Le spatial européen est devenu une infrastructure critique, au cœur de la défense, des communications, de la navigation, de la gestion des crises et de l’économie. Mais cette dépendance ouvre aussi de nouvelles vulnérabilités. Des satellites aux stations au sol, des données aux fournisseurs, l’Europe doit désormais faire de la cybersécurité une condition concrète de sa souveraineté.

Le spatial européen est désormais une infrastructure de souveraineté. Il soutient la défense, les communications, la navigation, l’observation de la Terre, la gestion des crises et une part croissante de l’économie. Cette dépendance augmente la valeur stratégique des systèmes orbitaux et de leurs segments au sol, mais elle élargit aussi leur surface d’attaque.

La réponse ne peut plus reposer sur la seule protection technique des satellites. Elle doit associer politique industrielle, gouvernance des données, sécurité des fournisseurs, continuité opérationnelle et coopération européenne.

La résilience spatiale dépend autant de la solidité des architectures numériques que de la capacité des organisations à connaître leurs actifs, maîtriser leurs accès, contractualiser les exigences de sécurité et mesurer les risques introduits par leurs partenaires.

Les chiffres sur la maturité des entreprises françaises confirment que les vulnérabilités les plus dangereuses restent souvent liées à des configurations ordinaires, à des technologies obsolètes ou à des services exposés. L’enjeu consiste donc à transformer la cybersécurité en discipline de pilotage, depuis les programmes européens jusqu’aux plus petites entreprises de la chaîne de valeur.

Le spatial de défense ne forme pas un domaine isolé. Il associe satellites, stations au sol, réseaux, plateformes de données, logiciels, services cloud, centres de contrôle, équipements industriels et prestataires. Une faiblesse située dans un service apparemment secondaire peut compromettre une mission critique. La sécurité doit donc couvrir les infrastructures physiques, les systèmes d’information, les données et les relations contractuelles qui relient les acteurs.

Le spatial comme infrastructure de souveraineté

La Direction générale de l’industrie de défense et de l’espace de la Commission européenne distingue deux dimensions complémentaires. La première est l’usage du spatial pour la défense. Elle couvre les capacités spatiales nécessaires au renseignement, à la préparation et à la conduite des opérations militaires, ainsi qu’à l’évaluation de leurs effets. La seconde est la défense du spatial. Elle vise la détection des menaces, la protection des actifs et des services, la réponse aux attaques et, lorsque cela est nécessaire, les opérations militaires en orbite.

Cette distinction éclaire la portée de la cybersécurité spatiale. Il ne suffit pas de protéger un satellite contre une intrusion. Il faut garantir la disponibilité et l’intégrité des services qui utilisent ses données, assurer la continuité des liaisons et préserver la capacité de décision dans un environnement contesté ou dégradé. Les enjeux comprennent aussi la congestion orbitale, les risques de collision, la gestion du spectre radio, la connaissance de la situation spatiale, la conformité des opérations et l’interopérabilité entre capacités nationales et européennes.

Les travaux consacrés à la gestion du trafic spatial défendent ainsi une approche européenne fédérée. Elle permettrait de combiner les moyens nationaux tout en construisant un cadre cohérent, extensible et souverain. Cette approche s’appuie notamment sur les travaux conduits pour le Centre national d’études spatiales, le dispositif européen de surveillance et de suivi des objets spatiaux et le Commandement de l’espace français. La fédération répond à un double besoin, partager les informations utiles et conserver une gouvernance maîtrisée des capacités sensibles.

Une montée en puissance des programmes européens

Créée en 2020 à partir d’activités auparavant rattachées à la direction chargée du marché intérieur, la direction européenne dédiée à l’industrie de défense et à l’espace compte cinq directions, cinq groupes de travail, seize unités et environ quatre cents personnes. Elle organise aussi vingt cinq événements annuels au sein de son écosystème et au delà. Cette structure reflète l’élargissement rapide des responsabilités européennes dans les domaines de la défense, de l’espace et de la connectivité sécurisée.

