Cloud souverain : ce que Bruxelles vient d'enseigner à vos DSI

# Cloud souverain : ce que Bruxelles vient d'enseigner à vos DSI

En 2026, la Commission européenne a franchi un cap symbolique fort : confier son infrastructure cloud défense à Thales, acteur industriel européen, plutôt qu'à l'un des opérateurs américains dominants. Ce n'est pas une anecdote institutionnelle. C'est un signal de gouvernance que toute ETI européenne devrait décrypter.

Pourquoi ? Parce que ce que Bruxelles vient de faire à grande échelle, vos équipes peuvent — et doivent — le reproduire à leur niveau. Ce guide vous explique comment, étape par étape, avec un focus sur l'organisation interne, les compétences à construire et les décisions de gouvernance à prendre.

Comprendre d'abord : de quoi parle-t-on ?

Cloud souverain : un service cloud hébergé, opéré et contrôlé par des entités soumises au droit européen. Cela signifie que vos données ne peuvent pas être réclamées par une loi étrangère — comme le *Cloud Act* américain, qui autorise les autorités américaines à accéder aux données hébergées par des entreprises américaines, y compris sur des serveurs en Europe.

DSI : Directeur des Systèmes d'Information. Responsable de l'infrastructure technologique de l'entreprise.

ETI : Entreprise de Taille Intermédiaire. Entre la PME et le grand groupe, souvent sans direction juridique ou sécurité dédiée à temps plein.

RSSI : Responsable de la Sécurité des Systèmes d'Information. En charge de la protection des données et de la politique de cybersécurité.

Le choix de Bruxelles repose sur une logique simple : la dépendance technologique est une vulnérabilité stratégique. Cette logique vaut pour un État. Elle vaut aussi pour votre entreprise.

Étape 1 — Cartographier vos dépendances actuelles

Avant de construire quoi que ce soit, il faut savoir où vous en êtes. La plupart des ETI sous-estiment leur exposition aux acteurs américains.

Ce que vous devez faire concrètement :

• Listez tous vos outils et services cloud actifs (messagerie, stockage, ERP, outils collaboratifs, sauvegarde).
• Pour chaque outil, identifiez : qui est l'éditeur ? Où sont hébergées les données ? Quel droit s'applique en cas de litige ?
• Classez chaque brique en trois colonnes : souverain européen / neutre / dépendant d'un acteur US.

Qui fait ce travail ? Idéalement votre DSI ou RSSI. Si vous n'en avez pas à temps plein, un prestataire européen de confiance peut réaliser cet audit. Méfiez-vous des cabinets de conseil liés aux acteurs américains : ils vous orienteront vers leurs partenaires.

Ce que vous cherchez à éviter : découvrir en situation de crise que vos données clients, vos contrats ou votre messagerie sont hébergés chez un opérateur soumis à une juridiction étrangère.

Étape 2 — Définir vos données sensibles (et uniquement elles)

La souveraineté numérique ne signifie pas tout migrer demain. Cela signifie protéger ce qui compte vraiment.

Ce que vous devez faire concrètement :

• Identifiez vos données critiques : données clients, propriété intellectuelle, données RH, données financières, correspondances stratégiques.
• Appliquez une règle simple : si cette donnée était accessible à un concurrent ou à une administration étrangère, quel serait le préjudice ?
• Priorisez. Commencez par les données les plus sensibles, pas par les outils les plus visibles.

Implication organisationnelle : cette étape doit impliquer la direction générale, pas seulement la DSI. La classification des données est une décision de gouvernance, pas une décision technique. Sans validation de la direction, elle ne sera pas appliquée.

Ce que Bruxelles a fait : elle a commencé par identifier les usages liés à la défense et à la sécurité comme non-négociables. Vous pouvez appliquer la même logique à vos secrets industriels ou à vos données contractuelles.

Étape 3 — Construire une compétence interne minimale : le « référent souveraineté »

C'est l'étape la plus négligée — et la plus importante sur le plan organisationnel.

La plupart des ETI externalisent totalement leur SI. Résultat : personne en interne n'est capable d'évaluer la qualité ou la conformité d'un prestataire. On fait confiance. C'est une erreur.

Ce que vous devez faire concrètement :

• Désignez un référent souveraineté numérique en interne. Il n'a pas besoin d'être ingénieur. Il doit comprendre les enjeux juridiques (RGPD, Cloud Act, NIS2) et être capable de poser les bonnes questions à vos prestataires.
• Formez cette personne. Des formations courtes existent sur les référentiels européens (comme le SecNumCloud, certification française reconnue au niveau européen, délivrée par l'ANSSI).
• Donnez-lui un mandat clair : il peut dire non à un outil qui ne respecte pas votre politique souveraineté.

