GuidesSécurité

Souverain Cloud ne s’arrête pas au lieu de l’hébergement du serveur

Un seul centre de données allemand ne garantit pas la souveraineté des données.

Par Benedikt Langer 12 juillet 2026 5 min de lecture

Souverain Cloud ne s’arrête pas au lieu de l’hébergement du serveur

Un centre de données allemand sur la facture rassure bien des départements achats. Cela dit cependant peu sur qui peut accéder aux données en cas de crise. Le choix d’une Sovereign Cloud ne se décide pas à l’emplacement du serveur, mais à 4 niveaux au-dessus : Juridique, Exploitation, Clés et Réversibilité.

Les points clés en bref

L’emplacement n’est que 1 critère sur 5. Le US CLOUD Act permet d’accéder aux données d’un groupe américain, que le serveur se trouve à Francfort ou en Virginie. La juridiction dépend du prestataire, pas du matériel.
La maîtrise des clés est le levier le plus puissant. Contrôler soi-même le chiffrement et maintenir les clés hors de portée du prestataire rend tout accès des autorités techniquement inutile.
Sans plan de réversibilité, le lock-in demeure. Une souveraineté qui s’évapore lors d’un changement de prestataire n’est pas véritable. La portabilité doit figurer dans le contrat, pas dans les mentions en petits caractères.

Articles liés :BSI C3A : La souveraineté Cloud devient vérifiable / EU Data Act : Quand les frais de transition cloud disparaissent

Pourquoi l’emplacement du serveur n’est qu’une demi-vérité

La question de l’emplacement est légitime, mais elle reste insuffisante. Ce qui est décisif, c’est la juridiction à laquelle un prestataire est soumis. Un groupe américain est assujetti au CLOUD Act de 2018. Ce dernier l’oblige à accorder aux autorités américaines, sur ordonnance, un accès aux données stockées, quel que soit le pays où se trouvent les serveurs. Un centre de données à Francfort ne change rien à ce cadre juridique.

La souveraineté est donc moins une question de lieu qu’un ensemble de garanties juridiques et techniques. L’emplacement du serveur est le premier critère. Il est nécessaire pour la conformité RGPD, mais ne suffit pas à lui seul. S’arrêter à ce critère lors de la sélection, c’est confondre l’hébergement des données avec la maîtrise des données.

Maîtrise opérationnelle : Qui dispose de l’accès administratif

Le 2e critère concerne l’exploitation courante. Qui administre les systèmes, qui les maintient, et depuis quel pays ? Même avec un centre de données européen, le support peut être assuré par une équipe mondiale ayant théoriquement accès aux données. La souveraineté opérationnelle signifie que l’administration et le support sont confiés à du personnel soumis au droit européen.

Les modèles de Managed-Private-Cloud répondent précisément à cette exigence. L’exploitation reste chez un prestataire européen, souvent avec un périmètre de personnel contractuellement défini pour les accès privilégiés. Pour les secteurs régulés comme la finance ou la santé, ce point n’est pas un confort, mais un prérequis.

Maîtrise des clés : le cas critique technique

Le 3e critère est le levier le plus efficace. Si les données sont chiffrées et que le prestataire ne possède pas les clés, tout accès des autorités est vain. 3 niveaux sont pertinents. Bring Your Own Key signifie que le client fournit ses propres clés, mais les gère dans l’environnement du prestataire. Hold Your Own Key conserve les clés dans un système externe, inaccessible au prestataire. Confidential Computing chiffre les données de manière supplémentaire pendant leur traitement en mémoire vive.

Pour la plupart des workloads, HYOK représente l’état cible pragmatique. L’effort requis est supérieur à celui de BYOK, mais le gain en souveraineté est net : sans la clé externe, les données restent illisibles, même si quelqu’un obtient un accès physique au stockage.

Exit et portabilité : le lock-in silencieux

Le quatrième critère est le plus souvent ignoré. Une infrastructure cloud dont vous ne pouvez sortir sans coûts massifs engendre une dépendance de fait. Le EU Data Act s’attaque à cette question en interdisant les frais de changement excessifs dès 2027. Il ne faut pas s’y reposer : les formats de données propriétaires et les services spécifiques au fournisseur créent également une dépendance, même sans facturation.

La souveraineté pratique exige un chemin d’exit documenté. Quels formats de données peuvent être exportés, combien de temps dure la migration, quels services n’ont pas d’équivalent chez les concurrents ? Si vous ne posez ces questions qu’en cas de litige, vous avez déjà cédé votre levier de manœuvre.

La check-list pour la sélection

Cinq points transforment une promesse marketing en une garantie vérifiable. Vous pouvez les parcourir avant chaque signature de contrat :

Juridiction : Sous quelle loi se trouve le fournisseur, et pas seulement le serveur ?
Exploitation : Qui dispose d’un accès administratif, et de quel pays ?
Clés : La maîtrise des clés appartient-elle au client, idéalement sous forme de HYOK ?
Exit : Existe-t-il un chemin d’exit documenté et abordable ?
Preuve : Les certifications telles que BSI C5 ou le nouveau C3A attestent-elles les engagements de manière indépendante ?

La souveraineté n’est pas un label qu’un fournisseur vous attribue. C’est le résultat de cinq réponses que vous exigez par écrit. La localisation des serveurs occupe la première place dans cette liste, mais ne résout pas le problème à elle seule.

Foire aux questions

Qu’est-ce que la Sovereign Cloud ?

La Sovereign Cloud désigne des services de cloud dont les données et les systèmes sont entièrement sous souveraineté juridique et opérationnelle européenne. Ce terme va bien au-delà de la localisation des serveurs : il exige le contrôle de la juridiction du fournisseur, des accès administratifs, du chiffrement et d’un chemin d’exit documenté.

Un centre de données allemand suffit-il pour la souveraineté des données ?

Non. La localisation répond aux exigences du RGPD en matière de stockage des données, mais elle ne protège pas contre les accès fondés sur la juridiction de l’opérateur. Un groupe américain reste soumis au CLOUD Act, même avec des serveurs en Allemagne.

Que signifie le CLOUD Act américain pour les clients européens ?

Le CLOUD Act oblige les entreprises américaines à accorder aux autorités américaines, sur ordonnance, un accès aux données stockées, indépendamment de leur lieu de stockage. Une protection efficace n’apparaît que lorsque le client conserve lui-même les clés de chiffrement hors de la portée du fournisseur.

Quelle est la différence entre BYOK et HYOK ?

Avec Bring Your Own Key, le client introduit ses propres clés, mais les gère dans l’environnement du fournisseur. Avec Hold Your Own Key, les clés se trouvent dans un système externe sans accès du fournisseur. HYOK offre une souveraineté supérieure, car le fournisseur ne peut techniquement pas déchiffrer les données.

Comment vérifier indépendamment les promesses de souveraineté ?

Par le biais de certifications. Le catalogue BSI C5 documente les engagements de sécurité et d’exploitation, tandis que la nouvelle procédure C3A permet de vérifier ciblément les caractéristiques de souveraineté. Ces deux dispositifs ne remplacent pas un audit interne, mais ils fournissent une base indépendante.