Les programmes industriels de défense incluent le Fonds européen de défense, EDIRPA, ASAP, SAFE, EDIP, le prêt de soutien à l’Ukraine, AGILE, ECF encore en négociation et une composante consacrée aux capacités spatiales. Les masses budgétaires citées montrent un changement d’échelle. Les montants passent de 0,59 milliard d’euros entre 2014 et 2020 à environ 8 milliards entre 2021 et 2027. Pour le cadre financier de 2028 à 2034, 131 milliards d’euros sont proposés.

Dans le seul champ spatial et de la connectivité sécurisée, les données disponibles font état de 15 milliards d’euros pour 2021 à 2027, puis d’une fourchette de 40 à 60 milliards pour 2028 à 2034. Les programmes couvrent la navigation et la synchronisation, l’observation de la Terre, la connectivité sécurisée, la connaissance de la situation spatiale, l’accès à l’espace, la souveraineté technologique et l’économie spatiale. Ils intègrent également le service gouvernemental d’observation de la Terre, le suivi des objets en orbite, la gestion du trafic spatial, la surveillance des fréquences, l’intelligence artificielle et le quantique.

Programmes industriels de défense

Période : 2014 à 2020

Montant : 0,59 milliard d’euros

Programmes industriels de défense

Période : 2021 à 2027

Montant : environ 8 milliards d’euros

Programmes industriels de défense

Période : 2028 à 2034

Montant : 131 milliards d’euros proposés

Programmes spatiaux européens

Période : 2021 à 2027

Montant : 15 milliards d’euros

Programmes spatiaux européens

Période : 2028 à 2034

Montant : 40 à 60 milliards d’euros envisagés

Le bouclier spatial européen comme prochaine étape

La stratégie européenne pour la sécurité et la défense dans l’espace, adoptée en 2023, a posé quatre objectifs. Elle entend renforcer la résilience et la protection des systèmes spatiaux européens, organiser la réponse aux menaces, développer l’usage du spatial pour la sécurité et la défense, puis soutenir des comportements responsables dans l’espace.

La stratégie de 2023 a reconnu l’espace comme un domaine contesté. La stratégie de préparation de l’Union publiée en 2025 a identifié les services spatiaux comme des moyens critiques de résilience et de continuité civile et militaire, tout en mandatant directement un bouclier spatial européen. La feuille de route pour la préparation de la défense à l’horizon 2030 a ensuite présenté ce bouclier comme une initiative destinée à permettre aux actifs européens et nationaux de poursuivre leurs opérations dans des environnements contestés ou dégradés.

Un plan d’action doit traduire cette ambition politique en mesures concrètes. Son adoption est annoncée pour décembre 2026. Il doit connecter les capacités existantes, combler les lacunes critiques et protéger les infrastructures spatiales européennes avec l’industrie comme partenaire indispensable. Cette logique place la cybersécurité au cœur de la politique spatiale, car un bouclier efficace dépend de la confiance dans les logiciels, les réseaux, les données et les fournisseurs qui soutiennent chaque mission.

Les espaces de données comme infrastructure stratégique

La réflexion sur un espace européen de données spatiales part d’un constat simple. Les données issues des satellites, des missions de sûreté spatiale, de la navigation et des communications restent dispersées entre de nombreuses plateformes publiques et privées. Leur valeur augmente lorsqu’elles peuvent être découvertes, combinées et traitées au delà de leur environnement d’origine. Cette mutualisation ne peut toutefois fonctionner que si les détenteurs conservent le contrôle des conditions d’accès et d’usage.

Un espace de données associe donc cinq composantes. Il comporte un mécanisme de gouvernance qui fixe les droits par la loi, les règles administratives et les contrats. Il repose sur une infrastructure informatique sécurisée qui protège la confidentialité. Il permet aux détenteurs de décider qui accède à leurs données, pour quelle finalité et sous quelles conditions. Il rend disponibles de grands volumes de ressources, gratuitement ou contre rémunération selon le choix du détenteur. Enfin, il reste ouvert à un nombre potentiellement large d’organisations et de personnes, sous réserve de critères d’adhésion et de conformité.

