge des experts, y compris parmi les forces de l’ordre, on m’explique que la photographie en noir et blanc pose un problème opérationnel aux agents sur le terrain et que la couleur lui serait préférable.

Or, nous nous retrouvons avec une CNIe qui contient une photographie en noir et blanc. Pourtant, nous possédons la technique de la couleur, que nous ne manquons pas d’exporter. Le représentant d’IDEMIA, que nous auditionnions le 1er avril dernier, nous a indiqué que son entreprise l’employait. Pour leur part, grâce à leur partenariat avec leur entreprise nationale Veridos, les autorités allemandes, comme celles d’autres pays, utilisent une photographie en couleur sur leur CNIe.

Vous nous signaliez qu’en France, la demande d’une photographie en noir et blanc, ou en tons de gris, émanait de l’ANTS. Du moins ne vient-elle pas des forces de l’ordre.

Je réitère par ailleurs ma question sur le coût de revient, pour l’État, de la CNIe. À quel montant ce coût s’élève-t-il, à l’unité et tout compris ?

M. Romain Galesne-Fontaine. Nous pourrons partager avec vous, M. le rapporteur, les informations relatives au coût de la CNIe à la condition indispensable que l’ANTS y donne préalablement son accord exprès. Dans l’immédiat, au cours d’une audition publique, je ne puis vous les communiquer pour d’évidentes raisons de confidentialité.

Mme Coralie Héritier. Sans me prononcer quant à l’intérêt d’une photographie en couleur sur un titre d’identité, je signalerai que la nouvelle CNIe donne aux forces de police des possibilités de contrôle supplémentaires. C’est par exemple le cas du cachet électronique visible. Il facilitera leur travail sur le terrain.

M. Yann Haguet. La carte d’identité française fait appel à trois types de sécurité.

Nous venons de discuter en détail des sécurités physiques. Comme M. Romain Galesne-Fontaine l’a indiqué, elles correspondent à celles en vigueur dans la majorité des pays. Ici, notre devoir consiste à observer les pratiques qui prévalent, tout en nous assurant de la maturité des solutions que nous intégrons à notre projet.

À l’autre bout de la chaîne, la puce apporte elle-même un certain nombre de sécurités. Entre les deux extrémités, le cachet électronique visible (CEV) offre un premier niveau de lecture et de contrôle automatisé.

Au total, la duplication des éléments de sécurité confronte les éventuels fraudeurs à autant de barrages contre leurs intentions malveillantes.

Revenons à la question de la photographie en couleur. Dans l’élaboration de la CNIe, pour chacun de ses composants, pour tout élément de sécurité, l’un des points essentiels tenait à l’exigence de diversifier nos fournisseurs. Comme nous l’avons précédemment expliqué, nous devions nous assurer de la disponibilité d’au moins deux sources d’approvisionnement.

Or, les techniques de gravure de photographies en couleur disponibles sur le marché présentent la particularité d’être toutes différentes entre elles. De plus, aucune n’a complètement démontré sa capacité à traiter des volumes de l’ordre de ceux qui intéressent la France. Jusqu’à présent, les projets qui y ont recouru trahissent ce que j’appellerai, courtoisement, une marge de progrès.

Sans remettre en cause vos témoignages de l’appréciation des forces de l’ordre, sachez que, parmi elles, des acteurs considèrent aussi que les dégradés de gris de la gravure laser donnent d’intéressants résultats en matière de contrôle et de détection des fraudes, là où les techniques en couleur peuvent pêcher en raison de caractéristiques différentes de sensibilité et de granularité de leur impression. Pour les forces de l’ordre, l’aspect essentiel du métier de contrôle consiste d’abord à se forger, à partir de l’image, une appréciation globale de points remarquables du visage, qu’elles comparent à la personne à qui elles font face. Elles n’analysent pas nécessairement le détail de la couleur. Assurément, il s’agit ici d’un débat d’experts et des avis divergents s’y feront toujours entendre.

En tout état de cause, la CNIe française ne saurait nourrir nul sentiment de malaise. Bien au contraire, il convient de reconnaître qu’elle intègre les meilleures techniques du moment, tant sous l’angle de sa sécurisation physique que du contenu de sa puce électronique. Peut-être y reviendrons-nous au cours de notre échange, c’est précisément dans cette puce que nous trouvons la base indispensable à la construction d’une identité numérique.

M. Philippe Latombe, rapporteur. Pour en terminer sur le problème de la couleur, je signale que les Allemands connaissent une problématique de volumes au moins comparables aux nôtres, voire supérieurs. Ils n’en utilisent pas moins une photographie en couleur.

À présent, évoquons en effet la puce de la CNIe, en particulier du point de vue de son évolution. La validité de la nouvelle carte court pendant dix ans. Une deuxième version en est-elle prévue ? Dans l’affirmative, à quel horizon ? À l’inverse, le même titre est-il appelé à se maintenir en l’état pendant la décennie qui s’ouvre ?

Au sujet de la norme 105, vous avez, M. Galesne-Fontaine, fait valoir un manque de recul pour une intégration immédiate à la CNIe. Cependant, des usages de l’identité numérique nécessiteront vraisemblablement que cette norme, ou un équivalent, soit tôt ou tard mise en application. Ce constat suppose une évolution du titre d’identité. Comment alors procéderons-nous ?

M. Yann Haguet. M. Galesne-Fontaine l’a souligné, la CNIe est d’ores et déjà configurée et prête pour l’identité numérique. Son système d’exploitation (operating system) et sa puce comprennent deux compartiments.

L’un, le compartiment ICAO, équivaut à celui d’un passeport. Il contient l’identité régalienne. À la manière d’un passeport, il remplit la fonction que la réglementation européenne définit, celle qui permet à un citoyen de franchir les frontières internes à l’Europe. Son contrôle peut être automatisé.

L’autre, le compartiment d’identité numérique, respecte un standard français issu, entre 2019 et 2020, de l’intervention conjointe de l’ANTS, de France Identité numérique et des industriels, dont l’Imprimerie nationale, Thales et IDEMIA. Son déploiement ne suppose plus que son activation et, par un canal séparé et sécurisé, la transmission d’un code PIN à chaque citoyen français. Une fois activé, ce conteneur n’autorisera en effet son accès en lecture qu’à la condition que le possesseur du titre renseigne son code confidentiel.

Dès à présent, la CNIe contient donc un volet identité numérique. Il ne reste qu’à mettre en œuvre l’infrastructure d’un fournisseur d’identité. Ce fournisseur pourra être public ou, si la réglementation le prévoit, privé. Son rôle consistera à administrer l’identité numérique associée à la CNIe. Il interviendra par exemple si le titulaire de l’identité victime d’un vol souhaite révoquer sa carte.

Ainsi que le mentionnait Mme Coralie Héritier, il sera également possible d’étendre, ou « dériver », l’identité numérique associée à la CNIe à son utilisation à partir d’un smartphone. Une telle extension permettra deux types d’authentification pour des services publics ou privés.

La première, une identification de niveau élevé, au sens que lui donne la définition du Règlement européen eIDAS, se destine aux transactions les plus importantes, telles que l’ouverture d’un compte bancaire, la souscription à un emprunt bancaire ou la délivrance d’une procuration de vote. Elle impliquera que l’usager approche la carte de son téléphone et saisisse son code confidentiel.

La seconde servira à des transactions d’un niveau de sécurité substantiel. On estime qu’elles recouvrent 80 ou 85 % des cas de figure. Elles ne nécessitent pas de recourir à la carte, l’identité numérique dérivée contenue dans le téléphone étant alors jugée suffisante.

Vis-à-vis d’un fournisseur d’identité, ces possibilités techniques impliquent que la réglementation lui permette d’utiliser le conteneur, ou compartiment, siège de l’identité numérique. Le fait qu’une décision rapide d’activation de ce conteneur puisse intervenir dès la délivrance de la CNIe requiert encore que son possesseur dispose de la faculté de s’enregistrer sans délai auprès d’un fournisseur d’identité. L’activation de l’identité numérique s’effectuera soit à partir d’un ordinateur personnel, après renseignement du code confidentiel, soit auprès d’un guichet public. Par l’intermédiaire de FranceConnect, elle rendra possible la connexion aux portails publics ou privés qui auront autorisé son utilisation.

Le fait que le service FranceConnect fonctionne déjà, qu’il ait récemment obtenu de l’ANSSI la reconnaissance d’un niveau élevé d’authentification au sens du Règlement eIDAS, qu’il définisse le format dit « pivot » des données à transmettre par chacun des fournisseurs d’identité, permettra à l’avenir un recours des plus étendus à l’identité numérique issue de la CNIe.

M. Philippe Latombe, rapporteur. Si je vous entends bien, la CNIe laissera à son détenteur le choix de son fournisseur d’identité, un fournisseur public ou privé ?

M. Yann Haguet. Techniquement, rien du moins ne s’y oppose. Il reviendra à la réglementation de préciser le dispositif, les conditions d’utilisation du conteneur et celles de l’agrément donné aux fournisseurs d’identité.

M. Philippe Latombe, rapporteur. La semaine dernière, Mme Valérie Péneau, inspectrice générale de l’administration, directrice du programme interministériel France Identité numérique, nous expliquait que, de son point de vue, aucun marché ne se dessinait pour une identité numérique privée. L’identité numérique lui paraissait ressortir exclusivement à la mission régalienne de l’État.

Votre analyse contredit apparemment la sienne. Pensez-vous qu’il y ait place pour un marché privé de l’identité numérique ?

M. Yann Haguet. Je m’appuierai sur l’expérience d’IN Groupe à l’exportation. M. Romain Galesne-Fontaine le signalait, nous déployons l’identité numérique ailleurs qu’en France, notamment à Monaco. Notre pratique montre qu’une place existe tant pour un fournisseur d’identité régalien, autrement dit public, que pour des fournisseurs privés ou semi-privés.

Un fournisseur d’identité public garantit le niveau de sécurité le plus élevé. Il s’accorde avec le principe de gratuité qui, souvent, concerne la fourniture de l’identité ainsi que l’accès aux services publics.

Il n’en reste pas moins envisageable d’autoriser un système de fournisseurs privés ou semi-privés. Il existe dans certains pays. En France, La Poste, voire IN Groupe, pourraient revêtir cette qualité. Un tel système implique que les fournisseurs d’identité s’engagent à donner l’accès à des portails de services publics, au moins à un niveau de sécurité substantiel, par exemple, pour le paiement des impôts. Ils se rémunèrent alors auprès des fournisseurs de services en ligne qui recourent à l’identité numérique.

M. Romain Galesne-Fontaine. Pour compléter ce propos, j’estime qu’il serait opportun de reprendre les différentes études économiques qui ont concerné le sujet, à la lumière de la survenue de la crise sanitaire et des conséquences qu’elle entraîne. Sans doute ne mesurons-nous pas pleinement combien la situation que nous vivons depuis plus d’un an provoque une accélération de la mutation numérique de nos modes de vie, qu’il s’agisse des usages privés ou des pratiques professionnelles.

Nous pensions déjà nécessaire de fournir une identité numérique dans un cadre à la fois public et privé. Désormais, il nous apparaît que le bouleversement que nous connaissons rend d’autant plus attractif un marché pour des fournisseurs d’identité privés. La décision en revient à l’État. L’agrément qu’il donnera aux fournisseurs d’identité veillera à leur respect des règles de sécurité et de confidentialité des données personnelles.

Au sein de l’Imprimerie nationale, nous reconnaissons à ces données un caractère unique. Elles nous paraissent requérir l’emploi des plus hauts niveaux de protection. En dernière analyse, du strict respect de cette exigence dépend l’adhésion des usagers aux systèmes d’identité numérique. Les usagers doivent recevoir la double assurance que leur fournisseur d’identité n’utilisera pas leurs données personnelles à leur insu et qu’il se révélera en mesure de protéger ces données contre toute atteinte extérieure.

M. Philippe Latombe, rapporteur. La fourniture de l’identité numérique correspond-elle à un segment d’activité sur lequel IN Groupe entend se positionner ?

M. Romain Galesne-Fontaine. En effet, avec la perspective d’accélérer la mise en place de l’identité numérique en France, nous nourrissons l’ambition d’en devenir un fournisseur. Nous interviendrions en complément de solutions d’identité régaliennes. Les technologies dont nous disposons nous permettraient d’assurer, en application du Règlement eIDAS, le niveau substantiel de sécurité.

M. Philippe Latombe, rapporteur. Vos propres ressources internes vous suffiraient-elles ? Pourriez-vous vous passer de partenariats ?

M. Romain Galesne-Fontaine. Je vous le confirme. Nos moyens nous autorisent à prétendre à un statut de fournisseur agréé d’identité numérique, pour autant que l’État crée ce statut.

Mme Coralie Héritier. Comprenons que tous les acteurs auront une place à prendre. En tant que telle, l’identité citoyenne ne peut exister seule.

Sur un plan numérique, l’identité est susceptible de revêtir différentes formes. Il s’agira par exemple d’un certificat électronique. Cependant, dans les divers services et applications auxquels elle donnera accès, il lui faudra être associée à d’autres facteurs d’identification.

L’idée de multiplier ces facteurs gagne en importance. Le code confidentiel en est un. Il importera qu’ils se complètent entre eux, afin d’atteindre le plus haut niveau possible de confiance.

Ne concevons pas la CNIe comme le sésame unique qui répondrait à l’ensemble des besoins. Un véritable écosystème de l’identité numérique existe déjà. Il tend à s’étoffer, il se développe avec l’évolution des techniques. Pour leur part, les usages connaissent une croissance considérable. Ils requièrent l’emploi des facteurs multiples d’authentification que j’évoquais.

De ce point de vue, la gestion des identités numériques, celle de leur cycle de vie, s’avérera fondamentale. Une réglementation devra l’étayer. Le rôle d’en contrôler le respect incombera vraisemblablement à l’ANSSI.

M. Philippe Latombe, rapporteur. Nous accusons un tel retard sur le sujet de l’identité numérique qu’il est à craindre qu’il ouvre une porte, comme dans d’autres domaines avec les Google, Apple, Facebook, Amazon et Microsoft (GAFAM), à des entreprises privées qui imposent leurs propres standards. Non sans raison, des collègues parlementaires ont adressé un courrier au Premier ministre dans lequel ils mettent en exergue l’ampleur de notre retard. En comparaison d’autres États européens, celui-ci est indéniable.

M. Yann Haguet. Je souhaite apporter un complément de réponse sur la question de la maintenance du titre d’identité. Vous nous interrogiez sur le devenir de la CNIe pendant les dix années de sa validité et sur ses éventuelles versions successives.

N’importe quel titre d’identité représente un état des techniques de sécurité disponibles à un instant précis. Il s’ensuit une forme de course-poursuite, aux échéances plus ou moins rapprochées dans le temps, avec les fraudeurs. L’apport de sécurités supplémentaires peut devenir nécessaire à tout moment.

Par le passé, avec les titres à sécurités purement physiques, la fréquence de nos interventions s’espaçait dans le temps. Dorénavant, l’emploi de l’électronique, de systèmes d’exploitation, d’algorithmes cryptographiques, conduit à la resserrer. En quelque sorte, le temps s’accélère.

Pour les cartes prochainement émises, IN Groupe a proposé à l’ANTS le recours à un gestionnaire du cycle de vie du titre et des versions de son système d’exploitation. Il lui reviendrait de procéder, en cas de besoin, à des opérations de maintenance de sécurité, de modifier ou d’activer des algorithmes de cryptographie, voire d’intégrer de nouvelles applications informatiques.

