Résilience numérique : « La question n’est plus de savoir si nous sommes dépendants, mais ce que nous faisons lorsque cette dépendance devient un problème », rencontre avec Tristan Nitot, senior manager et formateur chez OCTO Technology

Entre dépendance aux géants technologiques, tensions géopolitiques, cybersécurité et continuité d’activité, la résilience numérique devient un enjeu de plus en plus stratégique pour les organisations.

Pour les aider à mieux comprendre, évaluer et anticiper ces dépendances, nous venons d’intégrer à notre catalogue une nouvelle formation dédiée à l’Indice de Résilience Numérique (IRN), proposée en partenariat avec Ascend Partners.

Mais que mesure réellement cet indice ? Quels risques permet-il de mettre en lumière ? Et comment une organisation peut-elle concrètement renforcer sa résilience numérique ?

Pour mieux comprendre ces enjeux et la démarche qui se cache derrière l’IRN, nous avons échangé avec Tristan Nitot, consultant OCTO Technology et l’un des acteurs engagés dans la promotion de cette démarche.

L’Indice de Résilience Numérique part d’un constat simple : l’Europe est devenue fortement dépendante d’acteurs technologiques étrangers, notamment américains et chinois. Aujourd’hui, une grande partie des infrastructures, logiciels et services numériques qui font fonctionner nos entreprises reposent sur ces fournisseurs.

Or, le numérique est devenu critique. Si certains services venaient à disparaître, à être interrompus ou à ne plus être considérés comme suffisamment fiables, c’est parfois toute l’activité de l’entreprise qui pourrait être impactée.

Pendant longtemps, on a parlé de « souveraineté numérique ». Ce terme me paraît toutefois imparfait, car la souveraineté concerne avant tout les États. Je préfère parler d’autonomie stratégique. L’enjeu consiste à comprendre sur quoi nous dépendons et jusqu’à quel point ces dépendances peuvent devenir problématiques.

La résilience numérique apporte justement cette perspective. Elle consiste à identifier les vulnérabilités présentes dans un système d’information, à évaluer les risques associés et surtout à se poser une question essentielle : si ce service critique disparaît demain, avons-nous un plan B ?

L’IRN est né de cette réflexion. Avec l’aDri (Association for Digital Resilience Initiative), nous avons souhaité créer un référentiel permettant aux organisations d’évaluer leur niveau de résilience numérique grâce à une méthodologie structurée et un système de notation.

Pourquoi la résilience numérique est-elle devenue un enjeu stratégique pour les organisations aujourd’hui ? Qu’est-ce qui a changé ces dernières années ?

Le débat autour de la souveraineté numérique ou de l’indépendance stratégique n’a pas toujours permis d’engager concrètement les organisations.

La notion de résilience numérique, en revanche, parle davantage aux dirigeants parce qu’elle touche directement à la continuité d’activité. Elle permet de poser la question sous un angle très opérationnel : que se passe-t-il si un fournisseur stratégique n’est plus disponible ? Comment assurons-nous la continuité de nos services ?

Cette approche rend le sujet beaucoup plus actionnable. Elle permet d’évaluer les dépendances, de mesurer leur impact potentiel et de construire des alternatives lorsque cela est nécessaire.

Cyberattaques, dépendance au cloud et aux fournisseurs technologiques, tensions géopolitiques… quelles sont aujourd’hui les dépendances numériques que les organisations sous-estiment le plus ?

Plusieurs dimensions sont encore largement sous-estimées.

La première concerne les risques liés aux enjeux environnementaux et climatiques, qui peuvent avoir des conséquences directes sur les infrastructures numériques.

La deuxième est la cybersécurité. Malgré les progrès réalisés, de nombreuses organisations ne sont pas encore au niveau de maturité nécessaire face à l’évolution des menaces.

Enfin, les dimensions géopolitiques et économiques sont probablement les moins bien prises en compte aujourd’hui. Pourtant, elles deviennent de plus en plus tangibles. Nous découvrons progressivement que certaines dépendances numériques peuvent entraîner des conséquences immédiates et très concrètes lorsqu’un contexte politique évolue brutalement.

Pendant longtemps, la mondialisation numérique pouvait donner l’impression d’un environnement stable. Les évolutions récentes montrent au contraire que cette stabilité ne peut plus être considérée comme acquise.

Peut-on être très performant en matière de cybersécurité tout en étant malgré tout peu résilient numériquement ?

Absolument.

La cybersécurité traite principalement de la protection contre les attaques et les intrusions. La résilience numérique s’intéresse à d’autres formes de vulnérabilités.

Une entreprise peut parfaitement disposer d’un excellent niveau de sécurité tout en étant fortement dépendante d’un fournisseur de cloud ou d’un service numérique critique. Si ce fournisseur coupe l’accès au service, modifie brutalement ses conditions d’usage ou rencontre une panne majeure, l’entreprise peut se retrouver en difficulté sans qu’aucune cyberattaque n’ait eu lieu.

Il existe également un risque économique souvent sous-estimé : le risque tarifaire. Certains services numériques ont connu ces dernières années des augmentations de prix très significatives. Lorsqu’une organisation est devenue dépendante d’une solution, ces évolutions peuvent représenter un coût considérable.

Concrètement, qu’est-ce que l’IRN permet de révéler qu’un audit classique de sécurité ou de conformité pourrait laisser dans l’ombre ?

L’IRN permet précisément d’intégrer ces dimensions souvent absentes des audits traditionnels : les risques géopolitiques, climatiques, économiques ou liés à la dépendance envers des fournisseurs.

