Cloud souverain : le guide pour aligner vos infrastructures critiques avec la doctrine de l'État

# Cloud souverain : le guide pour aligner vos infrastructures critiques avec la doctrine de l'État

> En 2026, la question n'est plus « faut-il migrer vers un cloud souverain ? » mais « par où commencer ? » L'État français, puis les institutions européennes, ont clarifié leur doctrine : les données sensibles de l'administration doivent résider sur des infrastructures qualifiées et juridiquement imperméables au droit extraterritorial américain. Ce mouvement crée une onde de choc pour les PME et ETI qui travaillent avec le secteur public — ou qui veulent simplement reprendre la main sur leur SI.

Ce guide vous explique, étape par étape, comment lire ce signal et agir concrètement.

Ce qu'il faut comprendre avant de commencer

Cloud souverain : un service cloud hébergé sur le territoire européen, opéré par une entité juridiquement indépendante de tout droit non européen (notamment le CLOUD Act américain), et qualifié selon des référentiels officiels. En France, le référentiel de référence est SecNumCloud, délivré par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information).

**CLOUD Act** : loi américaine de 2018 qui oblige les entreprises américaines — où qu'elles opèrent dans le monde — à fournir des données aux autorités américaines sur demande. Microsoft, Google, Amazon sont donc juridiquement soumis à cette loi, même via leurs datacenters européens.

Données critiques : dans ce guide, on désigne ainsi toutes les données dont la compromission aurait un impact sérieux sur votre activité — données clients, propriété intellectuelle, données RH, données contractuelles avec des acteurs publics.

Étape 1 — Cartographier vos données critiques avant tout

Avant de parler d'hébergement, il faut savoir *quoi* protéger. Cette étape est non négociable.

Que faire concrètement ?

Prenez un tableur simple. Listez vos applications métier et les données qu'elles traitent. Pour chaque brique, posez-vous trois questions :

1. Ces données sont-elles couvertes par un contrat public ou une obligation réglementaire (RGPD, NIS2, directive sectorielle) ?

2. Ces données seraient-elles dommageables si un acteur étranger y accédait ?

3. Ces données transitent-elles aujourd'hui par un acteur soumis au CLOUD Act ?

NIS2 : directive européenne sur la cybersécurité des infrastructures essentielles, entrée en vigueur en 2024. Elle élargit le périmètre des entités concernées. Beaucoup de PME/ETI sous-traitantes du secteur public y sont désormais soumises.

À l'issue de cet inventaire, vous aurez une carte simple : données hautement sensibles / données sensibles / données non critiques. Cette carte va guider toutes vos décisions d'infrastructure.

Étape 2 — Comprendre les niveaux de qualification disponibles en Europe

Tout cloud « made in Europe » n'est pas équivalent. Il existe une hiérarchie de garanties.

**En France**, le label **SecNumCloud** est aujourd'hui le niveau le plus exigeant. Il garantit l'immunité juridique vis-à-vis du CLOUD Act et une architecture de sécurité auditée. À ce jour, peu d'opérateurs ont obtenu cette qualification pour leurs offres IaaS/PaaS (Infrastructure as a Service / Platform as a Service). **3DS Outscale** (groupe Dassault Systèmes) en fait partie. C'est un signal industriel fort : des acteurs français ont investi pour atteindre ce niveau.

Au niveau européen, le schéma EUCS (EU Cybersecurity Certification Scheme for Cloud Services), porté par l'ENISA (agence européenne de cybersécurité), est en cours de finalisation. Son niveau « High » devrait s'aligner sur les exigences de SecNumCloud. C'est la convergence à surveiller : une qualification européenne unique facilitera les achats transfrontaliers pour les ETI qui opèrent dans plusieurs pays de l'UE.

Que faire concrètement ?

Pour vos données hautement sensibles (catégorie 1 de votre cartographie), exigez SecNumCloud ou son équivalent certifié dans votre pays. Pour les données sensibles (catégorie 2), un hébergement sur infrastructure européenne avec contractualisation RGPD solide peut suffire dans un premier temps — à condition de vérifier la chaîne de sous-traitance.

Étape 3 — Lire les contrats de vos fournisseurs actuels

C'est l'étape que beaucoup d'organisations évitent. Elle est pourtant décisive.

Si vous utilisez aujourd'hui des services d'un acteur américain dominant — messagerie, stockage, collaboration, ERP cloud — relisez les clauses suivantes dans votre contrat :

• Clause de droit applicable : quel droit régit le contrat ? Droit de l'État du Delaware ou droit français/européen ?
• Clause de sous-traitance : votre fournisseur peut-il transférer vos données à des tiers hors UE ?
• Clause de coopération avec les autorités : que s'engage-t-il à faire en cas de demande d'une autorité étrangère ?