Une architecture fondée sur la confiance et la fédération

L’architecture proposée sépare clairement la gouvernance, les services de fédération, les participants et les services créateurs de valeur. L’autorité de gouvernance définit les rôles, le modèle économique, les accords juridiques, les responsabilités, les critères d’adhésion, les droits d’accès, les règles de sécurité et les modalités d’audit. Ces règles s’appliquent à tous les participants et doivent aussi intégrer les exigences européennes ainsi que les contraintes propres au secteur spatial.

Gouvernance

Fonction : définir les règles communes

Livrables : rôles, modèle économique, accords juridiques, responsabilité, adhésion, droits et audits

Identité et confiance

Fonction : vérifier les acteurs et leurs mandats

Livrables : organisations, personnes, habilitations, justificatifs et portefeuilles européens d’identité

Catalogues et sémantique

Fonction : découvrir et comprendre les ressources

Livrables : modèles communs, vocabulaires, registres et descriptions

Politiques et assurance

Fonction : appliquer les droits et prouver la conformité

Livrables : règles d’accès et d’usage, contrôles, audit et traçabilité

Agents participants

Fonction : relier les fournisseurs et les utilisateurs

Livrables : connecteurs, identité, politiques, contrats, autorisations et accès aux traitements

Services de valeur

Fonction : transformer les données en usages

Livrables : collaboration, analyse, intelligence artificielle, jumeaux numériques et traitements

Les services de fédération assurent l’identité, la confiance, la découverte des données, l’alignement sémantique, l’application des politiques et la traçabilité. Le fournisseur et l’utilisateur se connectent chacun par un agent capable de gérer les identités, les permissions et les règles d’usage. Les contrats encadrent la relation, tandis que l’accès peut porter sur les données elles mêmes ou sur une capacité de calcul. Les places de marché et les paiements restent facultatifs, car ils dépendent du modèle économique choisi.

L’interopérabilité doit dépasser le seul secteur spatial. Les règles, les modèles sémantiques, les mécanismes de confiance et les protocoles doivent pouvoir dialoguer avec les espaces de données de la mobilité, du tourisme, de l’agriculture, des villes intelligentes, de la santé, de l’énergie, de la finance et de l’industrie. Le schéma cite plusieurs briques de référence, dont le Blueprint du Data Spaces Support Centre, Gaia X, IDSA, Eclipse, Prometheus X, iSHARE, Simpl, FIWARE et les standards géospatiaux de l’Open Geospatial Consortium.

Des cas d’usage civils et régaliens

L’espace de données spatiales doit fédérer les informations issues des satellites d’observation, de navigation et de communication, ainsi que des missions de sûreté spatiale. Il se place au dessus des infrastructures et peut se connecter au Copernicus Data Space, à Destination Earth, aux services fédérés Gaia X et à une plateforme publique de données ouvertes destinée notamment à l’intelligence artificielle. Le financement de 20 millions d’euros pour cette plateforme illustre la volonté de bâtir des services mutualisés.

Les usages envisagés couvrent la santé, l’industrie, l’agriculture, la culture, la mobilité, la transition écologique, la sécurité, l’administration publique, les médias et la finance. Deux exemples montrent la sensibilité de ces services. La gestion du trafic spatial exige le partage contrôlé d’informations sur les objets en orbite, le spectre radio et les risques de collision. Le service gouvernemental d’observation de la Terre doit produire des informations géospatiales à valeur ajoutée réservées à des utilisateurs publics autorisés, afin de soutenir la préparation, la décision, la sécurité et la défense. Son fonctionnement repose sur trois piliers, les services et les données, l’infrastructure et la gouvernance.

La sécurité doit être intégrée dès la conception

Le cas de Skynopy illustre la traduction opérationnelle de ces principes dans le segment au sol. L’entreprise indique avoir intégré la sécurité dès sa création et avoir obtenu la certification ISO IEC 27001 pour son activité de station sol fournie comme service. Pour les opérateurs de satellites, les agences et les administrations de défense, cette certification constitue un signal de confiance, mais elle ne remplace pas l’analyse des risques.

