Cloud souverain : définition, SecNumCloud, Cloud Act et que faire avec AWS et Azure

À lire avant de commencer. Cet article est un support d’information, pas un conseil juridique. Il reflète les textes et les annonces des fournisseurs vérifiés en octobre 2026. Les statuts de qualification et les périmètres de services évoluent vite : vérifiez-les au moment de votre choix sur les sources officielles citées, et faites valider vos conclusions par un juriste ou votre DPO.

« Peut-on rester sur AWS ? » « Faut-il passer sur un cloud souverain ? » Ces questions mélangent souvent trois sujets différents : la localisation des données, l’exposition à des lois étrangères comme le Cloud Act, et les obligations réglementaires réelles de l’entreprise. Cet article les sépare, fait le point sur les offres disponibles fin octobre 2026, puis propose une méthode pour décider. Pour situer ce sujet dans l’ensemble de nos expertises, voir notre page conseil cloud AWS et Azure.

Cloud souverain : définition

Il n’existe pas de définition légale unique du « cloud souverain » : fournisseurs, pouvoirs publics et presse lui donnent des sens différents. Pour raisonner, il faut le décomposer en critères vérifiables.

Trois questions pour juger la souveraineté d’un service

1. Où sont les données ? Pays et régions d’hébergement, sauvegardes comprises, et lieux depuis lesquels le service est administré. C’est la résidence des données.
2. À quel droit est soumis le fournisseur ? Si sa maison mère, ses actionnaires de contrôle ou lui-même relèvent d’un droit extra-européen qui permet d’exiger la communication de données, la localisation en France ne suffit pas. C’est la protection juridique, ou immunité aux lois extraterritoriales.
3. Qui opère le service et qui détient les clés ? Personnel d’exploitation, support, accès d’urgence, gestion des clés de chiffrement. C’est la souveraineté opérationnelle et technique.

Une région AWS ou Azure en France répond à la première question. Elle ne répond pas, à elle seule, aux deux suivantes.

Cloud souverain, cloud de confiance, cloud européen

• Cloud européen : un fournisseur dont le siège est en Europe. Cela ne dit rien de son niveau de sécurité.
• Cloud de confiance : expression utilisée en France pour désigner des offres qualifiées SecNumCloud, y compris celles qui s’appuient sur une technologie américaine exploitée par une société française (S3NS, Bleu).
• Offres « souveraines » des hyperscalers : AWS European Sovereign Cloud, Microsoft Sovereign Cloud. Elles renforcent la résidence et l’autonomie opérationnelle, mais restent rattachées à des groupes américains.

SecNumCloud : la qualification de l’ANSSI

Ce que vérifie SecNumCloud

SecNumCloud est le référentiel d’exigences de l’ANSSI pour les prestataires de services cloud. Sa version 3.2, publiée en 2022, couvre l’ensemble de la sécurité du service : gouvernance, gestion des accès, cryptographie, exploitation, continuité, sous-traitance. Sa particularité est un chapitre consacré à la protection vis-à-vis du droit extra-européen : le prestataire, son capital et ses organes de direction ne doivent pas permettre à une entité extra-européenne d’en prendre le contrôle, et les données comme l’administration du service doivent rester dans l’Union européenne.

La qualification est délivrée pour une offre et un périmètre de services précis, après un parcours en plusieurs jalons. La liste officielle des offres qualifiées est publiée par l’ANSSI ; on y trouve par exemple OVHcloud, 3DS Outscale ou Cloud Temple, chacun pour des périmètres définis. Vérifiez toujours, service par service, ce qui est couvert.

