France : la loi SREN renforce la position des acteurs de Cloud souverains

En France, l’Assemblée nationale a définitivement adopté, le 10 avril 2024, la loi visant à sécuriser et réguler l’espace numérique (SREN). Ce texte comporte plusieurs mesures visant à réduire l’influence des trois géants américains du cloud, AWS, Google et Microsoft Azure. Anticipant l’entrée en vigueur du Data Act européen en 2025, la loi SREN encadre ainsi les frais de sortie des fournisseurs de cloud, et leur impose une plus grande interopérabilité.

Le texte plafonne également à un an les crédits cloud, pour éviter de lier indéfiniment une entreprise à un fournisseur lui ayant offert des avances trop généreuses. La nouvelle législation oblige aussi les gestionnaires de cloud à préciser les juridictions qui s’appliquent sur leurs infrastructures, en particulier les lois extraterritoriales comme le Cloud Act américain.

La loi SREN impose enfin des mesures de sécurité supplémentaires pour l’hébergement des 

services de l’État gérant des données sensibles. Dans les faits, ces services devront opter pour un fournisseur de cloud souverain respectant le référentiel SecNumCloud.

Ce dernier point pourrait toutefois se heurter aux négociations en cours sur l’EUCS, le schéma de certification de cybersécurité du cloud dans l’Union européenne. Les législateurs européens ont en effet récemment supprimé le critère de souveraineté pour le plus haut niveau de ce référentiel, nécessaire au traitement des données sensibles.

Outre ces dispositions sur le cloud, la loi SREN comporte de nombreuses autres mesures, dont plusieurs ont fait l’objet de débats houleux. Les principales sont : 

• la mise en place d’un « filtre anti-arnaque », pour informer les internautes d’un site potentiellement illicite, et, si besoin, le bloquer auprès des fournisseurs d’accès ;
• le déploiement d’une identité numérique accessible à tous les Français dès 2027 ;
• le pouvoir, donné à l’Arcom, d’imposer aux sites pornographiques une méthode de vérification d’âge efficace.