Ce qu'ont réellement testé l'ANSSI et le BSI
Le 17 août 2026, l'agence française de cybersécurité ANSSI a accordé à Nextcloud Files, version 31.0.7.2, sa certification CSPN, le niveau de sécurité de référence exigé dans les marchés publics français. Les évaluateurs ont mené des tests de vulnérabilité et d'intrusion sur cinq fonctions précises, authentification, contrôle d'accès, protection des données stockées, communications HTTPS et journalisation, dans une configuration hébergée sur site, sans relever d'anomalie. Séparément, une installation Nextcloud exploitée par Dataport, le prestataire informatique public de plusieurs Länder allemands, fonctionne désormais au sein d'un environnement certifié selon le référentiel BSI IT-Grundschutz, intégré au système de management de la sécurité de Dataport plutôt que certifiée comme produit autonome.
Une certification, deux pays
Ce qui transforme deux homologations nationales distinctes en une seule histoire, c'est la reconnaissance, pas la coïncidence. Le BSI allemand traite formellement la CSPN de l'ANSSI comme équivalente à son propre schéma accéléré, la Beschleunigte Sicherheitszertifizierung, parce que les deux se rattachent à la même norme européenne, l'EN 17640, conçue pour être compatible avec le Cybersecurity Act de l'UE. En pratique, un éditeur n'a plus besoin de passer deux audits nationaux séparés pour prouver la même garantie de sécurité sur les deux plus grands marchés publics de l'UE; une seule certification fait désormais le travail des deux.
La promesse du Cybersecurity Act de l'UE, mise à l'épreuve
Le Cybersecurity Act a été rédigé sur l'idée qu'un schéma de certification unique à l'échelle de l'UE pourrait remplacer 27 régimes nationaux fragmentés, réduisant le coût de conformité en double pour tout éditeur vendant au-delà des frontières. Une grande partie de cette promesse est restée théorique, les schémas de la loi étant encore en construction; la reconnaissance entre l'ANSSI et le BSI est l'un des premiers cas où elle a visiblement fonctionné pour un produit réel, et ce n'est pas un géant technologique américain qui en a profité, mais une plateforme de collaboration open source que la plupart des acheteurs publics européens ne choisissent toujours pas par défaut.
Ce que cela change pour un acheteur
Pour toute organisation de l'UE ou du Royaume-Uni qui envisage, pour des raisons de conformité, une alternative hébergée dans l'UE à Microsoft 365 ou Google Workspace, le changement concret est une friction d'achat réduite: une certification déjà reconnue par son homologue public allemand vaut désormais aussi dans un appel d'offres français, et inversement, sans nouveau cycle d'audit. Cela ne rend pas Nextcloud plus sûre en soi que les éditeurs établis, et cela couvre une version de produit et une configuration d'hébergement précises, pas chaque installation. Mais c'est le premier cas de référence transfrontalier auquel une équipe achats peut réellement se référer, plutôt que la seule affirmation de conformité d'un éditeur.
À lire ensuite: La France sort sa base de données de santé d'Azure | Une couche IA souveraine parle l'API d'OpenAI