Un titre d’identité qui comprend une dimension électronique doit évoluer avec son environnement. Garantir que la CNIe assure sa fonction, y compris pour sa partie identité numérique, impose au minimum de respecter les contraintes du référentiel général de sécurité (RGS). Ces dernières prévoient le changement régulier des clés utilisées pour cryptographier les données et le processus qui permet d’y accéder.

Par ailleurs, en accord avec l’ANTS et sous sa direction, des phases de décision de nouvelles versions du titre interviendront. Elles correspondront à l’émergence de besoins ou usages, ainsi que vous le mentionniez M. le rapporteur, ou tiendront compte de celle d’autres règles ou contraintes européennes. La situation s’en est présentée avec l’actuel titre de séjour français. L’ancienneté de sa version dite V1 remonte à moins de dix ans. Voilà six mois, il a fallu redéfinir une nouvelle version, afin d’intégrer les évolutions que l’Union européenne imposait.

Un titre d’identité vit. Le principe de départ veut que son possesseur le détienne pendant dix années. Sauf cas exceptionnel, durant toute cette période, sa version initiale ni son apparence globale ne font l’objet d’une remise en cause radicale. En revanche, de réguliers changements de clés et, si nécessaire, des adaptations et mises à jour de sécurité en accompagnent l’existence.

Les versions des titres évoluent donc. Il est ainsi permis d’imaginer, d’ici à quelque temps, une version V2 de la CNIe.

M. Philippe Latombe, rapporteur. Quelle entité assurera-t-elle le suivi ? IN Groupe jouera-t-il ce rôle ?

M. Yann Haguet. Tout changement dans le système d’exploitation, toute introduction d’un élément de sécurité destiné à y combler une faille, suppose des échanges et l’activation de mécanismes dans un réseau plutôt fermé d’acteurs.

La décision d’opérer des changements relève du ressort de l’ANTS, en coordination avec l’ANSSI.

Selon les circonstances, nous pouvons envisager, soit une modification qui ne concerne que les futurs titres, soit à l’inverse une modification qui affecte l’ensemble de ceux déjà distribués, soit, dans les situations les plus graves, un remplacement pur et simple de la carte.

Certains cas de figure justifieront un retour de l’usager devant les services de sa mairie. Moyennant des authentifications et des contrôles, des changements de clés mineurs pourront s’effectuer depuis un ordinateur personnel ou un smartphone.

M. Philippe Latombe, rapporteur. Soumettez-vous la CNIe à des tests de vulnérabilité, aussi bien physiquement qu’électroniquement, afin de la protéger contre les atteintes des faussaires ou des pirates informatiques ?

M. Yann Haguet. Nous réalisons évidemment de tels contrôles de sécurité. Chacun des industriels parties prenantes à la conception de la carte, en particulier de sa puce électronique et de son système d’exploitation, participe sous le contrôle de l’ANSSI et de laboratoires indépendants à un processus de qualification et de certification. Ce processus doit démontrer que la carte remplit les critères de sécurité attendus, que ses mécanismes de défense atteignent le niveau de complétude et de sécurité souhaités.

J’ajoute que nos fournisseurs ont l’obligation de répéter régulièrement leurs cycles de certification et de prouver que leurs solutions demeurent valides au cours du temps. À cette occasion, l’identification d’un risque peut conduire à l’ajout d’un correctif.

Le fait que le titre inclut de l’électronique et des systèmes d’exploitation emporte qu’un nombre accru de mécanismes entrent en ligne de compte dans sa maintenance.

M. Philippe Latombe, rapporteur. Je vous poserai une question en rapport avec la commande publique. Comment IN Groupe favorise-t-il l’émergence ou la consolidation d’acteurs, ainsi que leur excellence sur la scène internationale, sur les aspects de sécurité des titres d’identité ?

Certes, IN Groupe assure directement, en interne avec ses compétences, un certain nombre de réalisations, mais il en sous-traite également d’autres. Comment vous y prenez-vous ? Privilégiez-vous d’abord vos propres compétences avant que de vous adresser à l’extérieur ? Passez-vous systématiquement des appels d’offres ou procédez-vous de gré à gré ?

M. Romain Galesne-Fontaine. Je l’ai dit, le rôle de l’Imprimerie nationale est celui d’un intégrateur agnostique des meilleures technologies du marché. Même s’il possède certaines d’elles en propre, IN Groupe ne travaille pas isolément. Dans le cas de la CNIe, il compte plus d’une quinzaine de partenaires privés, dont le groupe Atos, associés à la fourniture des différents composants du titre.

Il nous tient à cœur d’animer ce que je qualifie d’écosystème. Chaque année, notamment pour l’élaboration des titres d’identité sécurisés, l’Imprimerie nationale recourt aux services de plus de 400 sociétés réparties sur l’ensemble du territoire français. Les retombées économiques en représentent plusieurs dizaines de millions d’euros.

Quant aux titres sécurisés, nous respectons systématiquement le cadre légal et réglementaire de la commande publique auquel nous sommes soumis. La sélection de l’intégralité des composants stratégiques de la CNIe n’a pas échappé au principe. Ici, la procédure de la commande publique nous permet d’appliquer scrupuleusement notre obligation de diversification de nos sources d’approvisionnement par le choix d’au moins deux fournisseurs pour chacun des composants. Nous garantissons ainsi à l’État sa capacité à délivrer sans interruption ses titres d’identité pendant toute la durée de leur validité.

M. Philippe Latombe, rapporteur. S’agissant de la CNIe, il nous intéresserait que vous nous précisiez les valeurs de la répartition entre ce qu’IN Groupe réalise directement et ce qu’il sous-traite par la commande publique.

Dans l’immédiat, je n’attends pas de réponse chiffrée, vous nous l’apporterez plus tard. Vous nous signaliez précédemment que, sur les aspects de coûts, il vous fallait obtenir l’accord préalable de l’ANTS. En revanche, peut-être pouvez-vous déjà nous communiquer un ordre d’idée de la répartition ?

M. Romain Galesne-Fontaine. Pour des raisons de sécurité, je ne puis non plus indiquer le nombre exact des composants stratégiques qui entrent dans la fabrication de la CNIe. Je vous disais qu’il avoisinait une quinzaine. L’Imprimerie nationale n’en fournit que deux. Vous obtenez là un aperçu assez clair du ratio qui vous intéresse.

M. Philippe Latombe, rapporteur. À ceci près que l’étendue des prestations respectives et de leurs montants, qu’en l’état nous ignorons, est susceptible de relativiser considérablement la pertinence d’une conclusion hâtive.

Sous l’angle de la souveraineté, prêtez-vous une attention particulière à la nationalité de vos fournisseurs potentiels ? Au contraire, ce critère n’entre-t-il pas en ligne de compte ?

M. Romain Galesne-Fontaine. L’ensemble de nos achats respectent les principes de la commande publique. Nous agissons dans la stricte limite que ces principes nous fixent.

Parmi les fournisseurs des composants de la CNIe, nombreux sont ceux d’origine française ou européenne.

M. Philippe Latombe, rapporteur. Voulez-vous aborder un sujet que nous n’aurions pas encore évoqué ?

M. Yann Haguet. Il convient de souligner combien la réussite du déploiement de l’identité numérique renvoie aux usages, à leurs approches, aux conditions de création d’un écosystème. Sans doute l’expérience de Mme Coralie Héritier au sein du groupe Atos et du CSF des industries de sécurité lui permet-elle de se forger une opinion sur la probabilité du succès de l’entreprise ?

Mme Coralie Héritier. Je vous avouerai ma perplexité quant à la raison pour laquelle la mission d’information m’a invitée à intervenir devant elle. Je note que la plupart des questions ont concerné l’Imprimerie nationale. J’aurais souhaité un débat à l’objet moins resserré. Cependant, je vous ai exprimé mon point de vue sur ce que l’identité numérique citoyenne devrait recouvrir.

Chez Atos, nous retenons une acception large des questions numériques ; nous considérons la transformation numérique en général. À notre sens, l’identité numérique en forme certes un pilier, mais non le seul. Il faut lui ajouter toutes les infrastructures, le cloud de confiance à qui il revient de supporter le volume des données, les outils, concevoir au surplus des socles mutualisés à destination de l’administration publique. À la vérité, bien des sujets nous permettraient d’étendre la discussion au-delà de la seule CNIe.

M. Philippe Latombe, rapporteur. La semaine dernière, lors de notre audition de Mme Valérie Péneau, nos questions relatives aux usages des identités numériques ont trouvé peu d’écho. En toute franchise, notre interlocutrice fut assez évasive. Il semblerait que nous ignorions encore ce que seront ces usages.

Pour l’heure, l’utilisation de l’identité reste plus physique que numérique. Sans doute appartient-il à cet égard à l’administration française de changer de paradigme et de mode de fonctionnement. L’identité s’inscrit au cœur de la transformation numérique de l’État. Nous nous en ouvrirons à Mme Amélie de Montchalin, ministre de la transformation et de la fonction publique.

Madame Coralie Héritier, vous semblez établir un lien entre cloud et identité numérique. Voici qui nous surprend. Pouvez-vous nous en préciser la nature ? Le premier conserverait-il les données de la seconde ?

Mme Coralie Héritier. Afin de traiter des volumes importants de données relatives à l’identité numérique, la chaîne de confiance utilise des technologies, notamment des certificats électroniques. Privé, le cloud que j’évoque ne correspond pas à la définition que l’on donne ordinairement de ce terme. Pour ma part, j’entends par lui des infrastructures fiables, dont des opérateurs de services de confiance, dûment habilités, se chargent de la gestion. Elles permettent d’industrialiser tous les éléments de sécurité nécessaires à la création des identités numériques. En définitive, elles ne diffèrent pas significativement des techniques d’industrialisation du cloud au sens strict.

Pour une société comme Atos, partie au projet européen d’infrastructure de données GAIA-X, développer des capacités de calcul importantes, anticiper les évolutions post-quantiques à venir, lui sont indispensables pour se maintenir à l’état de l’art.

M. Philippe Latombe, rapporteur. Quel usage de l’identité numérique voyez-vous pour la France ? Quand y deviendra-t-elle la norme ?

Mme Coralie Héritier. Tout dépend d’abord du type d’identité dont nous parlons. De nombreuses identités numériques circulent déjà, qui ne sont pas d’un niveau de sécurité élevé et qui servent à accéder à un système d’information ou à une application en ligne. Certains en utilisent quotidiennement plusieurs. Elles sont entrées dans les mœurs.

À présent, il importe de mener une action de pédagogie sur l’usage d’une identité numérique d’un niveau de sécurité d’abord substantiel, puis élevé. Cette démarche favorisera la confiance des citoyens, elle-même primordiale pour le développement des usages numériques du quotidien.

L’évolution de l’identité numérique, sa démocratisation, reposent ensuite sur la facilitation de son usage.

L’authentification multifactorielle existe déjà. La directive européenne sur les services de paiement (DSP2) du 13 janvier 2018 l’a imposée pour toute transaction de plus de 30 euros. Chacun possède de même un code confidentiel attaché à sa carte bancaire. L’accès à des services en ligne sensibles ou à des données personnelles pourra encore tirer profit de l’authentification faciale, couplée à d’autres facteurs.

À mon sens, la banalisation de l’usage d’identités de niveaux de sécurité substantiel et élevé devrait devenir la règle assez rapidement.

M. Romain Galesne-Fontaine. Il nous faut réfléchir à des solutions d’identité qui soient inclusives. Personne ne saurait rester en marge de l’évolution en cours. Nous pensons que l’identité constitue un droit, non un service. L’universalité, l’effectivité, de ce droit supposent un langage compréhensible par tous, accessible y compris à ceux qui se tiennent fort éloignées de l’univers du numérique.

C’est pourquoi, nous nous attachons à mettre en place des systèmes qui s’appuient sur des procédures connues, tel que le code PIN. Nous travaillons de plus à l’élaboration de parcours d’usages aussi simples que possible, par exemple avec la dérivation de l’identité de la CNIe vers le téléphone portable.

Nous contenter de numériser des procédures fondées sur les documents du centre d’enregistrement et de révision des formulaires administratifs (Cerfa) équivaudrait à un échec. Aujourd’hui, l’occasion s’ouvre d’œuvrer à la simplification des parcours administratifs. La perspective en anime l’intention de nombreux experts engagés dans les programmes de transformation numérique de l’État.

M. Philippe Latombe, rapporteur. Je soulèverai une réserve. Nous ne contournerons pas l’obligation, sinon de conserver des guichets physiques, du moins de prévoir un substitut à la partie strictement numérique.

La situation actuelle en matière de délivrance et modification des cartes grises est éloquente. Pour la moindre demande, la numérisation intégrale de la procédure, l’impossibilité de se présenter devant les services de la préfecture, transforme un incident mineur en d’inextricables complications. Il en résulte une forte insatisfaction, notamment chez des personnes peu coutumières du numérique. En parallèle, nous assistons à l’émergence d’une économie de l’immatriculation des véhicules : partout en France, des officines apparaissent aux alentours des services préfectoraux, qui proposent aux administrés d’effectuer à leur place les démarches officielles d’immatriculation.

M. Romain Galesne-Fontaine. Je vous rejoins. Nous ne nous représentons pas un monde à 100 % numérique.

M. Philippe Latombe, rapporteur. Précisément, comment jugez-vous les expériences d’États qui ont opté pour un modèle intégralement ou presqu’intégralement numérique ? Il s’agit certes d’États plus petits que la France : l’Estonie, ou Israël qui a dans une large mesure numérisé les aspects d’identité et de santé. Néanmoins, gagnerions-nous à nous en inspirer ?

M. Romain Galesne-Fontaine. Les critères de réussite que nous avons identifiés dans ces pratiques de pays étrangers tiennent d’abord au rapprochement et à la coordination des divers acteurs et de leurs environnements spécifiques. En France, dans son essence même, le CSF des industries de sécurité participe d’une logique équivalente, avec l’objectif de fournir une identité, ou des identités, numériques sécurisées et de services.

En second lieu, un travail de pédagogie vis-à-vis de la population intervient. Il faut décrire les services que l’identité apporte. Il faut aussi expliquer que l’identité numérique a pour fonction de protéger, non de contrôler. Sans ce travail préalable, nous nous confronterons de nouveau en France aux débats que nous avons connus en 2012 sur les projets de CNIe et d’identité numérique, autour de la préservation des libertés fondamentales.

Non seulement nous devons insister sur ce que nos dispositifs respectent la législation et la réglementation en matière de données personnelles, mais sur ce qu’en outre ils contribuent à leur protection et offrent de nouveaux services.

Inclusion, pédagogie, travail avec un écosystème sur des services immédiatement utiles à la vie de nos concitoyens, nous engagerons, me semble-t-il, dans la bonne direction.

Mme Coralie Héritier. Dans les pays qui ont choisi, ou peu s’en faut, le « tout numérique », la politique a pris appui sur quatre piliers : les infrastructures nationales, la diffusion des outils numériques dans tous les milieux et âges de la population, les financements dédiés à l’innovation et au développement des technologies tournées vers les usages, enfin l’identité numérique.

Nous pouvons nous en inspirer, même si chaque pays possède son histoire et son organisation administrative propres. En France, afin de réussir notre transformation numérique, je pense que nous aurions intérêt à promouvoir une forme de transversalité des actions que nos différents ministères mènent dans ce domaine. Nous poserions opportunément des socles communs, en particulier sur les aspects de cybersécurité et d’identité numérique. Le partage d’applications informatiques, la coordination à tous les niveaux de l’État et de l’administration me paraissent essentiels. Pour leur part, les solutions techniques existent.

