Audition de Vincent Strubel, directeur général de l’ANSSI

Bonjour à toutes et tous chers collègues, nous reprenons aujourd'hui nos travaux en approfondissant l'étude des enjeux de souveraineté numérique dans la commande publique. Un sujet que nous portons avec beaucoup de détermination, de conviction avec l'ensemble de nos collègues et l'initiative de notre rapporteur. La plupart des témoignages que nous avons recueillis sont convergants.

Les pratiques actuelles des acheteurs publics au premier chef, l'État, mais également les collectivités peut-être un petit peu moins sensibilisé ou encore les hôpitaux ne sont pas à la hauteur des enjeux ou tout le moins pleines de contradiction. C'est tout particulièrement vrai, s'agissant de la protection des données publiques hébergées en nuage chez des opérateurs parfois soumis à des législations extraterritoriales. Et je tiens ici à dire au nom de mes collègues que quand nous expliquons que ces pratiques en l'occurrence ne nous semble pas adapté, c'est lié à plein de conditions préalables évidemment qui ne sont pas remplies notamment en terme de moyens d'accompagnement de ces différents acteurs.

Au sein de l'État, une structure est chargée de protéger les systèmes d'information publique contre les agressions extérieures et de certifier les solutions techniques développé par des éditeurs et destiné à assurer cette protection. Il s'agit de l'Agence nationale de la sécurité des systèmes d'information LANY qui compte près de 660 agents pour faire face à une menace cyber qui s'aggrave. L'ANC est pour ce qui intéresse tout particulièrement notre commission d'enquête l'organisme qui a défini la certification la qualification Secnum Cloud dont l'objet est d'attester du caractère souverain des offres de cloud proposées par des opérateurs volontaires.

Pour échanger avec nous à ce sujet, nous recevons monsieur Vincent Strubel, directeur général de l'ANC. Je vous informe que cette audition sera diffusée en direct sur le site du Sénat et fera l'objet d'un compte-rendu publié. Je vous rappelle également que un faux témoignage devant notre commission d'enquête sera passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal, soit 75000 € d'amende et jusqu'à 5 ans d'emprisonnement, voire 7 ans en fonction des circonstances.

Je vous invite donc à prêter serment de dire toute la vérité, rien que la vérité. Veuillez s'il vous plaît allumer votre micro, lever la main droite et dire "Je le jure." Je le jure.

Je vous remercie. Notre commission d'enquête cherche à comprendre comment la commande publique peut servir de levier pour faire progresser la souveraineté numérique européenne et pourquoi les acheteurs publics français semblent encore très frileux à cet égard. Comment le travail de sensibilisation que réalise l'ANSY sur le sujet est-il accueilli par vos différents interlocuteurs ?

Quelles sont les principales idées reçues que vous devez combattre avec les agents de LAN ? L'application des législations extraterritoriales notamment américaines sur les hébergeurs de données qui sont les prestataires de personnes publiqu nous inquiète tout particulièrement. Quel regard portez-vous sur cette menace ?

La qualification Secnum Cloud est-elle une parade infaillible ? Est-elle surtout adaptée à toutes les prestations d'hébergement attendues par les personnes publiques ? Quelles seraient les autres façons de développer des offres de confiance ?

Et là aussi, en toute transparence, nous avons auditionné votre prédécesseur, monsieur Guillaume Poup hier, avec qui nous avons pu commencer à échanger sur ces enjeux. Par ailleurs, la transposition prochaine de la directive Nice 2 va faire rentrer environ 1500 collectivités territoriales dans son champ, en les qualifiant, je cite, d'entités essentielles à qui s'imposeront des obligations particulières de sécurité de leur système d'information. Elles feront nécessairement appel à des prestataires extérieurs dans le cadre de marché public pour les assistités.

Avez-vous envisagé des mesures ou au moins des actions de sensibilisation pour que les grands acteurs américains du Conseil digital n'en profitent pas pour asseoir leur position dominante ? Enfin, nous avons été interloqués, c'est le moins que l'on puisse dire, par la situation de la plateforme des données de santé, le fameux Els Data Hub qui est hébergé pour l'instant chez Microsoft Azure en tout état de cause depuis sa création. Comment l'any a-t-elle été associé à ces travaux ?

Et comment l'est-elle aujourd'hui ? En particulier les travaux visant à la faire migrer vers un hébergement souverain en application de l'article 31 de la loi du 21 mai 2024 dite loi Senene. Je vous laisse la parole pour un propeliminaire d'une dizaine de minutes.

Ensuite, monsieur le rapporteur vous interrogera tout comme les membres de notre commission d'enquête que je remercie une nouvelle fois pour leur présence. Merci monsieur le président, monsieur le rapporteur, madame et monsieur le sénateur messieurs. Euh alors vous l'avez rappelé, vous avez auditionné mon prédécesseur et et ancien chef Guillaume Poupar.

Donc il y aura peut-être quelques quelques redites mais je m'attends pas à ce qu'il y a des des objets des oppositions. Je pense qu'on est assez naturellement aligné sur beaucoup de ces sujets-là. Je je m'efforcerai dans ce propeliminaire sans sans trop empiéter sur le temps de alors peut-être de rappeler très rapidement l'émission de l'ANC, mais je pense que vous les avez bien en tête. de de préciser un peu de manière succinte les différentes manières dont nous interagissons avec la commande publique parce que elles sont multiples.

J'ai bien noté que je devais faire un focus particulier sur les les questions de cloud et puis je j'essaierai de parler en passant également de de Nice 2 et de de d'autres manières de de de promouvoir une offre de confiance dans le domaine de la cybersécurité. Donc sur le rôle de l'ANC, vous l'avez rappelé, euh nous sommes une un service à compétence nationale rattaché au Premier ministre euh avec cette particularité d'être une agence euh une administration à vrai dire euh qui s'occupe seulement de cybersécurité, là où d'autres ont mixé un peu les les rôles dans dans chez nos partenaires, qui s'occupent, j'ai coutume de le dire, de toute la cybersécurité. C'est-à-dire que nous nous avons de multiples casquettes en tant qu'expert, en tant que porteur de politique publique, en tant que opérateur au sens propre du terme, y compris dans la dans le rôle de cyberpompier qui est celui pour lequel nous sommes les plus connus, régulateur également.

Euh et de manière générale, j'aime à nous nous présenter comme le le chef d'orchestre quelque part de d'une action collective de l'État, du secteur privé, des collectivités de plus en plus dans le domaine de la cybersécurité. Tout cela naturellement sous l'autorité du premier ministre. Nos missions en en quelques mots euh elles sont triples.

Défendre les systèmes d'information d'intérêt pour la nation, c'est-à-dire euh anticiper les attaques, les détecter et mettre fin et remédier, voir dans une certaine mesure avec la collaboration d'autres services pouvoir les attribuer. Sécuriser les systèmes d'information de l'État et des opérateurs d'importance vitale avec un pouvoir d'injonction et un rôle de régulateur qui nous est conféré par la loi. Et puis une mission au contours plus flou mais tout aussi importante qui est de promouvoir plus généralement la cybersécurité auprès d'acteurs qui ne sont pas légitimement régulés sur lesquels nous avons pas d'autorité mais pour lesquels nous pouvons faire en sorte qu'il y ait l'offre de formation les préconisation l'offre l'offre de de solutions industrielles répondant à leurs besoins comme vous pouvez le faire au demeurant avec les parlementaires.

Par exemple, au début de notre mandat, nous avons eu le droit justement à un certain nombre d'actions de sensibilisation. Il faut ici le dire, la commission d'enquête est là pour rappeler également les actions positives qui peuvent être conduites par les uns et par les autres. Il est évident que vous êtes des cibles pour pour une menace qui euh qui pour le dire très très succintement là encore cumule plusieurs composantes.

Notre cœur de métier historique c'est de répondre à des menaces étatiques. donc des États qui nous espionnent, qui pour certains maintenant euh mènent des actions de déstabilisation voire de sabotage, mais aussi et c'est une composante qui s'est renforcée ces dernières années face à des acteurs du crime organisé alors qui ont ou pas des liens avec des États mais qui poursuivent une une logique principalement lucrative he qui cherchent à faire de l'argent en volant des données, en paralysant des systèmes d'information et puis également une composante dite activiste euh qu' est plus difficile à définir puisque c'est finalement des acteurs qui mènent des cyberattaques au nom de causes diverses qui poursuivent finalement un un objectif fondamental de sidération, de provoquer la sidération, de marquer les esprits au service de différentes causes dont ils se revendiquent et parfois surtout de leur image personnelle. Euh je je j'en j'en diraiis pas plus sur le ce ce tour d'horizon de l'ANC.

Notre intervention dans le champ de la commande publique qui concerne plus particulièrement cette commission. Euh je commencerai par dire que nous n'avons pas sauf cas particulier de pouvoir de contrainte. Nous avons un rôle fondamental de conseil euh dans différentes dimensions avec un cœur de métier historique qui est celui de l'analyse et de l'appréciation des risques.

Donc nous sommes auprès d'entités que nous accompagnons qui peuvent être des administrations, des collectivités, des acteurs du secteur privé, notamment des opérateurs d'importance vitale pour les aider à identifier les risques afférents à l'usage du numérique dans tel ou tel cas d'usage, à les identifier, à leser, bah à les endosser. Donc la la le rôle de l'ANC dans ces cas-là euh est un rôle de conseil. Le fait d'accepter ou non des risques euh de prendre des mesures pour y faire face repose infiné sur la responsabilité des entités que nous accompagnons.

