Cybersécurité : 12 projets France 2030 pour renforcer les technologies critiques

Face à une menace numérique qui touche aussi bien les grands groupes que les collectivités et les PME, la cybersécurité ne consiste plus seulement à installer des protections techniques. Il faut identifier ses actifs exposés, évaluer ses dépendances, vérifier la sûreté du code et préparer les équipes à réagir. C’est sur ces différents maillons que l’État entend agir avec les nouveaux lauréats du plan France 2030.

Lors de l’European Cyber Week, Clara Chappaz, secrétaire d’État à l’Intelligence artificielle et au Numérique, a dévoilé douze lauréats de l’appel à projets intitulé « Développement des technologies innovantes critiques ». Le dispositif s’inscrit dans France 2030 et vise à faire émerger des solutions concrètes pour mieux apprécier les risques cyber et renforcer la sécurité des systèmes numériques.

Un appel à projets centré sur les technologies critiques

La notion de technologie critique recouvre ici les outils et les capacités qui conditionnent la protection des organisations : connaissances de leurs systèmes connectés, contrôle des accès, sécurité des logiciels, détection des failles, évaluation du risque ou encore gestion de crise. Ces briques techniques sont moins visibles du grand public qu’un antivirus, mais elles sont déterminantes lorsqu’une entreprise doit protéger ses données, ses applications et ses services essentiels.

L’appel à projets ne poursuit donc pas un objectif unique. Il rassemble des travaux relevant de l’assurance cyber, de la sécurité de la chaîne d’approvisionnement numérique, de l’audit logiciel et de l’intelligence artificielle. Cette diversité correspond à une réalité simple : une faille ne provient pas nécessairement d’un seul logiciel mal protégé. Elle peut être liée à un prestataire, à un équipement oublié, à un dépôt de code accessible par erreur ou à une erreur humaine.

La troisième édition de l’appel à projets bénéficie d’une enveloppe de 25 millions d’euros. Les lauréats devront transformer leurs approches en solutions utilisables par les entreprises et les acteurs chargés de les accompagner, notamment dans les secteurs où le risque numérique doit être mesuré avec davantage de précision.

NIS2 et DORA renforcent le besoin de mesurer les risques

Les projets sélectionnés cherchent notamment à répondre aux attentes associées aux cadres européens NIS2 et DORA. Ces textes placent la gestion des risques numériques au premier plan pour les organisations concernées, avec des exigences portant sur la sécurité, la résilience et la capacité à traiter les incidents.

NIS2 est une directive européenne destinée à relever le niveau de cybersécurité d’entités opérant dans des secteurs importants. DORA, pour sa part, concerne la résilience opérationnelle numérique dans le secteur financier. Dans les deux cas, il ne suffit pas d’affirmer qu’un système est protégé : les organisations doivent être en mesure d’identifier leurs risques, de les suivre et de mettre en place des mesures adaptées.

C’est pourquoi plusieurs projets s’intéressent à la notation, à la cartographie ou à l’audit. Ces approches ont un point commun : elles visent à convertir un environnement informatique complexe en informations exploitables. Pour un assureur, cela peut aider à mieux apprécier un risque. Pour une direction informatique, cela peut servir à prioriser les corrections. Pour une équipe de sécurité, cela peut révéler une partie inconnue de la surface d’attaque.

Des projets pour l’assurance, les actifs exposés et le risque humain

Parmi les projets présentés figure Eva2026, porté par l’école d’ingénieurs Télécom SudParis avec la start-up Board of Cyber. Son ambition est de mettre en place un système de notation cyber destiné aux domaines de l’assurance et de la supply chain, c’est-à-dire la chaîne de fournisseurs et de partenaires dont dépend une organisation.

Cette question est particulièrement importante dans un environnement où les entreprises échangent des données et des services avec un grand nombre de tiers. Une évaluation plus structurée peut permettre de mieux comprendre la maturité cyber d’un partenaire ou le niveau d’exposition associé à une relation commerciale. Elle ne supprime pas le risque, mais elle aide à le documenter et à le piloter.

