Souveraineté numérique : l'accès légal, avant même le piratage

Depuis cet été, l’actualité est régulièrement ponctuée d’annonces de nouvelles fuites de données, aussi bien côté public que privé : plus de 670 000 usagers de la DGFiP touchés en août, 2,1 millions de comptes SFR exposés le même mois, Bloctel et (trop) d’autres également visés courant août (source). Il y a un vrai travail à faire sur la cybersécurité.

Dans toute formation en cybersécurité, on enseigne deux principes clés :

• la question n’est pas de savoir si on va se faire pirater, mais quand
• la principale faille de sécurité est l’humain, à travers notamment ce qu’on appelle le “social engineering”

Et factuellement, il existe un trou plus profond encore, et d’une autre nature : dès lors qu’un gouvernement étranger peut, par la simple application d’une loi, obtenir l’accès à la totalité de vos données sans garantir ni leur sécurité ni leur confidentialité une fois obtenues, aucune barrière technique n’y change rien. Ici, la faille humaine n’est pas le clic sur un mail piégé, c’est le choix, fait une fois et jamais revérifié, d’un prestataire sans se poser la question de qui peut légalement accéder à vos données.

C’est là que SecNumCloud 3.2 commence à changer la donne. Référentiel écrit depuis 2022, il renforce le dispositif public à travers l’arrêté du 12 août 2026.

Avant de lister ses évolutions clés par rapport à la version 3.1, un peu d’histoire.

Ce n’est pas parce que ça ne s’est pas produit, que ça ne se produira pas

Microsoft est lié au Cloud Act, et vous n’y pouvez rien. Lors de l’audition d’Anton Carniaux (directeur des affaires publiques et juridiques, chez Microsoft France), le 10 juin 2025, il lui a été demandé s’il peut garantir qu’aucune donnée française ne sera jamais transmise aux autorités américaines sans accord des autorités françaises. Réponse : « Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit. »

Comme je l’écrivais au dessus, la question n’est pas “si”, mais “quand”.

SecNumCloud 3.2, une nouvelle donne?

SecNumCloud est en version 3.2 depuis le 8 mars 2022. Le décret du 14 avril 2026 rend une qualification de ce niveau obligatoire pour les services de l’État, ses opérateurs et six groupements d’intérêt public nommés. L’arrêté du 12 août vient approuver SecNumCloud 3.2 comme le référentiel de référence qui remplit cette obligation.

Les nouveautés clés, précisément vouées à parer aux éventualités d’ingérence étrangère :

• siège social, direction et capital du prestataire doivent être très majoritairement européens.
• les entités hors UE ne peuvent pas détenir plus de 24 % du capital individuellement, ni plus de 39 % à plusieurs, et n’ont aucun droit de véto ni majorité au conseil.
• un sous-traitant basé hors UE ne doit techniquement pas pouvoir accéder aux données.
• les liens du prestataire avec un gouvernement étranger peuvent être pris en compte pour juger de sa conformité.
• un accès à distance depuis hors UE, dans le cadre du support technique, doit obligatoirement passer par une passerelle sécurisée, supervisée en temps réel.
• la télémaintenance de l’infrastructure par une personne non vérifiée doit passer par cette même passerelle sécurisée.
• le prestataire doit surveiller et pouvoir filtrer tout ce qui sort de son infrastructure (facturation, journaux, etc.) pour empêcher une fuite de données par ce biais.

Et le privé, alors?

À travers les différents produits SaaS et PaaS sur lesquels j’ai travaillé depuis 2015, j’ai vu une vigilance de plus en plus importante sur les sujets de souveraineté, les questions sur l’emplacement des données et leur transmission à des tiers revenant régulièrement.

Mais concrètement, il s’agissait la plupart du temps “d’avoir une idée de ce qu’on fait des données” plus que de mettre des limites strictes.

Soyons honnêtes : aujourd’hui, une start-up SaaS B2B française aura un mal infini à produire le code, héberger sa solution et s’outiller intégralement de solutions souveraines pour la mettre sur le marché. Certaines solutions manquent purement et simplement, d’autres sont insuffisantes en efficacité. Dans les entreprises plus établies, nous pouvons afficher avec fierté de vraies pépites.

Et encore, même celles-ci peuvent utiliser des solutions tierces pour le traitement de la relation client. Les données de vos utilisateurs sont sécurisées, mais pas les vôtres, en tant que client. Pour chaque solution technique que vous utilisez, prenez un moment pour aller voir les politiques de confidentialité, cookies et RGPD. Il y a de grandes chances que vous voyiez des tiers qui sont américains, ou qui eux-mêmes utilisent des tiers américains. Ici, le RGPD n’a pas garanti que vos données ne fuitent pas. Cela a essentiellement forcé à donner une forme de traçabilité, qui sera toujours limitée par la capacité d’une entreprise SaaS à mettre à jour ces pages.

Que faire de tout ça

Pas besoin de migrer toute votre stack vers du SecNumCloud du jour au lendemain, ce serait disproportionné pour la plupart des PME et ETI, et ce n’est de toute façon pas le sujet de cet article.

Deux choses plus simples, à faire cette semaine :

• d’un point de vue de vos données en tant qu’entreprise : cartographier où sont hébergées vos données réellement sensibles : RH, contrats, R&D, données clients, celles dont la fuite ou l’accès non autorisé vous coûterait vraiment cher.
• d’un point de vue de vos données en tant qu’acheteur: demander explicitement à vos prestataires cloud où sont vos données et qui peut légalement y accéder sans vous prévenir, et si la réponse ne suffit pas, aller vérifier vous-même dans leurs politiques de confidentialité et de sous-traitance, là où se cachent souvent des tiers américains que vous n’aviez pas identifiés.

SecNumCloud n’empêche rien à lui seul. Mais s’y intéresser de plus près oblige à se poser les bonnes questions, celles qui évitent de voir vos données finir dans la nature malgré des efforts colossaux en cybersécurité. Un peu comme cette barrière posée au milieu d’un chemin, qu’on voit contourner par un sentier tout tracé juste à côté : elle n’arrête personne, parce qu’elle n’est encadrée par rien.

Image de une : « Gates without wall » par Sergei Gutnikov, CC BY-SA 3.0