Caméras de surveillance, modules cellulaires, capteurs industriels, onduleurs solaires, passerelles réseau ou systèmes de contrôle : les composants chinois occupent une place importante dans de nombreuses chaînes de valeur de l’Internet des objets. Leur compétitivité repose souvent sur des prix bas, une production à grande échelle, des catalogues étendus et une capacité d’intégration rapide.
Pour une entreprise européenne, le sujet ne peut toutefois plus être réduit à une comparaison entre prix et performances. Un équipement connecté reçoit des mises à jour, échange des données avec des serveurs distants et peut conserver un accès privilégié au réseau pendant dix ou quinze ans. Le choix du fournisseur devient donc une décision de cybersécurité, de continuité d’activité et parfois de souveraineté.
Il faut cependant éviter un raisonnement simpliste : « chinois » n’est pas une catégorie technique. Deux fabricants établis en Chine peuvent présenter des niveaux de sécurité, de transparence et de gouvernance radicalement différents. Inversement, une marque européenne peut commercialiser un produit conçu, assemblé et maintenu par des sous-traitants étrangers qu’elle maîtrise mal.
Le véritable problème est la dépendance non contrôlée.
Une concentration réelle dans certains composants invisibles
La dépendance ne se limite pas aux marques visibles par le client. Elle se trouve souvent dans les composants intégrés à d’autres produits.
Les modules cellulaires en sont un exemple. Ils permettent aux véhicules, compteurs, terminaux de paiement et équipements industriels de communiquer sur les réseaux mobiles. Selon Counterpoint Research, Quectel occupait encore la première place mondiale au premier trimestre 2025, devant China Mobile et Fibocom ; ces trois fournisseurs représentaient ensemble plus de la moitié des livraisons mondiales de modules IoT cellulaires.
Une entreprise européenne peut donc acheter une machine auprès d’un intégrateur européen tout en dépendant, plusieurs niveaux plus bas, d’un modem, d’un firmware et d’un mécanisme de mise à jour fournis par un acteur chinois. Cette dépendance peut rester invisible tant qu’aucun incident, changement réglementaire ou arrêt de support ne se produit.
La concentration apporte des économies d’échelle, mais elle crée aussi un risque systémique. Une vulnérabilité commune, une restriction commerciale ou une rupture d’approvisionnement peut affecter simultanément de nombreux secteurs.
La question stratégique n’est pas de supprimer tout composant chinois. Elle est de savoir si l’entreprise connaît réellement la composition de ses produits et dispose d’une solution de remplacement.
Le risque cyber ne peut pas être déduit du passeport du fabricant
Un fournisseur chinois ne doit pas être déclaré dangereux sur la seule base de sa nationalité. Une analyse crédible doit examiner le produit : architecture, qualité du code, mécanismes de mise à jour, durée du support, gestion des vulnérabilités et dépendance au cloud.
Une caméra européenne utilisant un mot de passe codé en dur peut être plus vulnérable qu’une caméra chinoise correctement maintenue. À l’inverse, un équipement techniquement bien conçu peut poser un problème stratégique si son fabricant conserve un accès distant opaque ou si toutes ses fonctions dépendent d’une plateforme impossible à remplacer.
Il faut aussi distinguer vulnérabilité et intention malveillante. Une faille de sécurité ne prouve pas l’existence d’une porte dérobée. Une connexion vers un serveur chinois ne démontre pas automatiquement une opération d’espionnage. Affirmer le contraire sans preuve détruirait la crédibilité de l’analyse.
Le risque géopolitique est néanmoins légitime. Il concerne notamment la juridiction à laquelle le fournisseur est soumis, les possibilités d’ingérence étrangère, la concentration du marché et la capacité d’un État ou d’une entreprise à interrompre un service essentiel. Le projet de révision du Cybersecurity Act présenté par la Commission européenne en janvier 2026 reconnaît explicitement que la sécurité des chaînes d’approvisionnement ne dépend plus uniquement des caractéristiques techniques du produit : elle inclut aussi les dépendances critiques et les risques d’ingérence étrangère. Ce texte reste, en juillet 2026, une proposition législative et non une obligation définitivement adoptée.
L’accès distant constitue le point le plus sensible
Le danger augmente lorsque l’équipement peut être administré à distance par le fabricant.
Cette capacité peut être légitime : correction de vulnérabilités, diagnostic, maintenance ou optimisation. Mais elle signifie aussi qu’un tiers conserve potentiellement un chemin privilégié vers un équipement installé dans une usine, un bâtiment public ou une infrastructure énergétique.
Une entreprise doit donc savoir qui peut déclencher une mise à jour, quelles données sont transmises, où se trouvent les clés de signature et si les communications sortantes peuvent être limitées sans rendre le produit inutilisable.
Un produit ne doit pas être évalué uniquement comme un boîtier. Il faut analyser l’ensemble de la chaîne : matériel, firmware, application mobile, API, plateforme cloud, sous-traitants et outils de maintenance.
Le contrôle des mises à jour est particulièrement critique. Une mise à jour signée peut modifier profondément le comportement d’un appareil après sa certification et son installation. Si l’entreprise ne peut ni vérifier le contenu, ni différer le déploiement, ni revenir à une version antérieure, elle ne contrôle pas réellement son équipement.
Le risque économique dépasse la cybersécurité
La dépendance technologique peut devenir un problème même en l’absence de cyberattaque.
