Un client impose une clause de localisation des données, un audit NIS2 pointe la dépendance à un hébergeur américain, ou un dirigeant lit un article qui l’inquiète : la question du cloud souverain arrive rarement par choix, mais par contrainte. Reste à savoir si la migration se justifie pour une PME, ou si elle coûte plus cher qu’elle ne protège.
En bref
Le cloud souverain héberge et traite les données sous droit européen, sans exposition aux lois d’extraterritorialité comme le Cloud Act américain, à condition que le prestataire détienne la qualification SecNumCloud délivrée par l’ANSSI.
Pour une PME, la migration se justifie surtout en présence d’une obligation contractuelle, réglementaire ou sectorielle précise ; hors de ces cas, le surcoût dépasse souvent le bénéfice réel.
Qu’est-ce qu’un cloud souverain, concrètement ?
Cette informatique héberge et opère les données sous la seule autorité du droit européen, avec un prestataire dont le siège social, le capital et les équipes techniques échappent aux lois étrangères à portée extraterritoriale. La localisation géographique du datacenter ne suffit pas à elle seule : une baie installée à Marseille mais opérée par la filiale d’un groupe américain reste théoriquement soumise au Cloud Act.
En France, l’ANSSI délivre la qualification SecNumCloud aux fournisseurs qui répondent à près de 1 200 points de contrôle, audités par un évaluateur indépendant. C’est ce visa, et non une simple promesse marketing d’« hébergement français », qui matérialise réellement la souveraineté d’une infrastructure cloud.
Pourquoi la question se pose maintenant pour les PME
Trois dynamiques poussent le sujet vers les PME qui, jusqu’ici, s’en sentaient peu concernées. D’abord, l’extension du périmètre de la directive NIS2 fait entrer davantage de sous-traitants dans une chaîne d’obligations de cybersécurité, y compris des entreprises de taille modeste travaillant pour des entités régulées. Notre article sur les obligations NIS2 pour les PME détaille ce mécanisme de ruissellement contractuel.
Ensuite, des donneurs d’ordres publics ou grands comptes imposent désormais des clauses de localisation et de conformité dans leurs appels d’offres, ce qui reporte l’exigence sur leurs propres fournisseurs. Enfin, la médiatisation des risques liés au Cloud Act pousse certains dirigeants à réévaluer un contrat d’hébergement signé sans y prêter attention.
Cloud souverain vs cloud public classique : ce qui change
La comparaison ne se limite pas au prix. Un hébergement souverain qualifié SecNumCloud implique des garanties juridiques et des contraintes techniques qui n’ont pas d’équivalent chez un hyperscaler généraliste.
| Critère | Hébergement souverain qualifié | Cloud public généraliste |
|---|---|---|
| Cadre juridique applicable | Droit européen exclusif | Peut relever d’une loi étrangère (ex. Cloud Act) |
| Certification de référence | SecNumCloud (ANSSI) | Certifications génériques (ISO 27001 seule, souvent) |
| Écosystème d’outils disponibles | Plus restreint, en croissance | Très large, mature |
| Coût indicatif | Généralement supérieur de 15 à 40 % | Référence de marché |
| Pertinence pour une PME | Forte si obligation contractuelle ou réglementaire | Suffisant hors contrainte spécifique |
Migrer : dans quels cas c’est justifié
La bascule se justifie surtout quand une obligation externe l’impose, pas par principe. Trois situations reviennent régulièrement en mission de conseil IT auprès de PME : un marché public ou un contrat grand compte qui exige une clause de localisation stricte, une activité soumise à NIS2 via la chaîne de sous-traitance, ou le traitement de données jugées sensibles par un cadre réglementaire sectoriel.
Le secteur de la santé illustre ce dernier cas : un cabinet ou une structure médicale qui digitalise sa gestion administrative doit choisir un hébergeur capable de démontrer sa conformité, sans que cela relève d’un choix de confort. Sur ce terrain, l’enjeu reste organisationnel et contractuel, jamais un sujet de soin ou de diagnostic. Les critères techniques à vérifier avant tout hébergement rejoignent ceux d’un choix d’infrastructure classique : disponibilité, réversibilité et clarté contractuelle.
