Les points cl\u00e9s en bref<\/h2>\n\n- 250 millions d\u2019euros, deux lots :<\/strong> Le consortium autour de T-Systems et SAP remporte 70 %, tandis que le consortium compos\u00e9 de SVA, Schwarz Digits et Codesphere en d\u00e9tient 30 %. Aucun lot n\u2019est attribu\u00e9 \u00e0 un hyperscaler am\u00e9ricain.<\/li>\n
- La souverainet\u00e9 est inscrite dans le contrat, pas dans le marketing :<\/strong> Zero-Trust, Bring Your Own Key et les composants Open Source sont des conditions d\u2019attribution, pas des options. Les op\u00e9rateurs, l\u2019infrastructure et la gestion des cl\u00e9s sont ancr\u00e9s dans l\u2019UE.<\/li>\n
- L\u2019enseignement pour les op\u00e9rateurs priv\u00e9s :<\/strong> Qui veut vendre de la souverainet\u00e9 doit fournir la ma\u00eetrise des cl\u00e9s, des interfaces ouvertes et une conformit\u00e9 v\u00e9rifiable, pas seulement l\u2019affirmer. L\u2019\u00c9tat f\u00e9d\u00e9ral vient de d\u00e9finir \u00e0 quoi ressemble le cahier des charges.<\/li>\n<\/ul>\n
En lien :<\/span>Mod\u00e8le Frontier hors ligne par d\u00e9cision administrative \/<\/span> NIS2 et DORA : s\u00e9parer proprement les clusters de conformit\u00e9 dans Kubernetes<\/a><\/p>\n1. La souverainet\u00e9 devient un crit\u00e8re d\u2019attribution, pas un simple mot<\/h2>\n
\u00ab Souverainet\u00e9 num\u00e9rique \u00bb a longtemps sonn\u00e9 comme un discours solennel. Dans cet appel d\u2019offres, le terme devient une condition de r\u00e9ception assortie de crit\u00e8res de v\u00e9rification. L\u2019\u00c9tat f\u00e9d\u00e9ral exige que les op\u00e9rateurs, l\u2019infrastructure, la gestion des cl\u00e9s et les logiciels de la plateforme soient enti\u00e8rement ancr\u00e9s dans l\u2019UE. Pour la premi\u00e8re fois, un cloud d\u2019IA f\u00e9d\u00e9ral voit le jour sur une stack o\u00f9 aucun lot n\u2019est attribu\u00e9 \u00e0 un hyperscaler am\u00e9ricain.<\/p>\n
Concr\u00e8tement, cela signifie deux choses qui comptent en exploitation. Premi\u00e8rement, le Zero-Trust : chaque acc\u00e8s est v\u00e9rifi\u00e9 individuellement, qu\u2019il provienne du r\u00e9seau interne ou externe. Deuxi\u00e8mement, le Bring Your Own Key : les administrations utilisatrices conservent le contr\u00f4le cryptographique de leurs propres cl\u00e9s, l\u2019op\u00e9rateur de la plateforme ne devant pas avoir acc\u00e8s aux donn\u00e9es en clair. Voici la d\u00e9finition technique du contr\u00f4le, pas la d\u00e9finition juridique.<\/p>\n
Pour les op\u00e9rateurs priv\u00e9s, le message est sans \u00e9quivoque. Une souverainet\u00e9 sans ma\u00eetrise des cl\u00e9s n\u2019est qu\u2019une \u00e9tiquette. Ceux qui souhaitent servir des clients du secteur public ou des secteurs r\u00e9gul\u00e9s seront d\u00e9sormais \u00e9valu\u00e9s pr\u00e9cis\u00e9ment sur ces deux points.<\/p>\n
2. L’open source est devenu une obligation contractuelle<\/h2>\n
La plateforme doit s’appuyer explicitement sur des interfaces ouvertes et autoriser les composants open source. Cela ressemble \u00e0 une d\u00e9claration de principe, mais agit comme un frein au verrouillage. L’\u00c9tat f\u00e9d\u00e9ral a tir\u00e9 les le\u00e7ons du pass\u00e9 : un cloud dont les interfaces appartiennent \u00e0 un seul fournisseur n’est pas un cloud souverain, mais une d\u00e9pendance avec un centre de donn\u00e9es allemand.<\/p>\n
