Acheteuses, acheteurs, bienvenue à bord ! Embarquement immédiat de vos données vers le monde du Cloud. Avant le décollage, assurez-vous que vos données sont bien attachées, enfin, sécurisées ! En cas de turbulences, vos données pourraient se retrouver noyées dans un data lake à l'autre bout du monde !
Les achats numériques ne se résument pas aux infrastructures Cloud. Ils comprennent un ensemble de prestations technologiques incluant matériels, logiciels, infrastructures et services. En revanche, quand nous évoquons la notion de souveraineté numérique, les yeux se tournent naturellement vers le Cloud.

En observant le niveau de dépendance aux infrastructures Cloud non européennes, nous comprenons le mouvement d’inflation normative européenne et française autour de la souveraineté numérique dans ce domaine particulier. Selon une étude réalisée en avril 2025 par le cabinet Asterès, 83 % des dépenses liées aux logiciels et aux services Cloud à usage professionnel au sein de l’Union européenne sont passées auprès d’entreprises américaines. Selon un rapport publié en avril 2026 par un groupe de réflexion européen « Future of Technology Institute », 23 pays européens dépendent des technologies américaines pour leurs systèmes de sécurité et de défense nationaux, dont 16 pays (incluant le Royaume-Uni) sont à haut risque de kill switch en raison de leur dépendance aux différents services de cloud américains.
Ces statistiques se traduisent, économiquement, par 264 Mds € européens dépensés au bénéfice de l’économie américaine et, stratégiquement, par une dépendance accrue aux infrastructures de Cloud américain et particulièrement inquiétante en ce qui concerne les domaines à haut risque comme la sécurité et la défense.

Cette dépendance ne date pas d’aujourd’hui. En revanche, elle s’est exacerbée et a fini par remonter à la surface sous l’effet des tensions géopolitiques. Cette révélation a permis de démontrer la vulnérabilité numérique et les risques que peut générer une telle dépendance européenne. Elle a été comme un « shock therapy » pour reprendre l’expression employée par la Présidente de la Commission européenne lors de la conférence autour de la sécurité à Munich du 14 février 2026.

Grâce à ce réveil numérique européen, la notion de « souveraineté » devient le maître-mot. Pourtant, chaque État faisant partie de l’ordre international est en principe souverain. Or, au siècle des données, la souveraineté ne se résume plus seulement à la reconnaissance internationale et aux drapeaux qui flottent dans les airs.
L’un des critères d’un État souverain numériquement serait aujourd’hui qu’il soit maître de ses propres données (et ce, peu importe le degré de sensibilité de celles-ci), de leur hébergement, de la manière dont elles sont traitées et qu’il soit en conséquence capable d’en assurer la protection.

L’un des critères d’un État souverain numériquement serait aujourd’hui qu’il soit maître de ses propres données (et ce, peu importe le degré de sensibilité de celles-ci), de leur hébergement, de la manière dont elles sont traitées et qu’il soit en conséquence capable d’en assurer la protection.

À la croisée des enjeux de la cybersécurité et de l’intelligence artificielle, l’hébergement, le stockage et le traitement des données constituent la pierre angulaire de l’ensemble des prestations de technologies de pointe. Sujet dont nous ne pouvons plus faire fi puisque l’on parle de souveraineté.

Si on se fie au critère évoqué ci-dessus en analysant l’état de dépendance européenne aux infrastructures de Cloud américain, nous réaliserons l’urgence de prendre les commandes et la nécessité d’agir.

Un des moyens d’action qui fait consensus au niveau européen et français, c’est la commande publique ! Les acheteurs l’ont compris. Aujourd’hui c’est à eux de faire vivre la stratégie adoptée en faisant de la commande publique un levier de souveraineté numérique.

La souveraineté numérique dans la commande publique : à la française ou à l’européenne ?

Si ce titre porte volontairement un point d’exagération, son objet est en réalité plus circonscrit. Il ne prétend pas embrasser l'ensemble des enjeux liés à la souveraineté numérique, mais s'attache à l'une de ses composantes essentielles, qui mérite une attention particulière de la part des acheteurs publics : la protection des données face aux effets des législations extraterritoriales.
Sans une définition officielle de la souveraineté numérique par le législateur européen (à l’instar de celle donnée par le Premier Ministre français dans la circulaire portant sur la commande publique numérique du 5 février 2026), il apparaît opportun de partir de l'observation des faits. Cette démarche conduit à comparer les approches européennes et françaises permettant d’identifier les pratiques mises en oeuvre pour protéger les données contre l'application de législations étrangères à portée extraterritoriale, comme le Clarifying Lawful Overseas Use of Data Act, communément dit le CLOUD Act américain.
Une telle approche ne saurait toutefois résumer, à elle seule, la notion de souveraineté numérique. Pour autant, la capacité de prémunir les données à l’égard des législations extraterritoriales constitue aujourd'hui un préalable indispensable à toute stratégie de souveraineté numérique. Cette exigence peut être comparée à la sécurisation de la porte d’entrée d’une maison avant d’entamer les chantiers à l’intérieur. Elle ne garantit pas, à elle seule, la sécurité de l'ensemble de la construction, mais en constitue une condition préalable.

