Avec près de 2 100 entreprises françaises implantées en Chine et une très large majorité d’entre elles prêtes à maintenir ou renforcer leurs investissements dans les trois prochaines années, la Chine demeure un marché incontournable pour les acteurs européens. Pourtant, un paradoxe persiste : alors que les opportunités de croissance sont réelles, la perception du risque cyber reste élevée. Beaucoup d’entreprises hésitent encore à franchir le pas, redoutant un environnement technologique opaque, une réglementation difficile à interpréter ou un risque accru de perte de contrôle sur leurs opérations. Pour I TRACING, cette perception repose sur un malentendu. La cybersécurité en Chine n’est pas d’abord un problème technique ou réglementaire. C’est un enjeu de gouvernance, d’organisation et de coordination entre des équipes qui ne travaillent pas selon les mêmes codes, les mêmes outils ni les mêmes pratiques. Forte de son expérience opérationnelle en Asie, I TRACING partage aujourd’hui les enseignements clés pour sécuriser son implantation et son développement en Chine.
Une complexité plus
apparente que réelle
La Chine dispose d’un
cadre réglementaire dense, structuré autour de textes majeurs tels que la
Cybersecurity Law, la Data Security Law ou la Personal Information Protection
Law. À ces lois s’ajoutent des déclinaisons sectorielles et provinciales qui
peuvent varier d’une région à l’autre. Pour une entreprise européenne qui
aborde le marché pour la première fois, cet empilement peut donner l’impression
d’un système opaque, difficile à appréhender.
Dans les faits, cette
complexité est souvent surestimée. Les autorités chinoises privilégient une
approche progressive, centrée sur la mise en conformité plutôt que sur la
sanction immédiate. La réglementation, parfois décrite comme « floue » ou « non
écrite », se construit dans le dialogue avec les autorités locales, qui
adaptent leurs exigences en fonction du secteur, de la taille de l’entreprise
ou de son impact économique. Une fois les obligations correctement identifiées,
les exigences deviennent lisibles et peuvent être intégrées dans une
trajectoire de conformité pragmatique.
Les entreprises qui
réussissent sont celles qui comprennent que la conformité en Chine n’est pas un
exercice théorique, mais une pratique négociée. Elles savent qu’il ne s’agit
pas d’appliquer mécaniquement un cadre juridique, mais de comprendre comment celui-ci
s’exerce concrètement sur le terrain, dans un environnement où les autorités
privilégient la continuité des activités et la résolution des problèmes plutôt
que la sanction.
Un enjeu avant tout
organisationnel
Les véritables
difficultés rencontrées par les entreprises étrangères ne sont pas d’ordre
technique. Elles tiennent davantage à l’organisation interne, à la gouvernance
et à la capacité à articuler des environnements culturels et technologiques
très différents.
Dans de nombreux
groupes européens, les filiales chinoises sont mal intégrées aux dispositifs
globaux de sécurité. Les actifs IT sont parfois mal référencés, les agents de
sécurité déployés de manière incomplète, les logs difficilement remontés vers
les SIEM européens. Il n’est pas rare que les équipes du siège découvrent
l’existence de serveurs, d’applications ou de configurations locales uniquement
lors d’un audit ou d’un incident. La Chine devient alors une zone grise, un
périmètre qui échappe progressivement au contrôle global.
À cela s’ajoutent des écarts culturels et organisationnels qui ralentissent les projets. Les équipes chinoises travaillent avec des outils locaux comme WeCom, DingTalk ou Feishu, tandis que les équipes européennes utilisent Teams, Slack ou Zoom. Les workflows diffèrent : les équipes chinoises privilégient les remontées d’informations hiérarchiques, les échanges contextuels et les discussions informelles, quand les équipes européennes attendent des tickets, des KPI et des rapports structurés. Les documents techniques sont souvent rédigés en mandarin, ce qui ralentit voire annule les validations du siège.
Les calendriers ne sont pas les
mêmes, et les périodes comme le Spring Festival ou la Golden Week sont
régulièrement sous estimées dans les plans projets, de renforcement
opérationnel et de réponse à incident.
