L’agriculture et les data centers n’ont pas grand-chose en commun. Pourtant, Yves Reding, CEO d’EBRC et président de l’asbl Cloud Community Europe - Luxembourg, qui représente les acteurs luxembourgeois de ce secteur et fait partie du réseau européen du même nom, aime faire le parallèle pour mieux expliquer la complexité de l’industrie du cloud computing.

«L’industrialisation de l’agriculture dans les années 1960 a entraîné une standardisation de la production et une baisse des prix de vente des céréales, des fruits et des légumes. Mais aujourd’hui, les petits producteurs ont retrouvé leur place sur le marché, avec une priorité qui a été remise sur la qualité, sur le bio», explique-t-il. «Dans le secteur du cloud, c’est pareil. Il y a les grands fournisseurs globaux, comme Google, Amazon ou Microsoft, qui produisent de façon standardisée et proposent les mêmes contrats à Singapour, New York ou Luxembourg. Et puis, il y a les acteurs plus petits, qui sont plus proches de leurs clients et peuvent offrir des services sur mesure. C’est un positionnement différent.»

Cette explication a le mérite d’être pédagogique, mais la réalité est toutefois un peu plus compliquée. Car la compétition qui se joue actuellement sur ce marché se base principalement sur les prix, et les géants américains comptent bien rafler la mise en profitant de leur présence aux quatre coins du monde pour faire des économies d’échelle.

Infrastructure, plateforme et software

Il s’agit en effet d’un moment-clé de l’économie du numérique, dans laquelle le cloud joue un rôle de plus en plus important. «Aujourd’hui, dans l’IT, il n’y a plus que du cloud», rappelle Yves Reding. Mais le secteur a ses spécificités, à savoir la localisation des machines de stockage – elles peuvent être gérées en interne ou dans un data center externe – et leur management – les données qu’elles contiennent peuvent être managées ou non.

À cela s’ajoutent trois niveaux de service: l’infrastructure (infrastructure as a service – IaaS), soit les disques durs qui contiennent les données, la plateforme digitale d’interaction avec ces données (platform as a service – PaaS) et les logiciels accessibles sur le cloud (software as a service - SaaS).

Les fournisseurs de cloud basés aujourd’hui au Luxembourg, une vingtaine, proposent tous ces services. Mais il semble difficile de croire qu’ils pourront concurrencer longtemps Google, Amazon ou Microsoft sur l’IaaS. Car le cloud n’a, par définition, pas de frontières, et un client européen peut très bien avoir ses données stockées sur des machines en Asie ou en Amérique du Sud.

«C’est pour cela que nous devons clairement nous positionner au niveau du pays», remarque Jean Diederich, partner chez Wavestone et président de l’Apsi (Association des professionnels de la société de l’information). «Notre position future sur le marché du cloud dépend de ce choix que nous devons faire dès aujourd’hui.»

Notre position future sur le marché du cloud dépend de ce choix que nous devons faire dès aujourd’hui.

Jean Diederich, Président (Apsi)

Les mêmes règles pour tous

Une première piste de réflexion pourrait se trouver dans la circulaire 17/654 de la CSSF. Publiée au mois de mai, elle définit un cadre très précis de la sous-traitance informatique reposant sur une infrastructure de cloud computing dans le secteur financier.

«Il y a plus d’un an, alors que nous commencions à recevoir des demandes d’établissements financiers qui s’intéressaient au cloud, nous nous sommes rendu compte que les grands fournisseurs de ces services ne pouvaient pas répondre aux règles internationales en la matière, car leurs contrats étaient trop globaux», explique David Hagen, premier conseiller de direction à la CSSF, en charge de la surveillance des systèmes d’information et des PSF de support. «Mais ils se sont montrés intéressés. Nous avons porté de nombreuses discussions ensemble et ils ont été d’accord pour faire des compromis, comme le droit à l’audit de leurs installations par le régulateur.»

Nous avons porté de nombreuses discussions ensemble et ils ont été d’accord pour faire des compromis, comme le droit à l’audit de leurs installations par le régulateur.

David Hagen, Premier conseiller de direction (CSSF)

L’une des spécificités de cette circulaire est que le fournisseur de services cloud n’a pas besoin d’être un organisme agréé par la CSSF. Les obligations réglementaires reviennent donc à l’opérateur des ressources, qui peut être un PSF de support, et qui devra s’assurer que son prestataire est en total respect de la loi. À cela s’ajoute l’obligation de nommer un cloud officer, capable de maîtriser et de documenter la gestion des ressources de cloud computing.

«Cette circulaire a été très bien accueillie dans le secteur, car elle offre un cadre clair jusqu'alors,, nous étions dans le flou artistique», commente Yves Reding. «Ce que les fournisseurs demandent avant tout, c’est que les règles du jeu soient les mêmes pour tout le monde. Or notre grande peur est que les géants imposent les leurs en Europe et anéantissent la richesse de l’écosystème actuel, qui est appréciée par les clients.»

Le gène de la cybersécurité

La CSSF a donc mis la barre haute en matière de garanties à apporter pour pouvoir fournir des services de cloud computing dans le domaine financier. Une situation qui permet aux fournisseurs locaux de se différencier des «big players» en proposant des prestations de qualité, notamment en termes de flexibilité et de proximité avec le client, à défaut de proposer des prix compétitifs.

Mais il n’y a pas que le secteur financier, rappelle Jean Diederich. Et si aujourd’hui Google, Amazon et Microsoft sont devenus des géants du cloud, c’est parce qu’ils ont touché tous les autres secteurs avant de s’intéresser à celui de la finance, ajoute le président de l’Apsi.

«Selon moi, il y a trois stratégies différentes au Luxembourg autour du cloud, mais elles ne sont pas intégrées. La première concerne le secteur financier, la deuxième le secteur privé hors finance, qui n’a pas les mêmes moyens et cherche aussi à se positionner, et la troisième renvoie au secteur public, européen et national, qui est aussi un grand consommateur de ressources cloud», détaille-t-il. «On devrait donc se poser la question des ressources que l’on souhaite mutualiser.»

Une position d’autant plus pertinente que la cybersécurité constitue un enjeu primordial dans le contexte de digitalisation. L’évolution des technologies rend en effet le chantier de la protection des données numériques gigantesque et en permanente mutation.

L’écosystème luxembourgeois dans ce domaine, qui mêle acteurs publics et privés, est donc un atout incomparable. «Les sociétés de services cloud luxembourgeois sont connues à l’étranger comme ayant le gène de la cybersécurité», confirme Yves Reding. «D’ailleurs, la grande majorité des entreprises luxembourgeoises ne confient pas leurs données critiques à des ‘big players’, mais préfèrent s’adresser à des sociétés de services locales dans lesquelles ils ont plus confiance.»

La grande majorité des entreprises luxembourgeoises ne confient pas leurs données critiques à des ‘big players’, mais préfèrent s’adresser à des fournisseurs locaux dans lesquels ils ont plus confiance.

Yves Reding, Président (Cloud Community Europe - Luxembourg)

Même si la stratégie n’est pas encore très précise, le secteur du cloud luxembourgeois est donc en ordre de bataille pour se positionner sur ce marché mondial du cloud computing et résister aux assauts des géants américains.

Quant à la venue possible de Google à Bissen, elle ne constitue pas un danger. «Au contraire, il s’agit d’une belle carte de visite pour l’économie luxembourgeoise à l’international», s’accordent à dire les trois intervenants. «De toute façon, il n’y aura aucun impact sur le marché du cloud, car, par définition, nous sommes tous sur un nuage.»