Pour se conformer aux obligations réglementaires régissant le lieu de stockage et d’utilisation de leurs données, de nombreuses organisations pensent qu’il leur suffit d’acheter une offre « cloud souverain » auprès d’un hyperscaler pour se mettre en conformité. Or, cela est loin de répondre aux exigences réelles – ce qu’elles ne découvriront peut-être que lorsqu’un régulateur leur demandera de prouver qu’un ensemble de données n’a jamais quitté une zone géographique définie, qu’aucun personnel relevant d’une juridiction étrangère n’y a accédé et qu’elles sont en mesure de le récupérer dans les 24 heures en cas d’incident.
Lors d’un récent webinaire, j’ai rejoint Alex Zinin, directeur général de Commvault et responsable de notre groupe de travail sur la souveraineté numérique, ainsi que Jakub Lewandowski, notre directeur juridique adjoint pour la région EMEA, et Pranay Ahlawat, notre directeur de la technologie et de l’IA, afin d’examiner ce que doit inclure une approche complète de la souveraineté numérique et où la plupart des programmes présentent des lacunes.
Regardez l’intégralité du webinaire et téléchargez le rapport complet « Digital Sovereignty Decoded » sur l’état de préparation ainsi que le cadre de mise en œuvre.
Points clés à retenir
- Le cadre de souveraineté du cloud de l’UE définit huit objectifs de souveraineté, dont un seul concerne la localisation des données.
- Le choix d’une région cloud souveraine permet de déterminer où se trouvent les données, mais pas qui peut y accéder, en vertu de quelle autorité juridique, ni si vous pouvez les récupérer dans des conditions réelles.
- Une approche globale de la souveraineté repose sur quatre piliers interdépendants : la localisation des données, la souveraineté technologique, la souveraineté opérationnelle et la souveraineté juridictionnelle.
- Les programmes de souveraineté qui traitent l’architecture de récupération séparément de la gouvernance des données primaires comportent un risque non évalué susceptible de se manifester lors d’incidents.
- Plutôt que de mener une politique de souveraineté maximale à tout prix, les organisations devraient concevoir leur stratégie autour d’une souveraineté minimale viable : les bons contrôles, appliqués de manière cohérente et adaptés aux obligations réelles.
La souveraineté numérique devient une exigence pour les entreprises
Au cours de la dernière décennie, les règles les plus strictes en matière de souveraineté numérique et de souveraineté des données s’appliquaient principalement aux administrations publiques, à la défense et à d’autres missions relevant de la sécurité nationale. En dehors des secteurs hautement réglementés, de nombreuses entreprises considéraient les principes de souveraineté comme des recommandations de conception plutôt que comme une contrainte architecturale stricte.
Cela est en train de changer. L’application du RGPD a évolué : au-delà de simples recommandations, elle s’accompagne désormais d’amendes substantielles en cas de défaillances opérationnelles, et de nouveaux régimes tels que la DORA, la directive NIS2, les règles allemandes KRITIS et la loi européenne sur les données ont renforcé les exigences en matière de contrôle juridictionnel et de résilience opérationnelle.
Les questions de souveraineté apparaissent désormais dans les appels d’offres, les processus de due diligence dans le cadre des fusions-acquisitions, ainsi que dans les analyses de risques menées au niveau des conseils d’administration.
Le cadre européen de souveraineté du cloud, publié en octobre 2025, précise ce que cet examen évalue réellement. Sur ses huit objectifs de souveraineté, un seul concerne la localisation des données. Les sept autres portent sur le contrôle d’accès, les dépendances opérationnelles, l’exposition juridictionnelle et Recovery.
Pour les entreprises, cette structure constitue désormais le prisme à travers lequel les capacités des fournisseurs doivent être évaluées.
Aperçu : Repenser la souveraineté et la résilience
Dans cet extrait du webinaire, Jakub explique en quoi la souveraineté est une posture face au risque, plutôt qu’un produit unique. Les organisations ont besoin d’une stratégie holistique combinant architecture, opérations, gouvernance, auditabilité et planification de la Recovery pour y faire face.
La localisation des données n’est pas synonyme de souveraineté
La localisation des données ne répond qu’aux questions relatives au « où ». Les réglementations en matière de souveraineté exigent également de pouvoir expliquer « qui », « comment » et « dans quelles conditions ».
Concrètement, une approche complète de la souveraineté repose sur quatre piliers interdépendants.
