When digital systems fail: Understanding the Risk of a Global Digital Pandemic

Résumé élargi : Quand les systèmes numériques défaillent - Comprendre le risque d'une pandémie numérique mondiale

#

Ouverture et cadrage

L'événement parallèle, organisé conjointement par l'Union internationale des télécommunications (UIT), le Bureau des Nations Unies pour la réduction des risques de catastrophes (UNDRR) et Sciences Po Paris, s'est ouvert sur une coupure de courant dans la salle de conférence, que la modératrice Loretta Hieber-Girardet a utilisée pour illustrer le thème central de la session. Elle a demandé au public : « Venons-nous de vivre une pandémie mondiale sur les infrastructures numériques ? » Elle a invité les participants à imaginer cette même perturbation se propageant à Genève, en Suisse et dans toute l'Europe, et à réfléchir à ce que cela signifierait si les hôpitaux, les services d'urgence et les systèmes de transport étaient touchés . Ce procédé visait à rendre le risque viscéralement tangible plutôt que purement théorique, et il a introduit la métaphore directrice de la session - la « pandémie numérique » - de manière émotionnellement percutante .

Hieber-Girardet a ensuite exposé les enjeux intellectuels de la discussion, soulignant que les infrastructures numériques sous-tendent tous les aspects de la vie moderne, des systèmes énergétiques et des services financiers aux soins de santé, aux alertes d'urgence, à l'administration publique et à l'action humanitaire . Elle a insisté sur le fait que plus ces systèmes deviennent interconnectés, plus il est crucial de comprendre comment une perturbation dans un secteur peut se propager à de nombreux autres secteurs, sociétés et communautés . La discussion, a-t-elle expliqué, s'appuyait sur un rapport conjoint - When Digital Systems Fail and Three Plausible Scenarios of Systemic Disruption - produit en collaboration entre l'UIT, l'UNDRR et Sciences Po, qui a réuni des experts de haut niveau pour examiner la manière dont les perturbations numériques se propagent en cascade à travers des systèmes interconnectés . La transcription y fait référence sous le nom de « rapport de mai », indiquant qu'il a été publié en mai.

---

#

Le scénario de tempête solaire : une menace crédible et imminente

Avant le débat de groupe, une courte vidéo a été projetée pour illustrer l'ampleur des perturbations numériques potentielles . La vidéo portait sur la menace d'une tempête solaire majeure, s'appuyant sur le précédent historique de l'événement de Carrington de 1859, lors duquel une tempête solaire avait provoqué des étincelles dans les machines télégraphiques et électrocuté leurs opérateurs, certaines continuant à transmettre même après la coupure de courant . La vidéo a noté qu'une tempête d'une magnitude équivalente avait frôlé la Terre en 2012 , et a expliqué que si un tel événement se produisait aujourd'hui, il induirait des courants géomagnétiques dans les réseaux électriques, provoquant la défaillance des transformateurs en cascade, plus rapidement que tout réseau ne pourrait se rétablir . Le remplacement d'un seul transformateur prend entre 12 et 18 mois, et aucune réserve stratégique n'existe .

Les conséquences en cascade s'étendraient bien au-delà du réseau électrique : les centres de données s'éteindraient, les systèmes financiers perdraient les signaux de synchronisation satellitaire qui séquencent chaque transaction, le GPS tomberait en panne, et les aéronefs seraient dans l'incapacité de voler - le tout avec seulement 18 heures de préavis . Les scientifiques estiment la probabilité d'un événement de niveau Carrington à jusqu'à 12 % par décennie, ce qui en fait une possibilité réelle plutôt que lointaine . La vidéo s'est conclue par une observation percutante : « Nous connaissons les risques. Nous connaissons les mécanismes. Ce qui nous manque, c'est une action coordonnée. » Ce cadrage - selon lequel l'obstacle n'est pas la connaissance mais la volonté collective - a donné le ton à l'ensemble du débat qui a suivi.

