Cloud souverain : les fournisseurs européens à connaître

Un cloud souverain est un service d'hébergement dont l'organisation maîtrise la juridiction, l'exploitation et les clés, de sorte que ses données restent à l'abri d'un accès par une autorité étrangère.

Le marché a beaucoup bougé en un an : en France, huit fournisseurs disposent désormais d'au moins une offre IaaS qualifiée SecNumCloud, les hyperscalers américains ont lancé leurs offres dites souveraines, et la Commission européenne a proposé en juin 2026 un cadre commun à quatre niveaux. Choisir un fournisseur demande donc une grille de lecture, pas une liste de noms. Dans ce guide, nous verrons :

• ce qui fait un cloud souverain, et ce que chaque label garantit ou non ;
• les principaux fournisseurs européens, français en tête, et les offres souveraines des hyperscalers ;
• les défis de l'adoption : verrouillage, coûts, intégration, maturité des services ;
• comment choisir un fournisseur, et pourquoi vos communications sensibles en font partie.

Pour découvrir comment Wire sur Cloud Temple associe chiffrement de bout en bout et cloud qualifié SecNumCloud, échangez avec notre équipe.

Qu'est-ce qu'un cloud souverain ?

Un cloud souverain est un service d'hébergement placé sous une juridiction et un contrôle opérationnel que l'organisation maîtrise. Il garantit où sont les données, quel droit s'applique au fournisseur et qui peut accéder aux systèmes, techniquement comme juridiquement, y compris pour les sauvegardes, les métadonnées et les journaux.

Le cloud souverain ne se réduit donc pas à la résidence des données : des serveurs situés en Europe chez un fournisseur soumis à une loi étrangère ne protègent pas des données qu'il gère. Les trois dimensions de la souveraineté (données, opérations, technologie) sont expliquées dans notre guide de la souveraineté du cloud, et le mécanisme de l'exposition dans notre article sur le CLOUD Act. Cette page se concentre sur les fournisseurs, leurs limites et la manière de choisir.

Quels sont les principaux fournisseurs de cloud souverain en Europe ?

Le marché reste très concentré, et les fournisseurs souverains se répartissent en quatre familles : les offres françaises qualifiées SecNumCloud, les fournisseurs allemands, les autres acteurs européens, et les offres « souveraines » des hyperscalers américains.

Les offres françaises qualifiées SecNumCloud

La qualification SecNumCloud délivrée par l'ANSSI est le repère le plus précis en France : elle évalue une offre cloud et son opérateur sur un référentiel public, y compris face aux lois extraterritoriales. D'après le catalogue de l'ANSSI mis à jour le 15 septembre 2026, au moins huit fournisseurs disposent d'une offre IaaS qualifiée. Les offres standard d'AWS, d'Azure et de Google Cloud n'y figurent pas.

OVHcloud (France)

OVHcloud se distingue par l'étendue de sa gamme et par ses tarifs publics. Trois de ses offres sont qualifiées SecNumCloud : Hosted Private Cloud powered by VMware, Bare Metal Pod et, depuis le 1er septembre 2026, SNC Cloud Platform, son offre de cloud public. Il couvre une large gamme d'infrastructures et de services managés.

Point d'attention : la qualification s'applique à des offres nommées : une exigence SecNumCloud ne couvre pas automatiquement tout le catalogue d'OVHcloud. Une des trois offres repose sur une technologie de virtualisation tierce.

3DS Outscale (France)

Filiale de Dassault Systèmes, Outscale détient depuis longtemps une offre IaaS qualifiée, Cloud on Demand, et propose des API compatibles avec celles d'AWS, ce qui facilite la migration d'applications existantes. Plusieurs offres d'IA et de services de tiers sont annoncées sur son infrastructure.

Point d'attention : la qualification de l'IaaS affiche une échéance au 30 novembre 2026 dans le catalogue : confirmez son renouvellement avant de vous engager.

Cloud Temple (France)

Cloud Temple est un fournisseur français cible des secteurs réglementés. Ses offres Secure Temple (IaaS, stockage S3, HSM et gestion des clés, bare metal) et PaaS OpenShift sont qualifiées SecNumCloud, avec une échéance au 30 mai 2028 ; certaines offres sont aussi certifiées HDS. C'est l'infrastructure sur laquelle Wire est déployé en France.