Qui est obligé d’y recourir : loi SREN et textes de 2026

En France, l’article 31 de la loi SREN du 21 mai 2024 impose aux administrations de l’État, à certains de leurs opérateurs et à certains groupements d’intérêt public de recourir, pour leurs données d’une sensibilité particulière confiées à un prestataire privé, à des offres qui protègent contre l’accès d’autorités publiques de pays tiers. Cette obligation a été rendue opérationnelle en 2026 :

Texte	Date	Contenu
Décret n° 2026-272	14 avril 2026, publié au JO du 16 avril 2026	Précise le champ, renvoie à un référentiel de l’ANSSI approuvé par arrêté, organise les dérogations
Arrêté du 14 avril 2026	14 avril 2026	Fixe les modalités de dérogation
Arrêté du 12 août 2026	Publié au JO du 14 août 2026, en vigueur le 15 août 2026	Approuve le référentiel d’exigences ; la conformité s’atteste par une qualification de l’ANSSI ou par une certification européenne reconnue équivalente par l’ANSSI

Point important pour une PME ou une ETI : cette obligation ne vise pas les entreprises privées en général. Elle peut toutefois vous concerner indirectement si vous travaillez pour un client public soumis à ces textes, si un appel d’offres l’exige, ou si vos propres clients l’imposent par contrat.

Cloud Act : c’est quoi ?

Ce que dit le texte

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée en mars 2018. Il a ajouté au code américain une disposition (18 U.S.C. § 2713) qui oblige les fournisseurs de services de communications électroniques et de cloud soumis à la juridiction américaine à préserver ou communiquer les données qu’ils ont en leur possession, sous leur garde ou sous leur contrôle, que ces données soient stockées aux États-Unis ou ailleurs. Il permet aussi aux États-Unis de conclure des accords bilatéraux sur la preuve électronique : le Département de la Justice cite ceux signés avec le Royaume-Uni et l’Australie. Pour l’Union européenne, il mentionne la reprise des négociations en mars 2023, pas un accord conclu.

Le critère décisif n’est donc pas le lieu de stockage, mais la juridiction du fournisseur. Une filiale européenne d’un groupe américain peut être concernée si la maison mère est considérée comme contrôlant les données : c’est ce que neutralise le critère d’indépendance de SecNumCloud.

Cloud Act et RGPD

L’article 48 du RGPD prévoit qu’une décision d’une juridiction ou d’une autorité d’un pays tiers exigeant le transfert ou la divulgation de données personnelles n’est reconnue ou exécutoire que si elle repose sur un accord international, comme un traité d’entraide judiciaire. Le CEPD (comité européen de la protection des données) a précisé dans ses lignes directrices 02/2024, adoptées en version finale en juin 2025, qu’à défaut d’accord international, une réponse à une telle demande reste un transfert soumis au RGPD : il faut une base légale et un fondement du chapitre V, les dérogations de l’article 49 ne jouant que dans des cas limités.

Une autre question est souvent confondue avec celle-ci : les transferts courants de données vers les États-Unis. Ils reposent aujourd’hui sur le cadre de protection des données UE États-Unis (Data Privacy Framework), décision d’adéquation du 10 juillet 2023. Le Tribunal de l’Union européenne a rejeté le recours en annulation de Philippe Latombe le 3 septembre 2025 (affaire T-553/23). Un pourvoi a été formé devant la Cour de justice (affaire C-703/25 P) : la stabilité de ce cadre reste à surveiller.

Ce que cela change concrètement

Le risque Cloud Act est un risque juridique, pas une fuite de données automatique, et sa portée dépend de la nature des données. La CNIL l’a illustré à propos de la Plateforme des données de santé, hébergée sur Azure par Microsoft Ireland : elle relève que l’appartenance à un groupe dont la société mère est américaine emporte une possibilité légale de demandes de communication par l’administration des États-Unis, et recommande, pour les bases les plus sensibles, un hébergeur relevant exclusivement du droit européen ou qualifié SecNumCloud.

Pour la plupart des données d’une PME (site web, outils internes, données commerciales courantes), ce risque peut être jugé acceptable une fois analysé et documenté. Pour des secrets industriels stratégiques, des données de santé à grande échelle ou des données sensibles de clients publics, il mérite une analyse formelle.

EUCS : où en est la certification européenne ?

