La transformation numérique de notre société doit s'accompagner d'une vraie réflexion sur notre souveraineté

Heureusement, de nouvelles opportunités dans le numérique sont possibles et le dynamisme de la French Tech le montre bien. Mais un paradoxe demeure : alors que l'accélération de la transformation numérique est en enjeu vital pour notre économie, nous observons une diminution de la souveraineté de l'économie française dans un contexte où les outils sont à très grande majorité américains. Ce phénomène est d'autant plus important que la tendance est aux solutions SaaS, pour lesquelles souvent ni la localisation des données ni une continuité de service indépendante ne sont garanties.

A moyen terme, pour retrouver la souveraineté numérique, il est donc clé de développer les éditeurs de solutions logicielles français et européens. Et, à plus court terme, il faut protéger la data avec des solutions souveraines ou de confiance, c'est une priorité : la data est maintenant la véritable valeur des entreprises françaises.

La crise de la Covid a fait émerger une multitude de cyberattaques. Les cybercriminels ont profité de la fragilité des entreprises : des salariés télétravaillant sans être outillés pour, du besoin de communiquer et de collaborer à distance, de se renseigner, etc. Le constat en France est double et alarmant. En effet, cette crise a permis de réaliser que le niveau de sécurisation des entreprises, en particulier des TPE-PME, est très faible. Mais parmi celles qui sont équipées, dans la majorité des cas, les outils utilisés ne sont pas européens.

Il semble donc urgent de développer non seulement la filière des services de cybersécurité, pour sécuriser notre tissu économique, mais aussi de faire croître la filière des éditeurs de solutions de cybersécurité, pour gagner en souveraineté. La France est déjà souveraine pour sa défense militaire, pour le maintien de l'ordre, ses services publics et ses activités vitales, ce que nous appelons les OIV (Organismes d'importance vitale). Mais il est aussi grand temps de bâtir notre souveraineté dans la défense numérique de notre tissu économique. La souveraineté numérique sera la conséquence du développement de leaders internationaux en France et en Europe.

La cybersécurité est une priorité pour la résilience, mais cette industrie est sous un plafond de verre en France

Il n'existe aujourd'hui pour ainsi dire quasiment aucune ETI française indépendante, éditant des solutions de cybersécurité, à vocation internationale. Dans ce secteur, la taille moyenne d'un éditeur américain est d'environ 50 fois la taille de son concurrent français.

Les sociétés de services de cybersécurité françaises font un travail remarquable auprès des entreprises, mais elles intègrent et infogèrent des solutions américaines, israéliennes ou asiatiques à 85% environ. Elles contribuent à améliorer le niveau de sécurité du tissu économique tout en augmentant la dépendance aux solutions étrangères. Les éditeurs de solutions de cybersécurité, quant à eux, fournissent les solutions conformes au marché et exportent : ce sont les éditeurs qui font l'industrie de la cybersécurité et qui peuvent garantir la souveraineté de la France et de l'Europe.

Il y a également un aspect culturel autour de la gestion économique des entreprises et ses fondateurs qui font que les investissements se tournent facilement vers l'Outre Atlantique. La start-up consomme du cash et est souvent amenée à changer de majorité et de dirigeant lorsqu'elle a réussi à croître et à devenir une "scale-up". En France, les FCPI (fonds commun de placement dans l'innovation) financent les start-ups et visent un "exit" dans les 5 ans. C'est souvent à ce stade que les entreprises commencent à freiner leur croissance ou deviennent américaines.

En France et en Europe, il est encore mal vu de privilégier l'hyper-croissance au détriment de la rentabilité. La culture du cash out partiel pour les fondateurs sur les levées de fonds est moins courante en Europe que cela ne l'est aux États-Unis. Pour les fondateurs, se dé-risquer en réalisant une plus-value est nécessaire aussi pour avoir l'audace d'être en hyper croissance.

De ce fait, les séries B et C des levées de fonds se font surtout aux Etats-Unis. Finalement, en France, il y a un fossé entre les très grosses entreprises et les startups qui se heurtent à un plafond de verre.

Favoriser la croissance sans protectionnisme

Le réflexe protectionniste dans un État de droit est souvent de créer des certifications. Cependant, cela ne favorise pas toujours la souveraineté : à coût égal cela pèse plus sur les petites entreprises françaises. C'est le cas par exemple de la réglementation RGPD ou la certification EAL délivrées par l'ANSSI, qui sont bien entendu nécessaires. D'ailleurs, une nouvelle certification ou une réglementation protectionniste peut être plus contraignante pour un éditeur français que pour un éditeur américain. Une certification supplémentaire donnerait raison au dicton :

Développer les contreparties des contraintes à l'IEF (Investissement Étranger en France) pour les activités sensibles semble indispensable. Il faut améliorer l'accès à la commande publique aux scale-up stratégiques et faciliter l'exit en Europe.

En contrôlant l'investissement étranger en France sans contrepartie, les éditeurs français de cybersécurité sont dévalorisés. Ce qui est vrai pour un fonds étranger l'est également pour un fonds français : quel exit peut-on attendre au bout des 5 ans d'investissements ?

Pour faciliter les investissements étrangers en France, il est nécessaire de développer la filière et la confiance internationale dans nos technologies. Le processus d'investissement étranger en France doit encore être clarifié.

Établir un cercle vertueux pour le développement de la cybersécurité en France

Le marché français est trop petit, avec moins de 4% du marché mondial, les alliances européennes sont nécessaires pour crédibiliser les éditeurs et leur faciliter l'accès au marché européen, notamment par la création d'un label.

Les donneurs d'ordres nationaux ou européens, les grandes entreprises mais également les PME, devraient considérer de façon plus active les offres nationales ou européennes pour que le marché local soit réellement existant : par une incitation fiscale, par exemple, ou une mention du code des marchés publics, ou encore, à minima par la connaissance des entreprises labellisées. Cette incitation devrait également concerner les grands intégrateurs et sociétés de service qui sont force de proposition.

Plusieurs grands fonds d'investissement de croissance devraient être spécialisés dans la cybersécurité et la Deep Tech des infrastructures IT et capables d'investir de 50 millions à 200 millions d'euros dans des sociétés de croissance qui ne sont pas encore à l'équilibre car en conquête de marché. Les grands donneurs d'ordres pourraient contribuer aux fonds d'investissement cybersécurité.

L'exit par entrée en bourse en Europe est en général sous valorisée pour les entreprises technologiques de croissance. Une incitation est peut être nécessaire pour les investissements tech en bourse.

La compétition favorise l'émergence de leaders. Pour se confronter à la concurrence, il est donc important que les entreprises de cybersécurité françaises vendent majoritairement à l'international, et ainsi favoriser l'achat de produits français qui font leurs preuves en compétition à l'international.