---

#

Sondage du public et l'ampleur du manque de préparation

À la suite de la vidéo, Hieber-Girardet a conduit un bref sondage auprès du public, demandant combien de participants estimaient que le monde est réellement préparé à une pandémie numérique . Le sondage a suggéré que très peu de participants, voire aucun, estimaient qu'une préparation adéquate existe, tandis que la majorité indiquait le contraire . Ce résultat, combiné à la reconnaissance qu'une perturbation numérique majeure est une possibilité bien réelle aux conséquences bien réelles , a instauré un sentiment d'urgence avant même que le panel ne prenne la parole.

---

#

La planification par scénarios et l'absence de risques isolés

Constance de Leusse, conseillère principale du Tech and Global Affairs Innovation Hub de Sciences Po à Paris, étroitement impliquée dans la production du rapport conjoint, a été invitée à expliquer la méthodologie et les principales conclusions du processus de planification par scénarios . Hieber-Girardet a introduit la discussion en décrivant l'un des scénarios du rapport - débutant par une vague de chaleur intense et aboutissant à une perturbation en cascade des réseaux électriques, des centres de données, des services cloud, des soins de santé, des paiements et des alertes d'urgence - avant d'inviter de Leusse à développer la méthodologie.

De Leusse a décrit comment le groupe d'experts a identifié qu'il n'existe pas de risques isolés dans les systèmes numériques : une vague de chaleur perturbant la connectivité peut se propager en cascade et affecter l'ensemble de la chaîne de la vie moderne, perturbant in fine les soins de santé, les systèmes financiers et tout système dont les populations dépendent au quotidien . Cette prise de conscience a conduit le groupe à adopter une approche holistique et systémique plutôt que de s'appuyer sur des évaluations des risques traditionnelles, qui tendent à traiter les aléas de manière isolée . La méthodologie de planification par scénarios a réuni des experts - lors de réunions virtuelles et en présentiel à Paris - pour travailler collectivement sur ce à quoi pourrait ressembler un avenir perturbé et, plus important encore, sur la manière dont la collaboration pourrait permettre d'identifier des solutions et d'anticiper les effets en cascade . De Leusse a souligné que la planification par scénarios doit être traitée comme un effort continu plutôt qu'un exercice ponctuel, et que le processus collaboratif lui-même a généré des enseignements qu'aucun expert ou institution n'aurait pu atteindre seul .

---

#

Nigeria : de l'expérience vécue à l'action concrète

Le ministre nigérian des Communications, de l'Innovation et de l'Économie numérique, Bosun Tijani, a apporté l'une des contributions les plus sincères et les plus humaines de la session. Il a décrit comment son pays avait déjà subi une mise à l'épreuve réelle de la fragilité numérique lorsqu'une rupture de câble sous-marin avait privé les jeunes Nigérians d'accès aux réseaux sociaux, paralysé le système bancaire et perturbé une partie des services gouvernementaux . Il a reconnu ouvertement que les citoyens l'avaient tenu personnellement responsable de la perturbation, et que cette expérience - plutôt que tout document de politique - lui avait fait prendre conscience de l'importance de la résilience . Il a réfléchi : « Tout ce que nous faisons lorsque nous parlons de transformation des données et que nous faisons migrer davantage l'humanité en ligne, nous devons également assumer la responsabilité de garantir que ces systèmes sont résilients. » Pour contextualiser les raisons pour lesquelles la résilience était devenue personnellement urgente pour lui, Tijani a décrit comment des études avaient montré que le Nigeria avait besoin de 90 000 kilomètres supplémentaires de réseau en fibre optique, qu'il avait levé 2 milliards de dollars à cette fin, et que le déploiement était désormais en cours. Cette expansion de la connectivité numérique rendait la question de la résilience d'autant plus pressante pour lui en tant que ministre augmentant activement la dépendance numérique de son pays.

Tijani a également identifié une défaillance structurelle de gouvernance qu'il a soutenu n'être pas propre au Nigeria : la planification de la résilience dans les domaines de l'énergie, de l'aviation et de la santé est menée de manière indépendante, en silos, son ministère jouant un rôle minime ou nul dans les grands projets numériques des autres secteurs . Il a noté que lorsqu'une crise numérique survient, elle touche simultanément tous les pans de l'économie et de la société, ne laissant aucune place à des prises de décision tardives . Il a admis que les secteurs « continueraient probablement à fonctionner en silos » et qu'« il n'y a rien que nous puissions faire à ce sujet » , présentant la fragmentation comme une réalité inévitable à gérer par des protocoles de contournement.

