Cloud souverain fonction publique : idéal ou réalité ?

Cloud souverain dans la fonction publique : entre idéal politique et réalité technique

En 2021, la France lançait sa doctrine « cloud au centre » pour imposer le recours au cloud à toutes les administrations, tout en exigeant que les données les plus sensibles restent sous contrôle souverain. Quatre ans plus tard, moins de 30 % des systèmes d'information des ministères ont effectivement migré vers des environnements qualifiés (ANSSI, rapport d'activité 2023), et les collectivités territoriales en sont encore plus loin. Le cloud souverain dans la fonction publique n'est pas un sujet abstrait : il conditionne la sécurité des données de 68 millions d'habitants, le fonctionnement quotidien des agents et la capacité de l'État à garder la maîtrise de ses propres infrastructures numériques.

Pourquoi un tel écart entre l'ambition affichée et l'état du terrain ? Les offres labellisées « cloud de confiance » sont-elles réellement souveraines ou s'agit-il d'une souveraineté à géométrie variable ? Quels obstacles — techniques, juridiques, budgétaires — freinent concrètement les collectivités et les établissements publics ? Cet article démonte les idées reçues, éclaire le cadre réglementaire et donne aux agents, aux élus et aux directions des systèmes d'information (DSI) les repères nécessaires pour décider.

Sommaire

1. Ce que recouvre réellement le cloud souverain
2. La doctrine « cloud au centre » : cadre et obligations
3. Les trois labels de l'ANSSI : SecNumCloud, cloud de confiance et leurs limites
4. Le marché français du cloud public : qui propose quoi ?
5. Les obstacles réels à la migration cloud dans le secteur public
6. Le cas particulier des collectivités territoriales
7. Données sensibles, RGPD et responsabilité des agents
8. Quels métiers et compétences la transition cloud crée-t-elle dans la fonction publique ?
9. Questions fréquentes sur le cloud souverain dans la fonction publique
10. Ce que les administrations doivent retenir pour avancer

Ce que recouvre réellement le cloud souverain

Définition synthétique — Le cloud souverain désigne un service d'informatique en nuage dont les données sont hébergées sur le territoire national, dont le prestataire est soumis au droit français ou européen exclusivement, et dont les équipes opérationnelles ne relèvent d'aucune juridiction extraterritoriale — notamment le droit américain CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018). Cette définition est plus restrictive que la simple notion d'hébergement en France.

La confusion fréquente entre « hébergé en France » et « souverain » est entretenue par le marketing des grands acteurs. Un datacenter physiquement localisé à Paris peut appartenir à une société dont la maison mère est soumise au CLOUD Act : une injonction d'un tribunal américain suffit alors à contraindre le prestataire à livrer des données sans que la France ni l'Union européenne n'aient leur mot à dire. C'est précisément ce risque que la qualification SecNumCloud de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) tente de neutraliser.

Sur le plan juridique européen, le cadre de référence est le Règlement général sur la protection des données (RGPD), applicable depuis 2018, complété par la directive NIS 2 transposée en droit français en 2024. La question du cloud souverain s'inscrit donc dans un continuum réglementaire plus large que traite en détail notre article sur le RGPD dans la fonction publique.

La doctrine « cloud au centre » : cadre et obligations

La circulaire du Premier ministre du 5 juillet 2021 pose la doctrine officielle : toute nouvelle solution numérique acquise ou développée par l'État doit être hébergée sur le cloud. En pratique, cela se traduit par une hiérarchie à trois niveaux :

• Cloud interne (cloud « π ») : infrastructure exploitée directement par l'administration, portée notamment par le réseau interministériel de l'État et l'opérateur gouvernemental de plateformes numériques (OGP).
• Cloud de confiance : offre commerciale d'un opérateur privé qualifié SecNumCloud par l'ANSSI, garantissant l'immunité aux législations extraterritoriales.
• Cloud commercial standard : utilisable uniquement pour les données non sensibles et les traitements sans exigence particulière de protection.

