Hébergement souverain et qualification SecNumCloud : les repères

« À nos yeux, la qualification a surtout apporté une preuve claire pour les contrats les plus sensibles. »

Alice D.

Source : ANSSI, « SecNumCloud 3.2 », 2022 ; CNIL, « Recommandations cloud et données », 2023 ; Cour de justice de l’Union européenne, « Schrems II », 2020.

Cette expérience montre qu’un projet solide se construit autant dans la préparation que dans le choix du fournisseur. La souveraineté utile repose sur cette patience méthodique, pas sur un slogan commercial.

À retenir pour la mise en œuvre :

• Contrats lisibles et droits d’audit
• Tests réguliers de restauration
• Documentation technique maintenue à jour
• Formation conjointe des métiers et de la DSI

Le dernier mot revient donc à la discipline opérationnelle : sans elle, même une offre qualifiée reste fragile face aux usages réels.

Former les équipes et arbitrer le coût réel

Ce point prolonge l’étape précédente, car une infrastructure cloud n’a de valeur que si les équipes savent l’exploiter. Les formations évitent les mauvaises surprises sur les droits d’accès, les journaux ou les sauvegardes.

Le coût facial d’une offre qualifiée peut sembler supérieur, mais le comparatif sérieux inclut aussi les incidents, les sanctions potentielles et la sortie d’un écosystème fermé. Dans cette lecture, le cloud français devient souvent un choix de maîtrise plus qu’un simple achat technique.

Selon des professionnels du secteur, cette maturité change la discussion avec les directions générales. On ne parle plus seulement d’achat informatique, mais de continuité d’activité, de souveraineté et de preuves d’audit.

« À nos yeux, la qualification a surtout apporté une preuve claire pour les contrats les plus sensibles. »

Alice D.

Source : ANSSI, « SecNumCloud 3.2 », 2022 ; CNIL, « Recommandations cloud et données », 2023 ; Cour de justice de l’Union européenne, « Schrems II », 2020.

« Nous avons préparé la sortie dès la signature, et cela a évité trois semaines de blocage plus tard. »

Paul N.

Cette expérience montre qu’un projet solide se construit autant dans la préparation que dans le choix du fournisseur. La souveraineté utile repose sur cette patience méthodique, pas sur un slogan commercial.

À retenir pour la mise en œuvre :

• Contrats lisibles et droits d’audit
• Tests réguliers de restauration
• Documentation technique maintenue à jour
• Formation conjointe des métiers et de la DSI

Le dernier mot revient donc à la discipline opérationnelle : sans elle, même une offre qualifiée reste fragile face aux usages réels.

Former les équipes et arbitrer le coût réel

Ce point prolonge l’étape précédente, car une infrastructure cloud n’a de valeur que si les équipes savent l’exploiter. Les formations évitent les mauvaises surprises sur les droits d’accès, les journaux ou les sauvegardes.

Le coût facial d’une offre qualifiée peut sembler supérieur, mais le comparatif sérieux inclut aussi les incidents, les sanctions potentielles et la sortie d’un écosystème fermé. Dans cette lecture, le cloud français devient souvent un choix de maîtrise plus qu’un simple achat technique.

Selon des professionnels du secteur, cette maturité change la discussion avec les directions générales. On ne parle plus seulement d’achat informatique, mais de continuité d’activité, de souveraineté et de preuves d’audit.

« À nos yeux, la qualification a surtout apporté une preuve claire pour les contrats les plus sensibles. »

Alice D.

Source : ANSSI, « SecNumCloud 3.2 », 2022 ; CNIL, « Recommandations cloud et données », 2023 ; Cour de justice de l’Union européenne, « Schrems II », 2020.

« Le passage à une offre qualifiée a simplifié nos audits et nos échanges avec les équipes conformité. »

Claire B.

Tableau des usages et des niveaux de prudence

Ce second tableau complète le précédent, en rendant la lecture opérationnelle pour une direction informatique. Il aide à relier le niveau de sensibilité des données à la bonne classe de service.

Usage	Risque dominant	Niveau conseillé	Point de vigilance
Site vitrine	Faible	Opérateur européen sérieux	Dépendances externes
Portail interne	Modéré	Cloud européen maîtrisé	Accès et journalisation
Données sensibles	Élevé	SecNumCloud	Contrôle juridique
Traitements régulés	Très élevé	Qualification indispensable	Réversibilité et audit

Selon les recommandations publiques, ce type de grille évite les surenchères inutiles et les compromis dangereux. La dernière partie montre comment passer du diagnostic à l’action, sans figer l’architecture.

