Cloud souverain en Europe : guide pour les décideurs

« Cloud souverain » désigne des choses très différentes : des données stockées dans l'UE, un fournisseur à capitaux européens, la technologie d'un hyperscaler exploitée par une société européenne, ou un service formellement qualifié par une agence nationale de sécurité. Avant de choisir, il faut distinguer ces niveaux et savoir contre quoi chacun protège réellement.

Trois questions derrière la « souveraineté »

La localisation ne répond qu'à la première question. L'essentiel du débat porte sur la deuxième.

Les lois extraterritoriales, factuellement

• CLOUD Act américain (2018) : permet aux autorités américaines, sur mandat, d'exiger des fournisseurs soumis à la juridiction américaine la communication des données en leur « possession, garde ou contrôle », où qu'elles soient stockées. Le fournisseur peut contester une demande, mais la localisation des données n'est pas en soi une défense.
• FISA, section 702 : autorise la collecte de renseignement visant des personnes non américaines, avec le concours des fournisseurs américains de services de communication.
• Data Privacy Framework UE–États-Unis (2023) : rétablit une base légale pour les transferts de données personnelles vers des entreprises américaines certifiées au titre du RGPD. Il encadre les transferts, pas la portée du CLOUD Act, et ses prédécesseurs (Safe Harbor, Privacy Shield) ont tous deux été invalidés par la Cour de justice de l'UE.

Conséquence pratique : la filiale européenne d'un groupe américain, opérant dans une région européenne, reste exposée aux demandes judiciaires américaines via sa maison mère. Que cela compte ou non dépend de vos données et de vos régulateurs, pas d'une posture idéologique.

SecNumCloud (France, ANSSI)

SecNumCloud est la qualification délivrée par l'ANSSI. La version 3.2 (2022) a ajouté des exigences de protection contre le droit extra-européen, notamment :

• Données et traitements situés dans l'UE
• Limitation de l'actionnariat extra-européen du prestataire (24 % maximum pour un actionnaire, 39 % au total)
• Support et administration réalisés depuis l'UE
• Un audit de sécurité très exigeant (souvent 18 à 24 mois)

Elle est exigée ou fortement recommandée en France pour les données sensibles du secteur public et certains secteurs régulés (la doctrine « cloud au centre » de l'État et la loi SREN de 2024 orientent les données sensibles vers ce type d'offres).

Situation en octobre 2026 (vérifiez toujours la liste officielle des prestataires qualifiés publiée par l'ANSSI, qui évolue souvent) :

Une qualification porte sur un service précis, pas sur toute l'entreprise. Un fournisseur « qualifié SecNumCloud » peut vendre de nombreux produits non qualifiés.

EUCS (niveau européen)

Le schéma européen de certification de cybersécurité des services cloud (EUCS), préparé par l'ENISA dans le cadre du Cybersecurity Act, devait créer un équivalent à l'échelle de l'UE. Les exigences de souveraineté (immunité aux lois extra-européennes) ont été retirées du projet de 2024, laissant trois niveaux d'assurance (élémentaire, substantiel, élevé) centrés sur la sécurité, et renvoyant les critères de souveraineté aux États membres. En 2026, le schéma n'est pas devenu le label de souveraineté que certains attendaient. Accueillez avec prudence toute promesse « souverain certifié EUCS » et demandez de quel niveau et de quelles exigences il s'agit.

Les principales options

Hetzner est un fournisseur allemand soumis au droit européen ; il est apprécié pour son rapport prix/performance mais ne dispose pas de la qualification SecNumCloud et propose peu de services managés.

Les arbitrages

Une démarche pragmatique

1. Classer ses données : publiques, internes, personnelles, sensibles, réglementées. En général, seule une partie appelle une réponse souveraine.
2. Interroger le régulateur ou les règles du secteur (santé, secteur public, défense, opérateurs d'importance vitale) sur ce qui est réellement exigé.
3. Construire sur des briques portables : Kubernetes, PostgreSQL, stockage compatible S3, observabilité ouverte. Un changement de fournisseur reste ainsi réaliste.
4. Répartir selon la sensibilité : un prestataire qualifié pour les charges sensibles, un hyperscaler ou un fournisseur européen pour le reste.
5. Vérifier le service exact : qualification, région, localisation du support et gestion des clés se jugent service par service.
6. Comparer le coût total, pas les prix catalogue : voir notre comparateur de prix cloud et les guides cloud hybride et multi-cloud.

La souveraineté n'est pas binaire. C'est un ensemble de garanties qui a un coût, et le bon niveau dépend de la nature des données et de ceux qui pourraient les convoiter.