La doctrine distingue trois catégories de données publiques. Les données non sensibles peuvent migrer vers n'importe quelle offre cloud qualifiée. Les données sensibles — définies par la circulaire comme celles dont la compromission aurait un impact significatif sur la continuité des missions de l'État — doivent être hébergées sur cloud interne ou cloud de confiance. Les données très sensibles (secret de la défense nationale, données à caractère personnel massif) restent hors cloud commercial.

Cette doctrine s'applique aux administrations de l'État, mais les collectivités territoriales ne sont pas juridiquement contraintes de la suivre. Elles restent libres de leurs choix d'hébergement, sous réserve du respect du RGPD. Ce point est souvent mal compris et génère des décisions contrastées d'une collectivité à l'autre, comme l'illustre notre analyse sur la transformation numérique du service public.

Les trois labels de l'ANSSI : SecNumCloud, cloud de confiance et leurs limites

L'ANSSI administre le référentiel SecNumCloud, dont la version 3.2 est en vigueur depuis 2022. Ce label impose des exigences techniques très élevées : redondance, chiffrement bout en bout, cloisonnement des données, audit régulier par des organismes indépendants. Il exige surtout que le prestataire et ses sous-traitants soient exempts de tout lien capitalistique ou contractuel susceptible de les soumettre à une juridiction hors Union européenne.

Fin 2024, seuls quatre services obtenaient la qualification SecNumCloud pour une offre IaaS/PaaS/SaaS significative à l'échelle des besoins de l'État : Outscale (Dassault Systèmes), OVHcloud, Worldline et 3DS Outscale (via un périmètre limité). Aucun des hyperscalers américains — AWS, Microsoft Azure, Google Cloud — ne détient cette qualification pour leurs offres principales, et aucun n'a officiellement soumis de dossier complet à ce jour.

La notion de cloud de confiance est plus souple. Elle repose sur un modèle dit de « licence technologique » : un prestataire français (ou européen) obtient une licence pour opérer la technologie d'un hyperscaler américain sous contrôle français, avec des garanties contractuelles d'immunité aux législations extraterritoriales. S3NS (Thales + Google) et Bleu (Orange + Capgemini + Microsoft Azure) sont les deux projets emblématiques. Mais ces montages soulèvent une objection de fond : peut-on parler de souveraineté réelle lorsque la technologie sous-jacente reste propriétaire d'un acteur étranger ? L'ANSSI elle-même a rappelé en 2023 que le cloud de confiance ne constitue pas une alternative équivalente à SecNumCloud pour les données les plus sensibles.

Cette gradation est importante à comprendre pour les DSI du secteur public : SecNumCloud est la seule garantie opposable à un risque d'accès extraterritorial. Le cloud de confiance réduit le risque contractuellement mais ne l'élimine pas techniquement.

Le marché français du cloud public : qui propose quoi ?

Le panorama des acteurs évolue rapidement, mais quelques constats structurels s'imposent en 2025.

OVHcloud reste le seul acteur français disposant d'une offre IaaS qualifiée SecNumCloud à l'échelle industrielle. Son modèle d'hébergement distribué (Roubaix, Gravelines, Strasbourg) présente des garanties de résilience reconnues, mais sa capacité à absorber les charges des grandes administrations centrales fait encore débat.

Outscale (filiale de Dassault Systèmes) cible les administrations et les acteurs de la défense avec une offre plus confidentielle mais qualifiée. Worldline est surtout présent sur les segments paiement et identité numérique.

Les projets S3NS et Bleu ont accumulé des retards. Bleu, initialement prévu pour une ouverture commerciale en 2024, n'avait toujours pas obtenu de qualification ANSSI début 2025. Ces retards révèlent la complexité technique de faire fonctionner un code source propriétaire américain dans un environnement cloisonné sans accès des équipes américaines.