L’EUCS (European Cybersecurity Certification Scheme for Cloud Services) devait harmoniser la certification cloud en Europe. L’ENISA en a publié un projet en décembre 2020, puis le dossier a été longtemps bloqué, notamment sur la place des exigences de souveraineté.

En octobre 2026, l’EUCS n’est pas adopté et aucun certificat EUCS ne peut être délivré. Deux propositions de la Commission européenne, toujours en cours de négociation, rebattent les cartes :

• la révision du règlement sur la cybersécurité, proposée le 20 janvier 2026 : la Commission y indique que les travaux sur l’EUCS reprendront, la certification restant centrée sur l’assurance technique ;
• le Cloud and AI Development Act (CADA), présenté en juin 2026, qui propose quatre niveaux d’assurance de souveraineté pour les achats de cloud du secteur public, du simple hébergement dans l’Union jusqu’à des fournisseurs détenus et contrôlés dans l’Union.

En pratique, SecNumCloud reste pour l’instant le repère de référence en France. L’arrêté du 12 août 2026 prévoit d’ailleurs qu’une certification européenne reconnue équivalente par l’ANSSI pourra aussi être acceptée.

Les offres de cloud de confiance en octobre 2026

Offre	Qui l’opère	Technologie	Statut SecNumCloud fin octobre 2026
PREMI3NS (S3NS)	S3NS, filiale de Thales	Google Cloud	Qualification SecNumCloud 3.2 annoncée en décembre 2025 (IaaS, CaaS, PaaS)
Bleu	Bleu, coentreprise de Capgemini et Orange	Microsoft (Azure, Microsoft 365)	En cours de qualification ; la société vise une qualification fin 2026 selon la presse spécialisée
AWS European Sovereign Cloud	Entités dédiées d’Amazon en Allemagne	AWS	Pas une offre qualifiée SecNumCloud
EU Data Boundary et Microsoft Sovereign Cloud	Microsoft	Azure, Microsoft 365	Pas une offre qualifiée SecNumCloud

S3NS

S3NS a annoncé en décembre 2025 la qualification SecNumCloud 3.2 de PREMI3NS, sur des périmètres IaaS, CaaS et PaaS couvrant plus de vingt services, opérés par ses équipes depuis des centres de données en France. Le catalogue qualifié est plus restreint que celui de Google Cloud : vérifiez que vos services en font partie.

Bleu

Bleu exploite les technologies Microsoft depuis une société française. Selon Next (octobre 2026), Bleu a franchi les premiers jalons de la qualification sans être encore qualifié, et vise désormais la fin de l’année. Tant qu’elle n’est pas inscrite sur la liste de l’ANSSI, la qualification ne peut pas être considérée comme acquise.

AWS European Sovereign Cloud

AWS a annoncé le 15 janvier 2026 la disponibilité générale de l’AWS European Sovereign Cloud, avec une première région dans le Brandebourg, en Allemagne, séparée physiquement et logiquement des autres régions AWS. AWS indique qu’il est opéré exclusivement par des résidents de l’Union, via une nouvelle société mère et trois filiales de droit allemand dirigées par des citoyens européens, et annonce des Local Zones souveraines en Belgique, aux Pays-Bas et au Portugal. Les premières attestations, publiées en mars 2026, portent sur SOC 2, C5 et sept certifications ISO. Le groupe restant américain, l’offre ne répond pas au critère d’indépendance de SecNumCloud, et elle n’a pas, à notre connaissance, de région en France.

Microsoft : EU Data Boundary et Microsoft Sovereign Cloud

Microsoft a annoncé le 26 février 2025 l’achèvement de l’EU Data Boundary : les données clients des principaux services (Microsoft 365, Dynamics 365, Power Platform et la plupart des services Azure) sont stockées et traitées dans l’Union européenne et l’AELE, avec des exceptions documentées, notamment pour la réponse aux incidents de sécurité. Microsoft regroupe aussi ses offres sous le nom Microsoft Sovereign Cloud : cloud public avec contrôles renforcés (Data Guardian, gestion externe des clés), cloud privé sur Azure Local, et clouds nationaux opérés avec des partenaires. Là encore, il s’agit de résidence et de contrôles, pas d’immunité juridique.