La société angevine Nameshield développe de son côté une solution visant à cartographier les cyberactifs d’une entreprise. Un cyberactif désigne, par exemple, un nom de domaine, un serveur, une application, une adresse IP ou un service accessible en ligne. Avant de sécuriser ces éléments, encore faut-il les connaître. La cartographie sert précisément à établir cet inventaire et à repérer les actifs qui pourraient être exposés.

La start-up Reversense travaille sur une solution d’intelligence artificielle destinée à évaluer la cybersécurité d’applications, y compris sans accès à leur code source. Cette approche peut présenter un intérêt lorsqu’une organisation utilise un logiciel tiers ou ne dispose pas de tous les éléments internes d’une application. L’enjeu est d’obtenir des signaux d’évaluation sans dépendre exclusivement d’une lecture directe du code.

Le facteur humain est également au centre du projet Cybrh, mené par Anozr Way et Erium. Anozr Way est alors présentée comme une jeune pousse ayant récemment levé 6 millions d’euros. L’objectif annoncé est de « mesurer le risque humain en cybersécurité, mobiliser les personnes sur leur cyberdéfense et piloter des actions de formation pour les entreprises ».

Cette formulation rappelle qu’une politique de sécurité ne repose pas uniquement sur des outils. Les personnes peuvent recevoir des tentatives de fraude, manipuler des informations sensibles ou utiliser des services numériques dans des contextes variés. Former, sensibiliser et adapter les pratiques font donc partie de la résilience d’une organisation.

Sécuriser le code et mieux auditer les systèmes

Le développement logiciel est un autre terrain majeur des projets retenus. Le CEA, en partenariat avec GitGuardian, porte Pogg, une plateforme consacrée à la sécurisation du code public et privé. Le code source est la matière première des applications numériques : une erreur de configuration, un secret exposé ou une vulnérabilité introduite au cours du développement peut avoir des conséquences importantes une fois le logiciel déployé.

Le projet Voltix associe quant à lui Viaccess Orca et Wallix. Ces deux entreprises figurent parmi les acteurs engagés dans cette dynamique de technologies critiques. L’article d’archive les identifie comme partenaires du projet, sans détailler davantage son périmètre technique.

Citalid et l’Institut Europlace de finance collaborent pour mettre en place un programme de recherche et développement appelé à servir de tiers de confiance pour les professionnels de l’assurance dans le pilotage des risques cyber. L’idée est ici de disposer de méthodes et de références permettant aux assureurs de mieux apprécier des risques qui évoluent vite et dont les conséquences financières sont parfois difficiles à anticiper.

Deux autres axes visent les systèmes qui ne relèvent pas uniquement des logiciels classiques. Serma Safety and Security travaille sur l’audit de sécurité des systèmes électroniques. Ces équipements sont présents dans de nombreux objets et infrastructures, ce qui rend leur vérification indispensable lorsque la sécurité dépend aussi du matériel et des composants embarqués.

Enfin, Alcyconie se concentre sur l’intégration d’outils d’intelligence artificielle dans les solutions de gestion de crise. Lorsqu’un incident survient, les équipes doivent rassembler des informations, décider d’actions et coordonner une réponse. Des outils d’IA peuvent contribuer à cette organisation, à condition que leur usage soit encadré et que les décisions restent compréhensibles pour les personnes responsables.

L’article d’archive annonce douze lauréats, mais détaille nommément onze projets ou partenariats. La présentation ci-dessus s’en tient à ces initiatives explicitement identifiées, afin de ne pas attribuer un douzième projet sans information vérifiable.

Des modèles de langage pour aider les pentesters et auditer l’IA

L’intelligence artificielle intervient à deux niveaux dans cette sélection. Elle peut d’abord servir à assister les professionnels de la sécurité dans leurs tâches. L’ESN Adacis, entreprise de services du numérique, prévoit ainsi d’exploiter les capacités des LLM, les grands modèles de langage, pour améliorer les outils destinés aux pentesters.

