Inde : géant mondial de la cybersécurité en devenir ?
En Inde, le secteur des technologies de l’information a connu un essor sans précédent au début des années 90, transformant le pays en une puissance incontournable dans ce domaine. Son immense vivier de talents, avec des millions d’ingénieurs et de diplômés en STIM (science, technology, engineering, and mathematics) et le succès de l’externalisation ont engendré des géants mondiaux comme Tata Consulting Services (TCS) et Infosys. Cette position dominante a fait de l’Inde le centre névralgique de l’infrastructure numérique pour de nombreuses entreprises internationales.
C’est donc sur cette base qu’un écosystème indien de la cybersécurité s’est naturellement développé, avec plus de 400 entreprises dans cette filière. Selon le DSCI (Data Security Council of India), le marché de la cybersécurité en Inde est en croissance rapide et devrait représenter 5 % du marché mondial d’ici 2028. En 2023, il représentait 6,6 milliards de dollars, avec un objectif à atteindre de 13,6 milliards en 2025. Entre 2019 et 2023, il a connu un taux de croissance annuel composé de plus de 30 %, ce qui laisse entrevoir la future place que pourrait atteindre l’Inde dans l’industrie de la cybersécurité au niveau mondial.
Bangalore – Hyderabad – Mumbai : le triangle de la cybersécurité
En Inde, l’industrie de la cybersécurité s’articule autour de trois pôles, que sont Bangalore (Karnataka), Hyderabad (Telangana) et Mumbai (Maharashtra). Chacune de ces trois villes a ses spécificités et participe au dynamisme de l’écosystème indien.
Surnommée « la Silicon Valley indienne», Bangalore est le centre technologique le plus vaste du pays. Plusieurs grandes entreprises nationales, comme Infosys et Wipro, y ont leur siège social tandis que la ville abrite également les centres de R&D de certaines multinationales. Il s’agit également du plus grand pôle de start-ups du pays. Sa concentration de données, de R&D et d’infrastructures en fait une cible majeure, ce qui stimule l’innovation et la défense. Bangalore attire de nombreux talents en cybersécurité pour les fonctions de sécurité des applications, cloud et R&D avancée.
Capitale de l’État du Telangana, Hyderabad est devenue un centre majeur de l’innovation et du développement. La ville abrite de grands campus technologiques et a été activement encouragée par le gouvernement local pour attirer les investissements dans les technologies de pointe. Cela a permis d’en faire un centre de développement pour des produits de cybersécurité. Par ailleurs, le gouvernement du Telangana a soutenu l’installation de data centers, ce qui a eu pour effet de stimuler les entreprises liées à la cyberdéfense.
Capitale financière du pays, Mumbai abrite les sièges des principales banques indiennes et les grandes bourses (BSE, NSE), ce qui en fait un centre névralgique du secteur banque-finance-assurance. . Il s’agit d’un domaine très demandeur en termes de protection contre la cybercriminalité et le vol de données à grande échelle, ce qui a attiré de nombreuses entreprises de cybersécurité. Le géant national Tata Consultancy Services y a notamment implanté son siège social dans la mégalopole.
Bangalore, Hyderabad et Mumbai sont aujourd’hui les principaux centres technologiques du pays liés à la cybersécurité, mais d’autres pôles (comme Chennai, Delhi et Pune) pourraient émerger si le secteur poursuit sa croissance.
Un écosystème dominé par des grandes entreprises nationales et une présence étrangère forte
L’écosystème cyber indien se caractérise par une intense dualité, un choc entre des grandes entreprises nationales et des multinationales étrangères implantées sur le territoire indien pour bénéficier d’une main d’œuvre qualifiée et anglophone à des coûts moins élevés. Alors que les entreprises occidentales excellent souvent dans le développement de produits de sécurité hautement spécialisés (firewalls de nouvelle génération, outils EDR/XDR), les entreprises indiennes dominent dans le domaine des services gérés (MSSP) à grande échelle, grâce à leur capacité à fournir un mélange de talent, de qualité et d’efficacité des coûts.
Parmi les acteurs locaux, cinq entreprises ont une position dominante sur l’écosystème de la cybersécurité. Elles sont surnommées les “Big Five” : Tata Consultancy Services (TCS), Infosys, HCL Technologies, Wipro Limited et Tech Mahindra. Ces entreprises se concentrent principalement sur l’offre de services de cybersécurité (conseil, surveillance 24/7, intégration) plutôt que sur la création de produits de sécurité grand public (comme les antivirus ou les pare-feux). Elles sont de véritables mastodontes, qui emploient des centaines de milliers de personnes (plus de 600 000 personnes pour TCS, plus de 300 000 pour Infosys, plus de 240 000 pour Wipro…) et sont présentes dans plus d’une soixantaine de pays. Toutefois, la cybersécurité n’est qu’une seule partie, bien que de plus en plus cruciale, de leur portefeuille de services.
