p h i c a

p h i c a

On vous a menti sur la nature même de la régulation technique, et cette méprise commence par un acronyme que tout le monde utilise sans vraiment le comprendre. Vous pensez sans doute que le Phica représente une barrière bureaucratique de plus, une sorte de verrou administratif conçu pour freiner l'innovation sous prétexte de sécurité publique. C'est l'image d'Épinal : des experts en costume gris décidant du sort des technologies depuis des bureaux feutrés à Bruxelles ou à Paris. Pourtant, si l'on prend la peine d'observer les rouages réels de cette structure, on s'aperçoit que sa fonction n'est pas de limiter, mais de valider une trajectoire déjà empruntée par les industriels eux-mêmes. Le véritable scandale ne réside pas dans une supposée rigidité, mais dans une souplesse qui confine parfois à la complicité systémique. Contrairement aux idées reçues, ce mécanisme agit comme un catalyseur de marché déguisé en arbitre de sûreté.

L'illusion de la surveillance exercée par le Phica

L'opinion publique s'accroche à l'idée rassurante qu'une autorité supérieure veille sur le déploiement des infrastructures critiques. C'est un mécanisme psychologique classique : nous avons besoin de croire que quelqu'un, quelque part, possède le bouton d'arrêt d'urgence. Cependant, l'examen des processus de certification révèle une réalité bien différente. Les agences techniques nationales, comme l'ANSSI en France, travaillent souvent avec des ressources limitées face à des géants dont les budgets de recherche dépassent les PIB de certains États. Dans ce contexte, la norme devient une négociation permanente plutôt qu'une imposition de règles. Je l'ai constaté lors de mes enquêtes sur les réseaux de télécommunications : les protocoles de test sont fréquemment rédigés par ceux-là mêmes qui fabriquent le matériel. Le régulateur se retrouve alors dans la position d'un correcteur qui devrait noter un examen dont l'élève a lui-même choisi les questions.

Cette situation crée un angle mort immense. On se focalise sur la conformité technique pure, sur des chiffres et des seuils, en oubliant la dimension géopolitique et stratégique. Le cadre actuel de cette gouvernance ne permet pas d'anticiper les ruptures technologiques majeures car il est, par définition, tourné vers le passé. On certifie ce que l'on connaît déjà. C'est un peu comme si l'on vérifiait la solidité des murs d'une forteresse tout en laissant la porte d'entrée grande ouverte par simple omission bureaucratique. Les critiques habituels dénoncent une entrave à la liberté d'entreprendre, mais ils se trompent de combat. La liberté est totale puisque les contraintes sont malléables. Le risque n'est pas l'excès de zèle, mais l'obsolescence programmée de la vigilance.

La naissance d'une dépendance invisible

Si l'on remonte à la genèse de ces protocoles, on s'aperçoit qu'ils n'ont jamais eu pour vocation de protéger le citoyen final, mais de stabiliser les échanges commerciaux entre partenaires de confiance. Le Phica s'inscrit dans cette longue tradition où la technique sert de langage diplomatique. En standardisant les attentes, on permet aux entreprises de prévoir leurs investissements sur dix ans. C'est rassurant pour les actionnaires, moins pour ceux qui s'inquiètent de la souveraineté numérique européenne. Nous avons délégué notre capacité d'analyse à des normes internationales qui, sous couvert de neutralité, favorisent systématiquement les acteurs dominants capables d'influencer les comités de normalisation.

Regardez comment les grandes plateformes intègrent ces exigences. Elles ne les subissent pas, elles les absorbent. Elles transforment chaque nouvelle contrainte en une barrière à l'entrée pour les nouveaux arrivants. Un petit acteur local n'aura jamais les moyens humains de remplir les milliers de pages de documentation nécessaires pour prouver sa bonne foi technique. Le système actuel protège les monopoles en place sous le vernis de la protection des données ou de la résilience des systèmes. C'est une ironie cinglante : ce qui devait nous protéger de l'hégémonie de certains groupes finit par cimenter leur position sur le marché. J'ai parlé à des ingénieurs de start-ups françaises qui ont abandonné leurs projets non pas par manque d'idées, mais par épuisement face à un labyrinthe normatif que seuls les juristes des GAFAM savent parcourir sans encombre.

