Créé par l’ANSSI en 2016, le référentiel SecNumCloud s’est d’abord imposé pour répondre aux exigences réglementaires de certaines organisations sensibles. Dix ans plus tard, des entreprises qui n’y sont pas soumises s’y intéressent à leur tour pour mieux protéger leurs données et réduire leur dépendance aux technologies non européennes.
Directeur Cloud France d’Orange Business, Alexandre Bord analyse cette évolution des enjeux de souveraineté.
Quand on parle de souveraineté en 2026, de quoi parle-t-on réellement ?
Quand nous échangeons avec les entreprises, la première question n’est plus uniquement celle du cloud souverain. Les dirigeants et leurs équipes cherchent avant tout à comprendre comment protéger leurs données et maîtriser leur dépendance aux technologies non européennes. C’est pourquoi je préfère aujourd’hui parler de dépendance maîtrisée plutôt que de cloud souverain.
Pour expliquer cette évolution, il me semble important de distinguer trois niveaux de souveraineté. Le premier est réglementaire : certaines organisations doivent recourir à des offres qualifiées SecNumCloud ou HDS. Le deuxième est une souveraineté choisie. Des entreprises qui ne sont soumises à aucune obligation décident malgré tout de protéger leurs données clients, leurs brevets ou leurs informations stratégiques des lois extraterritoriales. Enfin, le troisième niveau concerne l’autonomie stratégique : comment réduire progressivement la dépendance aux technologies non européennes.
Pourquoi ce sujet prend-il autant d’importance aujourd’hui ?
La géopolitique explique en grande partie cette évolution. Beaucoup d’entreprises françaises considèrent désormais que certaines décisions prises en dehors de l’Europe pourraient, demain, avoir un impact sur leurs données. Cette interrogation n’existait pas avec une telle intensité il y a quelques années. Nous observons que certaines entreprises souhaitent désormais disposer d’un second environnement cloud afin de protéger leurs données contre les effets potentiels des lois extraterritoriales. Cette réflexion dépasse largement les seuls secteurs réglementés.
« Un second cloud permet de mieux protéger certaines données. »
L’extension progressive du champ d’application de SecNumCloud ainsi que l’arrivée de NIS 2 renforcent également cette dynamique. Mais nous constatons surtout que de nombreuses entreprises s’intéressent à ces sujets sans y être contraintes par la réglementation. Elles souhaitent anticiper plutôt que subir.
Qu’est-ce qui change concrètement dans les choix des entreprises ?
Les entreprises raisonnent désormais davantage en fonction de leurs risques que de leurs seules contraintes réglementaires. Les ETI et les grands groupes figurent parmi les organisations les plus avancées sur ces sujets, notamment parce qu’elles disposent d’actifs stratégiques qu’elles souhaitent protéger. Les arbitrages portent sur plusieurs dimensions. Il s’agit bien sûr de protéger les données sensibles, mais aussi d’évaluer la dépendance technologique, les conséquences potentielles du Cloud Act ou encore les questions d’autonomie stratégique.
Les décisions ne reposent donc plus uniquement sur la performance technique d’une plateforme. Elles prennent également en compte les enjeux métiers, les compétences disponibles en interne et le niveau de risque que l’entreprise accepte d’assumer. Cette approche conduit de plus en plus d’organisations à diversifier leurs infrastructures afin d’adapter le niveau de protection à la sensibilité de leurs données.
Peut-on concilier hyperscalers et souveraineté ?
Oui, à condition d’aborder le sujet de manière pragmatique. Les hyperscalers apportent des réponses importantes aux entreprises. Ils permettent de bénéficier d’une présence mondiale, d’une forte capacité d’innovation, d’un catalogue de services très large et d’une grande réactivité. En parallèle, certaines entreprises doivent protéger une partie de leurs données pour des raisons réglementaires ou stratégiques. Dans ce cas, plusieurs solutions existent. Elles peuvent s’appuyer sur des infrastructures qualifiées SecNumCloud ou sur des offres qui visent cette qualification.
« Il ne s’agit pas d’opposer hyperscalers et SecNumCloud. »
L’enjeu n’est donc pas d’opposer les hyperscalers aux clouds qualifiés. Les entreprises doivent analyser leurs enjeux métiers, leurs besoins, leurs compétences et les risques auxquels elles sont exposées avant de faire leurs choix. Les questions liées au Cloud Act ou à une éventuelle dépendance technologique, parfois résumée par la notion de « kill switch », font désormais partie de ces arbitrages. Le rôle d’Orange Business consiste justement à aider les entreprises et les établissements publics à comprendre les différentes options qui s’offrent à eux, afin qu’ils puissent prendre des décisions éclairées et les mettre en œuvre.
Quel impact l’IA a-t-elle sur la dépendance numérique des entreprises ?
L’IA agentique fait circuler beaucoup plus d’informations entre les systèmes. Pour autant, elle repose sur des fondamentaux IT qui restent inchangés : la localisation et la protection des données.
Plus largement, la période actuelle génère beaucoup d’interrogations au sein des directions générales comme des DSI. La géopolitique évolue rapidement, les technologies évoluent tout aussi vite et les solutions disponibles sont nombreuses. Le rôle d’Orange Business est d’aider les entreprises et les établissements publics à comprendre les différentes options qui s’offrent à eux afin qu’ils puissent prendre des décisions éclairées et les mettre en œuvre.
Propose recueillis par Guilhem Thérond, sur le Salon Souveraineté Numérique 2026