Il existe des acteurs indiens de beaucoup plus petite taille, spécialisés uniquement sur l’édition de logiciels de cybersécurité, notamment la sécurité des points d’extrémité (antivirus et EDR) et des utilisateurs finaux. Ces entreprises, comme Quick Heal Technologies (qui est d’ailleurs cotée en bourse) et K7 Computing, ciblent principalement le marché intérieur indien (PME, B2C), mais ont tout de même une présence internationale via des partenariats et des réseaux de distribution ainsi que des bureaux à l’étranger. Leur rôle est crucial pour la cybersécurité de masse en Inde, fournissant une défense de première ligne aux millions de foyers et de petites et moyennes entreprises qui forment le socle de l’économie numérique du pays. Elles contribuent aussi à bâtir une expertise indienne en matière de développement de produits de sécurité.
Depuis la fin des années 80, l’Inde a su attirer les entreprises étrangères du secteur de l’informatique. L’écosystème indien de la cybersécurité est caractérisé par la forte présence d’acteurs étrangers, notamment des multinationales comme Microsoft, Google ou IBM. Ces Big Tech ont établi d’énormes centres de R&D, d’innovation, de services partagés et des bureaux régionaux. Ces installations sont si vastes et critiques qu’elles fonctionnent souvent comme le principal centre d’opérations techniques de l’entreprise. Des sociétés américaines spécialisées dans la cybersécurité sont également implantées en Inde, comme Sailpoint, Palo Alto Networks ou Crowdstrike. Il en va de même pour certaines entreprises européennes, à l’image de Thales qui emploient plus de 1500 personnes à Noida et Bangalore, dédiés au développement de produits de cybersécurité
Le boom des start-up de cybersécurité Made in India
L’écosystème indien ne serait rien sans les 400 startup qui le composent. Elles sont souvent spécialisées sur des sujets beaucoup plus pointus que les grandes entreprises indiennes (threat detection, cyber forensics et les systèmes de surveillance basés sur l’IA). Par ailleurs, il est important de noter que l’Inde est considérée comme le troisième hub mondial en matière de logiciels espion, selon un rapport d’Atlantic Council. Souvent, les entreprises produisant ce type de produits et services sont des start-up enregistrées sous l’appellation “cybersécurité”. En somme, ce tissu de startups spécialisées est le laboratoire d’innovation de l’Inde, essentiel pour propulser le pays au-delà des services vers l’édition de produits cyber de nouvelle génération, notamment grâce à l’IA.
Malgré ce dynamisme ambiant, les start-up indiennes se heurtent encore à quelques défis. Dans un article du média Entrepreneur, Saket Modi (Co-fondateur et CEO de Safe Security) déplore la difficulté des start-up à lever des fonds en Inde. Il explique que l’écosystème est dominé par les géants des services (TCS, Infosys, etc.) qui se concentrent sur l’intégration et la revente de produits cyber étrangers (américains ou européens) dans le cadre de leurs contrats d’externalisation. Cette dépendance limite les opportunités pour les startups indiennes de développer et de vendre leurs propres produits de sécurité innovants. Malgré les encouragements du gouvernement pour développer la souveraineté nationale en matière de cybersécurité, les grandes entreprises sont réticentes à confier leur sécurité à de jeunes sociétés, préférant les marques occidentales établies et certifiées internationalement. Enfin, les difficultés s’expliquent aussi par le comportement des investisseurs, qui ont tendance à avoir des attentes de retour sur investissement rapide qui ne correspondent pas à la patience nécessaire pour développer des produits complexes et les certifier à l’échelle mondiale.
Un écosystème soutenu par le gouvernement
Selon le DSCI, l’Inde a fait face à une escalade des menaces cyber, avec la détection d’environ 370 millions d’incidents de sécurité en 2025. Par ailleurs, le pays comptait en 2022 658 millions d’internautes, ce qui en fait le 2e pays au monde en termes de nombre d’utilisateurs, juste derrière la Chine. La surface d’exposition au risque cyber est importante et les autorités en ont progressivement pris conscience, même s’il reste encore d’énormes progrès à faire dans ce domaine.
L’écosystème cyber indien comprend donc des institutions dédiées, dont certaines existent depuis le début des années 2000 :
- Le CERT-In (Indian Computer Response Emergency Team) est l’agence nationale de coordination et de réponse aux incidents de cybersécurité. Elle est chargée de recueillir des informations sur les menaces, d’émettre des alertes, des directives et des avis aux organisations et aux citoyens, et de coordonner les réponses aux incidents majeurs à l’échelle nationale. Elle opère sous l’égide du Ministère de l’Électronique et des Technologies de l’Information (MeitY).
- Le NCCC (National Cyber Coordination Centre) a une tâche complémentaire du CERT-In : il est le centre de fusion des données et de surveillance en temps réel du cyberespace indien.
- Le NCIIPC (National Critical Information Infrastructure Protection Centre) est spécifiquement chargé de sécuriser les infrastructures critiques dont la défaillance aurait un impact sur la sécurité nationale, l’économie, la santé publique ou la sécurité. Cela inclut les secteurs de l’énergie, de la banque, des télécommunications et des transports. Il agit sous la tutelle de la National Technical Research Organisation (NTRO), qui relève elle-même du Bureau du Premier ministre.