S'agissant des moyens permettant d'atteindre cet objectif, les États membres de l’Union européenne n’ont pas parlé d’une seule voix. Entre une approche exigeant une protection stricte contre les législations extraterritoriales (comme celle de la France) et une vision plus flexible (comme celle des Pays-Bas), le projet de certification (EUCS - European Union Cybersecurity Scheme for Cloud Services) n’a pas, à ce jour, abouti. Pour rappel, ce projet, élaboré sous l'égide de l'Agence de l'Union européenne pour la cybersécurité (ENISA), vise à instaurer un cadre européen harmonisé de certification des services de Cloud. Au-delà de la cybersécurité, il entend définir des niveaux d'exigence en matière d’immunité des données, selon leur sensibilité et leurs usages, aux lois extraterritoriales.

Dans ce contexte, et en l'absence d'un référentiel européen unique, les pratiques tendent à diverger. Une analyse des procédures de passation des marchés publics fait ainsi apparaître une bifurcation entre l'approche retenue par la Commission européenne et celle appliquée par les acheteurs publics français pour assurer la protection des données contre les effets des législations extraterritoriales.
En France, l'un des principaux leviers mobilisés par les acheteurs publics consiste à recourir au référentiel SecNumCloud, élaboré par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Lorsqu'un opérateur économique est titulaire de la qualification SecNumCloud, délivrée par décision de l'ANSSI, il est présumé satisfaire aux exigences définies par l'acheteur en matière de protection des données à l’égard des législations extraterritoriales.

Sans entrer dans le détail de l'obligation prévue par l’article 31 de la loi du 21 mai 2024 dite SREN, ni dans son champ d'application, et à supposer même que cette obligation ne soit pas applicable à l'acheteur public, la diligence de ce dernier le conduit naturellement à insérer une telle exigence dans son dossier de consultation des entreprises (DCE). Dans la pratique, le référentiel SecNumCloud tend ainsi à s'imposer comme un instrument privilégié permettant de concilier les exigences de cybersécurité et les objectifs de souveraineté numérique dans les marchés publics portant sur des services Cloud. Reste à déterminer à quel stade de la procédure de passation cette qualification nationale peut être introduite sans méconnaître le principe fondamental d'égalité de traitement des candidats.

Le référentiel SecNumCloud tend ainsi à s'imposer comme un instrument privilégié permettant de concilier les exigences de cybersécurité et les objectifs de souveraineté numérique dans les marchés publics portant sur des services Cloud

Au-delà du fait qu'il s'agit d'une qualification délivrée par une autorité nationale, son obtention représente, pour les opérateurs économiques, un investissement significatif, tant en termes de coûts que de temps. En revanche, pour les acheteurs publics, le recours à cette certification constitue un outil phare aisément mobilisable, tout en offrant une garantie fiable quant au niveau de protection des données et des services Cloud.

Si SecNumCloud est initialement un référentiel de cybersécurité, les garanties qu'il offre en matière de protection des données contre les effets des législations extraterritoriales conduisent progressivement les acheteurs publics à en faire un vecteur de souveraineté numérique. Ainsi, au-delà de sa finalité première, ce référentiel tend à influencer les pratiques d'achat en devenant un élément opérationnel de sécurisation des marchés publics numériques portant sur des services Cloud.

Si SecNumCloud est initialement un référentiel de cybersécurité, les garanties qu'il offre en matière de protection des données contre les effets des législations extraterritoriales conduisent progressivement les acheteurs publics à en faire un vecteur de souveraineté numérique

À la différence de l'approche française, la Commission européenne a retenu une méthode distincte dans le cadre du marché public attribué le 17 avril 2026 relatif à l'acquisition de services Cloud qualifiés de « souverains ». Plutôt que de s'appuyer sur un mécanisme de certification préalable, elle a privilégié une démarche fondée sur une grille d'évaluation visant à apprécier le degré de souveraineté des offres. À cette fin, la Commission a élaboré un référentiel intitulé « Cloud Sovereignty Framework », permettant d'attribuer aux offres un score destiné à apprécier leur « niveau de souveraineté ». Plutôt que de reposer sur une qualification, ce dispositif procède à une évaluation graduée fondée sur plusieurs dimensions de la souveraineté.
Une souveraineté qui s'articule autour de huit catégories : la souveraineté stratégique, la souveraineté juridique et juridictionnelle, la souveraineté des données et de l'intelligence artificielle, la souveraineté opérationnelle, la souveraineté de la chaîne d'approvisionnement, la souveraineté technologique, la souveraineté en matière de sécurité et de conformité, ainsi que la durabilité environnementale.

