Cloud souverain vs Cloud confidentiel : ne confondez plus ces deux notions clés

Votre prestataire vient de vous présenter son offre « souveraine et confidentielle » en une seule phrase. Derrière ce raccourci commercial se cachent pourtant deux garanties différentes, qui répondent à deux questions distinctes. Les confondre, c’est risquer de croire ses données protégées alors qu’elles restent accessibles à un État tiers, ou l’inverse.

Cette grille de lecture — contrôle d’un de côté, protection de l’autre — structure tout le choix d’architecture. Elle s’appuie sur des jalons objectifs : les qualifications de l’ANSSI (Agence nationale de la sécurité des systèmes d’information), qui évalue et reconnaît les offres de confiance. Le contexte n’est pas théorique : selon le Panorama de la cybermenace 2025 de l’ANSSI, relayé par le ministère de l’Intérieur, le nombre d’attaques a doublé entre 2020 et 2025 en France, dans un contexte de professionnalisation des attaques où les rançongiciels restent la principale menace identifiée.

Ce qui suit détaille chaque notion, puis les conséquences d’un mauvais arbitrage, et enfin les questions concrètes à poser avant de signer.

Cloud souverain, cloud confidentiel : deux promesses distinctes

Un cloud souverain garantit que le contrôle des données reste entre des mains de confiance : un opérateur soumis au droit européen, une localisation maîtrisée, une immunisation face aux législations extraterritoriales. Un cloud confidentiel garantit que les données, même entre de mauvaises mains, restent illisibles : chiffrement de bout en bout, clés maîtrisées, accès tracés.

La confusion vient du discours commercial : beaucoup de prestataires emploient les deux termes comme synonymes. Or choisir un cloud souverain sans exiger de confidentialité, ou l’inverse, expose à deux risques différents. Le premier laisse la donnée lisible à un hébergeur ou à une autorité étrangère. Le second chiffre solidement, mais confie les clés — et donc le contrôle effectif — à un acteur soumis à un droit tiers.

Quatre critères permettent de comparer objectivement une offre : la localisation des données, le contrôle de l’opérateur, le chiffrement et les clés, et la certification obtenue. Ce sont ces quatre critères qui vont être passés en revue.

Qu’est-ce qu’un cloud souverain exactement ?

La souveraineté repose sur trois critères cumulatifs. Premièrement, la localisation : les données sont hébergées dans des centres situés sur le territoire maîtrisé, en France ou dans l’Union européenne. Deuxièmement, l’opérateur : sa nationalité, sa structure capitalistique et sa subordination à un droit de confiance. Troisièmement, le droit applicable : c’est lui qui détermine qui peut, légalement, accéder aux données.

Le troisième critère est celui que le marketing gomme le plus souvent. Une filiale française d’un groupe américain peut héberger vos données dans un datacenter de la région lyonnaise : la localisation est conforme, la souveraineté non. Si la maison-mère est soumise au droit des États-Unis, l’extraterritorialité de législations comme l’US Patriot Act et le Cloud Act peut s’appliquer à l’ensemble du groupe, y compris à son entité européenne. Héberger en Europe ne suffit donc pas à être souverain.

La qualification SecNumCloud constitue ainsi un jalon vérifiable : elle engage l’opérateur sur son contrôle effectif, pas seulement sur sa communication. Vérifier la présence d’une qualification sur la liste officielle des titulaires publiée par l’ANSSI est l’un des rares réflexes qui distingue une garantie certifiée d’une promesse commerciale.

Le cloud confidentiel va-t-il au-delà du simple chiffrement ?

Oui : le chiffrement n’est qu’un maillon. Un cloud confidentiel repose sur une chaîne complète : chiffrement de bout en bout (les données sont chiffrées avant de quitter votre périmètre et ne sont déchiffrées qu’à l’arrivée), maîtrise des clés (vous ou l’entité que vous désignez contrôlez le secret, pas l’hébergeur), contrôles d’accès (seules les personnes autorisées accèdent aux fichiers) et traçabilité (chaque accès est journalisé et vérifiable).

La différence opérationnelle est concrète. Dans un échange de fichiers sensibles avec un sous-traitant, un simple chiffrement au repos et en transit laisse l’hébergeur techniquement capable de lire les données. Avec un chiffrement de bout en bout et des clés maîtrisées par le client, même un administrateur de la plateforme, voire une contrainte exercée sur l’hébergeur, ne permet pas de déchiffrer les documents. La traçabilité ajoute une preuve opposable : qui a consulté quoi, et quand.

