Un état des lieux chiffré de la dépendance numérique des organisations françaises : recours au cloud étranger, exposition au CLOUD Act et progression du cloud souverain.

Les grands enseignements

• Une part majoritaire des données d'entreprise transite encore par des fournisseurs soumis au droit américain.
• La conformité (RGPD, NIS2) est le premier moteur de bascule vers le souverain.
• La sensibilisation progresse plus vite que les migrations effectives.

Pourquoi ce baromètre

Parce qu'on ne pilote bien que ce que l'on mesure. Ces repères aident dirigeants et DSI à situer leur organisation et à prioriser. Selon votre secteur, vous pourriez être plus exposé que la moyenne.

Demander une consultation — comparez votre situation aux repères du baromètre. Parler à un expert

Questions fréquentes

Quelle part des entreprises françaises utilisent un cloud américain ?

Une majorité, directement ou indirectement via des outils du quotidien — d'où l'enjeu d'une cartographie précise des dépendances.

Une migration vers un cloud souverain n'a rien d'un saut dans le vide. Bien conduite, elle se déroule par étapes, sans interruption de service et avec une réversibilité garantie de bout en bout.

Les étapes d'une migration maîtrisée

1. Cartographie — inventaire des applications, données et dépendances (voir le diagnostic).
2. Classification — identifier les données sensibles ou réglementées (RGPD, HDS, secrets).
3. Architecture cible — choix de l'hébergement souverain et des modalités de chiffrement.
4. Migration par lots — bascule progressive, charge non critique d'abord.
5. Vérification et réversibilité — tests, documentation, garanties de sortie sans verrou propriétaire.

Combien de temps prend une migration ?

De quelques semaines pour un périmètre simple à plusieurs mois pour un système d'information complexe. Le facteur déterminant n'est pas la technique mais la classification préalable des données.

Comment garantir la réversibilité ?

En exigeant dès le départ des formats portables, des standards ouverts et des clauses contractuelles de sortie sans frais cachés ni délais de pénalité.

Faire le diagnostic en 2 minutes — obtenez une première trajectoire de migration adaptée à votre SI. Démarrer le diagnostic

Questions fréquentes

Combien de temps prend une migration cloud souverain ?

De quelques semaines à plusieurs mois selon la complexité ; la classification des données est l'étape déterminante.

Comment garantir la réversibilité ?

Par des formats portables, des standards ouverts et des clauses de sortie claires inscrites au contrat.

Un cloud souverain est une infrastructure d'hébergement dont les données, les opérations et la gouvernance échappent à toute juridiction extra-européenne. Concrètement : vos données restent en Europe, sont opérées par une entité non soumise au droit américain, et personne ne peut être contraint de les livrer à une puissance étrangère.

Pour les entreprises et organisations qui manipulent des données sensibles ou réglementées, ce n'est plus une préférence — c'est une condition de conformité et de continuité d'activité.

Qu'est-ce qu'un cloud souverain ?

La souveraineté d'un cloud ne se résume pas à un drapeau ou à l'adresse d'un datacenter. Elle se mesure sur trois plans complémentaires, et un cloud n'est réellement souverain que s'il les couvre tous les trois :

• Souveraineté des données — stockage et traitement exclusivement sur le territoire européen, avec chiffrement et gestion des clés maîtrisée par le client (HSM, KMS).
• Souveraineté opérationnelle — administration et maintenance assurées par des personnels et des sociétés relevant du droit européen, sans accès distant depuis une juridiction tierce.
• Souveraineté juridique — immunité face aux lois extraterritoriales comme le CLOUD Act, garantie par la structure capitalistique et contractuelle du fournisseur.

Un hébergement « en France » qui ne coche pas ces trois cases — par exemple une offre techniquement opérée sous licence d'un acteur américain — n'est pas souverain au sens fort.

Cloud souverain ou cloud de confiance : quelle différence ?

