Open source européen : la maintenance sans les moyens

La maintenance, objet politique inédit

Le Tech Sovereignty Package adopté le 3 juin 2026 par la Commission européenne comprend quatre composantes : le Cloud and AI Development Act (CADA, proposition COM(2026) 502), le Chips Act 2.0, une feuille de route sur l'énergie et l'intelligence artificielle, et la première EU Open Source Strategy autonome de l'histoire de l'Union (COM(2026) 503). Cette dernière marque un déplacement conceptuel. La stratégie précédente, « Think Open » (2020-2023), ne couvrait que les usages internes des services de la Commission. Celle du 3 juin 2026 traite le logiciel libre comme une infrastructure européenne stratégique relevant de la souveraineté technologique, au même titre que les semi-conducteurs ou le cloud.

L'appel à preuves lancé en janvier 2026 a suscité plus de 1 600 contributions. Les répondants ont identifié de façon répétée la capacité de maintenance comme la défaillance de marché centrale de l'écosystème open source européen. La Commission en tire quatre objectifs : faire des administrations des utilisatrices et contributrices « ancres » du logiciel libre, développer de nouvelles briques dans les domaines critiques, investir dans les compétences, et, c'est l'inflexion décisive, assurer la maintenance, la sécurité et la durabilité de long terme des composants dont dépend l'infrastructure numérique du continent.

L'Open Source Maintenance Instrument financera la maintenance et la mise à niveau de sécurité des composants essentiels. Il s'accompagne d'une cartographie des dépendances critiques confiée à l'ENISA, de capacités de « miroir » (mirroring) du code source critique, et d'une disposition notable relevée par le CNLL : la possibilité explicite, pour l'Europe, de procéder au fork (dérivation) des projets stratégiques dont la continuité serait menacée. L'initiative NGI est relancée et élargie sous le nom « Open Internet Stack ». La Commission prévoit enfin une étude de faisabilité sur un cadre juridique unique pour les fondations open source à l'échelle du marché intérieur, et la création d'une « European Digital Public Infrastructure Steward Organisation » destinée à offrir un foyer européen aux actifs logiciels stratégiques.

La reconnaissance est réelle. Son calibrage financier l'est moins.

264 milliards contre 2 milliards : l'arithmétique de l'écart

Selon l'étude du cabinet Astérès commandée par le Cigref (avril 2025), les achats annuels de services cloud et logiciels des entreprises de l'Union européenne qui bénéficient à l'économie américaine s'élèvent à 264 milliards d'euros, avec 83 % du marché et 80 % de la valeur ajoutée captés sur le sol américain. La Commission retient par ailleurs une dépendance de plus de 80 % aux fournisseurs extra-européens pour les produits et services numériques clés. L'enveloppe de deux milliards d'euros sur sept ans couvre l'ensemble des actions de la stratégie open source (maintenance, accélérateurs, compétences, stewardship), soit environ 286 millions d'euros par an, fonds publics et privés confondus. OpenForum Europe, dont l'étude de faisabilité d'un EU Sovereign Tech Fund a directement inspiré l'instrument, estime dans TechPolicy.Press que la maintenance seule nécessiterait au minimum 350 millions d'euros.

De Heartbleed à l'Instrument : le cycle du rattrapage

L'histoire de l'engagement européen dans la maintenance du logiciel libre est une succession de réponses à des crises. Le cas fondateur reste celui d'OpenSSL. En avril 2014, la vulnérabilité Heartbleed a révélé qu'une bibliothèque de chiffrement utilisée par les deux tiers du web vivait sur une moyenne d'environ 2 000 dollars par an de dons. Son président, Steve Marquess, a confirmé publiquement qu'avant le financement d'urgence déclenché par la crise, un seul développeur, Stephen Henson, travaillait à plein temps sur une base de plus de 450 000 lignes de code. La Core Infrastructure Initiative, lancée le 24 avril 2014 par la Linux Foundation avec treize entreprises engageant chacune environ 100 000 dollars par an sur trois ans (soit environ 4 millions de dollars au total), a permis de financer deux développeurs supplémentaires. Ce dispositif a depuis été remplacé par l'Open Source Security Foundation (OpenSSF).

