"SecNumCloud est un investissement autour de la sécurité", Sébastien Lescop (Cloud Temple)

L'Usine Digitale – Cloud Temple a la particularité d'être un pure player de SecNumCloud, c'est-à-dire que l'entreprise ne propose qu'une unique offre qualifiée. Pourquoi avoir choisi cette stratégie ?

Sébastien Lescop, DG de Cloud Temple– Cloud Temple est né de la séparation des activités de "Sécurité et de Cloud computing", de la société historique Intrinsec. Pour nous, clairement, SecNumCloud n'est pas un ROI [retour sur investissement, ndlr] court terme. Cela s'inscrit dans une stratégie à long terme : SecNumCloud doit être vu comme un investissement autour de la sécurité.

En 2017, année de notre création, Amazon avait déjà plus de 10 ans d'existence. Nous cherchions donc à avoir une valeur ajoutée dans l'écosystème cloud. D'où notre objectif au démarrage de créer une plateforme souveraine. Nous étions conscients que ce besoin d'hébergement sécurisé serait toujours une attente en France et en Europe. 

En pratique, comment cette stratégie a-t-elle été mise en place ? 

L'obtention de la qualification a été le fruit d'un travail de deux ans et demi pour un investissement dépassant les 7 millions d'euros. C'étaient les débuts donc nous avons eu très peu d'accompagnement. Ce sont des sociétés de conseil qui nous ont accompagnés tout le long du processus.

Nous nous sommes plantés plusieurs fois sur les architectures logicielles à mettre en place. Nous avons dû faire un gros travail de refonte. Après les consultants et les architectes, il a fallu former les opérationnels. Il faut savoir qu'un collaborateur qui travaille dans un environnement SecNumCloud doit avoir deux environnements : un environnement pour la bureautique et un pour travailler sur l'administration de la plateforme. En général, tout se fait de manière beaucoup plus longue et plus complexe. Il y a donc une vraie conduite du changement des collaborateurs opérationnels à mener.

Aujourd'hui, ce n'est plus un sujet mais c'est un travail qui a été très long. Notre offre IaaS [Infrastructure as a Service, ndlr] a été qualifiée en 2022 et PaaS [Platform as a Service, ndlr] en 2024. Nous avons aussi un catalogue de produits en cours de certification. Nous sommes les seuls à réussir à développer aussi rapidement ces environnements relativement contraints. C'est lié à cette stratégie d'intégrer le design dans le fonctionnement de l'entreprise.

C'est long et c'est cher pour s'adresser à un marché restreint. Cela vaut-il vraiment le coup?

Oui, c'est une niche mais cette niche est tellement grande que les acteurs qui font du cloud souverain affichent de très belles croissances. Aujourd'hui, on peut le dire : SecNumCloud est une réussite. Il y a un vrai engouement autour de l'offre avec sept fournisseurs qualifiés et six en cours de qualification. Il faut savoir qu'une grosse partie de nos clients choisissent notre offre alors qu'ils n'y sont pas légalement tenus. Nous sommes rentables. D'ailleurs, nous sommes l'un des seuls acteurs du cloud à l'être. C'est l'une des exigences de notre actionnaire.

Pourtant les acteurs français sont encore très loin derrière les hyperscalers américains (Amazon Web Services, Google Cloud et Microsoft Azure).

Quand on voit les taux de croissance du marché, bien sûr ce sont les Américains qui captent la majorité de la croissance. Le sujet des acteurs français est de renverser cette tendance : ils seront bien positionnés quand leur croissance sera supérieure à celle des Américains. Cela ne veut pas dire que nous serons des compétiteurs sérieux mais que notre niche arrête de s'amenuiser. 

Les hyperscalers tentent justement de pénétrer sur le marché du SecNumCloud ; Google et Thales avec S3NS ainsi que Orange et Capgemini avec Bleu pour distribuer les services de Microsoft. Qu'en pensez-vous ?

L'une de mes souffrances est justement que les acteurs étrangers n'ont pas la possibilité de se confronter aux exigences techniques du SecNumCloud. Il est fort probable que cela soit un succès mais je n'en suis pas sûr pour tous les produits. En effet, je ne suis pas sûr que l'ensemble des développements logiciels qui sont relativement anciens respectaient, à l'époque de leur développement, les contraintes de sécurité d'aujourd'hui. 

Au niveau européen, la position française d'intégrer des critères d'immunité contre les lois extra-territoriales dans le dernier niveau du schéma européen de certification cloud (Cybersecurity certification scheme for cloud services, EUCS) ne convainc pas les autres Etats membres, qui préfèrent des obligations de transparence, beaucoup plus souples. Cela vous inquiète-t-il que le schéma européen soit beaucoup moins exigeant que la certification française, ce qui réduirait la niche à laquelle vous faites référence ?

Non, cela ne m'inquiète pas. En revanche, cela serait une véritable déception par rapport au projet que je porte : celui de sauver le numérique français et européen.