Cloud souverain, SecNumCloud et réversibilité : comment faire des choix cloud responsables ?
Choisir un cloud responsable revient à arbitrer entre plusieurs exigences : la maîtrise juridique des données, la sécurité, la capacité de changer de fournisseur et l’empreinte environnementale. Les expressions « cloud souverain », « cloud de confiance » et « SecNumCloud » sont parfois utilisées comme des synonymes, alors qu’elles ne recouvrent pas exactement les mêmes garanties.
Une décision fondée sur un vocabulaire imprécis peut créer une dépendance technique et contractuelle durable. Avant de retenir une offre, l’entreprise doit donc traduire ses besoins en critères vérifiables : nature des données, droit applicable, localisation des traitements, conditions de sortie et indicateurs environnementaux.
Souveraineté, cloud de confiance et SecNumCloud
La souveraineté numérique décrit un objectif de maîtrise. Elle suppose de garder un contrôle suffisant sur les données, les traitements, les accès et les dépendances technologiques. Il ne s’agit pas, à elle seule, d’une qualification officielle. Un fournisseur peut ainsi employer l’expression « cloud souverain » selon sa propre définition commerciale.
SecNumCloud est une qualification délivrée par l’Agence nationale de la sécurité des systèmes d’information. Son référentiel fixe des exigences techniques, organisationnelles et juridiques applicables aux prestataires cloud qualifiés. La version 3.2 intègre notamment des critères visant à réduire l’exposition à certaines lois extraterritoriales et encadre le contrôle du prestataire.
Le « cloud de confiance » est notamment employé dans la doctrine française « Cloud au centre » pour les usages de l’État. Dans ce cadre, le recours à une offre qualifiée SecNumCloud est requis pour certaines données sensibles. Dans le secteur privé, l’obligation dépend du domaine, des données, des règles contractuelles et des textes applicables. SecNumCloud peut constituer un critère déterminant sans être automatiquement obligatoire pour chaque donnée dite réglementée.
L’hébergement des serveurs en France ne suffit donc pas à démontrer une souveraineté juridique. La localisation physique, la société qui contrôle le prestataire, les sous-traitants et les lois auxquelles ils sont soumis doivent être examinés séparément.
Évaluer la sécurité au-delà des déclarations commerciales
Une architecture cloud doit être analysée comme un système complet. Le chiffrement, la gestion des identités, les journaux, les sauvegardes et la segmentation des environnements comptent autant que la localisation du datacenter. L’entreprise doit aussi savoir qui peut administrer les ressources et dans quelles conditions.
Un audit de sécurité informatique aide à établir les exigences avant la consultation des fournisseurs. Il permet d’identifier les données critiques, les accès à privilèges, les dépendances et les scénarios de reprise à tester.
Les responsabilités partagées doivent être écrites clairement. Le fournisseur protège l’infrastructure selon son périmètre, tandis que le client reste souvent responsable de la configuration des comptes, des droits, des applications et des données qu’il déploie.
Réversibilité : ce que le Data Act change
La réversibilité désigne la capacité de transférer les données et les charges de travail vers un autre prestataire ou de les rapatrier en interne. Depuis le 12 septembre 2025, le règlement européen sur les données, appelé Data Act, encadre davantage le changement de fournisseur de services de traitement de données.
Les contrats doivent notamment prévoir un préavis de deux mois au maximum et une période transitoire normalement limitée à 30 jours calendaires. Une prolongation peut être prévue lorsque la migration est techniquement impossible dans ce délai, sous réserve d’une justification et des limites fixées par le règlement.
Les frais spécifiquement liés au changement de fournisseur sont progressivement supprimés. Jusqu’au 12 janvier 2027, des frais réduits et directement liés à l’opération peuvent encore être appliqués. À partir de cette date, les frais de changement, y compris certains frais de sortie de données, doivent disparaître. Les frais ordinaires de service et une éventuelle indemnité contractuelle de résiliation anticipée restent des sujets distincts.
