Guide de référence
Souveraineté numérique et certifications cloud : ce que recouvrent SecNumCloud, SEAL et CADA
Localiser ses données en France ne suffit pas à être souverain. Ce guide démêle les trois dimensions de la souveraineté, le risque du CLOUD Act, et les référentiels qui structurent le marché : SecNumCloud, HDS, ISO 27001, le Cloud Sovereignty Framework européen, les niveaux SEAL et le règlement CADA.
Mis à jour le 1 octobre 2026
« Cloud souverain » est devenu un argument de vente, parfois au prix de la précision. Un datacenter en France ne met pas automatiquement vos données à l'abri d'une injonction étrangère, et un logo de conformité ne vaut pas toujours le rapport d'audit qui devrait l'accompagner. Pour choisir en connaissance de cause, il faut distinguer ce qui relève de la localisation, de la conformité et de la souveraineté réelle.
Ce guide pose les définitions, cartographie les référentiels français et européens au 1er octobre 2026, et explique comment lire un niveau SEAL ou une qualification SecNumCloud. Il dit aussi, sans détour, où se situe France Nuage : des faits vérifiables, pas des logos que nous ne détenons pas.
Localiser ses données ne suffit pas : les trois dimensions de la souveraineté
Stocker ses données en France ou dans l'Union européenne est le premier niveau de toutes les grilles européennes. C'est nécessaire, mais insuffisant. La souveraineté se lit sur trois dimensions qui doivent toutes tenir.
- Juridique. Quel droit s'applique à votre fournisseur, et surtout quel droit peut le contraindre ? Un datacenter à Paris exploité par une société soumise au droit américain reste exposé aux demandes d'accès extraterritoriales.
- Opérationnelle. Qui exploite, supporte, met à jour et peut couper le service ? Où sont les équipes, les astreintes, les clés de chiffrement ? Le service survit-il au retrait d'un tiers non européen ?
- Technologique. De quoi est faite la pile (matériel, hyperviseur, logiciels, identité, DNS) ? Est-elle ouverte, auditable et substituable, ou dépend-elle de composants propriétaires contrôlés ailleurs ?
Le Cloud Sovereignty Framework de la Commission européenne et le projet de règlement CADA reprennent précisément ce découpage. Une offre qui coche la seule localisation, mais laisse la contrainte juridique et le contrôle opérationnel hors d'Europe, n'est pas souveraine.
Le risque extraterritorial : CLOUD Act, FISA et kill switch
Le cœur du sujet n'est pas où sont les données, mais qui peut les réclamer ou couper le service.
- CLOUD Act (2018). Il permet aux autorités américaines d'exiger d'un fournisseur soumis au droit des États-Unis les données qu'il contrôle, où qu'elles soient stockées, y compris dans une région européenne.
- FISA 702 et surveillance. Le cadre de surveillance américain est à l'origine des arrêts Schrems I et II de la Cour de justice de l'Union européenne. Le Data Privacy Framework de 2023 encadre à nouveau les transferts, mais reste juridiquement contesté et politiquement révocable.
- Risque de coupure. Une sanction, un embargo ou une décision politique peuvent contraindre un fournisseur non européen à suspendre un service.
- Dépendances invisibles. Même sur un cloud européen, l'identité, le DNS, le CDN, l'e-mail transactionnel, les registres de conteneurs et les modèles d'IA sont souvent américains par défaut.
La réponse européenne consiste à sortir du oui ou non binaire pour mesurer des niveaux d'assurance. C'est l'objet des niveaux SEAL et de la qualification SecNumCloud. Pour le volet défensif de cette exposition, voyez aussi notre page résilience numérique et le comparatif alternative souveraine au CLOUD Act.
SecNumCloud, HDS, ISO 27001 et les référentiels européens
Plusieurs référentiels coexistent, avec des portées très différentes. Certains certifient la sécurité, d'autres mesurent la souveraineté, d'autres encore sont des règlements en vigueur.
