Un drone peut être prêt à décoller, son opérateur également, et pourtant une restriction de connexion suffit à compromettre la mission. Dans la nuit du 13 au 14 octobre, des terminaux satellitaires embarqués sur certains appareils ukrainiens ont été affectés par une limitation de leur vitesse de déplacement, rapportée autour de 160 km/h. Selon des responsables ukrainiens cités par le Wall Street Journal, des opérations impliquant des drones de frappe et des intercepteurs ont été perturbées ou annulées. Des sources du ministère ukrainien de la Défense ont ensuite indiqué que le service avait été rétabli le 15 octobre. L’épisode pose une question qui dépasse le champ militaire : qui fixe les conditions d’accès à une technologie essentielle lorsque son fournisseur est une entreprise privée soumise aux décisions de son État ? Pour les organisations, le risque ne concerne pas seulement les données hébergées à l’étranger. Une messagerie, un CRM ou un logiciel de gestion peuvent aussi dépendre d’autorisations, de règles d’exportation ou de sanctions. Les précédents visant certains services numériques en Russie et les restrictions d’accès imposées à des développeurs iraniens montrent que cette dépendance n’est pas théorique. Elle invite les dirigeants à examiner leurs vulnérabilités numériques, leurs solutions de repli et la capacité réelle à poursuivre l’activité si un service devient indisponible.
Drones et logiciels d’entreprise : quand l’accès au service devient stratégique
Les restrictions rapportées en Ukraine ne portaient pas sur le débit Internet, mais sur la vitesse de déplacement des terminaux. Cette distinction est déterminante : une connexion peut rester active tout en ne répondant plus aux exigences opérationnelles d’une mission. Le cas illustre une réalité plus large, celle d’une capacité qui dépend à la fois d’un équipement, d’un réseau et des décisions de l’organisation qui contrôle le service.
Selon Reuters, citant des responsables américains et occidentaux, l’ordre de restriction provenait de la Maison-Blanche. Elon Musk a renvoyé la définition des limites de Starshield aux autorités militaires américaines et, en dernier ressort, au président des États-Unis. Le cadre militaire et contractuel est spécifique, mais il rappelle qu’un contrat commercial ne garantit pas, à lui seul, la continuité d’un service face à une décision publique.
Le rapprochement avec les logiciels civils ne signifie pas que les mêmes règles s’appliquent partout. Il souligne plutôt un point commun : les entreprises privées restent soumises aux lois, aux sanctions et aux contrôles à l’exportation de leur pays. L’analyse publiée sur les drones et les logiciels d’entreprise met en lumière cette extension d’un enjeu de souveraineté aux outils quotidiens des organisations.
Sanctions et services numériques : des précédents civils concrets
Le passage du militaire au civil a déjà des précédents documentés. Le 12 juin 2024, le Trésor américain a annoncé des restrictions sur la fourniture de certains services informatiques et logiciels à des personnes situées en Russie, entrées en vigueur le 12 septembre. Le périmètre concernait notamment le support et les services cloud associés à des logiciels de gestion, de conception et de fabrication.
Les catégories précisées par l’OFAC incluaient notamment les CRM, les ERP, les outils de gestion de la chaîne d’approvisionnement et les logiciels de gestion de projet. Il ne s’agissait pas d’une interdiction générale des services numériques : le dispositif comportait des exceptions et préservait explicitement l’accès à Internet ainsi que les services de communication en ligne. Cette nuance interdit d’en faire un précédent de suspension générale de la messagerie.
GitHub fournit un autre exemple. La plateforme a expliqué avoir restreint certains accès pour les développeurs iraniens en 2019 afin de respecter les sanctions américaines, puis annoncé en janvier 2021 l’obtention d’une licence lui permettant de rétablir l’ensemble de ses services dans le pays. La volonté commerciale et l’autorisation réglementaire constituaient deux conditions distinctes.
Ces cas ne préjugent pas de mesures équivalentes contre des entreprises européennes. Ils montrent toutefois que l’accès à un service numérique civil peut être affecté par des décisions gouvernementales. Pour les responsables de la cybersécurité, le risque doit donc être étudié à partir du périmètre juridique réel, et non à partir d’une hypothèse d’interdiction générale.
Logiciels SaaS : mesurer les effets d’une interruption partielle
Dans une entreprise, la dépendance se manifeste d’abord dans des tâches ordinaires. Si un CRM devient inaccessible, les équipes peuvent perdre l’accès aux échanges avec les prospects, au suivi des devis et aux relances. Si l’outil d’authentification est perturbé, plusieurs applications peuvent devenir difficiles à utiliser simultanément.
Le mode SaaS facilite le déploiement, mais confie au prestataire l’exploitation continue d’une partie des outils de travail. Détenir une copie des données ne suffit pas toujours à reprendre l’activité ailleurs : les historiques, les pièces jointes, les automatisations, les autorisations et les connexions entre applications ne sont pas nécessairement transférés dans un export. Une restriction de fonction ou l’arrêt du support peut donc être aussi pénalisant qu’une coupure totale.