Pour objectiver cette confiance, il existe une certification : la CSPN (Certification de Sécurité de Premier Niveau), une évaluation de sécurité réalisée par un laboratoire évaluateur accrédité et délivrée par l’ANSSI pour un produit ou un service précis. Certaines solutions d’échange de fichiers la détiennent, comme MFT Online, une solution de cloud confidentiel certifiée CSPN, qui illustre la démarche : chiffrement de bout en bout et traçabilité des accès évalués par un tiers. Mentionner la certification à l’appui d’une solution, plutôt qu’une affirmation générale de sécurité, fait toute la différence entre marketing et garantie.

Attention toutefois à la portée : la CSPN atteste de l’évaluation d’un produit à un instant donné. Elle ne dit rien, à elle seule, de la localisation des serveurs ni du droit applicable à l’opérateur. Elle répond à « comment protège-t-on », jamais à « qui contrôle ».

Pourquoi la confusion entre les deux notions coûte cher aux entreprises ?

Le premier coût est un faux sentiment de sécurité. Une entreprise peut croire ses documents protégés parce qu’ils sont hébergés localement, alors qu’un accès juridique extraterritorial reste possible. À l’inverse, elle peut se fier à un chiffrement solide en oubliant la plateforme elle-même est soumise à un droit tiers. Dans les deux cas, la décision semblait défendable en surface et ne l’était pas en réalité.

Le deuxième coût est la non-conformité. Le cadre CNIL des transferts hors UE encadre tout transfert de données personnelles vers un pays tiers à l’Union européenne : sans décision d’adéquation reconnaissant un niveau de protection substantiellement équivalent, des garanties supplémentaires sont exigées. Un hébergeur soumis à un droit tiers peut donc créer, de fait, un transfert non maîtrisé. Le contexte de la confidentialité numérique, devenue un enjeu majeur de la décennie, renforce l’attention des auditeurs sur ce point.

Le troisième coût est relationnel et d’image. Un échange de fichiers sensibles compromis avec un sous-traitant se traduit par des audits renforcés, des contrats renégociés dans l’urgence et une perte confiance difficile à réparer. Comme le rappelle le Panorama de la cybermenace cité en introduction, la probabilité d’être un jour confronté à l’épreuve réelle n’est plus négligeable.

Souveraineté et confidentialité sont-elles cumulables ?

Oui, et c’est même l’objectif à viser pour les données sensibles. Une architecture robuste cumule un hébergement qualifié SecNumCloud (qui répond au « qui contrôle »), un chiffrement de bout en bout avec clés maîtrisées (le « comment protège »), et une certification produit de type CSPN évaluée par un tiers. Chaque jalon couvre une faille différente : aucun ne suffit isolément.

Certaines solutions illustrent ce cumul. MFT Online, par exemple, propose des modes de déploiement variés — du logiciel hébergé au On Premise — ce qui permet d’adapter le niveau de contrôle à la criticité des flux. Pour un déploiement On Premise, la complexité perçue est réelle mais gérable : elle se limite essentiellement à l’installation sur vos propres serveurs et à leur exploitation, avec en contrepartie un contrôle matériel total des données.

Sur le coût, l’objection mérite d’être retournée : une solution certifiée coûte plus cher qu’un outil généraliste, mais le surcoût doit être comparé au coût d’un incident — fuite, mise en cause lors d’un audit, invalidation de la conformité. C’est l’argument le plus solide à présenter à une direction générale.

Avant de signer, ces questions forment une grille de négociation directement utilisable :

Traduites en exigence contractuelle type, ces questions donnent une formulation défendable devant un auditeur : « hébergement qualifié SecNumCloud, chiffrement de bout en bout avec clés maîtrisées par le client, traçabilité des accès exportable ». Si un prestataire ne peut répondre précisément à trois de ces questions, c’est un signal en soi.

Comment renforcer concrètement la sécurité des échanges de votre organisation ?

La mise en œuvre suit une séquence en quatre temps. Cartographier les flux sensibles et leurs interlocuteurs, exiger les certifications adaptées (SecNumCloud pour l’hébergement, CSPN pour le produit), choisir le mode de déploiement selon la criticité, puis auditer périodiquement la conformité des accès et des journaux. Chaque étape produit un livrable opposable à la direction et aux auditeurs.

Une RSSI qui doit défendre cet arbitrage devant son comité de direction dispose désormais d’une démonstration simple : chaque euro investi dans une solution certifiée couvre un risque identifié — extraterritorialité, chiffrement insuffisant, absence de traçabilité — et non une peur vague.

La grille « qui contrôle / comment protège » se mémorise en trente secondes et se restitue en interne sans effort :

Pour aller plus loin dans la démarche, des approches de sécurité cloud pour protéger vos données sensibles complètent utilement cette grille de lecture sur les pratiques d’ensemble.

La prochaine étape est simple : relire vos contrats d’hébergement à la lumière des six questions de négociation. Si les réponses manquent, vous saurez exactement quoi exiger avant la prochaine signature.