Qui tient le cloud tient l’Europe : décryptage d’une dépendance critique

7 juillet 2025 Plus de 80 % du commerce extérieur de l'UE transite par des ports équipés de grues chinoises, des hôpitaux fonctionnent sur des logiciels américains soumis au Cloud Act, des réseaux électriques dépendent de SCADA non auditables. Cette dépendance numérique généralisée place l'Europe dans une position de vulnérabilité géopolitique sans précédent.

Chapitre 1. Ports européens : une dépendance numérique et algorithmique

1.1. Un enjeu stratégique de souveraineté

Plus de 80 % du commerce extérieur de l'Union européenne transite par ses terminaux maritimes, véritables artères de l'économie continentale. Leur fonctionnement repose désormais sur une triade : matériel automatisé, logiciels de pilotage et réseaux de données.

Or, chacun de ces maillons est dominé par des fournisseurs chinois ou américains soumis à des régimes extraterritoriaux, faisant des ports un talon d'Achille cyber-stratégique pour l'UE.

1.2. Dépendance matérielle : les grues « intelligentes » chinoises

ZPMC, géant d'État chinois, équipe la majorité des terminaux européens. Il représentait encore environ 40 % des livraisons mondiales de portiques en 2024 (contre 27 % pour Konecranes).

Les portiques ZPMC arrivent pré-assemblés, avec leurs propres automates et modems 4G/5G. Ces accès distants facilitent la maintenance, mais aussi la prise de contrôle ou l'exfiltration de données. Le Pentagone a publiquement qualifié ces grues de « menace potentielle » après la découverte de modules d'espionnage au port de Baltimore.

Risque identifié : un « kill-switch » logiciel pourrait bloquer les opérations ou cartographier les flux militaires et énergétiques en temps réel.

1.3. Dépendance logicielle : les Terminal Operating Systems (TOS)

Les TOS orchestrent chaque conteneur, chaque grue, chaque camion. Le marché est dominé par Navis N4 (US), Tideworks (US) ou CyberLogitec (Corée). Ces plateformes gèrent douane, planification navires, facturation ; une compromission du TOS suffit à paralyser un port entier ou à masquer un trafic illicite.

mermaidflowchart TB
    subgraph Port["Terminal portuaire européen"]
        A[Navire] --> B[Portique ZPMC]
        B --> C[TOS Navis/Tideworks]
        C --> D[Camions/Rail]
    end
    
    subgraph Dependances["Dépendances extraterritoriales"]
        E[Firmware ZPMC - Chine] --> B
        F[Serveurs TOS - US] --> C
        G[Cloud AWS/Azure] --> C
        H[Capteurs IoT - Chine/US] --> C
    end
    
    subgraph Risques["Vecteurs de menace"]
        E --> I[Kill-switch distant]
        F --> J[Cloud Act / FISA]
        G --> K[Panne cloud]
        H --> L[Exfiltration données]
    end
    
    style E fill:#dc2626,color:#ffffff
    style F fill:#f97316,color:#ffffff
    style I fill:#7c3aed,color:#ffffff
    style J fill:#7c3aed,color:#ffffff

1.4. Le réseau : IoT portuaire et données en clair

Capteurs IoT (RFID, LIDAR, météo) et réseaux industriels (OPC-UA, Modbus/TCP) transmettent en temps réel des gigaoctets de données sensibles : localisation des cargaisons stratégiques, typologies de fret militaire, dates d'escale.

Chiffrement partiel : beaucoup de liaisons Wi-Fi ou LTE des engins portuaires n'utilisent qu'un VPN applicatif minimal.

Cloud non souverain : données analytiques stockées sur AWS ou Azure via les API des éditeurs TOS.

1.5. Scénarios de menace

Incidents de référence :

1.6. Recommandations opérationnelles

1.7. Pourquoi agir maintenant ?

Temps d'inertie élevé : remplacer un parc de portiques ou migrer un TOS prend 5 à 10 ans.

Effet domino : un seul port hub touché (Rotterdam, Anvers) perturbe tout le corridor Rhin-Alpin.