L’objectif est d’identifier les composants critiques de l’activité et de se demander ce qui se passerait en cas d’interruption prolongée, de forte augmentation tarifaire ou de perte d’accès.

Depuis plusieurs années, les entreprises ont largement adopté les stratégies « move to cloud » et « move to SaaS ». Ces choix apportent de nombreux avantages mais créent également de nouvelles dépendances.

Lorsque les données, les logiciels et les infrastructures sont hébergés chez un fournisseur tiers, toute indisponibilité de ce fournisseur devient potentiellement un problème pour l’entreprise.

L’IRN pousse donc les organisations à anticiper ces scénarios et à construire les plans alternatifs nécessaires.

Une organisation obtient à l’issue de la démarche un score IRN. Que raconte réellement ce score et comment peut-on le transformer en décisions concrètes ?

L’Indice de Résilience Numérique a vocation à devenir un véritable marqueur de maturité.

Le score atteste qu’une organisation a évalué ses dépendances numériques selon une méthodologie reconnue et qu’elle a engagé une réflexion structurée sur ses vulnérabilités.

Au-delà de la note elle-même, l’intérêt principal réside dans la démarche. L’organisation identifie ses points faibles, mesure l’existence ou non de solutions alternatives et peut engager des actions correctrices.

L’objectif n’est pas d’obtenir une note figée mais d’inscrire l’amélioration dans la durée. Comme pour toute démarche de progrès, l’intérêt réside dans la capacité à réévaluer régulièrement sa situation et à améliorer continuellement son niveau de résilience.

Les réglementations actuelles poussent-elles réellement les entreprises vers davantage de résilience ou restent-elles encore trop centrées sur la conformité ?

Certaines réglementations vont dans la bonne direction, notamment sur les sujets de cybersécurité.

En revanche, les questions liées à la résilience numérique au sens large restent relativement récentes. Les aspects géopolitiques, les dépendances technologiques ou encore les risques liés au changement climatique sont encore peu couverts par les cadres réglementaires existants.

Nous sommes probablement au début d’une prise de conscience plus globale sur ces sujets.

Aurais-tu un exemple concret d’organisation qui pourrait se penser résiliente et découvrir, grâce à l’IRN, une dépendance critique qu’elle avait jusque-là sous-estimée ?

Le cas du juge français Nicolas Guillou, magistrat à la Cour pénale internationale, constitue un exemple particulièrement révélateur.

Après avoir participé à la validation d’un mandat d’arrêt visant le Premier ministre israélien Benyamin Netanyahou, Nicolas Guillou a été placé sous sanctions américaines en 2025. Cette décision l’a entraîné dans un engrenage inattendu : fermeture ou blocage d’accès à plusieurs services numériques américains, impossibilité d’utiliser certains outils Microsoft ou Google, difficulté à accéder à certains services de paiement et interruption de services du quotidien tels que Netflix ou PayPal. Des médias ont également rapporté des difficultés liées aux cartes bancaires reposant sur les réseaux Visa ou Mastercard. 

Ce témoignage est particulièrement intéressant parce qu’il ne concerne ni une cyberattaque ni une panne technique. Il met en lumière une dépendance systémique à des infrastructures, plateformes et réseaux de paiement contrôlés par des acteurs étrangers.

L’enseignement pour les entreprises est clair : une organisation peut penser que son activité est parfaitement sécurisée et pourtant découvrir qu’une décision réglementaire, juridique ou géopolitique prise à l’autre bout du monde suffit à remettre en cause son accès à des services essentiels. C’est précisément ce type de vulnérabilité que l’Indice de Résilience Numérique cherche à identifier et à anticiper.

Est-ce que toutes les organisations sont concernées de la même manière par ces enjeux, ou certains secteurs devraient-ils s’emparer du sujet en priorité ?

Toutes les organisations sont concernées, même si certains secteurs sont plus exposés que d’autres.

Les grandes entreprises disposent généralement d’un système d’information plus complexe et d’un nombre plus élevé de dépendances critiques, ce qui augmente leur surface de risque.

Certaines industries stratégiques, notamment dans l’aéronautique, la défense ou les secteurs fortement exposés à la concurrence internationale, sont également particulièrement concernées. Dans ces contextes, les enjeux technologiques se mêlent souvent aux enjeux économiques et géopolitiques.

Si tu devais convaincre un dirigeant ou un professionnel du numérique de s’intéresser dès aujourd’hui à la résilience numérique plutôt que d’attendre la prochaine crise, que lui dirais-tu ?

Je lui demanderais d’abord d’observer attentivement ce qui est arrivé à Nicolas Guillou. Son cas est certes atypique, mais il illustre parfaitement la réalité de nos dépendances numériques.

Je lui parlerais ensuite des tensions géopolitiques croissantes, des restrictions commerciales qui peuvent apparaître du jour au lendemain, mais aussi de l’augmentation rapide des coûts de certains services numériques, en particulier dans le cloud, l’intelligence artificielle ou les logiciels d’infrastructure.

Enfin, je l’inviterais à réaliser un exercice simple : dresser la cartographie des services indispensables à son activité et se poser une question fondamentale. Si l’un d’entre eux disparaissait demain, combien de temps l’entreprise pourrait-elle continuer à fonctionner ?

La résilience numérique commence souvent par cette prise de conscience. Le meilleur moment pour préparer un plan B est toujours avant la crise, jamais pendant.