Sécurité offensive
Gouvernance & conformité
Protection des données
La souveraineté numérique est devenue le mot à la mode de l’année. Mais à force d’en faire un objectif en soi, on oublie la seule question qui compte pour un RSSI ou une DSI : souverain pour quoi faire, et à quel prix opérationnel ?
Le gouvernement remplace Teams et Zoom par Visio, l’État somme ses administrations de réduire leurs dépendances extra-européennes, et chaque appel d’offres public ajoute désormais sa ligne « cloud souverain ».
Difficile d’être contre. Pourtant, chez Digitemis, nous accompagnons des organisations qui doivent à la fois se protéger, se conformer et continuer à produire. Et sur le terrain, la souveraineté n’est pas une posture. C’est une dépendance qu’on mesure, qu’on hiérarchise et qu’on pilote.
Commençons par la définition, puisqu’elle est rarement posée. La souveraineté, c’est la capacité à décider par soi-même. En alimentaire, nourrir sa population sans dépendre du bon vouloir d’un pays tiers. En militaire, pouvoir se défendre sans demander l’autorisation. Au numérique, garder la main sur ses données, ses outils et ses fournisseurs, quoi qu’il se décide ailleurs.
« La priorité, c’est la souveraineté » : le glissement à éviter
En posant sa feuille de route devant le Cigref en octobre 2025, la ministre déléguée chargée du Numérique et de l’Intelligence artificielle, Anne Le Hénanff, a placé en tête de ses axes « la nécessité de maîtriser nos dépendances technologiques et de protéger nos données sensibles, notamment avec des solutions cloud non soumises aux lois extraterritoriales ».
Notez la formulation exacte : « maîtriser nos dépendances ». Pas « tout rapatrier », pas « bannir les acteurs américains ». La ministre parle de maîtrise, pas d’autarcie. La nuance disparaît souvent dans la traduction qu’en font les organisations, qui entendent : « il faut être souverain, point ».
C’est là que le raisonnement dérape. La souveraineté n’est pas une finalité. C’est un moyen au service d’un objectif beaucoup plus concret : que votre système d’information tienne, reste sous contrôle et fasse tourner l’activité. Un cloud « souverain » mais lent, mal intégré ou plus cher que ce qu’il remplace ne vous protège pas davantage. Vous avez coché une case, pas réduit un risque.
La vraie priorité d’un décideur cyber n’est pas la souveraineté, à de rares exceptions près, très spécifiques (enjeux liés à la défense, notamment). C’est la performance de son SI sous contrainte de risque. La souveraineté est un des leviers pour y arriver, parmi d’autres.
National ou européen ? Le débat sur lequel on s’épuise
On résume souvent la souveraineté à un choix binaire : français ou pas. La réalité est plus enchevêtrée, et l’épisode EUCS l’a montré sans détour.
L’EUCS, le schéma de certification cloud européen porté par l’ENISA, devait au départ inscrire un critère de souveraineté dans son niveau le plus élevé : pour héberger les données les plus sensibles, un fournisseur aurait dû être immunisé contre les lois extraterritoriales, ce qui excluait de fait les hyperscalers américains. Sous la pression d’États comme l’Allemagne et les Pays-Bas, partisans d’un marché ouvert, ce critère a été retiré du référentiel. La souveraineté européenne version label est passée d’exigence structurante à option.
Conséquence directe : le référentiel national SecNumCloud, qualifié par l’ANSSI, retrouve toute sa valeur, parce qu’il reste le seul, à ce niveau, à garantir l’indépendance vis-à-vis des juridictions non européennes.
La leçon n’est pas « le national vaut mieux que l’européen ». Elle est plus inconfortable : un label, qu’il soit tricolore ou étoilé, ne fait pas le travail. Un référentiel peut être détricoté en commission. Ce qui protège vraiment une organisation, ce n’est pas la couleur du tampon, c’est sa capacité à savoir précisément de qui elle dépend, pour quelles données, et ce qui se passe le jour où ce fournisseur change de règles ou coupe le service.
La vraie question : qu’est-ce que vous maîtrisez, concrètement ?
Déplaçons le curseur. Au lieu de demander « est-ce souverain ? », posez les questions qui pilotent réellement le risque.
- Pouvez-vous changer de fournisseur sans tout reconstruire ? La réversibilité, les frais de sortie et l’interopérabilité disent bien plus sur votre autonomie que le pays d’hébergement.
- Que se passe-t-il si ce fournisseur augmente fortement ses tarifs ou modifie ses conditions unilatéralement ? La dépendance financière est une dépendance comme une autre. Elle se mesure à ce que vous pouvez refuser sans mettre votre production à l’arrêt.
- Que se passe-t-il en mode dégradé, si le service tombe ou si l’accès est coupé ? La continuité en cas de défaillance d’un tiers est un test de souveraineté plus honnête qu’une fiche produit.
- Qui peut, juridiquement, accéder à vos données ou « éteindre le bouton » ? L’exposition aux lois extraterritoriales se vérifie dans les contrats, pas dans les plaquettes commerciales.
