Forum InCyber Europe (FIC) 2026

1. « La souveraineté n'est pas l'autarcie » : un consensus de tribune

Le mot d'ordre est repris sur toutes les scènes. Henna Virkkunen (Commission européenne) parle de coopérer « avec confiance » sans se fermer ; la directrice du Campus Cyber de « choisir ses dépendances » plutôt que les subir ; Octave Klaba décrit trois niveaux de souveraineté (données, technologie, opérations). Le thème de l'édition, « Maîtriser nos dépendances numériques », a donc moins donné lieu à un débat sur le principe qu'à un débat sur les moyens. Clubic cite le directeur du Forum, Guillaume Tissier : l'interdépendance est un facteur de paix, elle ne devient dangereuse que lorsqu'elle est à sens unique.

2. Un diagnostic sévère sur la dépendance au cloud américain

Les chiffres convergent d'une scène à l'autre : au moins 70 % du marché cloud européen (Andy Yen), ~80 % des données des entreprises européennes dans des clouds américains (étude Asterès citée par Véronique Torner, Numeum). Andy Yen et Octave Klaba y voient une politique ancienne, bien antérieure à Trump, face à laquelle l'Europe a été « somnambule ». Joséphine Staron la relie à une construction européenne pensée pour la paix, pas pour créer des champions. Virginie Tournay (CNRS) ajoute la notion de dépendance cognitive : le numérique contraint moins l'action que la perception.

Le chiffre le plus repris est celui du Cigref : 264 Md€ par an d'achats de logiciel et de cloud auprès de l'industrie américaine, avec des hausses de prix d'environ 10 % par an qui pourraient le doubler d'ici 2031-2032 (Henri d'Agrain, Agora). Les promoteurs de l'Indice de résilience numérique y voient le passage d'un modèle propriétaire à un modèle « locatif », aggravé par la facturation au token de l'IA. IT for Business résume le déplacement du débat, de la souveraineté vers la mesure des dépendances : cartographier, mesurer, préparer la sortie (Guillaume Tissier, François Deruty, Arnaud Martin).

3. De la régulation à la politique industrielle

Réponse européenne affichée : un paquet « souveraineté technologique » (Chips Act 2.0, Cloud and AI Development Act, stratégie open source), la révision du Cybersecurity Act et son pilier « ICT supply chain security », les portefeuilles d'identité (Virkkunen). Mais les acteurs industriels veulent plus :

• une préférence européenne via la commande publique (Numeum, Campus Cyber) ;
• du « patriotisme » européen (Andy Yen) ;
• des commandes plutôt que des subventions (Octave Klaba, qui rappelle que le secteur public dépense ~10 Md€/an chez les hyperscalers américains).

Le goulot n'est pas l'absence d'alternatives européennes mais le passage à l'échelle. Deux freins reviennent : la fragmentation nationale (« chaque pays veut que le champion soit de sa nationalité ») et des institutions jugées trop lentes.

Côté gouvernement, Anne Le Hénanff défend la même préférence européenne et annonce une définition franco-allemande du « service numérique européen » (siège, hébergement, effectifs). À l'Agora, le Cigref dénonce la « fiction juridique » qui sépare risques techniques et non techniques dans la révision du Cybersecurity Act, et Philippe Miltin (OUTSCALE) prône une complémentarité avec les hyperscalers plutôt qu'un remplacement.

4. L'ANSSI : « Winter is coming », version printemps

Le discours de Vincent Strubel est le plus sombre de l'édition. Le numérique, construit pendant la « parenthèse des dividendes de la paix », n'est pas à la hauteur d'un monde qui se durcit : on perd la bataille des vulnérabilités, les attaques passent par le cloud, et le sabotage (Pologne) ou le prépositionnement (y compris en France) deviennent réalité. Ses réponses sont surtout de gouvernance : ne pas attendre NIS 2, un référentiel national commun, le CRA et les SBOM, la préparation post-quantique. Il refuse le « techno-solutionnisme » et le paradoxe d'une IA déployée aussi vite que le cloud, « en coupant les virages ».

C'est aussi l'intervention la plus reprise par la presse. Le Monde Informatique en retient la formule de la saucisse (plus d'informations fiables sur une saucisse que sur une solution numérique), le Journal du Net le « Winter is coming » et le post-quantique comme « urgence de long terme ». Anne Le Hénanff reprend elle aussi la consigne de ne pas attendre NIS 2.

5. L'IA dans l'offensif : accélérateur ou remplaçant ?

L'IA traverse tout le programme : Secure AI, agents IA, SOC « agentiques », démos. La table ronde sur le pentest en montre la ligne de fracture. Pour un éditeur (Aikido), l'IA fait déjà mieux que « la boîte de pentest moyenne ». Pour des praticiens (Patrowl, un cabinet d'audit), c'est un outil puissant mais bruité et coûteux, dont l'intuition humaine reste le pilote. Tous s'accordent sur trois conséquences : moins de postes juniors, des garde-fous indispensables (périmètre, contexte qui « oublie » des consignes), et une question de souveraineté quand le code client part vers un LLM américain.