Les deux notions sont souvent confondues. Le cloud de confiance correspond à un label français reposant sur la qualification SecNumCloud de l'ANSSI : il garantit à la fois un très haut niveau de sécurité technique *et* l'immunité aux droits extra-européens. Un cloud souverain est le concept plus large ; le cloud de confiance en est la traduction certifiée et opposable la plus exigeante en France. Autrement dit : tout cloud de confiance est souverain, mais tout cloud présenté comme « souverain » n'est pas nécessairement qualifié.

Pourquoi la souveraineté du cloud est devenue stratégique

Trois forces convergent. D'abord la pression réglementaire : RGPD, NIS2 et, pour la santé, la certification HDS imposent des garanties que seul un hébergement maîtrisé peut offrir durablement. Ensuite le risque géopolitique : l'extraterritorialité du droit américain expose le patrimoine informationnel des entreprises. Enfin la demande de réversibilité : les organisations veulent pouvoir changer de fournisseur sans verrou propriétaire.

Les acteurs du cloud souverain en France

Le marché français compte plusieurs offres positionnées sur la souveraineté — OVHcloud, Outscale (Dassault Systèmes), Orange Business, ou encore Bleu. Toutes ne se valent pas selon votre besoin : certaines sont qualifiées SecNumCloud sur des technologies entièrement maîtrisées, d'autres s'appuient sur des technologies sous licence américaine, ce qui fragilise la souveraineté juridique. Notre comparatif des clouds souverains détaille ces écarts acteur par acteur.

Faut-il un cloud souverain pour votre organisation ?

Tout dépend de la nature de vos données. Données de santé, données personnelles sensibles, secrets industriels, missions de service public : dans ces cas, la souveraineté n'est pas optionnelle. Pour des données moins sensibles, une approche hybride peut suffire — d'où l'importance d'une classification préalable plutôt que d'une bascule uniforme.

Le passage au cloud souverain est un projet structurant, mais il se conduit par étapes — sans interruption de service et avec une réversibilité garantie.

Demander une consultation — nos experts évaluent votre besoin de souveraineté et la trajectoire la plus adaptée. Parler à un expert

Questions fréquentes

Qu'est-ce qu'un cloud souverain ?

Une infrastructure dont les données, l'exploitation et la gouvernance échappent aux juridictions extra-européennes, garantissant que vos données ne peuvent être livrées à une puissance étrangère.

Quelle différence entre cloud souverain et cloud de confiance ?

Le cloud de confiance est la version labellisée (qualification SecNumCloud de l'ANSSI) du cloud souverain en France.

Quels sont les clouds souverains français ?

Parmi les principaux : OVHcloud, Outscale, Orange Business et Bleu — avec des niveaux de souveraineté variables détaillés dans notre comparatif.

Toute organisation qui héberge des données de santé à caractère personnel pour le compte de tiers doit recourir à un hébergeur certifié HDS. Une exigence à la croisée de la santé, du RGPD et de la souveraineté.

Qu'est-ce que la certification HDS ?

La certification Hébergeur de Données de Santé atteste qu'un prestataire respecte un référentiel strict de sécurité, de confidentialité et de traçabilité pour les données médicales. Elle est délivrée après audit par un organisme accrédité.

Qui doit être certifié HDS ?

Établissements de santé, éditeurs de logiciels médicaux, laboratoires, start-up e-santé : dès que des données de santé sont hébergées pour autrui, la certification de l'hébergeur est obligatoire. Pour ces données particulièrement sensibles, le recours à un cloud souverain immunisé contre le CLOUD Act est vivement recommandé.

Demander une consultation — sécurisez l'hébergement de vos données de santé en conformité HDS et souveraineté. Parler à un expert

Questions fréquentes

Qu'est-ce que la certification HDS ?

Une certification française attestant qu'un hébergeur respecte un référentiel strict pour les données de santé personnelles.

Qui doit être certifié HDS ?

Tout acteur hébergeant des données de santé pour le compte de tiers (établissements, éditeurs, e-santé).

Pour les administrations et collectivités, la souveraineté numérique n'est pas une option : c'est une doctrine de l'État. Les données publiques sensibles doivent être hébergées sur un cloud maîtrisé, à l'abri des lois étrangères.