Le sujet devient alors très concret : quels gestes entreprendre pour réduire le risque sans tout reconstruire d’un bloc ?

Passer à un hébergement souverain sans bloquer les projets

Ce dernier angle prolonge la comparaison précédente, car la migration réussie commence souvent par des dépendances simples. Les équipes gagnent du temps quand elles retirent d’abord les briques faciles à remplacer, puis elles traitent les services critiques.

Selon l’ANSSI et les orientations sectorielles, la cartographie des dépendances, la réversibilité et la gestion des prestataires constituent des bases solides. Cette méthode soutient aussi la gestion des risques, au lieu de laisser les choix techniques s’accumuler par habitude.

À retenir pour avancer :

• Cartographie réelle des dépendances techniques
• Suppression des services gratuits substituables
• Choix du niveau de qualification adapté
• Documentation de sortie et de continuité

Une DSI peut, par exemple, remplacer d’abord les polices externes, les traceurs et l’analytique, avant de revoir l’hébergement central. Ce séquençage limite les coûts, tout en renforçant la protection des données de manière visible.

Migrer par étapes et sécuriser la réversibilité

Ce sous-point découle directement de la méthode, car la réversibilité est souvent négligée jusqu’au jour du départ. Pourtant, sans formats ouverts ni API claires, le changement de fournisseur devient long et coûteux.

Un DSI d’entreprise m’expliquait avoir testé sa sortie avant même la mise en production, ce qui a révélé des dépendances oubliées dans le DNS et le stockage. Selon les cadres NIS2 et DORA, cette discipline n’est plus accessoire.

« Nous avons préparé la sortie dès la signature, et cela a évité trois semaines de blocage plus tard. »

Paul N.

Cette expérience montre qu’un projet solide se construit autant dans la préparation que dans le choix du fournisseur. La souveraineté utile repose sur cette patience méthodique, pas sur un slogan commercial.

À retenir pour la mise en œuvre :

• Contrats lisibles et droits d’audit
• Tests réguliers de restauration
• Documentation technique maintenue à jour
• Formation conjointe des métiers et de la DSI

Le dernier mot revient donc à la discipline opérationnelle : sans elle, même une offre qualifiée reste fragile face aux usages réels.

Former les équipes et arbitrer le coût réel

Ce point prolonge l’étape précédente, car une infrastructure cloud n’a de valeur que si les équipes savent l’exploiter. Les formations évitent les mauvaises surprises sur les droits d’accès, les journaux ou les sauvegardes.

Le coût facial d’une offre qualifiée peut sembler supérieur, mais le comparatif sérieux inclut aussi les incidents, les sanctions potentielles et la sortie d’un écosystème fermé. Dans cette lecture, le cloud français devient souvent un choix de maîtrise plus qu’un simple achat technique.

Selon des professionnels du secteur, cette maturité change la discussion avec les directions générales. On ne parle plus seulement d’achat informatique, mais de continuité d’activité, de souveraineté et de preuves d’audit.

« À nos yeux, la qualification a surtout apporté une preuve claire pour les contrats les plus sensibles. »

Alice D.

Source : ANSSI, « SecNumCloud 3.2 », 2022 ; CNIL, « Recommandations cloud et données », 2023 ; Cour de justice de l’Union européenne, « Schrems II », 2020.

Cette expérience résume bien l’enjeu : la souveraineté se mesure dans la chaîne de contrôle, pas dans un simple drapeau affiché sur une page commerciale. C’est aussi ce qui distingue SecNumCloud d’une promesse marketing.

À retenir sur la territorialité :

• Droit applicable plus décisif que la carte du datacenter
• Contrôle capitalistique à vérifier systématiquement
• Flux techniques à cartographier avant toute migration

Une fois ce cadre posé, le vrai sujet devient le marché, ses acteurs et la manière de lire les qualifications sans se tromper d’échelle.

SecNumCloud face à ISO 27001 et HDS

Ce comparatif s’impose naturellement après la territorialité, car les référentiels ne répondent pas aux mêmes besoins. ISO 27001 structure le management de la sécurité, tandis que HDS cible l’hébergement de santé sans couvrir à lui seul l’immunité extraterritoriale.