Et il ne saurait en être autrement hein parce qu'il s'agit évidemment de concilier ça avec d'autres impératifs budgétaires de délis de performance. Euh nous accompagnons également ces entités dans la conception de leur système d'information en les appuyant dans des choix de solution, d'architecture, là encore sans les responsabiliser, sans imposer des choix, mais en étant euh force de conseil, voire d'instruction de de questions plus spécifiques. Euh cet accompagnement, il peut-être individualisé. nous accompagnons des grands projets de l'État euh ou des opérateurs d'importance vitale.

Et puis euh il a aussi une dimension systémique par la publication d'un certain nombre de guides de recommandations euh qui fixe les bons les bons principes à déployer dans le le choix d'architecture d'un système d'information par exemple. Euh je le précise en passant, parmi les les guides que nous publions, nous en avons élaboré un certain nombre à destination des acheteurs publics, plus spécifiquement pour les accompagner dans euh la définition d'exigences de cybersécurité, notamment un guide que nous avons euh euh élaboré avec la direction des achats de l'État en 2019 pour fixer des clauses types de cybersécurité à inclure dans des dans des marchés publics. Euh je le précise à cet endroit-là, j'aurais pu le faire en en propos au tout début de mon proposinaire.

Euh tout ça à des fins de cybersécurité. Euh vous avez beaucoup parlé de souveraineté numérique. Euh les deux les deux notions sont naturellement assez convergente mais il y a pas de recouvrement strict et la mission de l'ANC est au nom de la de la cybersécurité donc la liste contre des cyberattaques et des intrusions euh potentielles dans les systèmes d'information.

Euh je je range dans ce cette catégorie de de rôle de conseil aussi la collaboration plus générale que nous avons depuis de nombreuses années qui ne fait que s'intensifier et qui a vocation à s'intensifier avec la DINUM pour fixer les grands cadres et les grandes orientations de du numérique de l'État au sens large à travers la directive la circulaire Cloud au centre dans ces différentes incarnations nous avons été associés dès le début dès sa jeunèse dans une une salle au 58 rue de Varen un soir tard où on a posé les premiers principes de ces choses-là puis dans son son c'est ses c'est raté ses sa précision ses précisions successives euh dans la stratégie du numérique de l'État qui est qui est coaborée évidemment portée par la DINUM et à laquelle l'ANC est étroitement associé pour essayer de voilà de fixer des grandes orientations qui réflètent aussi les enjeux de de cybersécurité. Au-delà de ce rôle de conseil, nous avons un rôle d'éclairage des choix pour identifier les solutions de qualité, de confiance, celle que nous recommandons pour certains cas d'usage, recommandons à l'État ou aux entreprises avec ce que nous appelons de manière générale les visas de sécurité qui recouvrent un certain nombre de labels qu'on appelle de certification, de qualification, je rentrerai pas dans ces dans ces détails là qui couvrent à la fois des produits au sens d'équipement matériel, un parfeu matériel, des logiciels mais également des services, des services d'audit, des services de détection par exemple des services de cloud. Et donc la la qualification Secum Cloud est une de ces un de ces visas de sécurité définis spécifiquement sur sur les les prestations de cloud.

Euh je précise que ces cadres de certification de de qualification, sauf cas particulier ne constitue pas des obligations. Déjà, il relèvent d'une action volontaire des développeurs ou des prestataires de services qui choisissent de se soumettre à une évaluation exigeante et à leur frais avec un risque d'échec qui est qui est significatif, hein, parce que je pense que et c'est un gage de qualité de ces ces démarches là que régulièrement il y a des échecs de qualification parce que un produit n'a pas les bonnes propriétés de sécurité qu'on les met en défaut parce qu'un prestataire n'est pas capable de démontrer la compétence ou les exigences de confiance qu'on lui qu'on souhaite garantir. Il y a pas d'obligation non plus, sauf cas particulier, dans le choix de recouvrir à une solution couverte par un visa de sécurité. c'est le choix des acheteurs.

C'est quelque chose que nous recommandons. Et là encore autant à l'État, au services de l'État que aux entreprises euh que nous imposons dans quelques rares cas qui sont fixés par la loi. Pour les opérateurs d'importance vitale, ils ont certaines obligations dans le recours de prestation de détection par exemple ou d'audit qui doivent être requalifiés par l'ANC pour les administrations en matière de signature électronique dans le domaine de l'identité numérique qui relève d'un cadre européen dans la dans le domaine du cloud demain pour une certaine définition de demain avec la loi seraine qui va donner force de loi et étendre le champ de ce qui était aujourd'hui porté par une circulaire la circulaire cloudre.

Je précise là encore au risque de de le marteler que la finalité de ces ces qualifications, de ces visas de sécurité, c'est la la cybersécurité et pas la souveraineté en tant que telle. Il y a pas de il y a pas de de dispositif réservé à des fournisseurs français ou européens, sauf bonne raison du point de vue de la cybersécurité. C'est le cas de la de la qualification cloud, j'y reviendrai.

Mais de manière générale, il n'y a pas d'obligation de cette nature là. La réalité des faites est quand même que le catalogue de solutions qualifié par l'ANC est principalement français ou européen parce que c'est des dispositifs qui intéressent particulièrement les les prestataires européens ou les fournisseurs de solutions européens. Euh simplement là-dessus, quand vous dites principalement, c'est un pourcentage que vous pouvez évaluer.

Je alors je je me risquerait pas vous donner une évaluation précise là parce que j'ai pas un chiffre précis et on pourra vous dire ça mais je voilà je c'est très majoritaire. Je euh ne le prenez pas pour argent comptant, mais je pense que 80 à 90 % des des solutions un peu variables selon les domaines sont sont plutôt des solutions française. Euh autre remarque sur ces ces ces visas de sécurité, c'est que généralement nous portons un niveau d'exigence élevé.

C'est c'est là qui est notre plusvalue, c'est de définir les niveaux d'exigence élevés, ceux qui répondent en particulier à des attaquants de niveau étatique. Et donc, c'est là-dessus que nous avons concentré notre espartisme plus particulièrement. Dernier rôle en lien avec la la commande publique, c'est celle de de faire émerger des solutions.

Donc, nous avons une action naturellement tournée vers l'écosystème national de fournisseur privés de solutions de cybersécurité en veillant à bien séparer les rôles he parce que on ne peut pas être à la fois jugé parti. Donc les équipes qui font de la qui délivrent des visas de sécurité ne sont pas les mêmes que celles qui font le lien avec l'écosystème et le le développement la politique industrielle au sens large. Nous intervenons par nature et ça c'est aussi une garantie de de d'objectivité ou de non mélange des genres en partenariat avec les acteurs naturels de la politique industrielle qui s'agisse du SGPI du secrétaire secrétariat général pour l'investissement dans le cadre de France 2030 sur lequel nous avons orienté un certain nombre de de de guichets ou de d'appels à projet pour développer des solutions d'avenir de la direction générale des entreprises en lien avec les comités stratégiques de filière des industries de sécurité du numérique de confiance avec le les campus cyber qui sont un objet un peu nouveau dans le paysage mais qui sont un lieu de rencontre naturel entre des offreurs et des bénéficiaires à travers aussi des dispositifs de soutien spécifique au visas de sécurité.

Nous avons par exemple avec la DGE et BPI France pour la 2e année consécutive un dispositif de soutien à CCNUM Cloud qui permet de soutenir des PME, de les subventionner dans des démarches permettant de les amener vers la qualification SEUM Cloud et qui a rencontré un un franc succès puisque je crois qu'on a eu 21 labellis enfin 21 bénéficiaires en en l'an dernier 27 au 2e 2e tour cette année. [Musique] Nous avons aussi alors des discussions qui sont toujours assez prudentes mais mais que nous nous efforçons de mener avec les fonds d'investissement parce que ça fait aussi partie des acteurs avec lesquels il faut se coordonner, avec lesquels on peut passer des messages sans sans travestir notre rôle de service public pour là encore l'investissement dans des solutions d'avenir dans le domaine cyber. Et puis évidemment, nous travaillons aussi dans la lignée de ces de cette cette politique de de développement des offres de confiance euh avec les acheteurs, avec la direction des achats de l'État, avec l'UGAP pour veiller au bon référencement autant que possible dans les différents catalogues de ces solutions, en particulier celles qui disposent d'un visa de sécurité, mais plus généralement des solutions françaises.

Euh je je fais une petite parenthèse sur sur Nice 2 puisque vous avez soulevé la la question. Donc Nice 2 va créer un appel d'air et un et un un fort besoin de de cybersécurité euh qui doit naturellement bénéficier en priorité aux acteurs nationaux et européens. pas forcément par la contrainte parce que euh nous avons suivi le principe bon je vais pas faire un un exposé complet sur Nice 2 mais de ne pas surtransposer, c'est pas ce que prévoit la directive mais euh nous cultivons et nous nous efforçons de saisir autant que possible l'opportunité qu'elle va représenter notamment en travaillant avec l'écosystème des offreurs de solutions, développeurs de produits, prestataires de services nationaux pour les travailler avec eux à ce que les offres répondent aux besoins et également en travaillant avec les acheteurs parce que je pense que nous avons un travail engagé pour définir des clauses spécifiques liées à Nice 2 qui soient applicables par des acheteurs publics notamment dans le domaine des collectivités qui seront une part significative du champ d'application de cette cette directive.

Quelques mots sur le cloud plus spécifiquement puisque je sais que c'est au au cœur de vos préoccupations. Alors déjà pour vous dire que depuis l'émergence du cloud, il y a une conviction euh au sein de l'ANC qui n'a pas changé sur le fait qu'il y a des besoins spécifiques en ce qui concerne le recours au cloud pour des haut niveaux de sécurité. que certains cas d'usage ne peuvent aller dans le cloud que si on apporte des garanties élevées de cybersécurité qui ne sont pas celles offertes par le les prestataires sur étagères, les leaders du marché eux-mêmes euh mais qui portent des exigences spécifiques pour des besoins bien spécifiques.