La doctrine « Cloud au centre »

La doctrine impose que les données sensibles de l'État soient hébergées soit sur un cloud interne, soit sur un cloud commercial qualifié SecNumCloud — donc immunisé contre le CLOUD Act.

Quel cloud pour une administration publique ?

Un cloud souverain qualifié, garantissant hébergement européen, exploitation maîtrisée et réversibilité. Les collectivités, soumises aux mêmes enjeux de confiance citoyenne, ont intérêt à s'aligner sur cette exigence, en cohérence avec NIS2.

Demander une consultation — accompagnement des administrations et collectivités vers un cloud conforme à la doctrine de l'État. Parler à un expert

Questions fréquentes

Quel cloud pour une administration publique ?

Un cloud souverain qualifié SecNumCloud, conforme à la doctrine « Cloud au centre ».

Qu'est-ce que la doctrine Cloud au centre ?

La règle imposant que les données sensibles de l'État soient hébergées sur un cloud interne ou qualifié SecNumCloud.

En quelques questions, identifiez vos dépendances numériques, votre exposition aux lois extra-européennes et vos premières priorités d'action. Cet outil est indicatif : il vous aide à objectiver le risque, sans se substituer à un audit complet.

Ce que le diagnostic évalue

• Hébergement — où et par qui sont opérées vos données ?
• Exposition juridique — êtes-vous concerné par le CLOUD Act ?
• Conformité — vos obligations (RGPD, NIS2, HDS) sont-elles couvertes ?
• Réversibilité — pourriez-vous changer de fournisseur sans verrou ?

Comment ça marche

Vous répondez à une série de questions simples sur vos outils et vos données. À la fin, vous obtenez un niveau de souveraineté indicatif et des recommandations priorisées. Selon vos réponses, vous pourriez être concerné par des obligations que vous ne soupçonniez pas.

Faire le diagnostic en 2 minutes — recevez votre niveau de souveraineté et vos actions prioritaires. Démarrer le diagnostic

Questions fréquentes

Comment évaluer sa souveraineté numérique ?

En cartographiant ses dépendances (hébergement, exposition juridique, conformité, réversibilité) — ce que fait ce diagnostic.

Comment cartographier ses dépendances numériques ?

En recensant les services utilisés, leur opérateur réel et les données qui y transitent ; le diagnostic vous guide pas à pas.

Obtenez une première fourchette budgétaire pour votre projet de migration vers un cloud souverain, selon votre volume de données, vos applications et vos exigences de conformité.

Ce qui détermine le coût

• Volume et complexité des données à migrer.
• Niveau de conformité requis (SecNumCloud, HDS).
• Refonte applicative éventuelle pour les applications non portables.
• Accompagnement (audit, migration par étapes, réversibilité).

Le cloud souverain est-il plus cher ?

L'écart s'est fortement réduit. Sur des charges optimisées, la différence avec un cloud public américain est aujourd'hui marginale — et largement compensée par la réduction du risque juridique et de conformité.

Estimer mon projet — recevez une fourchette budgétaire indicative adaptée à votre contexte. Lancer l'estimation

Questions fréquentes

Combien coûte une migration vers un cloud souverain ?

Cela dépend du volume, de la complexité applicative et du niveau de conformité ; l'estimateur fournit une première fourchette.

Le cloud souverain est-il plus cher ?

L'écart est désormais marginal sur les charges optimisées, et compensé par la baisse du risque juridique.

SecNumCloud est le référentiel de qualification édité par l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Il atteste qu'un service cloud atteint le plus haut niveau d'exigence français en matière de sécurité — et, point décisif, qu'il est immunisé contre les législations extra-européennes comme le CLOUD Act.

Qu'est-ce que SecNumCloud ?

C'est un visa de sécurité officiel délivré par l'État. Un prestataire qualifié SecNumCloud (référentiel actuel 3.2) a démontré, audit à l'appui, qu'il satisfait plusieurs centaines d'exigences techniques et organisationnelles. La qualification ne se déclare pas : elle s'obtient après un audit indépendant et se maintient dans le temps.

