Le cloud souverain s’est imposé dans les comités de direction comme une évidence, alors que le terme ne repose sur aucune définition juridique unique. Pour une DSI, l’enjeu n’est pas d’adopter une étiquette mais de savoir précisément quelles données doivent échapper à quelles juridictions, à quel prix et avec quelle porte de sortie. Une migration décidée sur la promesse d’un fournisseur, sans examen des contrats ni de la chaîne de sous-traitance, se découvre souvent fragile au premier audit. Voici les points que l’équipe informatique a intérêt à instruire avant de signer, du statut réglementaire de l’offre jusqu’au coût de la sortie.
Ce que recouvre vraiment un cloud souverain
Le mot « souverain » mélange trois notions qu’il vaut mieux séparer dès le cadrage du projet. La première est la localisation des données : les serveurs sont-ils situés en France ou dans l’Union européenne ? C’est la condition la plus simple à vérifier et la moins suffisante. La deuxième est l’immunité juridique : le fournisseur, ses actionnaires et ses sous-traitants peuvent-ils être contraints par une autorité étrangère de livrer des données, même stockées sur le sol européen ? La troisième est l’autonomie opérationnelle : l’exploitation, le support et l’administration des plateformes sont-ils assurés par du personnel et des entités soumis au droit européen ?
Un hébergeur peut cocher la première case et échouer sur les deux autres. C’est le cas de nombreuses régions européennes opérées par des groupes dont le siège est hors de l’Union. Inversement, un acteur européen de petite taille peut garantir l’immunité juridique tout en dépendant de briques logicielles ou matérielles extra-européennes, ce qui pose une question de dépendance technologique plutôt que juridique.
La DSI doit donc commencer par une question plus modeste : quelles données justifient réellement ce niveau d’exigence ? Les données de santé, les secrets industriels, les informations couvertes par la défense ou les données personnelles sensibles n’ont pas le même statut que les journaux d’une application marketing. Une classification préalable des données évite de payer le surcoût d’un cloud souverain pour des charges qui n’en ont pas besoin, et inversement de laisser partir des informations critiques vers une plateforme mal protégée.
SecNumCloud et cadre réglementaire français
En France, la référence la plus exigeante est la qualification SecNumCloud, délivrée par l’ANSSI à l’issue d’une évaluation menée par un centre agréé. Le référentiel couvre la sécurité technique et organisationnelle de l’offre, et sa version 3.2, publiée en 2022, a ajouté des critères de protection contre le droit extraterritorial : le fournisseur doit notamment avoir son siège dans l’Union européenne et ne pas être contrôlé, directement ou indirectement, par des entités non européennes au-delà de certains seuils.
Une qualification porte sur une offre précise, pas sur un fournisseur dans son ensemble. Un hébergeur peut proposer un service qualifié et d’autres qui ne le sont pas. La DSI doit donc demander l’attestation correspondant exactement au service envisagé, et vérifier sur la liste publique tenue par l’ANSSI que la qualification est en cours de validité. Le processus d’évaluation est long, et certaines offres annoncent une qualification « en cours » : ce statut ne garantit rien tant qu’il n’a pas abouti.
Pour le secteur public, la doctrine dite « cloud au centre », fixée par une circulaire du Premier ministre de 2021 puis actualisée, oriente les administrations vers des offres qualifiées pour les données sensibles. La loi visant à sécuriser et réguler l’espace numérique, adoptée en 2024, a donné une base législative à cette exigence pour certaines données de l’État et de ses opérateurs. Les entreprises privées ne sont pas soumises à ces textes, mais elles s’en servent de plus en plus comme référence, en particulier lorsqu’elles travaillent pour des clients publics ou des opérateurs d’importance vitale.
Le droit européen joue aussi un rôle direct. Le RGPD encadre les transferts de données personnelles hors de l’Union et impose d’évaluer le niveau de protection du pays destinataire. Le Data Act européen, applicable depuis septembre 2025, contient des dispositions sur le changement de fournisseur de cloud et prévoit la suppression progressive des frais de changement, ce qui renforce la position de négociation des clients. Un schéma européen de certification du cloud est en préparation depuis plusieurs années, mais la place qu’il réservera aux critères de souveraineté a fait l’objet de longs débats entre États membres : mieux vaut ne pas fonder une stratégie sur son contenu final.
Lois extraterritoriales : mesurer le risque réel
Le débat sur le cloud souverain est né en grande partie des lois américaines à portée extraterritoriale. Le Cloud Act de 2018 permet aux autorités des États-Unis d’exiger d’un fournisseur soumis à leur juridiction la communication de données qu’il contrôle, y compris lorsqu’elles sont stockées à l’étranger. La section 702 du FISA autorise par ailleurs des programmes de renseignement visant des personnes non américaines. Ces textes concernent l’entité qui contrôle les données, pas l’emplacement du serveur.
Le risque doit pourtant être évalué avec sang-froid. Pour la plupart des données de gestion d’une entreprise, la probabilité d’une réquisition étrangère reste faible. Pour d’autres, comme les plans d’un programme industriel sensible, les données d’un sous-traitant de la défense ou les dossiers d’un contentieux international, l’exposition devient un vrai sujet de gouvernance. L’exercice utile consiste à croiser trois facteurs : la sensibilité de la donnée, la probabilité d’un intérêt étranger et l’impact d’une divulgation.
