Cloud souverain français : les vrais critères

Un cloud souverain ne se reconnaît ni à un drapeau ni à la seule adresse du datacenter. Il faut vérifier séparément la localisation des données, la juridiction qui peut atteindre l’opérateur, le périmètre d’une éventuelle qualification SecNumCloud et les engagements écrits du service réellement acheté.

Le mot souverain ne suffit pas à décrire une offre

Cloud souverain, cloud de confiance, cloud européen et données hébergées en France ne sont pas des synonymes. Ces expressions peuvent signaler une intention commerciale, politique ou technique différente. Aucune ne dispense l’acheteur d’identifier ce qui est réellement fourni.

Le premier piège consiste à chercher un fournisseur souverain comme on chercherait une caractéristique binaire. Une même marque peut vendre plusieurs services, dans plusieurs régions, avec des sociétés contractantes, des équipes d’exploitation et des sous-traitants différents. Une preuve valable pour une offre ne s’étend pas automatiquement au catalogue.

Une promesse sans périmètre n’est pas une preuve.

La bonne question est donc moins qui est souverain que quelle dépendance doit rester maîtrisée, contre quel risque, et avec quelle preuve. Pour un dossier de santé, un logiciel municipal et une boutique en ligne, la réponse ne sera pas nécessairement la même.

Les sources et listes évoquées ici ont été contrôlées au 26 juillet 2026. Elles peuvent évoluer. Ce guide aide à préparer une comparaison ; il ne remplace ni un avis juridique adapté au traitement ni la vérification de la décision ANSSI et du contrat en vigueur.

Quatre preuves à demander séparément

Une offre sérieuse doit permettre de remplir quatre colonnes. Si le commercial répond à tout par l’adresse d’un datacenter, il reste trois angles morts.

Cette séparation évite deux erreurs inverses. Une offre peut avoir une résidence française clairement documentée sans être qualifiée SecNumCloud. Une offre qualifiée peut, elle, inclure seulement des composants précis : il faut encore confirmer que l’architecture achetée reste dans ce périmètre.

Résidence des données : où ne veut pas dire qui

La résidence répond à une question géographique : où les données sont-elles stockées ou traitées ? Elle doit couvrir davantage que la base principale. Les sauvegardes, journaux, métriques, données de diagnostic, tickets de support et services de sécurité peuvent suivre d’autres chemins.

La CNIL recommande notamment de vérifier la localisation effective, les transferts hors de l’Union européenne, les accès du fournisseur, la télémétrie et la stratégie de sauvegarde. Choisir France dans une console n’apporte donc pas, à lui seul, une vue complète du traitement.

Résider en France ne règle pas la juridiction.

Demandez une réponse pour chaque famille de données :

• contenu et bases de production ;
• sauvegardes, instantanés et archives ;
• journaux techniques et traces de sécurité ;
• métadonnées de compte, facturation et assistance ;
• clés, secrets et données nécessaires à l’administration ;
• copies créées par un service annexe ou un sous-traitant.

La région est une propriété de l’architecture, pas un résumé du risque. Il faut également savoir depuis quels pays les administrateurs peuvent intervenir et quelles données deviennent visibles pendant un incident de support.

Juridiction de l’opérateur : regarder la chaîne de contrôle

La juridiction ne se déduit pas de la façade du datacenter. Elle dépend notamment de l’entité qui signe le contrat, de sa maison mère, des sociétés qui exploitent le service, des sous-traitants et des lois auxquelles ces acteurs sont soumis.

Cela ne signifie pas qu’une société étrangère peut toujours remettre toutes les données sur simple demande, ni qu’une société française ne peut jamais faire l’objet d’une obligation légale. Une formule absolue serait trompeuse. L’objectif est d’identifier les scénarios d’accès, les voies de contestation et les mesures qui réduisent l’exposition.

L’entité contractante compte autant que l’adresse du serveur.

Pour les données personnelles, la CNIL rappelle que les transferts hors UE et EEE doivent être encadrés selon le RGPD. Le lieu de stockage déclaré ne répond pas seul aux questions d’accès à distance, de transfert ultérieur ou de droit applicable.

Le dossier d’achat devrait préciser :

• l’entité contractante et les lois applicables au contrat ;
• les sociétés pouvant administrer la plateforme ;
• les pays depuis lesquels un accès de support est possible ;
• la procédure suivie face à une demande d’autorité ;
• la notification au client lorsqu’elle est légalement permise ;
• les sous-traitants, leurs fonctions et le mécanisme de changement ;
• les mesures techniques empêchant un accès en clair lorsque c’est réalisable.

Le chiffrement côté serveur est utile, mais il ne sépare pas forcément le fournisseur des clés. Pour une donnée particulièrement sensible, vérifiez qui génère, détient, utilise, sauvegarde et révoque les clés, ainsi que les conséquences d’une perte.