Selon l’ANSSI, SecNumCloud va plus loin, puisqu’il associe exigences de sécurité, maîtrise des accès et contraintes de souveraineté. Pour un établissement de santé, une banque ou une administration, cette différence peut changer le cahier des charges.

Référentiel	Objectif principal	Immunité juridique	Usage typique
SecNumCloud	Sécurité et souveraineté	Oui, exigée	Données sensibles et régulées
ISO 27001	Management de la sécurité	Non	Organisation générale
HDS	Hébergement santé	Non systématique	Activités médicales
Cloud de confiance	Cadre contractuel renforcé	Partielle ou en construction	Usages intermédiaires

Ce tableau évite une erreur fréquente : croire qu’un label de sécurité équivaut à une immunité complète. L’étape suivante consiste donc à regarder quels fournisseurs répondent réellement à ces critères aujourd’hui.

Le marché devient lisible seulement quand on sépare qualification effective, démarche engagée et simple compatibilité commerciale.

Les fournisseurs de cloud français et européen à examiner

Après la lecture des référentiels, le choix se resserre autour d’acteurs précis. Selon l’ANSSI, la liste des prestataires qualifiés évolue, mais plusieurs noms reviennent régulièrement dans les projets sensibles.

Dans une équipe achats, un tableau comparatif change souvent la discussion plus vite qu’un long discours. On ne parle plus d’intention, mais de périmètre, d’usage et de niveau d’engagement réel dans la certification.

À retenir sur les acteurs :

• OVHcloud pour une gamme large
• Outscale pour les charges critiques
• Cloud Temple pour les secteurs régulés
• NumSpot et Oodrive pour usages spécialisés
• Scaleway en démarche qualifiante

Selon des retours de terrain publiés par des acteurs du secteur, la décision dépend moins du prestige du nom que de l’adéquation fonctionnelle. Une offre peut être excellente sans couvrir tous les besoins d’un logiciel métier exigeant.

Comparer les usages, pas seulement les marques

Cette logique prolonge le travail du premier tableau, car un cloud français n’offre pas toujours les mêmes services qu’un hyperscaler américain. Les équipes techniques doivent donc tester les limites fonctionnelles avant de signer.

Dans un projet récent de collectivité, la question n’était pas la puissance brute, mais la réversibilité et la capacité à documenter les dépendances. Selon la CNIL, cette démarche soutient aussi la conformité réglementaire dans la durée.

À retenir pour comparer :

• Couverture fonctionnelle exacte du service
• Niveau de qualification par usage
• Réversibilité contractuelle et technique
• Compatibilité avec NIS2 et DORA

Le bon arbitrage ne consiste donc pas à choisir le plus connu, mais le plus adapté au risque traité. Cette logique mène directement aux contraintes juridiques qui pèsent sur les organisations en 2026.

« Le passage à une offre qualifiée a simplifié nos audits et nos échanges avec les équipes conformité. »

Claire B.

Tableau des usages et des niveaux de prudence

Ce second tableau complète le précédent, en rendant la lecture opérationnelle pour une direction informatique. Il aide à relier le niveau de sensibilité des données à la bonne classe de service.

Usage	Risque dominant	Niveau conseillé	Point de vigilance
Site vitrine	Faible	Opérateur européen sérieux	Dépendances externes
Portail interne	Modéré	Cloud européen maîtrisé	Accès et journalisation
Données sensibles	Élevé	SecNumCloud	Contrôle juridique
Traitements régulés	Très élevé	Qualification indispensable	Réversibilité et audit

Selon les recommandations publiques, ce type de grille évite les surenchères inutiles et les compromis dangereux. La dernière partie montre comment passer du diagnostic à l’action, sans figer l’architecture.

Le sujet devient alors très concret : quels gestes entreprendre pour réduire le risque sans tout reconstruire d’un bloc ?

Passer à un hébergement souverain sans bloquer les projets

Ce dernier angle prolonge la comparaison précédente, car la migration réussie commence souvent par des dépendances simples. Les équipes gagnent du temps quand elles retirent d’abord les briques faciles à remplacer, puis elles traitent les services critiques.

