8 critères pour choisir un cloud souverain 

Le Cloud Act, le Health Data Hub, les sanctions de la CNIL : les affaires qui ont marqué ces dernières années ont mis en lumière une réalité que trop d’entreprises découvrent encore au moment où il est déjà trop tard : toutes les données hébergées en Europe ne sont pas nécessairement protégées des lois étrangères. Face à cette prise de conscience, la demande pour des solutions cloud véritablement souveraines explose, portée aussi bien par les obligations réglementaires (RGPD, NIS2, HDS) que par la volonté des organisations de reprendre le contrôle sur leurs données sensibles ou stratégiques. 

Image by Onilys

Mais le terme « souverain » est aujourd’hui largement galvaudé : nombre de fournisseurs s’en réclament sans pour autant offrir de garanties juridiques ou techniques solides. Pour ne pas se laisser abuser par un simple argument commercial, encore faut-il savoir sur quels critères objectifs évaluer une offre.

C’est l’objet de ce guide, qui détaille point par point ce qui distingue un hébergeur cloud réellement fiable et adapté aux besoins des entreprises traitant des données sensibles. 

1. Une souveraineté à la fois territoriale, juridique et technique 

Le socle d’un cloud souverain repose sur un principe simple : l’ensemble des données doit être hébergé sur le territoire français, dans des infrastructures relevant exclusivement du droit français.  

Cette exigence n’a rien de théorique : l’exemple du Health Data Hub l’a bien montré : confier ses données à un acteur soumis au Cloud Act, au FISA ou au Patriot Act, c’est accepter qu’une autorité étrangère puisse en réclamer l’accès, parfois à l’insu même de l’entreprise concernée, même lorsque ces données sont physiquement stockées en Europe. Seul un opérateur intégralement français permet d’écarter ce risque ; les établissements qui ne s’y conforment pas s’exposent d’ailleurs à une sanction de la CNIL pouvant atteindre 4% du chiffre d’affaires en cas de transferts illégaux. 

Concrètement, plusieurs éléments doivent être vérifiés avant de contractualiser :  

• L’adresse physique des centres de données,  
• L’absence de toute filiale étrangère ou de société mère soumise au Cloud Act,  
• Une documentation claire sur l’emplacement des sauvegardes,  
• Ainsi qu’une certification ou un audit attestant de la résidence des données.  

Sur ce dernier point, si la certification HDS témoigne déjà d’un bon niveau de sécurité technique, seule la qualification SecNumCloud garantit une protection optimale en matière de localisation et de traitement des données, en confinant les infrastructures à la France ou à l’Europe. Un prestataire digne de confiance doit pouvoir fournir sans délai l’ensemble de ces justificatifs. 

2. Des certifications de sécurité reconnues 

Au-delà de la seule question de la localisation, un fournisseur doit prouver la maturité globale de son dispositif cybersécurité. Cela passe par :  

• L’obtention de labels de référence comme l’ISO 27001, garant d’une gestion rigoureuse de la sécurité de l’information,  
• Par des audits menés régulièrement par l’ANSSI, l’ANS ou dans le cadre du RGPD.  

Ces certifications ne sont pas de simples formalités administratives : elles traduisent des processus internes structurés, une gouvernance transparente et un contrôle strict des accès aux données, un point d’autant plus critique lorsque des données de santé sont en jeu. 

3. Une sécurité opérationnelle et une résilience à toute épreuve 

Un hébergeur doit aussi démontrer sa capacité à protéger concrètement vos données face :  

• Aux cyberattaques,  
• Aux erreurs humaines,  
• Aux ransomwares, 
• Aux pannes de grande ampleur.  

Cela suppose un socle d’exigences techniques :  

• Segmentation réseau stricte,  
• Chiffrement systématique,  
• Supervision SOC et SIEM,  
• Pare-feu managés,  
• Sauvegardes immuables (WORM),  
• Sauvegardes déconnectées (air-gap),  
• Repository durci,  
• Plans de reprise et de continuité d’activité (PRA/PCA) formalisés.  

C’est l’ensemble de ce dispositif qui garantit la poursuite de votre activité, même en cas d’incident majeur. 

4. Transparence et capacité d’audit 

Un hébergeur souverain digne de confiance doit faire preuve d’une réelle transparence sur :  

• Son infrastructure,  
• Ses politiques de sécurité,  
• Ses sous-traitants (leurs fonctions respectives et leurs éventuels accès aux données),  
• Ses procédures internes.  

Concrètement, cela suppose de permettre la réalisation d’audits de sécurité réguliers, de mettre à disposition une documentation complète, d’autoriser la consultation des journaux d’accès et de faciliter les échanges directs avec les équipes techniques. Cette capacité d’audit constitue aujourd’hui un pilier fondamental de la confiance numérique. 