Deux principes s’imposent. D’abord, une mesure de sécurité doit être proportionnée au risque et au coût de la perte qu’elle cherche à éviter. Ensuite, les fondamentaux restent prioritaires face aux technologies à la mode. Une attaque peut commencer par un droit d’accès oublié, un mot de passe faible ou un serveur non corrigé. Une organisation qui néglige ces points ne sera pas protégée par l’ajout de mécanismes plus sophistiqués. Cette approche rejoint directement les exigences de maturité présentées pour la base industrielle et technologique de défense.

L’intelligence artificielle, la cybersécurité et la cryptographie post quantique figurent également parmi les réponses à étudier pour renforcer la résilience des services spatiaux. Les solutions développées par Seclab, Alyon.ai et Aldoria montrent la diversité des acteurs mobilisés. Les informations disponibles ne permettent cependant pas d’en détailler ici les résultats techniques. Leur présence dans cet écosystème confirme surtout que la protection du spatial associe désormais sécurité des réseaux, traitement automatisé de l’information et anticipation de la transition cryptographique.

La cybersécurité devient un enjeu économique et contractuel

Les chiffres repris du panorama de la cybermenace 2025 de l’Agence nationale de la sécurité des systèmes d’information montrent une menace persistante. En 2025, l’agence a traité 3 586 événements de sécurité, soit un recul de 18 pour cent par rapport à 2024. Le nombre d’incidents recensés dans la série affichée passe toutefois de 831 en 2022 à 1 112 en 2023, 1 361 en 2024 et 1 366 en 2025. Le document mentionne aussi 128 compromissions par rançongiciel en 2025, dont 48 pour cent visant des très petites entreprises et des petites ou moyennes entreprises.

La cyber touche directement les données, la continuité de l’activité, la confiance des clients et partenaires, les chaînes de valeur de la défense et l’accès aux marchés. Pour un fournisseur de défense, une maturité insuffisante peut donc entraîner une interruption, une perte d’information ou l’exclusion d’un contrat. La sécurité n’est plus seulement un sujet technique confié à une équipe spécialisée. Elle devient une condition de compétitivité et une responsabilité de direction.

Le Référentiel de maturité cyber fondamental

Le Référentiel de maturité cyber fondamental répond à l’exposition accrue de la chaîne de fournisseurs de la défense et à la dispersion des exigences entre donneurs d’ordre. Sa genèse commence en 2019 avec une convention cyber entre le ministère des Armées et huit maîtres d’œuvre industriels. En 2022, les groupes de travail entre l’État et l’industrie consacrés à l’économie de guerre renforcent cette démarche. Deux référentiels fondamentaux consacrés à la sûreté et à la cyber apparaissent en 2023. En juillet 2026, un guide consacré à la compréhension et à l’application du référentiel est publié.

Le groupe de travail est piloté par la Direction générale de l’armement avec les huit maîtres d’œuvre de la convention cyber et le soutien de l’Agence nationale de la sécurité des systèmes d’information. Trois objectifs sont affichés, relever le niveau cyber des entreprises de défense, préserver leur accès aux marchés internationaux et éviter les préjudices économiques. L’approche privilégie des mesures applicables par toute entreprise et des guides de progression accessibles sur le site du ministère des Armées.

Vingt et une exigences réparties en quatre blocs

Le référentiel comporte vingt et une exigences fondamentales. Chacune reçoit une note de un à quatre, et la conformité est atteinte au niveau trois. Une exigence qui ne s’applique pas doit être justifiée. Le dispositif a deux usages. Il peut être imposé par un donneur d’ordre à ses fournisseurs dans le cadre contractuel. Il peut aussi servir à une autoévaluation destinée à mesurer et à valoriser la maturité, avec la perspective d’une certification ultérieure.

Gouvernance

Nombre d’exigences : 6

Question de direction : savons nous ce qui doit être protégé et qui en répond

Principales attentes : risque porté par la direction, informations sensibles identifiées, responsable désigné et équipes sensibilisées

Protection

Nombre d’exigences : 13

Question de direction : les accès, les équipements et les données sont ils suffisamment protégés

Principales attentes : filtrage, correctifs, accès nominatifs, mots de passe solides et comptes administrateurs séparés

Défense

Nombre d’exigences : 1

Question de direction : savons nous réagir et prévenir les clients

Principales attentes : plan de gestion des incidents et alerte des clients ainsi que de l’autorité nationale