Dans la très grande majorité des contrats des acteurs américains dominants, ces clauses sont défavorables à la souveraineté de vos données. Ce n'est pas un jugement de valeur : c'est une réalité juridique documentée.

Que faire concrètement ?

Transmettez ces clauses à votre DPO (Délégué à la Protection des Données) et à votre service juridique. Demandez-leur de produire une note de risque. Cette note deviendra votre argumentaire interne pour justifier un projet de migration — ou de remédiation contractuelle.

Étape 4 — Définir une stratégie de migration par paliers

Une migration cloud souverain ne se fait pas en un trimestre. Elle se planifie sur 18 à 36 mois, par paliers.

Palier 1 — Les données les plus exposées (mois 1 à 6)

Identifiez la brique la plus critique de votre SI qui transite par un acteur soumis au CLOUD Act. Souvent : la messagerie professionnelle, le stockage documentaire ou l'outil de visioconférence. Commencez là. Des alternatives européennes qualifiées existent sur ces segments.

Palier 2 — Les applications métier cœur (mois 6 à 18)

ERP, CRM, outils de gestion de projet. C'est le chantier le plus lourd. Il nécessite souvent une refonte partielle des intégrations. C'est aussi là que le marché européen des éditeurs SaaS souverains a le plus progressé ces trois dernières années.

Palier 3 — L'infrastructure globale (mois 18 à 36)

Migration ou hybridation de l'infrastructure serveur, des pipelines de données, des environnements de développement. À ce stade, vous construisez un SI structurellement souverain.

Que faire concrètement ?

Formalisez ce plan en trois paliers dans un document de roadmap SI. Associez-y un budget par palier. Présentez-le à votre direction générale comme un investissement de résilience — pas comme un coût de conformité.

Étape 5 — Anticiper les effets sur votre chaîne de valeur

Si vous êtes sous-traitant d'un acteur public ou d'une ETI soumise à NIS2, la pression va s'accentuer. Vos clients vont vous demander des garanties sur la souveraineté de vos infrastructures.

C'est déjà le cas dans la défense, la santé, l'énergie. Ça se propage dans l'industrie et les services professionnels.

Deux mouvements industriels européens à surveiller :

• Gaia-X : initiative européenne de standardisation des échanges de données entre clouds souverains. Sa mise en œuvre avance lentement, mais les premières concrétisations sectorielles (industrie automobile, santé) montrent que le cadre devient opérationnel.
• L'émergence d'opérateurs cloud mid-market européens : entre le hyperscaler américain et l'hébergeur local, un segment intermédiaire se structure. Des acteurs comme Ikoula ou d'autres opérateurs régionaux positionnent des offres qualifiées adaptées aux ETI. Ce segment est celui à suivre en priorité pour les PME/ETI qui n'ont pas les équipes pour gérer une infrastructure SecNumCloud complexe.

Que faire concrètement ?

Ajoutez une clause de souveraineté dans vos appels d'offres fournisseurs. Demandez à vos prestataires IT de vous fournir une attestation sur la localisation et la qualification de leurs hébergements.

Ce que ce mouvement dit du marché européen

L'orientation de l'État vers le cloud français n'est pas un protectionnisme de façade. C'est la traduction d'une prise de conscience que les infrastructures numériques sont des infrastructures stratégiques — au même titre que les réseaux d'énergie ou de transport.

Les acteurs européens qui s'en sortent sont ceux qui ont anticipé la qualification, investi dans la conformité réglementaire et développé des offres sectorielles adaptées. Ceux qui décrochent sont les revendeurs de services américains qui n'ont pas construit de valeur ajoutée propre.

Pour les DSI et CTO de PME/ETI, le message est clair : la souveraineté numérique n'est plus une option philosophique. Elle devient une condition d'accès au marché européen.

Checklist de départ — Les 5 actions à lancer cette semaine

• [ ] Lancer la cartographie des données critiques (tableur, 3 colonnes, 3 questions)
• [ ] Identifier les 3 briques de votre SI actuellement hébergées chez un acteur soumis au CLOUD Act
• [ ] Transmettre les contrats concernés à votre DPO pour analyse des clauses de droit applicable
• [ ] Vérifier si votre organisation est soumise à NIS2
• [ ] Inscrire un point « roadmap cloud souverain » à l'ordre du jour de votre prochain COMEX

*La doctrine de l'État évolue vite. La réglementation européenne aussi. Ce guide sera mis à jour au fil des évolutions du référentiel SecNumCloud et du schéma EUCS.*