UECC 2026, 200 millions d’euros pour le cyber, l’État veut acheter français et européen, ce que la commande publique prépare

Les UECC 2026 ont replacé la souveraineté numérique au centre de l’agenda public, avec un angle très concret: la capacité de l’État à acheter davantage de solutions françaises et européennes. Le sujet s’inscrit dans la continuité du plan de sécurisation numérique et cyber lancé fin avril, doté de 200 millions d’euros. Autour du CSF, d’Hexatrust et des services de l’État, la discussion ne porte plus seulement sur les principes, mais sur l’organisation de la commande publique.

CSF et Hexatrust structurent le Pacte État-industrie

Le Pacte présenté dans le sillage des UECC 2026 cherche à rapprocher deux univers qui se connaissent encore imparfaitement: les administrations acheteuses et les éditeurs de confiance. Le Comité stratégique de filière Logiciels et Solutions Numériques de Confiance, avec Hexatrust, copilotent ce cadre aux côtés de l’État. Leur objectif consiste à rendre plus lisible l’offre existante, puis à l’aligner avec les besoins opérationnels des ministères, des opérateurs publics et des collectivités.

Michel Paulin, président du CSF, résume l’enjeu par une formule simple: la filière dispose déjà des entreprises, des compétences et des solutions nécessaires. Le point faible se situe dans la rencontre entre ces capacités et les priorités publiques. Cette analyse traduit une frustration ancienne chez de nombreux éditeurs français, souvent qualifiés lors des appels d’offres, mais confrontés à des procédures complexes, à des critères techniques instables ou à une préférence de fait pour des solutions internationales déjà installées.

Jean-Noël de Galzain, président d’Hexatrust, insiste de son côté sur la bascule politique. Le réarmement numérique n’est plus présenté comme un slogan, mais comme une condition de souveraineté. Cette position dépasse le seul marché de la cybersécurité. Elle vise l’hébergement, les outils collaboratifs, l’identité numérique, la supervision, la gestion de crise et les logiciels métiers dont dépend le fonctionnement quotidien des services publics.

La difficulté réside maintenant dans l’exécution. Les administrations doivent identifier leurs dépendances, cartographier leurs usages critiques, puis traduire ces constats en marchés accessibles. Les entreprises, elles, doivent démontrer leur capacité à répondre à des volumes publics importants, à maintenir des niveaux de service élevés et à documenter leurs garanties de sécurité. Le Pacte État-industrie sera jugé sur ces points précis, bien davantage que sur la qualité des annonces prononcées en tribune.

La circulaire de février 2026 cible les acheteurs publics

La nouvelle circulaire de février 2026 fixe une règle appelée à peser directement sur les achats numériques de l’État. Si une solution administrative mutualisée n’est pas disponible ou adaptée, les acheteurs publics doivent se tourner en priorité vers des offres du secteur privé. Cette orientation, portée par la politique numérique de l’État, donne un cadre plus favorable aux éditeurs français et européens qui dénonçaient depuis longtemps une commande publique trop peu mobilisée.

Le rendez-vous national organisé le 27 mars 2026 par la DINUM, la Direction générale des entreprises, Numeum et le CSF illustre cette volonté de passer à une phase pratique. La logique du matchmaking vise à mettre face à face les acheteurs et les fournisseurs, en amont des marchés. Pour les administrations, ce format permet de mieux connaître l’état de l’offre. Pour les entreprises, il offre une lecture plus précise des besoins, des contraintes juridiques et des calendriers budgétaires.

La commande publique devient, dans cette doctrine, un levier industriel. David Amiel, ministre délégué chargé de la fonction publique et de la réforme de l’État, a défendu cette approche début février, en liant usages critiques et réduction des dépendances non européennes. Anne Le Hénanff, secrétaire d’État chargée de l’intelligence artificielle, s’inscrit dans le même mouvement lorsque le gouvernement évoque l’IA, le cloud et la sécurité comme des domaines stratégiques.