La réaction européenne est venue par le Parlement. EU-FOSSA, à l'initiative de trois eurodéputés (Julia Reda, Max Andersson et Marietje Schaake), a audité Apache HTTP Server et KeePass entre 2015 et 2016. EU-FOSSA 2 (2017-2020), doté de 2,6 millions d'euros, a lancé quinze programmes de primes aux bogues, organisé trois hackathons et permis de découvrir environ deux cents vulnérabilités, dont une vieille de vingt ans dans PuTTY. La Commission en a tiré un bilan positif, saluant un projet qui avait « couvert beaucoup de terrain avec un budget relativement modeste ». La formulation dit l'utilité du programme. Elle dit aussi la modestie structurelle de l'engagement.

Le cycle s'est reproduit dix ans après Heartbleed. En mars 2024, l'affaire xz-utils (CVE-2024-3094, score CVSS maximal de 10,0) a montré la persistance du problème : un mainteneur unique épuisé, une prise de contrôle par ingénierie sociale étalée sur deux ans, une porte dérobée vers OpenSSH évitée de justesse par la vigilance fortuite d'un ingénieur. Le rapport Census III publié en décembre 2024 par le Harvard Lab for Innovation Science et la Linux Foundation a quantifié le risque systémique : sur les principaux projets examinés hors écosystème npm, 17 % n'avaient qu'un seul développeur, et 64 % comptaient quatre développeurs ou moins concentrant plus de 80 % des contributions.

Le schéma est régulier : chaque crise révèle que l'infrastructure numérique mondiale dépend du travail de quelques personnes sous-financées, déclenche une mobilisation temporaire, puis l'attention se déplace. Le nouvel Open Source Maintenance Instrument hérite de cette généalogie. La question n'est pas de savoir si l'instrument est utile (les résultats d'EU-FOSSA 2 prouvent que même un financement modeste produit des effets). La question est de savoir s'il corrige les trois défauts structurels de ses prédécesseurs : le sous-dimensionnement, le caractère réactif et l'absence de pérennité.

L'obsession d'innovation, angle mort de la maintenance

Le Sommet pour l'action sur l'intelligence artificielle de Paris, en février 2025, a annoncé 109 milliards d'euros d'investissements privés en France, fléchés vers les infrastructures de modèles de fondation. Quinze mois plus tard, l'enveloppe de la stratégie open source européenne, couvrant la maintenance de l'ensemble des composants libres dont dépend l'infrastructure numérique du continent, atteint deux milliards d'euros sur sept ans, fonds publics et privés confondus. Le rapport entre les deux chiffres n'est pas un hasard. Il est le produit d'une hiérarchie structurelle que la recherche en études des sciences et des techniques (Science and Technology Studies) a documentée.

L'illusion d'innovation selon Russell et Vinsel

Dans The Innovation Delusion: How Our Obsession with the New Has Disrupted the Work That Matters Most (Currency, 2020), l'historien des techniques Andrew Russell et le sociologue des sciences Lee Vinsel démontrent que les sociétés contemporaines sous-valorisent systématiquement la maintenance, l'entretien et le soin (care) au profit de ce qu'ils nomment l'innovation-speak, un discours performatif qui oriente les financements, les carrières et l'attention publique vers la nouveauté. La maintenance, dans ce cadre, n'est pas un secteur négligé par accident. Elle est structurellement occultée par un imaginaire qui assimile la valeur à la création et le coût à l'entretien. Le concept prolonge une propriété formulée par Susan Leigh Star dans « The Ethnography of Infrastructure » (American Behavioral Scientist, 1999) : l'infrastructure « devient visible lors de la panne » et reste autrement invisible à l'arrière-plan de l'action.

