Cloud souverain : comprendre les règles du jeu en France et en Europe
Cloud souverain : comprendre les règles du jeu en France et en Europe
Nous utilisons tous des services cloud au quotidien. Pourtant, derrière le choix d'un fournisseur se cachent aujourd'hui des enjeux qui dépassent largement la technique : protection des données, dépendance aux grandes puissances technologiques, cybersécurité ou encore souveraineté économique.
Depuis plusieurs années, la France et l’Union européenne développent, à travers des instruments différents, des cadres destinés à renforcer la sécurité, la confiance et la maîtrise des services cloud, capables de protéger ses organisations tout en réduisant sa dépendance vis-à-vis des hyperscalers extra-européens.
Cloud souverain, cloud de confiance : de quoi parle-t-on ?
Les expressions cloud souverain et cloud de confiance sont souvent utilisées comme synonymes. Elles recouvrent pourtant des dimensions différentes.
- La sécurité concerne la protection des données, la prévention des attaques et la continuité du service
- La confiance repose sur des garanties vérifiables : référentiels, audits, gouvernance et protection juridique
- La souveraineté désigne la maîtrise du service : qui contrôle le fournisseur ? à quelles juridictions est-il soumis ? de quelles technologies dépend-il?
Un service cloud peut donc être très sécurisé sans être pleinement souverain.
En France, le cloud de confiance cherche à combiner sécurité technique et protection face aux législations extraterritoriales. La qualification SecNumCloud porte toutefois sur une offre et un périmètre précis, et non sur l’ensemble d’un fournisseur.
La Commission européenne a également formalisé une approche multidimensionnelle avec son Cloud Sovereignty Framework, utilisé dans le cadre des choix cloud des institutions européennes.
Ce cadre évalue la souveraineté selon huit dimensions : stratégie, juridiction, données et intelligence artificielle, opérations, chaîne d’approvisionnement, technologies, sécurité et conformité, ainsi que durabilité environnementale.
Il ne s’agit ni d’une réglementation générale ni d’une certification. C’est un outil d’évaluation permettant de comparer différents niveaux de souveraineté.
En juin 2026, la Commission a proposé le Cloud and AI Development Act, qui vise notamment à établir un cadre européen plus général pour évaluer la souveraineté des services cloud. Il s’agit toutefois d’une proposition législative, pas encore d’un droit applicable.
Avant d’examiner SecNumCloud et le projet EUCS, une question s’impose : qui définit les règles ?
Car derrière chaque certification, chaque réglementation ou chaque exigence de sécurité se trouvent des institutions, des agences et des textes européens qui structurent progressivement l'écosystème numérique.
Dans cette série
Cette série analyse la souveraineté numérique européenne à travers trois dimensions complémentaires :
Article 1 — Comprendre le cadre français et européen
Qui définit les règles et comment SecNumCloud et EUCS structurent-ils la confiance dans le cloud ?
Article 2 — Comprendre le marché
Quels acteurs, quelles offres et quelles alternatives face aux grands fournisseurs extra-européens ?
Article 3 — Renforcer la résilience numérique
Comment NIS2 et DORA renforcent-ils la gestion des risques numériques et la sécurité des organisations européennes ?
Comprendre qui fixe les règles
En France comme dans l'Union européenne, les décisions relatives à la cybersécurité reposent sur trois fonctions :
| Échelle | Qui élabore et adopte les règles ? | Quel acteur cyber intervient ? | Instrument étudié |
|---|---|---|---|
| France | Le Parlement vote les lois ; le Gouvernement conduit les politiques publiques et exerce le pouvoir réglementaire | ANSSI, autorité nationale de cybersécurité | SecNumCloud |
| Union européenne | La Commission propose généralement les textes ; le Parlement européen et le Conseil de l’UE les adoptent | ENISA, agence européenne d’expertise et de coopération | Projet EUCS |
En France, le pilotage opérationnel de la politique nationale de cybersécurité relève principalement de l’exécutif, avec l’appui de l’ANSSI. La définition des règles repose toutefois aussi sur les lois nationales et européennes.
Le rôle de l'ANSSI
- protéger les infrastructures critiques
- répondre aux cyberattaques
- publier des référentiels
- certifier les offres cloud
- accompagner les administrations
À l'échelle européenne, la Commission européenne propose les textes, le Parlement européen et le Conseil les adoptent, tandis que l'ENISA contribue à élaborer les référentiels techniques.
