Souveraineté et référentiels ANSSI

C'est le malentendu le plus répandu du secteur public. Héberger des données dans un centre de données situé en France ne garantit pas leur souveraineté. Ce qui détermine réellement qui peut y accéder, c'est le droit applicable au prestataire et la personne qui détient les clés de chiffrement.

La seule garantie robuste consiste à conserver les clés dans un dispositif que vous maîtrisez, physiquement ou juridiquement hors d'atteinte du prestataire. C'est le principe que nous appliquons systématiquement, quel que soit votre hébergeur.

À cela s'ajoute la dimension temporelle : les données d'administrés — état civil, social, fiscal, scolaire — conservent leur sensibilité pendant des décennies. Un trafic capté aujourd'hui et déchiffré après la rupture cryptographique reste tout aussi exploitable.

Le secteur public dispose d'un corpus de référence dense, mais rarement appliqué faute de moyens humains. Voici ceux qui structurent réellement un projet, et ce qu'ils impliquent.

Le référentiel de qualification des prestataires d'informatique en nuage délivré par l' ANSSI. Ses versions récentes intègrent explicitement des exigences de protection contre les législations extraterritoriales — c'est aujourd'hui le repère le plus clair pour évaluer l'offre d'un hébergeur.

Nous vous aidons à déterminer si votre besoin exige un prestataire qualifié, ou si une architecture avec maîtrise exclusive des clés suffit sur un hébergement standard.

Le Référentiel Général de Sécurité encadre les téléservices des administrations et impose une homologation de sécurité avant mise en service. C'est une décision formelle, prise par une autorité désignée, appuyée sur un dossier d'analyse de risque. Beaucoup de collectivités exploitent des téléservices sans homologation valide.

L'ANSSI publie des guides d'hygiène informatique et des recommandations sur les mécanismes cryptographiques, qui constituent la référence en cas de contrôle ou d'incident. Sur la transition post-quantique, l'agence recommande une approche hybride : conserver un algorithme classique en parallèle du nouvel algorithme pendant la période de transition.

La directive NIS2 élargit considérablement le périmètre des entités soumises à des obligations de cybersécurité, en y intégrant des administrations et de nombreux opérateurs de services essentiels. Elle impose une politique de cryptographie documentée, la gestion des incidents et la sécurité de la chaîne d'approvisionnement, avec une responsabilité engagée des dirigeants.

Notre rôle est d'appliquer ces référentiels, pas de les délivrer. Les qualifications ANSSI sont attribuées par l'agence à des prestataires évalués ; nous concevons votre architecture, sélectionnons les briques qualifiées adaptées et constituons vos dossiers d'homologation.

Les obligations diffèrent fortement selon votre statut. Trois situations couvrent l'essentiel des structures publiques et parapubliques.

Les collectivités figurent parmi les organisations les plus attaquées, pour des raisons structurelles : services numériques nombreux et exposés au public, parc informatique hétérogène, ressources humaines dédiées à la sécurité souvent inexistantes en dessous d'un certain seuil, et impossibilité d'interrompre un service public.

L'attaquant le sait : une commune ne peut pas suspendre l'état civil, la cantine scolaire ou le versement d'aides sociales pendant trois semaines. Cette contrainte crée la pression exacte qu'un rançongiciel cherche à exploiter.

La continuité du service public avant tout : des sauvegardes immuables et réellement testées permettant de redémarrer sans négocier. Puis la confidentialité des données d'administrés, dont la sensibilité s'étend sur des décennies. Enfin la traçabilité, nécessaire pour rendre compte d'un incident à votre autorité de tutelle et aux personnes concernées.

La souveraineté des clés traverse ces trois objectifs : sans maîtrise des clés, aucune des trois garanties n'est réellement entre vos mains.

Ordonnés pour garantir d'abord la continuité du service, puis la maîtrise réelle de vos données.

Nous déconseillons la distribution quantique de clés à la quasi-totalité de nos clients : matériel coûteux, portée limitée, liaison point à point uniquement. Le secteur public et les opérateurs critiques constituent l'exception réelle.

Trois conditions se réunissent rarement, sauf chez vous : une liaison fixe entre deux sites que vous maîtrisez, des données dont la sensibilité se compte en décennies, et une exigence de souveraineté qui justifie de ne dépendre d'aucune hypothèse mathématique.

La QKD apporte alors quelque chose qu'aucune solution logicielle ne peut offrir : la détection physique de toute interception. Sur une liaison entre deux bâtiments sensibles, cette propriété a une valeur opérationnelle réelle.

Jamais comme une brique isolée. Une liaison QKD protège un lien physique précis ; tout le reste de votre système d'information doit être couvert par la cryptographie post-quantique logicielle. Les deux couches se complètent.

Notre étude de faisabilité tranche honnêtement : distance entre sites, disponibilité de fibre dédiée, volume et sensibilité des flux. Dans la majorité des cas, y compris publics, elle conclut qu'une solution post-quantique suffit — et nous le disons. Comprendre la QKD en détail.

Six étapes conçues pour des structures aux moyens humains contraints, où le service public ne peut pas s'interrompre et où chaque dépense doit être justifiable.

Tarifs HT indicatifs, adaptables aux procédures de marchés publics. Chaque formule inclut les livrables de la précédente.

Votre statut et la nature de vos systèmes déterminent le premier chantier.

Zivyx Quantum cartographie vos données et hébergements, identifie les traitements exposés à une juridiction étrangère et évalue votre écart aux référentiels ANSSI. Audit de souveraineté en trois à cinq semaines, devis sous 48 heures.

Souveraineté des données, référentiels ANSSI, sécurité des collectivités territoriales, obligations des opérateurs d'importance vitale et hébergement souverain : Zivyx Quantum accompagne le secteur public et les opérateurs critiques en France, Belgique, Suisse et Luxembourg.

souveraineté des donnéesréférentiels ANSSIsécurité collectivités territorialesopérateur d'importance vitale OIVhébergement souverainqualification SecNumCloudsouveraineté numériquemaîtrise des clés de chiffrementcloud de confianceextraterritorialité des donnéesRGS référentiel général de sécuritéhomologation de sécuritéanalyse de risque EBIOSguide d'hygiène informatiquedirective NIS2entité essentiellenotification d'incident ANSSIcontinuité de service publicplan de reprise d'activitéprotection rançongiciel collectivitésauvegarde immuablesegmentation systèmes critiquestélémaintenance éditeurdonnées d'administrésétat civil dématérialisétéléservices publicscryptographie post-quantiquemode hybride ANSSIML-KEM ML-DSAQKD distribution quantique de clésliaison intersites sécuriséeHSM souverainKMS maîtrise des clésjournalisation scelléemarché public cybersécuritéaudit de souveraineté

© 2026 Zivyx Chiffrement Quantique. All Rights Reserved