Données de santé : HDS, un cadre à part

L’hébergement de données de santé à caractère personnel pour le compte d’un tiers impose en France un hébergeur certifié HDS. La version 2 du référentiel, approuvée par un arrêté du 26 avril 2024, a ajouté des exigences de souveraineté : hébergement physique des données exclusivement dans l’Espace économique européen, encadrement des accès à distance depuis un pays tiers, information du client lorsque l’hébergeur est soumis à une législation extra-européenne, et publication d’une cartographie des transferts. Selon l’Agence du Numérique en Santé, les certificats selon l’ancienne version 1.1 ne sont plus valides depuis le 16 mai 2026. Une version 2.1 est annoncée : vérifiez son statut sur le site de l’ANS.

AWS et Microsoft indiquent tous deux disposer d’une certification HDS selon la version 2, pour des régions européennes dont Paris (AWS) et France Centre (Azure). Mais la certification du fournisseur ne couvre que sa part : la configuration, les accès, le chiffrement, la journalisation et le contrat restent à votre charge. Le fondateur de Feekr a conçu et exploité des infrastructures AWS certifiées HDS, entièrement décrites en code : c’est souvent sur ce partage des responsabilités que se jouent les audits.

HDS et SecNumCloud ne se substituent pas : HDS est obligatoire pour la santé, SecNumCloud ne l’est que dans les cas prévus par la loi SREN ou par contrat.

Chiffrement et gestion des clés : ce qui protège vraiment

Côté serveur ou côté client

La CNIL distingue clairement deux cas. Avec un chiffrement côté serveur, le fournisseur a, d’une manière ou d’une autre, accès aux clés au moment du traitement : cela protège contre le vol de supports ou une erreur de configuration, mais ne supprime pas son accès aux données, quelle que soit la méthode de gestion des clés. Avec un chiffrement côté client, où vous seul détenez et contrôlez les clés, le fournisseur ne voit plus les données en clair, y compris face à une demande d’une autorité étrangère. La contrepartie est forte : de nombreux services managés (recherche, analytique, IA) ne peuvent plus traiter ces données.

Sur AWS : KMS, CloudHSM et clés externes

• AWS KMS avec clés gérées par le client : le socle, à généraliser, avec des politiques de clés strictes et une journalisation dans CloudTrail.
• AWS CloudHSM : des HSM dédiés, pour les cas qui exigent un module matériel à locataire unique.
• External Key Store (XKS) : la clé reste dans un gestionnaire de clés que vous possédez hors d’AWS (approche dite « hold your own key »). Si vous coupez l’accès, AWS ne peut plus déchiffrer. AWS prévient lui-même que, pour la plupart des clients, les risques accrus sur la disponibilité et la latence dépassent le bénéfice attendu : à réserver aux données qui l’exigent vraiment.

Sur Azure : Key Vault, Managed HSM et gestion externe des clés

• Azure Key Vault avec clés gérées par le client pour le chiffrement au repos.
• Managed HSM : HSM à locataire unique validés FIPS 140-3 niveau 3, avec un contrôle d’accès local que même les administrateurs de l’abonnement ne peuvent pas contourner.
• Gestion externe des clés de Managed HSM, que Microsoft présente comme disponible en général et comme une option de dernier recours, quand une obligation légale ou contractuelle impose de garder la clé hors de son infrastructure.

Méthode : classer, décider, garder AWS et Azure pour le reste

Basculer tout son système d’information sur un cloud qualifié est rarement justifié : catalogue plus restreint, coûts, compétences. La démarche que nous appliquons est plus fine.

