Le premier critère, relatif à l’assujettissement au droit européen du fournisseur de la plateforme, soulève des interrogations tant techniques que juridiques. Tout d’abord, l’assujettissement à un droit, quand bien même celui-ci serait particulièrement développé en matière de cybersécurité, ne garantit en aucun cas que le prestataire en cause a bien mis en œuvre des mesures de cybersécurité.

En effet, le simple assujettissement ne peut être un critère d’évaluation, dans le cadre d’un audit, au même titre que la mise en place de mesures concrètes et tangibles.

Ce critère ne peut servir à garantir la sécurité de l'information, car il vise clairement à discriminer les fournisseurs non européens et à favoriser de manière injustifiée les organisations ayant leur siège dans l'UE.

En outre, elle suppose simplement que le fait d'être soumis à un ensemble de lois conduit automatiquement le fournisseur à offrir des mesures de sécurité plus élevées qu'un fournisseur qui ne l'est pas, ce qui conduit à une situation absurde dans laquelle le fournisseur européen serait considéré comme offrant un niveau de protection plus élevé par rapport à son homologue non européen, même si le fournisseur européen enfreint ces obligations légales.

De plus, l’AFNUM s’interroge sur la possibilité concrète de graduer l’assujettissement à un droit. Soit l’entité en cause est soumise au droit européen, et doit de fait l’appliquer, soit elle ne l’est pas, il n’est tout simplement pas possible d’apposer une note, de C à A+, sur un critère qui, par nature, est binaire.

Enfin, nous souhaiterions préciser que les obligations européennes relatives à la protection des données et à la cybersécurité ont un champ d’application particulièrement large. Ainsi, le RGPD s’impose à toute personne traitant ou récoltant les données personnelles d’une personne située sur le territoire de l’Union et la directive NIS 2 cible l’ensemble des personnes morales fournissant des services à destination de l’UE.

Le droit européen et en particulier le RGPD et la directive NIS2 sont donc parfaitement adaptés aux enjeux transfrontalier du numérique et essayer de graduer son applicabilité ne ferait que rajouter de la confusion et de l’incertitude juridique pour les opérateurs économiques.