La souveraineté cloud est passée en 2026 du registre des principes à celui des critères d'attribution de marchés publics et des obligations réglementaires.
Depuis avril 2026, la Commission européenne dispose d'un Cloud Sovereignty Framework opérationnel : 48 critères, répartis en 8 objectifs de souveraineté, notés selon une échelle de maturité appelée SEAL (Sovereignty Effectiveness Assurance Level, de SEAL-0 à SEAL-4).
Le Cloud Sovereignty Framework : 48 critères, 8 objectifs
Ce cadre évalue les fournisseurs cloud selon huit objectifs de souveraineté pondérés différemment : chaîne d'approvisionnement (20%), stratégique (15%), opérationnelle (15%), technologique (15%), juridique & juridictionnelle (10%), données & IA (10%), sécurité & conformité (10%) et durabilité environnementale (5%).
La chaîne d'approvisionnement pèse plus lourd que la seule localisation juridique des données — un signal clair envoyé aux fournisseurs qui hébergent en Europe sans maîtriser le matériel ni le logiciel sous-jacents.
Ce que le premier contrat de 180 M€ nous apprend
En avril 2026, la Commission européenne a attribué un contrat-cadre de 180 millions d'euros sur six ans à quatre lauréats évalués selon ce référentiel.
Le cas S3NS — coentreprise entre Thales et Google Cloud, retenue avec un niveau SEAL-2 seulement — illustre qu'un partenariat local ne suffit pas à qualifier une offre de « souveraine » si la technologie sous-jacente reste contrôlée par un acteur non européen.
Ce qu'il faut retenir
- Savoir, pour chaque fournisseur cloud critique, sous quelle juridiction il est réellement gouverné
- Documenter la chaîne d'approvisionnement matérielle et logicielle
- Vérifier la réversibilité contractuelle et technique en moins de six mois
- Tester un scénario de perte régionale ou de défaillance fournisseur au moins une fois par an
- Savoir répondre à son niveau SEAL sur les huit objectifs de souveraineté
