Hamid Chriet : « La commande publique est le premier investisseur en capital-risque de la souveraineté »

Dans un entretien exclusif accordé à L’Économie, Hamid Chriet, conseiller exécutif en cyberrésilience et stratégie, décrypte les enjeux économiques de la souveraineté numérique africaine. Face à la dépendance aux infrastructures et aux solutions technologiques étrangères, cet expert aux nationalités marocaine, britannique et française plaide pour l’émergence de champions locaux, le développement des compétences et la mutualisation continentale des capacités de défense. Il détaille également le rôle de la commande publique dans la structuration d’une industrie cyber africaine compétitive.

Après la 8e édition des Assises de l’AUSIM à Tanger, votre constat sur la souveraineté cyber vaut-il pour l’ensemble de l’Afrique, ou seulement pour le Maroc ?

Les Assises de Tanger, placées sous le Haut Patronage de Sa Majesté le Roi Mohammed VI, ont réuni près de 1 200 décideurs autour d’un thème qui dit tout : « AIMPOWERING : Par l’Innovation, l’Intelligence et la Souveraineté ». Ces Assises, que j’ai suivies avec la plus grande attention, ne décrivent pas un cas marocain : elles révèlent une condition africaine. Le continent concentre moins de 1 % de la capacité mondiale de centres de données et environ 0,5 % du marché mondial du cloud, tout en étant, selon Check Point, la région la plus attaquée au monde, de 3 000 à 3 400 attaques par organisation et par semaine. La plénière « Souveraineté totale : mythe insaisissable ou nécessité stratégique ? » aurait pu se tenir à Abidjan, Nairobi ou Dakar avec les mêmes arguments.

Le Maroc dispose néanmoins d’une avance singulière : il figure, selon l’UIT, au Tier 1 « Role-modelling » de l’Indice mondial de cybersécurité 2024 (97,5/100), aux côtés de six autres nations africaines. Cette avance, fruit d’une stratégie de long terme inscrite dans la Vision éclairée de Sa Majesté le Roi Mohammed VI, lui confère une responsabilité : être démonstrateur, pas exception. La ministre Amal El Fallah Seghrouchni l’a bien résumé à Tanger : la souveraineté se construit par la maîtrise des infrastructures, des données, du calcul, des modèles d’IA et des compétences. Ces cinq chantiers sont africains. Le Maroc n’est pas une île de souveraineté ; il est la preuve que le continent peut s’en doter.

Qu’est-ce qui distingue une souveraineté cyber réelle d’une simple conformité réglementaire, et quel indicateur retiendriez-vous pour la mesurer ?

La conformité répond à une question administrative : sommes-nous en règle ? La souveraineté répond à une question stratégique : pouvons-nous continuer d’opérer si nos fournisseurs nous lâchent, nous pressent où nous abandonnent ? Un pays peut être parfaitement conforme et totalement captif. Le Maroc en offre une illustration honnête : la loi 05-20, le décret 2-21-406, la Stratégie Nationale de Cybersécurité 2030 et le décret cloud 2-24-921 pris en exécution des Hautes Instructions Royales ont édifié un arsenal juridique exemplaire. Pourtant, selon le baromètre AUSIMètre (PwC/AUSIM, édition 2026), 60 % des entreprises marocaines déclarent une dépendance moyenne à très élevée aux fournisseurs cloud et 38 % n’ont aucune stratégie de réversibilité. Le droit a avancé plus vite que la dépendance n’a reculé.

C’est pourquoi je propose un indicateur simple et brutal : un indice de réversibilité, mesurant la capacité réelle testée par exercices, non déclarée ,  à rapatrier données, opérations et compétences en 30, 60 ou 90 jours sans interruption de service. On audite aujourd’hui les pare-feux ; on devrait auditer les portes de sortie. Cet indice dirait la vérité là où les attestations décorent. Et il éviterait l’écueil du repli : la souveraineté n’est pas l’isolement, c’est la capacité de choisir ses dépendances. Une dépendance choisie est un partenariat ; une dépendance subie est une vulnérabilité.

Dans la plupart des pays africains, les SOC, le cloud et la réponse aux incidents sont largement externalisés. Pourquoi les acteurs locaux peinent-ils à s’imposer sur ces fonctions ?

Trois asymétries s’additionnent. D’abord, une asymétrie de capital : les hyperscalers investissent des milliards dans des infrastructures qu’aucun acteur national ne peut égaler à court terme  le continent entier ne détient que moins de 1 % de la capacité mondiale de centres de données. Ensuite, une asymétrie de talents : l’Afrique compte moins de 300 000 professionnels de la cybersécurité pour environ 68 000 postes non pourvus, selon BCG et le Global Cybersecurity Forum, et 38 % des développeurs africains travaillent déjà pour des entreprises hors du continent (étude Google). Enfin, une asymétrie de confiance : les donneurs d’ordre, publics comme privés, préfèrent les marques mondiales, et le Forum économique mondial note que 36 % des répondants africains ne font eux-mêmes pas confiance à la capacité de leur pays à répondre à un cyberincident majeur contre 15 % en Europe ou en Amérique du Nord.