C'est ça qui a conduit à la définition de Secnum Cloud. Alors je sais que Guillaume Poupard vous en a vous en a parlé. Je je je vais faire peut-être quelques redites mais je alors au-delà d'en être désormais dépositaire, je pense que je peux être aussi complice de l'élaboration de CNUM Cloud puisque dans mes fonctions précédentes à LANC, j'étais en charge des équipes qui ont élaboré ce référentiel et qui ont travaillé toute la sa déclinaison dans les dans les la circulaire cloud centre notamment.

Donc je voilà je je une forme de de d'alignement et de de poursuite naturelle sur cette ce ces exigences. C'est KNUM Cloud, c'est pour nous le référentiel qui fixe un niveau de d'exigence de cybersécurité élevé sur tous les angles. C'est quelque chose qui porte des exigences fortes en matière technique et je le précise, les exigences techniques de de CNUM Cloud qui représentent la majorité de des exigences du référentiel ne sont pas satisfaites même par les leaders du marché.

C'est quand même des exigences de sécurité renforcées pour des besoins bien spécifiques, des exigences en matière organisationnelle qui qui est responsable de quoi au sein du prestataire en terme de relation contractuelle avec le client pour bien préciser les rôles de chacun et puis et c'est souvent ça qu'on retient dans ces clum cloud mais au final ça ne représente qu'une page dans les 55 pages du référentiel sans même parler de toutes les annexes et les documents auxquels il renvoie une exigence sur le droit applicable aux données qui doit n'être que le le droit de l'Union européenne partant du principe que Ça exclut, ça doit exclure le droit extraterritorial qui n'est pas celui de l'Union européenne qui permettrait l'accès à des acteurs étrangers non européens aux données. Derrière tout ça, il y a une conviction que tout ça forme un tout cohérent et indissociable, qu'on ne peut pas en terme de cybersécurité, je le précise, distinguer ou séparer les exigences techniques des exigences de droits applicables ou des exigences organisationnelles. avoir des exigences de niveau technique de de nature technique très élevé mais sans contraindre le droit applicable aux données, ça n'aurait aucun sens dans ces cas d'usage là où on doit résister y compris à des à des acteurs étatiques.

Euh ça n'aurait pas plus de sens que de mettre une porte blindée sur une maison et de laisser les fenêtres ouvertes. Je le précise et ça renvoie à la les peut-être à la question que vous posez sur les idées reçues que dans notre analyse, il n'y a pas de contre-mesure technique permettant de protéger du droit apporté extraterritorial. Le chiffrement, la localisation des données et l'anonymisation, ça complique peut-être les choses mais ça ne rend pas impossible la captation des données en vertu du droit applicable.

Il y a pas non plus de de contesure de nature contractuelle. euh un prestataire américain, même si évidemment on peut se poser la même question euh pour des prestataires chinois et puis pour n'importe quelle autre nationalité non non non européenne. Un prestataire américain qui vous promettrait euh de euh ne jamais donner vos données à une autorité même judiciaire américaine ou du service de renseignement même si la loi le permet.

En substance, il vous promet d'aller en prison pour vous. Euh je pars du principe qu'on peut pas le croire. Il n'aurait pas intérêt à le faire.

Il ne va pas le faire. Euh simplement sur ce point-là parce qu'après je souhaiterais euh pouvoir passer la parole à monsieur le rapporteur et et aux collègues membres de la commission d'enquête. On on est bien d'accord que sur l'immunité aux législations extraterritoriales aujourd'hui à la condition d'en avoir la volonté politique techniquement, juridiquement, quand je dis techniquement, c'est pas sur les aspects de sécurité que vous avez rappelé tout à l'heure, mais nous pouvons bien garantir dans l'écriture des documents des marchés le fait que nous exigeons cette immunité.

C'est tout à fait aujourd'hui possible. les différents témoignages que nous avons pu recueillir le le on attestait en tout cas je alors je sais pas si ça répond à votre question mais de la manière dont c'est écrit dans le référentiel Secnum Cloud et évalué dans les qualifications Secum Cloud nous pensons que nous offrons un bon niveau de garantie de non non non non exposition à du droit extraterritorial. C'est des critères qui ensuite se déclinent en terme de d'implantation, de capitalisation et de choses comme ça, même si voilà.

Mais je pense que dans les questions, il y aura le sujet de la dissociation entre Secnum Clade. Mais un sujet pour nous absolument prioritaire, c'est cette immunité aux législations extraterritoriales qui devrait avoir vocation à être de notre point de vue généralisé. Ça ça répond peut-être compléter parce que pour être un peu plus direct, vous venez de dire clairement il y a quelques instants qu'on ne peut pas garantir h à une société étrangère qu'elle soit chinois amène de ne pas pouvoir redonner les données à leur pays s'il y a une demande.

Donc il y a aucune garantie de sécurité propre sur les données qui sont mises dans le clot parce que si c'est un hébergeur étranger soumis à une loi exatoriale, il est obligé de donner ça c'est pas garanti dans le SEUM Cloud. C'est ça que je veux savoir. Alors si c'est Num Cloud garanti contre la captation par le droit extraterritorial.

Il garantit et c'est une exigence forte du référentiel que les données qui sont mises dans un cloud secum cloud ne sont soumises qu'au droits de l'Union européenne à l'exclusion de tout autre droit. Mais vous avez rajouté que vous seriez surpris qu'un acteur étranger aille en prison pour ne pas avoir donné les données à son pays qui le demande. J'ai j'ai dit que ça amène dans Secnum Cloud à des exigences qui sont celles qui souvent sont critiqué par de nombreux acteurs en tout cas non européens qui consiste à dire ne peut être qualifiéum cloud qu'un prestataire européen pour une certaine déficition d'Européens qui se retrouve dans le référentiel qui se traduit en terme de capitalisation et et la conviction profonde que il y a pas d'autres manières de se prémunir en l'état des technologies de d'une obligation d'accès qui serait fondé sur le droit extraterritorial des États-Unis, de la Chine, de n'importe quel autre pays qui ne soit pas le droit européen qui sur lequel nous avons droit de regard et et voie au chapitre.

J'ai donné pour être plus clair, Microsoft qui qui est bergonné n'est pas pour vous en terme de souveraineté 7 new club. peut pas dire voilà je garantis absolument que ces données sortiront pas du pays. C'est c'est tout le fondement des projets du type bleu qui visent à faire héberger de la technologie Microsoft euh par des par des prestataires français en l'occurrence qui satisfont dans notre analyse.

Alors qui pose d'autres questions de dépendance technologique mais là c'est pas le champ de CNUM Cloud et la question pourrait se poser vis-à-vis d'autres technologies de l'utilisation de VMW assez généralisé dans par beaucoup de prestataires cloud aussi hein. Donc c'est pas ça le champ, mais dès lors que une technologie Microsoft, Google peu importe n'est hébergée par un acteur européen, nous pensons que ça offre une bonie sur le fait que cet acteurl ne soit pas soumis sans voie de recours au droit américain, à l'exclusion du droit du droit européen. En réponse à à votre question, monsieur le président, sur le le fait de de séparer ces critères, je je disais à l'instant, ça n'aurait pas de sens d'avoir des exigences techniques de niveau élevé sans les prolonger dans le domaine du droit.

Du point de vue de la cybersécurité, et là ça ira, c'est une réponse négative à la question que vous posez, mais dans du point de vue de la cybersécurité, je le précise, pour moi, ça n'a pas de sens d'avoir une exigence euh de soumission exclusive au droits européen, donc de non soumission au droits extraterritorial, si on n' pas en parallèle des garanties techniques de niveau élevé. Parce que aujourd'hui la réalité des choses, c'est que la majorité de la captation des données de nos collectivités, de nos établissements de santé, de nos caisses d'assurance, de nos entreprises, ce sont des cyberattaques, donc des des moyens techniques d'accès de contourner la cybersécurité. Donc notre notre point de vue en terme juste sur ce point là quand même parce que c'est vrai que ça revient régulièrement dans les auditions que nous conduisons, c'est de dire non mais attendez, il y a plusieurs paramètres que nous devons prendre en compte notamment la sécurité et nous en sommes ici parfaitement conscients. ce que nous ont bien dit les différents opérateurs que nous avons rencontrés parce que c'est vrai qu'on peut avoir cette idée que finalement il y a les champions américains qui sont les meilleurs en terme de sécurité et puis les opérateurs européens qui éventuellement peuvent faire des choses correctes mais sont pas dans les mêmes standards.

Or tout le monde nous a bien confirmé qu'aujourd'hui au moment où nous nous parlons, le niveau de maturité des opérateurs français européens est aujourd'hui équivalent. enfin votre prédécesseur nous l'a bien redit et donc qu'à partir de ce moment-là euh on pouvait peut-être grader euh des niveaux de sécurité. Donc quand on dit enfin quand je vous disais tout à l'heure dissocier le sujet de l'immunité aux législations extraterroriales de la question de la sécurité, ça veut pas dire que on ne considère pas le sujet de la sécurité mais que on pourrait envisager le sujet de la sécurité étant commun à toutes les préoccupations liées à l'hébergement des données, mais de pouvoir exiger une immunité aux législations extraterritoriales sans avoir nécessairement euh à recourir à la qualification. c'est que parce qu'en fait là aussi des acheteurs publics nous ont dit que dans un certain nombre de cas ça n'était peut-être pas forcément nécessaire.

