Souveraineté numérique : le CESIN somme les candidats à la présidentielle de sortir du flou

Le CESIN, qui fédère plus de 1 300 RSSI et directeurs de la cybersécurité, vient de sortir des dossiers techniques pour s'inviter dans la campagne présidentielle. Dans une lettre ouverte publiée le 10 juillet 2026, le club interpelle directement les candidats à l'Élysée : la souveraineté numérique n'est plus un sujet d'experts, elle conditionne désormais la sécurité nationale et la solidité de la démocratie.

Ce qui s'est passé

Signée par le président du CESIN, Fabrice Bru, la lettre ouverte part d'un constat opérationnel : les RSSI sont en première ligne face à des cyberattaques qui perturbent désormais hôpitaux, collectivités et administrations. Mais le club va plus loin que le seul piratage informatique. À l'ère des deepfakes et de l'IA générative, il pointe un risque plus insidieux — l'installation durable du doute dans le débat public, capable à elle seule d'ébranler la sincérité d'un scrutin.

Le CESIN inscrit ce diagnostic dans la ligne du rapport Draghi sur la compétitivité européenne : puces électroniques, cloud, IA, quantique, cybersécurité, identité numérique et infrastructures de paiement forment une chaîne de dépendances. Sans semi-conducteurs souverains, pas de data centers ni d'IA crédible ; sans cloud maîtrisé, pas de continuité de service. Le club salue les initiatives européennes engagées — le paquet souveraineté technologique de la Commission, Chips Act, EuroHPC — tout en les jugeant trop dispersées face aux politiques industrielles massives de Washington et Pékin.

Pourquoi c'est important

Le cœur de la lettre tient en cinq questions posées sans détour aux candidats. D'abord, une doctrine claire : quels usages numériques peuvent rester sur le marché mondial, lesquels exigent une maîtrise européenne ou nationale, notamment pour les fonctions vitales de l'État, la santé, l'énergie et la défense. Ensuite, un changement de logique réglementaire — passer d'une Europe de la règle à une Europe de la capacité. Pour le CESIN, des textes comme NIS 2, DORA, le Cyber Resilience Act ou l'AI Act sont nécessaires mais ne suffisent pas : la norme seule ne construit pas la souveraineté, il faut investir dans l'ingénierie et les logiciels européens.

Cette distinction entre norme et capacité rejoint un débat que Leto suit de près : le Cigref a récemment recadré le vocabulaire en rappelant que la souveraineté numérique relève de l'État, tandis que la résilience — au sens de DORA — reste le mandat des entreprises. Le CESIN demande aussi une politique industrielle assumée (France 2030, Bpifrance, commande publique), une gouvernance plus lisible face à la multiplication des acteurs français (ANSSI, Campus Cyber, DIAN, DINUM, DITP), et une meilleure préparation aux chocs géopolitiques, Cloud Act américain en tête.

Ce que ça change pour les organisations

Cette lettre n'a pas de portée normative immédiate, mais elle est un signal à prendre au sérieux pour les DPO et RSSI. Le contexte réglementaire reste mouvant : la France accuse toujours du retard sur la transposition de NIS 2, ce qui a valu à l'État une saisine de la CJUE par la Commission européenne. Dans l'intervalle, mieux vaut ne pas attendre le texte définitif pour structurer sa gouvernance cyber : les fondamentaux de l'article 32 du RGPD offrent déjà un socle réutilisable, comme le rappelle notre cartographie des textes européens de résilience cyber (NIS 2, CER, CRA, Cyber Solidarity Act).

Sur le volet dépendance aux fournisseurs américains, les organisations ont intérêt à documenter leur exposition dès maintenant : cartographier la chaîne d'hébergement réelle, mettre à jour les analyses de transfert (TIA) au regard du Cloud Act, et tester la réversibilité de leurs systèmes critiques. Le rapport parlementaire sur les 29 propositions pour la souveraineté numérique allait dans le même sens en avril dernier : auditer sans attendre l'échéance légale.

Ce que Leto pense de cette décision

Cette lettre ouverte illustre une bascule que nous observons depuis plusieurs mois : la conformité RGPD, NIS 2 et Cloud Act n'est plus un sujet purement juridique, elle devient un enjeu de politique industrielle et de souveraineté que même les praticiens de terrain jugent trop lent à se concrétiser. Le CESIN a raison de pointer la dispersion des textes européens et le manque de portage politique clair. Pour autant, un DPO ou un RSSI ne peut pas se permettre d'attendre une doctrine nationale hypothétique : les obligations de l'article 32 RGPD et les échéances NIS 2 s'appliquent dès aujourd'hui, indépendamment du calendrier électoral.

Sources : Silicon.fr — Ce que les RSSI demandent aux candidats à la présidentielle, CESIN — Lettre ouverte Présidentielle 2027