L’effet est strat\u00e9gique. Les interfaces ouvertes r\u00e9duisent les co\u00fbts de migration et maintiennent la concurrence ouverte au sein de la stack. C’est pr\u00e9cis\u00e9ment cette logique qui motive \u00e9galement les op\u00e9rateurs priv\u00e9s cherchant \u00e0 ma\u00eetriser leurs co\u00fbts multi-cloud, comme le montre le mod\u00e8le de cloud broker<\/a>. L\u00e0 o\u00f9 les standards ouverts s’appliquent, le pouvoir de n\u00e9gociation revient au client.<\/p>\nL’\u00e9preuve de v\u00e9rit\u00e9 r\u00e9side dans l’exit. Une plateforme n’est consid\u00e9r\u00e9e comme ouverte que si le passage \u00e0 un autre op\u00e9rateur ne d\u00e9clenche pas un projet de migration s’\u00e9talant sur des mois. Les composants open source et les interfaces document\u00e9es transforment une option de migration th\u00e9orique en une possibilit\u00e9 concr\u00e8te. Pour les op\u00e9rateurs, cela signifie : celui qui construit ouvert doit tester activement l’exit, et non se contenter de le promettre. Un export de donn\u00e9es n\u00e9cessitant trois semaines de travail manuel en cas d’urgence ne constitue pas, dans le cahier des charges de l’\u00c9tat f\u00e9d\u00e9ral, une preuve de souverainet\u00e9.<\/p>\n
\nL’attribution en chiffres<\/p>\n
70 \/ 30<\/strong> R\u00e9partition des lots : T-Systems et SAP en t\u00eate, suivis par SVA avec Schwarz Digits et Codesphere.
\n0<\/strong> Lots attribu\u00e9s aux hyperscalers am\u00e9ricains.
\nISO 27001, BSI C5<\/strong> Base de conformit\u00e9, avec le catalogue de souverainet\u00e9 C3A comme prochaine \u00e9tape annonc\u00e9e.<\/p>\n<\/div>\n3. PaaS signifie : l’\u00c9tat f\u00e9d\u00e9ral loue la plateforme, pas la responsabilit\u00e9<\/h2>\n
Le cloud est explicitement attribu\u00e9 en tant que Platform-as-a-Service, et non comme une simple infrastructure. Le consortium autour de T-Systems et SAP fournit les services PaaS, SVA assume l’architecture et l’int\u00e9gration, Schwarz Digits met \u00e0 disposition l’infrastructure via la stack cloud certifi\u00e9e BSI StackIT, et Codesphere apporte la couche plateforme. Les t\u00e2ches sont clairement s\u00e9par\u00e9es, mais la responsabilit\u00e9 reste du c\u00f4t\u00e9 de l’\u00c9tat f\u00e9d\u00e9ral.<\/p>\n
C’est pr\u00e9cis\u00e9ment le point o\u00f9 de nombreux d\u00e9bats sur la souverainet\u00e9 achoppent. Le PaaS externalise l’exploitation, mais pas la responsabilit\u00e9. Celui qui loue la plateforme doit tout de m\u00eame savoir comment les cl\u00e9s sont renouvel\u00e9es, comment les incidents sont escalad\u00e9s et qui d\u00e9croche le t\u00e9l\u00e9phone \u00e0 03h40 en cas d’urgence. La question de l’op\u00e9rateur ne dispara\u00eet pas, elle est simplement d\u00e9l\u00e9gu\u00e9e aux contrats.<\/p>\n
Pour les fournisseurs priv\u00e9s, il est int\u00e9ressant d’examiner les calculs sous-jacents. La rentabilit\u00e9 d’une stack souveraine d\u00e9pend de l’utilisation, du personnel et des choix make-or-buy, une question que Digital Chiefs analyse \u00e0 travers des mod\u00e8les de co\u00fbts concrets<\/a>.<\/p>\n4. Le niveau d’exigence en mati\u00e8re de conformit\u00e9 s’\u00e9l\u00e8ve de mani\u00e8re mesurable<\/h2>\n
