Données sensibles de l'État :  de la doctrine à l'obligation ...

96

La certification SecNumCloud de l’Agence nationale de la sécurité des systèmes d’information (Anssi) est désormais inscrite dans le droit. La publication d’un arrêté au Journal officiel, le 24 août dernier, rend opposable cette obligation, auparavant simplement formalisée de manière administrative.

Depuis la création de la doctrine « Cloud au centre » de l’État, les administrations de l’État et leurs opérateurs doivent impérativement avoir recours à des services labellisés SecNumCloud lorsqu’ils gèrent des données sensibles et qu’ils ont recours à des prestataires externes : ce n’est pas une nouveauté. En revanche, l’obligation n’avait, à ce jour, jamais été inscrite dans le droit opposable, seulement disposée dans la loi pour la sécurisation de l’espace numérique, dans son article 31, promulguée en 2024.

Or, c’est seulement en avril dernier que le décret d’application de l’article 31 de la loi pour la sécurisation de l’espace numérique a été publié, bien loin des six mois de délai auxquels est normalement tenu le gouvernement. Le décret est venu préciser les contours des administrations et services de l’État formellement concernés par cette obligation, ce qui n’avait pas été fait depuis la promulgation de la loi. Or, le décret seul ne suffisait pas à être opérationnel : il prévoyait également qu’un référentiel, élaboré par l’Anssi, devait être approuvé par voie d’arrêté également pour être opérationnel, en l’occurrence le référentiel SecNumCloud.

6

L’aboutissement du dispositif est réellement tardif par rapport à l’orientation prise par le gouvernement depuis 2021. La gestion du gouvernement sur le sujet de l’article 31 de la loi Sren a d’ailleurs été l’objet de vives critiques à son encontre : à mesure que le débat sur la souveraineté numérique prend de l’ampleur, la mise en application particulièrement longue a été remarquée, pointée du doigt par l’Assemblée nationale et le Sénat.

Dans un rapport, publié en février dernier, sur la sécurisation des marchés publics numériques, les parlementaires avaient notamment relevé que le retard pris dans l’application concrète empêchait la loi Sren de produire pleinement ses effets en matière de sécurisation. Dans un rapport, la Cour des comptes soulignait, dès 2025, le décalage entre les ambitions en matière de souveraineté numérique et l’état factuel des systèmes d’information de l’État.