Selon l’ANSSI et les orientations sectorielles, la cartographie des dépendances, la réversibilité et la gestion des prestataires constituent des bases solides. Cette méthode soutient aussi la gestion des risques, au lieu de laisser les choix techniques s’accumuler par habitude.

À retenir pour avancer :

• Cartographie réelle des dépendances techniques
• Suppression des services gratuits substituables
• Choix du niveau de qualification adapté
• Documentation de sortie et de continuité

Une DSI peut, par exemple, remplacer d’abord les polices externes, les traceurs et l’analytique, avant de revoir l’hébergement central. Ce séquençage limite les coûts, tout en renforçant la protection des données de manière visible.

Migrer par étapes et sécuriser la réversibilité

Ce sous-point découle directement de la méthode, car la réversibilité est souvent négligée jusqu’au jour du départ. Pourtant, sans formats ouverts ni API claires, le changement de fournisseur devient long et coûteux.

Un DSI d’entreprise m’expliquait avoir testé sa sortie avant même la mise en production, ce qui a révélé des dépendances oubliées dans le DNS et le stockage. Selon les cadres NIS2 et DORA, cette discipline n’est plus accessoire.

« Nous avons préparé la sortie dès la signature, et cela a évité trois semaines de blocage plus tard. »

Paul N.

Cette expérience montre qu’un projet solide se construit autant dans la préparation que dans le choix du fournisseur. La souveraineté utile repose sur cette patience méthodique, pas sur un slogan commercial.

À retenir pour la mise en œuvre :

• Contrats lisibles et droits d’audit
• Tests réguliers de restauration
• Documentation technique maintenue à jour
• Formation conjointe des métiers et de la DSI

Le dernier mot revient donc à la discipline opérationnelle : sans elle, même une offre qualifiée reste fragile face aux usages réels.

Former les équipes et arbitrer le coût réel

Ce point prolonge l’étape précédente, car une infrastructure cloud n’a de valeur que si les équipes savent l’exploiter. Les formations évitent les mauvaises surprises sur les droits d’accès, les journaux ou les sauvegardes.

Le coût facial d’une offre qualifiée peut sembler supérieur, mais le comparatif sérieux inclut aussi les incidents, les sanctions potentielles et la sortie d’un écosystème fermé. Dans cette lecture, le cloud français devient souvent un choix de maîtrise plus qu’un simple achat technique.

Selon des professionnels du secteur, cette maturité change la discussion avec les directions générales. On ne parle plus seulement d’achat informatique, mais de continuité d’activité, de souveraineté et de preuves d’audit.

« À nos yeux, la qualification a surtout apporté une preuve claire pour les contrats les plus sensibles. »

Alice D.

Source : ANSSI, « SecNumCloud 3.2 », 2022 ; CNIL, « Recommandations cloud et données », 2023 ; Cour de justice de l’Union européenne, « Schrems II », 2020.

« J’ai conservé l’hébergement en Europe, mais j’ai découvert que l’opérateur n’échappait pas aux contraintes étrangères. »

Marc L.

Cette expérience résume bien l’enjeu : la souveraineté se mesure dans la chaîne de contrôle, pas dans un simple drapeau affiché sur une page commerciale. C’est aussi ce qui distingue SecNumCloud d’une promesse marketing.

À retenir sur la territorialité :

• Droit applicable plus décisif que la carte du datacenter
• Contrôle capitalistique à vérifier systématiquement
• Flux techniques à cartographier avant toute migration

Une fois ce cadre posé, le vrai sujet devient le marché, ses acteurs et la manière de lire les qualifications sans se tromper d’échelle.

SecNumCloud face à ISO 27001 et HDS

Ce comparatif s’impose naturellement après la territorialité, car les référentiels ne répondent pas aux mêmes besoins. ISO 27001 structure le management de la sécurité, tandis que HDS cible l’hébergement de santé sans couvrir à lui seul l’immunité extraterritoriale.

Selon l’ANSSI, SecNumCloud va plus loin, puisqu’il associe exigences de sécurité, maîtrise des accès et contraintes de souveraineté. Pour un établissement de santé, une banque ou une administration, cette différence peut changer le cahier des charges.