Une PME qui utilise un ERP pour coordonner ses stocks et sa facturation peut, par exemple, conserver ses fichiers tout en perdant les workflows qui relient les commandes aux expéditions. Si son fournisseur logistique dépend du même environnement cloud, la perturbation peut atteindre la chaîne d’approvisionnement. L’enjeu est alors moins le volume de données que la capacité à maintenir les opérations critiques.
Les cyberattaques, les rançongiciels et l’espionnage industriel représentent d’autres menaces, distinctes d’une restriction réglementaire, mais susceptibles de révéler les mêmes fragilités : concentration des accès, dépendance à un prestataire ou absence de procédure de reprise. Les mesures de sécurité informatique à prévoir en entreprise doivent ainsi intégrer la disponibilité des services et la continuité, en plus de la protection des données.
Cloud, localisation et souveraineté numérique : trois risques distincts
La localisation des données est un critère important, mais elle ne suffit pas à décrire toute la dépendance. Il faut aussi identifier l’entité qui signe le contrat, les lois auxquelles elle est soumise et les organisations capables de maintenir ou de restreindre le service. Un centre de données situé en Europe ne répond pas, à lui seul, à toutes ces questions.
Trois dimensions méritent d’être séparées : la confidentialité, c’est-à-dire qui peut accéder aux données ; la disponibilité, soit qui peut interrompre ou limiter le service ; et la réversibilité, autrement dit la capacité à changer de fournisseur sans bloquer l’activité. Cette grille aide à distinguer la sécurité des informations de la maîtrise opérationnelle.
Les infrastructures critiques ne sont pas les seules concernées par ces arbitrages. Une entreprise industrielle peut dépendre d’un outil de conception, d’une plateforme de maintenance ou d’un service de gestion des fournisseurs, tandis que ses échanges commerciaux reposent sur une suite collaborative distincte. Les vulnérabilités numériques apparaissent souvent dans les liens entre ces systèmes, notamment lorsqu’ils partagent un même cloud ou un même fournisseur d’identité.
Les tendances technologiques, dont l’intégration de l’intelligence artificielle dans les logiciels professionnels, renforcent l’intérêt d’examiner ces dépendances avant de renouveler un contrat. Des analyses consacrées aux tendances technologiques et à leurs effets sur les organisations permettent de situer ces évolutions, mais chaque entreprise doit les confronter à son architecture et à ses contraintes de continuité.
Continuité d’activité : six questions avant de renouveler un logiciel
Une direction générale n’a pas à traiter chaque application comme une infrastructure stratégique. Elle peut toutefois repérer les services dont l’indisponibilité empêcherait de vendre, produire, facturer ou communiquer, puis estimer les conséquences d’une interruption et le délai de reprise acceptable.
- Quelles fonctions seraient bloquées dès le premier jour ? Repérer les applications nécessaires aux ventes, à la production, à la facturation et aux échanges avec les clients.
- Quelles autorités peuvent affecter leur fourniture ? Faire examiner les entités contractantes et les obligations applicables par les équipes juridiques.
- Les dépendances sont-elles concentrées ? Identifier les applications qui partagent un cloud, un système d’authentification ou des composants techniques.
- Les données sont-elles réutilisables ailleurs ? Vérifier les formats d’export, les pièces jointes, les historiques et les droits d’accès associés.
- Quel délai faut-il pour rétablir les fonctions essentielles ? Évaluer les moyens humains, techniques et financiers nécessaires à une reprise.
- La solution de repli a-t-elle été testée ? Réaliser un exercice de restauration ou une migration sur un périmètre limité plutôt que de s’en tenir à une clause contractuelle.
Multiplier les fournisseurs ne constitue une protection que si leurs dépendances sont réellement différentes. Plusieurs applications peuvent s’appuyer sur le même cloud ou le même système d’identité : dans ce cas, la diversification apparente masque un point de défaillance commun. Le coût d’une solution de repli doit donc être comparé à celui d’une interruption, mais aussi au délai nécessaire pour la rendre opérationnelle.
Les offres européennes et les projets locaux peuvent contribuer à réduire certaines dépendances, à condition d’être évalués sur leurs fonctionnalités, leur sécurité, leur capacité de déploiement et leur propre chaîne de sous-traitance. Les travaux sur les tendances technologiques de 2026 éclairent les évolutions du secteur ; la décision d’achat, elle, doit s’appuyer sur des tests concrets de restauration et de migration.
La souveraineté numérique se construit aussi dans les choix d’achat, la formation des intégrateurs et le maintien de compétences capables d’exploiter des solutions alternatives. Avant le prochain incident — qu’il soit technique, juridique ou géopolitique — une organisation doit pouvoir nommer les services dont elle dépend et établir comment elle poursuivrait son activité si l’accès venait à changer.
Journaliste spécialisée en énergie et industrie, je décrypte depuis plus de quinze ans les évolutions des marchés énergétiques et les innovations industrielles. Mon parcours m’a conduite à collaborer avec des publications de renom, où j’ai analysé les défis liés à la transition énergétique et aux politiques industrielles.
