Protéger les données sensibles sans fragiliser nos entreprises : le vrai débat derrière SecNumCloud
France Digitale publie avec Xerfi une étude visant à évaluer l'impact concret du recours à une offre qualifiée SecNumCloud pour les entreprises du numérique. Cette étude s'appuie sur une enquête menée auprès de 124 start-up et scale-up françaises, représentatives de l'écosystème par taille, chiffre d'affaires et secteur d'activité, complétée par une dizaine d'entretiens qualitatifs avec des fondateurs et CTO.
France Digitale, en tant qu’association représentative de l’écosystème des start-ups et scale-ups françaises et européennes, a pour objet de travailler aux conditions de notre souveraineté technologique. Elle appelle de ses vœux une protection renforcée des données sensibles, l’émergence d’acteurs européens d’envergure mondiale, et une moindre dépendance aux technologies extra-européennes. Sur ces objectifs, tout le monde s’accorde. Le désaccord porte sur la méthode : faire de SecNumCloud l’instrument privilégié de cette ambition risque de fragiliser les mêmes entreprises que nous sommes censés encourager, sans pour autant garantir la souveraineté recherchée.
C’est pour objectiver ce débat que France Digitale, forte de ses 2 000 adhérents start-ups et scale-ups, s’est associée à Xerfi afin d’évaluer l’impact concret du recours à une offre qualifiée SecNumCloud pour les entreprises du numérique. Cette étude s’appuie sur une enquête menée auprès de 124 start-up et scale-up françaises, représentatives de l’écosystème par taille, chiffre d’affaires et secteur d’activité, complétée par une dizaine d’entretiens qualitatifs avec des fondateurs et CTO.
La prise de conscience de nos dépendances technologiques s’est accélérée : fuites de données de l’été, exposition croissante aux législations extraterritoriales (Cloud Act, FISA), risque de dépendance opérationnelle à des acteurs non-européens (« kill switch »). L’État a anticipé ces risques en renforçant légitimement ses exigences, via la loi SREN et la qualification SecNumCloud, pour ses propres projets technologiques et pour l’accès aux marchés publics les plus sensibles.
Mais cette exigence, pensée pour l’État, se diffuse aujourd’hui bien au-delà de son périmètre initial, vers certains marchés publics, voire vers la commande privée, avec un impact direct sur les start-up et scale-up françaises, dans de nombreux secteurs, à l’instar de celui de la santé, où la sensibilité des données est extrême et où l’innovation dépend largement de briques cloud avancées (IA, services managés).
Ce que révèle l’étude
L’étude Xerfi porte un constat simple : la souveraineté et la sécurité sont deux notions distinctes, et les deux ne nécessitent pas toujours les mêmes outils. SecNumCloud est une qualification de sécurité, utile pour les données les plus sensibles de l’État, mais elle n’a jamais eu vocation à répondre, seule, à l’ensemble des enjeux de souveraineté numérique. De la même manière, SecNumCloud n’épuise pas les enjeux de la sécurité, lesquels sont déterminés par un faisceau de garanties, certifications, chiffrement, gouvernance des accès, parfois au-delà-même d’exigences règlementaires existantes (HDS, Ségur etc.).
L’étude documente aussi une réalité opérationnelle souvent sous-estimée, à savoir que l’exigence et les contraintes des offres qualifiées SecNumCloud ne leur permettent pas de répondre aux besoins des entreprises technologiques les plus innovantes : les briques d’intelligence artificielle, de services managés avancés etc. restent peu encore couvertes, rendant toute migration précoce coûteuse et risquée. Par ailleurs, dans les cas où une migration est souhaitable, la somme des coûts induits (coût de migration, coût d’infrastructure, coût d’opportunité) représente un vrai défi pour nos entreprises, et appelle à des politiques publiques d’accompagnement stables, cohérentes et long-termistes.
Face à ce constat, l’étude appelle à conserver notre ambition de souveraineté mais en changeant de méthode : reconnaître le socle de sécurité déjà solide de secteurs matures, ouvrir un régime de transition réaliste et financé pour les migrations réellement nécessaires, et surtout inscrire cette ambition dans une trajectoire européenne, EUCS pour la sécurité, CADA pour la souveraineté, plutôt que de bâtir une doctrine franco-française qui fragiliserait nos entreprises