Genève vient de publier sa première stratégie de souveraineté numérique. Derrière cette annonce, il y a un signal intéressant pour les membres du Club Experts Cybersécurité de Digital League : la souveraineté n’est plus seulement traitée comme un sujet de principe, mais comme une capacité concrète à maîtriser ses dépendances numériques.
Dans son communiqué, le canton de Genève explique vouloir encadrer ses choix technologiques et la gestion de ses données pour garantir des prestations fiables et sécurisées. Il rappelle aussi que le numérique accompagne désormais de nombreuses démarches administratives, souvent de manière invisible, et que les systèmes qui les soutiennent créent de nouvelles dépendances à maîtriser.
La stratégie genevoise a le mérite d’éviter un piège fréquent : faire de la souveraineté numérique un slogan. Elle ne promet pas l’indépendance totale, ni le retour à une forme d’autarcie technologique. Elle pose une question plus utile : quelles dépendances accepte-t-on, dans quelles conditions, avec quels garde-fous, et pour quels services critiques ? Des sujets traités en mai dernier lors de notre session « sécuriser une feuille de route IA » tout comme lors de la session interclubs « IA : concilier performance et souveraineté ».
La souveraineté est une capacité
La note stratégique est claire : la souveraineté numérique correspond à la capacité du canton à choisir, maîtriser et assumer ses dépendances numériques, selon la criticité des prestations publiques et la sensibilité des données traitées. La stratégie reconnaît aussi des réalités très concrètes : usage de solutions collaboratives de type M365, recours croissant au cloud, arrivée rapide de l’intelligence artificielle dans les usages publics.
Le sujet n’est donc pas de savoir si une solution est souveraine “par nature” mais plutôt si elle est maîtrisable, auditables, réversible, soutenable et compatible avec les obligations de continuité, de sécurité et de responsabilité publique.
Pour les acteurs cyber, cette approche parle directement au terrain. Une dépendance numérique mal maîtrisée n’est pas seulement un choix d’achat ou d’architecture. Elle peut devenir un point de fragilité : indisponibilité d’un fournisseur, verrouillage contractuel, difficulté de réversibilité, exposition juridique, perte de visibilité sur la donnée, ou impossibilité de maintenir un service critique en situation de crise.
Ce que cela change pour les experts cyber
Membres du Club Experts Cybersécurité, cette actualité vous concerne directement. Parce qu’elle confirme une évolution de fond : les organisations publiques et parapubliques ne vont plus seulement demander des outils performants mais aussi des preuves de maîtrise.
Preuves de résilience, de réversibilité, d’auditabilité, de conformité, de continuité, de capacité à documenter les risques et à assumer les choix dans la durée.
La stratégie genevoise formalise d’ailleurs plusieurs principes directeurs qui vont dans ce sens : proportionnalité selon la criticité des services, maîtrise effective, neutralité technologique, réversibilité, préférence conditionnelle pour des solutions auditées et maîtrisables, soutenabilité et gouvernance explicite.
Autrement dit, la cybersécurité n’est plus seulement une couche de protection mais l’un des éléments d’un arbitrage plus large entre performance, risque, dépendance, coût, continuité et responsabilité. Bref le sujet de l’interclubs du 10 juillet 😉
Le vrai test sera l’exécution
Là où l’analyse doit rester critique, c’est sur le passage à l’opérationnel. Un cadre stratégique est utile mais ne suffit pas. Tout va se jouer dans la manière de qualifier une dépendance critique, de mesurer la concentration fournisseurs, d’évaluer la réversibilité réelle d’une solution, de maintenir les compétences internes et de documenter les arbitrages sans transformer le tout en mécanique administrative trop lourde.
Le canton prévoit des indicateurs autour des prestations critiques évaluées, de la maîtrise des dépendances, de la concentration fournisseurs, de la diversité du sourcing, de l’existence d’alternatives crédibles, de la réversibilité des solutions critiques, de la conformité juridique, de la résilience face aux incidents et des compétences clés.
Pour les adhérents Digital League, l’enseignement est clair : la souveraineté numérique ne se résumera pas à choisir un fournisseur local, européen, open source ou cloud souverain. Elle demandera de construire des trajectoires numériques plus claires, plus documentées et plus maîtrisées.
Au fond, Genève rappelle une chose simple : la souveraineté parfaite n’existe probablement pas, mais les dépendances aveugles, elles, existent bien.
Sources :
Communiqué de presse : https://www.ge.ch/document/44080/telecharger
Stratégie de souveraineté numérique de l’Etat de Genève : https://www.ge.ch/document/44081/telecharger