Fenêtre de financement : le plan d'investissement stratégique de l'UE prévoit des enveloppes pour l'infrastructure critique. C'est le moment d'enclencher un réarmement portuaire numérique.

Chapitre 2. Réseaux énergétiques : les risques d'une souveraineté numérique compromise

2.1. Les enjeux critiques du réseau énergétique européen

En dix ans, les réseaux de transport et de distribution d'électricité sont devenus de véritables systèmes d'information temps-réel : capteurs PMU, automates PLC, SCADA, plateformes d'optimisation cloud.

Le marché mondial du power-SCADA a plus que doublé entre 2014 et 2024 et devrait dépasser 5,6 milliards de dollars d'ici 2034. Or la quasi-totalité de ces solutions repose sur des équipements et des logiciels conçus hors UE.

2.2. Les cerveaux du réseau : SCADA et automates non souverains

Les postes électriques, dispatchings nationaux et parcs d'EnR fonctionnent grâce à des suites SCADA dominées par cinq groupes : ABB (CH), Siemens (DE), Schneider Electric (FR), Emerson (US) et Rockwell Automation (US).

Cette dépendance n'est pas qu'industrielle ; elle est cyber : en avril 2025, la CISA a publié cinq alertes critiques visant des failles dans les automates Siemens, Schneider et ABB implantés dans des centrales européennes. Un seul patch manqué peut offrir un accès administrateur à un poste source haute tension.

2.3. Capteurs intelligents et IoT énergétique sous firmware opaque

Compteurs intelligents : les Linky ou Gazpar intègrent des modules radio et des micro-contrôleurs importés ; des chercheurs ont montré qu'un paquet TCP forgé pouvait redémarrer à distance certains compteurs gaz connectés.

Éoliennes et PV : GE, Vestas ou Huawei SCADA envoient leurs télémétries vers des clouds hors UE ; l'edge computing reste propriétaire.

Data centers et BMS : Schneider et ABB fournissent les systèmes de gestion d'énergie de salles IT, eux-mêmes hébergés sur AWS ou Azure, créant une boucle de dépendance circulaire.

2.4. Externalisation cloud : le nouveau point de défaillance unique

Plusieurs gestionnaires européens expérimentent déjà le « grid-as-code » sur AWS ou Azure pour croiser météo, prix spot et dispatching.

Or la section 702 du FISA américain permet à Washington d'exiger les données stratégiques stockées par un opérateur US, même hébergées en Europe. Un arrêt souverain ou une simple panne cloud pourrait empêcher la planification temps-réel du réseau d'équilibrage continental.

2.5. Incidents et scénarios de menace

Scénarios de menace identifiés :

2.6. Recommandations opérationnelles

Chapitre 3. Logistique terrestre : une vulnérabilité numérique systémique

3.1. Le pivot vital de l'économie européenne

Entreposage, tri, rail, route et fret aérien constituent le système nerveux de l'industrie : sans eux, production « just-in-time », e-commerce, pharmaceutique ou défense se figent.

Or cette logistique est aujourd'hui pilotée par des logiciels, des capteurs et des clouds avant tout américains. La moindre faille dans cette pile numérique peut bloquer des chaînes entières, de l'usine au supermarché.

3.2. WMS / TMS / MES : dominés par des hyperscalers US

SAP EWM, Oracle WMS, Blue Yonder ou Manhattan Associates couvrent l'essentiel du marché européen ; la version cloud de SAP EWM est typiquement hébergée sur Azure, AWS ou GCP.

Ces solutions gèrent inventaires, douanes, facturation et RFID ; un seul SaaS compromis suffit à arrêter un hub de plusieurs centaines de milliers de colis. Même lorsque l'éditeur est européen (SAP), l'hébergement hors UE place les données sous Cloud Act ou FISA.

