Entre l'arrivée de l'AWS European Sovereign Cloud, la montée en puissance de Bleu et S3ns, et le schéma de certification européen EUCS, la souveraineté cloud est redevenue un critère de décision central pour les DSI françaises. Panorama des offres et grille de choix.
Pourquoi la souveraineté cloud revient au centre des discussions
Depuis deux ans, la question de la souveraineté numérique a quitté les cercles réglementaires pour s'inviter directement dans les comités de direction. Trois facteurs se combinent : la pression réglementaire (RGPD, NIS2, futur schéma EUCS), les exigences sectorielles renforcées (santé, finance, secteurs régaliens) et une prise de conscience générale du risque d'extraterritorialité lié au Cloud Act américain. Pour les entreprises françaises qui traitent des données sensibles ou réglementées, le choix du cloud n'est plus seulement une question de performance ou de coût : c'est devenu un critère de conformité et de gestion des risques à part entière.
Le cadre réglementaire : SecNumCloud et le futur schéma EUCS
La qualification SecNumCloud, délivrée par l'ANSSI, reste la référence française. Elle impose des exigences strictes sur la sécurité technique du service, mais surtout sur son immunité aux lois extraterritoriales non-européennes : un opérateur qualifié SecNumCloud doit être détenu et opéré de manière à ne pas être soumis au Cloud Act ou à des injonctions administratives extra-européennes.
Au niveau européen, le schéma EUCS (European Cybersecurity Certification Scheme for Cloud Services), porté par l'ENISA, avance vers une harmonisation des exigences de souveraineté à l'échelle de l'UE. Les débats autour du niveau "High+" (immunité totale aux lois de pays tiers) restent le point de friction principal entre États membres, mais la tendance de fond est claire : les administrations et les secteurs critiques devront de plus en plus justifier d'un niveau de souveraineté élevé pour héberger leurs données les plus sensibles.
Panorama des offres disponibles sur le marché français
Le paysage s'est structuré autour de plusieurs modèles :
| Offre | Acteurs | Modèle | Positionnement |
|---|---|---|---|
| AWS European Sovereign Cloud | AWS (structure juridique et opérationnelle européenne dédiée) | Infrastructure et gouvernance localisées en UE, opérateurs et personnel européens | Services AWS natifs avec garanties de résidence et d'autonomie opérationnelle renforcées |
| Bleu | Capgemini & Orange, technologie Microsoft Azure sous licence | Coentreprise de droit français | Cible les administrations et OIV nécessitant Microsoft 365 / Azure qualifié SecNumCloud |
| S3ns | Thales & Docaposte, technologie Google Cloud sous licence | Coentreprise de droit français | Vise la qualification SecNumCloud pour les services Google Cloud (data, IA, productivité) |
| OVHcloud | Français, capital et opérations 100% UE | Cloud souverain natif | IaaS/PaaS qualifié SecNumCloud, forte présence dans le secteur public |
| Outscale | Dassault Systèmes | Cloud souverain natif | SecNumCloud, orienté secteurs régulés et industrie |
| Scaleway | Groupe Iliad | Cloud souverain natif | IaaS/Kubernetes managé, forte adoption chez les scale-ups françaises |
Un point de vigilance essentiel : les offres "hébergées en Europe" ne sont pas toutes équivalentes à une véritable souveraineté juridique. La localisation des données en UE protège du RGPD sur le plan géographique, mais seule une gouvernance juridique et opérationnelle réellement européenne protège d'une réquisition extraterritoriale.
Cloud souverain ne veut pas dire cloud isolé
Une idée reçue tenace consiste à opposer souveraineté et innovation, comme si choisir un cloud souverain impliquait de renoncer aux services managés avancés, à l'IA générative ou au rythme d'innovation des hyperscalers. La réalité est plus nuancée : les coentreprises comme Bleu et S3ns visent justement à concilier les deux, en donnant accès aux piles logicielles Azure et Google Cloud sous une gouvernance juridique française. De leur côté, les offres souveraines natives (OVHcloud, Outscale, Scaleway) ont considérablement enrichi leur catalogue managé (Kubernetes, bases de données, IA) ces dernières années.
La bonne approche consiste donc rarement à un choix binaire, mais à une architecture par niveau de sensibilité : les données et traitements les plus critiques (santé, défense, données personnelles à fort risque) sur une infrastructure qualifiée SecNumCloud, le reste du système d'information sur les plateformes les plus adaptées aux besoins métier et techniques.
Grille de décision pour les DSI
- Nature et sensibilité des données : données de santé, données régaliennes, secrets industriels et données personnelles à fort risque appellent un niveau de souveraineté maximal.
- Contraintes sectorielles : certains marchés publics et appels d'offres imposent déjà une qualification SecNumCloud ou une clause de souveraineté contractuelle.
- Stratégie multi-cloud existante : une architecture déjà répartie entre plusieurs fournisseurs facilite l'introduction d'un cloud souverain pour un périmètre ciblé, sans tout migrer.
- Dépendance aux services managés avancés : évaluer précisément quels services (IA, data warehousing, observabilité) sont réellement nécessaires et vérifier leur disponibilité et maturité chez l'opérateur souverain envisagé.
- Compétences internes : les équipes DevOps doivent être formées aux spécificités opérationnelles (API, outillage IaC, supervision) de chaque plateforme souveraine retenue.
- Coût total de possession : au-delà du prix des ressources, intégrer les coûts de migration, de double run éventuel et de formation des équipes.
Checklist pour une migration vers un cloud qualifié SecNumCloud
- Cartographier les données et applications par niveau de sensibilité et identifier le périmètre réellement concerné par une exigence de souveraineté.
- Auditer les contrats et conditions d'utilisation des fournisseurs actuels pour évaluer l'exposition réelle aux lois extraterritoriales.
- Comparer les catalogues de services managés des offres souveraines par rapport aux besoins applicatifs identifiés.
- Prévoir une architecture réversible (Terraform, Kubernetes, conteneurisation) pour limiter le lock-in et faciliter une éventuelle migration ultérieure.
- Planifier une migration progressive par lots, en commençant par les charges les plus sensibles ou les plus simples à isoler.
- Mettre en place une gouvernance FinOps et sécurité dédiée pour le nouvel environnement, avec des indicateurs de conformité suivis dans la durée.
Conclusion
La souveraineté cloud n'est plus un sujet théorique : elle structure désormais des choix d'architecture concrets pour les entreprises françaises soumises à des exigences réglementaires ou sectorielles fortes. Entre les offres souveraines natives, les coentreprises adossées aux hyperscalers et les futures exigences du schéma EUCS, le paysage continuera d'évoluer rapidement. Move2Cloud accompagne ses clients dans l'analyse de leur exposition, la cartographie de leurs données sensibles et la conception d'architectures cloud hybrides conciliant conformité, performance et maîtrise des coûts.