À l’inverse, une PME sans contrainte contractuelle ni réglementaire spécifique gagne rarement à absorber le surcoût d’une infrastructure qualifiée. Le budget est souvent mieux employé sur le chiffrement, la gestion des accès ou la sauvegarde, qui réduisent le risque réel indépendamment de la nationalité du fournisseur.
Les pièges à éviter avant de basculer
Trois erreurs reviennent le plus souvent chez les entreprises qui envisagent cette migration. La première consiste à confondre l’adresse du datacenter avec une réelle indépendance juridique, alors que seule la structure capitalistique et légale du prestataire détermine son exposition aux lois étrangères. La deuxième revient à migrer l’infrastructure principale en laissant de côté les applications SaaS tierces connectées, qui restent hors périmètre souverain et conservent l’exposition initiale. La troisième sous-estime le coût de réversibilité : sortir d’un fournisseur cloud, quel qu’il soit, mobilise du temps d’ingénierie rarement budgété au départ.
Note terrain Lead4you
Sur les audits techniques que nous menons, la confusion la plus fréquente ne porte pas sur le prix mais sur la définition même du terme. Un dirigeant nous présente régulièrement un contrat d’hébergement « en France » comme une preuve de souveraineté, alors que le prestataire reste une filiale d’un groupe soumis au droit américain. Le seul marqueur reconnu par la CNIL pour matérialiser un cloud réellement souverain est la qualification SecNumCloud de l’ANSSI, pas l’adresse postale du datacenter. C’est le premier point que nous vérifions avant toute recommandation de migration.
Checklist rapide
- Lister les données sensibles ou réglementées réellement traitées par votre activité
- Vérifier si un contrat client ou un marché public impose une clause de localisation
- Identifier si votre hébergeur actuel dépend d’un groupe soumis à une loi extraterritoriale
- Chiffrer le coût de migration ET de réversibilité, pas seulement l’abonnement mensuel
- Contrôler la qualification SecNumCloud si l’enjeu est la conformité RGPD ou NIS2
- Auditer les applications SaaS connectées qui resteraient hors du périmètre souverain
Faire évaluer votre infrastructure par un expert IT
À lire ensuite
Sources et repères utiles
FAQ
Qu’est-ce que la qualification SecNumCloud ?
C’est le visa de sécurité délivré par l’ANSSI aux fournisseurs cloud qui répondent à près de 1 200 exigences techniques, opérationnelles et juridiques, vérifiées par un évaluateur indépendant. C’est aujourd’hui le seul repère officiel pour attester qu’un hébergement est réellement souverain, au-delà de sa localisation géographique.
Un hébergement situé en France est-il automatiquement souverain ?
Non. La localisation du datacenter ne garantit rien si le prestataire appartient à un groupe soumis à une loi étrangère à portée extraterritoriale, comme le Cloud Act américain. Seule la structure juridique et capitalistique de l’entreprise hébergeuse détermine son exposition réelle.
Quel budget prévoir pour migrer vers un cloud souverain ?
Au-delà de l’abonnement, souvent supérieur de 15 à 40 % à une offre généraliste équivalente, il faut chiffrer le temps d’ingénierie nécessaire à la migration et à l’adaptation des outils connectés. Ce chiffrage varie fortement selon la complexité du système d’information existant.
Le cloud souverain est-il obligatoire pour toutes les PME ?
Non. L’obligation dépend du secteur d’activité, de la nature des données traitées et des clauses contractuelles imposées par les clients ou les marchés publics. Une PME sans contrainte spécifique n’a généralement pas d’intérêt direct à migrer.
Quelle différence entre cloud souverain et cloud de confiance ?
Le « cloud de confiance » est une appellation commerciale plus large, parfois utilisée sans base normative précise. Cette solution qualifiée SecNumCloud repose sur un référentiel ANSSI unique, appliqué de façon identique à tous les candidats audités.