Les pentesters sont des spécialistes qui réalisent des tests d’intrusion autorisés afin d’identifier des vulnérabilités avant qu’elles ne soient exploitées de manière malveillante. Les modèles de langage peuvent aider à synthétiser de la documentation, à structurer des informations ou à accélérer certaines étapes d’analyse. Ils ne remplacent toutefois pas l’expertise humaine, notamment pour vérifier la pertinence d’un résultat et respecter le cadre d’autorisation des tests.

L’initiative AuditLLM, développée par Wikimédia France avec le Campus Cyber, explore une autre voie : concevoir des modèles de langage spécifiquement prévus pour auditer d’autres LLM. À mesure que les assistants conversationnels et autres systèmes génératifs sont intégrés dans les organisations, de nouvelles questions apparaissent. Comment détecter des réponses inadaptées ? Comment évaluer la résistance d’un modèle à des instructions trompeuses ? Comment analyser ses comportements dans un contexte professionnel ?

Le nom même d’AuditLLM souligne une évolution de la cybersécurité : l’IA est à la fois un outil susceptible d’aider les défenseurs et une technologie qui doit être évaluée lorsqu’elle est déployée. La qualité d’un audit dépendra de la méthode retenue, des jeux de tests et de la capacité à interpréter les résultats, plutôt que de la seule présence d’un modèle de langage.

Une quatrième édition tournée vers le cloud, le quantique et l’IA

Le gouvernement prévoit de prolonger cette dynamique avec une quatrième édition de l’appel à projets. Celle-ci doit se concentrer sur la sécurisation des technologies d’hébergement et de traitement des données, avec trois priorités citées : le cloud, le quantique et les solutions d’intelligence artificielle.

Une nouvelle enveloppe de 25 millions d’euros est annoncée. Les projets visés doivent représenter des dépenses supérieures à 1 million d’euros, avec des ajustements prévus pour certaines start-up. Leur durée doit être comprise entre un et trois ans. L’aide pourra prendre la forme de subventions ou d’avances récupérables, c’est-à-dire de financements appelés à être remboursés selon les modalités applicables au projet.

Les organisations intéressées peuvent déposer leur candidature sur la plateforme Picxel de Bpifrance jusqu’au 23 avril 2025. Le choix du cloud et du traitement des données s’explique par la place centrale prise par ces infrastructures dans l’activité des entreprises. Sécuriser ces environnements revient à protéger des services, des données et des opérations qui ne sont plus nécessairement hébergés dans les locaux de l’organisation.

Ce qu’il faut surveiller

L’annonce des lauréats constitue un point de départ, non une garantie de résultats immédiats. La valeur de ces projets se mesurera à leur capacité à produire des outils réellement adoptés, à fournir des évaluations fiables et à s’intégrer dans les pratiques des entreprises. La cybersécurité échoue souvent lorsque les solutions restent trop complexes, trop coûteuses ou insuffisamment connectées aux besoins opérationnels.

Plusieurs sujets mériteront donc une attention particulière : la qualité des méthodes de cyber-rating, l’utilité des cartographies d’actifs dans des systèmes très mouvants, la protection effective du code et la pertinence des outils d’IA employés pour l’audit ou la gestion de crise. Les travaux autour d’AuditLLM seront également à suivre, car ils touchent directement à la question de la confiance dans les modèles de langage utilisés par les organisations.

En réunissant établissements de recherche, start-up, entreprises de cybersécurité et acteurs de l’assurance, France 2030 mise sur des collaborations entre expertise technique et besoins économiques. L’enjeu est de faire progresser la capacité à anticiper, mesurer et traiter le risque numérique, alors que les exigences de sécurité deviennent une composante durable de l’activité des organisations.