Pendant des années, quiconque écrivait sur la souveraineté numérique au Portugal devait le faire au conditionnel. On parlait de ce que l’État devrait faire, de ce qui serait souhaitable, de ce que d’autres pays faisaient déjà.
Cela a changé en mai 2026. La résolution du Conseil des ministres n° 102/2026, publiée le 27 de ce mois, a approuvé le Plan national pour le cloud souverain. Pour la première fois, un document officiel reconnaît la dépendance technologique de l’État comme un risque et trace une voie pour la réduire.
C’est une bonne nouvelle. Mais entre le plan et la réalité du terrain, il y a un écart qu’il vaut la peine de mesurer honnêtement, surtout si l’on regarde la partie de l’administration publique la plus exposée et la moins équipée : les municipalités.
Ce que dit le plan
Le Plan national pour le cloud souverain repose sur trois dimensions : classifier les processus métier, les données et les systèmes de l’administration publique ; définir des exigences de souveraineté, de sécurité et de résilience pour chaque niveau ; et adopter par phases une infrastructure numérique souveraine.
La logique est solide et mérite d’être saluée, car elle rompt avec quinze ans de traitement uniforme. Toutes les données de l’État n’exigent pas le même degré de protection, et il est reconnu formellement, pour la première fois, qu’il existe un niveau de criticité qui requiert une infrastructure sous contrôle renforcé de l’État.
Les éléments opérationnels sont tout aussi concrets :
- Le suivi est assuré par l’Agence pour la réforme technologique de l’État, en coordination avec le Centre national de cybersécurité.
- L’infrastructure est confiée à IP Telecom, avec un centre de données souverain prévu pour 2027 et l’achèvement de la structure visé pour 2030.
- Tous les organismes de l’administration publique doivent avoir leurs processus cartographiés et classifiés d’ici au 30 juin 2027.
- Il existe une incitation financière inhabituelle : la moitié des économies réalisées grâce à la migration reste à l’entité elle-même.
- Une formation à la souveraineté numérique est prévue pour au moins 10 % des spécialistes informatiques de l’administration publique d’ici à 2028, et pour plus d’un millier de cadres dirigeants d’ici à 2030.
C’est un plan sérieux. Le problème n’est pas ce qu’il dit. C’est le temps qu’il prendra, et qui reste exposé entre-temps.
Sur le terrain : 308 municipalités, une seule surface d’attaque
Le dernier état des lieux des municipalités portugaises n’est pas rassurant.
Dans le rapport sur la cybersécurité 2024 du Centre national de cybersécurité, les conseils municipaux sont identifiés comme une cible privilégiée, avec une hausse de 9,4 points de pourcentage des incidents depuis 2021. Un quart des municipalités ont déclaré avoir détecté des incidents cette année-là. À l’échelle du pays, le CERT.PT a enregistré une hausse de 36 % des incidents par rapport à l’année précédente.
Une étude universitaire qui a analysé les sites web des 308 municipalités a conclu que, malgré des améliorations, des vulnérabilités importantes subsistent, dont certaines, selon les termes des chercheurs, ne nécessiteraient pas un attaquant particulièrement sophistiqué pour être exploitées. Le score moyen national sur l’indicateur de cybersécurité était de 0,660, sur une échelle de zéro à un.
Un chiffre de plus aide à comprendre la nature du problème : les logiciels malveillants voleurs d’identifiants ont représenté plus de 80 % de l’activité malveillante enregistrée au troisième trimestre 2025. Et le type d’incident le plus fréquent reste le phishing, avec des campagnes qui imitent de plus en plus l’administration publique elle-même.
Mettez tout cela bout à bout et le tableau devient clair. Le point d’entrée dominant n’est pas une faille de serveur exotique. C’est un e-mail que quelqu’un ouvre.
L’asymétrie qu’aucun plan ne peut corriger
L’administration centrale portugaise dispose d’équipes informatiques, de budgets propres et de la capacité de recruter. Les données du rapport le montrent : 63 % de l’administration centrale utilise au moins deux facteurs d’authentification, un pourcentage supérieur à celui des entreprises portugaises.
