C'est une première qui marque un tournant pour le cloud en France. Le 17 décembre, S3NS, la société commune fondée par le groupe de défense Thales et le géant Google, a officiellement reçu la certification SecNumCloud 3.2. Délivré par l’Agence Nationale pour la Sécurité des Systèmes d’Information (ANSSI), ce visa de sécurité est le plus exigeant du pays. Il permet à l'offre « Premi3ns » d'accéder à des marchés stratégiques jusqu'alors réservés à une poignée d'acteurs purement français.
Comment une technologie américaine a-t-elle pu obtenir ce label ?
La clé de cette validation réside dans une architecture juridique et technique conçue pour être hermétique. S3NS est une société de droit français, majoritairement contrôlée par Thales. Bien que l'offre « Premi3ns » s'appuie sur les technologies avancées du géant américain, l'exploitation, l'administration et l'hébergement des données sont réalisés exclusivement par du personnel de S3NS, dans des datacenters localisés en France.
Pour garantir cette étanchéité, un mécanisme de « zone de quarantaine » a été mis en place. Toutes les mises à jour logicielles provenant de Google sont d'abord isolées, analysées et validées par les équipes de S3NS avant d'être déployées en production. Ce contrôle strict vise à empêcher toute ingérence extérieure et à assurer que seule une entité française a la main sur les opérations.
Quelles garanties face aux lois extraterritoriales américaines ?
Le principal obstacle était jusqu'ici l'immunité aux lois extraterritoriales américaines comme le Cloud Act ou le FISA. Ces textes obligent les entreprises américaines à communiquer des données à leur administration. L'ANSSI a finalement estimé que le modèle de S3NS offrait un niveau de garantie suffisant pour contourner ce risque.
L'argument avancé par Vincent Strubel, directeur général de l'ANSSI, est que l'hébergement et l'opération par un acteur européen soumettent la structure au droit européen en priorité. Le contrôle exclusif des accès et des clés de chiffrement par S3NS rendrait techniquement très complexe toute tentative de captation de données sans la coopération de l'opérateur français.
Quel impact pour le marché du cloud en France ?
Cette qualification ouvre une nouvelle voie pour les organisations publiques et privées gérant des données sensibles. Elles peuvent désormais bénéficier de la puissance des services de Google Cloud, notamment en matière d'IA et de data, tout en respectant les exigences de souveraineté. Une trentaine de clients, dont EDF, la MGEN ou encore Thales pour ses propres besoins, utilisent déjà la solution.
La décision suscite néanmoins des débats. Des critiques soulignent la persistance d'une dépendance technologique envers les géants américains. Par ailleurs, cette certification met la pression sur les concurrents, notamment l'alliance Bleu (Microsoft, Orange, Capgemini) qui vise le même label, et redessine le paysage concurrentiel face aux acteurs historiques comme OVHCloud ou Outscale.