1. Localisation des données
Ce pilier couvre non seulement l’endroit où les données sont stockées, mais aussi leur parcours. Les éléments du plan de contrôle, les métadonnées et la télémétrie peuvent franchir les frontières géographiques même lorsque les données primaires restent dans la même région.
2. Souveraineté technologique
Ce pilier détermine si l’organisation contrôle les mécanismes qui protègent les données :
- Comment l’accès est accordé.
- Comment les données sont chiffrées.
- Si la garde des clés de chiffrement est conservée en toutes circonstances.
Un concept clé ici (jeu de mots intentionnel) est la distinction entre le modèle « Bring Your Own Key » (BYOK), dans lequel les clés de chiffrement propres à l’organisation sont gérées au sein de la plateforme du fournisseur, et le modèle « Hold Your Own Key » (HYOK), dans lequel l’organisation conserve la garde indépendante des clés entièrement en dehors de l’environnement du fournisseur.
Pour les organisations réglementées soumises à des exigences strictes en matière de souveraineté, le modèle BYOK peut ne pas offrir une protection suffisante si une autorité judiciaire étrangère est en mesure, dans certaines circonstances, de contraindre le fournisseur à lui remettre l’accès aux clés.
3. Souveraineté opérationnelle
Ce point porte sur l’identité de l’exploitant de l’environnement et le lieu d’où il opère, y compris la question de savoir si le personnel d’assistance ou les prestataires tiers sont soumis à une juridiction étrangère.
4. Souveraineté juridictionnelle
Ce dernier pilier établit le cadre juridique dans lequel les services sont fournis et détermine s’il existe des protections explicites contre l’accès extraterritorial, telles que les situations transfrontalières évoquées dans le CLOUD Act américain.
Chacun de ces piliers est essentiel au maintien de la conformité. Une politique rigoureuse en matière de localisation des données, associée à des contrôles opérationnels insuffisants, peut laisser subsister des risques non identifiés.
Où les programmes de souveraineté numérique échouent
Mon expérience sur le terrain a mis en évidence un schéma récurrent : lorsque la souveraineté devient un débat technique, elle se réduit trop rapidement à un champ trop restreint. Les ateliers se concentrent sur l’emplacement des données, les équipes se penchent sur cette seule question, puis passent à autre chose, laissant les trois autres piliers largement inexplorés.
Des problèmes structurels entrent également en jeu. La souveraineté numérique doit être considérée comme un programme continu impliquant des acteurs juridiques, techniques et opérationnels, et non comme un projet informatique que l’on coche une fois terminé.
Les organisations peuvent également être induites en erreur par certains mythes. L’un d’entre eux, comme nous l’avons évoqué, est l’impression que souveraineté rime avec résidence.
Il y a ensuite le mythe de la souveraineté absolue, l’idée selon laquelle il est possible d’atteindre une indépendance totale vis-à-vis de toutes les juridictions et dépendances externes. Dans la pratique, la souveraineté implique toujours des compromis entre le contrôle, le coût, la rapidité technologique et la capacité à innover.
L’objectif doit être de trouver le juste équilibre entre l’indépendance vis-à-vis des juridictions étrangères et les exigences de votre entreprise. Il est également important de comprendre que la souveraineté n’est pas un produit que l’on peut acheter, mais une posture face au risque qui repose sur l’architecture, les opérations, les contrats, les certifications et une auditabilité continue.
La résilience fait partie intégrante de la souveraineté
La souveraineté opérationnelle est le pilier le plus difficile à auditer et celui qui est le plus souvent sous-estimé. Si votre environnement avait besoin d’un accès pour une maintenance de routine ce soir, qui s’en chargerait, depuis quel pays et sous quelle juridiction légale ? La plupart des organisations, lorsqu’elles se penchent sur cette question pour la première fois, découvrent au moins un parcours d’accompagnement qui franchit une frontière territoriale qu’elles n’avaient pas répertoriée.
Cette lacune prend toute son importance lors de la reprise. La plupart des programmes de souveraineté régissent les environnements de données primaires, mais traitent l’infrastructure de sauvegarde, la séquence de restauration et la gestion des points de reprise selon un ensemble de contrôles distincts – et souvent moins rigoureux. Lorsqu’un incident se produit, le personnel chargé de la reprise peut ne pas satisfaire aux exigences juridictionnelles, et l’architecture souveraine conçue pour protéger les données peut activement compliquer la restauration si la résilience n’a pas été intégrée dès le départ.
