Vérifier le droit applicable
Analyser l'actionnariat, la maison mère et les engagements contractuels de l'opérateur, pas seulement la localisation des données.
La souveraineté ne se décrète pas. Elle se vérifie, critère par critère.
Cloud souverain, critères vérifiables.Localisation, droit applicable, immunité extraterritoriale et réversibilité.
Échanger avec un expertLa souveraineté ne se décrète pas. Elle se vérifie, critère par critère.
Cloud souverain, critères vérifiables.Localisation, droit applicable, immunité extraterritoriale et réversibilité.
Échanger avec un expertComprendre
Souverain n'est pas un adjectif, c'est un ensemble de critères vérifiables.
Le terme “cloud souverain” recouvre des réalités très différentes selon les fournisseurs. Certains se limitent à héberger les données sur le sol européen, sans offrir de garantie sur le droit applicable ou sur l'exposition à des législations extraterritoriales comme le Cloud Act américain. D'autres construisent une offre complète, de l'actionnariat à la chaîne technique. Distinguer les deux suppose de disposer de critères précis et de savoir les auditer, pas de se fier à une étiquette marketing.
Choisir un hébergement souverain ne suffit pas à maîtriser ses données. Une donnée sensible mal cartographiée, aux droits d'accès mal définis ou sans règle claire de conservation, reste exposée même hébergée dans le cloud le plus souverain du marché. La gouvernance des données est le second pilier, indissociable du premier : savoir précisément où circulent les données sensibles, qui y accède et jusqu'à quand elles sont conservées.
Retour d'expérience
Documenter la souveraineté pour des infrastructures numériques d'État.
Le pilotage de programmes d'infrastructures numériques d'État a nécessité de documenter des critères de souveraineté numérique auditables pour les services cloud utilisés : localisation des données, droit applicable, immunité aux législations extraterritoriales, réversibilité et portabilité.
Cette expérience porte sur un point souvent sous-estimé : un cloud peut afficher une localisation européenne des données tout en restant exposé à des recours juridiques étrangers, si l'opérateur ou sa maison mère relèvent d'un droit non européen. Documenter la souveraineté suppose donc de vérifier l'ensemble de la chaîne, pas seulement l'adresse des serveurs.
RGPD — Cadre réglementaire de référenceCloud Act — Le risque d'exposition à surveillerRéversibilité — La capacité à sortir sans dépendance
Les choix structurants
Vérifier la souveraineté avant de la revendiquer.
La souveraineté numérique ne se limite pas à une décision d'hébergement. Elle se construit par la cohérence entre les critères juridiques, techniques et contractuels.
Évaluer l'immunité aux législations extraterritoriales
Mesurer l'exposition réelle à des textes comme le Cloud Act, au-delà des garanties commerciales affichées.
Mesurer la maîtrise technique de la chaîne
Évaluer le degré d'autonomie sur l'infrastructure : matériel, hyperviseur, gestion des clés de chiffrement, supervision. Plus la pile technique est maîtrisée, plus la dépendance à un tiers est réduite.
Localiser effectivement les données
Vérifier le lieu réel des données primaires, des répliques, des journaux et des métadonnées, pas seulement celui annoncé commercialement.
Exiger les bonnes certifications
Qualifier le niveau de certification nécessaire selon la sensibilité des données : ISO 27001 en base, HDS pour la santé, SecNumCloud pour les données sensibles de l'État, EUCS à venir pour l'échelle européenne.
Garantir la réversibilité
S'assurer de pouvoir sortir d'une solution cloud sans dépendance technique ou contractuelle excessive, avec des formats ouverts et sans verrouillage propriétaire.
Gouvernance des données
Structurer la circulation et la maîtrise des données sensibles.
Un cloud souverain protège l'hébergement. Il ne dit rien de la manière dont les données circulent une fois collectées : qui les consulte, avec quels droits, à travers quels systèmes, et pendant combien de temps elles sont conservées. C'est l'objet de la gouvernance des données, un chantier organisationnel autant que technique.
Cartographier les données sensibles
Identifier les données les plus critiques, leur nature, leur volume et leur niveau de sensibilité réel, avant de décider comment les protéger.
Tracer la circulation des données
Documenter les flux internes et externes : quels systèmes échangent quelles données, avec quels partenaires ou sous-traitants, et selon quels formats.
