Le cloud de confiance s'impose comme la nouvelle référence de la souveraineté numérique 

À l'occasion d'une table ronde organisée ce mardi au Salon de la Souveraineté Numérique, à l'Espace Champerret à Paris, Alexandre Bord, directeur Cloud France d'Orange Business, Renan Choyer, responsable du segment cloud à l'ANSSI, Jean-Marie Mele, Chief Security Officer de S3NS, et Papa Ndao, directeur Technologie et Services de Bleu, ont confronté leurs visions du cloud souverain et du cloud de confiance. Malgré des approches différentes de la souveraineté numérique, les quatre intervenants se sont accordés sur un constat : la qualification SecNumCloud constitue aujourd'hui le cadre de référence pour sécuriser les services cloud en France. « Nous n'employons jamais le terme de cloud souverain. Nous parlons uniquement de cloud de confiance », a rappelé Renan Choyer. Le représentant de l'ANSSI a expliqué que cette qualification repose sur « plus de 260 exigences techniques, juridiques et organisationnelles », destinées à établir une relation de confiance entre fournisseurs et clients. 

Les entreprises arbitrent entre conformité, protection des données et autonomie 

Au-delà des exigences réglementaires, les échanges ont mis en lumière l'évolution des attentes des organisations face aux risques géopolitiques. Alexandre Bord a expliqué qu'Orange Business distingue « trois formes de souveraineté » : la souveraineté réglementaire, incarnée par SecNumCloud, une souveraineté « choisie » pour protéger les données sensibles des lois extraterritoriales et une autonomie stratégique destinée à limiter les risques de dépendance technologique.

« Beaucoup de nos clients veulent protéger leurs données clients, leurs données fournisseurs, leurs données de brevets des lois extraterritoriales », a-t-il indiqué, évoquant notamment le risque que représente le Cloud Act américain. De son côté, Papa Ndao a estimé que le référentiel de l'ANSSI a permis de mettre fin à une certaine confusion autour du cloud souverain. « Quand on dit cloud de confiance en France, on sait exactement à quoi on se réfère », a-t-il affirmé, soulignant que cette clarification offre désormais un langage commun à l'ensemble de l'écosystème. 

L'Europe est désormais attendue sur la reconnaissance des certifications 

Les intervenants ont également plaidé pour une extension du modèle français à l'échelle européenne. Selon Papa Ndao, les entreprises présentes dans plusieurs pays ont besoin d'un référentiel harmonisé afin d'éviter la multiplication des certifications nationales et de disposer d'un niveau de confiance identique sur l'ensemble du marché européen. Renan Choyer a rappelé que plusieurs textes actuellement négociés à Bruxelles, dont la révision du Cyber Security Act, vont dans cette direction. Jean-Marie Mele a toutefois estimé que l'un des principaux freins reste l'absence de « présomption de conformité » entre les différents référentiels. « Aujourd'hui, un client continue à poser des centaines de questions alors même que vous êtes qualifié SecNumCloud », a-t-il regretté. Selon lui, une reconnaissance automatique des qualifications existantes permettrait d'alléger les procédures de conformité tout en favorisant l'émergence d'un véritable standard européen du cloud de confiance.