Ce cadre éclaire la séquence du 3 juin avec une précision que le commentaire politique n'atteint pas. La Commission européenne fait un geste théorique important en nommant la maintenance comme une défaillance de marché autonome, distincte de l'innovation et de la sécurité. Mais elle calibre les moyens de ce geste en reproduisant le biais qu'elle diagnostique : l'innovation (intelligence artificielle, cloud, semi-conducteurs) capte l'essentiel de l'attention et des budgets, tandis que la maintenance obtient une enveloppe dont OpenForum Europe estime qu'elle couvre, au mieux, la moitié du minimum nécessaire pour le seul instrument dédié.

Steven J. Jackson, dans « Rethinking Repair » (in Media Technologies, MIT Press, 2014), propose un renversement de perspective qu'il nomme broken world thinking : prendre l'érosion, la panne et la réparation, plutôt que la nouveauté, comme point de départ pour penser la technologie. Nadia Eghbal, dans Working in Public: The Making and Maintenance of Open Source Software (Stripe Press, 2020), documente la dimension humaine de cette érosion en montrant que la maintenance du logiciel libre à usage public se transforme insensiblement en travail non rémunéré dont le mainteneur ne peut pas démissionner sans conséquences collectives. Le Sovereign Tech Fund allemand a confirmé empiriquement ce diagnostic en 2024 : une enquête menée auprès de plus de 500 mainteneurs a montré qu'un tiers d'entre eux ne sont pas rémunérés pour leur travail de maintenance.

Appliquée au cas européen, la grille de Russell et Vinsel produit un diagnostic précis. Le problème n'est pas que la Commission ignore la maintenance. C'est que sa reconnaissance reste prise dans un cadre cognitif où la maintenance est pensée comme un coût à minimiser, non comme une capacité à construire. L'Open Source Maintenance Instrument finance la correction de vulnérabilités et la mise à jour de composants. Il ne finance pas encore la construction d'une capacité européenne de maintenance inscrite dans la durée, avec des emplois stables, des compétences accumulées et une gouvernance communautaire pérenne.

« Encourager » n'est pas « exiger » : le test normatif

La reconnaissance de la maintenance comme enjeu stratégique ne produit d'effets qu'à travers un instrument normatif. Or l'article 41 du CADA, intitulé « Promoting open source solutions and open source first », dispose dans son corps que l'Union et les États membres prennent les mesures nécessaires pour « encourager » l'usage des standards ouverts et des composants sous licence libre, « en tenant compte des fonctionnalités, y compris la sécurité, du coût total et d'autres critères objectifs ». Le CNLL a relevé deux reculs entre le projet circulé fin mai et le texte adopté le 3 juin : l'affaiblissement de la clause « libre par défaut » dans la commande publique et la disparition du terme « sovereignty washing » qui qualifiait les pratiques de façade. L'April y voit une occasion manquée d'instituer un véritable principe de priorité.

Le parallèle français est structurant. L'article 16 de la loi du 7 octobre 2016 pour une République numérique dispose que les administrations « encouragent » l'utilisation des logiciels libres et des formats ouverts. Dix ans plus tard, aucune obligation d'achat n'en est sortie. L'Éducation nationale a reconduit au printemps 2026 un accord-cadre Microsoft pouvant atteindre 152 millions d'euros, sans que l'article 16 ne constitue un obstacle juridique. Le CADA reproduit cette formule à l'échelle européenne.

Le contraste avec l'Allemagne renforce le diagnostic. Le Sovereign Tech Fund (aujourd'hui Sovereign Tech Agency), lancé en 2022 par le ministère fédéral de l'Économie et doté de plus de 24 millions d'euros investis dans plus de soixante projets (OpenSSL, curl, WireGuard, systemd, GnuPG), a choisi un autre levier : les conditions de la commande publique elle-même. Berlin a inscrit en 2025 l'open source comme standard par défaut dans ses contrats-types de marchés publics informatiques. Ce n'est pas le verbe « encourager », c'est une clause contractuelle opposable. L'écart entre les deux approches (incitation européenne, contrainte allemande) trace la ligne de front du trilogue à venir.