5. Un support technique expert, réactif et localisé en France 

À la différence des hyperscalers, un hébergeur souverain doit garantir un accompagnement humain, réactif et ancré localement. En cas d’incident, chaque minute compte, et un support basé en France assure une réponse rapide, une analyse tenant compte du contexte, une meilleure gestion de la continuité d’activité et un accompagnement sur les obligations réglementaires (RGPD, HDS, NIS2). Ce critère se révèle déterminant pour les PME, les agences digitales, les éditeurs SaaS B2B et les acteurs du secteur de la santé.  

6. Une réversibilité totale, sans effet de verrouillage 

À l’inverse des hyperscalers, souvent bâtis sur des technologies propriétaires qui rendent les migrations longues et complexes, un hébergeur souverain mise sur des environnements ouverts et des standards interopérables pour permettre une sortie de contrat fluide, sans blocage technique ni financier. Cette portabilité facilite des transitions de systèmes plus rapides et sans coupure de service, en évitant tout phénomène de lock-in, garantissant une pleine maîtrise de vos données et de vos infrastructures. 

7. Une flexibilité et une évolutivité au service de vos projets 

Un cloud souverain ne se résume pas à une simple prestation d’hébergement : c’est une plateforme complète destinée à vos :  

• Machines virtuelles,  

• Conteneurs,  

• Bases de données,  

• Projets d’IA,  

• Workflows automatisés,  

• Besoins de stockage,  

• Plans de reprise d’activité.  

Un bon hébergeur doit proposer :  

• Des environnements modulaires (VM, Docker, Kubernetes, N8N…),  

• Un dimensionnement sur-mesure,  

• Des options avancées (immuabilité, air-gap, haute disponibilité, multi-datacenters),  

• Une intégration de solutions d’IA hébergées de façon souveraine,  

• Une facturation lisible et prévisible,  

• La possibilité de déployer une architecture hybride. 

Mais au-delà de cette richesse fonctionnelle, c’est la capacité d’évolution qui fait la différence sur la durée. Il est essentiel de pouvoir faire évoluer son architecture sans contrainte excessive, et de pouvoir piloter ces évolutions en toute autonomie grâce à une documentation claire et accessible. Mieux vaut aussi s’assurer que l’hébergeur investit en recherche et développement pour accompagner ses clients dans la durée. Plus un fournisseur fait preuve d’adaptabilité, plus votre architecture gagnera en pérennité. 

8. Coût et rapport qualité-prix 

Le budget disponible est l’un des premiers filtres à appliquer, mais il ne doit jamais être considéré isolément : c’est le rapport entre le prix payé et la qualité obtenue qui doit guider la décision. Se laisser séduire par le tarif le plus bas au détriment du niveau de service est rarement une bonne affaire à moyen terme, mieux vaut comparer les prestations à niveau de caractéristiques équivalent plutôt que les prix bruts. À l’inverse, inutile de payer pour un hébergement surdimensionné dont les options resteront lettre morte. À noter que si la majorité des offres reposent sur un abonnement à prix fixe, la tarification à l’usage gagne du terrain, en particulier dans le cloud computing. 

FOCUS – Impact social et écologique 

Le numérique représentait déjà 3,7% des émissions carbone mondiales d’origine humaine en 2019, un niveau comparable à celui du transport aérien. Les data centers ont donc un rôle à jouer dans la réduction de cette empreinte, à travers plusieurs leviers :  

• Le mix énergétique alimentant leurs infrastructures (la France bénéficiant d’une électricité largement décarbonée grâce au nucléaire),  

• La méthode de refroidissement employée (free cooling, immersion liquide, valorisation de la chaleur produite…),  

• La conception plus durable du parc de serveurs,  

• les engagements financiers de l’entreprise en faveur de projets environnementaux ou de certifications comme l’ISO 50001. 

Récapitulatif des critères :

Conclusion 

Au terme de cette analyse, un constat s’impose : la souveraineté d’un cloud ne se résume jamais à un seul critère, et encore moins à un simple argument de localisation géographique. Elle se construit à l’intersection de plusieurs dimensions, indissociables les unes des autres : la protection juridique face aux lois extraterritoriales, la robustesse des certifications de sécurité, la capacité à encaisser un incident sans interruption d’activité, la transparence vis-à-vis de ses clients, la qualité d’un accompagnement humain et réactif, ou encore la liberté de pouvoir changer de prestataire sans contrainte. 

Prendre le temps d’évaluer un fournisseur à l’aune de ces critères, plutôt que de se fier à une promesse commerciale, c’est se donner les moyens de faire un choix pérenne plutôt qu’un choix par défaut. Les entreprises qui manient des données sensibles ou stratégiques n’ont d’ailleurs plus vraiment le luxe de l’approximation sur ce sujet : entre exigences réglementaires croissantes et risques de sanctions, un hébergeur souverain certifié et pleinement maîtrisé n’est plus une option, mais une nécessité. 

Besoin d’aide pour entamer votre projet d’innovation, former vos équipes ou choisir les bons outils ? Contactez-nous pour un audit complet de vos besoins numériques !