Cloud souverain : comprendre la dépendance invisible de l’Europe
Article 2 — Comprendre le marché
Cloud souverain : comprendre la dépendance invisible de l’Europe
Dans le premier article, nous avons vu comment la France et l’Union européenne cherchent à encadrer le cloud à travers des règles, des référentiels et des instruments comme SecNumCloud, EUCS ou le Cloud Sovereignty Framework.
Mais définir des exigences ne suffit pas. Encore faut-il disposer d’un marché capable d’y répondre.
Or, le principal risque qui pèse sur la souveraineté numérique européenne n’est pas nécessairement une rupture brutale ou une attaque visible. Il tient à une dépendance progressive envers des infrastructures, des technologies et des décisions que l’Europe ne maîtrise pas entièrement.
Un marché devenu structurellement dépendant
Devenu un pilier des systèmes d'information, le cloud occupe désormais une place centrale dans le fonctionnement des entreprises et des administrations.
En 2025, 53 % des entreprises de l’Union européenne achetaient au moins un service cloud payant. Parallèlement, le marché européen des infrastructures cloud reste très concentré : AWS, Microsoft Azure et Google Cloud, représenteraient à eux 3 environ 70 %.
Cette concentration donne à quelques fournisseurs un poids considérable dans la définition des technologies, des tarifs et des conditions d’utilisation du cloud.
Cette domination des hyperscalers ne repose pas seulement sur la capacité à stocker des données mais beaucoup sur leur mise à disposition de catalogues très étendus : infrastructures, bases de données, outils de développement, cybersécurité, analyse de données et services d’intelligence artificielle.
Plus une organisation utilise ces services intégrés, plus leur remplacement devient complexe et coûteux. La dépendance est donc aussi technologique, économique et opérationnelle.
Au-delà du lieu de stockage, quatre formes de dépendance
La souveraineté ne consiste pas uniquement à savoir dans quel pays se trouve un centre de données. Un service peut être hébergé en Europe tout en restant dépendant d’une entreprise étrangère, de technologies propriétaires ou d’une chaîne d’approvisionnement difficile à remplacer.
Pour les besoins de cet article, ces dépendances peuvent être regroupées en quatre grandes catégories. Cette grille simplifiée s’inscrit dans la logique multidimensionnelle du Cloud Sovereignty Framework, sans reprendre l’intégralité de ses critères.
| Type de dépendance | Enjeu | Exemple concret |
|---|---|---|
| Économique | Concentration du marché et pouvoir de négociation limité | Une hausse tarifaire ou une évolution contractuelle difficile à contourner |
| Technologique | Utilisation de services propriétaires difficiles à remplacer | La réécriture d’une application lors d’une migration |
| Opérationnelle | Compétences et processus concentrés sur un seul écosystème | Des équipes et des procédures entièrement dépendantes d’une plateforme |
| Juridique | Application possible d’une législation étrangère | Une demande de données adressée à un fournisseur soumis au droit américain |
Quand la dépendance devient juridique
La localisation des données ne détermine pas, à elle seule, le droit applicable au fournisseur. Le CLOUD Act prévoit qu’un prestataire soumis à la juridiction américaine peut être tenu de communiquer des données qu’il contrôle dans le cadre d’une procédure juridique valide, y compris lorsqu’elles sont stockées à l’étranger.
Cela ne signifie pas que les autorités américaines disposent d’un accès automatique aux données hébergées en Europe. Cela montre en revanche qu’un stockage en France ou dans un autre État européen ne suffit pas nécessairement à soustraire les données à une législation étrangère.
Depuis 2023, le Data Privacy Framework fournit un cadre juridique permettant aux entreprises européennes de transférer des données personnelles vers les entreprises américaines participantes en imposant des garanties supplémentaires concernant l’utilisation des données, leur protection et les possibilités de recours. Il répond uniquement à la question de la légalité et de la protection des transferts : il ne supprime ni la dépendance technologique au fournisseur, ni les difficultés pour changer de plateforme, ni l’exposition éventuelle au droit américain.
Un service peut donc être juridiquement utilisable sans être pleinement souverain.