1. Inventorier et classer les données

Pour chaque application : nature des données, volume, obligations applicables, impact d’une divulgation. Une classification en quatre niveaux suffit le plus souvent :

Niveau	Exemples	Où les héberger
Public ou interne courant	Site web, documentation, outils collaboratifs	AWS ou Azure, régions européennes
Confidentiel	Données clients, RH, finance	AWS ou Azure, régions européennes, clés gérées par le client, accès restreints
Réglementé	Données de santé, données soumises à un contrat exigeant	Hébergeur certifié HDS ou offre exigée par le contrat, configuration auditée
Particulièrement sensible	Données relevant de l’article 31 de la loi SREN, secrets stratégiques	Offre qualifiée SecNumCloud, ou chiffrement côté client si l’usage le permet

2. Identifier les obligations réelles

Distinguez ce qui est imposé (HDS pour la santé, loi SREN pour certaines entités publiques, clauses de vos contrats) de ce qui relève d’une préférence (politique d’achat, image, prudence). Les deux sont légitimes, mais ne justifient pas le même niveau de contrainte. Associez votre DPO et votre RSSI dès cette étape.

3. Décider par classe de données, pas pour toute l’entreprise

Une architecture hybride est courante : le site, la data et l’IA générative sur AWS ou Azure, un périmètre réduit sur une offre qualifiée. Vérifiez dans ce cas les flux entre les deux environnements, l’identité et la supervision, qui deviennent les points sensibles.

4. Durcir AWS et Azure pour tout le reste

• Restreindre les régions : politiques de contrôle des services (SCP) dans AWS Organizations, Azure Policy sur les emplacements autorisés.
• Chiffrer avec des clés gérées par le client et séparer l’administration des clés de celle des ressources.
• Journaliser les accès aux données et aux clés, y compris les accès du support du fournisseur lorsque des mécanismes existent (par exemple Customer Lockbox chez Microsoft).
• Relire les contrats : DPA, liste des sous-traitants, clauses sur les demandes d’autorités, localisation du support.
• Tout décrire en code (Terraform, OpenTofu) pour prouver la configuration lors d’un audit. C’est l’objet de notre offre sécurité et gouvernance cloud.

5. Prévoir la réversibilité

Documentez comment sortir : formats d’export, dépendances à des services propriétaires, durée estimée. C’est ce qui rend vos choix d’aujourd’hui révisables demain, quand les offres qualifiées auront évolué.

Conclusion : décider données par données

Le cloud souverain n’est pas une case à cocher pour toute l’entreprise. C’est une réponse proportionnée à un risque précis, que l’on réserve aux données qui le justifient. Pour le reste, AWS et Azure correctement configurés, en régions européennes, avec des clés maîtrisées et des contrats relus, couvrent les exigences de la plupart des PME et ETI. Nous aidons à faire ce tri et à le traduire en architecture, depuis Villeneuve-d’Ascq, en lien avec vos juristes et votre DPO : découvrez notre accompagnement sécurité et gouvernance cloud, nos pages consultant AWS et consultant Azure, ou notre offre de conseil cloud et IA à Lille. Si vos projets mêlent IA et données sensibles, lisez aussi notre point sur les obligations de l’AI Act.

[ VOS QUESTIONS ]

Questions fréquentes

Qu’est-ce qu’un cloud souverain ?

Il n’existe pas de définition légale unique. Le terme désigne un service cloud dont les données sont hébergées en Europe, dont le fournisseur n’est pas soumis à des lois extra-européennes permettant d’accéder aux données, et dont l’exploitation est assurée depuis l’Europe. En France, le repère le plus exigeant est la qualification SecNumCloud délivrée par l’ANSSI.

Le Cloud Act, c’est quoi ?

C’est une loi fédérale américaine de mars 2018. Elle oblige les fournisseurs de services de communications électroniques et de cloud soumis à la juridiction américaine à préserver ou communiquer, sur demande légale des autorités, les données qu’ils ont en leur possession, sous leur garde ou sous leur contrôle, y compris lorsqu’elles sont stockées hors des États-Unis. Elle permet aussi des accords bilatéraux avec des pays partenaires.

