Souveraineté numérique : où en est le cloud européen face aux hyperscalers ?

La souveraineté numérique n’est plus un simple slogan politique en 2026. Concrètement, l’État français vient de publier le bilan de sa doctrine « Cloud au centre ». Les chiffres confirment une bascule réelle vers des fournisseurs européens. La Commission européenne a aussi présenté son propre cadre de souveraineté numérique pour les marchés publics du cloud. Cet article fait le point sur cette dynamique. Il détaille les chiffres récents, les certifications qui structurent ce marché, et ce que cela change pour les entreprises françaises qui choisissent un fournisseur cloud.

Où en est l’État français en 2026 ?

Pour rappel, la direction interministérielle du numérique a présenté son bilan le 24 mars 2026. En 2025, l’État a passé 84 millions d’euros de commandes sur le marché cloud interministériel. Par ailleurs, ce montant progresse de 62 % par rapport à 2024. Le nombre de projets actifs sur le marché interministériel dépasse désormais la centaine. Au global, 70 % des commandes vont vers des fournisseurs européens. Sur le seul périmètre de l’État, ce taux grimpe même à 99 %.

Quelles applications critiques migrent vers le cloud français ?

Dans les faits, l’État n’héberge plus seulement des projets secondaires sur des clouds français. Des applications critiques basculent désormais aussi. Le système d’information des SAMU en fait partie. Le Géoportail de l’IGN également. Les démarches d’inscription sur les listes électorales suivent le même chemin. En février 2026, le gouvernement a annoncé la migration de la Plateforme des données de santé vers un cloud de confiance, prévue d’ici 2027. Cette bascule progressive illustre un changement de philosophie. La souveraineté numérique ne concerne plus uniquement les projets pilotes, mais des systèmes essentiels au fonctionnement du pays.

Qu’est-ce que la qualification SecNumCloud ?

SecNumCloud est le référentiel de sécurité cloud délivré par l’ANSSI. Concrètement, OVHcloud et Outscale y disposent déjà de la version la plus exigeante de cette qualification, la 3.2. Fin 2025, l’offre PREMI3NS de la société S3NS a aussi obtenu cette qualification. Pour rappel, S3NS est détenue à 95 % par Thales et à 5 % par Google, et elle exploite la technologie Google Cloud Platform. Cette qualification élargit le périmètre du cloud de confiance. Elle permet de bénéficier de la performance d’un hyperscaler, tout en respectant les exigences de souveraineté numérique françaises.

Comment les hyperscalers américains répondent-ils à la pression souverainiste ?

Face à cette dynamique, les trois grands fournisseurs américains ne restent pas immobiles. Par exemple, Amazon a annoncé son AWS European Sovereign Cloud, une infrastructure dédiée pensée pour rester opérée par du personnel basé dans l’Union européenne, avec un premier déploiement en Allemagne. Microsoft s’appuie sur Bleu, une coentreprise avec Orange et Capgemini, pour proposer une offre Azure « de confiance » visant la qualification SecNumCloud. Enfin, Google, de son côté, mise sur S3NS aux côtés de Thales pour porter son offre Google Cloud qualifiée SecNumCloud 3.2. Dans les trois cas, la technologie reste américaine, mais la gouvernance, l’exploitation et parfois le capital sont confiés à des partenaires européens. C’est une réponse directe aux exigences de souveraineté numérique, sans renoncer à l’accès au marché européen.

Le cadre européen du Cloud Sovereignty Framework

La Commission européenne a présenté son propre cadre, baptisé Cloud Sovereignty Framework. Ce texte traduit la souveraineté numérique en critères objectifs pour les marchés publics du cloud. Il couvre huit objectifs distincts. Ces objectifs vont des considérations stratégiques et juridiques jusqu’à la transparence des chaînes d’approvisionnement, en passant par des critères techniques, de sécurité, de conformité et de durabilité environnementale. Le cadre introduit des niveaux de garantie appelés SEAL (Sovereignty Effectiveness Assurance Levels), gradués de SEAL-0 (aucune garantie de souveraineté) à SEAL-4 (chaîne d’approvisionnement entièrement européenne, des puces au logiciel).

Dans les faits, le 17 avril 2026, la Commission a attribué sur cette base un premier marché pilote de 180 millions d’euros sur six ans, pour le cloud de ses propres institutions. Quatre consortiums ont été retenus : Post Telecom (avec OVHcloud et CleverCloud), STACKIT, Scaleway, et Proximus (associé à S3NS, Clarence et Mistral). Ainsi, les trois premiers ont atteint le niveau SEAL-3, le plus élevé obtenu ; Proximus/S3NS a atteint le niveau SEAL-2.