Le chiffrement apporte une partie de la réponse. Si les clés sont générées et conservées par l’entreprise, dans un module matériel qu’elle contrôle, le fournisseur ne peut pas livrer des données en clair. Cette approche, souvent appelée gestion externe des clés, a cependant ses limites : un traitement applicatif suppose en général que les données soient déchiffrées en mémoire, sur l’infrastructure du fournisseur. Le chiffrement réduit le risque, il ne le supprime pas.
Réversibilité et coûts : la sortie se prépare à l’entrée
La question la plus souvent négligée concerne la sortie. Un contrat de cloud se signe en quelques semaines, une migration inverse peut prendre des mois. La clause de réversibilité doit décrire précisément le format des données restituées, les délais, l’assistance fournie, le coût de l’extraction et la durée pendant laquelle le service reste accessible après la résiliation. Une formule vague du type « restitution dans un format standard » ne protège pas grand-chose.
La dépendance technique pèse autant que le contrat. Plus une application s’appuie sur des services propriétaires du fournisseur, comme des bases de données managées spécifiques ou des fonctions événementielles, plus son portage sera coûteux. Les technologies ouvertes, conteneurs, orchestrateurs standards, bases de données open source, facilitent un éventuel changement d’hébergeur. Cette discipline a un prix en productivité au départ, mais elle conserve des options.
Côté budget, un cloud souverain qualifié coûte en général plus cher qu’une offre standard d’hyperscaler, à cause des exigences de sécurité, d’un catalogue de services plus restreint et d’économies d’échelle moindres. L’écart varie fortement selon les charges : il peut être marginal pour de l’infrastructure brute et sensible pour des services managés avancés. La comparaison doit intégrer les frais de sortie de données, le support, les licences logicielles et le temps d’exploitation interne.
| Poste de coût | Offre standard | Offre qualifiée souveraine | Point de vigilance |
|---|---|---|---|
| Calcul et stockage bruts | Référence de marché | Surcoût modéré à notable | Comparer à configuration identique |
| Services managés avancés | Catalogue très large | Catalogue plus restreint | Fonctions à redévelopper en interne |
| Sortie de données | Souvent facturée au volume | Variable selon contrat | Encadrée par le Data Act |
| Support et conformité | Standardisés | Plus d’engagements contractuels | Lire les annexes de sécurité |
| Compétences internes | Profils abondants | Profils plus rares | Coût de formation à prévoir |
Beaucoup d’organisations retiennent une architecture mixte : les données les plus sensibles sur une offre qualifiée, le reste sur des plateformes plus riches, avec une gouvernance commune. Cette approche multi-cloud demande des outils de supervision et de gestion des identités unifiés, faute de quoi la complexité devient elle-même un risque de sécurité. Les outils déployés hors de tout contrôle par les métiers aggravent le problème, comme le détaille notre dossier sur le shadow IT et son encadrement.
Grille de questions à poser à un fournisseur de cloud souverain
Avant de comparer des offres, la DSI gagne à formaliser une grille unique, envoyée à chaque candidat et notée de la même façon. Les questions ci-dessous couvrent l’essentiel.
Statut juridique et contrôle
- Où se situe le siège social du fournisseur, et qui contrôle son capital ?
- Une partie de l’exploitation, du support ou de la maintenance est-elle confiée à une entité hors de l’Union européenne ?
- L’offre visée est-elle qualifiée SecNumCloud, et pour quel périmètre exact ?
- Quels sous-traitants interviennent, et comment le client est-il informé d’un changement ?
Sécurité et données
- Où les données, les sauvegardes et les journaux sont-ils stockés ?
- Le client peut-il gérer lui-même ses clés de chiffrement, et dans quel type de module ?
- Quels accès les administrateurs du fournisseur ont-ils aux environnements du client, et comment sont-ils tracés ?
- Quelle procédure s’applique en cas d’incident, et sous quel délai le client est-il prévenu ?
La gestion de crise mérite d’être testée, pas seulement décrite : un hébergeur souverain ne protège pas contre un rançongiciel qui chiffre les données depuis un poste compromis. Les mesures de préparation sont détaillées dans notre article sur la préparation à un ransomware.
Réversibilité et engagement
- Sous quel format et quel délai les données sont-elles restituées en fin de contrat ?
- Les frais de sortie sont-ils plafonnés ou supprimés ?
- Quels engagements de disponibilité sont pris, et quelles pénalités s’appliquent en cas de manquement ?
Une dernière dimension entre désormais dans les appels d’offres : l’empreinte environnementale de l’hébergement. L’efficacité énergétique des salles, l’origine de l’électricité et la durée de vie des serveurs pèsent sur le bilan de l’entreprise, et peuvent se mesurer avec des indicateurs environnementaux du système d’information que la DSI a intérêt à exiger dès la consultation.
Un choix éclairé ne se résume donc pas à une étiquette. Le cloud souverain répond à un besoin réel pour une partie des données, à condition de savoir lesquelles, de vérifier la qualification de l’offre plutôt que le discours commercial, et de préparer la sortie avant même l’entrée. C’est cette discipline contractuelle qui distingue une souveraineté effective d’une souveraineté de façade.