Les administrations qui ont déjà engagé des contrats pluriannuels avec AWS ou Azure se retrouvent dans une situation délicate : migrer représente un coût significatif (formation, refactoring applicatif, intégration) et les contrats en cours ne peuvent être résiliés sans pénalités. L'effet de lock-in est réel et préoccupe le Comité interministériel de la transformation publique.

Les obstacles réels à la migration cloud dans le secteur public

L'écart entre doctrine et réalité n'est pas une question de volonté politique. Plusieurs facteurs structurels freinent la migration.

La dette technique est le premier frein. Une large part des applications métier des administrations tourne sur des architectures legacy — mainframes, bases de données propriétaires des années 1990-2000, applicatifs non dockerisés — incompatibles avec une migration cloud directe. Refactoriser ces applications prend plusieurs années et mobilise des compétences rares.

Les compétences cloud internes manquent. La fonction publique recrute et fidélise difficilement des ingénieurs cloud, des architectes DevSecOps et des experts Kubernetes face à la concurrence salariale du secteur privé. Ce déficit de compétences ralentit non seulement les migrations mais aussi la capacité à évaluer les offres des prestataires.

Les coûts sont sous-estimés. Une migration cloud n'est pas neutre budgétairement à court terme : elle nécessite un double fonctionnement pendant la transition, des formations, des audits de sécurité et souvent une refonte des processus métier. Or les enveloppes budgétaires des DSI publiques sont contraintes, et les arbitrages favorisent souvent le maintien de l'existant.

La fragmentation des systèmes d'information entre ministères, opérateurs et établissements publics rend difficile toute standardisation. Chaque entité a ses propres choix historiques, ses propres prestataires, ses propres niveaux de maturité. La gouvernance interministérielle de la Direction interministérielle du numérique (DINUM) progresse mais ne peut pas tout imposer à court terme.

Enfin, la cybersécurité est une contrainte transversale que la migration cloud ne résout pas mécaniquement — elle la déplace. Un environnement cloud mal configuré est plus vulnérable qu'un datacenter on-premise bien géré. C'est un point que développe en détail notre analyse de la cybersécurité dans les collectivités territoriales.

Le cas particulier des collectivités territoriales

Les collectivités territoriales — communes, départements, régions, intercommunalités — représentent un ensemble hétérogène de plus de 50 000 entités aux ressources très inégales. Une métropole de 500 000 habitants dispose d'une DSI structurée ; une commune de 800 habitants n'a parfois aucun agent dédié à l'informatique.

La question du cloud souverain se pose donc très différemment selon l'échelle. Pour les grandes collectivités, elle rejoint celle de l'État : choix d'infrastructure, qualification des prestataires, gouvernance des données. Pour les petites communes, la vraie question est souvent plus basique : comment externaliser l'informatique dans des conditions sécurisées et abordables ?

Le Centre national de la fonction publique territoriale (CNFPT) et les agences numériques régionales (comme la ATOS Île-de-France ou Numérique en Commun) tentent de mutualiser les réponses. Des offres cloud mutualisées à destination des collectivités émergent, portées par des syndicats informatiques départementaux ou régionaux. Ces démarches collectives sont souvent plus efficaces que des choix individuels éparpillés.

L'enjeu dépasse la technique : les données gérées par les collectivités — état civil, données sociales, données fiscales locales, données de santé des bénéficiaires de l'aide sociale — sont parmi les plus sensibles du secteur public. La question du cloud souverain est donc directement liée à celle de la confiance des administrés. Elle s'inscrit dans une réflexion plus large sur l'IA au cœur des territoires et sur la maîtrise des données locales à l'ère numérique.

Les agents de la fonction publique territoriale sont en première ligne de ces transformations, souvent sans formation préalable adaptée ni feuille de route claire de leur employeur.

