GuidesSécurité

Souverain Cloud ne s’arrête pas au lieu de l’hébergement du serveur

Un seul centre de données allemand ne garantit pas la souveraineté des données.

Par Benedikt Langer 12 juillet 2026 5 min de lecture

Souverain Cloud ne s’arrête pas au lieu de l’hébergement du serveur

Un data center allemande sur la facture rassure de nombreux services achats. Cela en dit cependant peu sur qui peut accéder aux données en cas de besoin. La souveraineté cloud ne se décide pas en fonction de l’emplacement du serveur, mais selon quatre niveaux : juridique, opérationnel, des clés et de sortie.

Les points clés en bref

L’emplacement n’est que le premier critère sur cinq. Le CLOUD Act américain permet aux autorités d’accéder aux données d’une entreprise américaine, que le serveur se trouve à Francfort ou en Virginie. La juridiction dépend du fournisseur, pas du matériel.
La maîtrise des clés est le levier le plus puissant. Qui contrôle lui-même le chiffrement et conserve les clés hors de portée du fournisseur rend toute tentative d’accès par les autorités techniquement inefficace.
Sans plan de sortie, c’est l’enfermement. Une souveraineté qui disparaît lors du changement de fournisseur n’en est pas une. La portabilité doit figurer dans le contrat, pas dans les petites lignes.

Articles associés :BSI C3A : la souveraineté cloud devient vérifiable / Data Act de l’UE : quand les frais de changement de cloud disparaissent

Pourquoi l’emplacement du serveur ne dit qu’une partie de la vérité

La question de l’emplacement est légitime, mais elle reste insuffisante. Ce qui compte, c’est la juridiction sous laquelle se trouve un fournisseur. Une entreprise américaine est soumise au CLOUD Act de 2018. Celui-ci l’oblige à donner accès aux données stockées aux autorités américaines sur demande, quel que soit le pays où se trouvent les serveurs. Un data center à Francfort ne change rien à cette situation juridique.

La souveraineté est donc moins une question de lieu qu’un ensemble d’engagements juridiques et techniques. L’emplacement du serveur est le premier critère. Il est nécessaire pour la conformité au RGPD, mais ne suffit pas à lui seul. Qui s’arrête là confond stockage des données et maîtrise des données.

Maîtrise opérationnelle : qui a accès administrativement

Le deuxième critère concerne le fonctionnement quotidien. Qui administre les systèmes, qui les maintient, et depuis quel pays ? Même dans un data center européen, le support peut être assuré par une équipe mondiale ayant potentiellement accès aux données. La souveraineté opérationnelle signifie que l’administration et le support sont assurés par du personnel soumis au droit européen.

Les modèles de cloud privé géré s’appuient précisément sur ce point. L’exploitation reste entre les mains d’un fournisseur européen, souvent avec une liste contractuelle des personnes autorisées à accéder aux données sensibles. Pour les secteurs réglementés comme la finance ou la santé, ce point n’est pas un confort, mais une exigence.

Maîtrise des clés : le scénario critique technique

Le troisième critère est le levier le plus efficace. Si les données sont chiffrées et que le fournisseur ne possède pas les clés, toute tentative d’accès par les autorités devient vaine. Trois niveaux sont pertinents. Bring Your Own Key signifie que le client apporte ses propres clés, mais les gère dans l’environnement du fournisseur. Hold Your Own Key conserve les clés dans un système externe inaccessible au fournisseur. Le Confidential Computing chiffre en plus les données pendant leur traitement en mémoire vive.

Pour la plupart des charges de travail, HYOK est l’état cible pragmatique. L’effort est plus important que pour BYOK, mais le gain en souveraineté est bien plus marqué : sans la clé externe, les données restent illisibles, même en cas d’accès physique à la mémoire.

Sortie et portabilité : l’enfermement silencieux

Le quatrième critère est souvent négligé. Une solution cloud dont on ne peut sortir sans engager des coûts exorbitants crée une dépendance de fait. Le Data Act européen aborde cette question en interdisant, à partir de 2027, les frais de migration excessifs. Il ne faut cependant pas s’y fier aveuglément : les formats de données propriétaires et les services spécifiques à un fournisseur maintiennent un verrouillage même sans frais.

Une véritable souveraineté exige un plan de sortie documenté. Quels formats de données peuvent être exportés ? Combien de temps prend la migration ? Quels services n’ont pas d’équivalent chez la concurrence ? Si l’on ne se pose ces questions qu’en cas de litige, on a déjà perdu le contrôle de la situation.

La checklist pour bien choisir

Cinq points transforment une promesse marketing en garantie vérifiable. Ils peuvent être passés en revue avant tout engagement contractuel :

Juridiction : Sous quel droit opère le fournisseur, et pas seulement le serveur ?
Exploitation : Qui a accès en administration, et depuis quel pays ?
Clés : La maîtrise des clés appartient-elle au client, idéalement sous forme de HYOK ?
Sortie : Existe-t-il un plan de sortie documenté et abordable ?
Preuve : Les certifications comme BSI C5 ou la nouvelle C3A attestent-elles ces engagements de manière indépendante ?

La souveraineté n’est pas un label apposé par un fournisseur. Elle résulte des cinq réponses que l’on obtient par écrit. La localisation du serveur figure en tête de liste, mais ne suffit pas à elle seule pour trancher.

Foire aux questions

Qu’est-ce que le cloud souverain ?

Le cloud souverain désigne des services cloud où les données et les systèmes sont entièrement soumis au droit et à la maîtrise opérationnelle européens. Ce terme va bien au-delà de la localisation des serveurs : il implique le contrôle de la juridiction du fournisseur, l’accès administratif, le chiffrement et un plan de sortie documenté.

Un data center allemand suffit-il pour garantir la souveraineté des données ?

Non. La localisation respecte les exigences du RGPD en matière de stockage des données, mais ne protège pas contre les accès liés à la juridiction du fournisseur. Une entreprise américaine reste soumise au CLOUD Act, même si ses serveurs sont situés en Allemagne.

Que signifie le CLOUD Act américain pour les clients européens ?

Le CLOUD Act oblige les entreprises américaines à accorder l’accès aux données stockées, sur demande des autorités américaines, quel que soit leur lieu de stockage. Une protection efficace n’est possible que si le client conserve lui-même les clés de chiffrement hors de portée du fournisseur.

Quelle est la différence entre BYOK et HYOK ?

Avec le BYOK (Bring Your Own Key), le client fournit ses propres clés, mais les gère dans l’environnement du fournisseur. Avec le HYOK (Hold Your Own Key), les clés sont stockées dans un système externe inaccessible au fournisseur. Le HYOK offre une souveraineté supérieure, car le fournisseur ne peut techniquement pas déchiffrer les données.

Comment vérifier de manière indépendante les promesses de souveraineté ?

À l’aide de certifications. Le catalogue BSI C5 documente les engagements en matière de sécurité et d’exploitation, tandis que la nouvelle procédure C3A rend les caractéristiques de souveraineté vérifiables. Ces deux outils ne remplacent pas une évaluation interne, mais fournissent une base indépendante.