Les exigences couvrent notamment :

• l'hébergement et l'exploitation en Europe, par des personnels habilités ;
• le chiffrement et une gestion rigoureuse des clés ;
• la réversibilité et l'absence de verrou propriétaire ;
• l'immunité juridique : la structure capitalistique ne doit pas permettre l'ingérence d'une autorité extra-européenne.

Pourquoi la qualification compte

SecNumCloud est devenu la référence de la doctrine « Cloud au centre » de l'État : pour le secteur public, héberger des données sensibles chez un prestataire qualifié est désormais la norme attendue. C'est aussi un critère structurant pour les opérateurs régulés et, plus largement, le socle du label cloud de confiance.

Pour une entreprise, exiger SecNumCloud dans un appel d'offres est le moyen le plus simple de garantir, en une ligne, à la fois la sécurité et la souveraineté juridique d'une offre.

SecNumCloud, RGPD et NIS2 : un faisceau cohérent

SecNumCloud ne remplace pas le RGPD ni la directive NIS2 : il les sert. Un hébergement qualifié facilite la conformité RGPD (pas de transfert hors UE) et fournit une bonne partie des garanties techniques attendues par NIS2. Les trois s'articulent autour d'un même objectif : la maîtrise des données.

Comment obtenir la qualification SecNumCloud ?

La démarche est exigeante et se déroule en plusieurs temps :

1. Analyse d'écart par rapport au référentiel 3.2.
2. Mise à niveau technique et organisationnelle.
3. Audit par un prestataire accrédité.
4. Délivrance de la qualification par l'ANSSI, puis maintien dans le temps.

Compter en général 8 à 18 mois selon la maturité de départ. Pour une organisation cliente, l'essentiel est plus simple : vérifier que l'offre retenue est effectivement qualifiée sur le périmètre concerné.

Faire le diagnostic en 2 minutes — évaluez votre écart à SecNumCloud et les prochaines étapes. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce que SecNumCloud ?

Une qualification de l'ANSSI attestant qu'un service cloud atteint le plus haut niveau de sécurité français et est immunisé contre les lois extra-européennes.

Comment obtenir la qualification SecNumCloud ?

Par une analyse d'écart, une mise à niveau, puis un audit accrédité avant délivrance par l'ANSSI — généralement 8 à 18 mois.

Le RGPD ne se limite pas au consentement et aux mentions légales : il encadre aussi *où* et *comment* sont hébergées les données personnelles. Le choix de l'hébergeur est donc une décision de conformité à part entière — et l'une des plus souvent négligées.

Les obligations clés en matière d'hébergement

Le règlement impose plusieurs garanties qui pèsent directement sur le choix d'infrastructure :

• la sécurité et la confidentialité des données (chiffrement, contrôle d'accès, journalisation) ;
• la limitation des accès aux seules personnes autorisées ;
• l'encadrement strict des transferts hors Union européenne vers des pays n'offrant pas un niveau de protection équivalent ;
• la capacité à démontrer sa conformité (principe d'*accountability*).

Peut-on héberger des données RGPD aux États-Unis ?

C'est précisément là que le bât blesse. Un hébergement chez un acteur soumis au droit américain expose les données au CLOUD Act, en tension directe avec le RGPD. L'invalidation du Privacy Shield (arrêt « Schrems II ») a confirmé que les clauses contractuelles types ne suffisent pas à elles seules à neutraliser ce risque dès lors que le droit du pays tiers permet un accès des autorités.

Pour les données sensibles, la voie la plus sûre est donc un hébergement européen non soumis à ce risque — c'est tout l'intérêt d'un cloud souverain ou d'un cloud de confiance qualifié.

Une démarche en trois temps

Concrètement : classer vos traitements et données (lesquels sont sensibles ?), cartographier vos hébergeurs et sous-traitants pour repérer les expositions au droit extra-européen, puis remédier en migrant les données critiques vers un hébergement conforme. Cette logique recoupe celle de la directive NIS2 et de la certification HDS pour la santé : un même socle de maîtrise des données.

