Forum InCyber Europe (FIC) 2025

1. Un forum sur la confiance, tenu en pleine rupture transatlantique

Le thème avait été choisi avant le retour de Donald Trump, reconnaît Guillaume Tissier. Il est pourtant devenu le fil rouge involontaire des trois jours. Le premier jour, le panel « l'Europe sous pression » débat d'un désengagement américain que Gérard Araud juge structurel et Jonathan Cohen conjoncturel. Le dernier jour, Clara Chappaz ouvre son discours sur les 20 % de droits de douane annoncés la veille, une « guerre idiote ». Entre les deux, Stéphane Richard parle de « haine » envers l'Europe dans les échanges de dirigeants américains, et le général Lecouffe (Europol) d'une ambiance « plutôt négative » malgré une coopération opérationnelle intacte. Cette édition est donc moins un débat technique sur le Zero Trust qu'une prise de conscience géopolitique, que la presse (ChannelBiz, Régions Magazine) résume par le mot d'ordre « reconstruire la confiance ».

2. Dépendance numérique : un diagnostic partagé, des remèdes concurrents

Les chiffres se répondent d'une scène à l'autre :

• 75 % du cloud français contrôlé par des acteurs étrangers et 80 % des logiciels métiers américains (François-Noël Buffet) ;
• 120 Md€ d'achats numériques partant chaque année aux États-Unis (Jean-Noël de Galzain, citant Bpifrance) ;
• 300 Md€ d'épargne européenne investis outre-Atlantique (Augustin de Romanet, citant le rapport Draghi).

Mais les remèdes divergent. Patrick Pouyanné réclame un cloud européen et un régulateur unique, tout en jugeant que les clouds souverains nationaux « ne sont pas adoptés » et que Bleu, « à la fin, c'est du Microsoft ». Hexatrust appelle à flécher la commande publique vers les éditeurs français et européens, et cite le contrat Microsoft de l'Éducation nationale. Clara Chappaz assure que des solutions européennes compétitives existent. Tariq Krim, lui, ramène le problème à la capacité à construire des produits à l'échelle. La table ronde EUCS montre le même blocage au niveau européen : l'ENISA ne donne plus de date, alors que la demande SecNumCloud augmente de 70 % en un an (AFNOR Certification). Ce débat se poursuivra au FIC 2026, où Octave Klaba et Andy Yen contesteront l'argument de l'absence d'alternative.

3. Max Schrems et le « château de cartes » des transferts de données

L'intervention la plus concrète sur les risques juridiques vient de Max Schrems. Tout le cadre de transfert UE-États-Unis repose sur un seul décret présidentiel, révocable d'une signature, voire en secret. Les offres d'hébergement « en Europe » relèvent selon lui largement du coup de communication. Son conseil, préparer un plan de contingence, est repris deux jours plus tard par l'avocate Garance Mathias à la table ronde EUCS, qui rappelle qu'une clause contractuelle ne protège jamais d'une demande extraterritoriale.

4. Le Zero Trust ramené sur terre

Sur le thème officiel, la plénière du 2 avril est d'accord sur l'essentiel : le mot est mal choisi. Le CESIN propose de parler de « confiance contextuelle », le panel OTAN-Zalando-Eesti Energia de « pas de confiance par défaut », et Google rappelle que « la sécurité périmétrique n'est pas morte ». Tous décrivent un chemin progressif plutôt qu'un produit : l'identité d'abord, puis l'inventaire et l'automatisation. La salle de sport sert d'image : tout le monde sait qu'il faut y aller, peu y vont. Vincent Strubel ajoute une nuance : la complexité n'a de sens que si on la maîtrise, et beaucoup d'organisations en sont loin. Olivier Parent pousse la réflexion hors de l'informatique : appliqué aux relations humaines (crédit social, fin de l'anonymat), le Zero Trust devient toxique.

5. ANSSI : NIS 2 et Résilience pour ceux qui étaient hors du radar

Le discours de Vincent Strubel, le plus repris par la presse spécialisée (Le Monde Informatique, Zataz), porte sur deux menaces : les équipements de bordure, à l'origine de plus de la moitié des opérations de cyberdéfense de 2024, et la déstabilisation. Sa réponse s'adresse aux petites structures : la loi Résilience (NIS 2, REC, DORA), le portail MesServicesCyber, les CSIRT régionaux articulés avec le 17Cyber, l'exercice REMPAR25. Clara Chappaz et Xavier Bertrand reprennent ce thème de la cybersécurité « pas réservée aux grands » ; la région revendique plus de 1 000 audits financés et juge ce chiffre insuffisant. La table ronde sur la notation propose de faire de NIS 2 le référentiel maître pour évaluer les fournisseurs et mettre fin à la multiplication des questionnaires.

