La souveraineté du cloud désigne la capacité d'une organisation à garder le contrôle juridique, opérationnel et technique de ses données et de ses services hébergés dans le cloud, sans qu'une autorité étrangère puisse y accéder ou les interrompre.
En France, le sujet est passé de la doctrine à l'obligation : la loi SREN impose désormais aux administrations de l'État un cloud qualifié SecNumCloud pour leurs données sensibles. À l'échelle européenne, la Commission a proposé en juin 2026 un cadre commun pour évaluer la souveraineté des offres cloud. Dans ce guide, nous verrons :
Pour découvrir comment Wire sur Cloud Temple associe chiffrement de bout en bout et cloud de confiance qualifié SecNumCloud, échangez avec notre équipe.
L'essentiel
La souveraineté du cloud garantit que les données, les traitements et l'infrastructure d'une organisation restent sous un contrôle juridique et opérationnel qu'elle maîtrise. Elle répond à trois questions : où sont les données, quel droit s'y applique, et qui peut y accéder, techniquement comme juridiquement.
En France, l'ANSSI a traduit cette exigence dans la qualification SecNumCloud, qui permet d'identifier des offres cloud visant à protéger les données sensibles face à la menace cybercriminelle et à l'application de lois extraterritoriales.
La souveraineté du cloud ne se résume donc pas à la résidence des données. Des serveurs situés à Paris ou Francfort ne protègent pas des données gérées par un fournisseur soumis à une loi étrangère. Elle s'apprécie selon trois dimensions.
|
Dimension |
Question à se poser |
Exemple de critère |
|
Souveraineté des données |
Où sont stockées les données, les sauvegardes et les métadonnées, et quel droit s'y applique ? |
Hébergement dans l'Union, absence de transfert hors UE |
|
Souveraineté opérationnelle |
Qui exploite et administre le service, et qui peut accéder aux systèmes ? |
Opérateur et personnel de support sous juridiction européenne |
|
Souveraineté technologique |
L'organisation peut-elle changer de fournisseur et garder la maîtrise de ses clés ? |
Réversibilité, standards ouverts, clés détenues par le client |
Pour les organisations européennes, la souveraineté du cloud touche à la conformité, à la sécurité et à la continuité d'activité. Quatre raisons expliquent son importance croissante.
Le CLOUD Act permet aux autorités américaines d'exiger d'un fournisseur américain des données qu'il détient, même lorsqu'elles sont stockées dans l'Union. La section 702 du FISA permet aux agences de renseignement américaines de collecter, auprès de fournisseurs américains, les communications de ressortissants étrangers situés hors des États-Unis. Son renouvellement fait régulièrement l'objet de débats au Congrès.
Ces textes entrent en tension avec le RGPD. Son article 48 prévoit qu'une décision d'une juridiction ou d'une autorité d'un pays tiers exigeant un transfert de données ne peut être reconnue que si elle repose sur un accord international, comme un traité d'entraide judiciaire. Le détail de ce conflit est expliqué dans notre article sur le CLOUD Act et la souveraineté des données. Les transferts vers les États-Unis reposent par ailleurs sur le cadre de protection des données adopté en 2023, dont la solidité juridique reste discutée.
Le marché européen du cloud reste dominé par trois acteurs américains. Cette concentration crée une dépendance technique et commerciale : changer de fournisseur coûte cher, et les conditions d'usage, de prix ou d'accès peuvent évoluer sans contrepartie. Les fournisseurs européens ont certes triplé leur chiffre d'affaires depuis 2017, mais le marché a crû plus vite encore.
Elle crée aussi un risque de continuité. Un fournisseur soumis à un droit étranger peut être contraint de suspendre un service, par exemple pour se conformer à des sanctions décidées par son pays d'origine.
Les enjeux sont plus forts pour les opérateurs d'importance vitale (OIV) et les futurs opérateurs essentiels au sens de NIS 2, la défense et sa base industrielle (BITD), l'énergie, la santé, la finance et le secteur public. Ces organisations traitent des données sensibles et doivent démontrer leur maîtrise des risques liés à leurs prestataires.
