Cloud Souverain
#Définition Cloud Souverain
Le cloud souverain est une infrastructure cloud caractérisée par trois critères cumulatifs : (1) localisation physique des données sur le territoire français ou européen, (2) opérateur juridiquement 100 % européen (capital, gouvernance, actionnariat sans entité extraeuropéenne détenant un contrôle effectif), (3) imperméabilité aux lois extraterritoriales étrangères, notamment le CLOUD Act américain (Clarifying Lawful Overseas Use of Data Act, 2018) et le FISA 702 (Foreign Intelligence Surveillance Act).
En France, la qualification SecNumCloud de l'ANSSI est le label de référence. Pour approfondir, consultez la page service Souveraineté Numérique Responsable Nehos.
Sur le terrain, Elle évalue l'opérateur sur 3 domaines : gouvernance et organisation, techniques et infrastructure, conformité réglementaire. Les niveaux EAL (Evaluation Assurance Level) de critères communs s'appliquent aux composants logiciels. La directive NIS2, applicable depuis octobre 2024, renforce les obligations de cybersécurité des opérateurs d'importance vitale, dont le recours à des prestataires qualifiés.
Le règlement DORA (Digital Operational Resilience Act, applicable depuis janvier 2025) impose des exigences spécifiques de résilience et de concentration des risques fournisseurs pour les entités financières.
On voit trop de projets échouer par méconnaissance de Cloud Souverain. La théorie compte — mais la mise en pratique encore plus.
#Cloud Souverain expliqué simplement
AWS en Europe, ce n'est pas du cloud souverain. Même si vos données sont dans un datacenter à Paris, Amazon reste une entreprise américaine soumise aux lois américaines. Le gouvernement américain peut légalement exiger d'Amazon l'accès à vos données hébergées à Paris. C'est ça, le CLOUD Act.
Cloud souverain = hébergeur 100 % européen, capital européen, sans actionnaire américain pouvant exercer une influence. En France, l'ANSSI (l'agence nationale de cybersécurité) a créé la qualification SecNumCloud pour certifier les opérateurs qui respectent ces règles. OVHcloud, fondé par Octave Klaba à Roubaix en 1999, est aujourd'hui l'opérateur cloud souverain de référence en France : il héberge des systèmes sensibles pour des ministères, des hôpitaux, des banques. C'est pour ça que Nehos recommande ce type d'hébergeur pour les données sensibles.
Prenez un cas concret : une entreprise de 50 personnes qui accélère sa croissance. La différence entre théorie et terrain ? Les chiffres. Et les chiffres, on les a.
#Cas d'usage concrets
Exemple de situation : collectivité territoriale — portail citoyen et données RH chez un hébergeur SecNumCloud — Exemple de situation : une métropole déploie un portail citoyen Next.js et un agent IA conversationnel. Les données personnelles des citoyens et les données RH des agents sont hébergées chez un opérateur qualifié SecNumCloud, comme OVHcloud Cloud Public Sensitive.
Le projet vise la conformité RGPD et les recommandations de l'ANSSI pour les systèmes traitant des données sensibles, avec un audit de sécurité PASSI.
Exemple de situation : établissement de santé — plateforme de télémédecine avec hébergement HDS — Exemple de situation : un réseau de cliniques déploie une plateforme de télémédecine. Les données de santé sont hébergées chez un opérateur certifié HDS et localisé en France, avec conformité à la PGSSI-S. Les données patients sont strictement cloisonnées et aucune réplication hors Union européenne n'est autorisée contractuellement.
Exemple de situation : scale-up FinTech — réduire la dépendance à un hyperscaler pour DORA — Exemple de situation : une FinTech parisienne migre depuis un hyperscaler américain vers un hébergeur européen en Kubernetes managé pour traiter le risque de concentration fournisseur exigé par DORA. La migration se fait sans interruption de service, et un rapport de concentration des risques est préparé pour le superviseur (ACPR).
#Cloud Souverain chez Nehos Groupe
Chez Nehos, on teste et on ajuste avant de généraliser. Notre service Souveraineté Numérique Responsable Nehos couvre ce périmètre de A à Z.
Chaque mission démarre par un cadrage structuré : objectifs chiffrés, périmètre technique, jalons à 30/60/90 jours. On livre, on mesure, on itère. Pas de slides sans livrable.
#Termes associés
Comprendre ce terme implique de maîtriser son écosystème.
- SecNumCloud
- Zero Trust Architecture
- AI Act
- DORA (Digital Operational Resilience Act)
- NIS2
- OVHcloud vs AWS
- LLM Souverain
Chaque terme est défini dans notre glossaire avec la même approche : définition technique, vulgarisation, cas concrets et méthode Nehos.