Données sensibles, RGPD et responsabilité des agents

Le choix du prestataire cloud engage la responsabilité juridique de l'administration en tant que responsable de traitement au sens du RGPD. Si des données personnelles migrent vers un hébergeur insuffisamment qualifié et font l'objet d'une violation, c'est l'administration — et non le prestataire — qui répond devant la Commission nationale de l'informatique et des libertés (CNIL).

Cette responsabilité est souvent mal appréhendée par les agents qui signent les bons de commande ou choisissent des outils SaaS sans en évaluer la conformité. L'utilisation de suites bureautiques gratuites (stockage Google Drive, Microsoft OneDrive grand public, etc.) pour des documents administratifs sensibles constitue une violation potentielle du RGPD, même si l'agent agit de bonne foi.

Les délégués à la protection des données (DPO), obligatoires dans toutes les autorités publiques depuis 2018, ont un rôle central à jouer dans l'encadrement de ces usages. Leur effectivité reste très variable : certaines collectivités ont un DPO à temps plein bien intégré à la DSI, d'autres ont nommé un agent sans formation ni moyens dédiés.

La question de la dématérialisation des marchés publics illustre bien les tensions : les plateformes de dématérialisation imposées par la réglementation (Profile d'acheteur, DUME) sont elles-mêmes hébergées sur des infrastructures dont la qualification varie. Les acheteurs publics sont rarement en position d'évaluer la chaîne d'hébergement de ces outils réglementaires.

L'open data des collectivités soulève une problématique complémentaire : les données ouvertes doivent être publiées sur des plateformes accessibles, mais leur hébergement peut rester sous contrôle souverain — les deux exigences ne sont pas contradictoires.

Quels métiers et compétences la transition cloud crée-t-elle dans la fonction publique ?

La migration vers le cloud souverain ne se réduit pas à un choix de prestataire. Elle transforme les métiers du numérique dans la fonction publique et crée de nouveaux besoins en compétences.

Les profils les plus recherchés dans les DSI publiques engagées dans des projets cloud incluent :

• Architectes cloud : capables de concevoir des environnements hybrides (on-premise + cloud qualifié) respectant à la fois les contraintes de sécurité ANSSI et les exigences métier.
• Ingénieurs DevSecOps : profils hybrides intégrant développement, opérations et sécurité, rares sur le marché du travail public comme privé.
• Experts en conformité numérique : juristes-techniciens capables d'évaluer les clauses contractuelles des prestataires cloud au regard du RGPD, de NIS 2 et du droit de la commande publique.
• Responsables de la sécurité des systèmes d'information (RSSI) : dont le rôle monte en charge avec l'exposition cloud des systèmes d'information.
• Chefs de projet migration : capables de conduire des migrations applicatives complexes en mode agile tout en gérant les parties prenantes métier.

La fonction publique peine à recruter ces profils aux conditions salariales statutaires actuelles. Le recours à des contractuels de droit public sur des postes techniques est en hausse, mais la fidélisation reste un défi. Les initiatives comme le programme Talents du numérique (DINUM) ou les formations du CNFPT sur la cybersécurité et le cloud tentent de combler partiellement ce déficit.

Pour les agents non-informaticiens, la transition cloud modifie aussi les usages quotidiens : nouvelles interfaces, nouvelles règles de stockage des documents, nouvelles procédures de gestion des accès. La conduite du changement est souvent le maillon faible des projets de migration, et l'échec de nombreux projets cloud publics s'explique autant par des résistances organisationnelles que par des obstacles techniques.

L'attractivité de la fonction publique territoriale passe aussi par sa capacité à proposer des environnements de travail numériques modernes — ce que le cloud peut apporter, à condition d'être déployé de façon maîtrisée.

Questions fréquentes sur le cloud souverain dans la fonction publique

AWS et Microsoft Azure sont-ils utilisables par les administrations françaises ?