Côté défense, le Journal du Net rapporte le conseil de Raphaël Marichez (Palo Alto Networks) de « considérer tout agent IA comme une potentielle menace cyber » et un délai d'exploitation des vulnérabilités tombé à 1,6 jour. À la table ronde sur le ransomware, Europol note que le « vibe coding » accélère la création de kits de phishing, mais que ces outils mal codés offrent aussi des failles aux enquêteurs.

6. Continuité d'activité : le rappel du terrain

Le témoignage de la Ville de Lille (cyberattaque de 2023) est le seul REX de victime couvert ici, et le plus concret : décider à l'avance de tout couper, lister les services qui tournent sans SI, payer les agents à l'aveugle pendant six mois, rallumer 3 300 postes un par un. La table ronde « Combien coûte vraiment une cyberattaque ? », rapportée par le Portail de l'IE, complète ce tableau : 5 à 6 jours de paralysie en moyenne, des coûts cachés (réputation, sanctions, burn-out), la consigne de ne pas payer de rançon. Même conclusion des deux côtés : la préparation humaine et organisationnelle compte plus que l'outillage.

La keynote d'Ashish Shrestha, ex-CISO de Jaguar Land Rover, pousse l'argument jusqu'à la personne : l'organisation active son plan de reprise, « mais la personne qui la dirige n'en a pas » (journées de plus de 20 heures, harcèlement des attaquants). Dans la presse, IT for Business et Nuabee relaient le même écart entre discours et capacité : plus de 90 % des organisations disent avoir une stratégie de cyber-résilience, 45 % seulement se sentent capables de contenir vite une attaque et 8 % de confiner une charge compromise en temps réel.

7. Cybercrime : de la technique à la donnée

La table ronde sur l'industrialisation du cybercrime (Gendarmerie, OFAC, Europol, éditeurs) décrit un marché organique de services spécialisés et une triple hybridation entre groupes cyber, criminalité organisée et États hostiles. Les forces de l'ordre jugent les attaques contre les SI élevées mais stables ; ce qui change, c'est l'exploitation des données volées pour cibler des personnes, jusqu'aux enlèvements liés aux cryptoactifs. Comme la France ne paie pas les rançons, certains groupes passent du chiffrement à l'exfiltration pure. INCYBER News (média de l'organisateur) et Le Pandore relaient la même lecture et la réponse de l'État : judiciarisation systématique, coopération européenne (Europol), filtre anti-arnaque confié à l'OFAC.

8. La vie du salon : start-up, réseaux et exposants

• Prix de la Startup : premier prix du Président de la République pour VirtualBrowser ; Label4.AI cumule le prix de la recherche et le coup de cœur. IT for Business lit ces lauréats comme des entreprises qui « parlent exécution » plus que belles histoires.
• Réseaux : le CEFCYS revendique une quarantaine de membres présents, un événement 100 % féminin et une table ronde « privacy by design » ; la Métropole européenne de Lille met en avant 25 entreprises incubées par le Campus Cyber Hauts-de-France.
• Exposants : ADACIS a présenté son outil OSINT Basileak à l'OSINT Day ; B2C Engineering, venu avec des clients industriels, note l'écart entre démonstrations et contraintes réelles de l'OT.
• Fréquentation : environ 18 000 participants selon Alliancy (17 200 visiteurs et 730 partenaires selon Nuabee), pour 20 000 annoncés. Le thème 2027 annoncé est « le dilemme de l'autonomie ».

9. Tensions et critiques

• Discours contre réalité : le consensus sur la préférence européenne contraste avec l'aveu, sur plusieurs scènes, que « tout le monde n'est pas d'accord sur la manière de faire » et que les pays nordiques s'y opposent (Staron).
• Sovereign washing : Andy Yen met en garde contre des « clouds souverains » qui reposent sur des technologies américaines, « pire que l'insécurité : la perception de sécurité ».
• Élus peu mobilisés : à Lille, une trentaine de maires sur plus de 500 sont restés écouter le retour d'expérience de la cyberattaque.
• Un salon très institutionnel : la plupart des prises de parole sont officielles (Commission, ANSSI, ministres) ou le fait de sponsors (démos, « IT » talks), ce qui rend la tonalité d'ensemble difficile à évaluer.
• Souveraineté contre innovation : à l'Agora, la Banque mondiale met en garde contre la fragmentation des certifications et un protectionnisme qui freinerait l'accès à l'innovation ; un député rappelle que SecNumCloud n'est « pas l'alpha et l'oméga » de la souveraineté.
• Récit de victime et chiffres : Ashish Shrestha parle d'un redémarrage « en quelques semaines », quand Nuabee rappelle une reprise de JLR à la mi-novembre et une chute des ventes de 43,3 %.
• PME oubliées : NIS 2 couvrira environ 15 000 entités pour 160 000 PME en France, s'inquiète un éditeur à la table ronde ransomware.

10. Biais du corpus

Aucun post LinkedIn de participant individuel n'a été trouvé : les retours viennent d'étudiants de l'École de Guerre Économique (Portail de l'IE, dont une intervenante), de la presse spécialisée, du média de l'organisateur (INCYBER News) et d'exposants qui racontent surtout leur propre présence (OUTSCALE sur sa table ronde, Nuabee, ADACIS). Cette synthèse décrit donc encore largement le discours porté sur scène (via les replays officiels) plus que sa réception, et ne couvre qu'une petite fraction de centaines de sessions.