Applications Concrètes
« Exemple de situation : une métropole déploie un portail citoyen Next.js et un agent IA conversationnel. Les données personnelles des citoyens et les données RH des agents sont hébergées chez un opérateur qualifié SecNumCloud, comme OVHcloud Cloud Public Sensitive. Le projet vise la conformité RGPD et les recommandations de l'ANSSI pour les systèmes traitant des données sensibles, avec un audit de sécurité PASSI. »
« Exemple de situation : un réseau de cliniques déploie une plateforme de télémédecine. Les données de santé sont hébergées chez un opérateur certifié HDS et localisé en France, avec conformité à la PGSSI-S. Les données patients sont strictement cloisonnées et aucune réplication hors Union européenne n'est autorisée contractuellement. »
« Exemple de situation : une FinTech parisienne migre depuis un hyperscaler américain vers un hébergeur européen en Kubernetes managé pour traiter le risque de concentration fournisseur exigé par DORA. La migration se fait sans interruption de service, et un rapport de concentration des risques est préparé pour le superviseur (ACPR). »
Questions & réponses
Questions fréquentes sur le cloud souverain
Cloud européen = données hébergées physiquement dans l'Union Européenne, mais l'opérateur peut être une filiale d'une entreprise américaine (AWS Europe, Azure Europe, GCP Europe). Ces filiales restent soumises au CLOUD Act américain : les autorités US peuvent exiger l'accès aux données, même celles stockées en France ou en Allemagne. Cloud souverain = entité juridique 100 % européenne, capital sans contrôle extraeuropéen, imperméable aux lois extraterritoriales américaines. En France, SecNumCloud certifie ce niveau. Conclusion : AWS en France = cloud européen, pas cloud souverain. OVHcloud qualifié SecNumCloud = cloud souverain.
Plusieurs opérateurs disposent de la qualification SecNumCloud de l'ANSSI pour des offres cloud commerciales, dont OVHcloud (offre Cloud Public Sensitive, la plus large en services managés) et 3DS Outscale (filiale de Dassault Systèmes, orientée grandes entreprises et défense). La liste évolue : vérifiez toujours la liste officielle sur le site de l'ANSSI avant un appel d'offres. AWS, Microsoft Azure et Google Cloud ne détiennent pas la qualification SecNumCloud et ne peuvent pas l'obtenir sans restructurer radicalement leur gouvernance.
Pas encore obligatoire de manière générale, mais fortement recommandé et en voie de l'être. La circulaire du Premier ministre du 5 juillet 2021 recommande SecNumCloud pour les systèmes de l'État traitant des données sensibles. Les données de santé doivent être hébergées chez un opérateur HDS certifié (obligation depuis 2018). DORA impose depuis janvier 2025 aux entités financières de gérer la concentration des risques fournisseurs cloud. La tendance réglementaire 2024-2026 va clairement dans le sens d'une obligation progressive, en particulier pour les secteurs santé, finance et services publics.
Trois raisons concrètes. (1) Souveraineté : OVHcloud est qualifié SecNumCloud, ce qui permet de répondre aux appels d'offres du secteur public, de la santé et de la finance sans restriction. AWS et Azure sont disqualifiés dans ces contextes. (2) Conformité structurelle : la localisation des données en France est la configuration par défaut, sans configuration spéciale. (3) Coût : pour beaucoup de profils de charge, un Kubernetes managé européen est compétitif face aux offres des hyperscalers ; la comparaison se fait sur votre profil de charge réel. Ce n'est pas du patriotisme économique — c'est de l'ingénierie.
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine de 2018 qui autorise les agences gouvernementales américaines (FBI, CIA, NSA) à exiger des entreprises américaines l'accès à des données stockées sur leurs serveurs, quel que soit le pays d'hébergement. Concrètement : Amazon doit répondre à une demande de divulgation du FBI concernant des données hébergées dans son datacenter de Paris, même si ces données appartiennent à une entreprise française. Pour les données personnelles européennes (RGPD) ou les données sensibles (secrets industriels, données de santé), cette exposition est inacceptable. La Cour de Justice de l'UE (arrêts Schrems I et II) a confirmé cette incompatibilité avec le droit européen.
Pas pour les charges applicatives web et API courantes. OVHcloud Managed Kubernetes avec Ceph distributed storage et réseau vRack offre des performances comparables à celles des offres équivalentes des hyperscalers. Sur les services managés spécialisés (bases de données vectorielles pour IA, GPU pour inférence LLM), AWS et GCP conservent une avance en disponibilité et en richesse d'offre. Pour les charges IA lourdes, une option est OVHcloud AI Deploy pour l'inférence de LLMs souverains (Mistral, LLaMA) — Mistral AI étant une entreprise française.
L'EUCS est un schéma de certification européen pour les services cloud, développé par l'ENISA (Agence Européenne pour la Cybersécurité) dans le cadre du Cybersecurity Act (2019). Il définit trois niveaux de certification : Basic, Substantial, High. Le niveau High correspond grossièrement aux exigences SecNumCloud françaises. L'EUCS est encore en cours de finalisation (version stable attendue 2026) et devrait créer un cadre de reconnaissance mutuelle des certifications nationales en Europe. Objectif : une certification SecNumCloud française sera reconnue comme équivalente EUCS High dans toute l'UE, facilitant les marchés publics transfrontaliers.