Cinq ans après les premières ambitions de « cloud souverain », l’exécutif rouvre le dossier via une consultation publique pilotée par la Direction générale des Entreprises. Derrière l’exercice, il s’agit moins de réaffirmer un slogan que de trancher des arbitrages industriels, réglementaires et budgétaires dans un marché dominé par les hyperscalers.
La France remet sur la table sa stratégie de cloud souverain avec une consultation publique, signe que le sujet n’a jamais été stabilisé entre impératifs de sécurité, contraintes de compétitivité et réalité des dépendances technologiques. L’initiative, pilotée par la Direction générale des Entreprises, intervient dans un contexte où l’État est à la fois prescripteur (commande publique, doctrine d’hébergement), régulateur (cadres de confiance, qualification) et investisseur indirect (soutien à des offres nationales et européennes). Elle vise à recalibrer une politique qui, depuis 2019, a alterné entre volontarisme et compromis, notamment autour du « cloud de confiance » et de l’usage encadré de technologies non européennes. Le signal est clair pour l’écosystème: la souveraineté ne se décrète pas, elle s’industrialise, et l’État cherche à réordonner les priorités avant que les choix d’architecture des administrations et des opérateurs d’importance vitale ne deviennent irréversibles.
Un marché déjà structuré par la doctrine et la qualification
La consultation arrive alors que la mécanique de confiance s’est progressivement déplacée du discours politique vers des instruments opérationnels. Le plus structurant reste la qualification SecNumCloud de l’ANSSI, devenue un passage quasi obligé pour adresser des charges sensibles dans le secteur public et chez certains acteurs régulés. Dans ce cadre, l’actualité de fournisseurs français illustre la dynamique mais aussi la difficulté de monter en gamme sur des briques PaaS, là où se joue désormais l’essentiel de la valeur. Numspot a franchi les jalons J0 et J1 du processus de qualification SecNumCloud de l’ANSSI pour cinq services PaaS, ce qui matérialise un mouvement de fond: la souveraineté ne peut plus se limiter à l’IaaS, elle doit couvrir Kubernetes managé, bases de données, gestion de secrets, registres de conteneurs et, de plus en plus, plateformes IA. Or ces services exigent une excellence d’exploitation, une profondeur d’ingénierie et une capacité d’industrialisation qui rapprochent mécaniquement les acteurs souverains des méthodes des hyperscalers, sans leur donner immédiatement les mêmes économies d’échelle.
La question implicite de la consultation est donc celle du périmètre: que veut-on souverainiser, et à quel coût? Une souveraineté « totale » sur l’ensemble de la pile, du silicium au logiciel, est hors d’atteinte à court terme. À l’inverse, une souveraineté purement juridique, fondée sur des montages capitalistiques ou des clauses contractuelles, a montré ses limites face à l’extraterritorialité et aux risques de dépendance technique. Entre les deux, la France a progressivement privilégié une approche par niveaux de sensibilité et par exigences vérifiables: localisation, contrôle opérationnel, chaîne d’administration, gestion des clés, auditabilité, résilience. La consultation peut servir à clarifier ces niveaux, à réduire l’ambiguïté entre « souverain », « de confiance » et « européen », et à aligner doctrine, achats et trajectoires de migration. Sans cet alignement, les administrations continueront d’arbitrer au cas par cas, souvent au bénéfice d’offres globales plus matures sur le plan fonctionnel.
Les arbitrages industriels derrière le mot souveraineté
Sur le plan industriel, l’enjeu central est la capacité à créer un marché domestique suffisamment profond pour financer l’innovation et l’exploitation, sans enfermer les utilisateurs dans un catalogue incomplet. Les hyperscalers ont imposé un standard de fait: élasticité, services managés, observabilité, sécurité intégrée, outillage DevSecOps, et désormais services IA. Les acteurs souverains doivent donc choisir entre deux stratégies: reproduire rapidement les services les plus demandés, ou se différencier sur des segments où la contrainte réglementaire et la criticité justifient un premium. La consultation publique peut aider à prioriser les besoins concrets des administrations et des secteurs régulés, afin d’éviter une dispersion des investissements. Elle peut aussi éclairer un point souvent sous-estimé: la souveraineté se joue autant dans l’exploitation que dans la propriété intellectuelle. Un cloud opéré en France mais dépendant de mises à jour, de composants fermés ou de chaînes CI/CD contrôlées à l’étranger reste exposé à des risques de rupture, de conformité et de sécurité.