Résilience

Nombre d’exigences : 1

Question de direction : pouvons nous redémarrer l’activité

Principales attentes : sauvegardes séparées du système d’information et restauration testée régulièrement

Le référentiel peut se résumer par cinq questions adressées au dirigeant. L’entreprise sait elle quelles informations sont réellement sensibles et où elles sont stockées. Une personne porte elle clairement le sujet cyber et rend elle compte à la direction. Les droits d’accès, les connexions distantes, les comptes administrateurs et les mots de passe sont ils maîtrisés. L’organisation saurait elle redémarrer rapidement après un rançongiciel. Enfin, le niveau atteint peut il être démontré par une attestation et des preuves vérifiables.

Une attestation engageante et des preuves à conserver

L’exigence entre progressivement dans les marchés de défense par le clausier de la Direction générale de l’armement et doit être harmonisée entre donneurs d’ordre. L’entreprise s’évalue sur la grille officielle. Le dirigeant signe une attestation valable au maximum trois ans et la réexamine chaque année. Les preuves doivent rester disponibles en cas d’audit. Cette combinaison fait de la déclaration un engagement de gouvernance et non une simple formalité documentaire.

Des dispositifs d’accompagnement sont prévus. Le diagnostic Cyber Défense est annoncé comme subventionné à 50 pour cent. La Direction du renseignement et de la sécurité de la défense peut fournir un conseil gratuit. La Direction générale de l’armement dispose également d’une cellule cyber destinée aux petites et moyennes entreprises. Trois points de vigilance méritent une attention particulière. Aucun délai unique n’est fixé pour les correctifs, mais les retards et les exceptions doivent être connus, tracés et compensés. Le périmètre inclut les machines outils et l’informatique industrielle. Enfin, le recours au cloud ou à un prestataire ne transfère pas la responsabilité, et l’hébergement distant ne constitue pas en lui même une sauvegarde.

Une articulation nécessaire avec les autres référentiels

Le Référentiel de maturité cyber fondamental ne remplace pas les autres cadres. Il constitue un socle commun adapté aux fournisseurs de défense français. Des équivalences sont validées ou étudiées pour éviter la répétition des démarches. Le guide précise notamment que le niveau bronze du référentiel Aircyber apporte une équivalence. Une entreprise engagée dans ISO IEC 27001 ou dans la mise en conformité avec NIS 2 a donc déjà couvert une partie du chemin, même si elle doit encore démontrer les exigences propres aux marchés de défense.

Référentiel de maturité cyber fondamental

Public : fournisseurs de la base industrielle et technologique de défense

Logique : socle de vingt et une mesures simples

Preuve et contrainte : attestation du dirigeant et preuves en cas d’audit, clauses contractuelles progressives

Aircyber

Public : fournisseurs de la filière aérospatiale

Logique : quarante cinq questions et trois niveaux de maturité

Preuve et contrainte : certification facultative et attente des donneurs d’ordre

ReCyF

Public : entités concernées par NIS 2

Logique : vingt objectifs de sécurité réglementaires

Preuve et contrainte : contrôle de l’autorité nationale après transposition

CMMC 2.0

Public : fournisseurs du Département de la défense des États Unis

Logique : protection des informations de défense selon trois niveaux

Preuve et contrainte : audit par un tiers dès le niveau deux et clauses DFARS

Cyber Essentials

Public : toute organisation au Royaume Uni

Logique : cinq contrôles techniques de base

Preuve et contrainte : autoévaluation vérifiée ou audit technique et renouvellement annuel

ISO IEC 27001

Public : toute organisation

Logique : système de management de la sécurité de l’information

Preuve et contrainte : certification par un organisme accrédité sur un cycle de trois ans

De l’évaluation à l’avantage commercial

Le parcours proposé commence par une autoévaluation exigence par exigence. L’entreprise identifie ensuite les écarts, classe ses priorités par bloc et décide si elle peut agir seule ou si elle doit être accompagnée. Cette première photographie ne constitue ni un audit ni une certification. Elle sert à objectiver la situation et à préparer la décision.