Maîtriser les droits d'accès
Définir des habilitations selon le principe du moindre privilège, et s'assurer qu'elles restent alignées avec les besoins réels dans la durée.
Piloter le cycle de vie de la donnée
Fixer des règles claires de conservation, d'archivage et de suppression, cohérentes avec les obligations réglementaires comme le RGPD.
Environnements d'application
Des critères de souveraineté adaptés à chaque contexte.
Secteur public et opérateurs d'importance vitale : une obligation réglementaire
Répondre aux exigences de qualification comme SecNumCloud pour les données les plus sensibles, dans un cadre où la conformité n'est pas négociable.
Entreprises privées : un choix stratégique de maîtrise
Arbitrer entre cloud souverain, cloud de confiance et cloud public selon la sensibilité des données et le niveau de risque acceptable pour l'organisation.
Accompagnement
De l'évaluation à la migration, selon notre méthode en 4 étapes.
Échanger avec un expertDiagnostiquerCartographier les données sensibles et les traitements existants, et qualifier le niveau de souveraineté attendu pour chacun.
DéfinirFixer les critères de souveraineté adaptés au contexte et comparer les offres de cloud souverain disponibles au regard de ces critères.
IntégrerOrganiser la migration vers la solution cloud souveraine retenue, ou accompagner sa construction si aucune offre du marché ne convient.
VérifierAuditer périodiquement le respect des critères de souveraineté et la réversibilité effective du dispositif.
Point de vigilance juridique
FISA Section 702 : un risque à examiner au-delà du Cloud Act.
La Section 702 de la Foreign Intelligence Surveillance Act (FISA) autorise, sous procédures et contrôle de la Foreign Intelligence Surveillance Court, la collecte ciblée de renseignements étrangers concernant des personnes non américaines raisonnablement présumées se trouver hors des États-Unis. Elle peut conduire à requérir l'assistance de fournisseurs américains de services de communications électroniques.
Pour une organisation européenne, l'enjeu de souveraineté consiste donc à apprécier l'exposition effective de la chaîne de fournisseurs — société mère, opérateur, logiciel, support et accès aux données — et à la documenter dans l'analyse de risque. Cet examen complète, sans s'y réduire, l'analyse du Cloud Act.
À vérifier : lien de droit américain, accès opérateur, sous-traitance et réversibilitéComprendre
Souverain n'est pas un adjectif, c'est un ensemble de critères vérifiables.
Le terme “cloud souverain” recouvre des réalités très différentes selon les fournisseurs. Certains se limitent à héberger les données sur le sol européen, sans offrir de garantie sur le droit applicable ou sur l'exposition à des législations extraterritoriales comme le Cloud Act américain. D'autres construisent une offre complète, de l'actionnariat à la chaîne technique. Distinguer les deux suppose de disposer de critères précis et de savoir les auditer, pas de se fier à une étiquette marketing.
Choisir un hébergement souverain ne suffit pas à maîtriser ses données. Une donnée sensible mal cartographiée, aux droits d'accès mal définis ou sans règle claire de conservation, reste exposée même hébergée dans le cloud le plus souverain du marché. La gouvernance des données est le second pilier, indissociable du premier : savoir précisément où circulent les données sensibles, qui y accède et jusqu'à quand elles sont conservées.
Retour d'expérience
Documenter la souveraineté pour des infrastructures numériques d'État.
Le pilotage de programmes d'infrastructures numériques d'État a nécessité de documenter des critères de souveraineté numérique auditables pour les services cloud utilisés : localisation des données, droit applicable, immunité aux législations extraterritoriales, réversibilité et portabilité.
Cette expérience porte sur un point souvent sous-estimé : un cloud peut afficher une localisation européenne des données tout en restant exposé à des recours juridiques étrangers, si l'opérateur ou sa maison mère relèvent d'un droit non européen. Documenter la souveraineté suppose donc de vérifier l'ensemble de la chaîne, pas seulement l'adresse des serveurs.
RGPD — Cadre réglementaire de référenceCloud Act — Le risque d'exposition à surveillerRéversibilité — La capacité à sortir sans dépendance
Les choix structurants
Vérifier la souveraineté avant de la revendiquer.
