Veille Logiciels russes, contrôle défaillant
En Roumanie, Kaspersky reste acheté malgré l’interdiction publique
Une interdiction nationale n'a pas suffi à fermer la commande publique aux logiciels Kaspersky. Le cas roumain montre où une politique de sécurité numérique peut perdre son efficacité : au stade de l'achat.
L’État roumain a interdit certains logiciels de cybersécurité russes, mais ses acheteurs publics ont continué à en commander. Entre mars 2023 et septembre 2026, un relevé des marchés publics fait apparaître 131 achats de produits interdits auprès de 83 institutions et autorités. Hôpitaux, municipalités et établissements scolaires figurent parmi les organismes concernés.
Le décalage porte sur l’exécution d’une décision de sécurité nationale. Une loi adoptée en 2022, après l’invasion à grande échelle de l’Ukraine par la Russie, a prohibé l’acquisition, par les organismes publics, de logiciels de cybersécurité provenant de personnes ou d’entités russes. En mars 2023, une décision gouvernementale a explicitement inscrit un large ensemble de produits Kaspersky sur la liste des logiciels interdits.
Ces achats publics de cybersécurité montrent qu’une exclusion juridique ne ferme pas, à elle seule, l’accès à la commande publique. Le fournisseur reste présent tant que les procédures d’achat ne traduisent pas effectivement l’interdiction. Les documents recensés établissent des acquisitions ; ils ne permettent pas, à eux seuls, de déterminer quels produits ont été installés ni quels systèmes auraient été exposés.
Les achats publics de cybersécurité à l’épreuve du contrôle
Le nombre d’organismes concernés distingue ce dossier d’une commande isolée. Les 131 opérations recensées sont réparties entre 83 acheteurs, sur une période de trois ans et demi. Elles concernent donc plusieurs catégories d’administrations, soumises à une même interdiction nationale mais disposant de leurs propres circuits d’approvisionnement informatique.
Le montant cumulé des commandes n’est pas précisé dans les éléments disponibles. Il serait donc abusif d’en tirer une estimation de la dépense publique ou des revenus obtenus par Kaspersky. L’enjeu documenté est ailleurs : des organismes publics ont pu acquérir des produits que le gouvernement avait expressément exclus pour des motifs de sécurité nationale.
Sebastian Burduja, qui dirigeait le ministère roumain de la Recherche, de l’Innovation et de la Numérisation lors de l’introduction des règles, attribue la poursuite des achats à un manque de personnel chargé de leur application. Cette explication désigne une limite administrative précise : édicter une interdiction et disposer des moyens de contrôler son respect constituent deux opérations distinctes.
La législation prévoit pourtant une sanction. L’achat de produits visés par l’interdiction constitue une infraction administrative passible d’une amende de 50 000 à 200 000 lei, soit un plafond quatre fois supérieur au minimum. Les éléments disponibles ne précisent ni combien de contrôles ont été conduits ni si les commandes recensées ont donné lieu à des sanctions. L’existence d’une amende ne démontre pas son application.
Un institut lié à la défense parmi les acheteurs
Le cas de l’Institut national de physique des lasers, des plasmas et des rayonnements donne à ce défaut de contrôle une portée particulière. Moins de deux mois après la publication de la liste d’interdiction, cet établissement a acheté des licences antivirus Kaspersky de deux ans pour trois appareils.
Selon ses rapports annuels, l’institut produit des informations classifiées et travaille sous contrat avec le ministère roumain de la Défense nationale, l’Académie technique militaire Ferdinand Ier et l’OTAN. Ces activités rendent la maîtrise de ses fournisseurs informatiques particulièrement importante. Elles ne prouvent cependant pas que les licences achetées aient servi sur des équipements traitant des données sensibles.
L’établissement affirme que le produit acquis n’a jamais été installé ni utilisé sur un ordinateur, un serveur ou un autre de ses systèmes informatiques. Cette réponse impose de distinguer trois faits : la commande, l’installation et l’usage. La première est documentée ; les deux autres sont expressément démentis par l’institut. Aucune compromission de ses systèmes n’est établie par les éléments présentés.
Pour les achats publics de cybersécurité, cette distinction ne supprime pas la question de conformité. Une acquisition peut contrevenir à une interdiction même si le logiciel reste inutilisé. En revanche, elle interdit de transformer un manquement à la règle d’achat en preuve d’espionnage ou de fuite de données.
Le fournisseur de protection, lui-même objet de défiance
Les restrictions visant Kaspersky reposent sur une difficulté structurelle de la sécurité numérique : le logiciel chargé de protéger un système bénéficie d’un accès étendu à son fonctionnement. La confiance accordée au fournisseur, à ses mises à jour et à sa chaîne de maintenance devient donc un choix de sécurité, et pas seulement une comparaison de performances ou de prix.
Les États-Unis ont suivi une logique comparable en 2024. Le Bureau of Industry and Security, rattaché au département du Commerce, a imposé des restrictions à la fourniture de produits et services Kaspersky en invoquant des risques pour la sécurité nationale. Cette décision américaine constitue un cadre distinct du dispositif roumain : elle ne doit pas être confondue avec une interdiction générale adoptée à l’échelle européenne.
Kaspersky conteste les justifications de ces mesures. L’entreprise affirme ne pas entretenir de liens inappropriés avec un gouvernement. Elle soutient également que les restrictions relèvent du contexte géopolitique plutôt que d’une analyse technique de ses logiciels et qu’aucune preuve publique de menace pour ses utilisateurs n’a été présentée. Ces dénégations doivent être distinguées du constat administratif roumain : la poursuite d’achats après une interdiction explicite.
Le dossier pose ainsi une question concrète aux administrations européennes, françaises comprises : comment faire parvenir une décision nationale jusqu’à chaque service acheteur ? Les achats publics de cybersécurité ne deviennent un instrument de maîtrise des dépendances numériques que si les références interdites sont identifiées, les commandes contrôlées et les manquements suivis. En Roumanie, le prochain indicateur utile sera donc moins une nouvelle annonce que le bilan vérifiable des contrôles, des retraits de produits et des sanctions effectivement appliquées.
À lire aussi : Puces américaines en Chine : Pékin pourrait desserrer son contrôle des achats