Le modèle opérationnel de résilience de Commvault, ResOps™, répond directement à ce besoin en considérant Recovery comme une discipline opérationnelle continue qui doit être conçue, testée et validée au sein de la même frontière de souveraineté que les données qu’elle protège.
Souveraineté minimale viable : le bon niveau de contrôle, et non le maximum
Une approche absolutiste de la souveraineté numérique peut mobiliser des ressources tout en restreignant inutilement la capacité d’une entreprise à atteindre ses objectifs commerciaux.
Un système de paie, une base de données de transactions clients et un outil RH interne ne sont pas soumis aux mêmes obligations en matière de souveraineté. Adopter une approche binaire de la conformité peut conduire soit à un sous-investissement là où cela compte, soit à un surinvestissement au-delà de ce qui est réellement nécessaire.
La souveraineté minimale viable fixe un objectif plus pragmatique : des contrôles adaptés, appliqués de manière cohérente et démontrés en permanence, calibrés en fonction des besoins réels de chaque charge de travail sur l’ensemble des quatre piliers.
Les organisations disposent d’un large éventail d’options pour mettre en œuvre les contrôles de souveraineté dans leur environnement, chacune offrant des contrôles différents.
Comment Commvault aborde la question de la souveraineté numérique
Le cadre Geo Shield de Commvault est conçu pour aider les organisations à s’y retrouver dans ce spectre. Plutôt que de proposer une offre souveraine unique, Geo Shield couvre l’ensemble des modèles de déploiement :
- Services cloud souverains régionaux fournis en mode SaaS
- Partenariats avec des hyperscalers pour le lancement de services souverains
- Offres souveraines nationales gérées par des partenaires et mises en place avec des prestataires de services locaux
- Des environnements privés souverains entièrement contrôlés par le client et conformes à des référentiels tels que FedRAMP High.
De cette manière, les entreprises peuvent atteindre un niveau de souveraineté numérique qui résiste aux conditions réelles, même en cas d’incident.
Regardez l’intégralité du webinaire et téléchargez le rapport « Readiness »
Dans le webinaire complet, disponible à la demande, vous découvrirez :
- Pourquoi la souveraineté numérique va au-delà d’une simple solution technologique.
- Le rôle de l’architecture et des opérations dans la stratégie de souveraineté.
- Comment la gouvernance, les contrats et l’auditabilité influencent la résilience.
- Pourquoi la souveraineté doit-elle être préservée en cas de cyberincidents et de pannes ?
- L’importance d’une approche holistique et fondée sur les risques en matière de souveraineté.
Regardez le webinaire et obtenez le rapport complet « Digital Sovereignty Decoded » ainsi que le cadre de référence « Readiness » associé.
FAQ
Q : Quelle est la différence entre la résidence des données et la souveraineté numérique ?
R : La résidence des données concerne le lieu où les données sont physiquement stockées. La souveraineté numérique est un concept plus large : elle porte sur les personnes autorisées à accéder aux données, en vertu de quelle autorité légale, par quels canaux opérationnels, et si celles-ci peuvent être récupérées sans altération dans des conditions réelles.
Une organisation peut avoir des données résidant dans le bon pays tout en restant exposée à une juridiction étrangère par le biais de son personnel de support, de ses accords d’accès avec les fournisseurs ou de son infrastructure de sauvegarde. La résidence est la condition de départ ; la souveraineté est la posture globale qui s’appuie sur celle-ci.
Q : Qu’est-ce que le cadre de souveraineté du cloud de l’UE, et en quoi est-il important ?
R : Le cadre de souveraineté du cloud de l’UE est un outil d’évaluation structuré développé par la Commission européenne pour évaluer les fournisseurs de cloud et de technologies au regard de critères de souveraineté lors des procédures de passation de marchés.
Il définit huit objectifs de souveraineté, avec des niveaux d’assurance allant de zéro à quatre pour chacun d’entre eux. Un seul de ces huit objectifs porte sur la localisation des données ; les autres couvrent les contrôles opérationnels, la conservation des clés, l’exposition juridictionnelle et Recovery.
Ce cadre constitue le référentiel public le plus complet pour évaluer la posture en matière de souveraineté et est de plus en plus utilisé comme référence par d’autres régions et organismes de passation de marchés au-delà de l’UE.
Q : Quelle est la différence entre BYOK et HYOK, et en quoi cela est-il important pour la souveraineté ?