Les r\u00e9f\u00e9rences sont la norme ISO\/IEC 27001 et le BSI C5. L’appel d’offres mentionne ensuite le catalogue de souverainet\u00e9 C3A, qui renforce la preuve de souverainet\u00e9. Il ne s’agit pas d’une simple case \u00e0 cocher dans le cahier des charges. Cela d\u00e9finit un objectif mouvant : celui qui livre aujourd’hui doit pouvoir prouver qu’il r\u00e9pondra demain aux exigences plus strictes du catalogue.<\/p>\n![\"3.](\"https:\/\/www.cloudmagazin.com\/wp-content\/uploads\/2026\/06\/post-iav0-hero-6.jpg\")
L’\u00c9tat utilise des services PaaS \u2013 mais la responsabilit\u00e9 lui incombe.<\/figcaption><\/figure>\nC’est pr\u00e9cis\u00e9ment ici que l’ambition se distingue de l’exploitation. La souverainet\u00e9, le Zero-Trust et la gestion auditable des cl\u00e9s doivent fonctionner ensemble, sinon on obtient une \u00ab\u00a0s\u00e9curit\u00e9 par incident\u00a0\u00bb au lieu d’une \u00ab\u00a0s\u00e9curit\u00e9 par conception\u00a0\u00bb. En cas de doute, la diff\u00e9rence peut co\u00fbter une semaine de sommeil et une question de surveillance, comme le montre le d\u00e9bat parall\u00e8le autour de NIS2 et DORA dans les clusters Kubernetes<\/a>.<\/p>\nUn objectif de conformit\u00e9 mouvant modifie \u00e9galement la logique contractuelle. Celui qui vend une certification comme une photographie instantan\u00e9e \u00e9choue d\u00e8s que le prochain catalogue entre en vigueur. Plus judicieux est un mod\u00e8le d’exploitation qui planifie les audits comme un rythme r\u00e9current : la rotation des cl\u00e9s, la journalisation et la production de preuves s’effectuent en continu, et non uniquement lors du contr\u00f4le. Pour les op\u00e9rateurs priv\u00e9s, c’est la cons\u00e9quence inconfortable de l’attribution. La barre ne reste pas en place, donc le concept de s\u00e9curit\u00e9 ne doit pas non plus stagner.<\/p>\n\n\n”<\/span><\/p>\n\/\/ Propos<\/div>\nAvec le cloud IA, nous cr\u00e9ons la colonne vert\u00e9brale d’une administration souveraine, num\u00e9rique et capable d’IA.<\/p>\n
En lien :<\/span>Mod\u00e8le Frontier hors ligne par d\u00e9cision administrative \/<\/span> NIS2 et DORA : s\u00e9parer proprement les clusters de conformit\u00e9 dans Kubernetes<\/a><\/p>\n \u00ab Souverainet\u00e9 num\u00e9rique \u00bb a longtemps sonn\u00e9 comme un discours solennel. Dans cet appel d\u2019offres, le terme devient une condition de r\u00e9ception assortie de crit\u00e8res de v\u00e9rification. L\u2019\u00c9tat f\u00e9d\u00e9ral exige que les op\u00e9rateurs, l\u2019infrastructure, la gestion des cl\u00e9s et les logiciels de la plateforme soient enti\u00e8rement ancr\u00e9s dans l\u2019UE. Pour la premi\u00e8re fois, un cloud d\u2019IA f\u00e9d\u00e9ral voit le jour sur une stack o\u00f9 aucun lot n\u2019est attribu\u00e9 \u00e0 un hyperscaler am\u00e9ricain.