Ces différences ne sont
pas anecdotiques :
elles créent des blocages silencieux, des incompréhensions, des retards et
parfois des erreurs critiques. Elles expliquent pourquoi tant de projets cyber
conçus en Europe sont retardés ou échouent lorsqu’ils sont déployés en Chine.
Adapter plutôt que
transposer
L’écosystème
technologique chinois diffère profondément de celui des marchés occidentaux.
Les solutions internationales, qu’il s’agisse d’EDR, de SIEM ou de plateformes
SASE, sous performent souvent en Chine ou ne sont pas adaptées en raison de la
latence, des restrictions du Great Firewall ou de l’absence d’entraînement des
moteurs de détection sur des exécutables chinois. Certaines solutions ne sont
pas non plus conformes à la législation, les rendant difficiles à justifier
voire illégales dans certains cas. À l’inverse, les solutions locales (Qi An
Xin, Sangfor, Rizhiyi, RankEZ, WangSU, etc.) disposent de capacités avancées,
mais sont rarement évaluées par les sièges européens.
Dans ce contexte, appliquer un modèle européen tel quel en Chine conduit rarement au succès.
Les
organisations qui réussissent sont celles qui adoptent une lecture
contextualisée de la réglementation, qui ajustent leur gouvernance de sécurité
et qui intègrent les contraintes locales dès la conception de leurs
architectures. Elles comprennent que la Chine impose une approche hybride,
combinant des solutions locales certifiées et des outils globaux, articulés
dans une architecture pensée pour la Chine et non malgré elle.
La connectivité
constitue un autre défi majeur. Entre Paris et Shanghai, la latence peut
atteindre 300 ms, avec des pertes de paquets systématiques qui perturbent les
consoles cloud, les agents de sécurité ou les mécanismes d’authentification.
Les entreprises qui réussissent sont celles qui traitent la connectivité comme
un enjeu de sécurité à part entière, en concevant des architectures China
ready, combinant SD WAN conforme, stockage local et remontée de métadonnées
vers les infrastructures mondiales.
Une clé de succès
souvent sous-estimée : le facteur humain et local
I TRACING souligne
également l’importance du facteur humain, souvent sous estimé dans les projets
cyber en Chine. Les projets les plus efficaces reposent sur une présence locale
forte, capable de jouer un rôle d'interface entre les différentes dimensions du
projet. Cela suppose des équipes qui :
● maîtrisent les
réalités opérationnelles locales ;
● comprennent les
référentiels réglementaires chinois et internationaux ;
● évoluent avec aisance
dans des environnements technologiques hybrides (stack locale et western) ;
● fluidifient les
échanges entre les équipes basées en Chine et en Europe.
La barrière de la
langue et des usages opérationnels constitue un facteur critique. Disposer
d'interlocuteurs capables de naviguer entre ces univers (linguistiques,
culturels et techniques) permet de limiter les incompréhensions, d'accélérer
les prises de décision et de sécuriser l'exécution.
Cette proximité, en
particulier lorsqu'elle s'appuie sur des équipes implantées localement, offre
également une meilleure anticipation des contraintes, une gestion plus fluide
des situations critiques et une capacité d'intervention adaptée aux contextes locaux.
La Chine, un marché
différent… pas plus risqué
Pour I TRACING, la
Chine n’est pas un marché plus risqué qu’un autre : c’est un marché différent.
Ses spécificités réglementaires, techniques et culturelles appellent une
approche adaptée, mais elles sont aujourd'hui largement maîtrisées par les
organisations qui prennent le temps de les comprendre.
« La Chine n'est pas un marché où l'on peut appliquer mécaniquement des méthodes européennes. Les entreprises qui réussissent sont celles qui comprennent les spécificités locales, créent du lien entre leurs équipes chinoises et européennes et s'appuient sur une présence de proximité solide. Lorsqu’on aborde ce marché avec lucidité et pragmatisme, la cybersécurité cesse d’être un frein : elle devient un véritable accélérateur de croissance. », déclare Pierre Malgorn, Asia Pacific Director chez I-TRACING.