Une cybersécurité OT souveraine, sous droit français.

La souveraineté numérique, c'est la capacité d'un État, d'une entreprise ou d'un opérateur de garder le contrôle effectif de ses données, de ses systèmes et de leurs juridictions. Concrètement : où sont stockées vos données, qui peut y accéder légalement, qui peut couper le service, et qui peut auditer le code. Une solution souveraine répond aux quatre questions par « vous, ou des entités sous juridiction française ». À l'inverse, des données dans un cloud US, accessibles aux autorités US via le Cloud Act ou FISA 702, avec un kill-switch côté fournisseur et un code fermé, forment une dépendance stratégique.

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act, 2018) permet aux autorités américaines de demander à un fournisseur cloud US l'accès aux données qu'il héberge, où qu'elles se trouvent dans le monde, y compris en Europe. Cette extraterritorialité s'applique à tout éditeur de nationalité américaine, peu importe où le datacenter physique est situé. Pour les industriels manipulant des informations sensibles (recherche, défense, énergie, données patients), c'est un risque juridique réel, identifié par l'ANSSI et par les rapports parlementaires français.

SecNumCloud est une qualification ANSSI pour les services de cloud. Access Gate n'est pas un service de cloud, c'est une appliance déployée sur site, dans votre réseau. L'exigence SecNumCloud ne s'applique donc pas. Ce que demande SecNumCloud (absence de juridiction étrangère, hébergement souverain, contrôle des accès) est satisfait par l'architecture on-premise d'Access Gate. C'est précisément l'argument que l'ANSSI met en avant : si le cloud souverain est trop complexe ou indisponible, l'on-premise est l'alternative de souveraineté la plus simple.

Trois éléments forment le dossier souveraineté standard : (1) statuts juridiques de l'éditeur (entreprise française, soumise au droit français), (2) architecture technique démontrant l'absence de flux sortants vers des juridictions tierces (NetFlow, analyses Wireshark sur la passerelle), et (3) clause contractuelle de non-export et de juridiction française. Pour les marchés défense, ajouter le NDA d'auditabilité du code source si demandé. Access Gate fournit ces trois éléments dans un dossier standardisé, validé en marché public et BITD.

Oui, indirectement mais sérieusement. L'arrêt Schrems II (CJUE, 2020) a invalidé le Privacy Shield et impose aux entreprises européennes de garantir que les données personnelles transférées vers les USA bénéficient d'un niveau de protection équivalent au RGPD. Les outils de cybersécurité collectent massivement des journaux, des données réseau et parfois des identifiants, qui constituent des données personnelles au sens du RGPD. Une solution SaaS US qui exfiltre ces données vers ses datacenters US expose son client à une violation Schrems II. Access Gate, en restant on-premise, supprime totalement ce risque.

Souveraineté numérique : contrôle effectif des données et des juridictions. Autonomie stratégique : capacité de continuer à fonctionner même en cas de rupture des chaînes d'approvisionnement étrangères (sanctions, embargos, tensions géopolitiques). Une solution peut être souveraine sans être autonome (ex : un cloud français qui dépend d'un hyperscaler US pour sa technologie). Access Gate est conçue pour les deux : juridiction française ET capacité de fonctionner indépendamment d'un acteur étranger, hardware compris.