<\/p>\n Concr\u00e8tement, cela signifie deux choses qui comptent en exploitation. Premi\u00e8rement, le Zero-Trust : chaque acc\u00e8s est v\u00e9rifi\u00e9 individuellement, qu\u2019il provienne du r\u00e9seau interne ou externe. Deuxi\u00e8mement, le Bring Your Own Key : les administrations utilisatrices conservent le contr\u00f4le cryptographique de leurs propres cl\u00e9s, l\u2019op\u00e9rateur de la plateforme ne devant pas avoir acc\u00e8s aux donn\u00e9es en clair. Voici la d\u00e9finition technique du contr\u00f4le, pas la d\u00e9finition juridique.<\/p>\n Pour les op\u00e9rateurs priv\u00e9s, le message est sans \u00e9quivoque. Une souverainet\u00e9 sans ma\u00eetrise des cl\u00e9s n\u2019est qu\u2019une \u00e9tiquette. Ceux qui souhaitent servir des clients du secteur public ou des secteurs r\u00e9gul\u00e9s seront d\u00e9sormais \u00e9valu\u00e9s pr\u00e9cis\u00e9ment sur ces deux points.<\/p>\n La plateforme doit s’appuyer explicitement sur des interfaces ouvertes et autoriser les composants open source. Cela ressemble \u00e0 une d\u00e9claration de principe, mais agit comme un frein au verrouillage. L’\u00c9tat f\u00e9d\u00e9ral a tir\u00e9 les le\u00e7ons du pass\u00e9 : un cloud dont les interfaces appartiennent \u00e0 un seul fournisseur n’est pas un cloud souverain, mais une d\u00e9pendance avec un centre de donn\u00e9es allemand.<\/p>\n L’effet est strat\u00e9gique. Les interfaces ouvertes r\u00e9duisent les co\u00fbts de migration et maintiennent la concurrence ouverte au sein de la stack. C’est pr\u00e9cis\u00e9ment cette logique qui motive \u00e9galement les op\u00e9rateurs priv\u00e9s cherchant \u00e0 ma\u00eetriser leurs co\u00fbts multi-cloud, comme le montre le mod\u00e8le de cloud broker<\/a>. L\u00e0 o\u00f9 les standards ouverts s’appliquent, le pouvoir de n\u00e9gociation revient au client.<\/p>\n L’\u00e9preuve de v\u00e9rit\u00e9 r\u00e9side dans l’exit. Une plateforme n’est consid\u00e9r\u00e9e comme ouverte que si le passage \u00e0 un autre op\u00e9rateur ne d\u00e9clenche pas un projet de migration s’\u00e9talant sur des mois. Les composants open source et les interfaces document\u00e9es transforment une option de migration th\u00e9orique en une possibilit\u00e9 concr\u00e8te. Pour les op\u00e9rateurs, cela signifie : celui qui construit ouvert doit tester activement l’exit, et non se contenter de le promettre. Un export de donn\u00e9es n\u00e9cessitant trois semaines de travail manuel en cas d’urgence ne constitue pas, dans le cahier des charges de l’\u00c9tat f\u00e9d\u00e9ral, une preuve de souverainet\u00e9.<\/p>\n L’attribution en chiffres<\/p>\n 70 \/ 30<\/strong> R\u00e9partition des lots : T-Systems et SAP en t\u00eate, suivis par SVA avec Schwarz Digits et Codesphere. Le cloud est explicitement attribu\u00e9 en tant que Platform-as-a-Service, et non comme une simple infrastructure. Le consortium autour de T-Systems et SAP fournit les services PaaS, SVA assume l’architecture et l’int\u00e9gration, Schwarz Digits met \u00e0 disposition l’infrastructure via la stack cloud certifi\u00e9e BSI StackIT, et Codesphere apporte la couche plateforme. Les t\u00e2ches sont clairement s\u00e9par\u00e9es, mais la responsabilit\u00e9 reste du c\u00f4t\u00e9 de l’\u00c9tat f\u00e9d\u00e9ral.