Le budget français de la maintenance des communs libres : 40 000 euros par an

Le dispositif français de financement de la maintenance du logiciel libre dont dépend l'administration se résume, en 2024, au prix BlueHats, lancé par le pôle Open Source de la DINUM en partenariat avec la fondation néerlandaise NLnet : quatre prix de 10 000 euros chacun, attribués à des mainteneurs de projets utilisés par l'administration (dnsmasq, node-oidc-provider, Apache Maven, Monitoring Plugins). Il n'existe pas de ligne budgétaire identifiable dans le projet de loi de finances dédiée spécifiquement à la maintenance des logiciels libres critiques. L'activité du pôle Open Source relève du programme 352 « Innovation et transformation numériques », sans sous-ligne fléchée. La Cour des comptes notait en juillet 2024 des effectifs et moyens jugés insuffisants.

La position commune franco-allemande sur la souveraineté numérique, publiée le 17 juin 2026 par les ministres Anne Le Hénanff et Karsten Wildberger, accorde à l'open source et à l'interopérabilité une place inédite dans un texte bilatéral. Le CNLL y voit un acquis doctrinal, mais observe que ce texte « arrive tard, ne crée aucune obligation, ne mobilise aucun budget ». Le combat décisif se déplace vers le trilogue prévu à l'automne 2026.

Un test vérifiable : le trilogue et le cadre financier

La conclusion de cette lecture ne porte pas sur l'intention de la Commission, qui constitue une avancée conceptuelle réelle, mais sur la capacité du processus législatif à transformer une reconnaissance en capacité opérationnelle.

L'hypothèse que cet article propose de formuler est la suivante : si le trilogue sur le CADA conserve le verbe « encourager » à l'article 41 et si la dotation de l'Open Source Maintenance Instrument dans le cadre financier pluriannuel 2028-2034 reste inférieure aux 350 millions d'euros estimés nécessaires par OpenForum Europe, l'instrument reproduira le schéma d'EU-FOSSA (des résultats réels mais structurellement insuffisants pour modifier la trajectoire de dépendance).

L'indicateur observable est double. Le premier est linguistique : le verbe retenu dans la version finale de l'article 41 du CADA, après le trilogue. Le passage d'« encourager » à « exiger » ou « privilégier par défaut » signalerait un changement de régime normatif. Le maintien du verbe confirmerait la reconduction de la soft law. Le second indicateur est budgétaire : le montant effectivement fléché vers la maintenance dans les arbitrages du Fonds européen pour la compétitivité, attendus au cours de l'année 2028. L'horizon de vérification est de vingt-quatre mois : la formulation de l'article 41 sera connue à l'issue du trilogue (premier semestre 2027), et les premiers arbitrages du cadre financier seront rendus publics au second semestre 2028.

Ce que la stratégie du 3 juin 2026 aura accompli, dans tous les cas, est d'avoir déplacé le vocabulaire. La maintenance du logiciel libre a cessé d'être un sujet technique réservé aux communautés de développeurs pour devenir un objet politique inscrit dans l'agenda de souveraineté européen. L'illusion d'innovation que décrivent Russell et Vinsel a un antidote : nommer ce qui était invisible. Reste la question que Heartbleed posait déjà en 2014 et que l'affaire xz-utils a reposée dix ans plus tard : nommer suffit-il quand les moyens restent calibrés pour l'invisible ?