Faire le diagnostic en 2 minutes — identifiez vos hébergements à risque RGPD. Démarrer le diagnostic

Questions fréquentes

Où héberger ses données pour être conforme au RGPD ?

Idéalement chez un hébergeur européen non soumis aux lois extra-européennes, avec chiffrement et clés maîtrisées.

Peut-on héberger des données RGPD aux États-Unis ?

C'est fortement déconseillé pour les données sensibles : le CLOUD Act crée un conflit direct avec les obligations du RGPD, et les clauses contractuelles seules ne suffisent pas.

La directive européenne NIS2 élargit considérablement le champ des obligations de cybersécurité. Là où la directive NIS1 visait quelques centaines d'opérateurs, NIS2 concerne des milliers d'entités « essentielles » et « importantes » réparties dans 18 secteurs d'activité.

Qu'est-ce que la directive NIS2 ?

NIS2 impose aux entités concernées un socle de mesures structurées autour de la gestion du risque :

• Gouvernance du risque — analyse, mesures techniques et organisationnelles proportionnées.
• Sécurisation de la chaîne d'approvisionnement — y compris les fournisseurs et sous-traitants numériques.
• Notification des incidents — alerte initiale sous 24 heures, puis rapports de suivi.
• Responsabilisation des dirigeants — la direction est tenue pour responsable de la conformité.

Le non-respect expose à des sanctions financières significatives et, fait nouveau, à une responsabilité directe de l'encadrement.

Mon entreprise est-elle concernée par NIS2 ?

Sont visées les entités d'une certaine taille opérant dans des secteurs comme l'énergie, la santé, les transports, le numérique, l'eau, les administrations publiques ou l'agroalimentaire. Deux catégories coexistent : les entités « essentielles » (contrôle plus strict) et « importantes ». Si vous opérez dans l'un de ces secteurs au-delà d'un seuil de taille, vous êtes probablement concerné — même si vous ne l'étiez pas sous NIS1.

La sécurisation des données et le choix d'un hébergement maîtrisé — voire d'un cloud souverain — font partie des réponses naturelles à ces exigences, en cohérence avec le RGPD et la qualification SecNumCloud.

Par où commencer sa mise en conformité

La démarche est progressive : commencer par déterminer si l'on est assujetti, puis cartographier son exposition au risque (y compris la chaîne de sous-traitance), combler les écarts techniques et organisationnels, et enfin mettre en place le dispositif de notification d'incident. Là encore, le point de départ est une cartographie honnête de l'existant — ce que la conformité NIS2 partage avec toute démarche de souveraineté.

Faire le diagnostic en 2 minutes — vérifiez si NIS2 vous concerne et vos écarts de conformité. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce que la directive NIS2 ?

Une directive européenne renforçant les obligations de cybersécurité (gestion des risques, notification d'incidents sous 24 h, responsabilité des dirigeants) pour des milliers d'entités dans 18 secteurs.

Mon entreprise est-elle concernée par NIS2 ?

Probablement si vous opérez dans un des secteurs visés au-delà d'un certain seuil de taille — un diagnostic permet de le confirmer.

Depuis 2018, une loi fédérale américaine — le CLOUD Act (*Clarifying Lawful Overseas Use of Data Act*) — autorise les autorités des États-Unis à exiger d'un fournisseur américain qu'il communique les données qu'il détient, où qu'elles soient stockées dans le monde. Y compris dans un datacenter situé en France.

Pour une entreprise ou une administration française, cela soulève une question concrète : vos données les plus sensibles, parce qu'elles transitent par un prestataire soumis au droit américain, peuvent-elles vous échapper sans même que vous en soyez informé ? La réponse, dans bien des cas, est oui — et c'est précisément ce que la plupart des responsables informatiques sous-estiment.

Qu'est-ce que le CLOUD Act, concrètement ?

Le CLOUD Act a été adopté en mars 2018 pour clarifier une zone grise du droit américain : jusqu'où une injonction judiciaire peut-elle contraindre un fournisseur à livrer des données stockées hors du territoire des États-Unis ? La réponse apportée par le texte est sans ambiguïté : la localisation des données est indifférente.

