SecNumCloud est un “totem” dangereux, selon un collectif d’acteurs de la santé numérique 

Si la qualification SecNumCloud (SNC) de l’Agence nationale de la sécurité des systèmes d’information (Anssi), considérée comme le plus haut niveau en matière de cybersécurité et de souveraineté, n’est pas aujourd’hui une obligation pour les acteurs de la santé numérique souhaitant répondre à certains appels d’offres publics, les débats que les acteurs de la filière entretiennent actuellement avec les pouvoirs publics – notamment la Direction générale des entreprises (DGE) – leur font craindre que ce label s’impose à eux. Au risque de nuire à leur capacité d’innovation et leur compétitivité. 

Pas tous au même niveau sur la ligne de départ

Si les membres de ce collectif (Alan, Doctolib, Implicity, Lifen et Resilience) ont presque tous choisi AWS (la filiale cloud d’Amazon) comme hébergeur de leurs données (cf. notre encadré), ils reconnaissent que “les risques cyber, les risques d’extraterritorialité et les risques de dépendance opérationnelle doivent être pris au sérieux”. Imposer SecNumCloud est, selon eux, une réponse uniforme à des situations très diverses. En effet, toutes les offres des acteurs de la santé numérique n’ont pas la même maturité en termes de cybersécurité, de gouvernance des risques ou de plans de continuité. Faire de SNC un “totem” reviendrait donc à exclure de facto bon nombre d’acteurs, qui n’ont pas les ressources en interne et le temps pour se mettre en conformité avec cette qualification.