Au-dessus de ces agences gouvernementales, il y a un chef d’orchestre en la personne du NCSC (National Cyber Security Coordinator). Il a un rôle de haut niveau au sein du Secrétariat du Conseil de sécurité nationale (NSCS) et est chargé d’assurer la synergie et la cohérence entre tous les organes liés à la cybersécurité (CERT-In, NCIIPC, armée, etc.) et de conseiller le Premier ministre sur les questions de cyberdéfense. Il est donc un acteur gouvernemental central au sein de l’écosystème cyber indien.
Au-delà de la formation de ces agences, le gouvernement indien a, dès les premières années du XXIe siècle, légiféré à propos de la cybersécurité. Entrée en vigueur en 2000, l’Information Technology Act (souvent appelée simplement IT Act) est le premier texte législatif à donner un cadre légal aux transactions électroniques et à la lutte contre la cybercriminalité. Bien que principalement axée sur le commerce électronique, elle a jeté les bases juridiques pour traiter des questions de sécurité et des infractions informatiques. Après 2010, avec l’explosion de la numérisation et l’augmentation des cyberattaques, le gouvernement a accéléré ses efforts. Cela se traduit notamment par l’établissement de la National Cyber Security Policy (NCSP) en 2013, qui a pour but de définir la vision, la mission et les objectifs de l’Inde dans le cyberespace. Ce document, qui sert de feuille de route politique et institutionnelle, a été révisé entre 2020 et 2021. Par ailleurs, en 2023, l’Inde s’est penchée sur la question de la protection des données personnelles avec l’adoption du Digital Personal Data Protection Act (DPDP Act). L’ensemble de ces mesures législatives et stratégiques successives démontre la montée en puissance de l’Inde et son engagement continu à renforcer son cadre juridique, transformant la cybersécurité d’une simple nécessité commerciale en un pilier de sa souveraineté numérique.
Justement, le dynamisme de l’écosystème cyber indien est particulièrement sensible à la volonté du gouvernement indien de renforcer sa souveraineté numérique. Il est intéressant de noter que des initiatives gouvernementales ont été concrétisées en ce sens, à l’image du programme Make in India. Cela a permis d’encourager l’innovation locale dans le domaine de la cybersécurité tout en créant une demande dans ce domaine, afin de réduire la dépendance aux solutions étrangères. Cette initiative témoigne de la volonté de l’Inde de devenir une puissance dans le domaine de la cybersécurité, grâce à un écosystème cyber dynamique et innovant.
Toutefois, développer sa souveraineté numérique ne signifie pas s’isoler. Afin de renforcer ses capacités cyber, de partager des renseignements essentiels et d’attirer les investissements étrangers vers ses entreprises, l’Inde a activement cherché à formaliser des partenariats stratégiques bilatéraux, notamment avec les États-Unis, l’Union Européenne et Israël. Avec en toile de fond quelques tensions avec la Chine dans le cyberespace, l’Inde s’est particulièrement investie au sein du Quad (Australie, Inde, Japon, États-Unis), ce qui a abouti à un partenariat formalisé sur le sujet de la cybersécurité. Si avec Washington, New Delhi s’est concentré sur un partenariat qui relève de la défense de son cyberespace et de la lutte contre la cybercriminalité, elle n’a pas hésité à conclure un accord avec Tel-Aviv à propos de la formation de talents et du développement de l’innovation (collaboration pour le développement conjoint de technologies et de solutions de cybersécurité, souvent via des plateformes d’incubation de startups). L’Inde coopère également avec l’UE : elles tiennent régulièrement un Dialogue Cyber qui sert de plateforme pour la discussion sur les stratégies nationales et les cadres réglementaires ou la coordination des positions au sein des forums multilatéraux. Il est important de souligner que les deux puissances ont également lancé en 2023 le Trade and Technology Council, un mécanisme de haut niveau qui place la cybersécurité et la résilience de la chaîne d’approvisionnement numérique au cœur de leur relation stratégique. Par ailleurs, New Delhi a également conclu certains accords avec des puissances de l’Union Européenne, comme avec la France avec qui a été établie une feuille de route en matière de cybersécurité. Ce document prévoit une coopération entre les entreprises des écosystèmes des deux pays, ainsi que l’établissement d’une vision commune sur des sujets technologiques tels que l’intelligence artificielle ou le supercalcul informatique quantique. L’ensemble de ces alliances, articulées autour du commerce, de la réglementation et de la défense, révèle la volonté de l’Inde de se positionner comme une puissance responsable et mature, déterminée à jouer un rôle actif dans l’établissement d’une gouvernance cyber internationale stable et sécurisée.
Géants de la Tech, tissu de start-up innovantes, cadre réglementaire, volonté de développer sa souveraineté numérique tout en coopérant avec d’autres nations… L’Inde semble avoir toutes les cartes en main pour devenir une puissance mondiale incontournable dans le domaine de la cybersécurité. Pour réaliser cette ambition, il faudra tout de même résoudre quelques défis persistants que sont notamment la fracture numérique entre les villes et les campagnes ou encore la rivalité persistante avec Pékin dans le cyberespace.