En affichant un volume inédit de commandes cloud et une préférence quasi systématique pour des fournisseurs européens, l’État français veut transformer une doctrine en levier de souveraineté opérationnelle. Reste à convertir l’intention politique en capacités industrielles, en trajectoires de sécurité et en modèles économiques soutenables face aux hyperscalers.
Le signal politique est désormais chiffré. Avec la doctrine « Cloud au centre », l’administration revendique 84 millions d’euros de commandes cloud en 2025, en hausse de 62%, et 99% des projets étatiques orientés vers des fournisseurs européens. Au-delà de l’effet d’annonce, ces indicateurs matérialisent une bascule de la commande publique, longtemps accusée d’entretenir une dépendance structurelle aux plateformes américaines. La France tente ici un exercice difficile mais stratégique, faire du cloud un instrument de souveraineté numérique sans sacrifier la performance, la résilience et la capacité d’innovation. Le choix d’un « centre » cloud n’est pas qu’une modernisation IT, c’est une reconfiguration de la chaîne de valeur, des responsabilités de sécurité et des rapports de force entre État, industriels et régulateurs.
Une doctrine qui change la nature de la demande publique
La commande publique agit comme un multiplicateur industriel lorsqu’elle est suffisamment prévisible, standardisée et exigeante. En orientant massivement les projets vers des acteurs européens, l’État cherche à créer un marché domestique capable de financer des investissements lourds, data centers, outillage d’exploitation, automatisation, observabilité, services managés, et surtout compétences. Mais la souveraineté ne se décrète pas par la seule nationalité du prestataire. Elle se mesure à la maîtrise effective des couches critiques, contrôle des opérations, gouvernance des accès, chaîne d’approvisionnement logicielle, capacité de réversibilité, et exposition juridique extraterritoriale. La doctrine française, dans sa logique, vise donc moins un « cloud français » qu’un cloud dont les conditions d’exploitation, d’audit et de contrôle sont compatibles avec les exigences de l’État.
Cette inflexion a aussi une conséquence organisationnelle, elle pousse les ministères et opérateurs à rationaliser leurs architectures et à industrialiser leurs pratiques. Le cloud « au centre » implique des plateformes communes, des catalogues de services, des patterns d’architecture, et une discipline FinOps qui n’est pas native dans la culture budgétaire publique. La souveraineté devient alors un problème d’ingénierie et de gouvernance, comment standardiser sans rigidifier, comment mutualiser sans créer des points de défaillance, comment accélérer les cycles applicatifs tout en respectant des contraintes de conformité plus fortes que dans le privé.
Souveraineté et sécurité, la pression monte sur les modèles de menace
La dimension sécuritaire n’est plus un argument d’accompagnement, elle devient le moteur. Le paysage de la menace se transforme rapidement, et il pèse directement sur les arbitrages d’hébergement et de segmentation. Le rapport du commandement cyber du ministère de l’Intérieur décrit une progression de 87 % des atteintes numériques en cinq ans et 1 347 revendications de cyberattaques visant la France en 2025. Dans ce contexte, la souveraineté n’est pas seulement la réduction d’une dépendance géopolitique, c’est la capacité à imposer des contrôles, à auditer des environnements, à orchestrer des réponses à incident et à limiter l’impact d’une exfiltration. Or la tendance à l’exfiltration plutôt qu’au chiffrement systématique, observée dans les retours d’expérience, renforce l’importance des mécanismes de prévention de fuite, de chiffrement maîtrisé, de journalisation inviolable et de détection comportementale.
Le paradoxe est que le cloud, lorsqu’il est bien opéré, peut améliorer la posture de sécurité par la standardisation, la mise à jour continue, l’automatisation des contrôles et la centralisation de la télémétrie. Mais il peut aussi amplifier les risques si les identités, les secrets, les API et les pipelines CI/CD ne sont pas gouvernés avec rigueur. Pour l’État, l’enjeu est d’éviter une souveraineté de façade où l’infrastructure serait localisée, mais où les dépendances logicielles, les outils d’administration, ou les briques de sécurité resteraient sous contrôle externe. La question devient alors celle des « couches souveraines » minimales, identité et accès, HSM et gestion de clés, supervision, sauvegarde, et capacité d’investigation, qui doivent être maîtrisées contractuellement et techniquement.