Mais gardons-nous de toute caricature : l’externalisation n’est pas un péché si elle est réversible et contractualisée dans un cadre souverain. Et surtout, le Maroc prouve que les acteurs locaux savent faire et bien faire. DataProtect, dont le SOC 24/7 réalise 70 % de son chiffre d’affaires à l’export. Sekera, cabinet casablancais qualifié PASSI par la DGSSI, qui édite ses propres solutions la cyber-range SecDojo, le SIEM Scylla  et que le capital marocain vient de consolider en plateforme intégrée avec AEGIS Advisory et FlexITSecurity. Et la nouvelle génération d’ESN 100 % marocaines : CyberWorx, née récemment à Rabat avec l’ambition de bâtir un écosystème cyber national indépendant, ou CybrForge, qui a pour ambition d’être la première ESN 100% marocaine dans le paysage marocain et Africain, ce dernier animait à Tanger même l’atelier sur « l’algorithme armé ». Le problème n’est donc pas d’acheter de la technologie mondiale ; il est de ne jamais construire la capacité de s’en passer. Le bon client n’est pas celui qui refuse l’étranger, c’est celui qui peut négocier avec lui en position de force.

Une souveraineté cyber peut-elle être construite à l’échelle africaine (CERT régionaux, mutualisation, marchés communs), ou faut-il d’abord la bâtir pays par pays ?

Les deux, et c’est précisément la bonne nouvelle : ce ne sont pas des options rivales mais des étages d’une même construction. La souveraineté se bâtit nation par nation, car un maillon faible compromet toute la chaîne une intrusion réussie dans le système le moins protégé d’une interconnexion régionale devient la porte d’entrée de tous. Elle se consolide ensuite continentalement, car aucun État africain, même le mieux doté, ne peut seul financer la détection à l’échelle, la veille et la réponse face à des attaquants qui, eux, ne connaissent pas les frontières.

L’architecture existe déjà : la Convention de Malabo est entrée en vigueur en juin 2023 ; l’ANCA le réseau africain des autorités de cybersécurité porté par Smart Africa . En effet il  a adopté sa feuille de route en février 2025 ; AfricaCERT fédère les CSIRT depuis 2011 ; le protocole de la ZLECAf sur le commerce numérique ouvre un marché commun. Je propose d’y ajouter un « Schengen cyber » à géométrie variable, articulé autour des sept pays africains du Tier 1 de l’UIT Maurice, Égypte, Ghana, Tanzanie, Kenya, Rwanda et Maroc comme premiers cercles de confiance mutuelle. Le Maroc est le seul pays du Maghreb au Tier 1 de l’UIT, tandis que le Nigeria a été, en novembre 2025, le premier État à ratifier le protocole de la ZLECAf sur le commerce numérique. Le Maroc, dans le sillage de la coopération Sud-Sud voulue par Sa Majesté le Roi Mohammed VI, s’est d’ailleurs engagé à héberger un CERT régional au service des membres de l’ANCA. On ne bâtit pas une forteresse continentale sans fondations nationales, ni une nation souveraine entourée de murailles fragiles.

Quel rôle la commande publique doit-elle jouer pour soutenir les prestataires locaux sans fermer le marché à la concurrence internationale ?

La commande publique est le premier investisseur en capital-risque de la souveraineté : c’est elle qui transforme un sous-traitant local en champion exportable. Les références mondiales abondent. Les États-Unis ont fait de FedRAMP une autorisation obligatoire pour tout cloud fédéral et de la section 889 de la NDAA un instrument d’exclusion sélective ; l’Inde impose via MeitY une habilitation des fournisseurs cloud avec localisation des données, adossé aux préférences « Make in India ». À l’inverse, l’expérience européenne de Gaia-X offre une leçon de prudence : inclure des hyperscalers sans investissement propre sur le territoire dilue la souveraineté au lieu de la bâtir.