La lecture d'ensemble : la France dispose d'un référentiel exigeant mais national, SecNumCloud, dont la liste officielle des qualifiés fait foi sur cyber.gouv.fr. L'Europe, elle, a échoué sur EUCS entre 2020 et 2026, puis changé de méthode avec une grille de scoring (le Cloud Sovereignty Framework) et un règlement (CADA) plutôt qu'une certification unique.
Les niveaux SEAL, de 0 à 4
Les niveaux SEAL (Sovereignty Effectiveness Assurance Levels) viennent du Cloud Sovereignty Framework. Ils remplacent le oui ou non par une échelle, du contrôle entièrement non européen à la souveraineté complète.
Où se situe le marché en 2026 : les hyperscalers présents en région européenne se trouvent typiquement en SEAL-1 ou SEAL-2 ; les acteurs à capital européen atteignent SEAL-3 ; personne n'atteint SEAL-4 aujourd'hui, la chaîne d'approvisionnement matérielle restant majoritairement non européenne. En avril 2026, le marché Cloud III des institutions européennes a d'ailleurs classé ses lauréats sur cette échelle, avec un seuil d'éligibilité fixé à SEAL-2.
CADA : un règlement européen en quatre niveaux
Le Cloud and AI Development Act, proposé le 3 juin 2026, prolonge cette logique sous forme de règlement, avec quatre niveaux d'assurance.
CADA vise d'abord le secteur public et les entités de l'Union, avec une extension possible aux entités essentielles au sens de NIS2. Les trilogues puis l'application ne sont pas attendus avant 2028. Rien n'est donc encore opposable au secteur privé, mais les appels d'offres publics, les banques soumises à DORA et les opérateurs essentiels commencent déjà à demander un niveau SEAL ou une qualification SecNumCloud.
Localisation ou souveraineté : le comparatif honnête
La confusion la plus fréquente oppose un hyperscaler présent en région européenne à un cloud à capital européen. Les deux respectent le RGPD côté localisation ; ils divergent sur la contrainte juridique et le contrôle.
Ce tableau ne dit pas qu'un hyperscaler est mauvais : son catalogue de services managés reste plus large, et pour des données non sensibles la localisation peut suffire. Il dit où placer le curseur quand la contrainte juridique compte : données sensibles, secteur public, santé, opérateurs essentiels. La bonne question à poser reste la même à tout fournisseur, cloud comme logiciel : qui détient le capital, où sont les opérations, qui détient les clés, quelles dépendances cachées, quelle réversibilité testée, et quel niveau déclaré avec quelles preuves.
Où se situe France Nuage : des faits, pas des logos
Par honnêteté, voici ce que France Nuage détient réellement, et ce qui reste un objectif. Nous préférons communiquer des faits vérifiables plutôt que d'afficher un logo de certification que nous n'avons pas.
- Ce qui est acquis et vérifiable. Infrastructure hébergée en France, conforme RGPD par défaut, ré-internalisable parce que bâtie sur de l'open source et des standards ouverts (Kubernetes, S3, PostgreSQL). Alignement Gaia-X. Aucun sous-traitant sous juridiction américaine sur le chemin critique, donc pas d'exposition au CLOUD Act.
- Ce qui est aligné mais non certifié. Notre système de management de la sécurité est aligné sur ISO 27001, auto-évalué et non certifié par un tiers à ce jour. Le détail (modèle de sécurité, déclaration d'applicabilité des 93 contrôles) est publié dans notre trust center.
- Ce qui reste un objectif. La certification ISO 27001 est visée à moyen terme, et la qualification SecNumCloud reste un objectif de long terme. France Nuage ne revendique aujourd'hui aucune certification ISO 27001, SecNumCloud ni HDS.
