Cloud souverain : définition, enjeux et comment le reconnaître

Le cloud souverain est devenu un argument commercial partout. Tous les fournisseurs, ou presque, affirment protéger les données de leurs clients en France. Pourtant, derrière le même mot se cachent des réalités très différentes : lieu d’hébergement, droit applicable, contrôle des accès, certification.

Cet article donne une définition simple du cloud souverain, explique ses enjeux de sécurité et de confiance pour une entreprise et propose une méthode pour reconnaître une offre réellement souveraine. Sans jargon, et sans promesse que personne ne pourrait tenir.

Souveraineté numérique, protection des data, confidentialité, lois étrangères comme le Cloud Act, conformité au RGPD, qualification SecNumCloud, choix de l’infrastructure et du cloud provider : ce guide fait le point sur les notions à connaître avant de confier les données de votre entreprise à une solution cloud, publique ou privée.

Cloud souverain : la définition

Un cloud souverain est un service cloud dont les données, l’infrastructure et l’exploitation restent sous le contrôle d’acteurs soumis au seul droit du pays ou de l’espace juridique du client. Pour une entreprise française, cela signifie les lois françaises et européennes, y compris le RGPD.

La définition ne se limite donc pas au lieu où sont stockées les données. Elle porte aussi sur la nationalité juridique du prestataire et sur la maîtrise réelle du service, des données jusqu’à leur traitement.

Trois critères cumulatifs

1. 1La localisation : les données, les sauvegardes et les serveurs se trouvent en France ou dans l’Union européenne, dans des datacenters identifiés.
2. 2La juridiction : l’entité qui signe le contrat et exploite le service n’est pas soumise à une loi étrangère à portée extraterritoriale.
3. 3La maîtrise opérationnelle : l’exploitation, la supervision, le support et la gestion des clés de chiffrement sont assurés depuis l’espace juridique du client.

Si l’une de ces trois conditions manque, la protection est partielle. Un serveur à Paris exploité par une filiale d’un groupe étranger ne coche que le premier.

Les caractéristiques d’un cloud souverain

• Des data centers situés sur le territoire national ou européen, à des adresses connues : c’est la première caractéristique.
• Un traitement des données assuré uniquement par des équipes soumises à la réglementation européenne.
• Une protection stricte contre toute ingérence étrangère, écrite dans le contrat, et une politique d’accès tout aussi stricte.
• Une infrastructure sécurisée, dans le respect de la réglementation et de la confidentialité des données.
• Une solution cloud réversible : vos données restent les vôtres, et vous gardez la liberté de partir, sans dépendance à un seul acteur : une liberté inscrite au contrat.

Ce que dit chaque mot

Les plaquettes commerciales mélangent volontiers ces termes. Ils ne disent pourtant pas la même chose.

• Souverain : un mot d’usage, un concept commercial sans définition légale. Il ne prouve rien tant qu’il n’est pas détaillé.
• Conforme au RGPD : le service respecte les règles de protection des données. Cela ne dit rien de la nationalité du fournisseur.
• Certifié : un organisme a audité une organisation ou un service selon une norme, comme ISO 27001 ou HDS, sur un périmètre précis. Les normes diffèrent selon la catégorie de service.
• Qualifié : l’ANSSI a évalué l’offre selon son référentiel SecNumCloud. C’est le niveau le plus exigeant en France.
• De confiance : l’expression retenue par l’État dans sa stratégie pour le cloud, adossée à la qualification SecNumCloud.

Le rôle du cloud service provider

Le cloud service provider, ou prestataire de services cloud, est l’entreprise qui exploite le service et signe le contrat. C’est sa nationalité juridique, et non l’adresse du data center, qui détermine les lois auxquelles vos données sont exposées.

Un même cloud service provider peut également s’appuyer sur d’autres prestataires : hébergeur, éditeur de logiciels, support. Chacun de ces maillons doit répondre aux mêmes exigences pour que l’ensemble reste souverain.

Souveraineté numérique, souveraineté des données : de quoi parle-t-on ?

La souveraineté numérique, ou digital sovereignty, désigne la capacité d’un pays ou d’une organisation à décider de ses outils numériques sans dépendre d’acteurs qu’il ne contrôle pas. C’est une notion politique et stratégique, un enjeu national qui touche à l’indépendance des États comme des entreprises.

