SecNumCloud 3.2 : la conformité comme levier de désengagement, pas comme fardeau administratif

# SecNumCloud 3.2 : la conformité comme levier de désengagement, pas comme fardeau administratif

*En 2026, SecNumCloud 3.2 s'impose comme le référentiel de sécurité cloud incontournable pour les opérateurs traitant des données sensibles de l'État et, par extension, de tout acteur qui contracte avec lui. Nous avons interrogé un DSI d'une ETI industrielle française, en cours de migration vers un hébergement qualifié, sur ce que cette contrainte révèle — et desserre — en matière de dépendance technologique.*

RiffLab Media : SecNumCloud 3.2 est souvent présenté comme une contrainte supplémentaire imposée aux équipes IT. Est-ce ainsi que vous le vivez dans votre organisation ?

Non, et je pense que ce cadrage est une erreur d'analyse. La contrainte existe, elle est réelle, elle mobilise des ressources — je ne vais pas le nier. Mais si on s'arrête là, on rate l'essentiel. SecNumCloud 3.2 est d'abord un révélateur. Il force chaque DSI à cartographier précisément ce qu'il héberge, où, sous quelle juridiction, et avec quelles garanties contractuelles réelles. Et quand on fait cet exercice honnêtement, on découvre souvent une situation qu'on avait préféré ne pas regarder en face : une dépendance massive à des infrastructures soumises à des législations extraterritoriales, notamment américaines. Ce n'est pas la conformité qui crée le problème. Elle le rend visible.

RiffLab Media : Concrètement, quels types de verrouillages techniques ce processus de qualification a-t-il mis en évidence dans votre SI ?

Plusieurs niveaux. Le premier, et le plus évident, c'est le verrouillage par les formats propriétaires et les API non interopérables. Quand vous avez des années de données structurées dans des formats pensés pour rester captifs d'une plateforme américaine, la migration n'est pas qu'une question de coût : c'est une question de faisabilité technique à court terme. Le deuxième niveau, moins visible mais plus pernicieux, c'est le verrouillage contractuel. Les conditions générales des acteurs dominants américains incluent des clauses de juridiction et d'accès aux données qui sont structurellement incompatibles avec SecNumCloud 3.2. Ce n'est pas un détail : c'est le cœur du sujet. Vous ne pouvez pas qualifier un service dont l'opérateur peut être contraint par une juridiction étrangère de communiquer vos données sans vous en informer. Le troisième niveau, c'est le verrouillage par les compétences internes. Nos équipes ont été formées sur des outils américains, nos intégrateurs maîtrisent ces environnements. L'écosystème de compétences disponibles sur le marché européen est encore en construction pour certains segments.

RiffLab Media : SecNumCloud 3.2 introduit des exigences renforcées par rapport à la version précédente, notamment sur la localisation des données et la chaîne de sous-traitance. En quoi cela change-t-il le rapport de force avec les fournisseurs ?

C'est là que ça devient intéressant. La version 3.2 durcit les exigences sur la transparence de la chaîne de sous-traitance. Concrètement, un prestataire qui se qualifie SecNumCloud ne peut plus s'appuyer discrètement sur une infrastructure tierce non qualifiée sans le déclarer et le soumettre à validation. Ce que ça change, c'est qu'on sort d'une relation où le fournisseur peut vous opposer des engagements contractuels flous. La qualification impose une traçabilité. Et cette traçabilité, c'est du pouvoir pour le client. Pas un pouvoir spectaculaire, mais réel : vous savez ce que vous achetez, vous pouvez auditer, vous avez des recours. Comparez ça à la situation standard avec un acteur américain de premier rang, où les conditions contractuelles changent unilatéralement et où l'audit est structurellement impossible. Le rapport de force n'est pas symétrique, mais il se rééquilibre.

RiffLab Media : L'offre européenne qualifiée SecNumCloud 3.2 est-elle suffisamment mature pour répondre aux besoins d'une ETI industrielle comme la vôtre, ou reste-t-on dans une zone de compromis fonctionnel ?

Je vais être honnête : on est dans une zone de compromis, mais elle se rétrécit. Il y a deux ans, la réponse aurait été franchement inconfortable. Aujourd'hui, sur les briques d'infrastructure — calcul, stockage, réseau — l'offre qualifiée ou en cours de qualification couvre l'essentiel des besoins d'une ETI. C'est sur les couches applicatives et les services managés avancés que le différentiel subsiste. Des acteurs comme Scaleway, qui progressent dans leur parcours de qualification, ou des opérateurs plus spécialisés sur des verticales sectorielles, couvrent des périmètres croissants. Là où le compromis reste le plus difficile à accepter, c'est sur les outils de collaboration et de productivité. C'est souvent là que la résistance interne est la plus forte, parce que c'est ce que les collaborateurs voient au quotidien. Mais même sur ce segment, des alternatives crédibles émergent — pas toujours avec la même expérience utilisateur immédiate, il faut le dire clairement.

RiffLab Media : Vous évoquez la résistance interne. Comment gérez-vous politiquement ce sujet au sein de votre organisation, face à des directions métier habituées à leurs outils ?

C'est probablement le défi le plus sous-estimé. La conformité SecNumCloud, on peut la piloter techniquement. Le changement de culture, c'est une autre affaire. Ma position, c'est de ne pas présenter ça comme une restriction, mais comme une question de maîtrise du risque — un langage que les directions métier et les comités de direction comprennent mieux. Quand vous expliquez qu'un outil non qualifié peut exposer des données industrielles sensibles à une injonction judiciaire étrangère, vous parlez de risque compétitiel, pas de conformité administrative. Ça change la conversation. L'autre levier, c'est de montrer que la transition est progressive et accompagnée. On ne coupe pas les outils existants du jour au lendemain. On construit un plan de migration réaliste, workload par workload, en commençant par les périmètres les plus exposés. La crédibilité de la démarche tient à sa cohérence dans le temps, pas à son radicalisme initial.

RiffLab Media : Pour une DSI qui commence ce travail aujourd'hui, quel est selon vous le premier angle mort à corriger avant même d'entrer dans le détail technique de SecNumCloud 3.2 ?

La cartographie contractuelle. La plupart des DSI ont une cartographie technique de leur SI — approximative, souvent, mais elle existe. Beaucoup n'ont pas de cartographie contractuelle et juridictionnelle. Qui peut accéder à vos données, dans quel délai, sous quelle contrainte légale, avec quelle obligation ou non de vous en informer ? Ce périmètre est rarement documenté de façon consolidée. Or c'est précisément ce que SecNumCloud 3.2 vous demande de maîtriser. Commencer par là, c'est faire un travail utile indépendamment de la qualification — et c'est souvent ce qui déclenche une prise de conscience suffisamment forte pour que la direction générale s'implique réellement dans la démarche. La conformité réglementaire est un moteur, mais la conscience du risque réel est un carburant bien plus puissant.

*Cette interview a été conduite avec un DSI d'ETI industrielle française impliqué dans un processus de migration vers un hébergement qualifié SecNumCloud. Les propos ont été synthétisés et reformulés pour des raisons de confidentialité.*