SecNumCloud : une qualification, pas un adjectif

SecNumCloud est un dispositif de qualification de l’ANSSI. Son référentiel v3.2 porte sur le prestataire, son personnel et la prestation. Il peut concerner des services IaaS, PaaS ou SaaS. Le point déterminant reste la portée exacte de la décision.

Trois statuts doivent rester distincts :

En cours de qualification ne signifie pas qualifié.

• qualifié pour le service et le périmètre indiqués dans une décision en vigueur ;
• en cours de qualification, ce qui décrit une démarche et non un résultat obtenu ;
• aligné, conforme ou inspiré du référentiel selon une déclaration commerciale, sans qualification ANSSI démontrée.

Avant de retenir une offre, ouvrez la liste officielle de l’ANSSI. Vérifiez le nom juridique du prestataire, le nom exact du service, le type de service, la portée, la décision et sa période de validité. Contrôlez ensuite que les options nécessaires à votre architecture sont bien incluses.

Une base de données, une fonction réseau, une sauvegarde ou un outil de supervision peut se trouver hors du périmètre qui a motivé le choix. Le maillon non qualifié ne disparaît pas parce qu’il est facturé sur la même commande.

La qualification apporte une preuve exigeante. Elle ne garantit pas que votre configuration est correcte, que vos comptes sont bien gérés, que votre plan de reprise fonctionne ou que chaque obligation métier est satisfaite.

Cloud de confiance : vérifier si la doctrine vous concerne

La doctrine Cloud au centre encadre l’usage du cloud par les services de l’État français et certains organismes placés sous sa tutelle. Elle ne doit pas être transformée en règle universelle applicable de façon identique à toute entreprise privée.

À Paris, une organisation publique ou un prestataire travaillant sur des données sensibles de l’État peut avoir un cadre de décision précis. À Bruxelles, le RGPD demeure central, mais une qualification française n’est pas automatiquement une obligation belge. À Montréal, les règles canadiennes et québécoises, le contrat international et les transferts demandent leur propre analyse.

Dans les trois cas, SecNumCloud peut constituer un signal de sécurité et de confiance utile. La nécessité juridique de l’exiger dépend toutefois de l’organisation, des données, du marché et du texte applicable. Faites confirmer ce point lorsque l’enjeu réglementaire est élevé.

Le contrat transforme une promesse en contrôle

Un contrat ne rend pas une architecture souveraine par magie. Il peut néanmoins fixer des obligations vérifiables, des délais, des preuves et des recours. Sans ce niveau de détail, l’acheteur dépend d’une page commerciale modifiable.

Le contrat doit nommer le contrôle, son responsable et sa preuve.

Demandez des clauses ou annexes qui couvrent :

• les lieux autorisés pour chaque catégorie de données ;
• l’accès administratif, sa justification, sa journalisation et sa revue ;
• le chiffrement et la maîtrise des clés ;
• la liste des sous-traitants et l’information avant changement ;
• les délais de notification et d’assistance en cas d’incident ;
• les preuves d’audit et le traitement des écarts ;
• les formats d’export, les délais de restitution et l’effacement ;
• les conditions de suspension, de résiliation et de continuité.

Le Data Act européen renforce le cadre du changement entre services de traitement de données et la transparence sur certains accès internationaux. Il reste prudent de tester les mécanismes réels : un droit contractuel à l’export ne prouve pas que les données, identités et dépendances puissent être réassemblées ailleurs.

Comparer les fournisseurs sans étendre une preuve

Les pages HostScout de OVHcloud, Scaleway et Microsoft Azure donnent des points d’entrée pour comparer les catalogues. Elles ne remplacent ni la liste ANSSI ni la documentation contractuelle du produit exact.

Pour chaque candidat, remplissez une fiche par service, pas une fiche par marque. Notez l’entité contractante, la région, les composants, le personnel d’exploitation, les sous-traitants, le statut de qualification et la sortie. Ajoutez la date et l’URL de chaque preuve.

Cette discipline est particulièrement importante pour les architectures hybrides. Un calcul qualifié relié à une sauvegarde, un DNS, un outil d’observabilité ou un support externe peut créer une frontière différente. La sécurité du système dépend du parcours complet des données et des accès.

Tester la souveraineté par un exercice de sortie

La souveraineté utile inclut la capacité de continuer sans dépendre d’une promesse invérifiable. Préparez un exercice limité avant de charger les données les plus sensibles.

Exportez un jeu représentatif avec ses métadonnées. Restaurez-le dans un environnement séparé. Recréez les identités, secrets, journaux et règles réseau nécessaires. Vérifiez ce qui reste manuel, propriétaire ou inaccessible. Mesurez aussi la suppression et les preuves que le fournisseur peut remettre après la fin du contrat.

Le résultat fait apparaître trois catégories : ce que vous pouvez déplacer, ce que vous devez reconstruire et ce que vous ne savez pas encore récupérer. La dernière catégorie doit devenir une décision explicite, avec un responsable et une mesure compensatoire.

Un bon choix ne promet pas l’absence de dépendance. Il rend chaque dépendance visible, justifiée et réversible autant que le risque l’exige.