3.3. Flottes connectées et IoT logistique sous firmware opaque

Boîtiers télématiques (Trimble, Verizon), capteurs température-humidité, scanners LiDAR : tous se synchronisent via API cloud. Les données de géolocalisation, de fret sensible ou de maintenance préventive traversent des serveurs non souverains, parfaits points d'espionnage industriel.

mermaidflowchart LR
    subgraph Flotte["Flotte logistique"]
        A[Camions] --> B[Boîtiers télématiques]
        C[Entrepôts] --> D[WMS/TMS]
        E[Rail] --> F[Systèmes ERTMS]
    end
    
    subgraph Cloud["Infrastructure cloud US"]
        B --> G[API Trimble/Verizon]
        D --> H[SAP/Oracle Cloud]
        G --> I[AWS/Azure]
        H --> I
    end
    
    subgraph Risques["Exposition"]
        I --> J[Cloud Act]
        I --> K[FISA 702]
        I --> L[Panne régionale]
    end
    
    style G fill:#f97316,color:#ffffff
    style H fill:#f97316,color:#ffffff
    style J fill:#dc2626,color:#ffffff
    style K fill:#dc2626,color:#ffffff

3.4. Retour d'expérience : incidents emblématiques

Enseignements clés :

3.5. Risques systémiques identifiés

3.6. Recommandations opérationnelles

Chapitre 4. Hôpitaux européens : des systèmes critiques sous menace

4.1. Une numérisation sous dépendance étrangère

Dossier patient électronique, bloc opératoire robotisé, télémédecine : le système de santé européen repose désormais sur des plateformes américaines (Epic, Cerner-Oracle, Meditech) et des clouds extraterritoriaux.

En 2024, Epic encourageait ses hôpitaux clients à migrer leurs données vers AWS Ireland pour « garantir la résilience » face aux ransomwares, tout en exposant ces données à la section 702 du FISA.

4.2. Systèmes d'information hospitaliers : l'EHR, point de défaillance unique

Epic, Cerner-Oracle, Meditech dominent plus de 60 % du marché EHR en Europe occidentale. La majorité des instances SaaS sont hébergées sur AWS, Azure ou Google Cloud, soumettant les dossiers médicaux au droit extraterritorial américain.

Perte d'accès = perte de soin : lors des tests IRE (Independent Read-only Environment) réalisés par Epic en 2024, la durée moyenne d'indisponibilité sans plan B dépassait 3 heures.

4.3. Dispositifs médicaux intelligents : firmware opaque et portes dérobées

Respirateurs, moniteurs, IRM embarquent des micro-contrôleurs et OS propriétaires.

En mars 2025, la CISA a détecté une backdoor dans le firmware Contec CMS8000, moniteur utilisé dans des milliers de réanimations européennes.

Philips publie chaque mois des security advisories (18 failles critiques depuis janvier 2024) sur ses scanners et pompes à perfusion, correctifs disponibles uniquement via contrat de maintenance constructeur.

4.4. Retour d'expérience : le rançongiciel comme arme de masse

Facteurs aggravants identifiés :

4.5. Risques systémiques

4.6. Feuille de route pour une résilience sanitaire

Chapitre 5. Systèmes financiers européens : dépendance numérique et risques associés

5.1. Les infrastructures financières à risque

Qu'il s'agisse de payer un café, de compenser un milliard d'euros sur TARGET2 ou de régler un swap de devises, chaque couche de la finance européenne repose sur des briques matérielles, logicielles et cloud surtout américaines.

Cette dépendance place l'Union dans une position de vulnérabilité géopolitique : sabotage économique, pression réglementaire extraterritoriale, surveillance systémique.

5.2. La couche terminale : POS et wallets dominés par l'étranger

Visa/Mastercard contrôlent plus de 92 % du paiement par carte en Europe (hors réseaux domestiques résiduels). Les terminaux de paiement (Ingenico, Verifone) et les wallets mobiles (Apple Pay, Google Pay) ajoutent des couches de dépendance supplémentaires.

5.3. Réseaux interbancaires : SWIFT et la weaponisation du dollar

SWIFT a prouvé son pouvoir d'exclusion : l'éviction de banques russes en mars 2022 a montré qu'une décision politique peut couper un État de la finance mondiale en 48 heures.