Des sanctions, restrictions à l’exportation, exclusions de marchés publics ou tensions commerciales peuvent rendre un composant difficile à obtenir ou à maintenir. Un fabricant peut également modifier ses conditions contractuelles, fermer une plateforme cloud ou réserver certaines interfaces à ses propres services.
Le remplacement est rarement immédiat. Changer un module radio peut imposer une nouvelle conception électronique, une adaptation du logiciel, des essais de compatibilité, une certification et une intervention sur chaque équipement déjà déployé.
Le fournisseur le moins cher au moment de l’achat peut ainsi devenir le plus coûteux sur l’ensemble du cycle de vie.
L’Union européenne affirme désormais poursuivre une stratégie de réduction des risques plutôt qu’un découplage complet avec la Chine. Cette orientation consiste à diminuer les dépendances critiques et à diversifier les approvisionnements lorsque cela est nécessaire, sans interdire indistinctement les relations commerciales.
Cette nuance est essentielle. Une relocalisation complète et immédiate serait irréaliste dans de nombreux segments. En revanche, continuer à dépendre d’un fournisseur unique sans plan de sortie n’est plus une simple décision d’achat : c’est un pari géopolitique.
Ce que les nouvelles règles européennes vont changer
Le Cyber Resilience Act impose progressivement des obligations de cybersécurité aux fabricants de produits numériques, quelle que soit leur nationalité. Les importateurs et distributeurs européens devront vérifier certains éléments de conformité et ne pourront pas commercialiser un produit qu’ils savent non conforme. Un distributeur vendant un produit sous sa propre marque peut également assumer les responsabilités du fabricant.
Le règlement ne supprimera pas les risques liés aux fournisseurs étrangers, mais il réduira la possibilité d’importer des objets sans responsable identifiable dans l’Union. Ses principales obligations s’appliqueront à partir du 11 décembre 2027, après une phase transitoire.
NIS2 agit du côté des entreprises utilisatrices. Les organisations concernées doivent intégrer la sécurité de leur chaîne d’approvisionnement à leur gestion des risques. Elles ne peuvent donc plus se contenter de vérifier le prix et le marquage d’un équipement : elles doivent évaluer les pratiques de leurs fournisseurs et les vulnérabilités propres à leurs dépendances.
En février 2026, l’Union européenne a également publié une boîte à outils consacrée à la sécurité des chaînes d’approvisionnement numériques. Elle recommande notamment l’évaluation des fournisseurs critiques, les stratégies multifournisseurs et la réduction des dépendances envers les acteurs jugés à haut risque. Cet instrument est actuellement non contraignant, mais il indique clairement la direction suivie par les autorités européennes.
ENISA confirme l’importance opérationnelle du sujet : dans son analyse NIS360 publiée en 2026, les attaques contre la chaîne d’approvisionnement figuraient parmi les principales préoccupations futures des organisations interrogées.
Faut-il exclure les fournisseurs chinois ?
Une exclusion générale serait difficile à justifier techniquement et économiquement. Elle pourrait réduire la concurrence, augmenter les coûts et déplacer la dépendance vers quelques fournisseurs américains, européens ou asiatiques sans résoudre les problèmes fondamentaux de gouvernance.
Une politique indifférenciée pourrait également pousser les entreprises à changer de marque tout en conservant les mêmes composants, logiciels ou sous-traitants.
L’approche rationnelle consiste à classer les usages selon leur criticité.
Une ampoule installée sur un réseau domestique isolé ne présente pas le même risque qu’une passerelle contrôlant une usine, une caméra située dans un site sensible ou un composant capable d’agir sur le réseau électrique. Plus l’équipement possède de privilèges, collecte des informations sensibles ou remplit une fonction difficile à interrompre, plus les exigences doivent être élevées.
Pour les fonctions critiques, l’entreprise peut exiger un fournisseur alternatif, un fonctionnement local sans cloud, un droit d’audit, une documentation des composants logiciels, une maîtrise des mises à jour et une procédure contractuelle de sortie.
Dans certains cas, l’exclusion d’un fournisseur peut devenir justifiée. Mais elle doit résulter d’une évaluation documentée du risque, et non d’un réflexe nationaliste ou d’une suspicion non démontrée.
La souveraineté ne signifie pas acheter uniquement européen
Un produit fabriqué en Europe peut dépendre d’une puce étrangère, d’un cloud américain et d’un module chinois. L’étiquette géographique finale ne révèle donc pas la chaîne de contrôle réelle.
La souveraineté opérationnelle signifie pouvoir maintenir le service même si le fournisseur disparaît, change de stratégie ou devient juridiquement inaccessible. Elle suppose la portabilité des données, des protocoles documentés, des interfaces ouvertes et la possibilité de remplacer un composant sans reconstruire tout le système.
Une entreprise souveraine n’est pas une entreprise qui refuse toute technologie étrangère. C’est une entreprise qui connaît ses dépendances, limite leur concentration et conserve une capacité crédible de sortie.
L’IoT chinois est donc devenu un enjeu stratégique pour les entreprises européennes, mais pas parce que chaque produit chinois serait intrinsèquement hostile. Il l’est parce que certains fournisseurs occupent des positions difficiles à substituer dans des systèmes durables, connectés et parfois critiques.
Le problème ne se résout ni par la confiance aveugle ni par l’interdiction générale. Il exige un inventaire précis, une évaluation par fonction, des contrats contraignants et une architecture capable de survivre au changement de fournisseur.