Ce cadre juridique ne supprime pas le verrouillage technique. Les bases propriétaires, les API spécifiques, les services managés et les scripts dépendant d’une seule plateforme peuvent rendre la migration longue. Un test d’export, une documentation de l’architecture et un scénario de reconstruction doivent être préparés avant la signature.
Limiter l’adhérence technologique
Le taux de dépendance à un fournisseur se mesure dans les composants difficiles à remplacer. Une machine virtuelle standard est généralement plus simple à migrer qu’une application qui repose sur plusieurs services propriétaires étroitement intégrés.
Il ne faut pas pour autant refuser tous les services managés. Ils peuvent améliorer la sécurité et réduire la charge d’exploitation. La décision consiste plutôt à comparer le bénéfice opérationnel avec le coût de sortie. Les données doivent être exportables, les interfaces documentées et les compétences nécessaires à une migration identifiées.
Les équipes peuvent également prévoir des abstractions, des sauvegardes indépendantes et une gestion d’infrastructure reproductible. Ces mesures ne rendent pas le changement gratuit, mais elles réduisent les risques d’une reconstruction dans l’urgence.
Intégrer la sobriété dans le choix du cloud
La sobriété numérique commence par le dimensionnement. Des ressources surdimensionnées, des environnements de test laissés actifs et des données conservées sans utilité augmentent la consommation et les coûts. L’extinction automatique, l’ajustement de capacité et la politique de rétention constituent des leviers concrets.
Les indicateurs des datacenters apportent des informations complémentaires : efficacité énergétique, consommation d’eau, origine de l’électricité et taux d’utilisation. Ils doivent être interprétés avec leur périmètre et leur méthode de calcul. Un bon indicateur d’infrastructure ne garantit pas qu’une application soit elle-même sobre.
La qualification SecNumCloud n’évalue pas la performance environnementale. Une offre peut donc présenter de fortes garanties de sécurité tout en nécessitant une analyse séparée sur l’énergie, l’eau et la durée de vie du matériel.
Une grille de décision en cinq questions
- Quelle est la sensibilité des données ? Classez les données et identifiez les obligations sectorielles avant de choisir une qualification.
- Quel droit s’applique ? Étudiez le prestataire, ses actionnaires, ses sous-traitants et les pays concernés.
- Quelle sortie est prévue ? Exigez des formats exploitables, des délais, une assistance et un test de restitution.
- Quelle dépendance technique acceptez-vous ? Inventoriez les services propriétaires et leur solution de remplacement.
- Quels indicateurs environnementaux sont vérifiables ? Comparez des données documentées plutôt que des engagements généraux.
Cette démarche gagne à être menée conjointement par la DSI, le RSSI, le DPO, les achats et les métiers. Les arbitrages concernent autant le risque et le contrat que l’architecture.
Se former pour décider avec méthode
Capgemini Institut propose la formation Cloud responsable de Capgemini Institut, consacrée à la souveraineté, à la sécurité, à la réversibilité et à la sobriété. Le programme aborde également le RGPD, le Cloud Act, NIS2, les offres européennes et l’intégration de l’intelligence artificielle dans une stratégie cloud.
Cette formation s’adresse notamment aux DSI, RSSI, DPO, architectes et acheteurs informatiques. Son intérêt réside dans la mise en perspective des offres, des contraintes contractuelles et des choix d’architecture plutôt que dans la promotion d’un fournisseur unique.
Tester les garanties avant de s’engager
Une grille contractuelle ne remplace pas un exercice pratique. L’entreprise devrait tester la restauration d’une sauvegarde, l’export d’un jeu de données et le redéploiement d’un composant dans un environnement distinct. Ces essais révèlent les dépendances qui ne figurent pas toujours dans les documents commerciaux.
La même vigilance s’applique aux services d’IA intégrés au cloud. Notre dossier sur la manière d’automatiser des processus avec l’IA sans fragiliser le système d’information présente les contrôles à prévoir sur les accès, les données et la supervision.
Un choix cloud responsable combine donc des garanties juridiques, une sécurité vérifiable, une réversibilité testée et des objectifs de sobriété mesurables. Aucun label ne remplace à lui seul cette analyse globale.