Sa réponse proposée était triple : premièrement, cartographier les dépendances numériques critiques au sein du Nigeria afin que les interdépendances soient comprises et documentées avant qu'une crise ne survienne ; deuxièmement, mener des tests de résistance intersectoriels simulant des scénarios de panne numérique totale, en commençant par les services financiers ; et troisièmement, clarifier quelle institution au sein de son ministère est responsable de la coordination en cas de crise . Il s'est engagé publiquement à revenir lors d'un prochain événement avec un rapport d'avancement sur ces trois actions .

---

#

Les Émirats arabes unis : une résilience éprouvée sous une attaque réelle

Le Directeur général de la Telecommunications and Digital Government Regulatory Authority des Émirats arabes unis, Majed Sultan Al Mesmar, a fourni la révélation la plus dramatique et la plus significative de la session. Il a révélé qu'au début du mois de mars, les Émirats arabes unis avaient été soumis à une attaque délibérée d'un pays voisin contre leurs infrastructures TIC civiles, ciblant les centres de données, les sites mobiles et les infrastructures satellitaires . Malgré cela, tous les services essentiels - notamment les écoles, les hôpitaux et les systèmes gouvernementaux - sont restés pleinement opérationnels . Il a été catégorique sur le fait que ce résultat n'était pas le fruit du hasard, mais d'une préparation délibérée et de longue haleine : « Ce n'est pas par hasard. Nous nous y sommes préparés il y a longtemps. » Al Mesmar a exposé les principes qui sous-tendent l'architecture de résilience des Émirats arabes unis, développée depuis l'adoption d'une approche nationale en 2010 . Le premier principe est de comprendre les risques avant qu'ils ne deviennent des incidents, notamment les cyberattaques, les catastrophes naturelles, les perturbations des chaînes d'approvisionnement et les risques émergents liés à l'IA, et de les réviser en permanence à mesure que le paysage des menaces évolue . Dès 2010, les Émirats arabes unis ont identifié les câbles sous-marins endommagés comme un risque stratégique et ont travaillé avec les opérateurs pour diversifier la connectivité et éliminer les points de défaillance uniques . Aujourd'hui, les Émirats arabes unis se connectent au monde via 21 à 22 câbles sous-marins entrant par deux emplacements différents, complétés par une couverture mobile de la 2G à la 5G à 99,8 %, deux sociétés satellitaires fournissant respectivement des services à large bande et des services mobiles, et la capacité d'activer tous les services VoIP disponibles en appuyant sur un seul bouton si les cinq réseaux mobiles tombent en panne . Il a décrit cela comme « le résultat d'un investissement à long terme, non pas le fruit du hasard. » Le deuxième principe est que la résilience est une responsabilité partagée nécessitant une coordination entre les gouvernements, les opérateurs, les fournisseurs d'énergie, les institutions financières et les entreprises technologiques . Pour opérationnaliser cela, les Émirats arabes unis ont créé la National Crisis, Emergency, and Disaster Management Authority (NCEMA) en 2007, réunissant le gouvernement et le secteur privé sous un cadre unique pour des décisions coordonnées et un partage rapide de l'information . Al Mesmar a insisté sur le fait que « la résilience dépend d'institutions solides autant que de technologies robustes » , et que les Émirats arabes unis organisent des exercices de simulation sur table annuels au sein du secteur TIC et des exercices de terrain tous les deux ans, en plus des exercices nationaux impliquant d'autres entités . Le troisième principe est que la résilience doit être intégrée dans l'architecture elle-même, avec des charges distribuées, de la redondance et une diversité géographique garantissant la continuité des services lorsqu'un composant tombe en panne . Il a conclu : « La résilience est une question de gouvernance, de partenariat, d'apprentissage continu et d'innovation, pas seulement de technologie. » ---