Cette évolution ne supprime pas les règles classiques des marchés publics. Les critères de prix, de performance, d’interopérabilité et de sécurité restent déterminants. Elle modifie néanmoins la grille de lecture. Un logiciel n’est plus seulement évalué comme un outil fonctionnel, mais comme une composante de résilience nationale. Pour les acheteurs, cela implique des analyses plus fines sur l’origine des technologies, la localisation des données, les conditions de support et les clauses de réversibilité.

Le plan cyber de 200 millions finance la souveraineté

Le plan de sécurisation numérique et cyber, doté de 200 millions d’euros, constitue l’arrière-plan budgétaire du débat ouvert aux UECC. Sa portée dépasse l’achat de technologies défensives. Les échanges autour du réarmement numérique montrent que les organisations publiques doivent d’abord connaître leurs dépendances, qualifier leurs risques, préparer la crise et déterminer les services qui doivent continuer à fonctionner lorsque les protections initiales échouent.

Cette approche intéresse directement les responsables de la sécurité des systèmes d’information. Les RSSI ne demandent pas seulement de nouveaux outils, mais des arbitrages clairs. Une collectivité, un hôpital ou un ministère doit savoir quels systèmes relancer en priorité, quelles données restaurer, quels prestataires appeler et quelles procédures déclencher. La souveraineté numérique se mesure alors à la capacité de garder la maîtrise de décisions techniques prises sous pression.

L’IA ajoute une couche supplémentaire. Les outils d’analyse automatisée promettent une meilleure détection des attaques, mais ils introduisent aussi de nouvelles dépendances aux modèles, aux infrastructures de calcul et aux jeux de données. Les débats des UECC soulignent cette tension: accélérer l’innovation sans déplacer la dépendance vers de nouveaux fournisseurs dominants. Les solutions françaises et européennes devront prouver leur valeur sur la performance, pas seulement sur leur origine.

Le financement public peut aider à franchir ce cap, à condition d’être orienté vers des usages vérifiables. Les besoins sont nombreux: audits de sécurité, migration vers des clouds qualifiés, solutions de sauvegarde, outils de supervision, entraînement à la gestion de crise. Les acteurs industriels attendent surtout des commandes régulières, suffisamment lisibles pour investir dans le recrutement, la certification et le support. La dépense publique devient alors un signal de marché autant qu’un instrument de protection.

Health Data Hub et logiciels critiques testent la doctrine

Le Health Data Hub concentre une partie des tensions liées à la souveraineté. Cette plateforme de données de santé, controversée depuis sa création, a longtemps symbolisé la difficulté française à concilier ambitions d’intelligence artificielle, recherche médicale et maîtrise de l’hébergement. Le gouvernement a annoncé en février l’accélération de sa migration vers un autre hébergeur que Microsoft, avec un nouvel appel d’offres lancé le 9 février.

Ce dossier a valeur de test. Les données de santé figurent parmi les informations les plus sensibles détenues par la puissance publique. Leur traitement exige des garanties juridiques, techniques et opérationnelles élevées. Le choix d’un hébergeur ne relève donc pas seulement d’une comparaison de tarifs ou de performance cloud. Il engage la confiance des patients, la capacité des chercheurs à travailler dans un cadre stable et la crédibilité de l’État lorsqu’il promet de réduire ses dépendances.

Les logiciels critiques posent la même question dans d’autres secteurs. Messageries, suites collaboratives, outils d’identité, plateformes d’administration, solutions de cybersécurité ou environnements de développement structurent le quotidien des agents publics. Remplacer un outil installé depuis des années suppose un accompagnement, des formations, des migrations de données et des garanties de continuité. La souveraineté ne peut pas être décrétée par catalogue, elle se construit projet par projet.

Les prochains marchés diront si la doctrine se transforme en volumes significatifs pour les fournisseurs français et européens. Les acheteurs devront éviter deux écueils: réserver la souveraineté à quelques grands symboles, ou multiplier des achats dispersés sans cohérence technique. Entre ces deux risques, les UECC 2026 installent un débat plus opérationnel, centré sur les contrats, les calendriers, les clauses de sécurité et la capacité des administrations à piloter durablement leurs choix numériques.