Mise à jour du 28 juillet 2026 : le 3 juin 2026, la Commission européenne a présenté sa proposition de Cloud and AI Development Act (CADA). Ce texte vise à transformer le Cloud Sovereignty Framework en obligation légale applicable à la plupart des fournisseurs cloud qui servent le secteur public européen, et pas seulement aux marchés propres de la Commission. Il fixe aussi un objectif ambitieux : tripler la capacité des centres de données européens d’ici cinq à sept ans. Le texte doit maintenant être négocié par le Parlement européen et le Conseil, avec une adoption définitive espérée fin 2027.

Pourquoi l’EUCS a-t-il perdu son critère le plus strict ?

Pour rappel, l’EUCS devait porter une certification européenne de sécurité du cloud, avec un niveau capable d’écarter les fournisseurs soumis à un droit extra-européen. Ce critère de souveraineté numérique a finalement été retiré du texte. De fait, plusieurs États membres et une partie de l’industrie ont fait pression en ce sens. Le sujet reste toutefois vivant. Cela dit, le critère de souveraineté a été réintroduit ailleurs, notamment dans les règles de la commande publique européenne elle-même, à travers le Cloud Sovereignty Framework puis la proposition CADA. La bataille se déplace donc du terrain de la certification technique vers celui des marchés publics.

Et chez nos voisins européens ?

La France n’agit pas seule sur ce terrain. Par exemple, l’Allemagne a adopté en février 2026 sa stratégie « Souveränes Deutschland ». Elle fixe un seuil de 50 % de charges cloud publiques sur des fournisseurs européens d’ici fin 2028. Par ailleurs, les Pays-Bas, le Danemark et l’Italie ont publié des lignes directrices similaires entre décembre 2025 et mars 2026. Cette convergence européenne renforce le poids politique du sujet. Elle crée aussi un marché plus large pour les fournisseurs cloud européens, au-delà des seules frontières françaises.

L’exemple de France Travail

Concrètement, France Travail a annoncé en février 2026 l’abandon d’Amazon Web Services pour son back-office principal. L’organisme bascule vers OVHcloud, dans le cadre d’un contrat de 45 millions d’euros sur cinq ans. Ce choix illustre un mouvement plus large chez les grands opérateurs publics français. En pratique, une bascule de cette ampleur ne se décide pas du jour au lendemain : on ne migre pas des millions de dossiers un vendredi après-midi. Elle demande une migration technique planifiée sur plusieurs années, pour éviter toute interruption de service sur un système utilisé par des millions de personnes.

Souveraineté numérique et DMA : deux dossiers qui se rejoignent

La souveraineté numérique et la régulation des grandes plateformes technologiques avancent désormais main dans la main. Concrètement, la procédure en cours au titre du DMA contre Amazon Web Services et Microsoft Azure en est un exemple direct. Une désignation comme contrôleur d’accès faciliterait la portabilité des données vers un fournisseur alternatif. Cela réduirait aussi les coûts de sortie pour une entreprise qui souhaite migrer vers une offre européenne. Ces deux chantiers, régulation de la concurrence d’un côté et stratégie de souveraineté numérique de l’autre, poursuivent un objectif commun : réduire la dépendance excessive envers un petit nombre de fournisseurs.

Quels risques pour une entreprise qui ignore ce sujet ?

Dans les faits, une entreprise qui néglige la souveraineté numérique s’expose à plusieurs risques concrets. D’abord, le premier concerne l’accès aux marchés publics. De plus en plus d’appels d’offres publics intègrent désormais des critères de localisation des données ou de qualification SecNumCloud. Concrètement, un prestataire qui ne peut pas répondre à ces critères perd des opportunités commerciales réelles. Ensuite, le second risque touche la conformité réglementaire. Une entreprise qui traite des données de santé ou des données sensibles pourrait, à terme, devoir justifier son choix d’hébergement face à un client ou un régulateur plus exigeant. Enfin, le troisième risque reste commercial : certains clients privés valorisent désormais un hébergement européen dans leurs propres critères d’achat, un argument qui pèse de plus en plus dans les négociations commerciales.

Comment une entreprise peut-elle intégrer la souveraineté numérique dans sa stratégie cloud ?