Point d'attention : comme pour les autres, la qualification est limitée aux offres nommées dans la décision de l'ANSSI. Vérifiez le périmètre exact de l'offre que vous visez.

NumSpot (France)

NumSpot est une plateforme de services cloud portée par un actionnariat qui réunit Bouygues Telecom, la Banque des Territoires, Dassault Systèmes et Docaposte. Son offre IaaS a été qualifiée SecNumCloud en septembre 2026, avec une validité jusqu'en 2029.

Point d'attention : la qualification est récente et la plateforme encore en montée en gamme : vérifiez la profondeur des services dont vous avez besoin.

S3NS (France)

S3NS est une coentreprise entre Thales et Google Cloud. Son offre Cloud de confiance S3NS (PREMI3NS), qualifiée SecNumCloud en décembre 2025, est exploitée en France par Thales sur une technologie sous licence.

Point d'attention : le modèle, dit de « cloud de confiance » par licence de technologie américaine, reste discuté : la qualification porte sur l'opérateur et le périmètre, pas sur l'origine des briques logicielles. À évaluer selon votre sensibilité.

Orange Business (France)

Avec son offre Cloud Avenue SecNum, Orange Business propose un IaaS qualifié aux grandes organisations et au secteur public, avec une exploitation en France.

Point d'attention : plusieurs comparatifs relèvent un recours à des technologies tierces américaines, notamment de virtualisation : vérifiez les dépendances techniques de l'offre.

Scaleway et Bleu (en cours de qualification)

Scaleway figure sur la liste de l'ANSSI des offres en cours de qualification pour son offre SecNumCloud (IaaS et PaaS). Bleu, la société de Capgemini et d'Orange qui s'appuie sur la technologie Microsoft, est également en cours de qualification, avec un objectif annoncé autour de fin 2026.

Point d'attention : tant que la qualification n'est pas inscrite au catalogue, ces offres ne peuvent pas se prévaloir de SecNumCloud : une clause qui l'exige ne les couvre pas.

Les fournisseurs allemands

L'Allemagne s'appuie sur un autre référentiel, le catalogue C5 du BSI, et sur des acteurs adossés à de grands groupes. Pour les marchés publics allemands, Open Telekom Cloud, IONOS et STACKIT sont les noms qui reviennent le plus.

STACKIT (Allemagne)

Filiale du groupe Schwarz, STACKIT est une plateforme cloud exploitée en Allemagne et de plus en plus utilisée par les industries réglementées. Elle a introduit en 2026 un référentiel de souveraineté à quatre niveaux de maturité, l'ES3, et propose une plateforme GPU pour l'IA.

Point d'attention : plusieurs comparatifs la situent dans le haut du marché en prix, et le plan de contrôle Kubernetes n'y est pas gratuit.

T-Systems Open Telekom Cloud (Allemagne)

Exploité par Deutsche Telekom sur la technologie open source OpenStack, Open Telekom Cloud est attesté C5 (type 2) et couvre IaaS, PaaS, Kubernetes et IA. T-Systems propose aussi des variantes souveraines, dont l'une repose sur la pile technologique de Google.

Point d'attention : selon la variante choisie, la technologie sous-jacente peut être américaine : demandez le détail de la chaîne technique et de l'exploitation.

IONOS Cloud (Allemagne)

IONOS Cloud, filiale de United Internet, propose un cloud attesté selon le catalogue C5 du BSI. Il participe à des initiatives européennes comme Virt8ra et pilote avec Nextcloud le projet de suite bureautique Euro-Office.

Point d'attention : l'offre est plus orientée PME et ETI que très grands comptes réglementés : vérifiez le niveau de support et les certifications attendues.

Hetzner (Allemagne)

Hetzner exploite un cloud « made in Germany » avec résidence des données en Allemagne et en Finlande, et il est connu pour son rapport qualité-prix, très inférieur aux hyperscalers.