La sécurité, justement, fournit un argument opérationnel à la relance du dossier. Les infrastructures cloud concentrent des actifs critiques, mais aussi des surfaces d’attaque massives via les couches réseau, l’identité, les API et les composants de sécurité. L’actualité des vulnérabilités rappelle que la résilience ne dépend pas seulement du fournisseur cloud, mais de tout l’écosystème de sécurité déployé autour. une faille Stormshield, cotée CVSS 9.1 et permettant une exécution de code à distance sans authentification illustre la brutalité des risques sur des équipements largement présents dans les entreprises françaises. Pour la stratégie cloud, la leçon est double: d’une part, la souveraineté doit intégrer une capacité de réaction rapide, de gestion de crise et de remédiation, ce qui suppose des chaînes de support et de patching robustes; d’autre part, elle doit éviter de remplacer une dépendance par une autre en empilant des briques nationales sans exigences strictes de sécurité, de transparence et de maintenance. La consultation peut donc être l’occasion de renforcer les exigences de supply chain security, de SBOM, d’audit continu et de preuves de conformité, au-delà du seul tampon de qualification.
Commande publique, concurrence et crédibilité internationale
La relance du cloud souverain pose aussi une question de politique publique: comment utiliser la commande publique sans créer un marché artificiel, coûteux et peu innovant? Le risque est connu: si l’État impose des contraintes trop rigides, il réduit la concurrence et renchérit les projets, tout en poussant les métiers à contourner la doctrine via des solutions SaaS non maîtrisées. À l’inverse, si la doctrine est trop permissive, les offres souveraines ne trouvent pas de traction suffisante pour financer leur montée en gamme. L’équilibre passe par une segmentation fine des cas d’usage, une standardisation des exigences contractuelles, et une capacité à mesurer objectivement les coûts de sortie, la portabilité et la réversibilité. La consultation publique peut servir à formaliser des indicateurs partagés, par exemple sur la portabilité Kubernetes, l’usage d’API standard, la compatibilité avec des outils open source, ou encore la capacité à opérer des environnements multi-cloud sans explosion de complexité.
Enfin, la crédibilité internationale de la France sur le cloud se joue dans sa capacité à articuler souveraineté nationale et stratégie européenne. Les décideurs le savent: la souveraineté ne se limite pas à l’hébergement, elle concerne la capacité à innover, à attirer des talents, à financer des infrastructures, et à exporter des offres. Or la compétition est mondiale, et l’Europe peine à faire émerger des plateformes capables de rivaliser en largeur fonctionnelle. L’exercice de consultation est donc aussi un test de cohérence: la France veut-elle prioriser des champions nationaux, ou bâtir des coalitions européennes autour de standards et d’interopérabilité? La réponse conditionnera la capacité à éviter l’isolement technologique, tout en réduisant l’exposition aux régimes juridiques extraterritoriaux.
À court terme, la consultation publique ne produira pas un « grand soir » du cloud souverain. Elle peut en revanche clarifier les arbitrages et transformer une ambition politique en feuille de route exécutable: périmètres de sensibilité, exigences techniques vérifiables, trajectoires de qualification, et surtout mécanismes d’achat qui récompensent la sécurité, la réversibilité et la qualité d’exploitation. Le succès se mesurera moins à l’annonce d’un nouveau label qu’à la capacité de l’État à créer un marché exigeant, capable de tirer l’offre vers le haut sans la couper des standards mondiaux. Dans un environnement où les dépendances se construisent vite et se défont lentement, la relance du dossier est un rappel utile: la souveraineté numérique est une discipline d’ingénierie et de gouvernance, pas un simple positionnement.
Cinq ans après son lancement, la stratégie nationale pour le cloud s’offre une cure de jouvence, résume l’esprit du moment. Reste à transformer l’exercice en décisions: quelles briques financer, quelles exigences imposer, quels compromis accepter, et comment mesurer, dans la durée, la réduction effective des risques de dépendance et de compromission.
