La souveraineté, appliquée au domaine du Cloud, consiste à tirer parti de ce service avantages tout en en gardant la maîtrise juridique, technique et opérationnelle, en particulier face aux lois extraterritoriales et à la dépendance envers des prestataires étrangers. Avec les tensions géopolitiques actuelles, il s’agit d’un enjeu stratégique pour préserver l’autonomie de décision de la France et de l’Europe. C’est dans cette perspective que s’inscrit cette présentation, qui vise à rappeler les grands concepts de souveraineté cloud, présenter 2 référentiels clés à savoir l’European Union Cybersecurity Certification Scheme for Cloud Services (EUCS) et le Cloud Sovereignty Framework et dessiner les perspectives d’évolution de la stratégie de cloud souverain européen.
Dans ce troisième et dernier article, nous revenons sur cette trajectoire : du cloud souverain vers une approche plus large de la souveraineté technologique européenne.
Une question reste alors ouverte : l’Europe cherche-t-elle à construire un cloud souverain, ou les fondations d’une véritable autonomie technologique ?
Table des matières
III. Conclusion et perspectives
L’étude de la souveraineté européenne du cloud met en évidence une difficulté centrale : l’Union européenne peine encore à établir une définition commune et opérationnelle de la souveraineté du cloud. Si l’objectif de réduire les dépendances technologiques et de renforcer la maîtrise des infrastructures numériques fait aujourd’hui consensus, les moyens d’y parvenir restent sujets à débat, notamment sur l’équilibre entre ouverture du marché, compétitivité des acteurs européens et exigences de contrôle stratégique.
A. La recherche progressive d’un modèle de conception partagé de la « souveraineté européenne du cloud »
L’évolution des initiatives européennes illustre cette recherche progressive d’un modèle partagé.
Une première étape a été franchie au niveau national français, qui a démontré, à travers le référentiel SecNumCloud, qu’il était possible d’imposer des exigences fortes en matière de souveraineté, combinant sécurité technique, maîtrise juridique et protection contre les risques extraterritoriaux. Cette approche a cependant montré ses limites lorsqu’il s’agit de la transposer à l’échelle européenne, où les visions nationales divergent sur le niveau de contrainte acceptable.
Une deuxième étape correspond à la tentative d’harmonisation européenne avec l’EUCS. Pensé initialement comme un schéma européen de certification cybersécurité du cloud, l’EUCS a rapidement cristallisé les débats autour de l’intégration de critères de souveraineté. Les discussions ont révélé une opposition entre une approche principalement centrée sur la sécurité des services cloud et une approche plus large intégrant la dépendance économique, le contrôle juridique et la localisation des capacités critiques.
Une troisième étape est incarnée par le Cloud Sovereignty Framework, qui propose une approche plus globale de la souveraineté. En complément des approches centrées sur la certification, ce cadre élargit l’analyse en intégrant plusieurs dimensions complémentaires : juridique, opérationnelle, technologique et stratégique. Il traduit ainsi une évolution importante : la souveraineté du cloud n’est plus uniquement analysée sous l’angle technique d’un service, mais comme une capacité globale à maîtriser, contrôler et maintenir les infrastructures numériques critiques. Toutefois, cette approche multidimensionnelle soulève une question essentielle : la souveraineté du cloud européen doit-elle aboutir à un référentiel unique ou à une approche graduée ?
B.Trajectoires à court et moyen terme
Deux trajectoires restent envisageables à moyen et long terme :
- la création d’un référentiel européen unique de souveraineté cloud, permettant d’harmoniser les exigences entre États membres ;
- la mise en place de plusieurs niveaux de souveraineté, adaptés aux différents niveaux de criticité des données et des usages.
La réponse à cette question dépendra largement de la capacité des États membres à converger sur une définition partagée de ce que doit être un cloud souverain européen. L’enjeu n’est plus uniquement de déterminer où sont hébergées les données, mais d’évaluer qui contrôle les infrastructures, les technologies utilisées, les opérations réalisées et la capacité de l’Europe à maintenir ses services essentiels en situation de crise.
La prochaine étape se joue désormais à une échelle plus large que celle du cloud. Le 3 juin 2026, la Commission européenne a présenté le European Technological Sovereignty Package, qui marque un élargissement significatif de cette ambition. Le paquet associe plusieurs initiatives destinées à réduire les dépendances technologiques de l’Europe et à renforcer ses capacités industrielles dans des domaines considérés comme stratégiques : les semi-conducteurs, le cloud, l’intelligence artificielle et les technologies open source.
Pour le cloud, la proposition législative « Cloud and AI Development Act » (CADA) propose notamment de soutenir les capacités européennes de calcul et d’IA, de faciliter le déploiement de centres de données et d’introduire un cadre européen commun d’évaluation de la souveraineté du cloud et de l’IA. Cette démarche est complétée par la seconde proposition législative « Chips Act 2.0, destinée à renforcer la résilience de la chaîne européenne des semi-conducteurs, et par la stratégie européenne en faveur de l’open source publiée, qui vise à réduire les dépendances sur l’ensemble de la chaîne technologique.
Actuellement, aucune des propositions législatives n’a encore été adopté. Ils doivent encore passer devant le Parlement européen et le Conseil, où les critères de souveraineté, les obligations en matière de marchés publics et les financements feront l’objet de négociations politiques. En outre, la Commission a aussi remis en septembre 2026 son premier rapport d’évaluation du Chips Act de 2023, texte que le Chips Act 2.0 doit remplacer. Elle y souligne que si le texte de 2023 a bien mobilisé l’écosystème, les résultats concrets restent à venir. Et surtout, l’objectif d’adresser couvrir de 20 % du marché mondial paraît hors de portée.
Cette évolution confirme le changement d’échelle observé ces dernières années. La souveraineté du cloud n’est progressivement plus considérée comme un sujet isolé, mais comme l’une des composantes d’une politique européenne de souveraineté technologique. L’enjeu n’est donc plus uniquement de sécuriser les données hébergées dans le cloud, mais de disposer des capacités industrielles, technologiques et humaines nécessaires pour conserver une capacité de décision et d’action autonome sur les infrastructures numériques critiques.
Besoin d’un accompagnement personnalisé sur vos sujets cybersécurité ?
