S3NS certifiée SecNumCloud : Impact sur la souveraineté des données en France

S3NS obtient la certification SecNumCloud : une étape clé pour le cloud souverain ?

Le 17 décembre dernier, S3NS, la co-entreprise formée par le groupe français de défense Thalès et le géant du cloud Google, a franchi une étape importante. Elle a reçu officiellement la certification SecNumCloud 3.2 de l’Agence nationale pour la sécurité des systèmes d’information (ANSSI). Ce label représente la plus haute distinction en matière de cybersécurité décernée par l’État français, visant à protéger les données sensibles contre l’espionnage économique ou étatique. S3NS, une société de droit français majoritairement détenue par Thalès, est la première entreprise impliquant un acteur américain de cette envergure à obtenir cette certification.

Cette certification va permettre à S3NS, créée en 2022, d’accéder à des marchés sensibles (secteurs régaliens, défense, santé) jusqu’alors réservés aux neuf entreprises françaises détentrices de cette certification.

L’offre Premi3ns : une solution hybride sécurisée

L’offre de S3NS, baptisée Premi3ns,  » intègre les services Iaas, CaaS et PaaS les plus avancés de Google Cloud, couvrant notamment la data et l’intelligence artificielle, tout en répondant aux critères de protection et de résilience les plus exigeants en France « , précise la co-entreprise dans un communiqué.

Une structure qui contourne les lois extraterritoriales américaines ?

Cette annonce marque-t-elle un tournant, à l’heure où la question de la souveraineté européenne se pose avec insistance ? Jusqu’à présent, l’opinion générale était que la présence d’une entreprise américaine rendait impossible l’obtention de la certification SecNumCloud. Seules des entreprises françaises comme Outscale (Dassault Systèmes), OVHCloud, Cloud Temple, et plus récemment Orange Business, avaient obtenu cette certification. Le label SecNumCloud 3.2 implique une protection contre les lois extraterritoriales américaines ou chinoises. Une immunité théoriquement difficile à garantir pour une entreprise américaine, soumise au Cloud Act et à la loi Fisa, qui contraignent ces sociétés à communiquer des données sensibles à l’administration américaine.

Cependant, lors d’une audition au Sénat en mai dernier, Vincent Strubel, le directeur général de l’ANSSI, avait suggéré que le fonctionnement de S3NS et de son concurrent Bleu (Microsoft, Capgemini et Orange) pourrait échapper  » à la captation au titre du Cloud Act ou du FISA « . L’idée de ces co-entreprises est de faire héberger la technologie de Microsoft ou Google par des entreprises françaises, sans que la société américaine n’héberge les données.

 » Dès lors qu’une technologie Microsoft, Google ou autre est hébergée par un acteur européen, nous pensons que ça offre un bon niveau de garantie sur le fait que cet acteur ne soit pas soumis sans voie de recours au droit américain, à l’exclusion du droit européen « , avait-il déclaré.

Un débat sur la dépendance technologique

Pour convaincre l’ANSSI, Thalès et Google ont mis en place une structure et un fonctionnement présentés comme totalement indépendants et imperméables à Google. S3NS affirme que  » PREMI3NS est opéré et administré exclusivement par des collaborateurs de S3NS dans des datacenters localisés en France. L’ensemble des technologies cloud et leurs mises à jour est reçu dans une zone de quarantaine, et analysé puis validé par S3NS avant de passer en production dans une zone elle-aussi administrée exclusivement par S3NS « .

Cette nouvelle a suscité des réactions. En octobre dernier, des personnalités regrettaient, dans une tribune du Figaro, que ces offres hybrides  » restent technologiquement dépendantes des géants américains de la tech « . Bercy a rappelé que les données sensibles des administrations françaises devaient être stockées sur des clouds non soumis à des lois extraterritoriales (américaines).

Malgré la crainte de potentielles interruptions des services numériques américains, plusieurs entreprises ont opté pour le service SecNumCloud de S3NS. Premi3ns est déjà utilisé par une trentaine de clients, dont Thalès, EDF, la MGEN, Birds (filiale de Véolia). S3NS a affirmé qu’en cas de coupure des services américains, il pourrait continuer à fonctionner pendant plusieurs mois. L’autre offre hybride, Bleu, portée par Orange, Capgemini et Microsoft, espère également obtenir la certification SecNumCloud dans les prochains mois. L’obtention de la certification SecNumCloud par S3NS marque une étape importante dans le paysage du cloud en France, soulevant des questions cruciales sur la souveraineté numérique et la dépendance technologique.