La souveraineté des données, ou data sovereignty, est plus concrète. Elle répond à une question simple : quel droit s’applique à mes données, et qui peut y accéder ? Le cloud souverain, parfois appelé sovereign cloud, en est la traduction technique.

Les enjeux du cloud souverain pour une entreprise

Pendant longtemps, la souveraineté était un sujet d’administration, d’institutions et de défense. Avec la place prise par le digital, elle concerne aujourd’hui toute entreprise qui stocke des données de clients, de salariés ou de partenaires dans le cloud.

Les lois extraterritoriales

Certaines lois étrangères s’appliquent aux entreprises, quel que soit le pays où se trouvent leurs serveurs. L’exemple le plus cité est le Cloud Act américain, adopté en 2018.

Ce texte permet aux autorités des États-Unis d’exiger d’un fournisseur soumis au droit américain qu’il communique des données qu’il détient ou contrôle, même stockées en Europe. La loi vise l’entreprise, pas le serveur.

D’autres textes, comme la section 702 de la loi FISA sur le renseignement, posent des questions comparables. Pour une entreprise européenne, le risque n’est pas une lecture permanente de ses courriels. C’est l’incertitude sur la loi applicable en cas de demande, face à un texte qu’elle ne maîtrise pas.

La conformité au RGPD

Le RGPD (General Data Protection Regulation en anglais) encadre strictement le traitement et les transferts de données personnelles hors de l’Union européenne. Son article 48 prévoit qu’une décision d’une autorité d’un pays tiers ne peut fonder un transfert que si elle repose sur un accord international, comme un traité d’entraide judiciaire.

Un fournisseur soumis à une loi extraterritoriale peut donc se retrouver pris entre deux obligations contradictoires. Pour l’entreprise cliente, c’est un risque juridique à documenter dans son registre de traitement, notamment lors d’un contrôle.

La dépendance technologique

Formats propriétaires, outils impossibles à exporter, hausses tarifaires subies au renouvellement : cette dépendance technologique, comme la dépendance à un prestataire est aussi un enjeu de souveraineté, et un vrai défi pour les entreprises. Une entreprise qui ne peut pas partir n’a plus vraiment le choix.

Ingérence, cybersécurité et sécurité économique

Le cloud souverain répond aussi à un défi de sécurité économique et de lutte contre l’ingérence, un enjeu de souveraineté économique. Fichiers clients, contrats, savoir-faire, projets en cours : les données d’une entreprise ont une valeur stratégique, et une ingérence étrangère, ponctuelle ou durable, peut fragiliser sa position face à ses concurrents.

La cybersécurité est l’autre versant de ce défi. Un cloud souverain n’est pas plus sûr par nature, mais il permet de savoir qui administre les systèmes et sous quelle réglementation. C’est une condition de confiance pour les institutions comme pour les entreprises. Une politique de cybersécurité stricte reste indispensable, quel que soit le cloud retenu : la cybersécurité est un défi permanent.

La confiance des clients et des acheteurs

Les donneurs d’ordre publics, les établissements de santé et de nombreux grands comptes demandent désormais où sont hébergées les données de leurs prestataires, et sous quel droit. Pouvoir répondre précisément devient un avantage commercial, et parfois une condition pour répondre à un appel d’offres.

Quelle différence entre cloud souverain et cloud public ?

La comparaison est souvent mal posée. Un cloud public désigne un modèle technique : des ressources partagées entre plusieurs clients et accessibles en ligne. Un cloud souverain désigne un cadre juridique et opérationnel.

Pour rappel, le cloud computing désigne l’accès par internet à des ressources et produits informatiques (serveurs, stockage, logiciels) facturées à l’usage. Les modèles public, privé et souverain sont trois façons de proposer ces ressources de cloud computing.

Un cloud peut donc être à la fois public et souverain. À l’inverse, un cloud privé installé en France peut ne pas être souverain si son exploitation dépend d’un acteur soumis à une loi étrangère.

