Qui est réellement obligé d’héberger en cloud souverain ?

« Cloud souverain » est devenu un argument marketing agité un peu partout. Résultat : personne ne sait plus qui y est vraiment obligé, qui devrait l’être, et qui s’en sert surtout pour gagner des marchés. Faisons le tri, secteur par secteur, entre l’obligation légale, la recommandation forte et l’avantage commercial.

Secteur public et défense : obligatoire

Pour l’administration de l’État, la doctrine « cloud au centre » impose que les données sensibles ou d’entreprise soient hébergées sur un cloud qualifié SecNumCloud, immunisé contre les législations extraterritoriales. Pour la défense et tout ce qui touche à la sécurité nationale, l’exigence est encore plus stricte. Ici, il n’y a pas d’arbitrage économique : le cloud souverain est la condition d’entrée, pas une préférence.

Sovra est opéré sur 3DS Outscale, dont la région cloudgouv est qualifiable SecNumCloud, ce qui correspond au niveau attendu sur ces périmètres.

OIV et entités essentielles : fortement recommandé, bientôt contraint

Les opérateurs d’importance vitale sont encadrés par la loi de programmation militaire, qui impose des règles strictes sur la sécurité de leurs systèmes d’information critiques. La directive NIS2 élargit fortement le périmètre : de nombreuses entreprises qualifiées d’« entités essentielles » ou « importantes » entrent dans un cadre de sécurité renforcé, avec responsabilité des dirigeants à la clé.

NIS2 ne dit pas « hébergez en souverain », mais rend l’hébergement souverain la façon la plus simple de prouver que vous maîtrisez vos systèmes critiques.

Pour un OIV ou une entité essentielle, choisir un opérateur de droit français lève d’emblée toute une série de questions sur la localisation et l’accès aux données. C’est le chemin le plus court vers la conformité, même quand la lettre du texte laisse une marge.

Santé : obligatoire dès la première donnée identifiante

Dès que vous hébergez des données de santé à caractère personnel pour un tiers, la certification HDS est obligatoire. Un cloud souverain HDS n’est donc pas un luxe pour les éditeurs de logiciels médicaux, plateformes de télésanté ou structures de soins : c’est le cadre légal de leur activité.

Entreprises et éditeurs : l’avantage concurrentiel

Pour une entreprise privée sans contrainte réglementaire directe, rien n’oblige à héberger en souverain. Mais la question se déplace vers le commercial. De plus en plus d’appels d’offres, publics comme privés, exigent une infrastructure de droit français, notamment pour les données sensibles ou stratégiques. Un éditeur SaaS qui peut cocher cette case gagne des marchés qu’un concurrent hébergé chez un hyperscaler perd d’entrée.

• Vous répondez à des marchés publics : le souverain ouvre l’accès, parfois via l’UGAP.
• Vos clients sont des OIV ou des acteurs régulés : ils vous répercuteront leurs propres exigences.
• Vous manipulez des secrets industriels : la souveraineté devient un argument de confiance.

Ma recommandation

Classez-vous honnêtement. Si vous êtes public, défense ou santé, la question est réglée : vous êtes obligé, agissez en conséquence. Si vous êtes OIV ou entité NIS2, traitez le souverain comme la voie par défaut, pas comme une option à débattre. Si vous êtes une entreprise privée sans contrainte, regardez vos appels d’offres à venir : c’est souvent là que se cache l’obligation réelle, déguisée en critère de sélection.

Un diagnostic de votre situation réglementaire et commerciale dit précisément dans laquelle de ces trois cases vous tombez, et ce que cela implique en hébergement.