Cloud souverain français : acteurs et qualifications

Certains liens de cette page sont des liens d'affiliation : si vous souscrivez après avoir cliqué, nous percevons une commission, sans surcoût pour vous. Cela ne change ni notre classement ni nos réserves, qui reposent sur les caractéristiques réelles des offres. En savoir plus

Le cloud souverain désigne des infrastructures dont l'exploitant échappe aux législations extraterritoriales, en particulier américaines. La localisation des serveurs en Europe n'y suffit pas : c'est la nationalité et le capital de l'exploitant qui déterminent le droit applicable.

En France, la qualification SecNumCloud délivrée par l'ANSSI constitue le principal repère.

Le problème que la souveraineté cherche à résoudre

L'idée reçue est que stocker ses données en Europe suffit à les mettre à l'abri. C'est faux, et c'est tout l'objet de ce sujet. Une législation adoptée aux États-Unis en 2018 permet aux autorités américaines de demander à un fournisseur soumis au droit américain de communiquer des données qu'il détient, quel que soit le pays où elles sont stockées.

Autrement dit : une filiale européenne d'un groupe américain, exploitant un datacenter à Paris, reste dans le champ de cette obligation. Le critère déterminant n'est pas la géographie du serveur, c'est la nationalité et le contrôle capitalistique de l'exploitant.

S'y ajoute une difficulté de droit européen : les transferts de données personnelles vers les États-Unis ont fait l'objet de plusieurs cadres successifs, dont deux ont été invalidés par la Cour de justice de l'Union européenne. Cette instabilité juridique est en elle-même un risque pour une organisation qui construit son système d'information dessus.

La qualification française, et ce qu’elle exige

La France dispose d'un référentiel de qualification délivré par l'agence nationale chargée de la sécurité des systèmes d'information. C'est le repère le plus exigeant du marché, et le seul qui traite explicitement la question de l'immunité aux législations extraterritoriales.

• Des exigences techniques de sécurité portant sur le chiffrement, le cloisonnement, la journalisation et la gestion des accès.
• Des exigences organisationnelles sur la localisation des données et des équipes d'exploitation, ainsi que sur les procédures internes.
• Des exigences capitalistiques, qui limitent le contrôle exerçable par une entité soumise à un droit extraterritorial. C'est ce point qui distingue cette qualification d'une simple certification de sécurité.
• Un audit par un organisme tiers, renouvelé, et non une déclaration du fournisseur.

La qualification porte sur un service précis, pas sur une entreprise entière. Un fournisseur peut être qualifié sur une offre et pas sur le reste de son catalogue. C'est le point le plus souvent mal compris, et celui qui produit le plus de malentendus dans les appels d'offres.

Le compromis à accepter

Choisir un cloud souverain se paie, et il est plus honnête de le dire que de prétendre l'inverse. Trois contreparties sont réelles.

Un catalogue de services plus étroit

Les très grands fournisseurs américains proposent plusieurs centaines de services managés, dont beaucoup n'ont aucun équivalent européen. Si votre application repose sur l'un d'eux, la migration n'est pas une reconfiguration, c'est une réécriture.

Des tarifs généralement supérieurs

L'échelle n'est pas la même, et les exigences de qualification ont un coût d'exploitation. L'écart se réduit sur les services de base, il reste marqué sur les services les plus spécialisés.

Un écosystème moins fourni

Moins de documentation communautaire, moins d'outils tiers compatibles, moins de profils déjà formés sur le marché du travail. Ce coût-là n'apparaît sur aucun devis, et il est réel.

En face de ces trois points, une organisation soumise à une obligation réglementaire n'a pas vraiment le choix, et la question ne se pose pas en termes de confort. Une organisation qui ne l'est pas doit arbitrer honnêtement.

Les montages intermédiaires, et ce qu’ils valent

Entre le cloud américain et le cloud pleinement souverain se sont développées des offres hybrides, généralement construites par une société européenne qui exploite sous licence la technologie d'un grand fournisseur américain. L'argument commercial est séduisant : la richesse fonctionnelle de l'un, l'indépendance juridique de l'autre.

Ces montages font l'objet d'un débat nourri, et il vaut mieux le connaître que le découvrir après avoir signé. Leurs promoteurs soutiennent que la structure capitalistique et les procédures d'exploitation suffisent à écarter toute obligation extraterritoriale. Leurs détracteurs objectent que la dépendance technologique reste entière, et qu'une dépendance technologique se transforme tôt ou tard en dépendance tout court.

Il n'y a pas de réponse tranchée à donner ici, et ce serait malhonnête de faire semblant. Le critère pratique reste le même : si votre obligation porte sur une qualification précise, vérifiez que l'offre la détient effectivement. Si elle porte sur une appréciation de risque, lisez les deux camps avant de décider.

À qui cela s'adresse

• Secteur public
• Santé et données sensibles
• Secteurs réglementés

À éviter dans ces cas

• Sites web classiques
• Projets personnels