Après six ans de polémique, le gouvernement clôt définitivement le chapitre Microsoft de la Plateforme des données de santé (HDH) en accélérant le processus de sortie d’Azure pour se tourner vers un cloud souverain certifié SecNumCloud. Le 9 février dernier, une procédure de mise en concurrence dans le cadre du marché « Nuage Public » de la centrale d’achat public l’Ugap a été ouverte en vue d’une solution souveraine, « sécurisée, résiliente et non soumise aux législations extracommunautaires ». Finie, semble-t-il, la suprématie des solutions nord-américaines. David Amiel, ministre de la Fonction publique et de la Réforme de l’Etat qui vient d’être nommé ministre en charge des Comptes publics, appelle à une cure de « désintoxication » ; la priorité est à la souveraineté numérique, le buzzword de l’année 2026.
Il est « techniquement possible d’engager dès à présent la migration complète vers cette solution “cible” sécurisée, résiliente, non soumise aux législations extra-communautaires » a expliqué, le 6 février dernier, Stéphanie Rist, ministre de la Santé sur le dossier Microsoft. Cette solution cible permettra d’héberger une copie complète de la base principale du Système national des données de santé d’ici fin 2026, rendant la solution intercalaire inutile dont l’appel d’offre avait été lancé à l’été 2025 et dont la ministre a décidé d’y mettre fin.
Même si des administrations ont encore récemment fait le choix d’un prestataire américain, comme la DGSI qui a prolongé son contrat avec Palantir de trois ans, ou la Caisse Nationale des Allocations Familiales (CNAF) qui a choisi VMware Cloud Foundation (VCF) pour accélérer sa transformation numérique, le gouvernement affirme désormais sa volonté de changer de cap en matière de commande publique. Le 16 février dernier, David Amiel a lancé le Conseil national de la commande publique (CNCP), marquant ainsi une nouvelle étape de la reprise en main de la politique nationale de la commande publique. Et plus particulièrement dans le domaine du numérique, le gouvernement a affirmé sa volonté de favoriser l’éco-système français et européen et de réduire notre dépendance à l’égard des prestataires américains. Rappelons que 80 % des dépenses de l’État en matière de cloud et logiciels sont effectuées auprès de fournisseurs américains.
Le 5 février dernier en effet, une circulaire du Premier ministre fixant la doctrine de l’Etat pour orienter les administrations vers un usage responsable et souverain des solutions numériques a été dévoilée devant des entrepreneurs de la French Tech par Roland Lescure, Anne Le Hénanff et David Amiel, les ministres respectivement en charge de l’Economie, du Numérique et de la Réforme de l’Etat (jusqu’au 20 février dernier). Etabli après plusieurs mois de concertation interministérielle et en association avec le secteur du numérique, ce texte stratégique procure un cadre de décision pour les acheteurs et services numériques de l’État. Dans un contexte de contraintes budgétaires, il commence par orienter les choix vers des solutions déjà disponibles, qu’elles soient mutualisées en interne ou proposées par le marché, selon des critères prévus par la circulaire. Le développement de solutions spécifiques ne devra intervenir qu’en dernier ressort, si aucune solution existante ne correspond aux besoins ou lorsque les impératifs de résilience interne et de continuité du service public exigent une très forte maîtrise interne des outils concernés.
La souveraineté numérique devient par ailleurs un critère essentiel dans les décisions d’achat, aux côtés de la performance, de la sécurité ou du coût. La circulaire rappelle que cette souveraineté repose sur trois bases. Elle cite en premier lieu l’immunité au droit extra-européen à portée extraterritoriale et ajoute que « la qualification SecNumCloud permet notamment d’attester qu’une offre de service d’informatique en nuage bénéficie d’une protection adéquate à l’égard des réglementations extra-européennes à portée extraterritoriale ». Cette immunité s’impose particulièrement en matière d’hébergement de données d’une « sensibilité particulière » dont « la violation est susceptible d’engendrer une atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la protection de la propriété intellectuelle » comme le prévoit l’article 31 de la loi SREN. Pour accompagner les administrations dans le choix d’un hébergeur qui corresponde à ces exigences, le gouvernement a rédigé un « Vade-mecum sur la sensibilité des données au sens de l’article 31 de la loi SREN » qui sera publié très prochainement. La seconde base d’une souveraineté numérique suppose par ailleurs la « capacité de l’État à substituer une composante de ses systèmes numériques par une solution alternative, afin de prévenir les risques de dépendance technologique ou d’ingérence ». Enfin, « la maîtrise des technologies clefs par le recours aux solutions fournies par des acteurs économiques français ou européens, ou à défaut par l’État » constitue la troisième condition d’une souveraineté.
Le 26 janvier dernier, Anne Le Hénanff avait d’ailleurs lancé un Observatoire de la souveraineté numérique. Confié au Haut-commissariat à la Stratégie et au Plan, il a pour objectif de mesurer les dépendances numériques de la France afin de mieux les réduire. Il doit remplir trois missions : dresser un diagnostic partagé des dépendances critiques, fournir des outils d’aide à la décision pour les acheteurs publics et privés et contribuer à l’orientation des politiques publiques en matière de souveraineté numérique.
Même si l’Europe reste tout autant dépendante des technologies américaines, notamment dans le cloud et le logiciel, il n’existe pas de consensus des Etats membres en faveur de mesures de protection contre des lois extraterritoriales étrangères. La France a échoué à convaincre d’introduire cette problématique dans la révision du Cybersecurity Act, présenté le 20 janvier 2026 par la Commission européenne. Ce texte ne contient pas de critères de souveraineté des certifications cloud. Fin mars, la Commission devrait cependant présenter le règlement relatif au cloud et au développement de l’intelligence artificielle (CADA) un package de législations autour de la souveraineté technologique, couvrant les semi-conducteurs, l’Open Source, mais aussi l’IA et le cloud. Quant au projet de règlement sur l’accélération industrielle (ou IAA, pour Industrial Accelerator Act) dans lequel devrait figurer une disposition « buy european », un consensus reste encore à trouver pour imposer une préférence européenne en matière d’achat.