Les règlements en dollars passent presque toujours par une banque US ; dès 2022, le gel de 300 milliards de dollars de réserves russes a illustré la « weaponisation » du dollar.

mermaidflowchart TB
    subgraph Europe["Système financier UE"]
        A[Banques européennes] --> B[TARGET2]
        A --> C[SWIFT]
        D[Fintechs] --> E[Core banking cloud]
    end
    
    subgraph US["Contrôle américain"]
        C --> F[Messagerie SWIFT - BE]
        F --> G[Banques correspondantes US]
        E --> H[AWS/Azure]
        I[Visa/Mastercard] --> J[Clearing US]
    end
    
    subgraph Risques["Points de vulnérabilité"]
        G --> K[Sanctions OFAC]
        H --> L[Cloud Act]
        J --> M[Exclusion unilatérale]
    end
    
    style K fill:#dc2626,color:#ffffff
    style L fill:#dc2626,color:#ffffff
    style M fill:#dc2626,color:#ffffff

5.4. Cloud banking et cores système : la base de données hors UE

Nombre de banques régionales migrent leur core banking vers Oracle FLEXCUBE ou Temenos T24, hébergés sur AWS/Azure.

Les fintechs et néobanques européennes tirent parti d'offres Platform as a Service (Snowflake, Palantir Foundry) : extraction juridique via le CLOUD Act, même si les serveurs sont physiquement en Europe.

5.5. Risques systémiques

5.6. Incidents révélateurs et scénarios de risque

Risques systémiques identifiés :

5.7. Feuille de route pour une souveraineté financière

Chapitre 6. Défense européenne : une souveraineté militaire compromise

6.1. La dépendance technologique : constat général

Capteurs, drones, satellites, logiciels tactiques, cloud secret : les armées européennes achètent la quasi-totalité de leurs briques critiques aux États-Unis ou, pour certaines, à la Chine.

Cette externalisation place les capacités militaires sous le coup du Cloud Act, des export-control US (ITAR), des lois chinoises sur la sécurité nationale, et de chaînes d'approvisionnement micro-électroniques que l'UE ne maîtrise pas.

6.2. Drones : l'exemple d'une dépendance flagrante

En 2025, Bruxelles appelle à produire « des millions de drones d'ici 2030 » après avoir reconnu que la plupart des micro-drones utilisés en Ukraine étaient chinois (DJI) ou issus de kits US ; l'Europe n'en fabrique presque aucun.

Les états-majors testent encore des DJI pour la logistique légère, faute d'alternative européenne.

Risques : exfiltration vidéo temps réel, kill-switch logiciel, brouillage GPS facilité par la connaissance du firmware.

6.3. Spatial et GNSS : l'autonomie orbitale sous contraintes

Faute de lanceurs disponibles, l'UE négocie des conditions strictes avec Washington pour lancer certains satellites Galileo depuis le sol US.

De nombreux sous-assemblages (FPGAs, rad-hard SoC) restent fabriqués aux États-Unis ou à Taïwan ; toute sanction ITAR bloquerait la cadence de production.

6.4. Logiciels tactiques et cloud : l'hyperscale hors d'Europe

De nombreux systèmes de commandement utilisent des briques Microsoft ou AWS GovCloud. Les données tactiques transitent par des infrastructures soumises au droit américain.

6.5. Risques spécifiques et scénarios de menace

Cas concrets documentés :

mermaidflowchart TB
    subgraph Dependances["Chaîne de dépendance défense UE"]
        A[Conception UE] --> B[Composants US/TW]
        B --> C[Assemblage UE]
        C --> D[Logiciels US]
        D --> E[Cloud US/OTAN]
    end
    
    subgraph Controle["Points de contrôle étrangers"]
        B --> F[ITAR/EAR]
        D --> G[Cloud Act]
        E --> H[Accès Five Eyes]
    end
    
    subgraph Risques["Risques opérationnels"]
        F --> I[Embargo soudain]
        G --> J[Exfiltration données]
        H --> K[Dépendance décisionnelle]
    end
    
    style F fill:#dc2626,color:#ffffff
    style G fill:#dc2626,color:#ffffff
    style H fill:#dc2626,color:#ffffff

6.6. Recommandations stratégiques

Conclusion : reprendre le contrôle de notre socle numérique

Un constat sans appel

L'examen des six secteurs critiques révèle une dépendance numérique profonde de l'Union européenne envers des infrastructures matérielles, logicielles et cloud régies par des législations étrangères.