#

Cyberdiplomatie : gérer les risques au-delà des frontières

L'ambassadrice australienne pour les affaires cybernétiques et les technologies critiques, Jessica Hunter, a abordé la dimension transfrontalière des perturbations numériques, notant que de tels événements ne s'arrêtent pas aux frontières nationales . Elle a ancré ses remarques dans l'expérience nationale vécue, citant la propre confrontation de l'Australie avec une crise météorologique ayant mis hors service le réseau électrique pendant plusieurs jours, ainsi que le cas de la coupure de connectivité de 38 jours de Tonga en 2022 à la suite d'une rupture de câble - une illustration concrète de la rapidité avec laquelle l'isolement numérique peut devenir une urgence humanitaire.

Elle a identifié trois risques spécifiques qui émergent dans le vide informationnel d'une crise. Le premier est l'incompréhension : dans les suites immédiates d'une perturbation, il est souvent difficile de déterminer si la cause est une attaque physique, une cyberattaque ou un événement non intentionnel, et cette ambiguïté crée un potentiel dangereux de mauvaise communication entre différentes juridictions politiques . Le deuxième est l'escalade, tant au sein des agences nationales qu'au-delà des frontières internationales, différents gouvernements pouvant réagir à leur propre compréhension incomplète des événements . Le troisième est le retard - dans la détection, la résolution de problèmes et la réponse - qui aggrave les dommages causés par la perturbation initiale .

Hunter a soutenu que la diplomatie, les relations humaines et les points de contact préétablis sont les outils essentiels pour gérer ces risques . Elle a décrit plusieurs approches pratiques. Au niveau mondial, le droit international s'applique aux crises numériques tout comme aux crises hors ligne, et les normes de l'ONU sur le comportement responsable des États fournissent un cadre pour clarifier les faits techniques lorsqu'ils sont contestés . Les réseaux mondiaux de confiance - notamment les équipes d'intervention en cas d'urgence informatique (CERT), l'International Watch and Warning Network (IWWN) et le répertoire des mécanismes mondiaux en matière de cybersécurité - permettent un partage rapide de l'information et réduisent les risques de mauvaise communication . Au niveau régional, l'Australie travaille avec l'Asia-Pacific CERT et le Pacific Cyber Security Operations Network (PACSON) pour connecter les nations et renforcer les capacités de résilience . Par le biais de son programme pour l'Asie du Sud-Est, l'Australie collabore étroitement avec les membres de l'ASEAN et les partenaires des îles du Pacifique pour tester et exercer des scénarios de crise intersectoriels, fournir des technologies fiables et sécurisées, et mener des travaux de préparation aux crises . Elle a souligné que le partenariat public-privé est essentiel car, si les gouvernements et les régulateurs définissent ce que signifie une bonne pratique, la plupart des systèmes critiques sont détenus et gérés par des partenaires industriels qui doivent être inclus dans les tests de scénarios et la préparation aux crises . Elle a conclu que les tests, les exercices et la préparation représentent le meilleur effort collectif entre gouvernements et infrastructures public-privées pour garantir la disponibilité face à la prochaine perturbation numérique - ajoutant, avec une autocorrection, qu'une telle perturbation n'est pas une question de si, mais de quand .

