Ce que la construction du Campus Cyber apprend sur la coopération public-privé

Note originale, rédigée pour ce site. Elle porte sur une période que j’ai vécue de l’intérieur, d’abord à l’ANSSI, puis comme cofondateur et directeur général délégué du Campus Cyber. Ce n’est donc pas une évaluation indépendante, et il faut la lire ainsi.

Ce qui a été construit

L’intuition est née en 2019-2020 à l’ANSSI, avec Guillaume Poupard : face à une menace croissante, le risque cyber ne se maîtrise pas par la seule action de l’État, il faut activer l’écosystème. Une mission de préfiguration a été confiée à Michel Van Den Berghe, que j’ai accompagné à ce titre comme cofondateur : concevoir la gouvernance, rédiger les statuts avec les avocats, chercher les financements publics et privés, convaincre les indécis. 29 millions d’euros levés, et tout à construire depuis une feuille blanche. Le Campus Cyber a été inauguré en février 2022 : 26 000 m² à La Défense, une société détenue conjointement par des acteurs publics et privés, sans autorité hiérarchique sur ses membres.

Trois ans après l’ouverture, le lieu réunissait plus de 300 organisations, dont 60 % des entreprises du CAC 40. Le Studio des Communs a réuni environ 750 contributeurs en groupes de travail et produit une trentaine de ressources mutualisées, mises gratuitement à disposition de tout l’écosystème, sur l’IA appliquée à la cybersécurité, le renseignement sur la menace, la cryptographie post-quantique et l’écoconception. Cinq campus territoriaux ont été labellisés : Hauts-de-France, Nouvelle-Aquitaine, Normandie, Bretagne, Région Sud. Un consortium européen sur l’IA et la cybersécurité a été confié au Campus par la Commission et la région Île-de-France, et un consortium sur les talents financé par France 2030 a associé Radio France, l’ONISEP, Pix et le CNED.

Le résultat le plus contre-intuitif est celui-là : dans un secteur concurrentiel où la confidentialité est un actif, des entreprises rivales ont accepté de produire ensemble des biens communs qu’elles ne pouvaient pas s’approprier. En 2017, l’approche par les communs passait pour idéologique ; en 2022, elle passait pour logique. Ce basculement en cinq ans est l’acquis le moins visible et le plus solide.

La genèse, en vidéo

Deux entretiens de la série Portrait Cyber reviennent sur cette histoire, du point de vue de deux de ses acteurs.

Entretien de la série Portrait Cyber, avec Yann Bonnet, alors directeur général délégué du Campus Cyber.

Même série, avec Guillaume Poupard, directeur général de l’ANSSI au moment des faits, aujourd’hui Chief Trust Officer d’Orange.

Trois spécificités de conception

Le dispositif reposait sur trois choix explicites, qu’il faut nommer parce qu’ils sont transposables indépendamment du reste.

La diversité des acteurs, incluant délibérément des membres qui ne sont pas des spécialistes de la cybersécurité.

La dissociation de l’apport en capital et du pouvoir de décision : un actionnaire majoritaire n’y détient pas une voix proportionnelle. Le raisonnement était écologique : un terrain produit quand aucune espèce n’y domine, et un acteur trop dominant marque le début de la pollution qui casse la chaîne de fertilité. C’est la condition qui a rendu la participation de l’État acceptable au secteur privé, et celle du secteur privé acceptable à l’État.

Et la production de communs, plutôt que la prestation de services : le Campus ne vend pas, il fabrique avec ses membres ce qu’aucun n’aurait fabriqué seul.

L’objectif de 2025 : ni tenu ni manqué

La stratégie nationale d’accélération pour la cybersécurité, dotée de 1 milliard d’euros dont 720 millions de financements publics, fixait deux objectifs chiffrés à l’horizon 2025 : porter les emplois de la filière de 37 000 à 75 000, et son chiffre d’affaires de 7,3 à 25 milliards d’euros. Le Campus Cyber était présenté comme le fer de lance de cette stratégie.

Le bilan dépend entièrement du périmètre retenu, ce qui est en soi le résultat le plus intéressant. Sur le périmètre cyber au sens strict, la direction générale des entreprises mesurait en 2023 une filière à 50 000 emplois et 10,45 milliards d’euros : la trajectoire ne permettait pas d’atteindre la cible. Sur le périmètre plus large de la confiance numérique, l’observatoire de l’Alliance pour la confiance numérique mesure en 2024 107 000 emplois et 21,3 milliards de revenus : la cible est dépassée.

Deux comptages, deux conclusions opposées, aucune malhonnêteté nécessaire. Quand une politique publique se fixe des objectifs quantifiés sans arrêter préalablement la définition de ce qu’elle compte, elle se prive du seul instrument qui rendrait son évaluation contraignante. Je ne me place pas hors de cette critique : j’ai utilisé ces chiffres dans des entretiens publics sans en interroger la construction.

Ce que le modèle permet

Trois choses, que je crois solides.

Il produit des biens communs qu’aucun acteur n’aurait produits seul, parce que le coût est partagé et le bénéfice non appropriable. C’est l’application la plus littérale de la théorie des externalités, et elle fonctionne.

Il fabrique de l’interconnaissance. Des chercheurs publics, des directeurs de la sécurité des grands comptes, des dirigeants de jeunes entreprises et des agents de l’État qui s’ignoraient travaillent ensemble et se comprennent mieux. Cet actif est invisible dans tout indicateur, et c’est probablement le plus durable.

Il donne une adresse. Une cinquantaine de délégations étrangères par an, un campus copié en Lituanie, de l’intérêt allemand et néerlandais : un lieu physique identifiable a une efficacité diplomatique que n’a aucun dispositif administratif équivalent.

Ce que le modèle ne permet pas

Le coût de la coopération. Si réunir des concurrents permet de bâtir des communs, cette synergie a un prix. Elle implique une énergie considérable allouée au maintien du consensus, des arbitrages complexes souvent esquivés, et un nivellement régulier des ambitions pour garantir l’unanimité.

La fragilité du modèle économique. Une dépendance excessive aux revenus de l’exploitation immobilière, au détriment d’autres leviers de valeur.

Ce qui est transposable

La Lituanie a ouvert son campus, l’Allemagne et les Pays-Bas s’y intéressent. Reste à distinguer ce qui relève d’un dispositif reproductible et ce qui tenait à une conjoncture française : une impulsion présidentielle explicite, un entrepreneur disposant du crédit du secteur privé et de la confiance de l’État, un moment où la vague de rançongiciels contre les hôpitaux avait rendu le sujet politiquement lisible, et une agence nationale suffisamment respectée pour être actionnaire sans être suspectée de vouloir tout contrôler.