Le Cloud Act est-il compatible avec le RGPD ?

Les deux textes peuvent entrer en tension. L’article 48 du RGPD prévoit qu’une décision d’une autorité d’un pays tiers exigeant un transfert n’est reconnue que si elle repose sur un accord international. Le CEPD précise qu’à défaut, le transfert doit trouver une autre base légale et un autre fondement du chapitre V. Aucun accord UE États-Unis sur la preuve électronique n’était conclu à notre connaissance en octobre 2026.

AWS et Azure sont-ils des clouds souverains ?

Pas au sens de SecNumCloud : leurs maisons mères sont américaines. Ils proposent des régions en France et en Europe, des certifications HDS, des clés gérées par le client et des offres dédiées (AWS European Sovereign Cloud, EU Data Boundary et Microsoft Sovereign Cloud). Ces mesures réduisent fortement certains risques, mais ne valent pas qualification SecNumCloud.

SecNumCloud est-il obligatoire pour une entreprise privée ?

Non, pas de manière générale. L’obligation issue de l’article 31 de la loi SREN vise les administrations de l’État, certains de leurs opérateurs et certains GIP pour leurs données particulièrement sensibles. Une entreprise peut toutefois y être contrainte par contrat, par un appel d’offres public ou par ses propres exigences de sécurité.

Chiffrer ses données suffit-il à se protéger du Cloud Act ?

Cela dépend de qui détient les clés. La CNIL indique que le chiffrement côté serveur, où le fournisseur a accès aux clés, ne supprime pas son accès aux données. Seul un chiffrement côté client, avec des clés que vous seul contrôlez, l’en empêche, au prix de contraintes fortes sur les services utilisables.

Sources

• Légifrance : Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (SREN), article 31
• Légifrance : Décret n° 2026-272 du 14 avril 2026 relatif à la protection des données d’une sensibilité particulière traitées par un service d’informatique en nuage
• Légifrance : Arrêté du 12 août 2026 portant approbation du référentiel d’exigences relatif aux prestataires de services d’informatique en nuage
• ANSSI : Référentiel d’exigences SecNumCloud, version 3.2
• ANSSI : FAQ avant de se lancer dans la qualification SecNumCloud
• CNIL : Les pratiques de chiffrement dans l’informatique en nuage (cloud) public
• CNIL : Les principaux avis et recommandations de la CNIL sur la Plateforme des données de santé
• CEPD (EDPB) : Lignes directrices 02/2024 relatives à l’article 48 du RGPD, version 2.1
• Cour de justice de l’UE : communiqué n° 106/25, arrêt du Tribunal dans l’affaire T-553/23, Latombe contre Commission (3 septembre 2025)
• US Department of Justice : CLOUD Act Resources
• Commission européenne : Cybersecurity Package, Questions & Answers (20 janvier 2026)
• Commission européenne : Cloud and AI Development Act
• ENISA : EUCS, Cloud Services Scheme (projet de schéma candidat, décembre 2020)
• Business Wire : S3NS Announces SecNumCloud Qualification for PREMI3NS (décembre 2025)
• Next : SecNumCloud, Bleu vise désormais une qualification pour la fin d’année (octobre 2026)
• Amazon : AWS launches AWS European Sovereign Cloud and announces expansion across Europe (15 janvier 2026)
• AWS Security Blog : AWS European Sovereign Cloud achieves first compliance milestone (mars 2026)
• Microsoft : Microsoft completes landmark EU Data Boundary (26 février 2025)
• Microsoft Learn : What is Microsoft Sovereign Cloud?
• Agence du Numérique en Santé : publication au Journal officiel du référentiel de certification HDS
• AWS : HDS (Hébergeur de Données de Santé)
• Microsoft Learn : Health Data Hosting (HDS) France
• AWS : External key stores (AWS KMS)
• Microsoft Learn : Azure Key Vault Managed HSM overview