Quelques actions concrètes permettent d’avancer sur ce sujet sans tout changer d’un coup :

• Identifiez les données les plus sensibles de votre entreprise, et évaluez si elles justifient un hébergement qualifié SecNumCloud.
• Comparez le coût réel d’une offre cloud européenne par rapport à votre fournisseur actuel, sur la durée totale du contrat.
• Vérifiez les clauses contractuelles liées à la localisation des données et à l’application éventuelle d’une loi extraterritoriale.
• Suivez les qualifications SecNumCloud en cours chez les fournisseurs européens, une liste qui s’élargit régulièrement.
• Envisagez une approche progressive, en commençant par les projets les moins critiques avant de migrer les systèmes sensibles.
• Renseignez-vous sur les offres d’intelligence artificielle souveraine, comme les modèles français déployés sur des infrastructures qualifiées SecNumCloud.

Le test en 30 secondes : quel niveau de souveraineté vous faut-il vraiment ?

En pratique, pas besoin d’un cabinet de conseil pour se situer. La plupart des entreprises françaises se reconnaissent dans un de ces quatre profils.

Si vous hésitez entre deux lignes de ce tableau, prenez toujours la plus exigeante des deux : il est plus simple de sur-sécuriser dès le départ que de migrer une seconde fois dans deux ans.

FAQ : les questions fréquentes sur la souveraineté numérique du cloud

Qu’est-ce que la doctrine « Cloud au centre » de l’État français ?

Une doctrine adoptée en 2021, qui impose le recours au cloud pour tout nouveau projet numérique de l’État, avec une priorité donnée aux offres qualifiées SecNumCloud pour les données les plus sensibles.

Qu’est-ce que la qualification SecNumCloud 3.2 ?

La version la plus stricte du référentiel de sécurité cloud français. Elle interdit toute dépendance à un acteur soumis à une loi extraterritoriale, comme le Cloud Act américain.

Le Cloud Sovereignty Framework européen remplace-t-il l’EUCS ?

Non, ce sont deux dispositifs distincts. L’EUCS porte sur la certification technique de sécurité. Le Cloud Sovereignty Framework encadre plutôt les critères des marchés publics européens du cloud.

Que signifient les niveaux SEAL ?

Les Sovereignty Effectiveness Assurance Levels notent un fournisseur de SEAL-0 (aucune garantie de souveraineté) à SEAL-4 (chaîne d’approvisionnement entièrement européenne). Les lauréats du contrat pilote européen ont atteint SEAL-2 ou SEAL-3.

Qu’est-ce que le Cloud and AI Development Act (CADA) ?

Une proposition de règlement européen présentée le 3 juin 2026. Elle vise à rendre obligatoire le Cloud Sovereignty Framework pour la plupart des fournisseurs cloud servant le secteur public européen, et à tripler la capacité des centres de données européens d’ici cinq à sept ans.

Une PME française doit-elle obligatoirement choisir un cloud européen ?

Non, aucune obligation légale ne s’impose aux entreprises privées à ce stade. La tendance concerne d’abord les administrations publiques, mais elle influence progressivement les choix du secteur privé.

Pourquoi l’Allemagne a-t-elle fixé un seuil de 50 % pour le cloud européen ?

Sa stratégie « Souveränes Deutschland », adoptée en février 2026, vise à réduire la dépendance des administrations publiques allemandes envers les grands fournisseurs cloud non européens d’ici fin 2028.

Quels autres pays européens ont adopté des règles similaires ?

Les Pays-Bas, le Danemark et l’Italie ont publié des lignes directrices comparables entre décembre 2025 et mars 2026, chacun avec ses propres critères de mise en œuvre progressive.

Ce qu’il faut retenir sur la souveraineté numérique du cloud en 2026

Au final, la souveraineté numérique passe désormais par des chiffres concrets, plutôt que par de simples déclarations d’intention. L’État français affiche 70 % de ses commandes cloud vers des fournisseurs européens en 2025, un mouvement que les hyperscalers américains eux-mêmes accompagnent via des offres localisées comme Bleu ou S3NS. La Commission européenne structure ce mouvement avec son Cloud Sovereignty Framework, un premier contrat de 180 millions d’euros attribué en avril 2026, et désormais une proposition de loi, le CADA, pour généraliser cette approche à l’ensemble du secteur public européen. L’Allemagne et d’autres pays européens suivent une trajectoire similaire. Pour une entreprise française, ce mouvement dessine un marché cloud européen de plus en plus compétitif, avec des offres qualifiées qui rivalisent désormais réellement avec les grands hyperscalers américains. En clair, suivre ces évolutions dès maintenant permet d’anticiper un choix de fournisseur plus aligné avec les attentes futures de ses propres clients publics et privés.