La coordination des services de l’État en matière numérique contribuerait de plus significativement à l’effort de pédagogie auprès du public.

Le CSF des industries de sécurité a exprimé son souhait de poursuivre sans relâche le dialogue entre les industriels et l’État. Dans l’élaboration des solutions numériques, particulièrement à l’occasion du plan de relance, nous apportons, en tant qu’industriels, notre contribution et notre vision. En retour, nous nous nourrissons des enjeux et ambitions de l’État.

M. Yann Haguet. Je partage cet avis sur l’importance de la coordination et de l’inclusion. J’ajouterai celle, clé à mes yeux, de la mixité entre les acteurs publics et privés.

À l’étranger, souvent les réussites sont apparues dès lors que l’État a favorisé l’implication du secteur privé et de la société civile dans la promotion de l’identité numérique, quand même celle-ci demeurait attachée à une identité régalienne. Je pense par exemple à la Pologne. L’intervention du monde bancaire y a joué un rôle majeur. Pareillement, en Belgique, l’essor des usages de l’identité numérique a suivi l’initiative d’un consortium d’utilisateurs.

Le CSF des industries de sécurité a pour vocation d’encourager les échanges et la coordination entre les acteurs publics, les fournisseurs de services et les industriels. Cette coordination s’avère décisive quand, vous l’avez compris, la CNIe nous ouvre dès à présent le champ à une identité numérique.

M. Philippe Latombe, rapporteur. En somme, nous disposons avec elle du réceptacle de l’identité numérique.

Audition, ouverte à la presse, de M. Jérôme Notin, directeur général du groupement d’intérêt public Action contre la Cybermalveillance (GIP ACYMA) (8 avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. M. Jérôme Notin, la structure dont vous êtes le directeur général, plus connue sous le nom de cybermalveillance.gouv.fr, correspond au dispositif national d’assistance aux victimes de cybermalveillance, et de sensibilisation des publics au risque numérique. Dans nos travaux sur les enjeux de cybersécurité, votre audition s’inscrit à la suite de celles de l’Agence nationale de la sécurité des systèmes d'information (ANSSI) et de la fédération française de la cybersécurité.

Nous souhaitons échanger avec vous sur l’état de la menace cyber, les modalités d’accompagnement des victimes, déployées par votre dispositif, et la nécessité de promouvoir une véritable culture de l’hygiène numérique auprès des acteurs publics et privés.

M. Philippe Latombe, rapporteur. Je commencerai par vous poser une question rituelle : comment définiriez-vous la souveraineté numérique ? J’aimerais que vous nous présentiez ensuite le groupement Action contre la Cybermalveillance (ACYMA), son actualité et son fonctionnement. Comment soutenez-vous les victimes de cyberattaques ? Comment collaborez-vous avec les acteurs publics également chargés de la question en France, mais aussi en Europe ? Des pratiques de coopération ou d’échanges ont-elles cours avec vos homologues dans d’autres États membres de l’Union européenne ?

Je souhaiterais en outre établir un bilan de la menace en revenant sur les principaux types d’attaques répertoriés, leurs évolutions durant la crise sanitaire et le profil des victimes qui se tournent vers vous.

J’aimerais dans un second temps que nous prenions du champ par rapport à la cybersécurité. Le gouvernement vient d’annoncer qu’il lui consacrera des moyens renforcés dans sa stratégie nationale cyber. Comment percevez-vous cette initiative ? J’aimerais que vous évoquiez votre tout nouveau label ExpertCyber, attestant l’expertise numérique de prestataires cyber.

Enfin, je voudrais aborder la diffusion d’une culture cyber au sein de la société. Quel regard portez-vous sur le degré de sensibilisation à la cybersécurité, aussi bien des entreprises et des administrations publiques, dont les collectivités territoriales, que des citoyens ?

Je voudrais pour conclure évoquer la formation en compétences cyber, puisqu’un campus cyber devrait bientôt voir le jour avec l’appui, entre autres, de l’ANSSI. Comment se positionne la France sur ces enjeux par rapport à d’autres pays ? Devrions-nous compléter notre offre de formation dans certains segments en particulier ou combler des lacunes que vous auriez identifiées ?

M. Jérôme Notin, directeur général du groupement d’intérêt public Action contre la Cybermalveillance (GIP ACYMA). La souveraineté implique selon moi de disposer de produits inspirant à juste titre la confiance. La création de votre mission prouve en soi qu’il reste de véritables besoins à couvrir dans ce domaine. On trouve bien quelques acteurs français et européens de cybersécurité, mais il subsiste de nombreux « trous dans la raquette ». Ni les particuliers, ni les entreprises, ni les collectivités territoriales ne disposent pour l’heure d’une offre à cent pour cent souveraine. Un travail considérable reste à mener.

La France a la chance de disposer de compétences entrepreneuriales et d’expertise technique en cybersécurité, mais qui ne se rencontrent pas forcément. Je ne peux qu’engager à poursuivre vos travaux pour que, dans les années à venir, la France jouisse enfin d’une souveraineté nationale en ce domaine.

Notre groupement d’intérêt public s’est donné pour objectif de faire savoir à nos concitoyens (collectivités territoriales, entreprises ou particuliers) qu’en cas de problème de cybersécurité, notre plateforme « .gouv.fr » est en mesure de les aider.

Trois missions nous ont été confiées suite à la présentation de la stratégie nationale pour la sécurité du numérique en 2015 :

– L’assistance aux victimes passe essentiellement par la plateforme cybermalveillance.gouv.fr. Toute victime qui s’y connecte suit un parcours défini : elle renseigne son profil, puis répond à quatre ou cinq questions permettant d’établir un diagnostic, après quoi, soit nous lui fournissons des conseils, si elle est en mesure de les appliquer de manière autonome, soit nous la dirigeons vers internet-signalement.gouv.fr ou la plateforme d’harmonisation, d’analyse, de recoupement et d'orientation des signalements (PHAROS), puisque nous avons vocation à constituer un fichier unique. Surtout, quand une assistance technique s’avère nécessaire, nous proposons une mise en relation avec des prestataires de proximité. Notre plateforme en référence aujourd’hui un millier, en mesure d’aider aussi bien des particuliers que des entreprises ou des collectivités territoriales, victimes de l’une des 45 formes de cybermalveillance répertoriées. Nous avons réussi à glisser dans le dossier de presse complétant les annonces du président de la République la création du label ExpertCyber, dont bénéficient aujourd’hui 55 prestataires aux compétences vérifiées.

– Dès la création de notre dispositif en 2017, nous avons produit beaucoup de contenus de sensibilisation, sous licence ouverte, dès que leur format le permettait. Une partie de nos publics, notamment les collectivités territoriales, nécessite encore de prendre conscience du risque cyber. Certains élus se croient à l’abri d’une attaque, du fait qu’ils ne détiennent pas de propriété intellectuelle ou de fichier clients, donc de données susceptibles a priori d’intéresser des pirates. Ils se trompent. Pendant le premier confinement, en avril et mai 2020, nous avons, grâce à France Télévisions, à TF1 et au groupe Canal+, diffusé de brefs messages de sensibilisation.

– Notre troisième mission est la mise en place d’un observatoire de la menace, afin d’analyser celle-ci aussi exhaustivement que possible, et va s’accélérer en 2021. Le ministère de la justice a d’ores et déjà mis à notre disposition un agent dans cette optique. Personne ne sait aujourd’hui qui visent les attaques, ni ce qu’elles coûtent à l’économie française, à l’État ou à l’Europe.

M. Philippe Latombe, rapporteur. Que les confinements nous ont-ils appris en matière de sensibilisation ? Avez-vous noté une amélioration de la prise de conscience au fil du temps ? Les entreprises, et je pense plus à celles de petite taille qu’aux grands groupes sans doute mieux avertis, utilisent-elles plus volontiers des réseaux privés virtuels (VPN) ? Ont-elles compris qu’il ne fallait pas se servir d’un ordinateur personnel à des fins professionnelles ?

Les collectivités territoriales qui lancent en ce moment même de nombreux projets de villes intelligentes (ou smart cities) y intègrent-elles la cybersécurité dès le départ ? Ou n’y songent-elles qu’à la fin, après avoir pris conscience qu’elles ont oublié de se doter d’une « porte blindée » ?

Que s’est-il passé mardi dernier sur les espaces numériques de travail et les plateformes d’école à la maison ? Il était peut-être maladroit de rejeter la faute de l’incident sur OVH. Les attaques russes contre le centre national d'enseignement à distance (CNED) semblent brandies comme excuse, peut-être en partie à juste titre. N’y recourt-on pas toutefois par facilité, pour masquer les défaillances de l’architecture du site ?

M. Jérôme Notin. Je garderai pour moi ce que m’inspire cet incident et me contenterai de rappeler les faits : une recrudescence de connexions légitimes à la plateforme du CNED et à ses sites satellites a fait peser sur les serveurs une forte charge. Le ministre a évoqué des cyberattaques de l’étranger. La chaîne sécurité des systèmes d'information (SSI) du ministère m’a confirmé la réalité d’une attaque par déni de service (DDoS). Le ministère a déposé plainte auprès du parquet chargé de la cybercriminalité.

Je me permettrai une digression : s’il existe en France un axe d’amélioration de la cybersécurité, et donc, de la souveraineté qui en découle, il réside auprès du parquet. Par chance, celui-ci a pris conscience de la nécessité de disposer de magistrats spécialisés. D’une remarquable compétence, ils accomplissent un travail extraordinaire. Malheureusement, ils ne sont que trois. Il en faudrait bien plus.

M. Philippe Latombe, rapporteur. Combien selon vous ?

M. Jérôme Notin. La question s’adresse peut-être plus aux magistrats eux-mêmes. J’estime qu’une dizaine d’entre eux auraient encore fort à faire pour que la justice se saisisse des affaires comme il se doit, identifie les auteurs des infractions et y mette un terme. Un parquet renforcé serait en mesure de traiter aussi bien la petite cybercriminalité (les arnaques visant les particuliers) que les attaques étatiques contre les infrastructures régaliennes de la France, sans oublier celles dont le CNED a fait les frais.

M. Philippe Latombe, rapporteur. Ces magistrats disposent-ils d’outils judiciaires adaptés ? Au-delà de la question des effectifs, sont-ils capables de réagir rapidement ou, à l’inverse, de s’accorder du temps quand une investigation le requiert, et de mobiliser les experts indispensables aux enquêtes ?

M. Jérôme Notin. Je les crois en mesure, par le biais de l’ANSSI, de saisir les experts les mieux à même de les seconder. Ils disposent en outre du meilleur policier de France en matière de rançongiciel, en sa qualité d’assistant technique du parquet.

En revanche, les outils juridiques pourraient être améliorés. Nous cherchons à créer un groupe de travail réunissant des représentants des ministères de la Justice et de l’Intérieur, des opérateurs, des associations de victimes et des fédérations professionnelles, pour traiter de l’hameçonnage. Nous estimons les tentatives d’hameçonnage insuffisamment prises en compte, sans doute faute d’un outil législatif adapté, alors que cette forme de cyberdélinquance sert de point de départ à nombre d’autres attaques.

De faux sites de vente de gel et de masques ont proliféré en pleine pénurie, pendant le premier confinement. On connaît l’extraordinaire capacité d’adaptation des cybercriminels. Dès le soir du 16 mars, notre plateforme a constaté une multiplication par cinq des tentatives d’hameçonnage, dénoncées par des victimes cherchant auprès de nous de l’aide. Nous avons formé à leur répression la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF), qui ne pouvait hélas que couper l’accès à ces plateformes frauduleuses. Dix nouvelles autres les remplaçaient aussitôt. La justice ne s’est pas saisie de ces affaires, faute d’un outil législatif permettant d’identifier les coupables. La loi a évolué depuis. Mais cette absence d’une législation adaptée pose un réel problème aux collectivités territoriales et aux entreprises victimes de tentatives de récupération des mots de passe en vue d’installer un rançongiciel qui bloquera leur activité. Empêcher les cybercriminels de récupérer des données, personnelles, professionnelles ou institutionnelles marquerait un formidable bond en avant, en limitant considérablement leurs capacités de nuisance.

M. Philippe Latombe, rapporteur. Les collectivités territoriales réservent-elles toujours un budget à la protection contre la menace cyber ou n’y songent-elles qu’après coup ? Les intégrateurs, souvent sélectionnés par appel d’offres, jouent-ils bien leur rôle ? Angers, par exemple, souffre encore des conséquences d’une attaque, au point qu’elle ne parvient plus à gérer ses horodateurs sur la voie publique.

M. Jérôme Notin. Je me permettrai de remarquer qu’il ne suffit pas à une collectivité territoriale de prendre d’entrée de jeu en compte la cybercriminalité pour y échapper.

Il en va des collectivités territoriales comme des entreprises : leur maturité sur le sujet apparaît corrélée à leur taille. Les plus grandes ont bien conscience du risque, notamment grâce à l’ANSSI. Ce n’est toutefois pas le cas des petites ou moyennes collectivités territoriales, qui ne songent parfois même pas à protéger les données de leurs administrés, n’imaginant pas que celles-ci puissent intéresser les cybercriminels.

Le premier confinement a contribué à une prise de conscience liée à la quantité de collectivités territoriales visées par des rançongiciels. Leurs victimes sont passées de la sixième place sur notre liste de demandes d’assistance en 2019 à la première aujourd’hui. Ces demandes d’assistance ont augmenté de plus de moitié de la part des collectivités territoriales, contre une hausse d’un quart seulement de la part des entreprises et un recul de 85 % de la part des particuliers. Nous assistons donc à un déplacement de la cybercriminalité.

L’été dernier, lors d’une visioconférence, un employé d’une collectivité territoriale m’a remercié, car notre campagne de sensibilisation sur France Télévisions avait enfin convaincu les élus, auxquels il réclamait des fonds depuis des années, de lui allouer un budget cybersécurité.

Une première prise de conscience a donc eu lieu, qu’on ne doit peut-être pas tant à nos actions qu’à la quantité de victimes de cyberattaques. Il nous reste encore du travail et nous nous y attelons. Le plan de relance va permettre d’élever le niveau de sécurité des collectivités territoriales. On ne peut que s’en réjouir.

M. Philippe Latombe, rapporteur. Estimez-vous suffisantes les mesures du plan de relance en matière de cybersécurité ?

M. Jérôme Notin. Les intégrateurs ne jouent pas le jeu : ils n’assurent qu’un service minimum au moindre coût, afin d’obtenir le marché. Ils ne prennent pas assez d’initiatives, alors que les collectivités territoriales sont en droit de les consulter avant la rédaction d’un dossier technique. Ils devraient inciter celles-ci à prendre dès le départ en compte la cybersécurité, plutôt que de l’ajouter au projet fini à la manière d’une rustine. Je les estime moralement tenus d’alerter les élus sur ce sujet. Il en coûtera à ceux-ci ce que vaut une assurance prémunissant contre les catastrophes.