Le Maroc détient déjà l’instrument le plus élégant, et le moins protectionniste : la qualification cloud à deux niveaux institués par le décret 2-24-921. Elle est ouverte à tout opérateur national ou international acceptant les règles de territorialité des données et de supervision, et sa clause transitoire reconnaît lucidement que l’offre nationale ne couvre pas encore tous les besoins. C’est exactement la doctrine que je défends : des règles souveraines, un marché ouvert. Il reste à généraliser cette logique aux SOC, à la réponse aux incidents et aux marchés de confiance numérique, en réservant une quote-part d’accès aux PME locales. C’est ainsi qu’on transforme les excellents cabinets que compte déjà le Royaume des DataProtect et Sekera aux jeunes ESN 100 % marocaines comme, cybrforge, ou CyberWorx en champions continentaux de demain : leur première référence doit être marocaine pour que leur première conquête soit africaine. On ne protège pas un écosystème en fermant la porte ; on le renforce en fixant les règles de la maison.

Au Maroc, le pays est classé Tier 1 à l’Indice mondial de cybersécurité de l’UIT, mais vous estimez que la dépendance persiste. Quel est aujourd’hui le maillon le plus fragile, et pourquoi n’a-t-il pas été corrigé ?

Le classement Tier 1 de l’UIT (97,5/100) honore le travail remarquable de la DGSSI, rattachée à l’Administration de la Défense Nationale, et la cohérence d’une stratégie portée au plus haut niveau de l’État. Il mesure le droit, l’organisation, la coopération et sur ces terrains, le Maroc est exemplaire. Mais il ne mesure pas la chair du système. Le maillon le plus fragile est humain : le Maroc fera face, d’ici 2026, à une pénurie de l’ordre de 3 800 professionnels de la cybersécurité, alors que la fuite des cerveaux draine vers l’Europe et le Golfe les profils que le pays forme avec peine. L’attaque contre la CNSS en avril 2025 et les 879 cyberattaques traitées par la DGSSI la même année rappellent que la menace, elle, n’attend pas les promotions de diplômés.

Pourquoi ce maillon n’a-t-il pas été corrigé ? Parce qu’on légifère en une session parlementaire, mais on forme un expert en sécurité offensive en cinq ans. La conformité a réparé le droit et l’organisation ; elle ne peut pas imprimer des compétences. La Stratégie Maroc Digital 2030, dotée de 11 milliards de dirhams et de l’ambition de former 100 000 jeunes par an, et la feuille de route « AI Made in Morocco », avec ses instituts Al-Jazari, ses 200 000 talents visés et son partenariat avec Mistral AI (protocole d’accord de septembre 2025 et laboratoire conjoint), traitent précisément cette racine. La jeunesse marocaine est la relève que cette stratégie prépare. Mais l’effet prendra des années, et la fenêtre de menace est ouverte maintenant. C’est à cette jeunesse celle que Son Altesse Royale le Prince Héritier Moulay El Hassan incarne et inspire que le Royaume confiera la mission de transformer l’excellence réglementaire en puissance opérationnelle. Préparer cette relève, lui donner les doctrines, les outils et la confiance : voilà, à mes yeux, la plus haute forme de service que l’on puisse rendre au Maroc de demain. Un mur Tier 1 gardé par des postes vacants n’est qu’une façade bien classée.

Si une seule action devait être engagée dans les deux ans à l’échelle du continent, laquelle serait-ce, et qui doit la porter ?

Une seule : créer un mécanisme continental de mutualisation de la détection et de la réponse, un réseau de CERT régionaux interconnectés, doté d’un protocole d’assistance mutuelle qu’on pourrait appeler, sans détour, un « article 5 cyber » africain : une attaque majeure contre un État membre déclenche l’appui opérationnel des autres. Comme évoqué plus haut, le continent est la région la plus attaquée au monde alors que la confiance dans ses capacités de réponse reste la plus faible. La confiance ne se décrète pas : elle s’opère, dans des exercices conjoints, des centres fusionnés et des retours d’expérience partagés.

Qui doit la porter ? L’Union africaine, qui dispose de la légitimité politique et de la Convention de Malabo ; l’ANCA, qui a adopté sa feuille de route opérationnelle en février 2025, et Smart Africa, qui rassemble 40 États. Fort de son engagement à accueillir un CERT régional au service de l’ANCA, le Maroc est naturellement placé pour en abriter le nœud maghrébin,  prolongeant ainsi, dans le domaine cyber, la diplomatie africaine de coopération et de rayonnement impulsée par Sa Majesté le Roi Mohammed VI. Le câble 2Africa, dont le cœur de 45 000 km est achevé, fournira l’infrastructure ; la volonté politique doit fournir la doctrine. En cybersécurité comme en stratégie, un continent qui se surveille mutuellement ne se laisse plus surveiller par personne.

En guise de conclusion, je dirais que la cybersécurité n’est pas une dépense, c’est un investissement de souveraineté ; elle est devenue, pour le Maroc, une composante de son soft power stratégique. Servir cette ambition, auprès des institutions du Royaume, de sa jeunesse et de l’Afrique, est pour moi moins un métier qu’une mission.