Ces approches soulèvent une interrogation sur les modalités d'appréciation de la souveraineté dans les marchés publics numériques portant principalement sur des services Cloud ; domaine particulièrement technique et en constante évolution. Convient-il de privilégier un mécanisme de certification préalable, reposant sur une vérification ex ante réalisée par une autorité compétente comme l’ANSSI, ou de préférer une méthode fondée sur un critère d'attribution et une grille d'évaluation laissant à l'acheteur public la liberté/responsabilité d'apprécier le niveau de souveraineté ; le SEAL (Sovereignty Effectiveness Assurance Level).

Approches complémentaires, mais logiques distinctes

Une combinaison de ces deux approches pourrait également constituer une voie pertinente : en conciliant la sécurité offerte par une certification préalable avec la souplesse d'une évaluation adaptée aux spécificités de chaque marché. La réponse est toutefois plus complexe qu'il n'y paraît. Si les deux approches peuvent être conçues comme complémentaires, celles-ci reposent sur des logiques sensiblement distinctes et entraînent des conséquences différentes tant pour les acheteurs publics que pour les opérateurs économiques.

Les deux approches peuvent également refléter des appréhensions différentes de la réalité économique et industrielle du secteur.
L’approche française appréhende la souveraineté sous l'angle de « l'autonomie stratégique et de la maîtrise des dépendances critiques ». Elle tend à privilégier une logique de certification, permettant d'établir qu'un service satisfait à un ensemble de garanties prédéfinies. L’approche de la Commission s'inscrit davantage dans une logique d'évaluation continue. La souveraineté numérique sous l’angle de protection des données à l’égard des législations extraterritoriales n'y est plus envisagée comme une qualité binaire, mais comme un niveau de garanties apprécié au regard d'objectifs destinés à « réduire les dépendances, à renforcer la résilience des infrastructures numériques européennes ».

L’approche française tend à privilégier une logique de certification ; la Commission s'inscrit davantage dans une logique d'évaluation continue

Ces deux approches sont, toutefois, animées par le même esprit qui consiste à accroître la maîtrise des infrastructures numériques critiques et à limiter les risques liés aux dépendances extra-européennes. En effet, la véritable ligne de partage ne réside pas entre une conception française et une conception européenne de la souveraineté, mais entre les instruments que l’acheteur public peut mobiliser opérationnellement afin de garantir l'immunité de ses données et, ce faisant, de renforcer sa souveraineté numérique.

La véritable ligne de partage ne réside pas entre une conception française et une conception européenne de la souveraineté, mais entre les instruments que l’acheteur public peut mobiliser opérationnellement afin de garantir l'immunité de ses données et, ce faisant, de renforcer sa souveraineté numérique

Une stratégie européenne du numérique se dessine aujourd’hui. L’initiative « Tech Sovereignty Package » de la Commission, destinée à assurer une meilleure cohérence entre les différents textes européens relatifs au numérique, doit être saluée. Par ailleurs, il convient de relever que ce Package comprend notamment le « Cloud and AI Development Act » (CADA). Dans cette proposition de règlement, la protection des données utilisées pour des usages hautement sensibles fait l’objet du niveau de sécurité le plus élevé (niveau 4), impliquant une immunité renforcée à l’égard des législations extraterritoriales en prévoyant clairement l’absence de toute interférence possible d’un État tiers.

Toutefois, si l'ambition est de faire de la commande publique un véritable levier de souveraineté numérique, il apparaît nécessaire d'inscrire des orientations spécifiques applicables aux achats numériques dans les textes régissant les marchés publics. La révision annoncée des directives européennes en matière de commande publique offre, à cet égard, une opportunité particulièrement propice.

In fine, la mise en oeuvre d'une stratégie européenne commune de souveraineté numérique, intégrée au droit de la commande publique, apparaît désormais indispensable. L'essor de l'intelligence artificielle confirme, en outre, que les cadres juridiques régissant le numérique à l'échelle nationale, européenne, voire internationale sont marqués par une phase d'expérimentation.

Les enjeux sont nombreux, entre sécurité et frugalité, entre souveraineté et continuité de service, l’acheteur public dispose du privilège d’avoir plusieurs horizons en vue. Pour qu’il puisse concilier ces objectifs, il lui faut une trajectoire européenne commune et cohérente et une stratégie nationale alignée. En revanche, savoir maîtriser l’Immelmann turn dans l’incertitude, l’inflation normative, la hausse des prix dans ce domaine et la vitesse à laquelle le numérique avance demeure aujourd’hui un défi majeur à relever pour tout acheteur public diligent.