Donc c'est tout l'enjeu, c'est de pas tomber dans enfin en tout cas pour nous dans ce qui pourrait apparaître comme un travers disant bah si vous voulez la sécurité maximale c'est et si vous voulez une vraie sécurité c'est soit Sec Numad soit des champions américains parce que si vous êtes juste sur l'immunité aux législations extraterritorielles, vous prenez pas en compte la question de la sécurité. Aujourd'hui, on peut considérer que du côté acheteur public comme des opérateurs économiques de la filière, cette ces préoccupations là sont bien prises en compte. Enfin, il y a il y a il y a plusieurs dimensions dans votre remarque, monsieur le président.

Il y a alors le fait que euh par nature les acteurs européens soient moins sécurisé sur le plan technique que euh les acteurs américains. C'est évidemment faux. Euh les acteurs nationaux européens euh peuvent apporter un très bon niveau de sécurité technique.

Euh en revanche, alors moi de de dans mon rôle de d'éclairage euh des choix par des des labels, par des visas de sécurité, euh je dois vérifier, donc je dois fixer des exigences et les vérifier. Je peux pas juste partir du principe que par nature un acteur européen euh il est forcément bon techniquement, il peut l'être, il y a il y a rien qui l'empêche et c'est une réalité. Il y en a qui sont très bons mais par nature on doit vérifier et c'est tout la plusvalue d'ailleurs de cette démarche de visa de sécurité qu'un acteur indépendant expert va vérifier les choses et pas simplement faire confiance à un discours marketing fut-il porté par des acteurs européens de très grande qualité mais voilà nous notre métier c'est de c'est de faire confiance mais de vérifier pour ne pas le dire en anglais je confirme aussi que le le la vocation de ses knum clard et c'est ça qui a guidé notre la définition de Ce ce référentiel, c'est un niveau élevé de sécurité, c'est de couvrir des cas d'usage qui sont au cœur de notre activité, y compris celle sur laquelle nous avons, le législateur a bien voulu nous donner d'un doter d'un d'un pouvoir de régulation, les besoins des opérateurs d'importance vitale.

Pour nous, un opérateur d'importance vitale, si ça met quelque chose dans le cloud de critique, ça doit aller dans un cloud secum cloud parce que ça doit offrir une bonne résistance, y compris face à des acteurs stratégiques avec des très bonnes avec des des leviers du relevant du droit à porter extraterrorial, mais aussi avec des très bonnes capacités techniques. Donc d'où ce niveau élevé ? Est-ce que des niveaux intermédiaires sont sont envisageables possibles ?

Oui. Est-ce que du point de vue de la cybersécurité et je j'insiste sur ce sur ce ce cavéat, est-ce que ça aurait un sens de n'exiger que la nationalité européenne ? Évidemment, ça n'a pas de sens, mais une une implantation européenne et un statut européen et une exposition exclusive au droits européens ?

Si si ce n'est pas sorti au en parallèle de vérification technique. Naturellement ça peut avoir un sens d'un point de vue de politique industrielle, mais ça c'est moins mon domaine. Évidemment, tous ces sujets-là, nous les portons aussi au niveau européen et ça fait partie aussi des champs sur lesquels une dé vocation c'est de poser un cadre qui soit et les cadres de certification européens le prévoi d'avoir dientes niveaux de gradation des exigences.

Un niveau substantiel, un niveau élevé. aujourd'hui, c'est que une cloud se positionne naturellement pour les raisons que je vous ai expliqué euh au niveau élevé. Peut-être que demain, il pourrait y avoir un niveau un niveau substantiel.

Évidemment, et je ça ne vous aura pas échappé, notre conviction partagée avec nos partenaires européens, en que nous partageons volontairement avec nos nos partenaires européens euh sur le fait qu'il y a besoin de ne pas faire que de la technique mais aussi de couvrir le droit applicable ne fait pas consensus, voir c'est c'est heurté à différentes formes d'opposition euh qui euh pour partie sont alors des procès d'intention, hein. On nous a on nous a reproché de vouloir faire du protectionnisme. c'est un mot tabou dans certains certains certains cadres.

On nous a reproché euh de ne pas être réaliste et de de voilà, là encore, il procès d'intention qui est qui est faux, hein, de dire que l'offre européenne est forcément moins bonne que l'offre américaine ou chinoise. C'est c'est faux, mais c'est ancré dans certains esprits et donc ça ça a une sorte de persistance rétinienne, je pense. Et puis évidemment euh il y a eu une objection forte d'un certain nombre d'acteurs américains en particulier, y compris reprise au niveau gouvernemental, ce qui est naturel, hein.

Voilà, c'est ces débats, je pense que ils sont arrivés à un point de blocage en 2024, ils reprennent aujourd'hui dans un contexte géopolitique qui est un peu différent. Donc je suis plutôt optimiste sur l'avenir euh et sur le besoin qui est ressenti je pense de manière assez large aujourd'hui à l'échelon européen de de manière générale et sans le limiter au seul cloud de mieux maîtriser nos dépendances numériques. Donc je pense que c'est un sujet sur lequel nous allons travailler avec la nouvelle mandature européenne et avec nos partenaires dans ce contexte un peu nouveau.

Pour pour terminer ce propos euh déjà un peu long sur une conclusion optimiste au-delà du cloud, euh moi il y a il y a une action que je que je tiens à souligner qui montre aussi qu'on peut faire des choses dans le domaine de la commande publique. Alors certes dans un cadre particulier. Euh LANC a publié récemment le bilan de ce qu'on a appelé euh les parcours de cybersécurité, plus généralement l'usage qu'on a fait du plan de relance puisque euh dans le plan de relance post COVID, l'ANC a été doté une finée de 176 millions d'euros qu'elle a consacré euh à ce qu'on a appelé des parcours de cybersécurité qui ont permis à 950 entités publiques, établissement de santé, collectivité et administration, principalement collectivité d'être accompagné dans un diagnostic de cybersécurité, dans une démarche de sécurisation et le reste a été consacré pour grande partie à de l'équipement en solution de cybersécurité dans le cadre d'appel d'offre.

Euh le bilan que nous avons publié, je crois, il y a 3 semaines montre que euh bah tout ça ça marche bien. Au final, ça a donné lieu à plus de 80 % de recours à des solutions françaises qu'il s'agisse de prestataires ou de solutions logicielles par exemple. Euh si on l'étend à lieu, on est à plus de 90 % de de recours à des solutions européennes en mobilisant un large tissu d'acteurs, y compris dans la proximité, y compris les TPE dans l'ensemble du territoire, y compris les outresemes et avec un vrai satisfait site euh des bénéficiaires et un vrai impact, je le précise même si ça va s'en dire sur le niveau de sécurité parce qu'on a vraiment j'ai la conviction fondée dans les faits qu'on a notamment grâce à ça sauvé des hôpitaux parce que des hôpitaux qui ont été attaqués par le bénéfice apporté par ces ces parcours de cybersécurité ont su faire face là où avant ils auraient ils auraient été victimes.

Donc voilà, c'est c'est une note d'optimisme évidemment en soulignant le fait que tout ça nécessite des moyens et une vraie mobilisation et un cadre particulier qui était celui des du plan de relance qui était ciblé sur des acteurs européens. Donc je voilà. Merci monsieur le rapporteur.

Merci pour vos explications. Donc j'ai noté beaucoup de choses dans vos propos. D'abord le fait que vous n'ayez pas de pouvoir de contrainte simplement de conseil et pas d'obligation.

On a l'impression que dans le la sécurité numérique, on a plein d'acteurs, la Dimu, LAN, tout ça. Il y a aucun pilote dans l'avion. Tout se percute.

Il y a pas de coordination. Je dirais c'est ce que je ressens depuis les auditions. Une chose importante dit le secte de code infaillible mais pas en dehors des lois extratoriales.

C'est une obligation. Ça c'est important de le savoir. C'est techniquement on est capable de faire des choses magnifiques.

On peut aller presque au bout d'un système ultracutaire sauf qu'en cas de loi extratoriale, on est un petit peu bloqué. Et j'en reviendrai à ce qui m'a fait un peu plaisir dans vos dans votre rapport, c'est vous avez proposé 80 à 90 % de solutions françaises. Mais quand vous faites, vous faites des écrits ou c'est simplement des conférences ou des Est-ce qu'il y a des écrits là-dessus ?

Par quand vous avez reçu, je suppose les les les gens qui ont passé le marché à Microsoft pour L data Hub, vous avez dû les être consultés. Donc est-ce qu'il y a des écrits en proposant des solutions ? franco-frança ou dit moins européenne.

Est-ce que vous avez ça pour l'enseignement supérieur et notamment pour Polytechnique qui quand même a eu des données sensibles hébergé ? Je voudrais savoir si vous aviez recommandé puisque vous êtes que en conseil hein, vous avez pas de demain n'ayz pas de point de contrainte après ce que j'ai entendu aujourd'hui. Bon, qu'est-ce que vous êtes écrit ?

Vous pouvez les faire parvenir parce que c'est important de les avoir s'il y a eu des échanges pour dire voilà on a tel soué français ce qui pourrait répondre dans le domaine sécuritaire comme vous l'avez très bien dit en terme de technicité ou de volume à la commande publique qui était faite puisque on l'a rappelé ces gens-là les les start-up ne v ne vivent pas de de subsid ce qu'ils veulent c'est de la commande. C'est pas en faisant un subside qu'on qu'on les aide à développer. Les Américains ont fait ça il y a très longtemps et nous on a l'impression qu'on est pas capable d'aider nos nos jeunes start-ups si elles sont comme vous le dites bien vérifiées par vos service en matière de sécurité et en compétences.