Point d'attention : l'offre est surtout de l'infrastructure : les services managés, la gouvernance et les certifications visés par les organisations les plus exigeantes y sont moins nombreux.

Delos Cloud (SAP et Arvato) propose une pile technologique Microsoft hébergée en Allemagne, mais elle est réservée à l'administration publique et n'est pas accessible aux entreprises privées. Plusserver et d'autres acteurs proposent des offres comparables sur d'autres bases techniques.

Les autres fournisseurs européens

D'autres acteurs complètent le paysage : Exoscale (Suisse, filiale du groupe A1 Telekom Austria, avec des zones en Suisse, en Allemagne, en Autriche, en Bulgarie et en Croatie), CloudFerro (Pologne, membre de Virt8ra), Clever Cloud (France, plateforme PaaS sur sa propre infrastructure), Stackscale (Espagne) ou Elastx (Suède). Exoscale est établi en Suisse, hors de l'Union : évaluez sa juridiction selon vos exigences.

Les offres « souveraines » des hyperscalers américains

Les trois grands fournisseurs américains ont lancé des offres dédiées à l'Europe. L'AWS European Sovereign Cloud est disponible depuis le 14 janvier 2026 avec une première région à Brandenbourg : une partition distincte, des entités juridiques allemandes, un personnel exclusivement résident dans l'Union et un investissement annoncé de 7,8 milliards d'euros. Microsoft propose Microsoft Cloud for Sovereignty en Allemagne, et Google s'appuie sur des partenaires comme T-Systems et S3NS.

Ces offres progressent sur la localisation, l'exploitation et le contrôle des accès, ce qui a une réelle valeur. Mais elles ne tranchent pas la question juridique : tant que la maison mère relève du droit américain, leur immunité face aux injonctions américaines est contestée, pas établie. À son lancement, l'offre d'AWS comptait environ 90 services contre plus de 240 dans les régions européennes standard, et aucun de ces fournisseurs n'a de qualification SecNumCloud inscrite pour ces offres.

Pour comparer les solutions logicielles qui s'hébergent sur ces clouds, consultez notre guide des alternatives européennes aux géants de la tech.

Quels sont les principaux défis du cloud souverain ?

Malgré un élan politique net, plusieurs obstacles ralentissent l'adoption. Six reviennent régulièrement.

1. Le verrouillage des fournisseurs

La plupart des organisations ont des contrats pluriannuels avec des hyperscalers américains, ce qui complique une transition rapide. Elles hésitent en même temps à créer une nouvelle dépendance auprès d'un fournisseur souverain propriétaire. La réponse passe par les standards ouverts et des piles open source portables, comme OpenStack, OpenNebula ou le Sovereign Cloud Stack, qui facilitent l'interopérabilité et la sortie.

2. Le coût de la conformité

Un cloud souverain suppose des investissements durables en infrastructure certifiée, en expertise juridique et en contrôles de sécurité, qui se répercutent sur les prix. Les écarts sont réels : AWS lui-même facture son offre européenne souveraine avec une prime d'environ 15 % selon un comparatif, et certains fournisseurs allemands se situent dans le haut du marché. À l'inverse, des acteurs comme Hetzner ou Scaleway restent très compétitifs sur l'infrastructure.

3. La complexité de l'intégration

Intégrer un cloud souverain à des systèmes existants est difficile quand les règles de protection des données et les référentiels diffèrent d'un pays à l'autre. La migration d'une architecture à fournisseur unique vers un modèle multi-fournisseurs demande des schémas partagés, une gestion unifiée des identités et une journalisation cohérente.

4. L'écart de services avec les hyperscalers

Les services managés, l'IA et l'outillage des hyperscalers restent plus riches. Une organisation doit arbitrer : réserver le cloud souverain aux données et aux applications sensibles, et conserver un cloud public pour le reste, dans une architecture hybride.

5. Des labels nombreux et difficiles à comparer

SecNumCloud, C5, ES3, labels Gaia-X, EUCS : ces repères ne se valent pas et n'évaluent pas la même chose. Une qualification porte sur une offre et un périmètre, pas sur une entreprise, et elle a une date de fin. Le tableau de la section suivante les situe les uns par rapport aux autres.