---

#

UIT : donner l'alerte et rendre la préparation opérationnelle

Le Secrétaire général adjoint de l'UIT, Tomas Lamanauskas, a été interrogé sur la manière dont l'UIT aide les pays à passer d'une réaction aux perturbations numériques à la construction de la résilience avant que les crises ne surviennent . Il a commencé par établir un parallèle avec la COVID-19, notant que de nombreux décideurs politiques rejettent actuellement les scénarios de perturbation numérique catastrophique comme relevant de la science-fiction - tout comme une pandémie était considérée comme improbable quelques années seulement avant qu'elle ne se produise . Il a utilisé la probabilité d'un événement solaire de niveau Carrington pour remettre en question cette complaisance : « C'est une probabilité assez élevée. Et si cela détruit votre réseau électrique et vos réseaux mobiles, pouvez-vous prendre ce risque ? » Lamanauskas a décrit l'approche de l'UIT comme une chaîne structurée d'activités de préparation, calquée sur ses travaux existants en matière de cybersécurité : évaluations nationales, stratégies nationales de cybersécurité, développement des infrastructures et exercices cybernétiques . Il a noté que cette chaîne doit être déclenchée par une véritable compréhension de l'importance de la préparation, et que le rôle de l'UIT comprend la sensibilisation ainsi que l'assistance technique . Il a mis en évidence deux domaines spécifiques de travail international en cours : la résilience des câbles sous-marins, pour laquelle un conseil consultatif international concluait son cycle avec un panel de haut niveau et des recommandations le lendemain ; et la durabilité spatiale, pour laquelle l'UIT travaille à remédier à l'accumulation de débris orbitaux à mesure que les infrastructures satellitaires deviennent de plus en plus critiques . Il a soutenu que la prochaine étape consiste à faire vivre aux gens une véritable expérience de perturbation à grande échelle, afin que la réalité d'une crise numérique devienne viscérale plutôt qu'abstraite .

---

#

GSMA : les réseaux mobiles comme bouées de sauvetage humanitaires

Kimberly Brown, responsable de Mobile for Humanitarian Innovation au sein du GSMA, a mis en évidence le rôle des réseaux mobiles comme bouées de sauvetage lors des crises humanitaires et l'importance de mécanismes préétablis pour maintenir la connectivité . Elle a noté que les questions abordées tout au long du panel ne sont pas seulement techniques, mais fondamentalement liées à la coordination et à la préparation . S'appuyant sur l'expérience du GSMA à l'intersection des opérateurs de réseaux mobiles, des gouvernements, des partenaires humanitaires et des régulateurs , elle a décrit comment les enseignements tirés des pratiques de résilience des opérateurs de réseaux mobiles peuvent être traduits dans des cadres de résilience numérique plus larges .

Brown a souligné que des mécanismes tels que les protocoles de crise préétablis, les plans de continuité des activités, les dispositions relatives à l'accès à l'énergie et aux carburants, le partage d'infrastructures et l'itinérance d'urgence nécessitent une préparation considérable en amont pour être efficaces . Elle a noté que le GSMA avait récemment contribué à un rapport de l'UIT sur l'itinérance d'urgence, et que la mise en œuvre de l'itinérance d'urgence en situation de crise nécessite un travail considérable en amont . Elle a également souligné que les événements composés et séquentiels en cascade - des tempêtes succédant à des inondations, des tremblements de terre entraînant des déplacements de population - sont déjà une réalité vécue pour les acteurs humanitaires et l'écosystème mobile, rendant la collaboration intersectorielle et les protocoles préétablis essentiels pour le rétablissement des réseaux mobiles et de tous les autres services vitaux .

---

#

L'Union européenne : gouvernance multi-aléas et prospective pilotée par l'IA

Martin Bailey, de l'Office européen de l'IA au sein de la Commission européenne, a présenté l'approche multicouche de l'UE en matière de résilience numérique . Sur la cybersécurité, il a décrit une série de mécanismes établis de longue date : le Cyber Shield de l'UE pour la détection transfrontalière des menaces, le Cyber Blueprint de l'UE pour le commandement et le partage d'informations en cas de crise, des exercices cybernétiques à grande échelle menés par l'Agence de cybersécurité de l'UE dans les États membres, et la constitution de stocks de biens numériques ainsi que médicaux . Il a également fait référence à la Stratégie de l'Union pour la préparation de l'UE comme approche tous risques en matière de résilience .

