« La souveraineté désigne le pouvoir suprême, indépendant de toute autorité extérieure. À l’échelle d’un État, elle se traduit par son indépendance sur le plan international et par l’exercice exclusif de son autorité sur son territoire. »
Larousse 2026
La souveraineté, appliquée au domaine du Cloud, consiste à tirer parti de ce service avantages tout en en gardant la maîtrise juridique, technique et opérationnelle, en particulier face aux lois extraterritoriales et à la dépendance envers des prestataires étrangers. Avec les tensions géopolitiques actuelles, il s’agit d’un enjeu stratégique pour préserver l’autonomie de décision de la France et de l’Europe. C’est dans cette perspective que s’inscrit cette présentation, qui vise à rappeler les grands concepts de souveraineté cloud, présenter 2 référentiels clés à savoir l’European Union Cybersecurity Certification Scheme for Cloud Services (EUCS) et le Cloud Sovereignty Framework et dessiner les perspectives d’évolution de la stratégie de cloud souverain européen.
Table des matières
I. Contexte de la souveraineté européenne du cloud
A. Définitions
Avant tout développement, il convient de distinguer deux notions souvent utilisées de manière interchangeable : le « cloud de confiance » et le « cloud souverain ».
- En France, le « cloud de confiance » désigne avant tout une approche visant à garantir un haut niveau de sécurité des services cloud, auquel s’ajoutent des garanties destinées à protéger les données contre les accès soumis à des juridictions extraterritoriales. Cette approche s’appuie notamment sur la qualification SecNumCloud de l’ANSSI et constitue le socle de la doctrine française « Cloud au centre ».
- Le « cloud souverain » renvoie à une ambition plus large. Au-delà de la sécurité et de la protection juridique des données, il suppose de s’interroger sur la capacité à maîtriser durablement les technologies, les infrastructures, les chaînes d’approvisionnement, les compétences et la gouvernance nécessaires au fonctionnement du service. Autrement dit, un cloud peut être « de confiance » sans nécessairement couvrir l’ensemble des dimensions de la souveraineté.
B. Un enjeu stratégique du fait de plusieurs facteurs
En quelques années, la souveraineté du cloud est passée d’une problématique essentiellement technique à un enjeu de politique industrielle et d’autonomie stratégique. Cette problématique a progressivement changé d’échelle sous l’effet de plusieurs facteurs.
Le premier est la forte dépendance de l’Europe vis-à-vis des hyperscalers américains. Aujourd’hui, le marché européen du cloud public est très largement dominé par Amazon Web Services, Microsoft Azure et Google Cloud. Cette concentration soulève des questions de dépendance technologique, de maîtrise des infrastructures critiques et de capacité de l’Europe à développer un écosystème cloud compétitif.
La France avait d’ailleurs tenté, dès le début des années 2010, de répondre à cette dépendance en développant une offre nationale de « cloud souverain ». Le projet Andromède, qui a donné naissance à Cloudwatt et Numergy, devait constituer une alternative aux grands fournisseurs américains. Les deux initiatives n’ont toutefois pas rencontré leur marché et ont progressivement disparu. Cet échec constitue un enseignement important : la souveraineté du cloud ne peut pas être réduite à la création d’un fournisseur national. Elle suppose également des exigences de sécurité et de gouvernance, une maîtrise des enjeux juridiques et, plus largement, un écosystème industriel suffisamment compétitif pour constituer une alternative crédible aux acteurs dominants.
C’est précisément pour structurer cet écosystème européen compétitif qu’a été lancée l’initiative franco-allemande GAIA-X, apportant une réponse architecturale et normative face à la domination des acteurs extracommunautaires. Tirant les leçons des échecs passés, le projet ne vise pas à construire un hyperscaler européen centralisé, mais à fédérer les fournisseurs existants au sein d’un réseau décentralisé. Cette approche de la souveraineté technologique et opérationnelle s’incarne par un référentiel d’exigences commun (Trust Framework) imposant des standards stricts de transparence, d’interopérabilité et de réversibilité. En cherchant à briser la dépendance et le verrouillage technologique (vendor lock-in) caractéristiques des offres dominantes, GAIA-X s’attache à restaurer l’autonomie stratégique de l’Europe en garantissant aux organisations une maîtrise totale et pérenne de leurs infrastructures cloud.
Le deuxième facteur réside dans les enjeux juridiques liés aux législations extraterritoriales, en particulier américaines. Ces préoccupations ne sont pas nouvelles : dès 2001, l’adoption du Patriot Act aux États-Unis a renforcé les capacités d’accès des autorités américaines à certaines données détenues par des entreprises relevant de leur juridiction. Les révélations d’Edward Snowden en 2013 sur les programmes de surveillance de la NSA ont ensuite constitué un véritable électrochoc en Europe, en mettant en lumière les risques liés à l’accès potentiel des autorités étrangères aux données confiées à des fournisseurs technologiques. Quelques années plus tard, des textes tels que le CLOUD Act ou certaines dispositions du Foreign Intelligence Surveillance Act (FISA) ont renforcé ces préoccupations en permettant, dans certaines circonstances, aux autorités américaines de solliciter l’accès à des données détenues par des entreprises soumises à leur juridiction, y compris lorsque ces données sont hébergées en dehors des États-Unis. Cette situation a contribué à déplacer le débat : la localisation physique des données n’est plus considérée comme un critère suffisant pour garantir leur souveraineté, dès lors que le fournisseur qui les héberge peut lui-même être soumis à une juridiction étrangère.