R : Le modèle « Bring Your Own Key » (BYOK) permet à une organisation de fournir ses propres clés de chiffrement, mais ces clés sont généralement gérées au sein de la plateforme du fournisseur. Le modèle « Hold Your Own Key » (HYOK) signifie que l’organisation conserve la garde indépendante de ses clés entièrement en dehors de l’environnement du fournisseur, y compris en cas de crise ou de contrainte légale.
Pour les organisations soumises à une réglementation et à des exigences strictes en matière de souveraineté, le modèle BYOK peut ne pas offrir une protection suffisante si une autorité judiciaire étrangère est en mesure de contraindre le fournisseur à lui donner accès aux clés. La loi américaine CLOUD Act, par exemple, peut s’appliquer aux fournisseurs opérant sous juridiction américaine, quel que soit le lieu de stockage physique des données.
Le modèle HYOK répond directement à ce risque, même s’il peut nécessiter une infrastructure de niveau supérieur dans les déploiements SaaS.
Q : Pourquoi la plupart des stratégies de souveraineté négligent-elles la souveraineté opérationnelle ?
R : La souveraineté opérationnelle, qui porte sur l’identité de l’opérateur de l’environnement et sa localisation géographique, est le pilier le plus difficile à auditer, car elle nécessite de recenser les contrats d’assistance, les accords d’accès des fournisseurs et les dépendances vis-à-vis de tiers sur l’ensemble de la chaîne opérationnelle.
La plupart des organisations lancent des programmes de souveraineté axés sur la localisation et le chiffrement des données, qui sont plus visibles. Les dépendances opérationnelles n’apparaissent généralement que lorsqu’elles font l’objet d’un audit explicite ou lorsqu’un incident soulève la question.
Dans un premier temps, pour évaluer la souveraineté opérationnelle, vous devez identifier tous les chemins d’accès à votre environnement souverain ainsi que la juridiction de chaque partie disposant de cet accès.
Q : Comment les organisations doivent-elles aborder la Recovery après sinistre dans le contexte de la souveraineté ?
R : L’architecture de reprise doit répondre aux mêmes exigences de souveraineté que les environnements de données primaires, mais ce n’est souvent pas le cas. Dans la plupart des organisations, l’infrastructure de sauvegarde, la séquence de restauration et la gestion des points de reprise sont fréquemment régies par un ensemble distinct de contrôles, voire par l’absence totale de contrôles.
En cas d’incident, le personnel autorisé à exécuter la reprise peut ne pas répondre aux exigences juridictionnelles, les points de reprise peuvent ne pas avoir été validés comme étant sains et non compromis, et l’architecture souveraine conçue pour protéger les données peut activement compliquer la reprise si la résilience n’a pas été intégrée dès la conception initiale. Un examen de la souveraineté doit toujours inclure la planification de la reprise.
Q : Que signifie concrètement la « souveraineté minimale viable » ?
R : La « souveraineté minimale viable » consiste à identifier le niveau de contrôle adapté à chaque charge de travail, calibré en fonction des obligations réglementaires réelles, de la tolérance au risque et des contraintes opérationnelles, plutôt que d’appliquer de manière uniforme un ensemble maximal de contrôles.
Une souveraineté maximale s’accompagne de véritables compromis : complexité technologique, charge opérationnelle, limitations de service et coût. Les organisations qui définissent leurs exigences par charge de travail selon les quatre piliers, les mettent en correspondance avec des modèles de déploiement et établissent des preuves d’une mise en œuvre cohérente se trouvent dans une position bien plus solide que celles qui adoptent des approches « tout ou rien ».
Q : Quel rôle jouent les certifications telles que C5, SecNumCloud et ISO 27001 dans une stratégie de souveraineté ?
R : Les certifications permettent de fournir des preuves vérifiables que les contrôles ont été validés de manière indépendante, ce qui constitue un élément essentiel de toute posture de souveraineté défendable. La certification C5 en Allemagne, SecNumCloud en France et la norme ISO/IEC 27001 établissent chacune des exigences de base que les fournisseurs doivent démontrer par le biais d’audits indépendants.
Les stratégies de souveraineté les plus solides considèrent ces certifications comme un seuil minimal, fournissant la preuve nécessaire de l’existence de contrôles, mais ne se substituant pas aux tests opérationnels réalisés dans des conditions réalistes.
Darren Thomson est vice-président et directeur technique pour la région EMEA chez Commvault. Ne manquez pas de l’écouter dans la série de podcasts STRIVE.