Troisème chose donc vous faites un sourcing. Je suppose que vous avez 21 entreprises parler qui sont capables et on en sait aussi on a auditionné. Moi ce qui ce qui m'inquiète quand même c'est qu'aujourd'hui bien sûr il y a un petit revirement puisqu'on on est en guerre économique avec ce qui se passe de côté de l'Atlantique.

On rentre vraiment dans le sujet et on sait que les données sécuritaires sensibles c'est important. Donc moi j'aurais voulu savoir dans vos échanges avec l'UGAP puisque l'UGAP a dû quand même quand ils ont fait leur marché global ils ont mis sur l'étagère Microsoft. On a l'impression que le ministère qui on été chargé en en stratégie numérique, on demanda à Lu gar pour scharger tiens vous faites vous pouvez faire les appels d'offre pour nous qu'est-ce que vous proposez ?

J'aimerais bien vos échanges s'il y a des gens qui ont été consultés des start-ups françaises ou européennes dans cette démarche là parce qu'on a l'impression qu'on a tout fait pour que ce soit Microsoft qui soit l'arrivé avec une commande quand même qui dépasse quelques centaines de millions d'euros. Euh moi j'ur à votre avis puisque lanc est-ce que à l'époque ou même aujourd'hui he puisqu'on en parle des française auraient pu être retenu à la place de Microsoft monsieur Strubel et puis les collègues qui souhaitent intervenir n'hésitez pas à vous signaler. Alors euh d'abord sur sur réponse simple à la à votre remarque sur le fait qu'il y ait pas de pilote dans pilote dans l'avion en matière de cybersécurité. c'est l'ANC.

Euh, elle est l'Autorité nationale de cybersécurité et de cyberdéfense. C'est défini dans le code de la dans le code de la défense. Euh elle a un pouvoir d'autorité qui est fondé par la loi et donc qui est s'inscrit dans les limites de la loi qui aujourd'hui porte sur euh les opérateurs d'importance vitale, c'est dans le code de la défense qui demain sera étendu euh aux entités régulées au titre de Nice 2 au titre du projet de loi résilience qui a été voté par le Sénat qui débute son examen à l'Assemblée nationale.

Mais évidemment, nous n'avons pas un pouvoir arbitraire de contrainte. Je pense que c'est pas à vous que je dirais que ce serait pas ça n'aurait pas de sens. Et et je vous partage ma conviction par ailleurs que nous n'avons pas vocation à tout réguler et à imposer des contraintes dans tous les domaines, compris aux entreprises parce que ça fait partie de aujourd'hui de notre champ de champ de mission.

Euh je pense que voilà, je encore sur le projet de loi résilience euh euh nous nous sommes tenus à une transposition sèche et pas de surtransposition parce qu'on sait très bien aussi euh les reproches qui sont faites à l'État et qui sont parfois légitimes sur le fait de de surtransposer et d'être plus exigeant que euh ne le sont nos voisins, ce qui nuit à notre compétitivité. euh sur euh alors des clarifications parce que je je dans votre question vous vous [Musique] vous dites que Num Cloud n'est pas infaillible vis-à-vis de de l'extr du droit extraterritorial. Si c'est que Num Cloud apporte une garantie forte, il y en a jamais de 100 % mais voilà infaillible ça n'existe pas dans le domaine de la cybersécurité mais ça voilà c'est quoi ça veut dire que on a des choses s'il y a une demande du pays exal qui demande les données je je pour pour jquement la personne sinon se retrouve de de devant un problème de de prison pour non mais ce domaineel moral de redevoir donner au pays qui le demande avec une loi extratérrielle C'est une obligation que vous pouvez pas tenir pour pour se projeter le le alors dans un dans un dans un scénario euh hypothétique mais pas forcément tant que ça.

Rien n'empêche un juge au Texas ou un service de l'État chinois de au titre du droit américain au chinois se tourner vers au VH et dire donnez-moi les données. Après, on fait le pari que un c'est français, je parle plutôt de de Microsoft. Oui, mais Microsoft ne sera pas qualifié.

C'est clim cloud. Donc vous venez de me dire que data n'est pas cette club. Alors si vous voulez non.

Ah d'accord. Il n'est pas non il est pas les données de l'enseignement supérieur d' technique n'est pas sécuritaire n'est pas cette cl n'est pas reconnu. Ce sont pas des prestataires qualifiés.

C'est cloud. Voilà. Là, là encore, alors euh en précisant bien que euh la stratégie cloud au centre de l'État et demain la loi Senine ne fixe pas d'objet de d'obligation de recours systématique à des prestataires Knum Cloud.

Elle fixe une obligation d'analyse de la sensibilité des données et de recours à des prestataires secum cloud dans le cas où les données présentent une sensibilité particulière. Euh et c'est ce point d'équilibre qui a été co enfin l'ANC est partie prenante hein puisque nous avons travaillé à cela avec la dum avec euh avec le reste du numérique de l'État au sens large consistant à se dire il y a là encore c'est cloud répond à des besoins de sécurité d'un niveau élevé pour des données particulièrement sensibles de l'État sans qu'on puisse forcément en donner une liste exhaustive he mais il y a un certain nombre de critères qui sont donnés étant dans la circulaire que dans la dans la loi évidemment il n'est pas raisonnable de mettre ces données ailleurs que dans ses cloud en l'état euh du droit, modulo, les les exemptions, les les les modalités temporaires et cetera sur lesquelles je ne doute pas que vous ayez eu diverses explications. Euh en revanche, il y a plein de données qui ne sont pas sensibles et qui n'ont pas vocation à se voir imposer le recours à un prestataire de sécurité offrant une sécurité particulièrement élevée qui a un surcoup hein, une offre sécumoud aujourd'hui, ça coûte plus cher qu'une offre de cloud grand public.

C'est c'est normal, ça coûte plus cher parce que ça apporte plus de sécurité et c'est un arbitrage qu'on rencontre dans l'ensemble de nos des dimensions de notre métier. Quand on préconise un niveau de sécurité élevé, ça coûte plus cher et donc il faut savoir doser le niveau de sécurité, ce qui est aussi le cœur de notre activité dans l'analyse de risque. Peut-être pour pour finir sur sur l'UGAP, vous avez été par rapport à l'UGAP consulté quand ils ont fait l'offre de marché numérique global pour avoir des des recommandations.

L'UGAP, dans ma compréhension, sans être moi-même un expert de la commande publique, l'UGAP tient à jour des catalogues donc avec une pluralité de solutions dedans qui correspondent à des besoins exprimés par ces bénéficiaires dans lequel on va trouver du Microsoft parce que il y a une large recours à des solutions Microsoft au sein de l'État. C'est une c'est une réalité. Je me prononce pas sur le fait que ce soit bien ou pas bien, c'est comme ça.

Euh nous, notre action vis-à-vis de l'UGAP principalement consiste à nous assurer que les solutions recommandé par l'ANC, notamment les solutions bénéficiantes d'un visa de sécurité figurent bien dans les catalogues de l'UGAP et donc figure parmi les choix offerts aux acheteurs publics quand ils vont piocher dans les catalogues de l'UGAP. Nous avons la même démarche avec les un certain nombre de marchés cadres interministériels qui sont portés par la direction des affaires des achats de l'État mais là encore sans sans vocation d'exclusivité. qui n'aurait là encore pas de sens.

N'inscrire au catalogue de l'UGAP que des prataires de cloud français en l'état du droit euh au sens large he que ce soit la circulaire cloud au centre ou le ou la loi seraine, ça ne couvrirait pas les besoins qui ne sont pas qui ne se voi pas imposer euh un recours à des à des prestatairs, c'est Clim Cloud. Donc les les besoins qui ne sont pas sensibles. Donc peut-être alors est-ce qu'il faut changer le droit ?

La question vous appartient plus qu'à moi, mais en l'état du droit, il y a pas de il y a pas de raison qui consiste qui conduirait à exclure des solutions Microsoft ou d'autres fabricants américains au hasard de des catalogues de LUGAP. Non mais c'est c'est pardon monsieur pour vous dans le Lata Club enfin pardon je dire club parce que c'est le club des des chercheurs de dire voilà on aurait possibilité on aurait eu possibilité de prendre des acteurs français alors cette question là mais je pense que vous vous avez eu différentes réponses sur le sur le sujet mais elle elle ne se pr elle ne se prête pas à une réponse simple quand le else data hub la plateforme forme des données de santé et à l'époque s'appelait Elahub a été lancé en 2019. Est-ce qu'il aurait été possible de de le faire exclusivement sur en recourant à des acteurs français ?

Oui, mais ça aurait coûté beaucoup plus cher et ça aurait pris beaucoup plus longtemps parce que ça aurait nécessité des développements substantiels qui n'étaient pas présents dans les dans les offres de de cloud française. Est-ce qu'aujourd'hui en repartant de zéro, il serait possible de faire la plateforme des données de santé avec des hébergeurs français ? Oui.

Et ce serait alors ça coûterait sans doute un peu plus cher et ça prendrait sans doute un peu plus de temps, mais ce serait beaucoup moins vrai qu'en 2019 parce que les offres ont progressé. Donc le le différentiel et c'est c'est amoindri. Quant à la question qui qui encore une question différente de est-ce qu'il serait possible aujourd'hui de sortir la plateforme des données de santé du cloud Microsoft pour le basculer dans un autre cloud ?