Référentiel	Objectif principal	Immunité juridique	Usage typique
SecNumCloud	Sécurité et souveraineté	Oui, exigée	Données sensibles et régulées
ISO 27001	Management de la sécurité	Non	Organisation générale
HDS	Hébergement santé	Non systématique	Activités médicales
Cloud de confiance	Cadre contractuel renforcé	Partielle ou en construction	Usages intermédiaires

Ce tableau évite une erreur fréquente : croire qu’un label de sécurité équivaut à une immunité complète. L’étape suivante consiste donc à regarder quels fournisseurs répondent réellement à ces critères aujourd’hui.

Le marché devient lisible seulement quand on sépare qualification effective, démarche engagée et simple compatibilité commerciale.

Les fournisseurs de cloud français et européen à examiner

Après la lecture des référentiels, le choix se resserre autour d’acteurs précis. Selon l’ANSSI, la liste des prestataires qualifiés évolue, mais plusieurs noms reviennent régulièrement dans les projets sensibles.

Dans une équipe achats, un tableau comparatif change souvent la discussion plus vite qu’un long discours. On ne parle plus d’intention, mais de périmètre, d’usage et de niveau d’engagement réel dans la certification.

À retenir sur les acteurs :

• OVHcloud pour une gamme large
• Outscale pour les charges critiques
• Cloud Temple pour les secteurs régulés
• NumSpot et Oodrive pour usages spécialisés
• Scaleway en démarche qualifiante

Selon des retours de terrain publiés par des acteurs du secteur, la décision dépend moins du prestige du nom que de l’adéquation fonctionnelle. Une offre peut être excellente sans couvrir tous les besoins d’un logiciel métier exigeant.

Comparer les usages, pas seulement les marques

Cette logique prolonge le travail du premier tableau, car un cloud français n’offre pas toujours les mêmes services qu’un hyperscaler américain. Les équipes techniques doivent donc tester les limites fonctionnelles avant de signer.

Dans un projet récent de collectivité, la question n’était pas la puissance brute, mais la réversibilité et la capacité à documenter les dépendances. Selon la CNIL, cette démarche soutient aussi la conformité réglementaire dans la durée.

À retenir pour comparer :

• Couverture fonctionnelle exacte du service
• Niveau de qualification par usage
• Réversibilité contractuelle et technique
• Compatibilité avec NIS2 et DORA

Le bon arbitrage ne consiste donc pas à choisir le plus connu, mais le plus adapté au risque traité. Cette logique mène directement aux contraintes juridiques qui pèsent sur les organisations en 2026.

« Le passage à une offre qualifiée a simplifié nos audits et nos échanges avec les équipes conformité. »

Claire B.

Tableau des usages et des niveaux de prudence

Ce second tableau complète le précédent, en rendant la lecture opérationnelle pour une direction informatique. Il aide à relier le niveau de sensibilité des données à la bonne classe de service.

Usage	Risque dominant	Niveau conseillé	Point de vigilance
Site vitrine	Faible	Opérateur européen sérieux	Dépendances externes
Portail interne	Modéré	Cloud européen maîtrisé	Accès et journalisation
Données sensibles	Élevé	SecNumCloud	Contrôle juridique
Traitements régulés	Très élevé	Qualification indispensable	Réversibilité et audit

Selon les recommandations publiques, ce type de grille évite les surenchères inutiles et les compromis dangereux. La dernière partie montre comment passer du diagnostic à l’action, sans figer l’architecture.

Le sujet devient alors très concret : quels gestes entreprendre pour réduire le risque sans tout reconstruire d’un bloc ?

Passer à un hébergement souverain sans bloquer les projets

Ce dernier angle prolonge la comparaison précédente, car la migration réussie commence souvent par des dépendances simples. Les équipes gagnent du temps quand elles retirent d’abord les briques faciles à remplacer, puis elles traitent les services critiques.

Selon l’ANSSI et les orientations sectorielles, la cartographie des dépendances, la réversibilité et la gestion des prestataires constituent des bases solides. Cette méthode soutient aussi la gestion des risques, au lieu de laisser les choix techniques s’accumuler par habitude.

À retenir pour avancer :

• Cartographie réelle des dépendances techniques
• Suppression des services gratuits substituables
• Choix du niveau de qualification adapté
• Documentation de sortie et de continuité

Une DSI peut, par exemple, remplacer d’abord les polices externes, les traceurs et l’analytique, avant de revoir l’hébergement central. Ce séquençage limite les coûts, tout en renforçant la protection des données de manière visible.