Ces questions ne mesurent pas un patriotisme technologique. Elles mesurent une dépendance et la marge de manœuvre qui vous reste. C’est exactement ce que recommande la voie de la diversification des fournisseurs, des standards ouverts et du développement de capacités internes sur les domaines critiques : des leviers de maîtrise, pas de repli.
Bonne nouvelle : tout cela se mesure désormais
L’intérêt de 2026, c’est qu’on sort enfin du slogan pour entrer dans l’indicateur. Deux dispositifs publics, lancés le même jour, en témoignent.
Le 26 janvier 2026, le Haut-commissariat à la Stratégie et au Plan, dirigé par Clément Beaune, a lancé l’Observatoire de la souveraineté numérique, dont l’objet tient en une phrase : mesurer les dépendances numériques de la France pour mieux les réduire. Cloud, données, IA, cybersécurité : l’Observatoire dresse un diagnostic et fournit des outils d’aide à la décision aux acheteurs.
Le même jour, Bercy a présenté l’Indice de résilience numérique (IRN), un outil non contraignant qui transforme une notion abstraite en score. L’IRN évalue une organisation sur huit piliers : stratégique, économique et juridique, data et IA, opérationnel, supply chain, technologique, sécurité, environnemental. Chaque critère reçoit une note de 0 à 100, l’organisation étant classée résiliente ou non sur chacun.
Regardez la liste de ces huit dimensions. Une seule, le volet juridique, relève directement de la « souveraineté » au sens où on l’entend dans le débat public. Les sept autres parlent de réversibilité, de continuité, de diversification, d’interopérabilité. Autrement dit : de performance et de maîtrise. L’État lui-même range la souveraineté comme un critère parmi huit, pas comme l’alpha et l’oméga.
Pour une DSI ou un RSSI, c’est utile très concrètement : ces grilles donnent un langage commun pour porter le sujet en comité de direction. Le débat quitte le terrain des intentions. Il porte sur un score, des écarts identifiés et un plan de réduction des dépendances critiques.
La proximité, la dépendance que vous maîtrisez le mieux
Reste un angle qu’on oublie presque toujours dans ce débat, et c’est peut-être le plus parlant pour une entreprise.
Digitemis est née en Vendée. Nous avons grandi dans le grand Ouest, entre Nantes, Angers et Paris. Et ce qu’on observe chez nos plus de 650 clients, c’est que la confiance ne vient pas d’un fournisseur estampillé « français ». Elle vient d’un prestataire qui connaît leur terrain, leur secteur, et qui répond quand ils appellent.
Un prestataire qui peut être chez vous dans l’heure, qui connaît le tissu économique local, qui décroche quand vous appelez et qui n’a pas de chaîne de décision à l’autre bout du monde : voilà une dépendance que vous maîtrisez vraiment. La proximité, c’est de la réversibilité humaine. C’est la garantie qu’aucun « kill switch » lointain, aucun fuseau horaire, aucune barrière contractuelle ne s’interpose entre un incident et la personne qui le traite.
On peut être un pure player tricolore certifié et rester, pour son client, une boîte noire injoignable. Et on peut être un acteur régional qui apporte, par sa proximité, un niveau de contrôle qu’aucun label ne décrit. La souveraineté qui compte au quotidien, ce n’est pas seulement celle des serveurs. C’est celle de la relation.
Ce qu’on en retient sur le terrain
Traiter la souveraineté comme une fin en soi mène à des choix coûteux, parfois contre-productifs. La traiter pour ce qu’elle est, un levier parmi d’autres pour maîtriser ses dépendances et garder un SI performant, la rend enfin utilisable.
Le point de départ, c’est votre cartographie. Quelles dépendances sont critiques, lesquelles sont réversibles, lesquelles vous exposent à une juridiction étrangère ou à un fournisseur unique. C’est ce diagnostic qui dit si vous êtes maître de votre SI.
C’est exactement le travail que nous menons avec nos clients. Nous conduisons des diagnostics de souveraineté numérique, avec une méthodologie bâtie sur trois appuis : l’Indice de résilience numérique, les travaux de l’Observatoire de la souveraineté numérique et ce que nous avons appris sur le terrain. Le livrable est concret. Vos dépendances cartographiées, hiérarchisées par le risque, et une trajectoire qui tient compte de votre contexte réel : budget, contraintes réglementaires, niveau de maturité.
Si vous voulez avancer sur le sujet, contactez-nous.
Sources
- Anne Le Hénanff, feuille de route Numérique (Cigref, octobre 2025), Acteurs Publics
- Lancement de l’Observatoire de la souveraineté numérique, Haut-commissariat à la Stratégie et au Plan, 26 janvier 2026
- Indice de résilience numérique (IRN), Bercy, Le Monde Informatique
- EUCS : la souveraineté retirée du label cloud européen, IT Social
- Le recadrage de l’EUCS redonne sa valeur au SecNumCloud, L’Usine Digitale
- Souveraineté numérique : réduction des dépendances extra-européennes, DINUM