Oui, pour les données non sensibles et sous réserve d'une analyse de risque documentée. Pour les données sensibles au sens de la doctrine « cloud au centre », ces offres ne sont pas qualifiées SecNumCloud et ne peuvent pas être utilisées comme offre principale. Des solutions intermédiaires comme S3NS (Thales + Google) ou Bleu (Orange + Capgemini + Microsoft) sont en cours de qualification mais n'ont pas encore obtenu le label ANSSI à l'heure de la rédaction de cet article.

La doctrine « cloud au centre » s'impose-t-elle aux collectivités territoriales ?

Non. La circulaire du 5 juillet 2021 s'applique aux administrations de l'État. Les collectivités territoriales sont libres de leurs choix d'hébergement sous réserve du respect du RGPD et des règles de la commande publique. Elles peuvent néanmoins s'inspirer de la doctrine d'État comme référentiel de bonnes pratiques.

Qu'est-ce que SecNumCloud concrètement ?

SecNumCloud est un référentiel de qualification édité par l'ANSSI. Il impose des exigences techniques (chiffrement, cloisonnement, redondance), organisationnelles (audit régulier, personnel habilité) et juridiques (absence de lien capitalistique ou contractuel soumettant le prestataire à une législation extraterritoriale). C'est le seul label français qui garantit une immunité juridique aux législations comme le CLOUD Act américain.

Un agent public peut-il être sanctionné pour avoir utilisé un stockage cloud non autorisé ?

Oui, potentiellement. L'utilisation de services cloud grand public pour stocker des données administratives sensibles peut constituer une faute disciplinaire et expose l'administration à une mise en demeure de la CNIL. Les chartes informatiques des administrations encadrent généralement ces usages, mais leur application reste inégale.

Quand les offres cloud de confiance (S3NS, Bleu) seront-elles disponibles ?

Les deux projets ont accumulé des retards significatifs. S3NS a annoncé une disponibilité partielle pour 2025 sur certains services Google Cloud. Bleu n'a pas encore fixé de date publique de commercialisation. Ces retards s'expliquent par la complexité technique de cloisonner des codes sources propriétaires américains tout en répondant aux exigences de l'ANSSI.

Ce que les administrations doivent retenir pour avancer

Le cloud souverain dans la fonction publique n'est ni une utopie ni une solution clé en main. C'est un processus long, coûteux et techniquement exigeant, qui suppose des choix stratégiques réalistes plutôt que des postures politiques. Les administrations qui avancent le plus efficacement sont celles qui ont cartographié leurs données par niveau de sensibilité, qui ont construit une gouvernance claire entre DSI, DPO et directions métier, et qui ont adopté une démarche progressive plutôt qu'une migration globale en une seule opération.

Pour les collectivités territoriales, la mutualisation est souvent la voie la plus réaliste : syndicats informatiques, groupements de commandes, plateformes régionales partagées permettent d'accéder à des offres qualifiées sans supporter seules le coût d'une migration complexe. La question n'est pas uniquement technique — elle est aussi organisationnelle et politique, et elle engage la confiance des administrés dans les institutions qui gèrent leurs données. Les agents publics qui souhaitent s'inscrire dans ces dynamiques de transformation peuvent explorer les offres d'emploi collectivité pour identifier les postes ouverts dans les DSI territoriales.

Pour aller plus loin dans la compréhension des enjeux numériques du secteur public, JobPublic vous propose une sélection d'analyses sur emploi service public et les métiers du numérique dans les administrations.

Références : ANSSI, Référentiel SecNumCloud v3.2, 2022 · Circulaire du Premier ministre n°6282-SG du 5 juillet 2021 relative à la doctrine d'utilisation de l'informatique en nuage par l'État · ANSSI, Rapport d'activité 2023 · Commission nationale de l'informatique et des libertés (CNIL), Délibérations sur les transferts de données hors UE, 2023 · Règlement (UE) 2016/679 du Parlement européen et du Conseil (RGPD) · Directive (UE) 2022/2555 dite NIS 2, transposée par la loi n°2024-449 du 21 mai 2024.