Migrer par étapes et sécuriser la réversibilité

Ce sous-point découle directement de la méthode, car la réversibilité est souvent négligée jusqu’au jour du départ. Pourtant, sans formats ouverts ni API claires, le changement de fournisseur devient long et coûteux.

Un DSI d’entreprise m’expliquait avoir testé sa sortie avant même la mise en production, ce qui a révélé des dépendances oubliées dans le DNS et le stockage. Selon les cadres NIS2 et DORA, cette discipline n’est plus accessoire.

« Nous avons préparé la sortie dès la signature, et cela a évité trois semaines de blocage plus tard. »

Paul N.

Cette expérience montre qu’un projet solide se construit autant dans la préparation que dans le choix du fournisseur. La souveraineté utile repose sur cette patience méthodique, pas sur un slogan commercial.

À retenir pour la mise en œuvre :

• Contrats lisibles et droits d’audit
• Tests réguliers de restauration
• Documentation technique maintenue à jour
• Formation conjointe des métiers et de la DSI

Le dernier mot revient donc à la discipline opérationnelle : sans elle, même une offre qualifiée reste fragile face aux usages réels.

Former les équipes et arbitrer le coût réel

Ce point prolonge l’étape précédente, car une infrastructure cloud n’a de valeur que si les équipes savent l’exploiter. Les formations évitent les mauvaises surprises sur les droits d’accès, les journaux ou les sauvegardes.

Le coût facial d’une offre qualifiée peut sembler supérieur, mais le comparatif sérieux inclut aussi les incidents, les sanctions potentielles et la sortie d’un écosystème fermé. Dans cette lecture, le cloud français devient souvent un choix de maîtrise plus qu’un simple achat technique.

Selon des professionnels du secteur, cette maturité change la discussion avec les directions générales. On ne parle plus seulement d’achat informatique, mais de continuité d’activité, de souveraineté et de preuves d’audit.

« À nos yeux, la qualification a surtout apporté une preuve claire pour les contrats les plus sensibles. »

Alice D.

Source : ANSSI, « SecNumCloud 3.2 », 2022 ; CNIL, « Recommandations cloud et données », 2023 ; Cour de justice de l’Union européenne, « Schrems II », 2020.

Un hébergement souverain ne se résume pas à une adresse de serveurs en Europe. La vraie question porte sur le droit applicable, l’opérateur qui exploite l’infrastructure cloud, et la capacité réelle à protéger les données des lois extraterritoriales.

Dans les projets sensibles, la qualification SecNumCloud sert de repère concret, parce qu’elle relie sécurité des données, gouvernance et conformité réglementaire. Quand une direction informatique doit trancher, le bon réflexe consiste à regarder qui contrôle le service, puis à suivre les exigences qui mènent vers A retenir :

A retenir :

• Territorialité juridique des données et opérateur
• Protection contre Cloud Act et FISA 702
• SecNumCloud comme repère de confiance
• Choix selon sensibilité et gestion des risques
• Cloud français, alternatives européennes et réversibilité

Le premier repère utile consiste à distinguer l’emplacement physique d’un service et sa soumission juridique. Cette nuance change tout pour un cloud français ou européen, car la souveraineté dépend d’abord du contrôle réel de l’opérateur.

Comprendre l’hébergement souverain et le périmètre SecNumCloud

Ce point de départ éclaire le reste, car beaucoup de projets confondent sécurité technique et souveraineté juridique. Selon l’ANSSI, la qualification SecNumCloud encadre des exigences élevées sur l’accès, le chiffrement, la résilience et les dépendances externes.

Un responsable d’association m’a un jour décrit un audit douloureux : son site était hébergé à Francfort, mais l’éditeur restait exposé à une législation étrangère. Cette situation illustre une réalité simple, souvent sous-estimée par les équipes qui cherchent seulement une infrastructure cloud rassurante.

À retenir sur le périmètre :

• Localisation européenne des données et sauvegardes
• Opérateur soumis au droit européen
• Absence d’exposition aux lois extraterritoriales
• Vérification du périmètre exact de l’offre

Selon la CNIL, la seule géographie ne suffit pas à qualifier un service de souverain. Ce qui compte, c’est l’immunité juridique effective, surtout quand la protection des données touche des activités publiques, médicales ou financières.