Deux types de textes européens à connaître
Pour suivre les exemples présentés dans cette série, une première distinction est utile :
- les directives, qui fixent des objectifs que chaque État doit transposer dans son droit national (comme NIS2) ;
- les règlements, qui s'appliquent directement dans tous les États membres (comme DORA).
Une fois ce cadre posé, reste une question essentielle : comment ces principes se traduisent-ils concrètement pour les fournisseurs cloud ?
C'est précisément le rôle des référentiels de sécurité. C'est dans ce contexte qu'ont été créés SecNumCloud en France et le projet EUCS, schéma européen de certification de cybersécurité des services cloud. Il reste en développement et n’est pas adopté à ce jour.
| Question | SecNumCloud | EUCS |
|---|---|---|
| Quelle est sa nature ? | Qualification de sécurité fondée sur un référentiel de l’ANSSI | Projet de schéma européen de certification de cybersécurité des services cloud |
| Qui intervient ? | L’ANSSI définit le référentiel et délivre la qualification ainsi que le Visa de sécurité | L’ENISA prépare le projet de schéma ; la Commission européenne est chargée de son adoption |
| À quelle échelle ? | Cadre français | Union européenne |
| Sur quoi porte-t-il ? | Une offre cloud et un périmètre de service déterminés | Les services cloud relevant du futur schéma européen |
| Quel est son statut au 11 juillet 2026 ? | Qualification en vigueur ; plusieurs services sont qualifiés | Toujours en développement ; non adopté |
SecNumCloud et EUCS relèvent tous deux d’une logique d’évaluation de la confiance accordée aux services cloud. Leur approche diffère toutefois : SecNumCloud intègre explicitement des exigences françaises de sécurité, de gouvernance et de protection juridique, tandis qu’EUCS vise d’abord à harmoniser la certification de cybersécurité au sein de l’Union européenne. La place des critères de souveraineté dans le futur schéma européen reste en construction.
—----
À ne pas confondre
NIS2 et DORA imposent des obligations juridiques aux organisations en matière de gestion des risques et de résilience numérique.
SecNumCloud et EUCS concernent l’évaluation du niveau de confiance ou de cybersécurité de services cloud.
Le Cloud Sovereignty Framework est un cadre d’évaluation de la souveraineté utilisé dans le contexte des achats cloud des institutions européennes.
—---
Le véritable point de tension : sécurité ou souveraineté ?
Harmoniser les exigences techniques de cybersécurité fait relativement consensus. La difficulté apparaît lorsque la certification intègre des critères relatifs au contrôle du fournisseur, à sa juridiction ou à son exposition à des législations étrangères.
C’est précisément l’un des débats soulevés par EUCS. Faut-il limiter le futur schéma à la sécurité technique des services cloud ou doit-il également favoriser des fournisseurs placés sous contrôle européen ?
Derrière cette question se confrontent deux ambitions : construire un marché européen ouvert et harmonisé, ou utiliser la certification comme un instrument de souveraineté industrielle et juridique.
Cette tension explique en partie pourquoi il est difficile de reproduire à l’échelle européenne une approche comparable à SecNumCloud.
Au cours des dernières années, la France et l'Union européenne ont progressivement construit un cadre destiné à renforcer la confiance dans le cloud. Derrière des noms parfois techniques comme SecNumCloud ou EUCS se dessine en réalité une ambition plus large : reprendre une partie de la maîtrise des infrastructures numériques stratégiques.
Définir un cadre réglementaire est une première étape. Encore faut-il disposer d'entreprises capables de proposer des offres compétitives répondant à ces exigences.
Dans le prochain article, nous quitterons le terrain réglementaire pour analyser le marché lui-même : quels sont aujourd'hui les fournisseurs de cloud souverain ? Existe-t-il de véritables alternatives aux hyperscalers américains ? Et jusqu'où l'Europe peut-elle réellement gagner en autonomie technologique ?
Enfin, le troisième article élargira la réflexion à la résilience numérique des organisations. Nous verrons comment NIS2 et DORA renforcent la gestion des risques, la gouvernance de la cybersécurité et la maîtrise des dépendances envers les fournisseurs technologiques.