Le plan de relance prévoit d’allouer 136 millions d’euros à l’ANSSI, dont une partie bénéficiera aux collectivités territoriales, dans la mesure où cette somme nous permettra, entre autres, de mieux sensibiliser à la cybersécurité celles de petite taille. Nous nous efforcerons en 2021 de répondre au plus près à leurs besoins en adaptant à leur intention nos contenus. Nous avons d’ailleurs déjà participé l’an dernier, avec la banque des territoires, à une campagne de sensibilisation des élus au moyen d’un guide. Nous y avons ajouté quatre vidéos illustrant la cybercriminalité par des exemples concrets, comme l’inondation d’un stade de foot suite à une intrusion sur un réseau, ou le dérèglement de feux de circulation obligeant à poster des gendarmes à chaque carrefour.

M. Philippe Latombe, rapporteur. La somme que vous évoquez servira-t-elle directement à protéger les collectivités territoriales ou à dresser une liste de leurs besoins, qui les obligera ensuite à investir ? Beaucoup de collectivités territoriales s’attendent à recevoir de quoi financer leur cybersécurité sans pour autant savoir comment s’attaquer au problème.

M. Jérôme Notin. Nous allons leur indiquer leurs failles et les moyens d’y remédier, sous le pilotage de l’ANSSI. Notre groupement d’intérêt public (GIP) a la chance d’être présidé par M. Guillaume Poupard, le directeur général de l’ANSSI, qui a mis sur pied notre dispositif avec le ministère de l’Intérieur. Nous collaborons au quotidien avec l’ANSSI, à un niveau à la fois stratégique et opérationnel.

M. Philippe Latombe, rapporteur. Les petites et moyennes entreprises (PME) et les très petites entreprises (TPE) se soucient-elles aujourd’hui suffisamment de cybersécurité ?

M. Jérôme Notin. Les grandes entreprises s’en préoccupent assez, grâce à l’ANSSI et à la loi de programmation militaire, par exemple, mais pas les PME. Leurs patrons, à l’instar des élus que j’évoquais tout à l’heure, pensent ne présenter aucun intérêt pour les cybercriminels, puisqu’ils ne possèdent ni fichier clients ni propriété intellectuelle. Les événements de 2020 ont pourtant démontré que la menace cyber touchait tout le monde. Bloquer le réseau d’une PME prend quelques heures à un cybercriminel, qui en retire plusieurs milliers d’euros. Même si peu d’entreprises « passent à la caisse », et tant mieux, une telle opération reste rentable.

Nous œuvrons main dans la main avec des syndicats et des fédérations professionnelles, la confédération des petites et moyennes entreprises (CPME) et le mouvement des entreprises de France (MEDEF). Cette menace réelle n’est toutefois pas encore suffisamment prise en compte. Reconnaissons que notre message manque d’attrait : nous suscitons des craintes et incitons à la dépense. Ceci dit, une telle dépense prépare l’avenir. Nous devons songer que, si la France s’améliore en matière de cybersécurité par rapport à ses voisins, alors les criminels cibleront d’autres pays.

M. Philippe Latombe, rapporteur. Le rôle de sous-traitant de grands groupes assumé par certaines TPE facilite-t-il la diffusion par le haut d’une culture de la cybersécurité ? Je songe à Airbus adressant par exemple à une TPE de Vendée, chargée de fabriquer un morceau d’aile, des plans protégés, amenant ainsi l’entreprise à se moderniser et, du même coup, à se prémunir des cyberattaques.

Pourriez-vous nous communiquer un ordre de grandeur des entreprises victimes de cyberattaques qui, indépendamment de leur taille, paient les rançons ?

M. Jérôme Notin. Quelques grandes entreprises ont bel et bien pris des initiatives hélas encore limitées. La filiale aéronautique et spatiale a lancé l'initiative vertueuse d’Aerospace Valley, à l’impact réel, pour aider les PME critiques de la chaîne d’approvisionnement à mieux se sécuriser.

Cette filière a par ailleurs créé une communauté de confiance : dès lors qu’un des grands donneurs d’ordre a validé le niveau de sécurité d’un prestataire, les autres n’ont plus à s’en préoccuper.

J’ai discuté récemment avec un ami responsable de la sécurité des systèmes d’information (RSSI) chez un intégrateur. Depuis un an, ses tâches se limitent à remplir des dossiers de conformité cyber pour les commerciaux. Chaque donneur d’ordre souhaite en effet désormais qu’un tel dossier accompagne la moindre proposition, comme aux États-Unis. Mon ami RSSI en a perdu de vue son métier.

Songeons aussi au ministère des armées, membre de notre dispositif depuis quelques mois. Il a bien compris que la base industrielle de la technologie de défense constitue la clé de la sécurité et qu’il doit accompagner les entreprises concernées via la direction du renseignement et de la sécurité de la défense (DRSD). Même les PME détentrices d’un savoir-faire spécifique n’ont pas toujours conscience des risques contre lesquels elles doivent se protéger.

M. Philippe Latombe, rapporteur. Le grand public est-il aujourd’hui conscient de ce que représente la menace cyber ? Une culture s’est-elle développée à tous les échelons de la société ?

M. Jérôme Notin. L’ANSSI et les ministères de l’intérieur, des finances, de la justice et des armées, à l’origine de notre dispositif, nous ont confié la mission de lancer une grande campagne de sensibilisation, sur le modèle de celle de la sécurité routière. Je ne doute pas qu’un jour, nous la mènerons à bien. Il ne nous manque que des moyens financiers, mais il suffit d’une volonté politique pour les débloquer.

Il est impératif de se rendre compte que, si le numérique apporte de nombreux bénéfices, son usage requiert par ailleurs une grande vigilance.

Depuis plusieurs mois, des « cybercrapules » appellent des particuliers, soi-disant pour les accompagner dans la création de leur compte professionnel de formation. Leur objectif est en réalité de récupérer le mot de passe associé au profil de la victime pour vider ce compte à l’aide de complices. Pour gagner la bataille, il suffirait que les Français comprennent qu’aucun organisme public ne les contactera jamais en leur demandant leur mot de passe. Le remboursement des victimes a coûté douze millions d’euros à l’État via la Caisse des dépôts et consignations (CDC). La justice s’est saisie de l’affaire, cependant il suffirait d’investir un peu pour éviter d’entrer dans des frais de cet ordre.

Dans le même esprit, depuis des années, la fraude à la réparation informatique coûte des millions d’euros tous les mois aux Français qui croient leur ordinateur infecté par un virus, parce que s’ouvre à l’écran une fenêtre les orientant en réalité vers un centre d’appels vendant de faux antivirus. Je suis convaincu que chaque euro investi dans des actions de sensibilisation en rapporterait à terme plusieurs dizaines.

M. Philippe Latombe, rapporteur. Nous avons auditionné la semaine dernière l’Imprimerie nationale et ATOS au sujet de l’identité numérique, à laquelle pourrait servir de réceptacle la carte d’identité électronique équipée d’une puce. Un code secret lui sera associé, comme à une carte bancaire. Selon vous, nos concitoyens sont-ils suffisamment bien informés des cybermenaces pour éviter tout vol de leur identité ?

M. Jérôme Notin. La CDC a réagi à l’incident relatif au compte professionnel de formation en imposant, en préalable à toute commande de formation, une activation du compte Franceconnect, c’est-à-dire une authentification numérique par un organisme public. Cette excellente réponse technique, opérationnelle, devrait permettre de résoudre les problèmes d’hameçonnage. Reste encore à la généraliser rapidement.

Les cybercriminels, redoutablement imaginatifs, innovent en permanence. En ce moment circule sur les réseaux sociaux une chaîne de messages incitant à leur diffusion auprès d’autres utilisateurs. Leurs auteurs laissent espérer à leurs destinataires que ceux-ci remporteront des entrées gratuites dans un parc d’attractions fêtant son anniversaire, alors qu’ils ne cherchent en réalité qu’à collecter des données personnelles. Beaucoup de jeunes mordent à l’hameçon dans l’espoir de remporter ces invitations et de les offrir à leurs proches. Quelques mois plus tard leur parvient un e-mail émanant en apparence, mettons de la Fnac, de fait très active dans la lutte contre ce type d’arnaques. Ce message, récapitulant les données qu’eux-mêmes ont préalablement communiquées, leur signale la livraison d’une commande qu’ils n’ont bien sûr jamais passée. La possibilité leur est laissée d’en obtenir le remboursement par un simple clic conduisant à une page aux couleurs de la Fnac où leur est alors demandé leur numéro de carte bancaire. Voilà comment les cybercriminels enrichissent progressivement leurs fichiers.

Le recours à l’identité numérique résoudra certains problèmes mais pas celui-là, par exemple.

M. Philippe Latombe, rapporteur. Une anecdote me revient à l’esprit : une chaîne de livraison de repas à domicile, en guise de poisson d’avril, a envoyé des « factures » de livraison de pizzas d’un montant de près de 450 euros. Les clients ayant cru à un piratage vous l’ont-ils signalé ?

M. Jérôme Notin. Non, je n’étais pas au courant.

M. Philippe Latombe, rapporteur. Je m’interrogeais sur l’existence d’un réflexe qui amènerait à vous déclarer systématiquement les situations anormales.

M. Jérôme Notin. En tant que dispositif d’assistance, nous avons pour vocation de fournir de l’aide. Beaucoup déclarent auprès de nous les arnaques dont ils sont victimes. J’y vois l’une des forces de notre dispositif. Ceci étant, comme nous n’employons en tout et pour tout que treize personnes, nous ne communiquons pas trop sur cet aspect de notre rôle. Nous formons une équipe trop réduite pour échanger en direct avec les 1,2 million d’utilisateurs qui se sont connectés à notre plateforme en 2020. Ce chiffre correspond d’ailleurs à une véritable explosion de la fréquentation de notre site pendant le confinement. Quand la forme de cybermalveillance à laquelle nos usagers ont été confrontés n’a pas encore été répertoriée par nos services, ils peuvent la signaler par un message « JNPT » (je n’ai pas trouvé). C’est ainsi que nous avons eu vent des arnaques au compte professionnel de formation. Nous nous sommes rapidement saisis du problème avec la CDC, qui opère la plateforme de gestion de ces comptes. Cependant, les grands sites privés de commerce ne prennent pas toujours aussi rapidement les devants. Certains ne traitent pas correctement la fraude.

La Française des jeux nous a indiqué que, depuis une dizaine d’années, des particuliers reçoivent un courrier les informant d’un gain à une loterie à laquelle ils n’ont jamais joué. La recrudescence récente du phénomène nous a incités à communiquer sur le sujet prochainement. Jusqu’à une personne sur cinq se laisse prendre en versant parfois des centaines de milliers d’euros à des « avocats » dans l’espoir de récupérer leur gain pourtant fictif.

Expliquer à l’ensemble de nos concitoyens qu’il n’est pas logique qu’ils donnent de l’argent pour percevoir une somme qu’ils auraient gagnée à un jeu auquel ils n’ont pas participé relève d’une action de sensibilisation restant encore à mener.

M. Philippe Latombe, rapporteur. Avez-vous des homologues dans d’autres pays d’Europe ? Si oui, coopérez-vous ? Disposent-ils d’outils qui vous manqueraient ?

M. Jérôme Notin. Nous n’avons pas d’homologues. Tous les États disposent d’une agence nationale équivalente de l’ANSSI et tous mènent des actions de sensibilisation auprès de l’ensemble des publics. En revanche, notre capacité à mettre en relation quasi immédiate des victimes avec des prestataires de proximité en mesure de les aider est unique au monde.

Nous sommes ainsi en mesure d’aiguiller presque tout de suite une collectivité territoriale, mettons en Vendée, vers une entreprise qui se chargera de réinstaller son système d’exploitation après avoir identifié la façon dont s’y sont introduits les attaquants. Je rappelle à ce propos qu’il importe de conserver des preuves des méfaits des cybercriminels avant d’y remédier.

Nous échangeons avec nombre de pays, francophones ou non, proches ou lointains, dans l’idée de leur fournir gratuitement notre outil sous licence libre, pour qu’ils reproduisent notre action sur leur territoire. Derrière notre plateforme œuvre tout un back-office qui, à l’aide d’un arbre de décisions, pose des diagnostics et fournit des conseils adaptés aux 45 formes de cybermalveillance que j’évoquais tout à l’heure. Nous proposons aujourd’hui plus de 400 conseils personnalisés. Nous menons presque au quotidien un travail d’adaptation et de reformulation en fonction de ce que nous rapportent les victimes via les messages « je n’ai pas trouvé ». Nous complétons régulièrement nos questionnaires et ajoutons de nouvelles formes de cybermalveillance à notre liste.

Les chiffres que nous mettons en avant, les retours de nos utilisateurs et les signalements auprès du parquet d’attaques que n’avaient même pas détectées les services du ministère de l’intérieur, parce que toutes les victimes ne portent pas plainte et qu’il faut de toute façon du temps, après un dépôt de plainte, pour analyser celle-ci et se rendre compte si tel phénomène est isolé ou non, prouvent l’intérêt de notre action. L’adoption d’une taxonomie commune et d’une même définition des incidents de sécurité nous apparaît comme une démarche tout à fait sensée.

Rendre disponible un outil sous forme de logiciel libre requiert un considérable travail, de documentation notamment. J’espère que nous aurons l’occasion de le mener à bien au cours des mois ou des années à venir.

M. Philippe Latombe, rapporteur. Auriez-vous une idée du nombre d’entreprises victimes de rançongiciels qui acceptent de payer ?

M. Jérôme Notin. On cite souvent des proportions allant de 20 à 30 %. Il doit être possible d’améliorer la situation en agissant sur les prestataires qui facilitent le paiement des rançons. Des réflexions sont menées par le Trésor public, le parquet et le ministère de l’intérieur pour leur compliquer la tâche.

J’ai conscience de former là un vœu utopique, mais il faudrait faire passer le message que, si plus personne ne paie de rançon, ce type d’attaque cessera, quitte à ce que les criminels recourent ensuite à d’autres formes de malveillance. En attendant, l’impact de leurs méfaits aura quand même été réduit.

M. Philippe Latombe, rapporteur. Pourriez-vous revenir sur le label que vous avez créé en précisant sa place dans l’écosystème de la cybersécurité ? Que garantit-il exactement ? En quoi se distingue-t-il des autres labels ? Apporte-t-il des assurances complémentaires ? Recoupe-t-il certaines certifications existantes ?

M. Jérôme Notin. Notre label a été créé pour garantir à la victime d’une cyberattaque que l’entreprise vers laquelle elle se tournera possède un niveau d’expertise technique en cybersécurité vérifié. Notre plateforme référence 1 000 prestataires de proximité, allant de petits commerces en régions, en mesure de réinstaller le système d’exploitation d’un particulier exposé à un incident de sécurité, à des Prestataires d’audit de la sécurité des systèmes d’information (PASSI) ou des Prestataires de détection d’incidents de sécurité (PDIS) qualifiés par l’ANSSI.

Quand nous avons créé ce label avec les représentants des prestataires de proximité, notre objectif consistait à garantir leurs compétences en cybersécurité aux PME qui auraient recours à eux. Nous avons établi un référentiel avec l’Association française de normalisation (AFNOR) en vue de réaliser un audit des prestataires. Cet audit se base sur une documentation, d’une part, de leurs réponses aux incidents de sécurité et, d’autre part, de leurs actions de sécurisation auprès de leurs clients. Un examen technique d’une vingtaine de minutes comportant 30 à 40 questions le complète. L’obtention du label dépend de la note obtenue.