Cette lecture juridique prépare le passage vers les offres disponibles, car le marché français n’est plus théorique. Il existe désormais plusieurs solutions qualifiées, avec des usages bien distincts et des niveaux d’engagement variables.

Territorialité juridique et données sensibles

Ce sous-point prolonge la définition précédente, en montrant pourquoi la localisation seule reste trompeuse. Un site peut être hébergé en France et demeurer vulnérable si son opérateur dépend d’un groupe soumis au droit américain.

Selon la jurisprudence et les analyses publiques de référence, ce risque existe même lorsque les données restent techniquement stockées en Europe. Pour une PME, cela signifie que le choix d’un fournisseur ne se fait jamais sur la seule proximité géographique.

« J’ai conservé l’hébergement en Europe, mais j’ai découvert que l’opérateur n’échappait pas aux contraintes étrangères. »

Marc L.

Cette expérience résume bien l’enjeu : la souveraineté se mesure dans la chaîne de contrôle, pas dans un simple drapeau affiché sur une page commerciale. C’est aussi ce qui distingue SecNumCloud d’une promesse marketing.

À retenir sur la territorialité :

• Droit applicable plus décisif que la carte du datacenter
• Contrôle capitalistique à vérifier systématiquement
• Flux techniques à cartographier avant toute migration

Une fois ce cadre posé, le vrai sujet devient le marché, ses acteurs et la manière de lire les qualifications sans se tromper d’échelle.

SecNumCloud face à ISO 27001 et HDS

Ce comparatif s’impose naturellement après la territorialité, car les référentiels ne répondent pas aux mêmes besoins. ISO 27001 structure le management de la sécurité, tandis que HDS cible l’hébergement de santé sans couvrir à lui seul l’immunité extraterritoriale.

Selon l’ANSSI, SecNumCloud va plus loin, puisqu’il associe exigences de sécurité, maîtrise des accès et contraintes de souveraineté. Pour un établissement de santé, une banque ou une administration, cette différence peut changer le cahier des charges.

Référentiel	Objectif principal	Immunité juridique	Usage typique
SecNumCloud	Sécurité et souveraineté	Oui, exigée	Données sensibles et régulées
ISO 27001	Management de la sécurité	Non	Organisation générale
HDS	Hébergement santé	Non systématique	Activités médicales
Cloud de confiance	Cadre contractuel renforcé	Partielle ou en construction	Usages intermédiaires

Ce tableau évite une erreur fréquente : croire qu’un label de sécurité équivaut à une immunité complète. L’étape suivante consiste donc à regarder quels fournisseurs répondent réellement à ces critères aujourd’hui.

Le marché devient lisible seulement quand on sépare qualification effective, démarche engagée et simple compatibilité commerciale.

Les fournisseurs de cloud français et européen à examiner

Après la lecture des référentiels, le choix se resserre autour d’acteurs précis. Selon l’ANSSI, la liste des prestataires qualifiés évolue, mais plusieurs noms reviennent régulièrement dans les projets sensibles.

Dans une équipe achats, un tableau comparatif change souvent la discussion plus vite qu’un long discours. On ne parle plus d’intention, mais de périmètre, d’usage et de niveau d’engagement réel dans la certification.

À retenir sur les acteurs :

• OVHcloud pour une gamme large
• Outscale pour les charges critiques
• Cloud Temple pour les secteurs régulés
• NumSpot et Oodrive pour usages spécialisés
• Scaleway en démarche qualifiante

Selon des retours de terrain publiés par des acteurs du secteur, la décision dépend moins du prestige du nom que de l’adéquation fonctionnelle. Une offre peut être excellente sans couvrir tous les besoins d’un logiciel métier exigeant.

Comparer les usages, pas seulement les marques

Cette logique prolonge le travail du premier tableau, car un cloud français n’offre pas toujours les mêmes services qu’un hyperscaler américain. Les équipes techniques doivent donc tester les limites fonctionnelles avant de signer.

Dans un projet récent de collectivité, la question n’était pas la puissance brute, mais la réversibilité et la capacité à documenter les dépendances. Selon la CNIL, cette démarche soutient aussi la conformité réglementaire dans la durée.

À retenir pour comparer :

• Couverture fonctionnelle exacte du service
• Niveau de qualification par usage
• Réversibilité contractuelle et technique
• Compatibilité avec NIS2 et DORA

Le bon arbitrage ne consiste donc pas à choisir le plus connu, mais le plus adapté au risque traité. Cette logique mène directement aux contraintes juridiques qui pèsent sur les organisations en 2026.

