Recul en matière de souveraineté numérique

{"question": {"@xmlns": "http://schemas.assemblee-nationale.fr/referentiel", "@xmlns:xsi": "http://www.w3.org/2001/XMLSchema-instance", "@xsi:type": "QuestionEcrite_Type", "uid": "QANR5L17QE14906", "identifiant": {"numero": "14906", "regime": "5eme Republique", "legislature": "17"}, "type": "QE", "indexationAN": {"rubrique": "numérique", "teteAnalyse": null, "analyses": {"analyse": "Recul en matière de souveraineté numérique"}}, "auteur": {"identite": {"acteurRef": "PA794570", "mandatRef": "PM843137"}, "groupe": {"organeRef": "PO845401", "abrege": "RN", "developpe": "Rassemblement National"}}, "minInt": {"organeRef": "PO873685", "abrege": "Économie, finances, souveraineté industrielle, énergétique et numérique", "developpe": "Ministère de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique"}, "minAttribs": {"minAttrib": [{"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-05-05", "pageJO": null, "numJO": null, "urlLegifrance": null, "referenceNOR": null}, "denomination": {"organeRef": "PO873685", "abrege": "Économie, finances, souveraineté industrielle, énergétique et numérique", "developpe": "Ministère de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique"}}, {"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-05-12", "pageJO": null, "numJO": null, "urlLegifrance": null, "referenceNOR": null}, "denomination": {"organeRef": "PO873718", "abrege": "Intelligence artificielle et numérique", "developpe": "Ministère délégué auprès du ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargé de l'intelligence artificielle et du numérique"}}]}, "textesQuestion": {"texteQuestion": {"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-05-05", "pageJO": "3867", "numJO": "20260018", "urlLegifrance": null, "referenceNOR": null}, "texte": "M. Alexandre Sabatou attire l'attention de M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur le recul majeur enregistré au niveau européen en matière de souveraineté numérique et de protection des données sensibles. La Commission européenne renonce à intégrer des critères juridiques de souveraineté, notamment l'exigence d'immunité vis-à-vis de lois extraterritoriales telles que le <em>Cloud Act</em> dans le schéma européen de certification des services cloud (EUCS), y compris pour le niveau de certification le plus élevé, au profit de seuls critères techniques et opérationnels de cybersécurité. Ce renoncement ouvre la voie à une situation dans laquelle des prestataires soumis à des juridictions non européennes pourraient obtenir une certification européenne présentée comme « maximale », tout en restant exposés à des obligations d'accès imposées par des autorités étrangères ; il fragilise la doctrine française de protection des données les plus sensibles et risque de transformer la certification européenne en label de conformité sans garantie effective de souveraineté, notamment dans la commande publique et pour des secteurs critiques (sécurité intérieure, défense, santé, justice, continuité de l'État). C'est pourquoi il lui demande de préciser quelles garanties le Gouvernement entend maintenir, en particulier <em>via</em> <em>SecNumCloud</em> et la commande publique, pour empêcher l'hébergement de données sensibles par des prestataires soumis à des lois extraterritoriales."}}, "textesReponse": {"texteReponse": {"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-08-04", "pageJO": "7384", "numJO": "20260031", "urlLegifrance": null, "referenceNOR": null}, "texte": "Le développement d'un écosystème cloud européen compétitif, innovant et digne de confiance constitue une priorité de la France. Le Gouvernement défend cette position avec constance dans l'ensemble des négociations en cours au niveau européen. La Commission européenne a publié en janvier 2026 un projet de règlement visant à réviser le règlement sur la Cybersécurité (dit « Cybersecurity Act » - CSA 2). Ce texte porte, entre autres, sur la refonte cadre européen de certification de cybersécurité, dont découlera le schéma européen de certification des services cloud (EUCS) et introduit un dispositif de sécurisation de la chaîne d'approvisionnement des technologies de l'information et de la communication. Ce texte est en cours de négociation et est appelé à évoluer, d'autant que des ajustements demeurent à ce stade nécessaires pour assurer une couverture effective de l'ensemble des risques cyber, y compris ceux liés à l'application de législations extraterritoriales non-européennes. Cette problématique est d'ailleurs partagée par un nombre croissant d'États membres, au premier rang desquels l'Allemagne qui s'est engagée aux côtés de la France, lors du Sommet sur la Souveraineté numérique de novembre 2025, à promouvoir un cadre européen à même de protéger les données les plus sensibles contre ces risques. Cette préoccupation a également trouvé un écho auprès de la Commission européenne, comme en témoigne la publication, le 3 juin 2026, du règlement sur le Développement du Cloud et de l'Intelligence artificielle (dit « Cloud and AI Development Act » - CADA). Ce texte, qui s'inscrit dans le cadre du « Digital Sovereignty Package », vise à renforcer l'autonomie stratégique de l'Union européenne en établissant un cadre européen de souveraineté pour les services de cloud. Il instaure ainsi quatre niveaux de souveraineté (nommés « level assurance ») pour les services cloud et impose aux Etats membres de réaliser des évaluations de risques pour déterminer quelles activités du secteur public doivent recourir à des services de cloud souverains, en tenant notamment compte de la sensibilité et de la criticité des données, des risques liés aux législations extraterritoriales non-européennes et à la disruption de service. Le cadre proposé est encourageant dans la mesure où il présente des similitudes avec la politique nationale « Cloud de confiance » mise en &#339;uvre. Il s'inscrit, en effet, dans la continuité de la doctrine « Cloud au centre » et de l'article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (dite loi SREN), qui impose à l'Etat, ses opérateurs et à certains groupements d'intérêt public de recourir à des solutions en capacité d'assurer une protection adéquate des données d'une sensibilité particulière hébergées et traitées, notamment contre l'application de législations extraterritoriales non-européennes. La France restera néanmoins attentive à l'évolution de ces travaux afin de s'assurer que le cadre développé soit ne soit pas en deçà des dispositifs mis en place au niveau national, notamment le référentiel SecNumCloud. En tout état de cause, le Gouvernement poursuivra son engagement dans les négociations européennes, afin de garantir une articulation cohérente entre les différentes initiatives en cours et de contribuer à l'émergence d'un cadre harmonisé, fiable et à même d'assurer la protection des données les plus sensibles contre tout risque, notamment liés à l'application de législations extraterritoriales non-européennes."}}, "cloture": {"codeCloture": "REP_PUB", "libelleCloture": "Réponse publiée", "dateCloture": "2026-08-04", "infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-08-04", "pageJO": "7384", "numJO": "20260031", "urlLegifrance": null, "referenceNOR": null}}, "signalement": null, "renouvellements": null}}