Quand l'écologie naïve devient une faille stratégique

La Norvège vient de faire une découverte explosive : 850 bus électriques en circulation à Oslo peuvent être arrêtés à distance par leur constructeur chinois, Yutong. Un simple accès logiciel, un boîtier SIM intégré, et voilà qu'un acteur étranger peut, en théorie, désactiver une flotte entière de transports publics dans une capitale européenne.

C'est grave ? Oui.

Mais ce n'est pas une surprise. C'est la conséquence directe d'un système qui veut la souveraineté énergétique sans la souveraineté industrielle. D'un modèle européen qui exige des normes d'émissions irréprochables, tout en forçant ses États à s'approvisionner chez ceux qui ne respectent rien d'autre que leurs propres intérêts.

Que révèlent exactement les tests de Ruter ?

L'alerte ne vient pas d'un pirate ni d'un think tank, mais de l'opérateur lui-même. Ruter, la régie des transports publics d'Oslo et de sa région, a fait tester deux bus dans un environnement isolé, en pleine montagne : un Yutong flambant neuf et un VDL européen de trois ans, pour comparer.

Le résultat est sans ambiguïté. Le bus chinois embarque une mise à jour logicielle à distance, dite OTA, totalement autonome, qui donne au constructeur un accès numérique direct à chaque véhicule. Surtout, les experts ont trouvé un accès au système de gestion de la batterie et de l'alimentation, via le réseau mobile, à travers une carte SIM roumaine dissimulée. Conclusion de Ruter, mot pour mot : « en théorie, ce bus peut être arrêté ou rendu inutilisable par le constructeur ». Le VDL de comparaison, lui, ne présentait pas le même niveau d'accès distant.

Ruter a annoncé la couleur pour la suite : exigences de sécurité durcies dans les prochains appels d'offres, pare-feu pour garder le contrôle en local, coopération avec les autorités nationales et locales.

Yutong dément. Le premier constructeur mondial de bus assure respecter « les lois, règlements et normes des pays où ses véhicules circulent », affirme que les données stockées dans l'Union servent « uniquement à la maintenance et à l'amélioration du service après-vente », et qu'un contrôle à distance des systèmes critiques est impossible. Reste que la capacité technique, elle, a bien été constatée en laboratoire. Le débat ne porte pas sur l'intention affichée, mais sur le fait qu'un tiers étranger dispose de la clé.

L'Europe entière est-elle exposée ?

Oslo n'est pas une exception. Sur les quelque 1 300 bus électriques que compte la Norvège, environ 850 portent la marque Yutong, et le pays n'est que le premier à avoir regardé sous le capot.

Au Danemark, le principal opérateur Movia exploite 469 bus électriques chinois, dont 262 Yutong. L'agence danoise de protection civile a ouvert une enquête ; elle n'a relevé aucun arrêt à distance à ce jour, mais reconnaît que des systèmes connectés dotés d'un accès Internet et de capteurs « peuvent constituer des vulnérabilités exploitables ». Au Royaume-Uni, environ 700 bus Yutong roulent déjà, notamment à Nottingham, dans le sud du pays de Galles et à Glasgow. Le ministère des Transports et le NCSC, le bras cyber du GCHQ, ont été saisis. L'importateur britannique conteste et jure que les mises à jour sont appliquées « à la main par des ingénieurs ».

Le fond du problème est un rapport de force industriel. En 2025, le marché européen du bus électrique a bondi de 48 %, à 11 607 immatriculations. Yutong est en tête avec 15,5 % de part de marché, BYD suit à 11,2 % après avoir triplé ses volumes. À eux deux, ces constructeurs chinois pèsent désormais plus du quart des bus électriques neufs vendus en Europe. Ce n'est pas un incident isolé à Oslo. C'est une infrastructure de transport continentale qui bascule, ville après ville, sous une dépendance unique.

Le rêve vert qui fabrique la dépendance

Depuis janvier 2025, la Norvège impose que tous les nouveaux bus urbains soient sans émission ; l'obligation vaut pour les bus locaux depuis 2024, et la part électrique dans les bus urbains neufs atteignait déjà 72 % fin 2024.

Sur le papier, c'est magnifique. Dans les faits, ça se traduit par l'importation massive de matériel chinois. Pourquoi ? Parce qu'en Europe, on a abandonné l'ambition industrielle, les chaînes logistiques sont disloquées, et les rares constructeurs restants ne peuvent rivaliser sur les volumes ou les prix.

Résultat ? On délocalise la production.