Une réponse européenne encore fragmentée
Face à ces dépendances, les États membres ne donnent pas tous le même poids aux critères de souveraineté. Certains souhaitent renforcer les exigences relatives au contrôle des fournisseurs et à leur exposition aux législations étrangères ; d’autres privilégient davantage l’ouverture du marché et l’accès aux technologies les plus performantes.
Ces divergences se retrouvent dans les débats autour d’EUCS, qui reste à ce jour un projet de schéma européen en développement. Elles n’empêchent toutefois pas l’émergence d’alternatives nationales et européennes.
Des alternatives européennes réelles, mais encore inégales
L’Europe ne part pas de zéro.
En France, plusieurs services disposent désormais de la qualification SecNumCloud. Elle ne se limite donc plus aux seules infrastructures de bas niveau. Le catalogue de l’ANSSI comprend désormais des infrastructures, des plateformes, des services de conteneurs et des logiciels accessibles dans le cloud.
Trois modèles se dessinent.
| Type d’offre | Exemples | Atout principal | Limite ou dépendance résiduelle |
|---|---|---|---|
| Fournisseurs européens exploitant leurs propres plateformes | OVHcloud, Outscale, Cloud Temple | Ancrage juridique et opérationnel européen | Catalogues et écosystèmes généralement moins étendus |
| Clouds de confiance fondés sur un partenariat technologique | S3NS ; Bleu, dont la qualification est en cours | Accès à des technologies largement adoptées dans un cadre de gouvernance européenne | Dépendance technologique résiduelle envers l’éditeur partenaire |
| Services cloud spécialisés | Oodrive, Whaller, Index Éducation | Réponse ciblée à des usages précis | Couverture fonctionnelle fragmentée |
Les exemples sont donnés à titre indicatif. La qualification SecNumCloud porte sur une offre et un périmètre précis. Le statut des offres doit être vérifié dans le catalogue de l’ANSSI, régulièrement actualisé.
Toutes les alternatives européennes ne répondent pas de la même manière aux différentes formes de dépendance. Cette diversification montre que l’offre progresse.
Un fournisseur européen peut réduire la dépendance juridique sans égaler la richesse fonctionnelle d’un hyperscaler. Un partenariat peut renforcer la maîtrise opérationnelle tout en conservant une dépendance technologique. Un service spécialisé peut être excellent pour un usage précis sans constituer une plateforme générale.
La souveraineté n’est pas l’autarcie
Réduire les dépendances ne signifie pas nécessairement abandonner tous les fournisseurs américains.
Une stratégie de souveraineté consiste à :
- réserver les garanties les plus fortes aux données et traitements les plus critiques
- privilégier des architectures portables et limiter l’usage de services propriétaires difficiles à remplacer
- prévoir contractuellement la restitution des données et les conditions de sortie
- conserver les compétences nécessaires pour administrer et faire évoluer les environnements cloud
L’ANSSI recommande notamment d’anticiper la réversibilité afin de faciliter une migration et de limiter la dépendance à une offre unique. Elle rappelle également que la sécurité d’une application reste de la responsabilité de son exploitant, même lorsqu’elle est hébergée sur une infrastructure qualifiée.
La souveraineté ne signifie pas seulement choisir le « bon » fournisseur aujourd’hui. Elle suppose de pouvoir en changer demain sans devoir reconstruire tout son système d’information.
Une perte de contrôle progressive
La dépendance numérique européenne ne résulte donc pas d’un facteur unique. Elle naît de l’accumulation de dépendances économiques, technologiques, opérationnelles et juridiques.
La souveraineté ne suppose pas de s’isoler, mais de préserver des alternatives, d’anticiper la réversibilité et de conserver la maîtrise des services les plus critiques.
Le risque le plus important n’est pas nécessairement une rupture soudaine. C’est la réduction progressive de notre capacité à choisir : une menace discrète, mais structurelle.
Or, réduire les dépendances ne suffit pas à prévenir les cyberattaques, les pannes ou la défaillance d’un prestataire. Le troisième article examinera donc comment NIS2 et DORA cherchent à renforcer la résilience numérique des organisations européennes.