Les représentants de la profession nous ont signalé la nécessité d’évaluer leur capacité à sécuriser des systèmes, au-delà de leur aptitude à gérer les incidents. Nous avons ainsi identifié sur l’ensemble du territoire 55 entreprises en mesure d’éviter aux PME et aux collectivités territoriales de tomber dans le piège d’une cyberattaque. Nous ambitionnons de faire passer leur nombre à 200 voire à 400. Nos entreprises et nos collectivités territoriales doivent pouvoir s’appuyer sur un réseau de prestataires de confiance capables de leur fournir une solution rapide aux incidents, mais aussi d’élever globalement le niveau de sécurité cyber.

M. Philippe Latombe, rapporteur. Les entreprises se prémunissent-elles suffisamment contre les risques de cyberattaques ? Que proposent en ce domaine les compagnies d’assurance et qu’en coûte-t-il ? Utilisent-elles les protections contre la cybercriminalité de la même manière qu’elles se sont servies des portes blindées, c’est-à-dire comme d’un levier de diffusion, en l’occurrence d’une culture de la cybersécurité ? Autrement dit : les compagnies d’assurance refusent-elles de couvrir les entreprises et collectivités territoriales mal protégées ? Leur imposent-elles des tarifs supérieurs ?

M. Jérôme Notin. Les compagnies d’assurance disposent là d’un formidable levier. Nous nous réjouissons d’ailleurs de compter la fédération française de l’assurance parmi les membres fondateurs de notre GIP. Trois assureurs nous ont rejoints depuis. Nous travaillons avec eux sur la partie « observatoire » du dispositif. Il leur faut des chiffres précis pour concevoir des polices d’assurance efficaces.

Des progrès restent à réaliser, tant de l’offre elle-même que de l’adhésion des victimes potentielles. Nous avons besoin, d’un côté, d’une offre cyber adaptée au marché et, de l’autre, de clients conscients que les assureurs ne couvriront que les risques résiduels. Notre label intéresse de ce fait aussi les assureurs, désireux de s’appuyer sur des prestataires capables d’évaluer le niveau de cybersécurité de leurs clients. Une assurance cyber bien conçue ne coûte que quelques centaines d’euros à une PME.

Nous demandons en somme aux assureurs de nous aider à les aider. Nous ignorons quels chiffres au juste ils souhaitent connaître. Nous œuvrons en outre avec eux à déterminer comment communiquer de manière anonyme sur le coût des cyberattaques et le temps d’immobilisation potentiel des systèmes pour qu’une offre adaptée voie le jour et que les entreprises se prémunissent de leur côté contre les risques les plus courants.

M. Philippe Latombe, rapporteur. Les assurances tentent-elles, non sans opportunisme, de conquérir un nouveau marché ou se rendent-elles compte qu’elles risquent de perdre des clients si elles s’avèrent incapables de protéger les entreprises de leur portefeuille, à présent numérisées et, partant, plus vulnérables, car exposées à des risques jusque-là inexistants ?

M. Jérôme Notin. Leur démarche participe sans doute des deux approches que vous évoquez, et peut-être plus de la première mais, en un sens, peu importe, d’autant que la distinction n’apparaît pas nette.

Le marché des polices cyber représente 40 millions d’euros, soit une part infime du marché des assurances. L’apparition, dans les prochaines années, de véhicules autonomes entraînera une diminution du chiffre d’affaires des assureurs, ces véhicules présentant des risques d’accident moindres, sauf, évidemment, si des pirates prennent le contrôle de l’ensemble du système de pilotage. Il semble donc logique que les assureurs compensent le manque à gagner sur les polices d’assurance automobile en proposant de couvrir les risques cyber. Tant qu’on observe une adéquation entre la nouvelle offre et les besoins, on peut considérer cette évolution comme vertueuse.

Il faut en tout cas que des assureurs couvrent le risque cyber, quelle que soit leur motivation. J’espère que notre observatoire nous permettra sous peu de fournir le nombre exact des PME en France incapables de se relever d’attaques cyber. Le maire d’Angers a eu l’intelligence de communiquer sur la situation de sa ville, mais il n’est pas le seul confronté à ce type de problème.

Un directeur général dans une commune importante me confiait récemment que, depuis une attaque en novembre, son service ne fonctionnait plus qu’au cinquième de sa capacité nominale, l’empêchant de servir les administrés. La création de polices d’assurance adaptées pourrait remédier à de telles difficultés en imposant par exemple de réaliser des sauvegardes déconnectées.

M. Philippe Latombe, rapporteur. L’incendie d’OVH a montré que bien peu d’entreprises et de collectivités hébergées sur leur cloud disposaient d’un plan de reprise d’activité (PRA) ou d’un plan de continuité d’activité (PCA), pourtant à la base de toute protection d’un système informatique. Cet incident a contraint certains hôpitaux incapables de se passer de l’informatique à fonctionner en mode dégradé.

Les organisations professionnelles, dont certaines font partie de votre GIP (la CPME et le MEDEF), relaient-elles aujourd’hui l’information auprès de leurs adhérents ? La fonction publique, dans son versant hospitalier décentralisé notamment, est-elle suffisamment avertie du risque cyber ? A-t-elle assez conscience de sa vulnérabilité pour vous solliciter afin de prendre les mesures adéquates ?

M. Jérôme Notin. L’actualité a montré l’absence totale de scrupules des cybercriminels, n’hésitant pas à entraver le fonctionnement d’un établissement de santé, quitte à empêcher le personnel soignant d’assurer sa mission, à la seule fin de récupérer de l’argent. Cela, les hôpitaux l’ont compris.

Le problème qui se pose est celui de la dette technique des collectivités territoriales, à présent tenues de compenser leur manque d’investissement en cybersécurité. Tant qu’elles n’y seront pas parvenues, elles resteront vulnérables. Par chance, la France dispose d’une agence nationale de la santé, et l’ANSSI réalise un travail fabuleux d’accompagnement après les incidents. Je garde confiance en notre capacité à rattraper rapidement notre retard, grâce au plan de relance qui s’est concentré sur le domaine hospitalier.

Dès le début du premier confinement, les fédérations professionnelles et le MEDEF nous ont contactés, parce que leurs adhérents ne savaient pas comment mettre en place le télétravail de manière sécurisée. Nous leur avons très vite fourni des conseils dans un article largement relayé sur la mise en place du télétravail en situation de crise.

En tant que plateforme « .gouv.fr », nous nous sommes octroyé le droit, par souci de pragmatisme, de rappeler, en cas d’utilisation d’un ordinateur personnel à des fins professionnelles, quelques principes de base, tels que la mise à jour d’un antivirus, l’installation de pare-feu locaux ou d’un VPN.

Le MEDEF, la CPME, la fédération Syntec et la fédération des entreprises du bureau et du numérique (EBEN) se sont empressés de relayer cet article, destiné à l’origine aux patrons de PME, preuve d’une véritable demande de leur part. La CPME, qui vient d’engager quelqu’un d’extrêmement volontaire en matière de cybersécurité, se montre depuis longtemps très active dans notre dispositif.

Les fédérations assument donc leur rôle. Reste à savoir si leurs adhérents saisissent bien le message.

Mon contact à la CPME m’a confié que, lorsque, deux ou trois ans plus tôt, il proposait aux adhérents locaux des formations à la cybersécurité, celles-ci ne suscitaient aucun intérêt. Aujourd’hui, à l’inverse, la cybersécurité apparaît bien comme le premier sujet de préoccupation des patrons de PME.

La prise de conscience du risque s’améliore, or elle marque une première étape indispensable avant d’entreprendre le nécessaire pour s’en prémunir.

M. Philippe Latombe, rapporteur. La formation des experts en cybersécurité et des RSSI vous semble-t-elle aujourd’hui d’un niveau satisfaisant ?

M. Jérôme Notin. Les formations actuellement dispensées en France, en informatique en général et en cybersécurité en particulier, sont d’un très bon niveau. Les écoles produisent des diplômés aux profils parfaitement adaptés aux besoins. Ceci dit, ils sont loin d’être assez nombreux.

Le manque ne porte pas seulement sur les ingénieurs aux compétences pointues mais aussi sur les techniciens. L’idée reste prégnante en France qu’un métier technique est « sale ». Il nous faudrait plus de personnel intermédiaire de niveau bac +2 qui mette les mains sur le clavier pour opérer directement les infrastructures.

Les écoles d’ingénieurs, qui préparent leurs étudiants à devenir chefs de projet après deux ou trois ans de carrière, leur annoncent qu’ils oublieront dès lors l’aspect technique de leur métier, ce que je trouve scandaleux. Chacun doit pouvoir continuer à s’occuper de questions techniques, quel que soit son âge. Prétendre qu’il faudrait renoncer à la technique pour devenir RSSI n’a pas de sens et relève selon moi d’une déformation française, dégradante, qui plus est, pour l’image de la technique. D’autant que celle-ci correspond quand même à un besoin fondamental de l’entreprise, au même titre que sa stratégie ou son organisation. Il est nécessaire que des personnes compétentes administrent les réseaux au quotidien et vérifient les règles des pare-feu.

M. Philippe Latombe, rapporteur. Selon vous, qui devrait former des techniciens ? Des instituts universitaires de technologie (IUT) ?

M. Jérôme Notin. On pourrait valoriser les brevets de technicien supérieur (BTS). Ayant moi-même quitté l’université depuis un certain temps, j’ai quelque peu perdu de vue l’organisation des études supérieures. Je songeais à des formations de niveau bac+2 ou bac+3. En France perdure une culture de l’élitisme, qui explique ce défaut de personnel qualifié de niveau intermédiaire.

Il faut aussi se dire qu’un ingénieur peut encore « s’amuser » à 45 ans en s’occupant de technique. L’état d’esprit qui prévaut, et que je ne suis malheureusement pas en mesure de changer, me paraît dommageable. Des étudiants frais émoulus d’une école d’ingénieurs m’expliquaient, voici quelques années, qu’un emploi de consultant leur semblait plus noble qu’un poste d’administrateur de réseaux. Je ne partage pas ce point de vue.

M. Philippe Latombe, rapporteur. Que pensez-vous du futur campus cyber ? Comment concevez-vous son rôle et son futur impact ? Le voyez-vous comme une belle vitrine à même d’attirer des talents, comme un dispositif efficace qu’il conviendra de généraliser ? Le jugez-vous trop centralisé, même s’il est prévu qu’il essaime en région ? Faudrait-il le dupliquer au niveau européen ?

M. Jérôme Notin. J’y vois avant tout une opportunité extraordinaire. Sur le papier au moins, il m’apparaît comme un dispositif fabuleux. Réunir en un même lieu les acteurs industriels, universitaires, étatiques, les start-up et les investisseurs, permettrait à la France de réaliser, en matière de cybersécurité, les formidables progrès dont elle a besoin.

Cela étant, il faut, pour que ce campus réussisse, que tout le monde joue le jeu, ce qui ne s’annonce pas simple. Michel Van Den Berghe, qui porte le projet, parvient aujourd’hui, ce dont je me réjouis d’ailleurs, à faire passer à de grands groupes industriels concurrents le message qu’ils travailleront ensemble à des projets communs.

De grands groupes industriels du secteur de la défense mettent pour l’heure au point, indépendamment les uns des autres, des dispositifs de sécurité spécifiques destinés à renforcer un système d’exploitation commun. S’ils mutualisaient leurs ressources en personnel, en s’adjoignant le concours d’un universitaire, autrement dit s’ils œuvraient de concert, ils gagneraient en efficacité. Or tel est l’objectif du campus.

Notre GIP aura la chance de rejoindre ce campus. Notre observatoire de la menace se construira en son sein. Si j’ai pleine confiance en ce projet, je doute quand même un peu de la capacité des industriels à travailler ensemble. L’ANSSI sera heureusement très présente. Il faudra peut-être plus de temps qu’on ne l’imagine aujourd’hui à ce cyber campus pour porter ses fruits.

Je vous livrerai mon avis personnel sur ses déclinaisons régionales. Il existe déjà de remarquables initiatives à Saint-Quentin-en-Yvelines, dans le Nord et la région Provence-Alpes-Côte d’Azur (PACA). Des déclinaisons régionales du campus réalisant un maillage du territoire permettraient de franchir une étape cruciale.

Nous répétons depuis tout à l’heure que les principales victimes de la cybermalveillance ne sont autres que les PME et les collectivités territoriales, par nature ancrées dans les territoires. Disposer dans le tissu économique local de structures en mesure de déployer des technologies cyber adaptées nous donnera les moyens de réaliser en cinq ans des progrès tels que 2021 nous apparaîtra, avec le recul, comme une période moyenâgeuse en matière de cybersécurité.

M. Philippe Latombe, rapporteur. Souhaiteriez-vous aborder d’autres sujets que nous aurions omis ?

M. Jérôme Notin. Nous avons consacré beaucoup d’énergie à la rédaction de notre rapport d’activité, que nous allons publier dans quelques jours. Fruit d’un travail collectif, il récapitule des chiffres relatifs à la cybermenace, son analyse et ses tendances les plus récentes. N’hésitez pas à consacrer un peu de temps à sa lecture. J’invite enfin ceux qui assistent à cette audition à nous suivre sur les réseaux sociaux et à s’inscrire à notre lettre d’information.

M. Philippe Latombe, rapporteur. Pourriez-vous nous faire parvenir ce rapport ? Nous l’ajouterons en annexe et disposerons ainsi de plus amples éléments pour nourrir notre réflexion.

M. Jérôme Notin. Je n’osais pas vous le proposer, mais je vous le transmettrai avec plaisir.

M. Philippe Latombe, rapporteur. Je vous souhaite bon courage pour la création de l’observatoire, qui devrait en effet permettre de mieux suivre l’évolution de la cybermenace d’un point de vue aussi bien qualitatif que quantitatif.

Audition, ouverte à la presse, de M. Guillaume Vassault-Houlière, président-directeur général et cofondateur, et Mme Rayna Stamboliyska, vice-présidente en charge des affaires publiques et institutionnelles, de Yes We Hack (8 avril 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Nous auditionnons aujourd’hui M. Guillaume Vassault-Houlière, président-directeur général et cofondateur, et Mme Rayna Stamboliyska, vice-présidente de la gouvernance et des affaires publiques, de Yes We Hack.

Yes We Hack est une plateforme de mise en relation d’entreprises avec des hackers éthiques, créée en 2013. Spécialiste de la prime aux bogues (ou bug bounty), c’est-à-dire la chasse aux vulnérabilités, elle regroupe la première communauté européenne d’experts en cybersécurité.

Le gouvernement a récemment fait appel à Yes We Hack préalablement au lancement de l’application TousAntiCovid, qui portait à l’origine le nom de StopCovid.

J’aimerais que vous nous présentiez Yes We Hack, son actualité, son mode de fonctionnement, son processus de sélection de hackers et ses relations avec sa clientèle d’entreprises. Entretenez-vous des relations commerciales régulières avec des acteurs publics tels que l’État, les collectivités territoriales ou les hôpitaux ? Comment appréhendent-ils les enjeux de sécurité numérique et leurs solutions ? Manifestent-ils de l’intérêt pour le type d’offres que vous proposez ?

Je souhaiterais ensuite prendre du champ par rapport à la cybersécurité proprement dite. Le gouvernement prévoit d’y consacrer des moyens renforcés dans sa stratégie nationale « cyber ». Comment percevez-vous l’action des pouvoirs publics dans ce domaine ? Que pensez-vous des initiatives européennes, et notamment de la stratégie « cyber » présentée par la Commission européenne, ou encore de la révision envisagée de la directive Network and Information System Security (NIS) ?

À l’approche de la présidence française de l’Union européenne, à compter du 1er janvier 2022, il me semble important d’avoir les idées claires sur les priorités à défendre en la matière.