La réponse est oui, mais c'est une opération non triviale qui a un coût qui nécessite des redéveloppements. On a toujours un des discours assez assez simpliste sur la la réversibilité, la portabilité. La réversibilité garantie par un un prestataire de cloud, ça vous garantit que vous pouvez récupérer vos données et vos développements.

Ça vous garantit pas que vous prenez ça et vous le mettez dans un autre cloud. Ça va marcher. Vous êtes sûr que ça ne marchera pas. il y aura des choses à redévelopper, il y aura des interfaces qui seront différentes, il y aura des choses comme ça.

Donc euh alors je m'engagerai pas sur les sur des délais dans le cas particulier du du de la plateforme des données de santé, mais des migrations de cloud dont j'ai connaissance pour passer d'un cloud à un autre, c'est des redéveloppements sur des systèmes un peu complexes comme celui qu'on a en tête. C'est un 2 ans de de travail et un 2 ans pendant lesquels on fait pas autre chose. Donc voilà, c'est c'est un choix qui est tout à fait possible qui d'ailleurs est demandé, je le je le assez assez régulièrement dont il faut pas pour autant sous-estimer euh l'impact.

Donc voilà, donc ce ce ces choix de prestataire cloud et à plus forte raison de migration d'un prestataire à un autre, c'est quand même des choses qui ne sont pas neutres. Oui. Alors simplement et je passe tout de suite la parole à madame de Saill.

Ça a bien été dit hier par votre prédécesseur monsieur Poupard, c'est que on peut avoir un raisonnement de court terme et un raisonnement de moyen long terme. Et encore une fois, nous ne considérons pas que cela relève de votre responsabilité. C'est bien le champ politique et nous aurons l'occasion d'interroger les ministres.

Euh mais c'est toujours la question du ça coûte moins cher à court terme, mais en réalité sur le moyen et le long terme, c'est plus coûteux parce que quand vous évoquez euh bleu avec euh Microsoft, euh votre prédécesseur nous a bien dit hier que si d'aventure pour une raison ou pour une autre les liens technologiques étaient coupés entre en l'occurrence les États-Unis et l'Europe, la technologie en question tomberait d'elle-même en l'espace de quelques semaines. Donc là, vous imaginez les coûts, vous le savez mieux que nous, les coûts pour palier ces ces différents problème, il serait évidemment très lourd. Donc toute la question et c'était valable de notre point de vue dès 2019.

Quel choix faisons-nous pour en effet structurer ces filières, accompagner leur développement ? Vous avez parlé de l'émergence de solution. Euh oui, peut-être même de façon certaine, faut-il accepter euh d'investir massivement au début et c'est vrai pour la puissance publique comme pour les opérateurs économiques, OVH nous l'a confirmé pour disposer ensuite de cette souveraineté qui nous permettra d'une part d'avoir la maîtrise et de réduire les coûts. et sur le juge américain que vous évoquez, nous nous ne sommes pas opposés les uns les autres, à la transmission de données si elle s'opère dans un cadre juridique ouvert, classique avec des droits de la défense.

Là encore une fois, il y a pas de débat. le sujet de la législation extraterritoriale, mais vous savez très bien, c'est qu'en réalité, il y a la possibilité pour des puissances étrangères de capter de la donnée sans en informer les propriétaires euh misant là au aux droits démocratiques les les plus élémentaires. Et donc sur l'UGAP, le sujet, mais c'est un petit peu ce qu'on évoquait tout à l'heure, c'est de pouvoir proposer des solutions qui soient évidemment sécurisées mais de notre point de vue absolument immune aux législations extraterritoriales.

Mais encore une fois, c'est pas de votre responsabilité directe, mais c'est un enjeu politique. Et je passe tout de suite la parole à madame Morin de Saï. Oui. qui soccrit totalement à ce qui vient d'être dit.

Et d'ailleurs, vous l'avez admis vous-même, c'est que au moment où la plateforme des données de santé confié à Microsoft, il y avait possiblement d'autres solutions. Cela aurait coûté, je reprends vos propos, plus cher et ça aurait pris plus de temps. Mais c'était un choix politique et après stratégique, voilà. de stratégie industrielle qui n'a pas été forcément au rendez-vous et on peut déplorer quelques années plus tard un déficit assez grave d'autonomie stratégique et nos dépendances sont devenues extrêmement dangereuses.

D'ailleurs, on l'a mesuré pendant la crise de la COVID pendant laquelle il a fallu lui faire appel de manière très croissante à de l'informatique en nuage. C'est un peu comme l'énergie ou le gaz he quand on est dépendant de ressources extra européennes et que ce sont les extrae européens qui fixe les prix au-delà des coupures et des ruptures de technologie, il y a aussi des questions tout simplement de dépendance financière. Donc l'histoire de la du coût et des conditions financières qu'on met après dans les appels d'offre, tout ça doit se discuter vraiment de manière extrêmement éclairée et complète.

Donc voilà, c'était la remarque pour compléter les propos excellents de notre président. Le rôle de l'ANC est absolument fondamental dans les discussions que nous avouons, tout comme les celui d'ailleurs de l'ACNIL. Vous êtes les deux autorités de régulation indépendantes sur lequel bien entendu ces politiques publiques doivent s'appuyer et d'ailleurs votre rôle a été renforcé par la la transposition de la directive Nice 2 qui est encore en cours de débat au Parlement puisqueon attend aussi que tout ça soit définitivement adopté après le passage à l'Assemblée nationale.

Mais vous vous êtes vu conférer dans le cadre de cette loi. C'est un amendement personnellement que j'ai porté un le rôle absolu de d'avoir un travail important avec les ministère concernés pour profiter de l'opportunité selon laquelle les entreprises soumises donc à cette directive, les collectivités seront en recherche de solutions pour renforcer leur cybersécurité. Donc il y a une opportunité pour la filière de se développer, de se renforcer, de s'enrichir et justement de permettre cette autonomie stratégique.

Donc j'imagine que vous anticipez de la la manière dont vous allez travailler, vous l'avez dit, la dumères concernés pour que à travers la commande publique, encore une fois, il y ait une doctrine quand même qui s'établisse, faire en sorte que la la doctrine le la commande publique soit un levier pour permettre tout cela. Donc, comment travaillez-vous ? Première question.

Deuxème question, j'imagine puisque vous êtes cité dans le projet de décret d'application de l'article 31 de la loi SIN et vous avez évoqué la loi SIN qui allait sanctuariser en fait l'histoire du référentiel Secnum Cloud. Ce projet de décret est consultable puisqu'il a été notifié à la Commission européenne donc on en dispose, on a même sous les yeux. Que pensez-vous de la rédaction de ce décret qui je tiens quand même à lui dire est assez alambiqué, tellement alambiqué qu'on a l'impression quand même tout est fait pour que finalement ça ça ne s'applique pas franchement cette obligation pour les données définies comme sensible d'avoir recours à des solutions françaises et et européennes.

Donc je voudrais avoir votre point de vue là-dessus. d'ailleurs sont énumérés un certain nombre de critères qui peuvent être finalement les critères euh que l'on auquel on a euh dont on dont on se serve pour la commande publique, le besoin fonctionnel auquel l'offre est en mesure de réponse, ce qui me semble d'ailleurs assez vague. Les conditions financières, les conditions opérationnelles techniques, les conditions de réversibilité et cetera.

Euh voilà. Pensez-vous que d'ailleurs, c'est dans un décret qu'on doit mettre précisément pour le débat que nous évoquons, les conditions financières, la sécurité n'est-elle pas après tout euh voilà euh comment dirais-je suffisamment importante pour qu'on on n'établisse pas ça comme une condition en tout cas préalable et exclusive ? Je voulais avoir votre point de vue, vous qui travaillez aux questions de de sécurité, c'est votre mission première.

Voilà, donc merci infiniment de répondre à ces questions. Et dernière question, ultime question parce que je l'ai noté ici. Vous dites que Microsoft n'est pas Second Cloud, voilà, n'a pas n'aura pas la certification Snake Cloud.

Qu'en est-il de bleu qui dans son offre comporte des technologies Microsoft associé à Orange et Cap Gimini ? Peut-être que dans le montage, ceux qui ont recours à à bleu ou veulent avoir recours à bleu nous nous garantissent que le montage, alors moi j'y connais rien en en technologie, en informatique, mais quand même on se dit euh est-ce que c'est pas finalement un montage pour permettre quand même à Microsoft de continuer à travailler ? Merci monsieur Ruel.

Donc je rejoins les réflexions de mes collègues. Euh donc bien que la menace cyber soit désormais reconnue hein, une traduction concrète de cette priorité dans les marchés publics semble demeurer insuffisante. Une étude de l'observatoire des achats responsables montre que moins de 15 % des appels d'offre numérique publique comportent des clauses spécifiques et pondérées liées à la cybersécurité.

Cela crée un déséquilibre. Les fournisseurs les plus exigeants et rigoureux souvent français ne sont pas favorisés dans les appels d'offre alors même qu'ils offrent des garanties supérieur. Estimez-vous que les critères de cybers sécurité sont aujourd'hui suffisamment intégrés dans les appels d'offre publique, contrairement à ce que je viens d'avancer, hein.

Sinon, quelle évolution recommandez-vous ? Après sur la partie secon cloud euh bon c'est je pense que c'est vraiment quelque chose de très bien. Par contre ce qui m'intéresserait c'est de de savoir à peu près le le nombre d'entreprises certifiées, hein, et qu'est-ce que ça représente au niveau du marché global du marché global.