Et, par naïveté ou cynisme, on laisse entrer sur nos routes des systèmes techniques pilotables à distance par un régime autoritaire. Il ne s'agit plus de savoir si un pirate peut bloquer un bus : il s'agit de savoir pourquoi un gouvernement étranger a un jour eu cette possibilité.

Le tout-numérique est une prison

On peut disserter des heures sur les firewalls, les audits, les cartes SIM qu'on retirera à la main. Mais le cœur du problème est ailleurs : c'est l'obsession du tout-connecté, du tout-moderne, du tout-digital. Chaque « fonctionnalité intelligente » qu'on ajoute, c'est une nouvelle porte ouverte à l'ingérence, une nouvelle dépendance qu'on accepte. Et cette fois, ce n'est pas un bug. C'est une politique.

Car ce type d'accès distant n'est pas une faille accidentelle. C'est un choix d'architecture, pensé, documenté, prévu. Et s'il est là, c'est parce que l'Europe veut des bus modernes mais ne veut plus les concevoir elle-même. Elle veut des technologies vertes, mais ne veut plus avoir à produire ni les batteries, ni les puces, ni les boîtiers.

Tu ne veux plus dépendre d'une puissance étrangère ?

Alors redeviens autonome. Un pays qui n'est pas capable de construire ses propres véhicules, ses propres réseaux, ses propres outils, n'est pas un pays souverain. Il peut signer tous les traités du monde, se gargariser de ses normes et multiplier les conférences sur la « cybersécurité » : il reste vulnérable, dès qu'un acteur externe décide de lui faire payer sa naïveté.

La seule solution durable, ce n'est pas un patch logiciel. Ce n'est pas un comité d'experts. C'est une relocalisation. Une maîtrise. Une reconquête. Parce qu'on ne peut pas légiférer sur l'émission carbone d'un bus tout en refusant de prendre en main les moyens de le produire. Et surtout, on ne peut pas, au nom de la transition écologique, s'en remettre à des puissances qui font de l'export technologique une arme stratégique.

Soit on veut des infrastructures numériques et durables maîtrisées, et il faut reconstruire des filières. Soit on continue de faire des lois en chambre sans produire le moindre boulon, et il ne faudra pas pleurer le jour où Pékin débranche Oslo. Ce n'est pas de la cybersécurité. C'est de la sécurité tout court. Et à ce jeu-là, les ingénieurs de Yutong sont plus cohérents que nos ministres.

Repenser la commande publique, relancer l'industrie stratégique

Si l'Europe veut rompre avec cette dépendance, elle doit réformer en profondeur la manière dont elle pense et achète la technologie. Aujourd'hui, la commande publique privilégie le coût et le respect des normes environnementales à court terme.

Résultat : on sacrifie l'autonomie stratégique sur l'autel des appels d'offres « les moins-disants ». Il faut changer le cahier des charges.

Intégrer la souveraineté, la résilience, la traçabilité des composants. Récompenser les offres européennes, même si elles sont 15 % plus chères. Car ce différentiel, ce n'est pas un surcoût : c'est le prix de notre liberté.

D'autres ont déjà tranché. Les États-Unis interdisent, depuis une règle entrée en vigueur le 17 mars 2025, les logiciels et matériels de véhicules connectés conçus en Chine ou en Russie : interdiction des logiciels dès les modèles 2027, du matériel dès 2030. Pendant ce temps, l'Europe débat de labels.

Et ce n'est pas en empilant des labels qu'on recrée une industrie souveraine, mais en investissant, formant et assumant nos choix. Produire un bus 100 % européen sans émission, c'est possible, et c'est peut-être même déjà le cas.

Encore faut-il qu'on l'exige. Le numérique responsable commence par la responsabilité politique. Et pour l'instant, cette responsabilité est aux abonnés absents.

---

Sources

• Ruter, tests de sécurité approfondis des bus électriques (communiqué officiel)
• Euronews, les bus chinois peuvent être arrêtés à distance en Norvège, 6 novembre 2025
• NBC News, le Danemark et la Norvège enquêtent sur la faille des bus chinois Yutong
• Sustainable Bus, le Danemark (Movia) enquête sur les bus connectés
• Sustainable Bus, la réponse de Yutong à Ruter sur la cybersécurité
• The Register, le Royaume-Uni fait expertiser l'arrêt à distance des bus chinois, 11 novembre 2025
• Sustainable Bus, marché européen du bus électrique 2025 (11 607 unités, Yutong et BYD)
• European Alternative Fuels Observatory (Commission européenne), Norvège : obligation d'achat de bus urbains zéro émission
• Gibson Dunn, la règle américaine sur les véhicules connectés en vigueur depuis le 17 mars 2025