La souveraineté numérique ne se limite pas à une décision d'hébergement. Elle se construit par la cohérence entre les critères juridiques, techniques et contractuels.
Vérifier le droit applicable
Analyser l'actionnariat, la maison mère et les engagements contractuels de l'opérateur, pas seulement la localisation des données.
Évaluer l'immunité aux législations extraterritoriales
Mesurer l'exposition réelle à des textes comme le Cloud Act, au-delà des garanties commerciales affichées.
Mesurer la maîtrise technique de la chaîne
Évaluer le degré d'autonomie sur l'infrastructure : matériel, hyperviseur, gestion des clés de chiffrement, supervision. Plus la pile technique est maîtrisée, plus la dépendance à un tiers est réduite.
Localiser effectivement les données
Vérifier le lieu réel des données primaires, des répliques, des journaux et des métadonnées, pas seulement celui annoncé commercialement.
Exiger les bonnes certifications
Qualifier le niveau de certification nécessaire selon la sensibilité des données : ISO 27001 en base, HDS pour la santé, SecNumCloud pour les données sensibles de l'État, EUCS à venir pour l'échelle européenne.
Garantir la réversibilité
S'assurer de pouvoir sortir d'une solution cloud sans dépendance technique ou contractuelle excessive, avec des formats ouverts et sans verrouillage propriétaire.
Gouvernance des données
Structurer la circulation et la maîtrise des données sensibles.
Un cloud souverain protège l'hébergement. Il ne dit rien de la manière dont les données circulent une fois collectées : qui les consulte, avec quels droits, à travers quels systèmes, et pendant combien de temps elles sont conservées. C'est l'objet de la gouvernance des données, un chantier organisationnel autant que technique.
Cartographier les données sensibles
Identifier les données les plus critiques, leur nature, leur volume et leur niveau de sensibilité réel, avant de décider comment les protéger.
Tracer la circulation des données
Documenter les flux internes et externes : quels systèmes échangent quelles données, avec quels partenaires ou sous-traitants, et selon quels formats.
Maîtriser les droits d'accès
Définir des habilitations selon le principe du moindre privilège, et s'assurer qu'elles restent alignées avec les besoins réels dans la durée.
Piloter le cycle de vie de la donnée
Fixer des règles claires de conservation, d'archivage et de suppression, cohérentes avec les obligations réglementaires comme le RGPD.
Environnements d'application
Des critères de souveraineté adaptés à chaque contexte.
Secteur public et opérateurs d'importance vitale : une obligation réglementaire
Répondre aux exigences de qualification comme SecNumCloud pour les données les plus sensibles, dans un cadre où la conformité n'est pas négociable.
Entreprises privées : un choix stratégique de maîtrise
Arbitrer entre cloud souverain, cloud de confiance et cloud public selon la sensibilité des données et le niveau de risque acceptable pour l'organisation.
Accompagnement
De l'évaluation à la migration, selon notre méthode en 4 étapes.
Échanger avec un expertDiagnostiquerCartographier les données sensibles et les traitements existants, et qualifier le niveau de souveraineté attendu pour chacun.
DéfinirFixer les critères de souveraineté adaptés au contexte et comparer les offres de cloud souverain disponibles au regard de ces critères.
IntégrerOrganiser la migration vers la solution cloud souveraine retenue, ou accompagner sa construction si aucune offre du marché ne convient.
VérifierAuditer périodiquement le respect des critères de souveraineté et la réversibilité effective du dispositif.
Point de vigilance juridique
FISA Section 702 : un risque à examiner au-delà du Cloud Act.
La Section 702 de la Foreign Intelligence Surveillance Act (FISA) autorise, sous procédures et contrôle de la Foreign Intelligence Surveillance Court, la collecte ciblée de renseignements étrangers concernant des personnes non américaines raisonnablement présumées se trouver hors des États-Unis. Elle peut conduire à requérir l'assistance de fournisseurs américains de services de communications électroniques.
Pour une organisation européenne, l'enjeu de souveraineté consiste donc à apprécier l'exposition effective de la chaîne de fournisseurs — société mère, opérateur, logiciel, support et accès aux données — et à la documenter dans l'analyse de risque. Cet examen complète, sans s'y réduire, l'analyse du Cloud Act.
À vérifier : lien de droit américain, accès opérateur, sous-traitance et réversibilité