Pour le secteur financier, DORA impose déjà d'évaluer le risque de concentration sur les prestataires TIC et de prévoir des stratégies de sortie pour les services qui soutiennent des fonctions critiques.
La souveraineté est devenue un critère d'achat. Les donneurs d'ordre publics et les grands comptes interrogent de plus en plus leurs fournisseurs sur l'hébergement, l'opérateur et la juridiction applicable. Être en mesure de répondre précisément devient un avantage concurrentiel. C'est particulièrement vrai pour les sous-traitants de la défense et de l'énergie, dont les clients exigent des garanties sur toute la chaîne de sous-traitance.
Plusieurs textes européens et français fixent le cadre. Le tableau ci-dessous en présente l'essentiel et leur statut en octobre 2026.
|
Texte |
Ce qu'il couvre |
Statut |
|
RGPD |
Protection des données personnelles et encadrement des transferts hors de l'Union |
En vigueur depuis mai 2018 |
|
Directive NIS 2 |
Gestion des risques cyber des entités essentielles et importantes, y compris la chaîne d'approvisionnement |
Transposition française en attente (projet de loi Résilience) |
|
Règlement DORA |
Résilience opérationnelle numérique du secteur financier et risques liés aux prestataires TIC |
Applicable depuis janvier 2025 |
|
Data Act |
Portabilité des données et changement de fournisseur cloud, avec suppression progressive des frais de changement |
Applicable depuis septembre 2025 ; frais de changement supprimés en janvier 2027 |
|
Cloud and AI Development Act |
Cadre européen d'évaluation de la souveraineté des offres cloud, à quatre niveaux, lié à la commande publique |
Proposition de la Commission du 3 juin 2026, en cours d'examen |
|
Doctrine « Cloud au centre » |
Hébergement des données sensibles de l'État sur un cloud interne ou qualifié SecNumCloud |
Circulaire de 2021, régulièrement actualisée |
|
Loi SREN, article 31 |
Obligation pour les administrations et opérateurs de l'État de recourir à une offre qualifiée SecNumCloud pour leurs données sensibles confiées à un prestataire |
Loi du 21 mai 2024 ; décret d'application publié ; extension aux collectivités en discussion |
|
Qualification SecNumCloud (ANSSI) |
Exigences de sécurité des offres cloud, y compris face aux lois extraterritoriales |
Qualification délivrée par l'ANSSI |
Le Cloud and AI Development Act mérite une attention particulière. Proposé dans le cadre du paquet européen sur la souveraineté technologique, il introduirait un cadre unique pour évaluer la souveraineté des services cloud et d'IA, avec quatre niveaux d'exigence conditionnant l'accès à la commande publique. Le texte doit encore être examiné par le Parlement européen et le Conseil.
Le Data Act, de son côté, s'attaque au verrouillage : il oblige les fournisseurs de cloud à faciliter le changement de prestataire et la portabilité des données, et les frais de changement ne pourront plus être facturés à partir de janvier 2027.
Pour NIS 2, parlez de préparation plutôt que de conformité : le projet de loi Résilience, adopté par le Sénat en mars 2025, n'a pas encore été examiné en séance à l'Assemblée nationale. Notre guide pour se préparer à NIS 2 détaille les mesures attendues.