Ce qui change réellement

• La législation applicable : française et européenne d’un côté, celle du pays de la maison mère de l’autre. C’est la principale caractéristique qui les distingue.
• La transparence : villes des datacenters, liste des sous-traitants et lieu du support connus ou non.
• Le contrôle des clés : conservées par le fournisseur dans l’espace juridique du client, ou gérées depuis l’étranger.
• La sortie : réversibilité prévue au contrat, ou formats et coûts de sortie qui verrouillent le client.

Les data centers d’un cloud souverain

Le data center est la base physique du cloud, accessible par internet. Pour un cloud souverain, il doit être situé sur le territoire national ou européen, à une adresse connue, et exploité par des équipes soumises à la même réglementation que le fournisseur.

• Une localisation précise : la ville du data center, et celle du data center de secours.
• Une sécurité physique stricte : contrôle d’accès, surveillance, protection contre l’incendie.
• Une redondance de l’alimentation électrique et du réseau, pour garantir la disponibilité du service dans chaque data center.
• Des normes reconnues, comme ISO 27001, dont le périmètre doit être vérifié.

Un cloud hybride ou multicloud multiplie les data centers. Chaque data center doit alors répondre aux mêmes exigences, sans quoi la chaîne de souveraineté se rompt au maillon le plus faible.

Les modèles de cloud souverain

Il n’existe pas un seul modèle de cloud souverain. Le bon choix dépend de la taille de l’entreprise, de la sensibilité des données et des compétences disponibles en interne.

Le cloud public souverain

Des ressources mutualisées, opérées par un fournisseur de droit européen, dans des datacenters situés en France ou en Europe. C’est le modèle le plus simple et le moins coûteux pour une TPE ou une PME.

Le cloud privé ou dédié

Une infrastructure réservée à un seul client, chez un hébergeur ou dans ses propres locaux. Ce modèle offre un contrôle maximal, mais demande des moyens et des compétences pour la mise en œuvre et l’exploitation.

Le cloud hybride

Une partie des applications reste sur un cloud souverain, une autre sur une plateforme publique classique : un modèle hybride. Le cloud hybride permet de réserver la protection la plus forte aux données sensibles. Il complique en revanche la gestion et la cartographie des flux.

Le multicloud

Beaucoup d’entreprises combinent plusieurs prestataires cloud : c’est le multicloud. Cette approche limite la dépendance à un seul acteur et préserve l’indépendance de l’entreprise, à condition de garder une vision claire de la sécurité et du traitement des données sur chaque cloud.

Les offres de « cloud de confiance » en coentreprise

Certaines offres associent un acteur français, qui détient et exploite la plateforme, à la technologie d’un hyperscaler américain sous licence. L’objectif est de concilier les fonctionnalités d’un grand fournisseur et une exploitation sous droit français.

Ce modèle est encore récent. Avant de le retenir, il faut vérifier qui exploite réellement le service, qui fournit les mises à jour et quelle qualification a effectivement été obtenue.

Quels fournisseurs de cloud souverain existent ?

Le marché se répartit en deux grandes familles. Il est utile de les distinguer, car une entreprise a souvent besoin des deux.

Les fournisseurs d’infrastructure cloud

Ils louent des serveurs, du stockage et du réseau à d’autres entreprises, sur le territoire français : c’est l’infrastructure cloud, ou IaaS. En France, on y trouve notamment OVHcloud, Scaleway ou Outscale. Leurs clients sont surtout des équipes techniques, qui construisent leurs propres services.

Les fournisseurs d’applications cloud

Ils proposent des produits prêts à l’emploi : messagerie, stockage de fichiers, agenda, visioconférence, édition de documents, avec une interface sécurisée pour partager des fichiers. C’est le niveau qui concerne directement les utilisateurs d’une entreprise.

Point d’attention : une application peut tourner sur une infrastructure française tout en étant éditée et opérée par une société étrangère. Il faut donc vérifier les deux niveaux, l’infrastructure et l’application.

La qualification SecNumCloud

SecNumCloud est un référentiel de sécurité publié par l’ANSSI, l’agence nationale de la sécurité des systèmes d’information. Un prestataire qualifié SecNumCloud a fait l’objet d’une évaluation approfondie, technique et organisationnelle.

La version 3.2 du référentiel ajoute des exigences de protection face aux lois extra-européennes. C’est aujourd’hui la certification de haut niveau la plus exigeante en France, et une caractéristique recherchée par les institutions. L’ANSSI publie la liste des offres qualifiées : c’est la seule source à consulter pour vérifier une affirmation.