Par construction, notre plateforme réunit plusieurs propriétés associées au niveau SEAL-3 : capital et contrôle européens, pile open source de bout en bout, aucun tiers non européen en mesure de couper le service. Nous ne revendiquons pas pour autant un niveau SEAL audité, qui relève d'une évaluation par tiers. C'est la distinction que ce guide défend du début à la fin : exiger les rapports d'audit, pas les logos. Notre feuille de route de conformité est détaillée sur la page sécurité et conformité.
Questions fréquentes sur la souveraineté numérique
Qu'est-ce que le cloud souverain ?
Un cloud souverain est une infrastructure dont vous gardez la maîtrise juridique, opérationnelle et technologique : le droit qui s'applique au fournisseur est européen et ne peut être contraint par une puissance étrangère, les équipes et les clés sont en Europe, et la pile est auditable et substituable. La localisation des données en Europe en est le premier niveau, nécessaire mais insuffisant.
Localiser ses données en France suffit-il à être souverain ?
Non. La localisation est le premier niveau de toutes les grilles européennes, mais la souveraineté exige aussi que le droit applicable au fournisseur soit européen et non contraignable de l'extérieur, que les opérations et les clés restent en Europe, et que la pile soit ouverte et substituable. Un datacenter en France exploité par une société soumise au droit américain reste exposé au CLOUD Act.
Qu'est-ce que SecNumCloud ?
SecNumCloud est la qualification de l'ANSSI pour les services cloud. Elle combine un audit de sécurité approfondi et des critères d'immunité extraterritoriale (capital majoritairement européen, siège et droit applicable en Europe). C'est le référentiel français le plus exigeant, considéré comme à peu près l'équivalent d'un niveau SEAL-3 audité par un tiers. La liste officielle des fournisseurs qualifiés fait foi sur cyber.gouv.fr.
Qu'est-ce que le niveau SEAL-3 ?
SEAL-3, dit de résilience numérique, est le troisième des cinq niveaux du Cloud Sovereignty Framework européen. Il suppose un contrôle européen prépondérant, une pile majoritairement européenne ou open source, et surtout qu'aucun tiers non européen ne soit en mesure de couper le service. En 2026, c'est le niveau atteint par les acteurs à capital européen ; les hyperscalers en région européenne se situent plutôt en SEAL-1 ou SEAL-2.
Qu'est-ce que le CLOUD Act, en deux phrases ?
Le CLOUD Act est une loi américaine de 2018 qui autorise les autorités des États-Unis à exiger d'un fournisseur soumis au droit américain les données qu'il contrôle, où qu'elles soient stockées dans le monde. Un datacenter en Europe n'y change rien si l'opérateur relève du droit américain.
Un cloud souverain coûte-t-il plus cher ?
Pas forcément. Sur le socle compute, stockage et réseau, les tarifs des acteurs souverains sont historiquement compétitifs, et le Data Act supprime les frais de sortie punitifs d'ici 2027. Le coût se cache plutôt dans ce qu'il faut faire soi-même faute de service managé équivalent, et dans la migration. La synthèse honnête : la souveraineté ne coûte pas forcément plus cher, elle demande un peu plus d'ingénierie. Raisonnez en coût total sur douze à trente-six mois, migration comprise.
France Nuage est-il certifié SecNumCloud ou ISO 27001 ?
Non. France Nuage ne revendique aujourd'hui aucune certification ISO 27001, SecNumCloud ni HDS. Notre système de management de la sécurité est aligné sur ISO 27001, auto-évalué et non certifié par un tiers à ce jour ; la certification ISO 27001 est visée à moyen terme et la qualification SecNumCloud reste un objectif de long terme. Ce qui est en revanche acquis et vérifiable : hébergement en France, conformité RGPD, pile open source ré-internalisable et absence de sous-traitant sous juridiction américaine sur le chemin critique. Le détail est publié dans notre trust center.
Pour aller plus loin
Choisir en connaissance de cause
Souveraineté juridique, opérationnelle et technologique : parlons de votre besoin réel, référentiels à l'appui, sans logo que personne ne détient.