---

Note méthodologique

Cet article repose principalement sur les textes officiels de la Commission européenne du 3 juin 2026 (Communication COM(2026) 503 et proposition de règlement CADA COM(2026) 502), sur les analyses critiques du CNLL, de l'April et d'OpenForum Europe, et sur les données du rapport Census III de Harvard et de la Linux Foundation. Le chiffre de 264 milliards d'euros provient de l'étude Astérès pour le Cigref (avril 2025), qui repose sur une extrapolation à partir d'entretiens avec des DSI de grandes entreprises françaises, le cabinet reconnaissant lui-même une « faiblesse des données commerciales ». Les montants cumulés du Sovereign Tech Fund varient selon les sources : 24,6 millions d'euros selon le portail Interoperable Europe, jusqu'à environ 37 millions selon des sources postérieures. Le choix éditorial de centrer l'analyse sur la dimension maintenance, plutôt que sur la gouvernance normative du CADA (traitée dans le numéro du 22 juin) ou la mécanique du verbe « encourager » (numéro du 26 juin), tient à la nouveauté conceptuelle de cet objet dans le discours européen et à l'absence de couverture analytique de cette dimension spécifique dans la presse spécialisée francophone.

---

Sources

Sources primaires institutionnelles

Commission européenne, « Strengthening Europe's Tech Sovereignty », communiqué du 3 juin 2026. https://commission.europa.eu/news-and-media/news/strengthening-europes-tech-sovereignty-2026-06-03_en

Commission européenne, EU Open Source Strategy (COM(2026) 503), 3 juin 2026. https://digital-strategy.ec.europa.eu/en/policies/open-source-strategy

Commission européenne, Cloud and AI Development Act (CADA), proposition de règlement COM(2026) 502, 3 juin 2026.

Commission européenne, EU-FOSSA 2 (2017-2020), bilan de projet. URL à vérifier avant publication (migration possible depuis ec.europa.eu).

CISA, « Open Source Software Security Roadmap », 2023. https://www.cisa.gov/opensource

Analyses et réactions

CNLL, « Stratégie open source européenne : deux reculs significatifs entre le projet circulé fin mai et le texte adopté le 3 juin », juin 2026. https://cnll.fr/news/strategie-open-source-europeenne-deux-reculs-significatifs/

CNLL, « Stratégie open source européenne : la Commission change de niveau d'ambition », juin 2026. https://cnll.fr/news/oss-strategy-2026/

CNLL, « Vers une Europe numérique souveraine : la France et l'Allemagne publient une position commune », juin 2026. https://cnll.fr/news/vers-une-europe-numérique-souveraine-la-france-et-lallemagne-publient-une-position-commune/

April, « Malgré ses bonnes intentions, la Commission européenne rate l'occasion de défendre une véritable priorité au logiciel libre », juin 2026. https://www.april.org/malgre-ses-bonnes-intentions-la-commission-europeenne-rate-l-occasion-de-defendre-une-veritable-prio

OpenForum Europe, « How the EU's Tech Sovereignty Package Finally Puts Open Source to the Test », TechPolicy.Press, 3 juin 2026. https://www.techpolicy.press/how-the-eus-tech-sovereignty-package-finally-puts-open-source-to-the-test/

Données empiriques

Astérès pour le Cigref, étude sur la dépendance numérique européenne aux fournisseurs extra-européens, avril 2025.

Linux Foundation et Harvard Lab for Innovation Science, Census III of Free and Open Source Software, décembre 2024.

Interoperable Europe Portal, fiche du Sovereign Tech Fund. À vérifier avant publication.

Cadres théoriques

Russell, Andrew L. et Vinsel, Lee, The Innovation Delusion: How Our Obsession with the New Has Disrupted the Work That Matters Most, Currency, 2020.

Jackson, Steven J., « Rethinking Repair », in Tarleton Gillespie, Pablo J. Boczkowski et Kirsten A. Foot (dir.), Media Technologies: Essays on Communication, Materiality, and Society, MIT Press, 2014, p. 221-240.

Star, Susan Leigh, « The Ethnography of Infrastructure », American Behavioral Scientist, vol. 43, n° 3, 1999, p. 377-391.

Eghbal, Nadia, Working in Public: The Making and Maintenance of Open Source Software, Stripe Press, 2020.

Précédent historique

Linux Foundation, annonce de la Core Infrastructure Initiative, 24 avril 2014.

Marquess, Steve, déclarations sur le financement d'OpenSSL, avril 2014 (couverture de presse multiple, notamment Ars Technica et Wired).