Les autres certifications

• ISO 27001 : une norme internationale de management de la sécurité de l’information. Elle atteste d’une organisation, pas d’une souveraineté.
• HDS : la certification Hébergeur de données de santé, obligatoire pour héberger des données de santé à caractère personnel en France.
• Les schémas européens en préparation : la certification cloud européenne fait encore l’objet de discussions, notamment sur les exigences de souveraineté.

Cloud souverain : exemples par secteur

Le besoin de cloud souverain varie selon le secteur d’activité, la catégorie de données traitées et la réglementation qui s’y applique. Quelques exemples concrets aident à situer votre propre besoin.

Santé

L’hébergement de données de santé à caractère personnel pour le compte d’un tiers exige un hébergeur certifié HDS. Le traitement de ces données sensibles appelle aussi un cloud dont la juridiction est maîtrisée.

Secteur public et institutions

Les collectivités et les institutions publiques sont orientées par la doctrine du gouvernement vers des solutions qualifiées pour leurs données sensibles. Les acheteurs publics intègrent de plus en plus la souveraineté dans leurs cahiers des charges.

Professions réglementées

Avocats, experts-comptables, notaires : le secret professionnel impose de garantir la confidentialité des dossiers clients. Un cloud souverain limite le risque d’accès par une autorité étrangère, au nom de la législation de son pays, et le risque d’ingérence dans les dossiers.

Industrie et PME innovantes

Plans, brevets en préparation, fichiers clients : le savoir-faire d’une entreprise industrielle est exposé au risque d’ingérence économique et d’espionnage. Le cloud souverain protège ce patrimoine immatériel.

TPE et PME de services

Même sans données réglementées, une petite entreprise traite des données personnelles de clients et de salariés. Un cloud souverain simplifie sa conformité et rassure ses propres clients.

Quel niveau de souveraineté pour qui ?

Trois profils fictifs montrent que le bon niveau dépend des données, pas de la taille de la structure.

• Un cabinet de conseil de huit personnes : courriels, devis et fichiers clients. Un prestataire de droit européen, des données en France et une sortie libre couvrent l’essentiel du besoin.
• Un centre de soins infirmiers : il héberge des dossiers de patients. Il lui faut un hébergeur certifié HDS, en plus des critères de souveraineté. C’est le premier filtre à appliquer.
• Une mairie de 3 000 habitants : état civil, marchés publics, échanges avec les administrés. Elle vérifie la sensibilité de chaque catégorie de données, les exigences de ses partenaires publics et la réversibilité, qui lui permettra de remettre le service en concurrence.

Une suite collaborative hébergée en France répond bien au premier profil. Les deux autres doivent d’abord vérifier leurs obligations propres : certification HDS pour les données de santé, qualification SecNumCloud quand un acheteur public l’exige.

Le cloud souverain, une priorité nationale et européenne

Le cloud souverain est aussi un sujet de politique publique. En France, le gouvernement a fait de la souveraineté numérique un objectif national et un principe de sa politique publique, notamment avec la doctrine « cloud au centre », qui oriente les administrations vers des solutions qualifiées pour leurs données sensibles.

En 2021, le gouvernement a présenté une stratégie nationale pour le cloud, que le gouvernement a ensuite précisée par une doctrine dédiée. Elle fait de la qualification SecNumCloud le critère du « cloud de confiance », un concept proche du cloud souverain, sans pour autant créer de label « cloud souverain » au sens légal.

À l’échelle européenne, plusieurs initiatives cherchent à réduire la dépendance aux hyperscalers et à fixer des normes et des règles communes :

• le RGPD, qui encadre le traitement des données personnelles depuis 2018 et s’applique également aux prestataires étrangers ;
• le projet Gaia-X, lancé en 2020 pour définir des règles partagées entre fournisseurs cloud européens ;
• le schéma de certification cloud européen (EUCS), préparé par l’ENISA et encore en discussion.

Ces initiatives ne remplacent pas un choix éclairé. Elles donnent en revanche des normes, des repères communs et rendent plus lisible la catégorie des solutions de cloud souverain.

Quels avantages pour une entreprise ?

