Appel d'offres public : « cloud souverain exigé ». Trois candidats répondent avec le même mot sur la couverture, mais aucun ne promet la même chose. L'un met en avant la localisation en France, l'autre une qualification SecNumCloud, le troisième des clés gérées par le client sur un hyperscaler américain dont la région est pourtant à Paris. Le jury, pressé, classe les offres « conformes souveraineté » sans avoir cartographié les sous-traitants, les copies de sauvegarde ni l'identité juridique de l'entité qui opère réellement l'infra.
« Cloud souverain » est devenu un fourre-tout commercial avant d'être une architecture. Pour un responsable technique ou un acheteur public, la question n'est pas de savoir qui affiche le drapeau le plus visible, mais quelle dimension de souveraineté le contrat garantit — juridique, opérationnelle, technique ou économique — et sur quel périmètre précis.
Quatre dimensions de souveraineté — rarement toutes réunies
La souveraineté juridique concerne le droit applicable, les accès des autorités et l'extraterritorialité de lois étrangères comme le Cloud Act. L'opérationnelle porte sur qui administre, depuis quel pays, avec quels droits d'accès au support et aux consoles. La dimension technique couvre la localisation de la production et des copies, le chiffrement et la maîtrise des clés. Enfin, la souveraineté économique renvoie au capital, à la gouvernance et à la maison mère du fournisseur.
| Terme marketing | Question précise à poser | Preuve attendue |
|---|---|---|
| Cloud souverain | Quelle dimension est visée ? | Attestation + contrat de sous-traitance |
| Cloud de confiance | Périmètre HDS ou ISO ? | Annexe du certificat |
| SecNumCloud | Quelle offre exacte est qualifiée ? | Numéro ANSSI et date |
Deux prestataires peuvent afficher « souverain » en couvrant des dimensions opposées : l'un excellent sur la localisation physique, l'autre sur la qualification étatique, aucun sur la chaîne complète des sous-traitants.
Acteurs francophones : même mot, périmètres différents
OVHcloud propose une échelle importante avec des régions européennes et des certifications partielles HDS ou SecNumCloud selon les produits. 3DS Outscale se positionne explicitement sur le cloud souverain français pour les marchés réglementés. Cloud Temple insiste sur le cloud de confiance et des exigences élevées de souveraineté opérationnelle.
Le travail commence après le slogan : il faut mapper votre pile applicative — bases, fichiers, journaux, sauvegardes, infogérance — sur le périmètre réellement certifié, comme pour les données de santé HDS. Un badge sur une offre enterprise ne couvre pas automatiquement le mutualisé ou le stockage objet utilisé en parallèle.
Souveraineté sans schéma d'architecture ni liste de sous-traitants reste un slogan d'appel d'offres.
Ce que les contrats disent — et ce qu'ils contournent
Demandez le contrat de sous-traitance, l'annexe de localisation et la liste des sous-traitants autorisés. Vérifiez si les copies de secours peuvent sortir de l'Union européenne, qui peut restaurer une sauvegarde à quatre heures du matin, et si des prestataires américains interviennent pour la supervision ou le support. Croisez avec le guide RGPD, HDS, SecNumCloud pour ne pas confondre les cadres.
Le sommet : la souveraineté se vend au kilomètre, se vérifie au millimètre
Décider et avancer sans angle mort
Commencez par cadrer votre scénario réel sur une page : volumes, contraintes client, niveau de support exigé et budget sur trente-six mois incluant domaine, sauvegarde et options indispensables. Comparez au moins deux hébergeurs via l'annuaire et le comparateur avec les mêmes hypothèses, archivez les grilles tarifaires datées au jour de la souscription, puis faites valider la short-list par la personne qui signera le contrat et celle qui opérera l'infrastructure au quotidien.
Questions fréquentes
Cloud souverain signifie-t-il 100 % français ?
Non. La souveraineté opérationnelle et juridique se décline en plusieurs axes : capital, localisation, accès administrateur, sous-traitants, qualification ANSSI. Une promesse marketing « 100 % France » est rarement vérifiable de bout en bout sans annexes techniques détaillées.
SecNumCloud et cloud souverain, même chose ?
SecNumCloud est une qualification de l'ANSSI sur un périmètre défini. « Cloud souverain » est un terme marketing plus large, parfois aligné sur cette qualification, parfois seulement approximatif. Il faut comparer le numéro d'attestation et l'offre produit concernée.
Quels hébergeurs français ciblent la souveraineté ?
OVHcloud, 3DS Outscale, Cloud Temple et l'alliance Bleu figurent parmi les acteurs visibles, chacun avec des périmètres et des certifications différents. Aucun n'est interchangeable sans lecture du certificat applicable à votre produit.
Le cloud souverain protège-t-il contre le Cloud Act ?
Partiellement, si la chaîne est qualifiée en Union européenne et que les accès américains sont exclus — jamais automatiquement. L'analyse du contrat de sous-traitance, de la maison mère et des sous-traitants reste obligatoire.
Souverain sur la slide ? Demandez qui saisit le mot de passe racine — et depuis quelle juridiction.