Derrière l’expression « cloud de confiance », il y a un référentiel technique précis : SecNumCloud, publié par l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Ce label impose qu’un hébergeur candidat démontre non seulement la robustesse de ses infrastructures, mais aussi l’absence de toute soumission à une législation étrangère à caractère extraterritorial — une manière directe de viser le Cloud Act américain.
Concrètement, un opérateur certifié SecNumCloud doit être une entité de droit européen, dont le capital et la gouvernance échappent à tout contrôle par une entité soumise à ce type de législation. C’est ce qui explique les montages capitalistiques complexes observés ces dernières années : coentreprises entre un acteur américain (pour la licence technologique) et un opérateur français (pour l’exploitation et l’hébergement), conçues précisément pour satisfaire à la lettre ces exigences.
Une exigence qui monte dans les cahiers des charges publics
Depuis la circulaire « cloud au centre » de 2021, les administrations françaises sont censées privilégier les offres labellisées pour héberger leurs données sensibles. Dans les faits, l’application reste inégale d’un ministère à l’autre, mais la tendance est claire : de plus en plus d’appels d’offres publics, y compris dans la santé et les collectivités locales, exigent désormais explicitement une certification SecNumCloud ou son équivalent européen.
Le coût de cette exigence n’est pas neutre : les offres certifiées restent en moyenne plus chères que leurs équivalents non labellisés, ce qui freine leur adoption par les petites structures publiques aux budgets contraints. C’est précisément le point que soulevait un entrepreneur lyonnais interrogé dans notre dossier de référence sur la souveraineté numérique : la demande de cloud souverain progresse, mais l’offre reste, pour l’instant, un marché de niche plus coûteux que l’alternative américaine.
Une souveraineté numérique qui se construit dossier après dossier
Qu'il s'agisse de cloud souverain, d'intelligence artificielle, de cybersécurité, de réglementation ou de semi-conducteurs, chaque rubrique raconte une facette différente de la même question : qui contrôle les infrastructures numériques dont dépend l'Europe. Rien n'est figé : chaque texte adopté et chaque investissement engagé peut encore faire évoluer cet équilibre.
Pour aller plus loin
- Comparer plusieurs sources avant de juger la fiabilité d'un chiffre ou d'une échéance réglementaire
- Replacer chaque texte européen dans son calendrier d'application réel, pas seulement sa date d'adoption
- S'intéresser aux dépendances industrielles autant qu'aux textes de loi
- Suivre l'actualité européenne pour voir ces équilibres évoluer d'une année à l'autre