Quant à la diffusion d’une culture cyber au sein de la société, quel regard portez-vous sur le niveau de sensibilisation, aussi bien des entreprises et des administrations publiques, dont les collectivités territoriales, que des citoyens ? J’aimerais en outre aborder la formation aux compétences cyber, alors même qu’un campus cyber s’apprête à voir le jour avec l’appui, entre autres, de l’agence nationale de la sécurité des systèmes d'information (ANSSI). Comment la France se positionne-t-elle par rapport à ces enjeux, comparée à d’autres pays ? Devrions-nous compléter notre offre de formation dans certains segments en particulier ? Nous resterait-il d’éventuelles lacunes à combler ?

M. Guillaume Vassault-Houlière, président-directeur général et cofondateur de Yes We Hack. Je reviendrai sur l’identité de Yes We Hack, sa coopération avec les ministères et institutions publiques, son vécu de la crise sanitaire et les moyens par lesquels nous incitons à la mise en place d’une cybersécurité efficace à l’échelle nationale, en démystifiant les pirates ou hackers, en réalité des passionnés d’informatique d’une grande compétence ne demandant qu’à contribuer à l’amélioration de la cybersécurité.

Yes We Hack se présente aujourd’hui comme la première plateforme de bug bounty d’Europe. Nous fédérons 22 000 hackers présents dans 168 pays, ce qui nous permet de traiter les demandes de clients de tous types dans une trentaine de pays. Parmi notre clientèle figurent des entreprises connues comme BlaBlaCar ou Deezer et d’importantes banques asiatiques. Je ne suis bien sûr pas autorisé à toutes vous les citer. Nous disposons de bureaux en Suisse, à Munich et à Singapour.

Surtout présents en Europe et en Asie, nous employons près de cinquante personnes dans le monde entier, dont 40 % de femmes : une proportion dont nous sommes très fiers. Forte de sa croissance à trois chiffres et de sa capacité à exporter ses activités, notre start-up, qui ne mérite de fait peut-être plus cette dénomination, dispose d’une excellente résilience opérationnelle grâce à la diversité de notre communauté, en mesure de communiquer dans une multiplicité de langues et de se confronter aux technologies les plus diverses.

Nos clients font d’abord appel à nous pour tester des applications web ou mobiles du quotidien, quoique les demandes relatives aux objets connectés et aux voitures autonomes aient explosé. La mise en évidence de failles de sécurité à l’intérieur des périmètres soumis à nos tests donne lieu au versement de primes s’échelonnant de 50 à 15 000 euros, selon la criticité du bogue, une fois celui-ci validé par nos propres services ou par nos clients, selon la prestation pour laquelle ils optent.

Notre stratégie à l’international se consolide peu à peu. Il convient de le souligner. Nos effectifs devraient atteindre une centaine de personnes d’ici la fin de l’année, conformément à notre volonté d’accélérer notre développement. Cinq plateformes, essentiellement américaines, dominent aujourd’hui le marché de la chasse aux bogues. Nous avons la chance qu’existe en Europe une plateforme comme Yes We Hack. Nous ambitionnons de nous hisser, pas à pas, parmi le peloton de tête.

Nous avons travaillé sur StopCovid mais aussi sur la messagerie interministérielle Tchap pour améliorer sa transparence et sa fiabilité. Notre modèle, d’une grande agilité et d’une remarquable efficacité, apparaît parfaitement adapté au monde actuel. On dénombre environ quatre millions de postes en cybersécurité non pourvus à l’échelle de la planète. Nous sommes en mesure de mettre à pied d’œuvre jusqu’à des milliers de chercheurs pour qu’ils procèdent à des tests sur des applications en continu.

Chacun sait que les systèmes d’information actuels ne sont plus figés. Il arrive que les mises en production suivent une cadence horaire plutôt qu’annuelle comme jadis. Nous travaillons aussi bien avec des banques ou des assureurs que des acteurs numériques impliqués dans la défense ou encore des concepteurs d’objets connectés.

Un besoin de transparence et de confiance se fait jour chez les citoyens et les entreprises, et pas seulement en France. La cybersécurité constitue un outil de marketing. Il ne faudrait pas que son coût rebute, vu qu’elle assure une formidable impulsion aux affaires. En tant que Français, en tant qu’Européens, nous défendons des valeurs démocratiques, en matière de souveraineté et de données notamment, qui s’exportent à merveille. Le succès de notre plateforme en apporte la preuve. L’expertise et la qualité opérationnelle de Yes We Hack bénéficient aujourd’hui d’une reconnaissance mondiale. Nous poussons d’ailleurs nos clients à relayer notre promotion.

Parrot nous a récemment accordé sa confiance pour que nous assurions la sécurité de ses données et la transparence de son code. De plus en plus de gouvernements comprennent que notre communauté de hackers, autrement dit de passionnés, se définit, selon le manifeste du hacker publié en 1986, par l’envie d’apprendre et de se remettre en cause, soi et son environnement, afin d’améliorer celui-ci par souci du bien commun.

Nous avons transposé ces valeurs à l’échelle industrielle partout dans le monde et en tirons une immense fierté. Un nombre croissant d’États s’efforce de protéger notre communauté, comme le montrent bien certains rapports de l’organisation de coopération et de développement économiques (OCDE). Nous souhaitons qu’on lui donne les moyens de s’exprimer et d’étendre sa philosophie de vie à tous les domaines du quotidien pour améliorer celui-ci en lui apportant plus de transparence.

La traçabilité de l’argent joue un rôle notable dans notre sélection des hackers. Les primes leur sont versées par un prestataire bancaire, dans le respect des normes de lutte contre le terrorisme et le blanchiment d’argent, ce qui nous différencie d’ailleurs de nos homologues américains, au même titre que le Règlement général sur la protection des données (RGPD). Yes We Hack utilise aujourd’hui dans ses infrastructures des technologies européennes. Nous prônons notre savoir-être européen avec succès jusqu’aux États-Unis.

La prise de conscience de l’importance de la cybersécurité en France assure notre développement à l’échelle nationale. Nous améliorons la sécurité des outils numériques du quotidien qui gèrent des quantités de données, à la demande de nos clients, quels qu’ils soient. Nous répondons d’ailleurs à leurs demandes avec un égal sérieux, indépendamment de leur taille. Au final, tout le monde y gagne, les entreprises autant que les citoyens. Yes We Hack allie aujourd’hui une excellente qualité de service à une redoutable rapidité d’exécution.

Mme Rayna Stamboliyska, vice-présidente en charge des affaires publiques et institutionnelles de Yes We Hack. Les enjeux éminemment complexes et passionnants que vous avez esquissés dans votre introduction, M. le rapporteur, évoluent très rapidement. Ces derniers mois, de nombreux sujets sont revenus sur le devant de la scène, sous un éclairage différent d’il y a quelques années.

J’aimerais mettre en correspondance la vaste question de la définition de la souveraineté numérique avec la notion d’autonomie stratégique. Je me permettrai un trait d’esprit en vous annonçant que : « je suis venue vous parler d’Europe », à l’instar du président de la République en ouverture de son discours de la Sorbonne, voici quelques années. La souveraineté numérique française se joue aujourd’hui à l’échelle européenne et s’inscrit pleinement, selon notre point de vue, dans une démarche et une volonté d’autonomie stratégique européenne. Bien sûr, cette dernière notion évolue extrêmement vite.

Je me rappelle que les débats sur la souveraineté numérique tournaient, voici une dizaine d’années, autour de la gouvernance d’Internet. Une fracture se dessinait alors entre les approches technicistes occidentales et des conceptions plus centrées sur l’accès à l’information à l’Est. L’accès à la connaissance et à la liberté d’expression permises par le numérique sont ensuite revenues sur le devant de la scène, avant de céder la place aux préoccupations de surveillance liées aux révélations d’Edward Snowden en 2013 et 2014. Depuis, nous avons vécu, ou plutôt, survécu à la présidence de Donald Trump, durant laquelle se sont cristallisées des tensions géopolitiques d’une importance cruciale autour de questions d’économie stratégique, notamment sous son versant technologique. Le mandat de Donald Trump a donné un coup d’arrêt à un multilatéralisme que l’on croyait acquis, encore que la situation semble se débloquer dernièrement, depuis le changement d’équipe au pouvoir aux États-Unis.

Pendant que nous parlions de gouvernance du net et d’accès à la connaissance, cet objet à la fois diffus et précis que représentent les données a silencieusement transformé et refaçonné nos vies. Ces données, dans leurs multiples dimensions (personnelles ou ouvertes par exemple), sont d’abord apparues comme un nouvel or noir (« data is the new oil »), puis un nouveau terreau (« data is the new soil »), avant qu’on ne les qualifie de radioactives (« data is the new uranium »). Des acteurs sont en effet apparus, dont le modèle économique n’est autre que la prédation de données, notamment personnelles. Ils ont connu une croissance tellement gargantuesque qu’ils posent dorénavant un défi à la gouvernance au quotidien. Il nous semble primordial de garder en tête, quand on traite de souveraineté numérique, ce rapport de forces asymétrique, qui place en situation de vulnérabilité les individus mais aussi, de plus en plus, les administrations publiques et les entreprises.

Au vu de la complexité des enjeux interdépendants qu’elle implique, la question de la souveraineté numérique dépasse aujourd’hui le champ numérique traditionnel, des infrastructures et du web, pour toucher à la cybersécurité, à la neutralité du net, à la protection des données, à la lutte contre la désinformation, aux discours de haine, au multilatéralisme, à la fiscalité du numérique, aux technologies de rupture et à la transparence des algorithmes. Une telle conception de la souveraineté numérique correspond en tout cas à l’ambition que nous portons, à notre manière et à notre échelle, par la promotion d’une meilleure maîtrise du risque numérique, via la gestion des vulnérabilités.

La souveraineté numérique est partie intégrante de l’autonomie stratégique, qui dépasse quant à elle le modèle gaullien historiquement daté. Nous nourrissons une ambition claire : celle que la souveraineté française ne s’entende qu’en harmonie avec une souveraineté européenne. L’approche de la présidence française de l’Union européenne donne lieu à un alignement de planètes. J’en profiterai pour insister sur trois piliers constitutifs de la souveraineté numérique.

Le premier, politique, est aussi démocratique. Nos processus démocratiques apparaissent aujourd’hui des plus fragiles. Différentes mesures sont à l’étude pour protéger notre démocratie. Au-delà de cette approche conservatoire, il convient d’insuffler les valeurs démocratiques européennes aux initiatives technologiques et géopolitiques à venir. L’importance qu’attache Yes We Hack à la traçabilité des flux financiers relève de ce principe. Nous tenons au respect de la réglementation en matière de lutte contre le terrorisme et le blanchiment d’argent, en dépit de sa pesanteur souvent dénoncée. Elle traduit en effet nos valeurs, quitte à ce que d’aucuns voient parfois en elle un léger frein à la construction de notre offre de services. Nos valeurs d’éthique, de transparence et d’intégrité nous semblent un garde-fou nécessaire pour éviter que la construction d’un modèle européen ne tourne à la caricature d’une gestion d’entreprise à l’ancienne.

Le deuxième pilier de la souveraineté numérique, économique celui-là, touche à la prospérité commune. J’entends par là le fait de favoriser ou du moins de rendre possible une politique industrielle forte, qui capitalise sur la recherche scientifique. Le budget prévu par le fonds de relance européen complète dans cette optique d’autres instruments tels que le programme Horizon Europe ou DigitalEurope. La Commission présidée par Mme Ursula von der Leyen a fait du marché unique une priorité. Différentes initiatives plus ou moins avancées participent déjà à sa construction. En matière de cybersécurité, citons la démarche, soutenue par le Cyber Act, de certification européenne, en vue d’harmoniser le niveau de cybersécurité exigé dans l’Union européenne.

Le troisième et dernier pilier de la souveraineté numérique, pour le coup technologique, n’implique pas une autarcie technique mais vise à réduire notre dépendance, voire notre servilité actuelle vis-à-vis d’acteurs extra-européens, notamment américains. Différentes approches existent, qu’elles passent par la législation ou par la commande publique, sur les insuffisances de laquelle, tant au niveau national qu’européen, il faudra d’ailleurs absolument se pencher. La tâche ne s’annonçant pas simple, je souhaite bien du courage à la personne qui tentera de relever le défi. Sans doute avez-vous déjà, dans cette mission d’information, abordé la commande publique française. De plus en plus d’initiatives européennes, certes discrètes, s’attaquent heureusement au problème, autrement dit, cherchent un moyen d’implémenter un marché unique du numérique européen.

Le modèle européen d’une souveraineté numérique fondée sur ces principes doit apporter la preuve de sa fonctionnalité et de sa capacité à s’exporter, seule à même de garantir sa place dans le monde. Yes We Hack l’a démontré par son exemple.

C’est dans ce cadre à la fois civil et militaire qu’en tant qu’acteur français et européen de la cybersécurité, nous inscrivons notre exigence de maîtrise et de gestion du risque numérique. Celle-ci se décline en un versant relatif aux données et aux infrastructures, auquel s’ajoute une composante stratégique de préservation et de maîtrise des fournisseurs. La question transversale de la gestion des vulnérabilités constitue notre cœur de métier. Son importance s’est encore accrue depuis les récents travaux de l’OCDE auxquels nous nous sommes activement associés, mais aussi grâce à d’autres initiatives telles que l’Appel de Paris, auquel nous avons également pris part, dont M. l’ambassadeur Henri Verdier vous a déjà parlé.

Un grand nombre d’initiatives s’attellent à la question de la cybersécurité de manière à la fois constructive, défensive et innovante, en questionnant ce qu’il est possible de mettre en œuvre pour dépasser une vision protectrice de ce concept, dans une volonté d’innovation, comme cela a d’ailleurs été fait pour les données, voici dix ans.

M. Philippe Latombe, rapporteur. Comment estimez-vous aujourd’hui le niveau de cybersécurité en France et en Europe ? Une culture de la cybersécurité s’est-elle selon vous suffisamment développée dans les entreprises, les collectivités territoriales et les États ?

Mme Rayna Stamboliyska. Je m’efforcerai de rester polie. Plaisanterie à part, on constate bel et bien un sursaut, même s’il est dommage qu’il survienne dans certains cas en réaction à un incident qui oblige à se demander comment reconstruire un système d’information, comment protéger des données d’utilisateurs ou de patients. La conscience, inégale, du rôle clé de la cybersécurité, apparaît largement plus développée dans certaines administrations ou pays que dans d’autres.

Ceci nous ramène à la notion de pouvoir ou plutôt de volonté. Un besoin évident se fait jour d’un État stratège, d’une ligne de conduite globale à suivre. Beaucoup se découragent quand ils comprennent que la sécurité d’une installation n’est jamais acquise une fois pour toutes, mais qu’il faut au contraire l’améliorer constamment. La nécessité de soutenir, consolider et nourrir cette amélioration continue implique la poursuite d’objectifs liés à une stratégie globale, qui s’appuie sur des outils dont on ne pourra disposer qu’en recourant à la commande publique, aujourd’hui insuffisante.

Je ne songe pas ici aux difficultés que pose un référencement à l’Union des groupements d’achats publics (UGAP), par exemple, mais aux exigences de sécurité bien trop faibles, voire inexistantes, imposées aux fournisseurs de services et d’outils numériques susceptibles d’être sollicités pour des commandes publiques. L’absence, en 2021, d’exigence d’un niveau minimal de sécurité ou d’un maintien aux conditions opérationnelles et de sécurité de ce qui est acheté dans le cadre de la commande publique a de quoi désagréablement surprendre.