Le mécanisme repose sur un principe d'extraterritorialité. Ce n'est pas le lieu de stockage qui compte, mais la nationalité — ou le rattachement juridique — du prestataire. Un hébergeur dont la maison mère est américaine, ou une filiale européenne contrôlée par un groupe américain, peut être contraint par un mandat émis aux États-Unis de livrer des données clients, quel que soit le pays où se trouvent physiquement les serveurs.

Trois éléments sont essentiels à retenir :

• La localisation ne protège pas. Des données hébergées « en Europe » par un acteur américain restent pleinement dans le champ du CLOUD Act.
• La demande peut être silencieuse. Une clause de confidentialité (*gag order*) peut interdire au prestataire de vous prévenir qu'une demande a été reçue et exécutée.
• Le chiffrement aide, mais ne suffit pas si le prestataire détient lui-même les clés de déchiffrement : il peut alors être contraint de déchiffrer.

Le CLOUD Act s'applique-t-il vraiment en France ?

Oui, sans exception géographique. Aucune frontière ne met une donnée hors de portée dès lors qu'un opérateur soumis au droit américain intervient quelque part dans la chaîne de traitement. Et cette présence est souvent plus large qu'on ne l'imagine : un sous-traitant, un service de messagerie, une brique d'authentification, un outil de sauvegarde ou de visioconférence peuvent suffire à exposer vos données.

C'est précisément ce constat qui a structuré la réponse française. La doctrine « Cloud au centre », applicable à l'administration, impose désormais que les données sensibles de l'État soient hébergées sur un cloud interne ou sur une offre commerciale qualifiée. Et la qualification SecNumCloud de l'ANSSI a fait de l'immunité aux législations extra-européennes un critère central — pas un simple argument marketing.

CLOUD Act et RGPD : un conflit de lois

Le RGPD interdit en principe les transferts de données personnelles vers un pays tiers n'offrant pas une protection équivalente à celle de l'Union européenne. Or une injonction CLOUD Act demande exactement cela : transmettre des données à une autorité américaine. Les deux textes entrent donc en collision frontale.

Pour le responsable de traitement, le risque est double et asymétrique :

• d'un côté, une sanction de la CNIL si un transfert non conforme est constaté ;
• de l'autre, une contrainte judiciaire américaine assortie de sanctions si le prestataire refuse d'obtempérer.

L'invalidation du Privacy Shield par la Cour de justice de l'Union européenne (arrêt « Schrems II ») a confirmé que les garanties contractuelles seules ne suffisent pas à neutraliser ce risque. Tant qu'un opérateur soumis au droit américain figure dans la chaîne, le conflit demeure latent.

La seule façon d'en sortir est donc structurelle : retirer de la chaîne tout opérateur soumis à une législation extra-européenne. C'est la logique d'un cloud souverain et, plus largement, d'une stratégie de souveraineté numérique assumée. Les obligations du RGPD en matière d'hébergement poussent dans la même direction.

Quelles données sont les plus exposées ?

Toutes les données n'appellent pas le même niveau de protection. En pratique, les plus critiques sont :

• les données personnelles sensibles (santé, données biométriques, opinions) ;
• les secrets industriels et la propriété intellectuelle, cibles d'un risque d'intelligence économique ;
• les données régaliennes et de service public, soumises à la doctrine de l'État ;
• les données soumises à des réglementations sectorielles (santé via HDS, secteurs critiques via NIS2).

Pour ces catégories, l'exposition au CLOUD Act n'est pas un risque théorique : c'est une non-conformité potentielle qui peut être qualifiée à tout moment.

Comment évaluer votre exposition

Avant d'agir, il faut savoir où vous êtes exposé. Cela passe par une cartographie de vos dépendances : quels services utilisez-vous, qui les opère réellement (et non qui affiche un datacenter en France), quelles données y transitent, et lesquelles sont critiques ou réglementées.

