Cette fois, le rappel est assorti d'une menace : les achats de services informatiques qui ne respectent pas les préconisations de la direction interministérielle du numérique (Dinum) feront l'objet d'un refus en bonne et due forme de la part des agents de Bercy chargés du contrôle budgétaire et comptable, sauf en cas de dérogation. Tel est en tout cas l'ultimatum, signé par trois ministres, adressé le 22 avril dernier par Bercy à l'ensemble des ministères et secrétariats d’État de l'exécutif.

Protéger les données sensibles des risques d'accès par des acteurs étrangers

Ce courrier, révélé par Politico et reproduit par Contexte le 2 mai dernier, rappelle que les services de l'État sont tenus de respecter les principes de la loi SREN de mai 2024, dont l'article 31 prévoit que les données dites sensibles soient protégées contre toute possibilité d'accès non autorisé par un acteur étranger dès lors qu'elles sont confiées à un prestataire privé.

« Au sein de leurs administrations et des organismes placés sur leurs tutelles (...) les ministères doivent impérativement s'assurer que les hébergements et que les applications utilisées pour le traitement des données sensibles (...) et en particulier les solutions collaboratives, bureautiques et de messageries ainsi que les solutions d'intelligence artificielle, sont conformes à ces exigences de protection contre tout accès non autorisé par des autorités publiques d’États tiers ».

Bercy, qui cible ici très directement les risques posés par les lois extraterritoriales américaines, précise en suivant les exigences en question. Les destinataires sont ainsi invités à choisir entre les offres cloud portées directement par ses services et ceux de l'Intérieur ou, s'ils préfèrent faire appel au privé, les services d'hébergement labellisés SecNumCloud par l’ANSSI.

« S'agissant des suites bureautiques, nous attirons votre attention sur la disponibilité d'outils collaboratifs et sécurisés proposés par la direction interministérielle du numérique – La Suite numérique, qui sont pleinement souverains et indépendants ».

Bercy rappelle par ailleurs qu'une circulaire datée du 31 mai 2023 formalisait déjà cette exigence, avant même la loi SREN. Il restait cependant à faire valider le décret d'application de l'article 31 de cette dernière auprès de la Commission européenne, à qui un projet de décret a été notifié le 24 janvier dernier. D'où ce délai de prise en compte, désormais fixé au 31 mai 2025.

Un rappel opportun

Le calendrier de ce rappel ne doit évidemment rien au hasard : nous avons révélé mi-mars que l’Éducation nationale avait passé un marché public portant sur des solutions et services Microsoft à hauteur d'au moins 74 millions d'euros. Le lendemain, La Lettre dévoilait que la direction de l’École polytechnique préparait une migration express de ses outils de messagerie vers Microsoft 365.

Ces deux annonces concomitantes (bien que sans lien direct) ont suscité des réactions virulentes, et plusieurs questions écrites adressées au Gouvernement, pointant le décalage entre les choix d'équipement réalisés et la doctrine impulsée par la Dinum.

Outre la portée des lois extraterritoriales telles que le Cloud Act ou le FISA, la polémique prend place dans un contexte de guerre commerciale entre l'Europe et les États-Unis, qui poussent aussi bien Emmanuel Macron que les acteurs du numérique français à défendre les logiques de souveraineté et de préférence nationale ou continentale.

L'impact de la commande publique en question

La piqure de rappel envoyée par les ministres en charge de l'action et des finances publiques s'imposait d'ailleurs vis-à-vis de leur propre tutelle  : c'est en effet précisément le 22 avril qu'a été signé et publié le premier contrat stratégique de la filière « logiciels et solutions numériques de confiance », sous l'égide de Bercy.

Le sujet mobilise également depuis début mars une commission d'enquête sénatoriale chargée d'étudier la façon dont la commande publique peut être mobilisée pour assurer un effet d'entraînement sur l'économie française. Après avoir auditionné des acteurs du logiciel le 29 avril dernier, elle devrait selon la Lettre recevoir courant mai la directrice générale de l’École Polytechnique, mais aussi la ministre déléguée au Numérique, Clara Chappaz, qui a donc tout intérêt à montrer sa proactivité sur la question.