Certes, des initiatives voient le jour, comme celle du sénateur M. Laurent Lafon. Le texte de sa proposition de création d’un CyberScore devrait parvenir sous peu à l’Assemblée nationale. L’ANSSI, en France, est forte de sa capacité à décerner des certifications et des qualifications. Nous ne comprenons toutefois pas pourquoi cette cohésion ne se renforce pas plus pour fournir aux administrations des outils performants, ergonomiques et surtout fiables. Je constate peu de discussions ou de travail concret effectif sur cette pierre d’achoppement, sans doute en raison d’une absence de stratégie globale.

Le gouvernement français s’est déjà doté d’un administrateur général des données. Pourquoi ne pas imaginer une harmonisation des exigences en matière de cybersécurité sous l’égide d’un fonctionnaire général de la sécurité des systèmes d’information (FSSI) ? Il fixerait à tous des objectifs clairs, et communiquerait une vision tout aussi claire de l’adoption, par tous, des instruments existants. La seule mention du référentiel général de sécurité (RGS) fait aujourd’hui grincer des dents. Ses préconisations sont pour l’heure appliquées de manière pour le moins inégale et parfois insuffisante, pour ne pas dire « au lance-pierres ».

M. Guillaume Vassault-Houlière. Le besoin se manifeste aujourd’hui d’une sécurité opérationnelle. Une grande diversité de cultures cyber coexistent dans le monde. Les Anglo-saxons n’optent pas pour la même approche que les Latins, sans parler de ceux qui pratiquent la politique de l’autruche. Les solutions de cybersécurité ont été pour l’heure empilées en couches successives. La loi du net oblige ses acteurs à rester en permanence opérationnels. Chaque jour en apporte la preuve. La crise sanitaire a incité à la rationalisation des coûts mais aussi à l’équipement en outils opérationnels.

Certains pays européens semblent mieux à même de gérer les risques, du fait de leur culture. Je songe aux pays nordiques ayant historiquement intégré le concept de développement agile. L’activité de notre plateforme enregistre d’ailleurs une forte croissance dans ces pays. D’autres nations semblent plus figées dans leur attitude et plus lentes à évoluer. En 2021, tout le monde a compris qu’il fallait démystifier la cybersécurité et prôner dans ce domaine une cohésion nécessaire, qui passera forcément par une multiplicité d’acteurs. Les relations entre secteurs public et privé jouent un rôle majeur en générant de l’innovation et en permettant de former du personnel qualifié. Il en résulte un cercle vertueux. Par ailleurs, certains pays accélèrent leur développement en matière de cybersécurité plus que d’autres, malgré leur retard initial. Tout dépend aussi des acteurs sur lesquels chaque pays peut s’appuyer sur son territoire.

Aujourd’hui, la géopolitique, loin de se limiter aux acteurs traditionnels du champ, implique plus que jamais les entreprises, qui en transposent les tendances. Plus il existe de sociétés innovantes, plus celles-ci jouent un rôle moteur d’innovation globale, en matière notamment d’utilisation des outils cyber à l’échelle mondiale. Nous pouvons aujourd’hui nous appuyer en Europe sur les pays nordiques et sur des acteurs compétents et passionnés.

La diversité des acteurs publics et privés impliqués dans le projet de campus cyber assurera sa force. Cette diversité a déjà démontré son efficacité dans d'autres pays. Certes, la prise de conscience en matière de cybersécurité s’accélère, pour autant, il ne faut pas emprisonner la commande publique dans des outils dépassés constituant un frein technologique pour les États tenus de se numériser rapidement. La tendance est aujourd’hui à l’ouverture croissante des systèmes d’information et des données dans un souci de transparence et de confiance. Il faut, pour y parvenir, des outils adaptés, des entreprises adéquates, une stratégie globale cohérente avec les valeurs européennes et une volonté de transformer un monde où le commerce se développe parfois en dépit du bon sens.

Chacun de nous est un client de ces grandes entreprises du numérique. En tant que tels, nous avons le pouvoir de les amener à fléchir, du moins celles qui n’appliquent pas les valeurs qui nous tiennent à cœur ou ne créent pas un cercle vertueux pour l’évolution de la société.

M. Philippe Latombe, rapporteur. Impliquez-vous que l’État et les collectivités territoriales se sont numérisés à toute vitesse sans intégrer d’entrée de jeu la cybersécurité, dont ils se sont occupés en ajoutant des couches successives à leurs projets ? Estimez-vous que, pire encore, ils n’en tiennent peut-être même pas compte dans leur vision à court et moyen terme ?

M. Guillaume Vassault-Houlière. Il faut bien comprendre qu’on ne trouvera jamais deux entités, qu’elles soient publiques ou privées, disposant exactement du même système d’information. Ces systèmes conçus par des personnes différentes, et à chaque fois transposés, ne sont pas partout maintenus selon les mêmes principes. Leurs composants, en particulier dans la commande publique, devraient inclure leur maintien aux conditions de sécurité. De plus en plus de pays dressent des catalogues pour faciliter la commande publique, en tenant compte de ces exigences.

Aujourd’hui, le plan de relance cyber, piloté notamment par l’ANSSI, place les collectivités territoriales dans une situation dont je ne doute pas, pour avoir discuté avec nombre d’entre elles, qu’elles la jugent inconfortable : elles doivent se plier à des normes édictées au niveau national, que les éditeurs de solutions numériques ne sont pas forcément tenus de respecter. Des acteurs, tels que des collectivités territoriales, ne disposant pas, parmi leurs équipes, d’experts en la matière, ni du temps voulu pour se pencher sur la question, sont sommés de se numériser rapidement.

En réalité, il manque une stratégie globale pour garantir une sécurité de bout en bout. À chacun son métier. L’union fait la force. Chacun doit assumer ses responsabilités. Il me paraît crucial de le souligner. La vulnérabilité des données a aujourd’hui un impact sociétal. L’actualité l’a montré. Chacun doit se penser comme un acteur du changement plutôt que comme un simple vendeur indifférent au devenir des solutions numériques qu’il commercialise. Des changements s’observent heureusement déjà en France, en Europe et dans le monde, ce que nous constatons dans certains pays d’Asie où nous sommes présents.

Les soucis qu’a connus Singapour voici quelques années ont amené cette cité-État à une prise de conscience. La simplicité d’utilisation de certaines applications gratuites, c’est-à-dire où le produit n’est autre que l’usager lui-même, n’implique pas qu’elles soient sécurisées. La notion de sécurité by-design a été transposée dans le RGPD. Les obligations qu’il comporte doivent s’appliquer à l’ensemble des acteurs du numérique pour garantir la sérénité de la totalité des usagers.

M. Philippe Latombe, rapporteur. Voyez-vous aujourd’hui des pays d’Europe dont la France devrait suivre l’exemple en termes de bonnes pratiques ? Existe-t-il en Europe un pays capable de jouer dans le domaine de la cybersécurité un rôle moteur ? Le campus cyber est en cours de construction, mais il ne concerne que la France, or la souveraineté numérique se bâtira, vous l’avez dit, à l’échelle européenne. Avez-vous eu vent d’initiatives européennes allant dans le même sens ?

M. Guillaume Vassault-Houlière. Nous disposons déjà de tous les outils que l’on pourrait souhaiter. Je ne pense pas seulement à l’ANSSI. La France peut s’appuyer sur son expérience de transposition au niveau national d’outils efficaces. Des certifications européennes existent déjà. Il ne reste plus qu’à entrer en action. La nouvelle version de la directive NIS va entraîner des changements. Il ne faut pas créer un entonnoir mais concilier l’agilité et la capacité de réagir vite avec le respect de plusieurs niveaux d’exigence, qui passera par du marketing européen. Il convient de miser sur la cohésion globale des éléments déjà disponibles, et de suivre une stratégie de souveraineté et de coordination dépassant même le cadre strictement européen.

Mme Rayna Stamboliyska. Beaucoup de pratiques résultent de l’histoire et de la culture propres à chaque pays. Prenons le cas de l’Allemagne, notre plus proche allié européen, avec qui nous partageons une frontière. Sa structure fédérale en Länder implique une organisation des administrations tout à fait différente de ce qu’on observe en France. Dans chaque pays coexistent des usages dont il y a lieu de s’inspirer et d’autres, plus critiquables. Il m’apparaît nécessaire de mener une réflexion collégiale au côté de nos homologues européens pour éviter de rédiger des feuilles de route nationales qui perdront de leur pertinence lorsqu’une mise en conformité aux normes européennes s’imposera.

L’exemple de la fiscalité du numérique le montre assez. Les transpositions nationales divergentes de la directive NIS avaient donné lieu à des incohérences problématiques. Plusieurs ateliers se sont attelés l’an dernier à sa révision et à la reformulation de ses exigences. Nous nous y sommes d’ailleurs impliqués. Certains opérateurs de services essentiels en France ignoraient si leurs homologues aussi étaient considérés comme tels dans d’autres pays. Les agences de cybersécurité (les ANSSI locales) édictaient dans chaque pays leurs propres exigences. Des Polonais ont ainsi réclamé aux Français des preuves de conformité au sein d’un même groupe. D’aussi considérables variations, d’une législation nationale à l’autre, apparaissent ingérables et mènent à la catastrophe. On comprend dès lors mieux pourquoi, au moment de réviser la directive NIS, d’aucuns ont argumenté en faveur de sa transformation en Règlement, de manière à l’appliquer sans presque aucune modification d’un pays à l’autre. Le texte parvenu au Parlement reste pour l’heure une directive. Toutefois, son périmètre élargi l’amène à concerner de plus nombreux secteurs, ce qui contribue à une meilleure harmonisation des pratiques.

C’est à de tels niveaux qu’il faut transmettre au reste de l’Europe ce que l’expérience de la France lui a appris. La loi de programmation militaire (LPM) a, dans sa version 2014-2019, défini de manière inédite les systèmes d’information d’importance vitale. Autrement dit, une composante technique et cyber est entrée pour la première fois dans cette loi de financement. Cette LPM a impulsé la première mouture de la directive NIS. La révision de cette dernière, en discussion, prend appui sur les leçons positives et sur d’autres, tirées des dysfonctionnements liés à la notion de lex specialis, selon laquelle prévaut la loi spécifique à un domaine, en l’occurrence nationale.

Lors des ateliers de révision de la directive NIS, j’ai avancé comme exemple concret l’appel d’air créé pour les entreprises par la LPM en France. Les exigences inscrites dans cette loi se sont ajoutées à d’autres édictées par l’ANSSI en matière de sécurité des fournisseurs, de services de sécurité ou d’équipement, aux opérateurs d’importance vitale. Des opportunités de développement commercial non anticipées en ont résulté.

On croit en général que l’application d’exigences réglementaires entraîne des frais et prend du temps. On en oublie de considérer leur impact dans son ensemble. Les fournisseurs contraints d’élever leur niveau de sécurité obtiennent au final un retour sur investissement, dans la mesure où ils captent ainsi de nouveaux clients. Il faut en tenir compte dans les discussions en cours sur la construction technologique européenne. On peut s’inspirer, dans le même ordre d’idées, de l’exemple néerlandais en matière de divulgation des vulnérabilités, ou des pratiques allemandes en ce qui concerne la commande publique fédérale.

M. Philippe Latombe, rapporteur. L’État a fait appel à vous pour la mise au point de l’application StopCovid. Faut-il y voir une initiative ponctuelle ou le signe d’un changement de paradigme ? L’État adopte-t-il enfin progressivement une méthode plus agile ? Le recours à vos services vous semble-t-il appelé à perdurer ou à s’intégrer dans le champ de réflexion de l’administration ?

M. Guillaume Vassault-Houlière. Notre rôle dans le lancement de l’application TousAntiCovid, particulièrement médiatisé du fait de l’exigence de transparence et de confiance qu’imposait la généralisation de cet outil, à l’origine, dans un premier temps, d’une certaine défiance, ne constitue qu’un exemple parmi d’autres.

En ce qui concerne l’application StopCovid, les autorités nous ont donné carte blanche pour transposer notre expertise et tout s’est très bien passé. Nous avons noué d’excellentes relations avec les équipes de l’ANSSI et de l’Institut national de recherche en informatique et en automatique (Inria), qui nous ont au final accordé leur confiance, après de nombreux débats sur la question complexe des tests auxquels nous souhaitions soumettre l’application. Ceci dit, cette collaboration ne nous a pas fourni l’opportunité de démontrer l’étendue de notre savoir-faire.

Suite à un incident de sécurité survenu avec la messagerie Tchap, nous avons soumis cet outil public à la communauté des 22 000 hackers de Yes We Hack afin de trouver une parade à ses vulnérabilités, de manière à rassurer ses utilisateurs. Nous avons également noué un partenariat avec l’état-major des armées (EMA), c’est-à-dire le commandement de la cyberdéfense. Mme la ministre a d’ailleurs divulgué, en 2019, son recours à des hackers éthiques, via notre plateforme, en vue de sécuriser différents périmètres du ministère. D’autres administrations encore font appel à notre communauté, forte de son opérationnalité.

En tant que pur produit de la communauté des hackers des années 2000, passionné par mon métier, je me rends bien compte, pour avoir travaillé avec des entités ministérielles de France et d’ailleurs, que nos concitoyens éprouvent le besoin d’outils fiables au fonctionnement transparent. Nous nous devons aussi de sécuriser les données, au volume sans cesse croissant. La France a joué un rôle précurseur à travers le commandant de la cyberdéfense, lorsqu’il a cherché comment animer et former les 400 réservistes à sa disposition, et comment élargir les tests de sécurité de ses outils numériques, jusque-là réalisés en interne via des audits planifiés. La perception du risque progresse à la vitesse à laquelle se développent les nouvelles technologies. Un besoin se fait jour de compétences adaptées rattachées à des métiers divers et variés.

Le stéréotype du méchant hacker ne prédomine plus du tout aujourd’hui comme c’était le cas dix ans plus tôt. Notre communauté incarne une philosophie et un art de vivre dépassant le simple cadre de l’informatique et impliquant la remise en cause perpétuelle de notre écosystème dans la volonté de l’améliorer.

L’article 47 de la loi pour une République numérique protège les lanceurs d’alerte s’adressant à l’ANSSI. Jusque-là, certains hackers ne voulaient plus courir le risque de signaler des vulnérabilités aux entreprises ou aux entités ministérielles par crainte de poursuites pénales. Leur action citoyenne n’était en effet pas comprise. Aujourd’hui, de plus en plus de pays cherchent un moyen de dénoncer les vulnérabilités via la création de canaux de communication de confiance avec les communautés de hackers.

Nous avons réussi avec d’autres experts mondiaux à transposer de telles initiatives dans une note d’un rapport de l’OCDE. L’European Union Agency for Cybersecurity (ENISA) se penche en ce moment même sur des changements à venir. La France a joué un rôle moteur précurseur avec les Néerlandais. L’accroissement des menaces pousse à se tourner vers des outils de plus en plus efficaces garantissant un retour sur investissement rapide. La plateforme Yes We Hack, parfaitement adaptée au monde actuel, a déjà prouvé son efficacité.