Ensuite, peut-être faut-il faudrait-il identifier et valoriser des bonnes pratiques françaises hein parce que par exemple on a des grandes collectivités Île-de-France, Lyon Métropole, des grands opérateurs publics KNAV, UGAP qui ont mis en place des marchés numériques intégrant des critères de souveraineté et de cybersécurité. Ce sont des initiatives qui semblent rester dispersé sans mutualisation ni doctrine nationale. Peut-être manque-t-il une capacité de pilotage pour en tirer des enseignements ?

Et comment faites-vous pour intégrer pour intégrer tout ça ces expériences ? De la même manière, si on regarde ce qui se passe en Europe avec l'Espagne et l'Allemagne, quelle synergie-t-on de ce que font ces pays qui ont une démarche assez structurée et qui pourrai certainement nous profiter ? Merci.

Merci au collègues monsieur Stel pour les réponses. Alors ce n'est pas une question mais remarque sur le fait que vous avez qualifié l'ACNIL et l'ANC d'autorité indépendante. Juste pour qu'il ait pas d'ambiguité.

La NC n'est pas une autorité indépendante au même sens que l'ACNIL puisqu'elle est une un service du premier ministre et donc et donc uneation directe de l'exécutif. Et c'est très bien que euh c'est très bien comme ça euh au demeurant compte tenu du sujet éminemment régalien que nous portons et que au demeurant la coopération est efficace et naturel avec l'ACNIL mais dans le rôle de dans le respect du rôle de chacun. Euh sur alors euh par où commencer peut-être sur la la technologie bleue ?

Euh alors vous ne m'entendrez pas dire que bleu va être qualifié, c'est Clim Cloud parce que là ce serait préjugé d'un travail d'évaluation qui va être qui doit être mené. Mais rien ne s'oppose euh dans notre analyse à euh sa qualification, au sens où euh le montage euh capitalistique qui associe et Orange pour exploiter de la technologie euh Microsoft est conforme sur le papier aux exigences capitalistiques de Secum Cloud. Ça veut dire que dans notre analyse, la technologie Microsoft tournant dans un cloud bleu, on pourrait dire la même chose de sens avec la technologie Google, ne sera pas soumise à la captation au titre du cloud act ou du FISA.

On a fait une lecture régulière depuis depuis sa parition qui Pourraiton avoir les documents de cette lecture, s'il vous plaît ? Je alors je je ne sais pas quels écrits, mais on va on va on va regarder. Mais mais pour le dire simplement, le cloud act s'impose à toute opéré.

Alors peut-être une subtilité du cloud, il ne s'impose pas qu'aux opérateurs de cloud, il s'impose à tout opérateur de solution de communication électronique également. Euh donc un WhatsApp et cetera, c'est c'est la même chose. Je veux pas ouvrir un nouveau un nouveau euh euh angle de questionnement, mais c'est une remarque qui me semble importante.

Euh le cloud Act euh s'impose euh et il en va de même des autres lois du même registre euh en tout cas côté américain parce qu'évidemment le je ferai pas une exégesse du droit chinois, je n'y risquerai pas mais s'applique à des à des des acteurs qui sont dépositaires des données ou qui en ont le contrôle. Les termes du en anglais, je m'excuse de l'anglicisme, c'est control or custody of data. Euh dans euh un montage comme bleu, Microsoft fournit la technologie mais ne voit pas les données et la les choses sont architecturées de telle sorte que il est fournisseur de logiciel comme d'autres fournisseurs de logiciel.

Alors, il fournit le logiciel un peu complet, socle du du cloud, mais il ne voit pas les données, il n'y a pas accès et les données sont sous le contrôle exclusif d'acteurs européens. Donc de ce point de vue-là, ça coche la case de l'immunité au droits extraterritorial. Est-ce que ça remplit un objectif autre de non exposition à des dépendances vis-à-vis de technologie américaine ?

Évidemment que non. C'est un autre sujet. Là, on n'est pas dans on n'est plus dans le champ de visé par Secum Cloud.

Est-ce qu'il faut se poser la question de notre dépendance quasi exclusive à un certain nombre de technologies ? Évidemment que oui, mais c'est un champ qui dépasse largement la cybersécurité, qui n'est pas exclusif à ces montages au demeurant bleu sens reposant sur des technologies Microsoft ou Google hébergé par par des acteurs européens. dans un cloud purement français.

Vous avez aussi de la technologie américaine. Vous avez des machines virtuelles qui reposent sur VMware potentiellement et qui sont exposé, tout le monde en a fait la mère expérience aux fluctuations des coûts de licence parce que quand Broadcom a racheté l'entreprise VMware, ils ont fait exploser les coûts de licence et tout le monde en a on a pâtis y compris les clouder français. Donc euh les clouder français euh je m'excuse du barbarisme de Clouder, mais euh ils mettent en œuvre un ensemble de de technologie, mais ils sont pas non plus par nature totalement euh protégés de la la dépendance à des à des technologies.

Alors juste simplement pour être précis aussi pour éventuellement les citoyens qui nous regarderaient, c'estàd que on entend bien ces argumentsl mais pour nous ils ne sont pas valables dans la mesure où c'est comment nous créons les conditions pour protéger efficacement nos données et dire d'une certaine manière parce qu'en effet on entend un certain nombre de personnes de structures que nous avons déjà pu auditionner nous dire oui mais enfin finalement les alternatives elles cochent pas forcément toutes les cases et cetera. Donc d'une certaine manière, vous poursuivez une chimère. Nous nous restons convaincus que nous pouvons réunir les conditions et que nous devons réunir ces conditions.

L'objectif des auditions que nous menons, c'est de pouvoir identifier précisément ces ces conditions. Et donc là, moi, je prends votre propos comme une invitation justement à exercer encore plus fortement notre devoir de vigilance pour au contraire de ce que vous pourriez peut-être laisser entendre. J'ai pas dit que c'était votre intention, mais euh laisser dire bon, à partir du moment où de toute façon il y a des trous dans le gruillère, d'une certaine manière, n'essayez pas n'essayez pas de de viser la perfection.

Alors là, on voit bien que c'est un sujet extrêmement sensible, vous le savez évidemment mieux que nous et que les données sont devenues le nouvel actif stratégique par excellence. Donc là, nous devons mettre tous les moyens pour les protéger efficacement. Le le pour préciser le sens de mon propos, je pense que nous sommes largement d'accord, monsieur le monsieur le président.

Moi je je je ne je ne je suis pas sur un discours desfétiste, au contraire. Euh je dis juste que Secnum Cloud euh par les critères qu'il qu'il porte protège les données contre des accérs territoriaux. Ne gère pas la difficulté plus vaste qui celle de la dépendance à des technologies non européennes non françaises.

Et là encore je ne suis pas en train de dire ce qu'il devrait être. Je je dis je dis ce qui ce qu'il est aujourd'hui. La situation c'est une réalité.

Nous avons une large dépendance. Est-ce que c'est regrettable ? Sans doute.

Euh comment on peut y le le résorber ? Je j'ai pas j'ai pas la solution complète. En tout cas, j'ai la conviction que ça ne se fera pas euh en quelques semaines, quelques mois, voire même seulement quelques années.

C'est c'est un chantier de long terme et un chantier de qui aura un coup. ce qui me ce qui me sur sur le le une remarque alors qui qui s'applique je pense en en réponse aussi au au aux discussions sur les enfin sur le projet de décret d'application STR serait assez prudent par nature là encore avec cette cette casquette qui est la mienne d'être de n'être qu'un un fonctionnaire des services du premier ministre pas chargé des arbitrages finaux sur le décret. Donc je peux juste vous dire que évidemment et la la discussion se poursuit au-delà de la version que vous avez vu sortir euh au titre de son examen au Conseil d'État qui évidemment tout ça est extrêmement complexe quand il s'agit de définir des exceptions parce que parce que là encore une migration cloud ça se c'est une réalité là encore elle est regrettable mais ça ne se ça ne se mène pas du jour au lendemain et donc ça s'inscrit dans la durée ça a un coût et que pour autant il faut pas non plus tomber dans le travers inverse que j'entends beaucoup et autant dans le secteur privé que dans le secteur public, j'y reviendrai, consistant à dire nous évidemment on veut migrer dans du cloud souverain, on le fera dès que on aura un cloud qui fait exactement la même chose que le cloud Microsoft ou Amazon ou Google avec le même niveau de performance, les mêmes interfaces et le même coût possible moins cher, ce qui est une manière très alambiquée de dire quand les poules auront les des dents.

Donc ça évidemment donc il faut acter le fait que migrer dans un cloud de confiance souverain plono comme on veut. Moi je me méfie du terme souverain parce qu'il a il a il a des contours assez flous. Mais migrer dans un dans un cloud de confiance européen ou français ça a un coût qui est moindre sans doute que que que ça ne l'était auparavant.

Ça nécessite un travail intense euh de redéveloppement, de spécification peut-être d'architecture de différentes solutions. Euh c'est un coût qui est justifié dans dans beaucoup de cas qui qui ne peut pas être décrété de manière systématique à à l'instant té euh qui doit s'inscrire dans une stratégie de long terme et qui relève d'une décision. Je je me permets juste quand vous parle de coût, c'est on parle de combien ?

Enfin, pour avoir une idée de très je Non, mais c'est parce que si on parle de centaines de milliards, je peux comprendre mais c'est c'est quoi le le le coût qui serait important à vos yeux ? vous faire une réponse très générique. Je j'en seraiis bien incapable juste pour fixer les idées.

Là encore dans les exemples que j'ai en tête de de systèmes un peu complexes dans le secteur privé comme dans le secteur public qui ont migré d'un cloud à un autre, c'était un projet de développement logiciel et d'intégration qui a mobilisé l'essentiel d'une équipe informatique pendant 1 à 2 ans. Donc voilà, c'est ça le coup de voilà donc c'est des choses qui sont chiffrables mais qui sont quand même très tributaires d'un d'un certain nombre de de choses. Mais c'est une décision d'autorité. alors politique ou pas politique hein, mais qui s'inscrit dans une stratégie, qui s'inscrit dans une notion de priorisation.