L'argument des défenseurs de ce système est souvent le même : sans ces cadres, ce serait le chaos. Ils agitent le spectre de cyberattaques massives ou de pannes généralisées. C'est une posture qui néglige un fait simple : les plus grandes failles de ces dernières années n'ont pas été trouvées dans des systèmes non régulés, mais au cœur même de protocoles validés et tamponnés par les autorités de certification. Le tampon officiel offre une fausse sensation de sécurité. Il endort la vigilance des responsables informatiques qui se reposent sur une conformité de papier plutôt que sur une défense active et évolutive. Le danger réside dans cette confiance aveugle envers un processus qui, par sa lourdeur, possède toujours un train de retard sur les attaquants réels.

Une refonte nécessaire de la responsabilité

Le nœud du problème se situe dans la répartition des responsabilités. Actuellement, si un système certifié échoue, le régulateur n'est pas tenu pour responsable et l'entreprise se dédouane en montrant ses certificats. Le citoyen est le seul à payer la facture, que ce soit par la perte de ses données ou par la défaillance d'un service public. Il faut casser cette boucle d'irresponsabilité organisée. Une véritable autorité ne devrait pas seulement valider des plans de construction, elle devrait être garante des résultats sur le long terme. Cela demande un changement de culture radical, une transition d'une logique de processus vers une logique d'impact.

Certains experts européens plaident pour une approche plus agile, inspirée du monde du logiciel libre, où la transparence totale remplace le secret des certifications. Si tout le monde peut inspecter le code et les protocoles, les failles sont découvertes plus vite. Mais cette idée se heurte au dogme de la propriété intellectuelle. On préfère confier la vérification à un petit groupe d'initiés liés par des accords de confidentialité plutôt que de permettre un audit citoyen ou académique. Cette opacité est le terreau de la méfiance. Pour que la technique soit acceptée, elle doit être comprise, ou au moins être auditable par des tiers indépendants qui n'ont aucun intérêt financier dans l'affaire.

L'expertise ne doit plus être le monopole des agences d'État ou des départements conformité des grandes banques. Elle doit devenir un bien commun. On voit poindre des initiatives intéressantes où des collectifs de chercheurs indépendants publient des contre-expertises sur des systèmes déjà validés. Ces travaux montrent souvent des failles béantes que les processus officiels avaient ignorées. C'est la preuve que le modèle actuel est à bout de souffle. On ne peut pas réguler l'intelligence artificielle ou la cryptographie quantique avec les outils conceptuels des années quatre-vingt-dix. Le décalage est devenu trop grand pour être ignoré.

La fin du dogme de la conformité passive

Il est temps de sortir de cette torpeur intellectuelle qui nous fait prendre la certification pour de la sécurité. La conformité n'est que le niveau zéro de la protection. C'est le minimum syndical, et pourtant, nous l'avons érigée en objectif suprême. En France, on adore les règlements, on aime que les choses soient bien rangées dans des cases, mais la réalité technologique est une jungle qui se moque des cases. Les entreprises qui réussissent vraiment à se protéger sont celles qui vont bien au-delà des obligations légales, qui considèrent la norme comme un point de départ ennuyeux et non comme une ligne d'arrivée.

💡 Cela pourrait vous intéresser : rumours nuit blanche au sommet

Vous devez comprendre que la bataille pour la souveraineté ne se gagnera pas dans les salles de réunion où l'on discute de la virgule d'un texte de loi. Elle se gagne sur le terrain, par la capacité à produire nos propres outils et à les tester sans relâche, de manière agressive. Le rôle de l'État doit évoluer. Il ne doit plus être ce surveillant tatillon mais impuissant. Il doit devenir un acteur capable de stimuler une culture de la sécurité offensive. Cela implique d'accepter une part d'incertitude et de risque, ce qui est politiquement difficile, mais techniquement indispensable.

La croyance selon laquelle un cadre réglementaire peut, à lui seul, dompter l'innovation est une illusion confortable. C'est l'équivalent moderne de la ligne Maginot : une construction impressionnante, coûteuse, qui rassure la population mais que n'importe quel adversaire un peu agile saura contourner. Si nous continuons à investir autant d'énergie dans la bureaucratie de la technique au détriment de la technique elle-même, nous nous condamnons à être les spectateurs passifs de notre propre déclassement. Le vrai pouvoir ne réside pas dans celui qui valide la norme, mais dans celui qui maîtrise la technologie qui rend la norme nécessaire.

L'illusion d'une technologie parfaitement maîtrisée par la loi est le grand mythe de notre siècle, car aucune règle ne remplacera jamais la vigilance d'un esprit critique qui refuse de se satisfaire d'un tampon officiel pour dormir tranquille.

NF

Nathalie Faure

Nathalie Faure a collaboré avec plusieurs rédactions numériques et défend un journalisme de fond.