La progression se déroule en trois temps. Comprendre signifie mener le diagnostic, organiser des entretiens avec la direction et les équipes, puis cartographier les écarts et les risques critiques. Décider consiste à prioriser selon le risque, chiffrer les actions, arbitrer les moyens et articuler le référentiel avec NIS 2. Transformer revient à piloter la mise en œuvre, préparer l’attestation du dirigeant et valoriser les progrès auprès des clients. La cybersécurité devient alors un argument commercial démontrable, à condition que les preuves correspondent à des mesures réellement appliquées.

Le risque des tiers mesuré à grande échelle

Le retour d’expérience de Board of Cyber élargit la réflexion à la maîtrise du risque introduit par les tiers. L’entreprise présente une notation automatisée et non intrusive de la surface externe, utilisable ponctuellement ou en continu. Son objectif est d’évaluer, de surveiller et de piloter la maturité d’une organisation ainsi que celle de son écosystème. Cette démarche répond à une réalité centrale du spatial, la sécurité d’une chaîne dépend de son acteur le plus exposé.

Le Panorama NIS 2 de 2026 porte sur plus de 21 700 entités françaises, 7,4 millions d’observables et 2,8 millions d’actifs répartis dans dix huit secteurs. L’analyse attribue un score de zéro à mille à partir de la surface externe visible. Six anomalies fréquentes sont mises en avant, un port LDAP accessible depuis internet, des technologies arrivées en fin de vie, l’absence de SPF, une politique DMARC laissée en mode neutre, un certificat TLS invalide ou expiré et un enregistrement CNAME générique sur le domaine principal. Cinq de ces six anomalies peuvent être corrigées par une configuration en quelques semaines. La gestion des technologies obsolètes exige en revanche un processus continu.

Le secteur spatial dans une position intermédiaire

La comparaison sectorielle mesure la part des entités classées en maturité avancée. La banque arrive en tête avec 60,2 pour cent, devant les marchés financiers à 57,9 pour cent. Le spatial se situe à 36,9 pour cent, entre l’eau potable à 38,3 pour cent et les transports à 36 pour cent. Ce résultat place le secteur loin des meilleurs niveaux, alors même que ses services supportent des fonctions critiques.

Banque : 60,2 pour cent

Marchés financiers : 57,9 pour cent

Santé : 46,3 pour cent

Énergie : 43,5 pour cent

Agroalimentaire : 40 pour cent

Chimie : 39,4 pour cent

Fabrication : 38,9 pour cent

Eau potable : 38,3 pour cent

Espace : 36,9 pour cent

Transports : 36 pour cent

Recherche : 33,6 pour cent

Services postaux : 32,9 pour cent

Gestion des déchets : 30,4 pour cent

Eaux usées : 29 pour cent

Le diagnostic de cent soixante dix sociétés spatiales

L’observatoire consacré à 170 sociétés du secteur spatial en Bretagne fait apparaître une note moyenne de 705 sur mille. Neuf entreprises sont classées au niveau basique, 98 au niveau intermédiaire et 63 au niveau avancé. Les profils varient fortement selon les axes évalués. Le contrôle de sécurité obtient une position relativement favorable, alors que la surface d’attaque, la messagerie et les vulnérabilités montrent des écarts plus marqués.

Le constat principal reste préoccupant. Neuf sociétés sur dix présentent au moins un problème élevé ou critique à corriger. Les ports exposés représentent un problème critique pour 8,2 pour cent des sociétés. La configuration de la messagerie constitue un problème important pour 54 pour cent. Les défauts liés au web et à TLS concernent 44 pour cent. Les contrôles de sécurité associés à DNSSEC et aux enregistrements DNS génériques concernent 11 pour cent. Les technologies à mettre à jour touchent 59 pour cent des sociétés et doivent être planifiées.