<\/p>\n C’est pr\u00e9cis\u00e9ment le point o\u00f9 de nombreux d\u00e9bats sur la souverainet\u00e9 achoppent. Le PaaS externalise l’exploitation, mais pas la responsabilit\u00e9. Celui qui loue la plateforme doit tout de m\u00eame savoir comment les cl\u00e9s sont renouvel\u00e9es, comment les incidents sont escalad\u00e9s et qui d\u00e9croche le t\u00e9l\u00e9phone \u00e0 03h40 en cas d’urgence. La question de l’op\u00e9rateur ne dispara\u00eet pas, elle est simplement d\u00e9l\u00e9gu\u00e9e aux contrats.<\/p>\n Pour les fournisseurs priv\u00e9s, il est int\u00e9ressant d’examiner les calculs sous-jacents. La rentabilit\u00e9 d’une stack souveraine d\u00e9pend de l’utilisation, du personnel et des choix make-or-buy, une question que Digital Chiefs analyse \u00e0 travers des mod\u00e8les de co\u00fbts concrets<\/a>.<\/p>\n Les r\u00e9f\u00e9rences sont la norme ISO\/IEC 27001 et le BSI C5. L’appel d’offres mentionne ensuite le catalogue de souverainet\u00e9 C3A, qui renforce la preuve de souverainet\u00e9. Il ne s’agit pas d’une simple case \u00e0 cocher dans le cahier des charges. Cela d\u00e9finit un objectif mouvant : celui qui livre aujourd’hui doit pouvoir prouver qu’il r\u00e9pondra demain aux exigences plus strictes du catalogue.<\/p>\n C’est pr\u00e9cis\u00e9ment ici que l’ambition se distingue de l’exploitation. La souverainet\u00e9, le Zero-Trust et la gestion auditable des cl\u00e9s doivent fonctionner ensemble, sinon on obtient une \u00ab\u00a0s\u00e9curit\u00e9 par incident\u00a0\u00bb au lieu d’une \u00ab\u00a0s\u00e9curit\u00e9 par conception\u00a0\u00bb. En cas de doute, la diff\u00e9rence peut co\u00fbter une semaine de sommeil et une question de surveillance, comme le montre le d\u00e9bat parall\u00e8le autour de NIS2 et DORA dans les clusters Kubernetes<\/a>.<\/p>\n Un objectif de conformit\u00e9 mouvant modifie \u00e9galement la logique contractuelle. Celui qui vend une certification comme une photographie instantan\u00e9e \u00e9choue d\u00e8s que le prochain catalogue entre en vigueur. Plus judicieux est un mod\u00e8le d’exploitation qui planifie les audits comme un rythme r\u00e9current : la rotation des cl\u00e9s, la journalisation et la production de preuves s’effectuent en continu, et non uniquement lors du contr\u00f4le. Pour les op\u00e9rateurs priv\u00e9s, c’est la cons\u00e9quence inconfortable de l’attribution. La barre ne reste pas en place, donc le concept de s\u00e9curit\u00e9 ne doit pas non plus stagner.<\/p>\n \n”<\/span><\/p>\n Avec le cloud IA, nous cr\u00e9ons la colonne vert\u00e9brale d’une administration souveraine, num\u00e9rique et capable d’IA.<\/p>\n1. La souverainet\u00e9 devient un crit\u00e8re d\u2019attribution, pas un simple mot<\/h2>\n
2. L’open source est devenu une obligation contractuelle<\/h2>\n
\n0<\/strong> Lots attribu\u00e9s aux hyperscalers am\u00e9ricains.
\nISO 27001, BSI C5<\/strong> Base de conformit\u00e9, avec le catalogue de souverainet\u00e9 C3A comme prochaine \u00e9tape annonc\u00e9e.<\/p>\n<\/div>\n3. PaaS signifie : l’\u00c9tat f\u00e9d\u00e9ral loue la plateforme, pas la responsabilit\u00e9<\/h2>\n
4. Le niveau d’exigence en mati\u00e8re de conformit\u00e9 s’\u00e9l\u00e8ve de mani\u00e8re mesurable<\/h2>\n