Fondée en 2008, l’entreprise française Vade s’est imposée comme l’un des champions européens de la protection de la messagerie électronique et de la lutte contre les cyberattaques. Pour diligenter chaque année un rapport au PLF sur les questions de cybersécurité, je suis bien placé pour savoir qu’un tel savoir-faire est indispensable à notre pays, et plus largement à notre continent. Le président Macron, en 2021 lors de la présentation de sa stratégie pour la cybersécurité, d’abonder en ce sens, lui qui citait Vade comme « l’une des entreprises les plus prometteuses ». Son savoir-faire technologique est aujourd’hui mobilisé par de nombreux opérateurs publics et entreprises stratégiques, y compris dans des secteurs régaliens.

Rachetée en 2024 par le groupe allemand Hornetsecurity, Vade devait poursuivre son développement au sein d’un écosystème européen de la cybersécurité. Si l’eurosceptique en moi aurait pu voir d’un mauvais œil un tel rachat, ce dernier était en réalité destiné à créer un champion européen de la cybersécurité en unissant les forces des deux entreprises. Ce qui, à mes yeux, va dans le bon sens tant l’échelle continentale bien aiguillée permet d’amplifier la puissance d’une entreprise d’une telle importance stratégique.

Or, en mai 2025, coup de tonnerre. Hornetsecurity a annoncé son projet de cession à Proofpoint, son concurrent américain, pour un montant estimé à plus d’un milliard de dollars.

Cette perspective suscite de vives inquiétudes. Et c’est un euphémisme. Y verrait-on une nouvelle forfaiture qu’on ne s’y tromperait d’ailleurs certainement pas.

D’une part, parce que Proofpoint avait entretenu par le passé des relations conflictuelles avec Vade, allant jusqu’à l’attaquer en justice pour « vol de secrets d’affaires » en 2019, litige qui avait coûté près de 50 millions d’euros à la start-up française avant sa résolution.

D’autre part, parce qu’elle pourrait placer une technologie française stratégique sous la juridiction extraterritoriale américaine, notamment au regard du Cloud Act, qui autorise, dans certaines conditions, l’accès par les autorités américaines à des données hébergées hors du territoire des États-Unis. Ce rachat, s’il devait aboutir sans garantie claire, constituerait une énième perte de contrôle. Une perte de souveraineté, en somme. Que la France laisse filer, dans un silence coupable, un joyau technologique cité par le président de la République lui-même comme emblème de la cybersécurité nationale relève d’une faute politique majeure.

La France n’a pas les miens liées. Le décret Montebourg pris en 2014 dans le sillage du rachat d’Alstom par General Electric, confère à l’État le pouvoir de poser son veto à toute acquisition étrangère portant atteinte aux intérêts fondamentaux de la nation dans des secteurs jugés stratégiques – parmi lesquels figure depuis 2019 la cybersécurité. En vertu de ce dispositif, le ministre de l’Économie peut subordonner une telle opération à des engagements précis, voire l’interdire purement et simplement si la cession compromet la sécurité nationale ou la maîtrise des technologies critiques.

Autrement dit, le gouvernement dispose des leviers juridiques nécessaires pour bloquer la vente de Vade à Proofpoint, ou à tout le moins pour en encadrer strictement les conditions. Ne pas s’en saisir reviendrait à admettre que notre souveraineté n’est pas qu’un slogan creux, brandi lors des crises mais abandonné dès qu’il s’agit de résister à la puissance de l’argent.