Cette situation n'engendre pas de pannes permanentes, mais elle crée un risque géopolitique latent : accès extraterritorial aux données, pressions réglementaires et possibilité de sabotage ou d'indisponibilité simultanée lors d'un incident majeur.

Matrice de risque transversale

L'autarcie n'est pas la solution

L'autarcie technologique serait illusoire. Les chaînes d'innovation mondiales contribuent à la compétitivité européenne. L'enjeu consiste à réduire l'exposition aux points de vulnérabilité tout en préservant les atouts d'un écosystème ouvert.

Plan d'action européen pour la souveraineté numérique

Un calendrier exigeant

Plusieurs années sont nécessaires pour remplacer un système d'exploitation portuaire ou moderniser un réseau SCADA. Une décennie peut être requise pour relocaliser des filières micro-électroniques stratégiques.

Plus l'action est différée, plus la trajectoire de dépendance s'allonge.

Feuille de route prioritaire

Un impératif de souveraineté

La souveraineté numérique n'est ni un slogan protectionniste ni un luxe stratégique ; c'est une condition fondamentale de résilience économique, sociale et démocratique.

L'Europe dispose déjà des compétences, des marchés et d'un cadre budgétaire favorables. Le véritable défi consiste à transformer cette prise de conscience en programmes concrets, mesurables et agencés dans le temps, afin de sécuriser le socle invisible sur lequel reposent l'économie et la vie quotidienne des citoyens du continent.

mermaidflowchart LR
    subgraph Situation["Situation actuelle"]
        A[Dépendance généralisée] --> B[Risque latent]
    end
    
    subgraph Action["Plan d'action"]
        C[Audit dépendances] --> D[Alternatives souveraines]
        D --> E[Modes dégradés]
        E --> F[Exercices réguliers]
    end
    
    subgraph Objectif["Objectif 2035"]
        G[Autonomie stratégique] --> H[Résilience opérationnelle]
        H --> I[Souveraineté numérique]
    end
    
    B --> C
    F --> G
    
    style A fill:#dc2626,color:#ffffff
    style I fill:#16a34a,color:#ffffff

Glossaire

ADR : Accord européen relatif au transport international des marchandises Dangereuses par Route.

AWS / Azure / GCP : grands hyperscalers de cloud public (Amazon Web Services, Microsoft Azure, Google Cloud Platform).

BMS : Building Management System, supervision technique des bâtiments.

CISA : Cybersecurity & Infrastructure Security Agency américaine.

Cloud Act : loi US (2018) autorisant la justice américaine à exiger des données auprès d'entreprises US, même stockées hors des États-Unis.

Digital Twin : modèle virtuel temps-réel répliquant un système physique.

EHR : Electronic Health Record, dossier patient électronique.

ENISA : agence européenne pour la cybersécurité.

ENTSO-E : association des gestionnaires de réseaux de transport d'électricité européens.

FISA 702 : article du droit américain autorisant la collecte, sans mandat, de données détenues par des entreprises US.

FPGA : Field-Programmable Gate Array, circuit logique reconfigurable.

ICS / SCADA : Industrial Control System / Supervisory Control And Data Acquisition.

IoT : Internet of Things, réseau d'objets connectés.

ITAR : réglementation US contrôlant l'exportation de matériels militaires.

MES : Manufacturing Execution System, logiciel de gestion d'atelier.

OT : Operational Technology, systèmes pilotant des procédés physiques.

PLC : Programmable Logic Controller, automate programmable industriel.

PMU : Phasor Measurement Unit, capteur haute précision pour réseaux électriques.

SWIFT : réseau mondial de messagerie interbancaire.

TARGET2 : système européen de règlement brut en temps réel.

TMS / WMS / TOS : Transportation / Warehouse / Terminal Operating System.

ZPMC : Shanghai Zhenhua Heavy Industries Co., principal fabricant chinois de portiques.

Sources et références

Ports et logistique

Énergie

Santé

Finance

Défense

Cloud et conformité

Cet article est publié sous licence Creative Commons BY-NC-SA.