Ces termes sont souvent confondus. Ils ne garantissent pas la même chose.
|
Modèle |
Ce qu'il apporte |
Ce qu'il ne garantit pas |
|
Cloud public d'un hyperscaler |
Élasticité, richesse des services, couverture mondiale |
L'absence d'accès étranger si l'éditeur relève d'un droit extra-européen |
|
Cloud privé |
Infrastructure dédiée, isolement, personnalisation |
La souveraineté juridique s'il est opéré par un fournisseur non européen |
|
Cloud souverain |
Hébergement et exploitation sous juridiction européenne, selon la promesse du fournisseur |
Un niveau de sécurité vérifié : le terme n'a pas de définition réglementaire |
|
Cloud de confiance (qualifié SecNumCloud) |
Exigences de sécurité et de protection face aux lois extraterritoriales, évaluées par l'ANSSI |
La sécurité des services hébergés, que la qualification ne couvre pas |
Le cloud de confiance est la notion la plus précise en France, car elle repose sur un référentiel public et une évaluation par l'ANSSI. La qualification porte sur l'offre et son opérateur, pas sur l'origine des technologies : des offres dites hybrides, exploitées par une société française sous licence de technologies américaines, ont ainsi été qualifiées, ce qui alimente le débat sur la définition même de la souveraineté.
Les grands fournisseurs américains proposent désormais des offres dites souveraines, avec hébergement européen et personnel local. Elles améliorent la localisation et l'exploitation, mais tant que l'éditeur relève du droit américain, la question de l'accès extraterritorial demeure.
Au niveau européen, des initiatives comme Gaia-X cherchent à définir des règles communes de transparence et d'interopérabilité, et le Cloud and AI Development Act pourrait fournir pour la première fois une grille partagée.
Avant de signer, posez à chaque fournisseur les mêmes questions. Elles valent pour l'hébergement comme pour les logiciels SaaS que vous utilisez au quotidien. Notez les réponses dans une grille commune pour comparer les offres sur des bases identiques.
Où est établi l'éditeur ? Qui le contrôle ? Une filiale européenne d'un groupe américain reste exposée au CLOUD Act. Demandez la structure de capital et les engagements contractuels en cas de demande d'une autorité étrangère. Méfiez-vous des promesses de « cloud souverain » sans qualification ni engagement vérifiable.
Le personnel d'exploitation et de support, ses localisations et ses sous-traitants comptent autant que le lieu des serveurs. Un accès d'administration depuis un pays tiers peut suffire à exposer les données. Interrogez aussi le fournisseur sur ses propres dépendances : un hébergeur européen qui s'appuie sur un outil d'administration ou un service de sauvegarde américain réintroduit une exposition.
Les sauvegardes, les journaux et la télémétrie partent parfois hors de l'Union, même quand les données principales restent en Europe. Faites préciser contractuellement où se trouve chaque catégorie de données.
Pour les données sensibles, privilégiez une offre qualifiée SecNumCloud. Selon votre secteur, vérifiez aussi la certification HDS pour les données de santé et l'ISO 27001. Plusieurs fournisseurs disposent d'offres qualifiées, dont Cloud Temple, OVHcloud ou Outscale ; la liste à jour est publiée par l'ANSSI.
Si le fournisseur détient les clés, il peut être contraint de déchiffrer. Privilégiez des clés gérées par l'organisation et, pour les échanges les plus sensibles, un chiffrement de bout en bout qui rend les contenus illisibles pour l'hébergeur lui-même.
Formats ouverts, API documentées, plan de sortie et absence de frais de changement : la réversibilité conditionne votre capacité à changer de fournisseur. Le Data Act renforce ces droits, mais rien ne remplace un plan de sortie testé. Prévoyez aussi le format de restitution des données en fin de contrat.
La souveraineté ne se décrète pas en une migration. Elle se construit par étapes, en commençant par ce qui compte le plus.
Toutes les données n'exigent pas le même niveau de protection. Identifiez les données sensibles (stratégie, R&D, données de santé, informations de crise) et réservez-leur les offres les plus exigeantes. Associez la direction juridique, le RSSI et les métiers : la sensibilité d'une donnée dépend autant de son contenu que de son contexte.
Pour ces données, privilégiez des fournisseurs sous contrôle européen et, en France, des offres qualifiées SecNumCloud. Le cloud public peut rester pertinent pour les données moins sensibles.
Le chiffrement géré par l'organisation limite ce qu'un fournisseur peut divulguer. Pour les communications, le chiffrement de bout en bout garantit que seuls les participants peuvent lire les échanges.