6. Un cadre européen encore en construction

Le schéma de certification européen EUCS, proposé en 2020, n'est toujours pas adopté, notamment parce que l'exigence de souveraineté de son niveau le plus élevé reste disputée. Le Cloud and AI Development Act, proposé en juin 2026, s'appuierait sur des niveaux d'assurance à quatre degrés, mais le texte doit encore être examiné par le Parlement européen et le Conseil.

Quels cadres réglementaires et certifications structurent le cloud souverain ?

Un point revient souvent à tort : Gaia-X n'est pas un fournisseur de cloud. C'est une association à but non lucratif, créée en 2021 à Bruxelles à l'initiative de la France et de l'Allemagne, qui définit un cadre de confiance, des labels et des règles d'interopérabilité. Elle ne remplace ni une certification de cybersécurité comme l'EUCS, ni une qualification comme SecNumCloud. Le Cloud and AI Development Act proposé par la Commission créerait un cadre unique à quatre niveaux d'assurance, conditionnant l'accès à la commande publique.

Pour NIS 2, parlez de préparation plutôt que de conformité : le projet de loi Résilience n'a pas encore été examiné en séance à l'Assemblée nationale. Notre guide pour se préparer à NIS 2 détaille les mesures attendues.

Quelles opportunités ouvre l'essor du cloud souverain ?

Les piles open source et les standards ouverts

OpenNebula, OpenStack et le Sovereign Cloud Stack permettent de construire des clouds interopérables sans dépendre d'une technologie propriétaire. Open Telekom Cloud repose par exemple sur OpenStack, et Scaleway et OVHcloud proposent des déploiements OpenNebula certifiés. Cette base commune réduit le verrouillage et facilite la portabilité des charges de travail.

La fédération entre fournisseurs : Virt8ra

Virt8ra est une infrastructure d'edge cloud souveraine et multi-fournisseurs coordonnée par OpenNebula Systems et financée dans le cadre du programme européen IPCEI-CIS. Lancée en janvier 2025 par huit organisations (Arsys, BIT, Gdańsk University of Technology, Infobip, IONOS, Kontron, Mondragon et Oktawave), elle a été rejointe en 2025 par ADI Data Center Euskadi, Clever Cloud, CloudFerro, OVHcloud, Scaleway et Stackscale.

L'IA souveraine

Les charges d'IA concentrent une partie de l'investissement : STACKIT et Open Telekom Cloud proposent des plateformes GPU, et plusieurs offres d'IA françaises annoncent des déploiements sur des infrastructures qualifiées SecNumCloud. Un point de vigilance : la qualification couvre l'hébergeur, pas l'application d'IA posée dessus.

Les espaces de données de confiance

Gaia-X et l'Alliance européenne pour les données industrielles, l'edge et le cloud soutiennent des espaces de données sectoriels (industrie, énergie, santé) qui partagent des données entre organisations selon des règles de confiance communes. Ils s'appuient sur des clouds qui respectent ces règles.

Comment choisir un fournisseur de cloud souverain ?

Posez les mêmes questions à chaque fournisseur et notez les réponses dans une grille commune.

1. Quelle est la juridiction de l'éditeur et de ses actionnaires ?

Où est établi le fournisseur, qui le contrôle, et de quelle société est-il la filiale ? Demandez la structure du capital et les engagements contractuels en cas de demande d'une autorité étrangère.

2. Qui exploite et administre le service ?

Le personnel d'exploitation et de support, ses localisations et ses sous-traitants comptent autant que le lieu des serveurs. Interrogez aussi les dépendances techniques : un hébergeur européen qui s'appuie sur une technologie de virtualisation ou un service d'administration américain réintroduit une exposition.

3. La qualification couvre-t-elle l'offre que je vise ?

Consultez le catalogue de l'ANSSI : l'offre exacte, son périmètre et sa date de fin. Une qualification IaaS ne couvre pas un SaaS posé dessus.

4. Où sont les clés, les sauvegardes et les métadonnées ?

Exigez la localisation de chaque catégorie de données et la maîtrise des clés. Pour les échanges les plus sensibles, privilégiez un chiffrement de bout en bout qui rend les contenus illisibles pour l'hébergeur lui-même.