« Le passage à une offre qualifiée a simplifié nos audits et nos échanges avec les équipes conformité. »

Claire B.

Tableau des usages et des niveaux de prudence

Ce second tableau complète le précédent, en rendant la lecture opérationnelle pour une direction informatique. Il aide à relier le niveau de sensibilité des données à la bonne classe de service.

Usage	Risque dominant	Niveau conseillé	Point de vigilance
Site vitrine	Faible	Opérateur européen sérieux	Dépendances externes
Portail interne	Modéré	Cloud européen maîtrisé	Accès et journalisation
Données sensibles	Élevé	SecNumCloud	Contrôle juridique
Traitements régulés	Très élevé	Qualification indispensable	Réversibilité et audit

Selon les recommandations publiques, ce type de grille évite les surenchères inutiles et les compromis dangereux. La dernière partie montre comment passer du diagnostic à l’action, sans figer l’architecture.

Le sujet devient alors très concret : quels gestes entreprendre pour réduire le risque sans tout reconstruire d’un bloc ?

Passer à un hébergement souverain sans bloquer les projets

Ce dernier angle prolonge la comparaison précédente, car la migration réussie commence souvent par des dépendances simples. Les équipes gagnent du temps quand elles retirent d’abord les briques faciles à remplacer, puis elles traitent les services critiques.

Selon l’ANSSI et les orientations sectorielles, la cartographie des dépendances, la réversibilité et la gestion des prestataires constituent des bases solides. Cette méthode soutient aussi la gestion des risques, au lieu de laisser les choix techniques s’accumuler par habitude.

À retenir pour avancer :

• Cartographie réelle des dépendances techniques
• Suppression des services gratuits substituables
• Choix du niveau de qualification adapté
• Documentation de sortie et de continuité

Une DSI peut, par exemple, remplacer d’abord les polices externes, les traceurs et l’analytique, avant de revoir l’hébergement central. Ce séquençage limite les coûts, tout en renforçant la protection des données de manière visible.

Migrer par étapes et sécuriser la réversibilité

Ce sous-point découle directement de la méthode, car la réversibilité est souvent négligée jusqu’au jour du départ. Pourtant, sans formats ouverts ni API claires, le changement de fournisseur devient long et coûteux.

Un DSI d’entreprise m’expliquait avoir testé sa sortie avant même la mise en production, ce qui a révélé des dépendances oubliées dans le DNS et le stockage. Selon les cadres NIS2 et DORA, cette discipline n’est plus accessoire.

« Nous avons préparé la sortie dès la signature, et cela a évité trois semaines de blocage plus tard. »

Paul N.

Cette expérience montre qu’un projet solide se construit autant dans la préparation que dans le choix du fournisseur. La souveraineté utile repose sur cette patience méthodique, pas sur un slogan commercial.

À retenir pour la mise en œuvre :

• Contrats lisibles et droits d’audit
• Tests réguliers de restauration
• Documentation technique maintenue à jour
• Formation conjointe des métiers et de la DSI

Le dernier mot revient donc à la discipline opérationnelle : sans elle, même une offre qualifiée reste fragile face aux usages réels.

Former les équipes et arbitrer le coût réel

Ce point prolonge l’étape précédente, car une infrastructure cloud n’a de valeur que si les équipes savent l’exploiter. Les formations évitent les mauvaises surprises sur les droits d’accès, les journaux ou les sauvegardes.

Le coût facial d’une offre qualifiée peut sembler supérieur, mais le comparatif sérieux inclut aussi les incidents, les sanctions potentielles et la sortie d’un écosystème fermé. Dans cette lecture, le cloud français devient souvent un choix de maîtrise plus qu’un simple achat technique.

Selon des professionnels du secteur, cette maturité change la discussion avec les directions générales. On ne parle plus seulement d’achat informatique, mais de continuité d’activité, de souveraineté et de preuves d’audit.

« À nos yeux, la qualification a surtout apporté une preuve claire pour les contrats les plus sensibles. »

Alice D.

Source : ANSSI, « SecNumCloud 3.2 », 2022 ; CNIL, « Recommandations cloud et données », 2023 ; Cour de justice de l’Union européenne, « Schrems II », 2020.