Cette cartographie révèle presque toujours des dépendances insoupçonnées — y compris via des outils du quotidien comme la messagerie, la bureautique collaborative ou la sauvegarde. Un diagnostic structuré permet d'objectiver le risque, de le hiérarchiser et de séquencer les actions avant d'engager le moindre budget de migration.

Faire le diagnostic en 2 minutes — identifiez vos dépendances soumises au CLOUD Act et les premières actions prioritaires. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce que le CLOUD Act ?

Une loi américaine de 2018 qui autorise les autorités des États-Unis à réclamer à un prestataire soumis au droit américain les données qu'il détient, quel que soit le pays de stockage.

Le CLOUD Act s'applique-t-il en France ?

Oui, dès qu'un opérateur soumis au droit américain intervient dans la chaîne de traitement, même via un datacenter situé en France.

CLOUD Act et RGPD sont-ils compatibles ?

Non, ils sont en tension directe : une injonction CLOUD Act peut contraindre à un transfert que le RGPD interdit. Seule une architecture sans opérateur soumis au droit américain lève réellement le conflit.

Le chiffrement protège-t-il du CLOUD Act ?

Seulement si vous maîtrisez seul les clés. Si le prestataire détient les clés de déchiffrement, il peut être contraint de les utiliser.

La souveraineté numérique désigne la capacité d'une organisation — ou d'un État — à conserver le contrôle de ses données, de ses infrastructures et de ses outils numériques, sans dépendre d'acteurs ou de législations qui lui échappent. À l'heure où une part majeure des services cloud utilisés en France relève d'opérateurs étrangers, la question est passée du débat politique à la décision opérationnelle.

Qu'est-ce que la souveraineté numérique ?

C'est la maîtrise effective de trois actifs indissociables :

• Les données — savoir où elles sont, qui peut y accéder, et sous quel droit elles tombent.
• Les infrastructures — l'hébergement, les réseaux, la capacité de calcul sur lesquels repose l'activité.
• Les logiciels et les compétences — ne pas dépendre d'un fournisseur unique impossible à remplacer.

Perdre cette maîtrise expose à trois risques concrets : l'accès non autorisé par une puissance étrangère (voir le CLOUD Act), la dépendance économique à un fournisseur en position de force, et la rupture de conformité réglementaire.

Souveraineté numérique : un enjeu d'entreprise, pas seulement d'État

Le terme évoque souvent la politique industrielle nationale. Mais pour une organisation, l'enjeu est très concret : continuité d'activité, protection du patrimoine informationnel, et conformité au RGPD, à NIS2 ou à la certification HDS selon le secteur. Une dépendance non maîtrisée, c'est un risque juridique, un risque de confidentialité et un risque de continuité réunis.

Pour une administration ou une collectivité, s'ajoute une exigence de confiance vis-à-vis des citoyens : les données publiques ne peuvent être exposées à une juridiction étrangère sans rompre ce lien de confiance.

Souveraineté et performance ne s'opposent plus

L'objection classique — « le souverain coûte plus cher et performe moins » — ne tient plus. Les infrastructures européennes certifiées offrent aujourd'hui des niveaux de service équivalents, et l'écart de coût s'est réduit à quelques points sur les charges optimisées. Le surcoût éventuel doit par ailleurs être mis en regard du risque évité : une non-conformité ou une fuite de données coûte bien davantage.

Les leviers concrets de la souveraineté numérique

1. Cartographier ses dépendances — identifier les services critiques opérés par des acteurs non souverains, y compris les outils du quotidien.
2. Classer ses données — distinguer ce qui est sensible ou réglementé de ce qui ne l'est pas, pour cibler l'effort.
3. Migrer vers un cloud souverain — pour les données sensibles et réglementées, via un projet par étapes.
4. Maîtriser le chiffrement et les clés — pour que même l'hébergeur ne puisse lire les données.
5. Se mettre en conformité — RGPD, NIS2, SecNumCloud selon le périmètre.

La première étape, la plus rentable, est toujours le diagnostic : on ne sécurise bien que ce que l'on a d'abord cartographié. C'est aussi celle qui révèle le plus souvent des dépendances que personne n'avait identifiées.