Choisir un cloud souverain n’est pas seulement une question de principe. Les avantages sont concrets, en particulier pour les entreprises qui manipulent des données de clients.

1. 1Un cadre applicable clair : en cas de demande d’accès ou de litige, la procédure est française ou européenne.
2. 2Une conformité RGPD plus simple à démontrer : pas de transfert hors Union européenne à justifier, et un traitement des données localisé.
3. 3Un registre des sous-traitants court et lisible, que l’on peut présenter à un client ou à un auditeur.
4. 4Un avantage commercial auprès des acheteurs publics, des professions réglementées et des grands comptes.
5. 5Une meilleure maîtrise des coûts et de la sortie quand la réversibilité est écrite au contrat.
6. 6Un interlocuteur joignable, dans la même langue et le même fuseau horaire.
7. 7Une plus grande indépendance vis-à-vis des hyperscalers et de leurs évolutions tarifaires.

Et les limites ?

Le cloud souverain a aussi des contraintes. Le catalogue de produits d’un fournisseur cloud européen est parfois moins large que celui d’un hyperscaler, et la migration depuis un outil installé demande un accompagnement.

Ces limites se gèrent en définissant le besoin réel de l’entreprise. Pour une suite collaborative ou un stockage de fichiers, l’offre souveraine couvre déjà l’essentiel des usages.

Comment garantir la sécurité des données dans un cloud souverain ?

La souveraineté répond à la question du cadre légal applicable. La sécurité répond à une autre question : comment empêcher une perte, un vol ou une fuite. Les deux sont nécessaires, et l’une ne remplace pas l’autre : c’est le principal défi d’un projet cloud.

Les mesures à exiger

• Le chiffrement des données en transit et au repos, et le chiffrement de bout en bout pour les échanges les plus sensibles.
• Une gestion des clés de chiffrement réalisée dans l’espace juridique du client, par des personnes identifiées.
• Une gestion des accès stricte : double authentification, droits limités au nécessaire, journalisation des actions d’administration.
• Des sauvegardes régulières, sur un site distinct, restaurables et testées.
• Des data centers sécurisés : contrôle d’accès physique, redondance électrique et réseau, sécurité incendie.
• Des tests de sécurité réguliers, et une gestion des correctifs documentée.
• Une supervision du réseau et des systèmes, avec une procédure écrite en cas d’incident.

Les bonnes pratiques de cybersécurité côté entreprise

• Classer ses données : toutes n’ont pas la même sensibilité.
• Activer la double authentification pour tous les comptes cloud.
• Tenir à jour le registre des traitements prévu par la réglementation.
• Supprimer les comptes des personnes qui quittent l’entreprise.
• Définir qui peut partager des fichiers à l’extérieur, et avec quels droits : une règle stricte vaut mieux qu’une tolérance.
• Former les équipes à reconnaître l’hameçonnage, qui reste la première porte d’entrée des attaques.

Comment choisir un cloud souverain : la méthode en six étapes

1. 1Recenser vos usages : messagerie, fichiers, agenda, applications métier, sauvegarde.
2. 2Classer vos données par catégorie selon leur sensibilité : données de clients, de santé, financières, stratégiques.
3. 3Identifier vos obligations : RGPD, exigences de vos clients, cahiers des charges publics, secteur réglementé.
4. 4Vérifier les trois conditions chez chaque prestataire : localisation, juridiction, maîtrise opérationnelle.
5. 5Demander les preuves écrites : extrait Kbis, attestation d’hébergement, registre des sous-traitants, clause de réversibilité.
6. 6Tester la solution avec quelques utilisateurs avant le déploiement complet.

Les questions à poser à votre fournisseur

• De quel pays relève l’entité qui signe le contrat, et a-t-elle une maison mère étrangère ?
• Dans quelles villes se trouvent les datacenters, et qui les exploite ?
• Où sont conservées les clés de chiffrement, et qui peut les utiliser ?
• Quelle est la liste complète des sous-traitants, et dans quels pays sont-ils établis ?
• D’où sont assurés le support et la supervision, et où a lieu le traitement des données, y compris pour les traitements secondaires ?
• L’offre est-elle qualifiée SecNumCloud, et sur quel périmètre ?
• Sous quel format, dans quel délai et à quel coût puis-je récupérer toutes mes données ?