Ports exposés

Part concernée : 8,2 pour cent

Niveau indiqué : critique et prioritaire

Configuration de la messagerie

Part concernée : 54 pour cent

Niveau indiqué : important

Web et TLS

Part concernée : 44 pour cent

Niveau indiqué : important

DNSSEC et enregistrements DNS

Part concernée : 11 pour cent

Niveau indiqué : à corriger

Technologies à mettre à jour

Part concernée : 59 pour cent

Niveau indiqué : à planifier

Un plan d’action gradué selon l’urgence

Le plan d’action proposé répartit les corrections sur quatre horizons. Sous soixante douze heures, les organisations doivent fermer les expositions critiques, notamment les ports accessibles et les services LDAP anonymes. Elles peuvent filtrer ces services ou les placer derrière un pare feu. Si l’exposition dure depuis longtemps, elles doivent renouveler les identifiants et examiner les journaux. Quatorze sociétés sont directement concernées par cette priorité.

Sous trente jours, l’effort porte sur la messagerie, les certificats et le protocole HTTP. Il faut configurer DMARC et SPF, supprimer les enregistrements de messagerie inutiles, renouveler les certificats défaillants et supprimer l’usage de connexions web non sécurisées. Sous quatre vingt dix jours, la priorité devient la mise à jour des serveurs web, des langages et des systèmes de gestion de contenu. Les serveurs web concentrent 82 pour cent des vulnérabilités critiques et l’étude recense 10 601 vulnérabilités critiques potentielles sur ces serveurs.

La quatrième étape est continue. Les entreprises doivent mesurer régulièrement leur maturité externe, vérifier que les corrections restent effectives et suivre la progression de leurs partenaires. Cette surveillance complète le référentiel de maturité. L’un apporte une mesure visible de la surface exposée, l’autre structure la gouvernance, les processus et les preuves internes. Leur combinaison donne une vision plus réaliste du risque.

Ce que les dirigeants doivent retenir

La protection du spatial européen repose sur une chaîne de décisions cohérentes. Les institutions doivent financer les capacités, définir les règles communes et organiser la réponse aux menaces. Les opérateurs doivent sécuriser les satellites, les stations au sol, les réseaux et les données. Les donneurs d’ordre doivent harmoniser leurs exigences et vérifier les preuves. Les fournisseurs doivent connaître leurs actifs sensibles, maîtriser les accès, tester leurs sauvegardes et corriger les expositions visibles. Aucun de ces niveaux ne peut compenser durablement la faiblesse des autres.

La gouvernance des données devient aussi importante que leur protection. Un espace de données spatiales ne crée de valeur que si les droits d’usage, les identités, les contrats, les modèles sémantiques et les mécanismes d’audit sont partagés. La fédération européenne permet de mutualiser les services tout en maintenant le contrôle des détenteurs. Elle offre un cadre adapté aux informations sensibles, aux échanges entre secteurs et aux usages souverains.

Enfin, la résilience ne se résume pas à l’acquisition d’une technologie. Les difficultés observées proviennent souvent de ports ouverts, de certificats expirés, de règles de messagerie incomplètes, de composants obsolètes et de droits mal gérés. Ces problèmes sont connus et corrigibles. Leur persistance montre que la première priorité est la discipline d’exécution, soutenue par une gouvernance claire, des responsabilités explicites, des délais adaptés au risque et une mesure régulière des progrès.

L’Europe dispose désormais de stratégies, de programmes et de financements capables d’élever son niveau d’autonomie. La réussite dépendra de leur traduction dans les contrats, les architectures et les pratiques quotidiennes de chaque acteur. Dans un domaine où les missions civiles, militaires et commerciales partagent de plus en plus les mêmes infrastructures, la cybersécurité est la condition opérationnelle de la souveraineté spatiale.

Découvrez le programme complet de METRICS

Retrouvez sur notre site le programme complet du congrès, les thématiques abordées et les différentes possibilités pour proposer une intervention, devenir sponsor ou venir assister aux échanges.

Accéder au programme complet de METRICS : https://www.metrics-summit.org/fr/program

Sources

Direction générale de l’armement, guide Référentiel de maturité cyber fondamental comprendre et appliquer, 15 juillet 2026

Guide SDI SecNum 2217 édition 03

Agence nationale de la sécurité des systèmes d’information, Panorama de la cybermenace 2025, 11 mars 2026

Board of Cyber, Panorama NIS 2 2026 et observatoire consacré à 170 sociétés du secteur spatial

Commission européenne, Direction générale de l’industrie de défense et de l’espace, politiques et programmes consacrés au spatial et à la défense