Un marché à construire face aux hyperscalers, entre compétitivité et contraintes
La préférence européenne de la commande publique crée une opportunité, mais elle met aussi en tension l’écosystème. Les hyperscalers ont imposé des standards de fait, élasticité, services managés riches, plateformes data et IA, outillage DevSecOps intégré, et une capacité d’innovation à cadence industrielle. Les acteurs européens, eux, doivent concilier conformité, localisation, et montée en gamme fonctionnelle. Pour l’État, la difficulté est de ne pas transformer la souveraineté en renoncement technologique. Si les administrations se retrouvent cantonnées à des offres moins matures, elles risquent de freiner la modernisation applicative, d’augmenter les coûts d’intégration, et de recréer des silos. À l’inverse, si elles adoptent des services trop propriétaires, même européens, elles recréent une dépendance, simplement déplacée.
La variable clé est donc l’architecture de réversibilité. Elle suppose des choix techniques, conteneurisation, Kubernetes, IaC, abstractions de services, mais aussi des clauses contractuelles et des pratiques d’exploitation. La souveraineté se joue dans la capacité à déplacer des charges, à reconstruire des environnements, à exporter des données avec leurs métadonnées et leurs politiques de sécurité, et à maintenir des niveaux de service comparables. Cela implique une discipline d’ingénierie que l’État peut imposer par ses référentiels et ses marchés, mais qui a un coût immédiat. Le pari est que ce coût est inférieur au risque stratégique d’un verrouillage durable.
Sur le plan économique, les 84 millions d’euros de commandes sont un indicateur utile mais insuffisant. L’enjeu réel est la part de workloads critiques migrés, la proportion d’applications refactorées plutôt que simplement rehébergées, et la capacité à industrialiser des plateformes communes. La souveraineté cloud ne se limite pas à l’achat d’infrastructure, elle suppose un investissement continu dans les compétences, SRE, sécurité cloud, data engineering, et dans la gouvernance produit. Sans cela, la commande publique risque de financer des migrations ponctuelles, sans créer l’effet d’apprentissage et de standardisation qui fait la différence à l’échelle d’un État.
2025 comme point de passage, les prochaines batailles sont techniques et contractuelles
La trajectoire française ouvre une séquence où les arbitrages vont se durcir. D’abord, la clarification des périmètres, quelles données et quels traitements doivent relever d’offres qualifiées, quels niveaux de certification sont exigés selon la criticité, et comment gérer les cas hybrides où certains services avancés n’existent pas encore dans l’offre souveraine. Ensuite, la consolidation des pratiques de sécurité, avec une priorité sur l’identité, la segmentation, la gestion des clés, la traçabilité et la réponse à incident. Enfin, la question de l’IA et des données, car la valeur se déplace vers les plateformes analytiques et les agents, et c’est là que les dépendances technologiques se recréent le plus vite.
À court terme, le succès se mesurera moins à la part de fournisseurs européens qu’à la capacité de l’État à imposer des architectures portables, des exigences d’auditabilité et des mécanismes de contrôle effectifs. À moyen terme, il se mesurera à l’émergence d’un tissu industriel capable de soutenir la cadence, d’opérer à grande échelle, et de proposer des services managés compétitifs. La doctrine « Cloud au centre » a posé un cadre et un signal de demande. La phase qui s’ouvre est celle des preuves, preuves de résilience face à une menace en mutation, preuves de réversibilité réelle, et preuves qu’une souveraineté numérique peut être un accélérateur de modernisation plutôt qu’un compromis défensif.