Une municipalité de vingt mille habitants est une autre réalité. Elle compte souvent une ou deux personnes responsables de toute l’informatique, y compris l’assistance aux utilisateurs, le portail municipal, les systèmes de gestion documentaire, l’urbanisme, l’eau, les taxes et les licences. La cybersécurité est en concurrence avec tout cela pour le même temps et le même budget.
Ce n’est pas un manque de volonté. C’est de l’arithmétique. Et c’est pourquoi des initiatives comme l’exercice national de cybersécurité pour les collectivités locales, qui a réuni plus de 270 municipalités et environ un millier de participants autour de scénarios de ransomware et de phishing, comptent : non parce qu’elles entraînent la technologie, mais parce qu’elles entraînent la prise de décision dans des organisations où il n’existe pas de cellule de crise permanente.
Le Plan national pour le cloud souverain s’adresse à l’administration publique dans son ensemble. Il ne résout pas, à lui seul, l’écart de capacité entre un ministère et une petite municipalité de l’intérieur du pays.
L’écart que personne ne peut ignorer
Il vaut la peine de lire les dates attentivement. Classification des processus d’ici à la mi-2027. Centre de données souverain prévu pour 2027. Achèvement de la structure visé pour 2030.
Ce sont des délais raisonnables pour une transformation de cette ampleur. Mais ils signifient que, dans les prochaines années, les communications entre l’État et les citoyens continueront de passer par l’infrastructure qui existe aujourd’hui. Et cette infrastructure, dans de nombreuses municipalités, repose sur des services contractés auprès de prestataires soumis aux lois de pays tiers.
La question pratique, pour quiconque dirige aujourd’hui une municipalité ou un service public, n’est pas « qu’est-ce qui changera en 2030 ». C’est « que puis-je décider dans le prochain contrat que je signe ».
Trois décisions qui ne dépendent pas de l’attente
Premièrement : traiter la juridiction comme une exigence, pas comme un critère de départage. Aucune nouvelle législation n’est nécessaire. Les cahiers des charges peuvent exiger, dès maintenant, que le prestataire soit soumis exclusivement au droit portugais et européen, et qu’il n’y ait aucun transfert vers des pays tiers. C’est une ligne de texte.
Deuxièmement : commencer par l’e-mail. C’est par là que les attaques entrent, c’est là que vivent les informations les plus sensibles de la relation avec les citoyens, et c’est le système le plus facile à changer, parce qu’il repose sur des protocoles ouverts. C’est par là que l’Allemagne et la France ont commencé, et ce n’est pas un hasard.
Troisièmement : exiger des preuves plutôt que des promesses. Un prestataire doit pouvoir répondre par écrit et sans hésitation à des questions simples : où se trouvent les données, à quel droit est soumise l’entreprise qui les exploite, combien de temps les journaux sont conservés, et ce qui se passe à la fin du contrat.
Aucune de ces trois décisions ne nécessite de budget supplémentaire, de changement législatif ni d’attendre une infrastructure nationale. Elles exigent seulement de poser les bonnes questions au moment de contracter.
Ce qui est réellement en jeu
Pour la plupart des gens, la municipalité est le visage le plus proche de l’État. C’est là qu’on traite une licence, qu’on signale un incident, qu’on demande une aide sociale, qu’on règle un problème d’eau. Les informations qui transitent par ces communications sont souvent plus sensibles que celles qui passent par un ministère.
Le Portugal a franchi une étape importante en approuvant un plan national. Mais la souveraineté numérique ne se décide pas seulement en Conseil des ministres. Elle se décide, avant tout, dans les milliers de procédures de marchés publics que les organismes publics lancent chaque année, bien avant qu’une infrastructure nationale ne soit prête.
Le plan fixe la destination. Chaque contrat signé d’ici là trace le chemin.