Cloud souverain : comment choisir son fournisseur sans s’enfermer ?

Que recouvre le cloud souverain ?

Le terme est devenu courant mais il ne désigne pas un label unique. Pour une entreprise, la souveraineté se joue sur trois plans : l’endroit où sont stockées les données, qui les exploite et quel droit s’applique en cas de demande d’accès d’une autorité étrangère.

Un hébergement en France ne protège pas à lui seul des lois extraterritoriales. Un cloud souverain se juge sur sa juridiction autant que sur la localisation de ses serveurs.

C’est tout l’enjeu du référentiel SecNumCloud de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Il qualifie des offres cloud selon des exigences de sécurité mais aussi des critères juridiques : siège social dans l’Union européenne, autonomie d’exploitation et localisation des données sur le territoire européen.

SecNumCloud : pour quelles données ?

Toutes vos données n’ont pas besoin du même niveau de protection. Les placer toutes dans un cloud qualifié serait coûteux ; les laisser toutes chez un hyperscaler extra-européen peut être risqué.

La première étape consiste donc à classer vos données selon leur sensibilité. Données de santé, informations stratégiques, données liées à la défense ou au secteur public… ces catégories justifient souvent un hébergement qualifié. D’autres traitements, moins sensibles, peuvent rester sur des services plus standards.

Selon la FAQ de l’ANSSI sur SecNumCloud, la qualification est valable 3 ans avec des audits de surveillance annuels. Elle couvre les modèles IaaS, PaaS, CaaS et SaaS : on parle d’infrastructure, de plateforme, de conteneurs ou de logiciel « à la demande ».

Ce classement a un autre avantage : il oblige à savoir où se trouvent précisément vos données. C’est souvent la partie la plus longue du travail et celle qui apporte le plus de clarté.

Le bon niveau de souveraineté dépend de la donnée, pas d’un choix global pour tout le SI.

Comment éviter l’enfermement chez un fournisseur ?

Le vrai risque n’est pas toujours le fournisseur choisi mais l’impossibilité d’en changer. Formats propriétaires, services managés difficiles à reproduire ailleurs, frais de sortie des données : la dépendance s’installe souvent sans qu’on l’ait décidée.

La réversibilité se prépare dès le contrat. Elle précise comment récupérer vos données, dans quel format et dans quels délais. Elle fixe aussi l’assistance que le fournisseur doit apporter pendant la transition.

Le cadre européen va dans ce sens. Le règlement européen sur les données (Data Act) impose aux fournisseurs de faciliter le changement de prestataire cloud et prévoit la suppression des frais de changement à partir du 12 janvier 2027.

Un contrat cloud se négocie aussi pour le jour où l’on voudra en sortir.

La réversibilité ne se limite pas au contrat. Elle se teste. Une migration à blanc d’une application non critique permet de vérifier que les données sortent bien dans un format exploitable et que les équipes savent reconstruire l’environnement ailleurs. Mieux vaut le découvrir lors d’un exercice que pendant une crise.

Faut-il choisir entre souverain et hyperscaler ?

Pas forcément. Beaucoup d’entreprises combinent plusieurs clouds : un environnement qualifié pour les données sensibles et des services plus larges pour le reste. Cette approche multicloud demande une architecture pensée en amont.

Elle a un intérêt au-delà de la souveraineté : répartir ses usages entre plusieurs environnements limite l’impact d’une panne ou d’un changement de conditions commerciales chez un fournisseur. C’est aussi un levier de négociation, à condition de pouvoir effectivement déplacer une partie de ses traitements.

Concrètement, cela veut dire des briques techniques portables (les conteneurs par exemple) et une gestion des identités commune. Il faut aussi une supervision qui couvre tous les environnements. Sans cela, le multicloud ajoute de la complexité au lieu d’apporter de la liberté.

L’essentiel n’est pas le nombre de fournisseurs mais votre capacité à garder la main : savoir où sont vos données, qui y accède et comment les déplacer.

Par où commencer ?

Trois questions suffisent pour lancer la réflexion : quelles données sont réellement sensibles ? Quels services seraient difficiles à migrer demain ? Que disent vos contrats actuels sur la réversibilité ?

Les réponses demandent de croiser plusieurs regards : celui de la DSI, celui des métiers qui connaissent la valeur de leurs données et celui des achats ou du juridique qui portent les contrats.

Ce premier état des lieux éclaire la suite : maintenir certains usages, en déplacer d’autres ou renégocier un contrat. Il rejoint aussi d’autres obligations, comme la directive NIS2 qui demande aux organisations concernées de maîtriser les risques liés à leurs prestataires.

Si vous avez lu notre article sur la souveraineté numérique et la continuité d’activité, c’est l’étape suivante : passer du principe au choix concret de votre fournisseur. Pour aller plus loin sur le volet réglementaire, consultez aussi notre article sur NIS2.

Lùkla vous accompagne…

Avec notre offre Cloud & Cyber, nous vous aidons à classer vos données, à choisir les environnements adaptés et à préparer votre réversibilité. Nous co-construisons avec vous une architecture qui vous laisse libre de vos choix.

Une fois la cible définie, nos équipes Managed Services prennent le relais pour exploiter et superviser vos environnements, du cadrage au run. Votre projet commence par vos enjeux : le fournisseur vient ensuite.