Nouveau cours : Cloud souverain, choisir et justifier

Le chapitre Héberger accueille Cloud souverain : choisir et justifier, suite directe de Le cloud : les fondamentaux. C'est un cours de niveau 300 : il ne s'agit plus de manipuler des briques, mais de choisir où les poser, et de pouvoir l'expliquer à un client ou à une direction.

Des questions plutôt qu'un slogan

« Souverain » est devenu un argument commercial que chacun définit à sa façon. Le cours le décompose en questions auxquelles on peut répondre : quel droit s'applique au fournisseur et à son actionnaire, qui peut accéder aux données et aux clés et sur quel fondement, que se passe-t-il si le service s'arrête, et quel texte impose quoi à ce client précis.

Chaque leçon s'appuie sur les textes eux-mêmes : le référentiel SecNumCloud de l'ANSSI lu dans le texte, le catalogue des offres qualifiées, le code américain pour le Cloud Act et la section 702 du FISA, les arrêts de la Cour de justice, la loi SREN et son décret d'application d'avril 2026, le référentiel HDS de 2024. Tout ce qui peut changer est daté au 5 octobre 2026.

Quelques constats

• La localisation des données ne règle pas la question juridique : une loi s'applique à des personnes, et ce qui compte est qui contrôle le fournisseur.
• Une qualification SecNumCloud porte sur une offre et un périmètre, pas sur un fournisseur ; seul le catalogue de l'ANSSI fait foi, et une offre « en cours » n'est pas qualifiée.
• Le chiffrement ne protège d'une loi extraterritoriale que si les clés échappent au fournisseur et que le service n'a pas besoin de lire les données.
• L'article 31 de la loi SREN est désormais applicable, mais pas aux collectivités : tous les clients publics ne sont pas soumis aux mêmes obligations.
• La meilleure décision d'hébergement est parfois une décision de conception : ne pas collecter ce que l'on ne veut pas avoir à héberger.

Le cours ne remplace pas un juriste. Il donne à une équipe technique de quoi poser des questions précises et écrire une décision qui tient.

Pour valider

Un quiz de quinze questions vérifie les notions. Le niveau 300 se valide par un projet : le dossier d'hébergement complet d'un centre hospitalier qui veut utiliser Signalements, relu par un pair avec une grille fournie.