Tout le monde souhaite embaucher les meilleurs spécialistes de la cybersécurité. Je rappelle que quatre millions de postes demeurent à ce jour à pourvoir dans ce domaine, sur l’ensemble de la planète. La numérisation croissante de la société et des États génère un fort besoin de cybersécurité. Nous travaillons en ce moment sur des dispositifs de vote en ligne. Il n’est plus envisageable de s’en remettre à l’expertise d’une seule entreprise. Il convient au contraire de solliciter une communauté de passionnés, dans toute sa diversité. Nous savons tous que l’union fait la force. L’intelligence collective a démontré son efficacité dans beaucoup de domaines. Nous sommes très fiers que les acteurs étatiques aient compris notre démarche et fassent appel à nos services.

Œuvrer en partenariat avec le ministère des armées relevait d’un rêve d’enfant. Aux États-Unis, de nombreux hackers souhaitaient s’attaquer au Pentagone. Des initiatives américaines relatives à l’US Air Force ont vu le jour. Nous avons quant à nous réussi à mettre en avant, auprès du ministère des armées, notre modèle fondé sur des valeurs françaises et européennes et sur la confiance, pour œuvrer en bonne intelligence avec la communauté de l’EMA.

Nous préconisons que tout outil commercialisé au grand public, y compris les voitures, dispose d’un outil de signalement de ses vulnérabilités afin d’éviter toute utilisation malveillante. Nous prônons aussi de placer à l’abri des poursuites judiciaires tout citoyen révélant une faille de sécurité. On assiste en somme à un changement sociétal. Chaque État avance désormais, certes à sa vitesse, dans la bonne direction. La remarque est transposable aux ministères et à d’autres strates administratives encore. Nous nous efforçons depuis des années de montrer ce que peut apporter une collaboration avec des hackers de bonne volonté.

M. Philippe Latombe, rapporteur. Nous avons auditionné la semaine dernière l’Imprimerie nationale et, quelques jours auparavant, la responsable du projet « identité numérique ». Cette identité numérique vous apparaît-elle comme une opportunité ou plutôt comme une faille ? Comment percevez-vous ce projet en termes de cybersécurité ? Constitue-t-il un point de vigilance supplémentaire ? Les pays qui l’ont adoptée s’y sont-ils pris de manière suffisamment sécurisée ?

J’ai jusqu’ici recueilli deux réponses fort éloignées à mes questions. La responsable interministérielle affirme que la mise en place de l’identité numérique passera par des marchés exclusivement publics, alors que l’Imprimerie nationale avance que les entreprises privées y auront leur place. Les données liées à l’identité numérique, du fait de leur considérable importance, ne feront-elles pas l’objet d’attaques permanentes mobilisant des technologies de plus en plus avancées ? Que vous inspire sa mise en place, en France et dans d’autres pays, en Europe et ailleurs ?

M. Guillaume Vassault-Houlière. Il faut aujourd’hui, pour minimiser le risque, immuniser les données. Il convient de déterminer, dans chaque projet, les mesures de sécurité qui relèvent ou non de l’utile. L’identité numérique sera attaquée au même titre que tout vecteur, peut-être plus encore en raison de la quantité de données qui y sont liées. L’identité numérique implique une interconnexion avec différents satellites, IdP (identity provider) et SP (service provider). Il faudra donc sécuriser toute la chaîne. En réalité, le risque zéro n’existe pas.

Je prône dans tous les cas d’atteindre l’efficacité par les moyens les plus simples. Je m’interroge à ce titre sur l’intérêt d’imposer des mesures de sécurité additionnelles uniquement pour ne pas confier la gestion de l’identité numérique à un seul et unique acteur global.

J’ai travaillé dans la haute disponibilité durant de nombreuses années. Mes clients exigeaient de moi, il y a quinze ans, de la réversibilité et de la résilience, la seconde supposant de toute façon la première. Peu importe le nombre d’acteurs impliqués dans un projet, à partir du moment où son niveau de documentation et d’interopérabilité atteint un certain seuil, le risque apparaît maîtrisé. Chacun a les mêmes exigences techniques, en matière de cybersécurité comme de stockage. Il me semble important de construire un projet qui en tienne compte. On en revient à la souveraineté. Il faut bien analyser et gérer le risque dès le début du projet, ce que résume d’ailleurs parfaitement le concept de sécurité by-design, et garantir la réversibilité en cas de problème.

L’identité numérique relève désormais d’une nécessité. Il convient toutefois de l’utiliser avec parcimonie, dans un premier temps, de manière à capitaliser sur les projets à venir pour garantir son efficacité, plutôt que de laisser l’initiative à des acteurs incompétents, incapables de garantir ne serait-ce que nos numéros de téléphone. Les identités numériques qu’ils gèrent sont censées permettre l’accès à une multiplicité de service ; or ce sont toujours les mêmes qui gardent la mainmise dessus. Nous avons la chance de disposer de l’excellente initiative Franceconnect. Il faut continuer en ce sens. Il m’apparaît tout à fait possible d’aboutir à une réalisation susceptible de servir de modèle, en Europe comme dans le reste du monde, en s’appuyant justement sur les valeurs européennes.

Mme Rayna Stamboliyska. Je ne suis pas du tout spécialiste de l’identité numérique. Je m’excuse donc par avance des inexactitudes qui m’échapperaient.

Il m’apparaît nécessaire de clarifier rapidement le modèle économique sur lequel repose l’identité numérique. La révision du Règlement sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (eIDAS) le montre assez. Elle pourrait d’ailleurs figurer parmi les actions notables portées par la future présidence française de l’Union européenne.

On évalue le marché de l’identité numérique à un peu plus d’un milliard d’euros de revenus à l’horizon 2030. Une question se pose : comment permettre aux acteurs français et à l’État de mettre en œuvre une structure économique susceptible de préserver ce marché face à des initiatives déjà lancées par des acteurs privés extra européens tels que Google, Apple, Facebook, Amazon et Microsoft (les GAFAM) ?

Le scénario le plus probable m’apparaît encore être celui où le schéma de l’identité numérique se structurerait autour d’un fédérateur d’identité unique offrant aux utilisateurs le choix d’un fournisseur d’identité, dans l’hypothèse d’un Règlement eIDAS substantiel aux exigences élevées. Ce fournisseur, public ou privé, permettrait d’accéder à l’ensemble des services publics et privés.

Une autre question émerge dès lors : celle des garanties dont bénéficieront les données des citoyens français et européens. Là encore, l’ANSSI tient lieu de source d’inspiration avec sa récente publication d’un référentiel d’exigences en matière de sécurité de l’identité numérique. Dans la révision du Règlement eIDAS, il apparaît primordial de continuer à promouvoir un niveau élevé de sécurité et de préserver les fournisseurs d’identité privés au sein de l’Union européenne, à condition bien sûr qu’ils soient réellement européens et non de simples entités juridiques au siège sis en Irlande ou au Luxembourg. L’identité numérique fonctionne à une double échelle, nationale et européenne.

Franceconnect peut assumer en France un rôle important, aussi bien d’acteur assurant l’ensemble des fonctions requises, que de hub technique pour les fournisseurs.

Quoi qu’il en soit, il est impératif de maintenir au niveau européen les exigences du Règlement eIDAS, destiné, en l’état, à prévenir l’apparition de fournisseurs d’identité numérique extra européens privés. À cela doit s’ajouter ce qui émerge à travers la stratégie européenne relative aux données, les préconisations de l’ANSSI en France, ainsi qu’un projet du ministère de la transformation et de la fonction publique, à savoir l’idée d’un cloud au cœur de l’État, imposant clairement une exigence de localisation de données sur le territoire européen, voire dans le pays concerné. Ce projet obéit au mot d’ordre du commissaire, M. Thierry Breton, soucieux que les données des pays européens restent en Europe.

Il faudra, pour y parvenir, livrer une grande bataille, qui s’avère d’autant plus indispensable qu’aujourd’hui, 90 % des données produites en Europe, personnelles ou non, ne sont pas stockées sur le continent européen, encore moins par des acteurs européens. Il faut s’assurer que la révision du Règlement eIDAS et de la directive NIS, la stratégie européenne en matière de données et les initiatives entre autres françaises dans ce domaine demeurent en cohésion et en harmonie pour se soutenir mutuellement, afin d’éviter la dispersion des capacités, de manière à permettre l’émergence d’un modèle économique hybride acceptable par une majorité d’acteurs européens et par les citoyens eux-mêmes.

On a pu constater une défiance de certains vis-à-vis du rôle de l’État en tant que responsable du traitement des données, contrastant avec leur méfiance moindre envers certains acteurs privés d’envergure. À l’inverse, l’État inspire à d’autres moins de doutes que certaines entreprises privées.

Il semblerait donc intéressant de construire un modèle hybride associant, à la fonction étatique publique, la fourniture de services, en l’occurrence d’identité numérique, par des acteurs privés, en conformité avec des exigences réglementaires et législatives européennes communes, impulsées par les États.

M. Philippe Latombe, rapporteur. Il faut aussi se demander si l’identité numérique fera l’objet d’attaques, quoique M. Vassault-Houlière ait déjà répondu à cette question par l’affirmative, en raison du profit qui pourrait être retiré de son usurpation.

Les attaques d’hôpitaux et de collectivités territoriales se sont multipliées dernièrement, sans même parler de l’incendie d’OVH. Il est apparu que beaucoup d’entreprises et d’administrations ne disposaient ni de plan de reprise d'activité (PRA) ni de plan de continuité d’activité (PCA). Il a beaucoup été question des attaques russes contre le centre national d'enseignement à distance (CNED) et des problèmes de connexion aux espaces numérique de travail avant-hier.

Les mesures de sécurité mises en place aujourd’hui vous semblent-elles suffisantes ? N’avez-vous pas le sentiment d’une perte de certains réflexes ? Du temps où l’on ne disposait que d’archives papier, il était d’usage d’en réaliser des copies. La généralisation du numérique ne nous a-t-elle pas rendus naïfs ou imprévoyants à certains égards ? Ne faudrait-il pas, selon vous, réintroduire dans nos habitudes quelques règles de bon sens ?

M. Guillaume Vassault-Houlière. Je vous répondrai par l'affirmative. Ceci dit, votre remarque ne s’applique-t-elle pas aussi aux téléphones ? Beaucoup, par méconnaissance ou pour gagner du temps, installent sur leurs appareils des applications qu’ils ne maîtrisent pas. Il me paraît important de démystifier les questions de sécurité. Nous devons creuser sous la surface, loin de nous fier aux apparences.

L’anticipation de menaces ou de soucis techniques n’est jamais simple.

L’incendie d’OVH a impacté notre activité. Nous étions toutefois préparés à une telle éventualité, vu que la construction d’infrastructures indestructibles relève des préoccupations de notre métier. J’ai la chance de disposer d’équipes techniques performantes, qui ont résolu rapidement les problèmes.

Les achats, aujourd’hui facilités, ne s’effectuent plus dans les mêmes conditions qu’avant. Le métier de la haute disponibilité souffre d’une méconnaissance. Pour l’anecdote, j’ai mis en place des infrastructures destinées à la presse et aux citoyens, en vue de l’annonce des résultats d’élections, voici dix ans. La haute disponibilité n’est pas un sujet simple à aborder, surtout si l’on y inclut les risques d’attaques. Je ne jette la pierre à personne. Les PRA et PCA ont un coût. La question des compétences dans le numérique ne concerne pas que la cybersécurité mais aussi les infrastructures.

Indépendamment du recours au cloud, il existe de bonnes pratiques, entre autres d’achat. Il convient de se poser les bonnes questions. Selon moi, il appartient aux établissements de formation de revenir aux bases. Quand on construit une infrastructure, il faut penser à sa résilience, à l’analyse des risques, ce que l’on faisait à l’époque où l’on avait affaire à des serveurs physiques. La virtualisation liée à l’usage du cloud rend ces risques moins palpables, or en tant qu’êtres humains, nous éprouvons le besoin de toucher du doigt les menaces pour nous les représenter. Au final, on ignore où sont stockées les sauvegardes, ni même si elles existent. Ces questions relèvent d’une problématique de transparence. Tout est lié. La situation ne s’améliorera pas d’elle-même. Il nous appartient à nous, acheteurs, de poser les bonnes questions.

Il a beaucoup été question de réversibilité à propos du RGPD, toutefois, ce concept s’est quelque peu égaré dans les méandres de l’histoire des infrastructures. Nous devons nous demander où sont stockées nos données. Il nous revient à nous, acheteurs, de changer les habitudes liées à l’usage des plateformes software as a service (SaaS). La transparence engendrera la confiance. Ensemble, elles constituent les meilleures alliées du marketing.

Il n’en faut pas moins garder à l’esprit que toute une catégorie d’acteurs comme les collectivités territoriales, dont la cybersécurité n’est pas le cœur de métier, n’ont pas les moyens de se pencher sur ces questions, ce qui les oblige à s’en remettre à leurs fournisseurs. Ces acteurs accordent leur confiance aux experts qu’ils ont mandatés. Il faudrait peut-être revenir aux requests for proposal (RFP), c’est-à-dire aux appels d’offres tels qu’ils étaient rédigés voici quinze ans. Leurs exigences d’alors sont depuis passées à la trappe, car il est plus facile de passer une commande en quelques clics. Il ne faut toutefois jamais perdre de vue les principes fondamentaux de construction d’une architecture, tels que la disponibilité ou la résilience.

M. Philippe Latombe, rapporteur. Voyez-vous des sujets que nous n’aurions pas abordés, que vous souhaiteriez mettre en lumière ?

Mme Rayna Stamboliyska. Il nous apparaît vraiment urgent et nécessaire de disposer d’une feuille de route concrète, aussi bien au niveau national qu’européen.

Quand on commence à regarder de plus près ce qui se passe au niveau européen, comme m’y oblige par chance mon travail, on voit comment les différentes entités et structures s’imbriquent et s’interfacent. Cependant, nous ne sommes qu’un petit nombre à disposer d’une telle vision. Il m’apparaît donc impératif d’édicter une feuille de route claire, dans l’esprit de l’annonce, par le président Emmanuel Macron, du milliard d’euros consacrés à un plan global en matière de cybersécurité. Il manque aussi davantage de communication simple et accessible, à destination des administrations, des entreprises du CAC 40, des collectivités territoriales, des hôpitaux et des usagers, etc.

Nous continuerons à voir des hôpitaux victimes d’attaques nous concernant tous, dans la mesure où nous sommes tous des patients, tant que nous ne prendrons pas conscience que les outils numériques incluent aussi l’ordinateur de la secrétaire ou le téléphone du directeur, puisqu’eux aussi permettent à l’infrastructure de fonctionner. Au-delà des serveurs ou des câbles, de tels composants structurels ne sauraient pâtir plus longtemps de notre négligence, tout cela parce qu’il nous manque le temps, l’envie ou l’argent pour nous en préoccuper.

Il nous faut en somme une feuille de route concrète, indiquant des objectifs précis et les moyens de les atteindre, et détaillant les actions opérationnelles à réaliser par différents acteurs, de même que leurs sources de financement. Une telle feuille de route devrait faire la part belle à la recherche et à l’innovation. Nous parlons de souveraineté numérique à l’échelle européenne, or l’avenir se construit dès aujourd’hui et, pour y parvenir, il faut réfléchir à la dette technique, technologique et décisionnelle qui nous poursuit depuis des années, mais aussi à notre manière de préparer et de concevoir le futur proche.

Il est beaucoup question aujourd’hui de 5G. Je n’évoquerai pas les théories complotistes selon lesquelles il faudrait se faire vacciner pour en disposer. Heureusement, la réalité leur oppose un démenti. Une dette technique nous handicape, qu’il faut éponger vite et bien sans en générer de nouvelle.