Un code ouvert peut être audité, et des standards ouverts facilitent l'interopérabilité et la réversibilité. Notre comparatif des messageries instantanées open source applique cette logique aux outils de communication.
Répartissez les charges de travail selon leur sensibilité : cloud de confiance pour les données critiques, cloud public pour le reste. Cet équilibre préserve l'innovation sans sacrifier le contrôle. Documentez ces choix dans une politique d'hébergement, afin que chaque nouveau projet sache où placer ses données.
Révisez régulièrement les flux de données, les sous-traitants et les clauses contractuelles, et testez votre plan de sortie. Un fournisseur peut changer d'actionnaire, de sous-traitant ou de région d'hébergement.
Les organisations investissent dans des clouds de confiance pour leurs applications métier, mais leurs décisions les plus sensibles circulent souvent sur des messageries et des suites collaboratives américaines. Comité de direction, cellule de crise, projets confidentiels : c'est là que se trouvent les informations les plus stratégiques.
Les messageries grand public posent le même problème sous une autre forme : WhatsApp ou Telegram s'invitent dans les échanges professionnels, hors de tout contrôle. Les risques sont détaillés dans notre analyse de la sécurité de Telegram, et les solutions européennes dans notre aperçu des applications de messagerie européennes.
Une approche souveraine des communications combine trois éléments : un chiffrement de bout en bout par défaut, un éditeur sous contrôle européen et un hébergement de confiance. Le tableau suivant illustre les cas d'usage prioritaires.
|
Cas d'usage |
Risque principal |
Approche souveraine |
|
Communication de crise (cellule de crise, CERT, SOC) |
Canal dépendant d'un SI compromis ou d'un fournisseur étranger |
Canal hors bande chiffré de bout en bout, hébergé sur un cloud de confiance |
|
Comex et codir |
Décisions stratégiques accessibles à un éditeur soumis au CLOUD Act |
Messagerie chiffrée de bout en bout, éditeur sous contrôle européen |
|
R&D et propriété intellectuelle |
Exposition des secrets industriels |
Chiffrement par défaut, clés sur les appareils des utilisateurs |
|
Échanges avec les sous-traitants (BITD, OIV) |
Données sensibles partagées sans maîtrise de la juridiction |
Accès invités et fédération sur une infrastructure qualifiée |
|
Données de santé |
Exigences réglementaires d'hébergement |
Hébergement certifié HDS et chiffrement adapté |
Pour la communication de crise en particulier, le canal doit être prêt avant l'incident. Retrouvez les étapes clés dans notre guide du plan de communication de crise, et les solutions européennes dans notre guide de l'alternative européenne à WhatsApp.
Commencez par vos données les plus sensibles et les outils qui les portent, y compris la messagerie. Une cartographie des outils réellement utilisés, Shadow IT compris, révèle souvent des dépendances insoupçonnées. Vérifiez la juridiction, l'opérateur, les qualifications, la maîtrise des clés et la réversibilité de chaque fournisseur, puis organisez une architecture qui réserve le cloud de confiance à ce qui le justifie. Pour un panorama plus large, consultez notre sélection d'alternatives européennes aux géants de la tech.
Pour vos communications sensibles, Wire sur Cloud Temple fait partie des options : une messagerie chiffrée de bout en bout par défaut, déployée sur une infrastructure qualifiée SecNumCloud par l'ANSSI.
Avec Wire sur Cloud Temple, vos équipes disposent d'une messagerie chiffrée de bout en bout, déployée sur le cloud de confiance de Cloud Temple, qualifié SecNumCloud par l'ANSSI. Un espace de confiance pour vos échanges sensibles et votre communication de crise, à côté de vos outils habituels.
Principales fonctionnalités :
Plus de 1 800 organisations utilisent déjà Wire pour sécuriser leurs échanges. Demandez des références adaptées à votre secteur.
Ou contactez-nous pour voir comment Wire sur Cloud Temple peut répondre à vos exigences.