Faire le diagnostic en 2 minutes — évaluez le niveau de souveraineté de votre organisation et vos priorités d'action. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce que la souveraineté numérique ?

La capacité à garder le contrôle de ses données, infrastructures et outils numériques, sans dépendance à des acteurs ou lois extra-européens.

Pourquoi la souveraineté numérique est-elle importante ?

Parce qu'elle conditionne la protection des données sensibles, la conformité réglementaire (RGPD, NIS2, HDS) et la continuité d'activité de l'organisation.

Le cloud de confiance est la traduction française la plus exigeante de la souveraineté : un cloud qui combine excellence de la sécurité et immunité aux lois étrangères, attesté par la qualification SecNumCloud de l'ANSSI.

Qu'est-ce qu'un cloud de confiance ?

C'est un service cloud labellisé par l'État, garantissant que les données sont protégées au plus haut niveau technique *et* hors d'atteinte du CLOUD Act. Le label s'appuie sur un référentiel public et un audit indépendant.

Cloud de confiance ou cloud souverain ?

Le cloud souverain est le concept général ; le cloud de confiance en est la version certifiée et opposable. Tout cloud de confiance est souverain, mais tout cloud présenté comme « souverain » n'est pas nécessairement qualifié.

Faire le diagnostic en 2 minutes — déterminez le niveau de confiance dont vos données ont besoin. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce qu'un cloud de confiance ?

Un cloud labellisé par l'État français, reposant sur la qualification SecNumCloud, alliant sécurité maximale et immunité aux lois extra-européennes.

Cloud de confiance ou cloud souverain ?

Le cloud de confiance est la version certifiée (SecNumCloud) du cloud souverain.

Tous les clouds présentés comme « souverains » ne se valent pas. La vraie ligne de partage tient à deux critères objectifs : la qualification SecNumCloud et l'immunité réelle au CLOUD Act, qui dépend de la structure capitalistique et technologique du fournisseur.

Les critères qui comptent vraiment

Avant de comparer des noms, fixez la grille de lecture. Un cloud est d'autant plus souverain qu'il répond « oui » à ces questions :

• Est-il qualifié SecNumCloud par l'ANSSI ?
• Sa technologie est-elle maîtrisée en propre, ou sous licence d'un acteur extra-européen ?
• Sa structure capitalistique le met-elle hors de portée du droit américain ?
• Garantit-il une réversibilité sans verrou propriétaire ?
• Couvre-t-il vos obligations sectorielles (HDS, NIS2, RGPD) ?

Les principaux acteurs

Quel est le meilleur cloud souverain ?

Il n'y a pas de réponse universelle : le bon choix dépend de vos données, de vos obligations et de vos contraintes techniques. La garantie la plus forte vient d'un acteur qualifié SecNumCloud sur une technologie 100 % maîtrisée. Pour un catalogue de services très large, il faut parfois arbitrer entre étendue fonctionnelle et niveau de souveraineté — un arbitrage qui se fait donnée par donnée, pas en bloc.

OVH et Bleu sont-ils vraiment souverains ?

OVHcloud coche les critères de souveraineté juridique en tant qu'acteur européen indépendant, à condition de retenir une gamme qualifiée. Bleu vise la qualification SecNumCloud mais sa dépendance technologique américaine nourrit le débat sur sa souveraineté juridique réelle — d'où l'importance d'un examen au cas par cas plutôt que d'une confiance sur la seule étiquette.

Demander une consultation — nous vous aidons à choisir l'hébergement souverain adapté à vos contraintes réelles. Parler à un expert

Questions fréquentes

Quel est le meilleur cloud souverain ?

Celui qui est qualifié SecNumCloud sur une technologie maîtrisée et adapté à vos données — le choix se fait au cas par cas.

OVH est-il un cloud souverain ?

OVHcloud est un acteur européen indépendant proposant des offres qualifiées SecNumCloud sur certaines gammes.

Bleu est-il vraiment souverain ?

Bleu vise la qualification SecNumCloud mais s'appuie sur des technologies Microsoft, ce qui soulève des questions de souveraineté juridique.