Bailey a ensuite décrit les travaux de l'Office européen de l'IA, qui s'attache à passer d'une surveillance fragmentée par aléa unique à une prospective intégrée, en utilisant des outils d'IA ouverts et fiables . Il a cité la catastrophe des inondations européennes de juillet 2021 - qui a causé 400 morts et 40 milliards de dommages - comme étude de cas d'une défaillance systémique . Il a soutenu que ce qui avait dysfonctionné n'était pas le modèle de prévision, mais l'ensemble de la chaîne : les données, la prise de décision et l'action . Cette observation a renforcé le thème général de la session selon lequel la résilience nécessite non seulement des infrastructures techniques, mais aussi des chaînes institutionnelles fonctionnelles pour agir sur l'information. Bailey a également souligné l'importance d'intégrer de la redondance dans les systèmes, de les maintenir en open source et de s'éloigner des « boîtes noires » propriétaires dont les opérateurs peuvent être inconnus . Il a mentionné des initiatives spécifiques, notamment des projets visant à préparer les villes à tout type de catastrophe - qu'elle soit numérique ou physique - et a noté que l'UE est engagée dans des travaux de modélisation de la reconstruction en Ukraine et dans d'autres zones touchées. Il a décrit l'objectif de l'UE de développer des outils et de les mettre à disposition au-delà des frontières de l'UE par le biais de partenariats de confiance, reconnaissant que les communautés les moins préparées aux perturbations numériques sont souvent celles qui disposent du moins d'outils .

---

#

Convergences, tensions et questions non résolues

Au sein du panel, un degré de consensus remarquablement élevé a émergé sur les principes fondamentaux de la résilience numérique. Tous les intervenants ont convenu que les perturbations numériques se propagent en cascade à travers des secteurs interconnectés ; que la résilience doit être construite avant une crise par des investissements à long terme plutôt qu'improvisée pendant celle-ci ; que les exercices, simulations et tests de résistance sont indispensables ; que la coordination intersectorielle avec des protocoles clairs est essentielle ; et qu'aucune organisation ou pays ne peut gérer seul une crise numérique .

Sous cette apparente convergence, cependant, se cachaient des tensions significatives. Tijani a admis que les secteurs « continueraient probablement à fonctionner en silos » et qu'« il n'y a rien que nous puissions faire à ce sujet » , présentant la fragmentation comme une réalité inévitable à gérer par des protocoles de contournement. Al Mesmar, en revanche, a présenté la NCEMA des Émirats arabes unis comme la preuve qu'une coordination intersectorielle unifiée est structurellement réalisable , laissant entendre que la planification en silos n'est pas inévitable. De même, les remarques d'Al Mesmar ont accordé une importance considérable aux solutions d'infrastructure technique , tandis que Hunter et Bailey ont également mis au premier plan la gouvernance, la diplomatie et les chaînes institutionnelles comme étant tout aussi essentielles . Un membre du public a également soulevé la question de savoir si les réseaux de radiodiffusion - radio et télévision - devraient être plus explicitement intégrés dans les cadres de résilience , un défi qu'Al Mesmar a reconnu sans le résoudre pleinement, notant que les services de radiodiffusion avaient continué pendant l'attaque contre les Émirats arabes unis, avant de pivoter rapidement pour soutenir que « le mobile est en train de tout prendre en charge » .

---

#

Conclusions et perspectives

Hieber-Girardet a clôturé la session en rassemblant les thèmes clés et en identifiant la lacune la plus significative qui subsiste : « Le risque numérique n'a pas été systématiquement intégré dans de nombreux plans de gestion des risques de catastrophes que nous observons au niveau national. Il reste donc beaucoup de travail à accomplir, beaucoup de leçons à tirer. » Cette observation a servi de correctif aux exemples impressionnants de préparation présentés par les Émirats arabes unis, l'Australie et l'UE, rappelant au public que ceux-ci représentent l'exception plutôt que la règle. Elle s'est engagée à continuer à travailler avec l'UIT pour diffuser les recommandations du rapport conjoint et à recueillir et partager les leçons apprises entre les pays .

La session s'est conclue sur un large accord selon lequel les outils, les cadres et les partenariats nécessaires pour agir existent déjà, mais que la traduction de ce consensus en action coordonnée aux niveaux national et international demeure le défi central. Le rapport conjoint de l'UIT, de l'UNDRR et de Sciences Po a été identifié comme un vecteur de sensibilisation des ministres et des décideurs politiques du monde entier , et l'engagement public de Tijani à revenir avec un rapport d'avancement sur les trois points d'action du Nigeria a fourni un mécanisme concret de responsabilisation qui a donné à la discussion un sentiment de dynamique continue au-delà de la session elle-même.