Un fournisseur sérieux répond à ces questions par écrit. Une réponse vague sur l’un de ces points est déjà une information.

Le souveraineté-mètre : notez votre service sur 10

La souveraineté n’est pas un interrupteur, c’est un curseur. Prenez le service que vous utilisez aujourd’hui pour vos courriels ou vos fichiers, et donnez-lui 0, 1 ou 2 points sur chacune de ces cinq couches.

1. 1Le droit : 2 si la société et sa maison mère relèvent du seul droit européen, 1 si c’est flou, 0 si un groupe extra-européen la contrôle.
2. 2Les données : 2 si les données et les sauvegardes sont dans des villes identifiées en France ou en Europe, 1 si seule la région est indiquée, 0 si rien n’est précisé.
3. 3L’exploitation : 2 si l’administration et le support sont assurés depuis l’Europe, 1 en partie, 0 si vous ne savez pas.
4. 4La technologie : 2 si les logiciels et les formats sont ouverts, 1 s’ils sont exportables, 0 s’ils sont propriétaires et fermés.
5. 5La sortie : 2 si l’export complet est prévu au contrat sans frais, 1 s’il est possible mais payant ou partiel, 0 s’il n’est pas prévu.

De 8 à 10, votre service est cohérent avec un usage souverain. De 4 à 7, la protection est partielle : repérez la couche la plus faible. En dessous de 4, l’étiquette ne tient pas.

Les fuites invisibles à vérifier

Un service peut héberger vos fichiers en France et laisser partir des informations par des chemins secondaires. Posez une question pour chacun d’eux.

• Les journaux techniques : où sont stockées les traces de connexion et d’activité ?
• Le support avancé : qui intervient quand le premier niveau ne suffit pas, et depuis quel pays ?
• L’outil de tickets : vos échanges avec le support sont-ils hébergés chez un éditeur étranger ?
• Les e-mails de notification : quel service envoie les alertes et les invitations ?
• Le filtrage antispam : vos messages transitent-ils par un service externe ?
• La diffusion de contenus : un réseau de distribution étranger sert-il les fichiers partagés ?
• Les statistiques d’usage : quel outil mesure l’activité des utilisateurs ?

Préparer la migration

Une fois la solution choisie, la migration se prépare : inventaire des comptes, ordre de bascule des services, information des utilisateurs. Un fournisseur qui accompagne ce projet et documente ses formats de sortie vous garantit aussi la liberté et l’indépendance de changer d’avis plus tard.

Ce que le cloud souverain ne garantit pas

L’honnêteté impose de rappeler les limites. Une entreprise soumise au droit français reste soumise à la justice française : une réquisition judiciaire peut viser des données hébergées en France.

L’entraide judiciaire internationale existe aussi. Ce qu’apporte un cloud souverain, ce n’est pas l’inaccessibilité des données. C’est la certitude de la loi applicable et de la procédure suivie, avec des garanties légales connues.

Enfin, un cloud souverain n’est pas forcément plus cher. Pour une petite entreprise, une suite d’applications hébergée en France peut coûter moins qu’un empilement d’abonnements à des outils étrangers, et garantir une meilleure maîtrise des coûts.

En résumé

• Un cloud souverain réunit trois conditions : données en France ou en Europe, fournisseur soumis au seul droit européen, exploitation maîtrisée.
• La localisation seule ne suffit pas : le Cloud Act vise l’entreprise, pas le serveur.
• SecNumCloud est le repère le plus exigeant ; vérifiez toujours le périmètre d’une certification.
• Souveraineté et sécurité sont complémentaires : il faut les deux, cybersécurité comprise.
• Le besoin dépend du secteur : santé, secteur public et professions réglementées sont les plus exposés.
• La confiance numérique se construit sur la transparence : demandez des preuves écrites à tout acteur du cloud.

Mon Cloud Français est une SAS de droit français, sans maison mère étrangère. Les données sont hébergées en France, dans les datacenters OVHcloud de Roubaix et Gravelines, notre seul sous-traitant, et la réversibilité est sans frais. Pour aller plus loin que ce guide, consultez notre page Souveraineté & Cloud Act, ou découvrez le Pack complet, à 13 € HT par utilisateur et par mois.