6. Cybercriminalité : industrialisation, IA et chiffrement

La plénière du 3 avril brosse un tableau cohérent : un écosystème criminel organisé en spécialités et vendu « clé en main », hybride avec le crime organisé et les États, accéléré par l'IA (escroqueries en 26 langues, contenus pédocriminels synthétiques). Les rançongiciels se déplacent vers les PME, les collectivités et la santé. Une bonne nouvelle est relevée : pour la première fois en quatre ans, Cybermalveillance.gouv.fr enregistre une baisse des demandes liées aux rançongiciels, attribuée en partie aux opérations Endgame et LockBit. Le point dur reste l'accès aux données chiffrées. François-Noël Buffet défend la loi narcotrafic, Catherine De Bolle et le général Lecouffe plaident pour un accès légal « ciblé » et tracé en refusant le mot de porte dérobée. Aucun intervenant de la société civile ne porte la position inverse sur ces scènes.

7. Le facteur humain : retours de terrain et responsabilité des RSSI

Deux témoignages tranchent avec les discours institutionnels. L'hôpital d'Armentières raconte une attaque découverte par des imprimantes qui crachent la note de rançon, 72 heures d'urgences fermées et des équipes qui ne savaient plus travailler sans informatique ; d'où la « crashbox » désormais généralisée et une convalescence de plus d'un an. Joe Sullivan raconte sa condamnation après l'affaire Uber. Selon lui, le métier de RSSI fait désormais peur, et la responsabilité doit remonter jusqu'au PDG. Côté IA, Google DeepMind et Giskard présentent le benchmark indépendant Phare. Ils montrent que des modèles bien notés peuvent halluciner, reproduire des stéréotypes ou valider des comportements dangereux, surtout les petits modèles.

8. La vie du salon

• Fréquentation : 18 200 participants (+5 %), environ 700 organisations partenaires, 500 intervenants, 89 délégations étrangères, 20 % de visiteurs internationaux (ChannelBiz, SDBR News).
• European Cyber Cup : 5e édition, 25 équipes et 250 joueurs, victoire de l'ESNA de Bruz devant l'École 2600 et Oteria (Zataz). Damien Bancal y relève aussi la visite d'élus nationaux et locaux.
• International : le Forum annonce sa première édition américaine (San Antonio, juin) et japonaise (Tokyo, décembre), en plus de Montréal ; la délégation japonaise vient la présenter sur scène.
• Exposants : NumSpot et Atempo présentent une sauvegarde « 100 % souveraine », v6Protect publie des interviews, Hexatrust lance l'Exadiag pour les PME (Le Monde Informatique).

9. Tensions et critiques

• Souveraineté affichée, achats réels : la contradiction entre la promotion de SecNumCloud et les contrats Microsoft de l'Éducation nationale ou de Polytechnique revient chez Hexatrust, à la table ronde EUCS et dans les questions de la salle.
• Régulation, frein ou capital ? Patrick Pouyanné juge le principe de précaution « le pire des principes » et la régulation de l'IA prématurée ; François-Noël Buffet parle d'une « frilosité » normative ; Guillaume Tissier et Clara Chappaz défendent au contraire un capital réglementaire « pas à vendre ».
• Chiffrement : le discours des forces de l'ordre sur l'accès légal n'est contredit sur aucune des scènes plénières, alors que la loi narcotrafic faisait débat dans la filière (le ministre lui-même évoque l'inquiétude des acteurs de la cybersécurité).
• Méfiance envers le salon lui-même : Damien Bancal (Zataz) relève le paradoxe d'un stand de sensibilisation qui demande d'installer une application, et s'interroge sur les chiens-robots et le filmage de l'événement.
• Un Europe-centrisme assumé ? Un participant à la table ronde EUCS reproche au débat de ne regarder que le « péril » américain.

10. Biais du corpus

Aucun post LinkedIn ni billet de participant individuel n'a été trouvé. Cette synthèse repose sur les replays officiels (22 transcripts, sous-titres automatiques), une presse qui reprend surtout les discours officiels et quelques bilans d'exposants centrés sur leur propre présence. Elle décrit donc ce qui a été dit sur les grandes scènes plus que sa réception. Elle ignore aussi presque entièrement les dizaines de tables rondes, démos et événements associés (CFI, ID Forum, Trust & Safety, OSINT) dont les replays existent.