Cloud souverain

Ce que ça change pour une organisation

« Cloud souverain » est d’abord un argument commercial : un serveur situé en France ou en Allemagne ne suffit pas si l’opérateur relève d’un droit étranger. Trois questions permettent de juger une offre :

1. Qui contrôle l’opérateur ? Le siège, l’actionnariat et la gouvernance doivent rester européens.
2. Qui peut accéder aux données ? L’exploitation, le support et l’administration doivent être assurés depuis l’Union, sans accès possible par une maison mère étrangère.
3. Quelle preuve est apportée ? Une qualification indépendante vaut mieux qu’une promesse contractuelle.

Depuis sa version 3.2, publiée en 2022, le référentiel SecNumCloud contient des exigences de protection vis-à-vis des droits extra-européens. En France, l’article 31 de la loi SREN du 21 mai 2024 impose aux administrations de l’État qui confient des données sensibles à un prestataire de cloud de recourir à une offre qualifiée SecNumCloud, ou à une certification européenne d’un niveau au moins équivalent.

Exemple

Les « clouds souverains » annoncés par des hyperscalers américains, avec des centres de données et des équipes en Europe, améliorent la localisation et l’exploitation des données. La question de l’exposition de leur maison mère au droit américain reste en revanche posée, ce qui explique la prudence des acheteurs publics.

À ne pas confondre avec

• La localisation des données, qui indique où elles sont stockées et ne dit rien de la juridiction applicable.
• Gaia-X, qui définit des règles communes et des labels sans être lui-même un fournisseur de cloud.