Profil à chercher : un profil hybride, mi-juridique mi-technique. Un juriste sensibilisé au numérique, ou un informaticien formé au droit des données. Ce profil est rare. Investissez pour le trouver ou le former en interne.

Ce que vous évitez : dépendre entièrement d'un prestataire pour savoir si votre prestataire est conforme. C'est un conflit d'intérêts structurel.

Étape 4 — Revoir vos processus d'achat et vos critères de sélection

Le choix d'un outil cloud ne peut plus être uniquement un choix fonctionnel ou budgétaire. Il doit intégrer un critère de souveraineté.

Ce que vous devez faire concrètement :

• Ajoutez une clause souveraineté à votre grille d'évaluation fournisseurs. Elle doit peser autant que le prix ou l'ergonomie.
• Exigez systématiquement de vos prestataires : localisation des données, droit applicable, sous-traitance éventuelle à des acteurs hors UE.
• Introduisez dans vos appels d'offres internes une question directe : *« Êtes-vous soumis à une loi extraterritoriale permettant l'accès à nos données par une autorité étrangère ? »*

Implication RH : vos équipes achats et juridiques doivent être formées à ces questions. Ce n'est pas un sujet réservé à la DSI. Un acheteur qui signe un contrat SaaS avec un acteur américain sans clause de localisation des données engage une responsabilité de l'entreprise.

Ce que vous pouvez modéliser sur le choix de Bruxelles : la Commission a intégré des critères de souveraineté dans son cahier des charges avant même de lancer l'appel d'offres. Faites la même chose à votre échelle.

Étape 5 — Planifier la transition, pas la révolution

Passer au cloud souverain ne se fait pas en un trimestre. Vouloir tout migrer trop vite expose à des risques opérationnels réels.

Ce que vous devez faire concrètement :

• Établissez un plan de migration sur 18 à 36 mois, par ordre de priorité des données (voir étape 2).
• Commencez par les nouveaux projets : tout nouvel outil doit d'abord être évalué sous le prisme souveraineté avant d'être adopté.
• Pour l'existant, planifiez des fenêtres de migration lors des renouvellements de contrats. Ne cassez pas ce qui fonctionne sans raison opérationnelle.
• Documentez chaque décision : pourquoi vous avez retenu un acteur, pourquoi vous avez écarté un autre. Cette documentation protège votre entreprise en cas de contrôle réglementaire (RGPD, NIS2).

Un acteur à connaître dans cet espace : Atos, via sa division Eviden, propose des offres cloud souveraines certifiées pour les entreprises européennes. Ce n'est pas une recommandation de stack — c'est un exemple de ce que le marché européen est capable de produire. Comparez, interrogez, décidez.

Étape 6 — Piloter et gouverner dans la durée

La souveraineté numérique n'est pas un projet avec une date de fin. C'est un mode de gouvernance permanent.

Ce que vous devez faire concrètement :

• Intégrez un point souveraineté numérique à votre comité de direction au moins une fois par an. Les risques évoluent, les réglementations aussi.
• Suivez l'évolution du cadre réglementaire européen : le Data Act, la directive NIS2 (qui impose des obligations de sécurité aux ETI dans des secteurs critiques), et les futures évolutions du RGPD.
• Faites auditer votre posture souveraineté par un tiers indépendant tous les deux ans. Pas par votre hébergeur actuel.

Implication de gouvernance : la souveraineté numérique doit apparaître dans votre rapport de gestion, au même titre que la gestion des risques financiers ou climatiques. Les investisseurs, clients grands comptes et partenaires institutionnels commencent à le demander.

Ce que le choix de Bruxelles dit vraiment

Bruxelles n'a pas choisi Thales parce que c'était le seul acteur disponible. Elle a choisi un modèle : celui de la maîtrise, de la réversibilité et de la responsabilité juridique. Ce modèle n'est pas réservé aux institutions publiques ou aux industries de défense.

Il est disponible pour votre ETI. Il demande de la méthode, de la montée en compétences internes, et une volonté de gouvernance que personne d'autre ne peut décider à votre place.

La dépendance technologique se construit lentement, contrat après contrat. La souveraineté numérique aussi.

Commencez par l'étape 1. Cette semaine.