5. Comment sortir ?

Formats ouverts, API documentées, export complet, absence de frais de changement : testez la réversibilité avant de signer. Le Data Act la renforce, sans remplacer un plan de sortie éprouvé.

6. Quelle maturité et quel support ?

Taille du fournisseur, catalogue de services, références comparables, niveaux de service et roadmap : comparez avec vos besoins réels, pas avec le catalogue complet d'un hyperscaler.

Pourquoi vos communications font-elles partie du sujet ?

Les organisations investissent dans des clouds souverains pour leurs applications métier, mais leurs décisions les plus sensibles circulent encore sur des messageries et des suites collaboratives américaines. Comité de direction, cellule de crise, échanges avec les sous-traitants : c'est là que se trouvent les informations les plus stratégiques.

Une approche cohérente associe trois éléments : un chiffrement de bout en bout par défaut, un éditeur sous contrôle européen et un hébergement de confiance. Dans les organisations soumises à de fortes exigences, comme les opérateurs d'importance vitale (OIV), l'énergie ou la base industrielle et technologique de défense (BITD), c'est la communication de crise qui doit être traitée en premier.

Pour préparer votre canal de crise, consultez notre guide du plan de communication de crise. Les solutions européennes pour remplacer les applications grand public sont détaillées dans notre guide de l'alternative européenne à WhatsApp, et les exigences des industries critiques dans notre article sur la communication interne sécurisée.

Cloud souverain : que retenir ?

L'écosystème européen du cloud s'est structuré : des offres françaises qualifiées SecNumCloud, des acteurs allemands attestés C5, des initiatives de fédération comme Virt8ra et, en face, des offres souveraines d'hyperscalers dont l'exposition juridique reste débattue. Le choix d'un fournisseur se joue sur la juridiction, l'opérateur, les clés, le périmètre de la qualification et la réversibilité, bien plus que sur un label affiché.

Commencez par vos données et vos outils les plus sensibles, y compris votre communication de crise, et organisez une architecture qui réserve le cloud de confiance à ce qui le justifie. Wire sur Cloud Temple fait partie des options pour vos communications : une messagerie chiffrée de bout en bout par défaut, déployée sur une infrastructure qualifiée SecNumCloud par l'ANSSI.

Comment Wire sur Cloud Temple associe cloud de confiance et chiffrement

Avec Wire sur Cloud Temple, vos équipes disposent d'une messagerie chiffrée de bout en bout, déployée sur le cloud de confiance de Cloud Temple, qualifié SecNumCloud par l'ANSSI. Un espace de confiance pour vos échanges sensibles et votre communication de crise, à côté de vos outils habituels.

Principales fonctionnalités :

• Déploiement sur un cloud qualifié SecNumCloud : Wire est déployé sur l'infrastructure de Cloud Temple, qualifiée SecNumCloud par l'ANSSI, et référencé dans la Marketplace Cloud Temple. Découvrez Wire sur Cloud Temple.
• Chiffrement de bout en bout par défaut : messages, appels et visioconférences sont chiffrés de bout en bout sur tous les appareils : un hébergeur ne peut pas remettre ce qu'il ne peut pas lire.
• Sous contrôle européen : Wire s'appuie sur des investisseurs exclusivement européens.
• Messaging Layer Security (MLS) : Wire s'appuie sur MLS, standard ouvert de l'IETF (RFC 9420), conçu pour sécuriser les échanges en grands groupes.
• Code open source et auditable : le code de Wire est publié et peut faire l'objet d'audits indépendants.
• Gouvernance d'entreprise : administration centralisée, authentification unique (SSO) et provisionnement des comptes (SCIM).
• Collaboration au-delà de l'organisation : l'accès invités et la fédération permettent d'échanger avec vos partenaires, sous-traitants et autorités, avec des membres externes clairement identifiés.

Plus de 1 800 organisations utilisent déjà Wire pour sécuriser leurs échanges. Demandez des références adaptées à votre secteur.

Ou contactez-nous pour voir comment Wire sur Cloud Temple peut répondre à vos exigences.