Le contexte géopolitique récent a renforcé cette prise de conscience. La guerre en Ukraine, la multiplication des cyberattaques contre les infrastructures critiques, les tensions commerciales entre grandes puissances ainsi que la compétition mondiale autour de l’intelligence artificielle ont rappelé que les infrastructures numériques constituent désormais des actifs stratégiques.
C. De la conformité à l’autonomie stratégique européenne
Face à ces constats, l’Union européenne poursuit un objectif d’autonomie stratégique ouverte. L’ambition n’est pas de se couper des acteurs internationaux ni de promouvoir une forme d’autarcie numérique, mais de réduire les dépendances jugées critiques, de renforcer les capacités industrielles européennes et de garantir la maîtrise des infrastructures essentielles au fonctionnement des administrations, des opérateurs d’importance vitale et de l’économie européenne.
Cette ambition s’inscrit dans la continuité du large mouvement de construction d’un cadre réglementaire numérique européen. Le RGPD a établi un cadre commun pour la protection des données personnelles. NIS2 a renforcé les exigences de cybersécurité applicables à de nombreux secteurs critiques, notamment aux fournisseurs de services cloud. DORA a introduit pour sa part des exigences spécifiques de résilience opérationnelle numérique dans le secteur financier et renforcé la supervision des prestataires technologiques critiques – dont les services cloud. Ces textes ne constituent pas, à eux seuls, une politique de souveraineté du cloud. Ils participent néanmoins à la construction d’un socle réglementaire européen commun, destiné à mieux protéger les données, les infrastructures et les activités critiques.
La question de la souveraineté vient ainsi compléter celle de la conformité : il ne s’agit plus seulement de déterminer si un fournisseur respecte les règles européennes, mais dans quelle mesure l’Europe conserve la maîtrise des infrastructures et des technologies dont elle dépend. La souveraineté du cloud devient ainsi un levier de résilience, de compétitivité et d’autonomie stratégique, dépassant largement le seul cadre de la cybersécurité.
D. Les acteurs qui façonnent la souveraineté du cloud en Europe
La définition de la souveraineté du cloud ne relève pas d’une seule institution. Elle résulte d’interactions entre de nombreux acteurs, dont les objectifs ne sont pas toujours convergents.
Au niveau politique, la Commission européenne joue un rôle central. Elle définit les grandes orientations de la stratégie numérique européenne, pilote les politiques industrielles liées au numérique et propose les initiatives législatives destinées à renforcer la compétitivité et la résilience de l’écosystème européen. C’est notamment dans ce cadre qu’ont été lancés des travaux tels que le Cloud Sovereignty Framework, développé dans 2e partie de cet article, destiné à intégrer des critères de souveraineté dans les achats publics européens de services cloud.
Sur le volet technique, l’ENISA, l’Agence de l’Union européenne pour la cybersécurité, est chargée de l’élaboration des schémas européens de certification prévus par le Cybersecurity Act. À ce titre, elle pilote les travaux relatifs à l’EUCS (European Cybersecurity Certification Scheme for Cloud Services), également développé dans la 2e partie cet article, dont l’objectif est d’harmoniser les exigences de cybersécurité applicables aux services cloud au sein de l’Union européenne.
Les États membres participent également activement à ces travaux, mais avec des sensibilités différentes. La France défend historiquement une approche exigeante de la souveraineté, intégrant des considérations juridiques, organisationnelles et capitalistiques. D’autres États privilégient une approche davantage centrée sur l’harmonisation du marché intérieur et la cybersécurité, estimant que des critères de souveraineté trop stricts pourraient constituer des obstacles à la concurrence ou à l’innovation.
Dans ce contexte, l’ANSSI continue d’exercer une influence importante grâce à son retour d’expérience acquis avec le SecNumCloud. Bien que ce référentiel soit national, il constitue une référence dans les discussions européennes sur les exigences applicables aux offres cloud destinées aux usages sensibles.
Enfin, les industriels occupent une place déterminante dans ces débats. Les fournisseurs européens, les hyperscalers internationaux, les opérateurs télécoms, les organisations professionnelles ainsi que différents groupes de représentation défendent des visions parfois divergentes de la souveraineté. Les fournisseurs européens plaident généralement pour des critères renforçant l’autonomie industrielle européenne, tandis que les hyperscalers mettent davantage en avant les garanties techniques qu’ils proposent, comme le chiffrement, la gestion des clés ou les partenariats avec des opérateurs européens.
Ces échanges illustrent que la souveraineté du cloud ne constitue pas uniquement un sujet technique : elle résulte également de compromis économiques, politiques et industriels.
E. L’absence de consensus européen sur la définition de la souveraineté du cloud
Cette diversité d’acteurs et d’intérêts explique pourquoi il n’existe aujourd’hui aucune définition universellement admise du « cloud souverain ».
Pour certains, la souveraineté repose avant tout sur la maîtrise juridique et l’absence de soumission à des législations extraterritoriales. Pour d’autres, elle résulte principalement d’un haut niveau de cybersécurité, indépendamment de la nationalité du fournisseur. D’autres encore adoptent une vision plus globale, intégrant également les dimensions industrielles, technologiques, opérationnelles ou encore économiques.
Les travaux actuellement menés autour de l’EUCS et du Cloud Sovereignty Framework illustrent précisément cette évolution : le débat ne porte plus uniquement sur la protection des données, mais sur la manière dont l’Europe entend définir, mesurer et renforcer sa souveraineté numérique à long terme.
Rendez-vous semaine prochaine pour la suite de notre analyse sur ces deux travaux européens !
Image d’illustration par Tung Nguyen de Pixabay
Besoin d’un accompagnement personnalisé sur vos sujets cybersécurité ?