Je je me permets, alors vous allez voir ça comme un réflexe corporatiste, mais je ne peux pas m'empêcher de dire que l'État en la matière est sans doute plus exemplaire que les acteurs du secteur privé ou que ses voisins européens. Je pense que la circulaire Cloud Centre, c'est une exception dans le paysage européen et international où tout le monde a plutôt privilégié le cloud first pour le dire en anglais, c'est-à-dire on met tout dans le cloud sans sans nous exempte pas du travail que nous menons en posant comme objectif politique tout à fait essentiel l'acquisition de cette stratégique cette autonomie stratégique et quand vous évoquez le problème, ça va prendre du temps, le coût, le machin, le truc, ça nous fait mesurer à quel point est grande la responsabilité de ceux qui à l'époque ont plutôt privilégié la facilité d'avoir recours à une solution existante plutôt que de de réfléchir stratégiquement et le politique est responsable voilà c'est pour ça qu'on va les auditionner mais d'ailleurs la directrice de la plateforme des données de santé Stéphanie Comte nous a dit donc j'espère que du coup on pourra migrer très facilement parce qu'elle nous a dit j'ai toujours veillé à ce que la réversibilité soit au rendez-vous dès le départ Voilà, avec ce petit bémol que je que je rappelais tout à l'heure que la réversibilité, ça veut dire que vous pouvez récupérer le code logiciel et les données pour les faire tourner pour se parler d'un terme triviaux dans un autre cloud. Il y a quand même des choses qu'il va falloir redévelopper hein.

Donc c'est pas voilà, c'est c'est pas parce que la réversibilité est garantie, heureusement qu'elle l' mais c'est pas pour autant que ça fait une transition naturelle. Ça permet juste d'engager une transition mais qui qui a un coup puisquelle nous avait dit c'est que le plan était prêt mais qu'on était encore très loin de la mise en œuvre. Donc je voilà je je vous pourrais pas vous en dire plus parce que là encore je ne suis pas responsable de la plateforme des données de santé ni des arbitrages précis.

Euh voilà donc je je pense que je vous renvoie à ces à ces propos en la matière sur la le fait que l'État est exemplaire en la matière. C'était pas c'était pas une forme de de de ventardise, mais peut-être que euh moi, j'insiste dans cette plateforme qui m'est donnée et dans les travaux qui ont une vocation de pédagogie que vous menez aussi, il y a aussi un enjeu essentiel d'éduquer ou de former ou de sensibiliser les entreprises à cette à cette donnée-là. Parce que moi, je vois et je ne donnerai pas d'exemple précis parce que je je m'ins une forme de secret médical en la matière de grands patrons d'entreprise stratégique qui me disent "Moi, c'est pas mon problème, je mets tout dans dans un cloud. euh non européen euh alors que il devrait se poser exactement la même question que s'est posé l'État avec une réponse qui est peut-être différente et qui a des paramètres différents mais que qui se traduit par la la circulaire claudente de dire il y a quand même un travail à mener sur l'identification des données plus sensibles, des cas d'usage et une architecture de cloud hybride.

C'est comme ça que c'est c'est connu sur le marché disant aujourd'hui aucun acteur de taille suffisante ne devrait se tourner que vers un seul fournisseur de cloud. Tout le monde devrait avoir un portefeuille de fournisseur de cloud là aussi pour des raisons de dépendance et y compris de d'enjeux financiers. Et dans ce portefeuille là, moi j'ai la conviction qu'il y a une place pour un cloud de très haut niveau de sécurité, c'estUM cloud et une place pour d'autres clouds pour des niveaux moindres parce que tout le monde a besoin de faire des expérimentations, d'agir rapidement, de faire des choses qui coûtent pas cher et la sécurité de niveau maximal ne se justifie pas dans tous les cas. euh sur les peut-être pour pour ne pas oublier trop de de questions euh la traduction des exigences de de cybersécurité dans dans les appels d'offre.

Euh il y a toujours une marge de progression. On a progressé en la matière. Notre travail la sur ce sujet-là se concentre sur euh armer les acheteurs publics en leur donnant des claus types, en les formant, en les sensibilisant.

Euh il y a un travail par ailleurs qui doit être euh qui est qui est remis sans arrêt sur le métier, qu'on qu'on mène de manière perpétuelle de sensibilisation aussi des décideurs parce que laisser ça la seule responsabilité des acheteurs, c'est quand même pas traiter le problème au bon niveau. Les proportions évoquées là paraiss raisonnable c'est vraiment relativement réduit. Je alors je je saurais pas me je m'aventurerai pas donner des proportions de combien de marchés publics inclus des clauses de sécurité.

Je prétends pas avoir une vision exhaustive en la matière. Euh ce que ce que ce que je sais c'est que nous allons travailler notamment sur ce volet-là à travers la enfin dans en lien avec la transposition de Nice 2 euh pour veiller à ce que ce soit simple à transposer pour un acheteur public les exigences de Nice 2. ce qui me renvoie à la question des des du travail sur l'opportunité euh de de que présente Nice 2.

Nous nous travaillons alors à la fois avec les acheteurs pour essayer de de for enfin de formuler les exigences dans un cadre de marché public pour les collectivités notamment qui sont subis qui sont soumises à la à Nice 2. Nous travaillons aussi avec l'écosystème des acteurs français avec un je pense un constat qui est partagé par les acteurs privés qui est que il y a énormément de pépites dans l'offre de cybersécurité nationale. En revanche, c'est quelque chose qui reste très morcelé et aujourd'hui ça fait partie des limites et il faut sans doute qu'il y a il y a apporter des solutions qui n'appartiennent pas entièrement à l'État, je je le précise, consistant à dire vous tournez vers un acteur majeur américain ou ou international, le le Magic Quadrant du Gartner.

C'est des gens qui ont une offre complète. En trois clics, vous avez tout ce qu'il vous faut, le parfeu, le service de détection, la le sauvegarde, le conseil et cetera. Euh si vous voulez faire de même sur une offre française ou européenne, vous êtes obligé de vous tourner vers enfin h multitude de PME et on peut se féliciter d'avoir ces PME qui portent des solutions de très grande qualité, mais il y a pas aujourd'hui un euh un guichet unique dans le domaine industriel du secteur privé, c'est sur lequel vous pouvez tout acheter où ça commence à émerger mais c'est un vrai besoin.

C'est ce qui fait là encore que oui, il y a une il y a une solution de facilité pour un acheteur et qui qui n pas un état de fait dont je me réjouis. Acheter auprès du leader du marché, c'est avoir des des choses très simples sur lesquelles en un seul en une seule commande, on a on a on a accès à tout. Donc il y a un travail à mener avec les offreurs nationaux pour faire en sorte qu'on fasse converger.

Alors, je dis pas qu'il y a forcément de la consolidation capitalistique, même si ça fait peut-être partie des besoins et là encore c'est pas l'État qui va qui va préconiser des choses dans la matière, mais euh au moins de la chasse groupée et des catalogues euh alors c'est pas que une question de catalogue, c'est une c'est une offre de service euh cohérente et et combinée. Le le alors c'est l'État ne peut pas dire aux entreprises voilà comment voilà les produits que vous devez vendre et voilà comment vous devez les vendre et voilà avec qui vous devez coopérer. On peut l'encourager, on peut être facilitateur.

On le fait à travers par exemple les contrats de les comités stratégiques de filière d'industrie de sécurité, de numérique de confiance qui permettent d'organiser un dialogue entre l'État et les différents acteurs du secteur privé. à travers aussi les campus qui sont des lieux d'émergence aussi campus cyber, national ou régionaux, c'est des endroits où on va retrouver une multitude d'offreurs de solutions de cybersécurité et aussi des bénéficiaires et donc c'est un lieu de de d'amélioration continue des offres qui permettent aux offreurs de se de travailler ensemble et aussi de travailler avec les bénéficiaires. Un des un des un des bémoles aussi enfin des des limites du d'un marché public, c'est quand vous candidatez à un marché public, il y a des critères, il vise à garantir une équité de traitement.

Il y a un certain nombre de de critères de transparence. Vous êtes retenu, tant mieux pour vous. Vous n'êtes pas retenu, vous avez pas forcément un retour très détaillé.

Vous avez peut-être votre note, mais euh il y a pas un endroit où on va vous dire euh voilà ce qui manque dans votre offre. Donc ça ça fait partie des rôles que peuvent aussi animer des campus cyber en s'assurant que suite à des appels d'offre manqués par des acteurs français, on peut organiser une forme de dialogue pour dire bon euh et qui s'inscrit plus dans le cadre du marché public mais simplement faire un retour dire bah voilà qu'est-ce qui manque dans votre offre et qui ferait que demain au prochain marché public elle serait compétitive. Donc ça c'est un certainement quelque chose qu'il faut creuser.

Parfait. Merci beaucoup. Je suis désolé parce qu'en fait nous enchaînons les auditions et nous avons déjà commencé à prendre un petit peu de retard mais les sujets le méritait amplement.

Merci beaucoup monsieur le directeur général pour vos réponses, votre témoignage. Nous ne manquerons pas de revenir vers vous pour obtenir davantage d'informations ou de documents comme nous avons déjà pu vous le dire au cours de cette audition. Donc n'hésitez pas dans les tout prochains jours à nous faire retour et au besoin nous reviendrons vers vous.

Merci. р