Cloud souverain : ce que le label garantit et ce qu'il laisse

« Cloud souverain » n'a aucune définition juridique unique. Chaque fournisseur peut le coller sur ce qu'il sait faire, et l'acheteur se retrouve avec un mot qui rassure plus qu'il n'informe. Avant de payer la prime de la souveraineté, mieux vaut savoir ce qu'on achète : une localisation, un régime juridique, un mode d'exploitation, ou les trois.

Quatre choses différentes sous le même mot

La localisation des données. Vos données sont stockées dans l'Union européenne. C'est nécessaire, c'est loin d'être suffisant. Un fournisseur dont la maison mère est hors UE peut héberger à Paris et rester soumis au droit de son pays d'origine.

La juridiction applicable. C'est la vraie question de fond : qui peut contraindre le fournisseur à livrer vos données, et sous quel droit ? Elle dépend du siège, de l'actionnariat, des filiales, pas de l'adresse du datacenter.

L'exploitation. Qui administre l'infrastructure, depuis où, avec quels accès à distance ? Un service peut être localisé en France et administré en partie depuis l'étranger.

La chaîne de dépendances. Logiciels, composants, sous-traitants, support. Si une brique critique appartient à un tiers non européen, la souveraineté de l'ensemble en dépend.

Un fournisseur peut cocher la première case et pas les trois autres. Posez la question quatre fois, séparément.

Ce que SecNumCloud apporte, et ce qu'il ne promet pas

SecNumCloud est le référentiel de l'ANSSI pour les offres cloud (IaaS, PaaS, SaaS). Une offre qui y répond obtient un visa de sécurité. L'ANSSI le présente comme recommandé pour protéger des données sensibles, et comme un cadre qui associe exigences techniques, opérationnelles et juridiques. Il aide à repérer des offres protégées contre les menaces cybercriminelles et contre l'application de lois extraterritoriales.

Dans le détail de la version 3.2 du référentiel, plusieurs exigences touchent précisément les points qui nous occupent :

Le prestataire doit stocker et traiter les données du commanditaire dans l'UE, et réaliser l'administration et la supervision depuis l'UE (chapitre 19.2). Le support peut être assuré depuis l'extérieur, à condition que les opérations autorisées soient documentées et le contrôle d'accès maintenu sous supervision européenne.
Siège social, administration centrale et principal établissement dans un État membre. Les entités tierces hors UE ne peuvent pas détenir individuellement plus de 24 % du capital et des droits de vote, ni collectivement plus de 39 %, et ne peuvent pas disposer de droit de veto (19.6).
Une société hors UE utilisée dans le service, sous-traitant compris, ne doit pas avoir la capacité technique d'accéder aux données (19.6.c).
Le prestataire doit informer le client par écrit, dans le mois, de tout changement juridique, organisationnel ou technique susceptible d'affecter ces garanties (19.6.f).
Un contrat doit contenir une clause de réversibilité permettant de récupérer les données dans des formats documentés ou via des interfaces documentées (19.1).

Voilà pour ce qu'il garantit. Maintenant ses limites, que le référentiel énonce lui-même. Au chapitre 3.3.2, il reconnaît qu'il « n'apporte pas de garanties techniques fortes contre un accès du prestataire aux données » : ce sont des engagements contractuels. Pour une protection technique, il faut chiffrer avec des clés que vous contrôlez. Et la qualification de l'offre ne garantit pas la sécurité de vos propres services hébergés dessus, ce que l'ANSSI rappelle sur sa page de présentation. Autrement dit, un hébergement qualifié avec un mot de passe administrateur faible reste un hébergement exposé.

Le référentiel demande aussi au prestataire de documenter les risques résiduels liés aux lois extra-européennes et de les communiquer au client qui le demande (5.3). Demandez ce document. S'il n'existe pas ou refuse d'être communiqué, vous savez déjà quelque chose.

Où en est le cadre, fin 2026

Le référentiel SecNumCloud a changé de version : un arrêté du 12 août 2026 approuve la version 3.2, selon l'analyse publiée le 17 août par un cabinet d'avocats spécialisé en marchés publics. Cette version vise d'abord les prestataires qui servent l'État, ses opérateurs et des groupements d'intérêt public pour des données d'une sensibilité particulière. Pour les prestataires privés, la conformité s'atteste par une qualification de l'ANSSI, ou par une certification européenne que l'ANSSI reconnaît comme équivalente. Je n'ai pas pu établir ce qui a changé précisément par rapport à la version précédente : si ce point compte pour votre achat, lisez l'arrêté au Journal officiel plutôt qu'un résumé.

Côté européen, le schéma de certification cloud EUCS, discuté depuis des années, n'avait pas été adopté au moment de la dernière source que j'ai pu consulter (avril 2025). Le point de blocage : faut-il y inscrire des exigences de souveraineté comme l'obligation de stocker les données dans l'UE ? Ses partisans y voient une protection contre l'accès de pays tiers, ses critiques un risque de distorsion de concurrence et de réduction du choix pour les utilisateurs. Je n'ai pas vérifié ce qu'il en est aujourd'hui. Ne bâtissez pas un achat sur une certification européenne que vous ne pouvez pas citer avec son numéro et sa date.

Les questions qui coûtent le plus cher quand on les oublie

Votre donnée a-t-elle besoin de ce niveau ? SecNumCloud est pensé pour des données sensibles. Pour un site vitrine ou un outil interne sans enjeu particulier, la prime peut n'avoir aucun fondement. Pour des données de santé, des secrets d'affaires, des données d'un client public, c'est une autre conversation.

Qui contrôle les clés de chiffrement ? Si elles sont chez le fournisseur, le chiffrement ne vous protège pas de lui.

Que se passe-t-il si l'actionnariat change ? Le référentiel impose une notification dans le mois. Votre contrat doit prévoir ce que vous pouvez faire de cette information : résilier sans pénalité, par exemple.

Quelle est la liste des sous-traitants ? Le référentiel prévoit une liste exhaustive tenue à disposition des clients, avec notification des changements (15.1). Exigez-la, et relisez-la à chaque renouvellement.

Quel est le coût de sortie ? Un service souverain qui vous enferme reste une dépendance. Une qualification ne remplace pas un plan de réversibilité testé.

Mon avis

La souveraineté se décide par cas d'usage, pas par fournisseur. Mettez sur un cloud qualifié ce qui le justifie, gardez le reste là où le rapport coût-service est le meilleur, et rendez la frontière explicite. Un label est un point de départ de discussion avec le fournisseur, jamais une conclusion.