La souveraineté numérique, tout le monde s’en réclame, mais quand on pose la question concrètement sur l’hébergement, les accès, les juridictions applicables ou les contrats en vigueur, les réponses deviennent rapidement floues. C’est ce qu’on observe au quotidien chez les organisations que nous accompagnons, et c’est rarement le signe d’une négligence : c’est surtout le résultat de décisions prises par défaut, à un moment où ces questions n’étaient pas encore au centre des arbitrages.
L’hébergement, point de départ de toute maîtrise
Toute donnée est stockée quelque part, et ce quelque part détermine qui peut y accéder, dans quelles conditions et sous quelle juridiction. C’est une question que beaucoup d’organisations n’ont jamais vraiment creusée, non par manque de rigueur, mais parce qu’elle n’a longtemps semblé ni urgente ni stratégique.
Le droit européen a commencé à poser un cadre. Le RGPD (règlement UE 2016/679) encadre strictement les transferts de données hors Union européenne à travers ses articles 44 à 49. L’arrêt Schrems II, rendu par la CJUE le 16 juillet 2020, a poussé ce raisonnement plus loin en invalidant le Privacy Shield et en rappelant que le niveau de protection des données doit accompagner les données où qu’elles aillent.
Héberger ses données sur le territoire national, dans un environnement qualifié, c’est s’assurer qu’elles restent dans un périmètre maîtrisé. Ce choix d’architecture, qu’il s’agisse d’un déploiement on-premise, d’un cloud souverain ou d’un environnement SecNumCloud, conditionne tout le reste. Ne pas le traiter, c’est de fait déléguer une partie du contrôle sans en mesurer les conséquences.
La technologie, un levier de dépendance autant que d’autonomie
Utiliser une technologie ne signifie pas en avoir la maîtrise. La plupart des solutions déployées aujourd’hui en Europe sont développées et maintenues par des acteurs dont les décisions de roadmap, les mises à jour et les orientations stratégiques restent extérieures à l’organisation qui les utilise.
La circulaire « cloud au centre » du Premier ministre (n°6404/SG, 31 mai 2023) a donné une orientation claire aux services de l’État : privilégier les solutions qualifiées, immunisées contre les réglementations extracommunautaires, et s’appuyer sur la DINUM pour encadrer les choix technologiques. Ce signal, même s’il s’adresse d’abord aux administrations, traduit une prise de conscience plus large.
Choisir un éditeur souverain, c’est pouvoir auditer ses pratiques, engager sa responsabilité et solliciter des évolutions adaptées à ses besoins. C’est aussi préserver une capacité d’adaptation que les cycles imposés de l’extérieur ne permettent structurellement pas.
La gouvernance interne, angle mort de la souveraineté
La souveraineté passe aussi par la manière dont les organisations structurent leurs propres accès. Qui peut consulter quelles données ? Qui peut modifier les configurations ? Qui déclenche des actions sur les terminaux ? Dans de nombreux cas, ces règles restent implicites ou insuffisamment formalisées.
La directive NIS2 (UE 2022/2555) a mis ce sujet sur la table réglementaire. Ses articles 21 et 23 imposent aux entités essentielles et importantes des mesures de gestion des risques et des obligations de notification des incidents, avec une attention explicite portée à la sécurité de la chaîne d’approvisionnement et aux droits d’accès.
Un modèle opérationnel mal défini crée des failles qui s’accumulent : accès non contrôlés, prestataires trop privilégiés, support externalisé sans encadrement contractuel clair. Ces situations ne relèvent pas d’une mauvaise volonté, elles sont le produit naturel d’une croissance rapide ou d’une organisation qui n’a pas eu le temps de formaliser ce qui aurait dû l’être. On les découvre généralement au mauvais moment.
Le cadre réglementaire, une contrainte structurante
C’est probablement le point le moins anticipé, et l’un des plus structurants. Le Cloud Act (2018) autorise les autorités américaines à exiger l’accès à des données stockées par toute entreprise soumise à leur juridiction, où que ces données se trouvent dans le monde. Une entreprise américaine peut être tenue de livrer des données hébergées en Europe, sans qu’aucune notification ne soit due à l’organisation dont elles émanent.
En France, la loi de programmation militaire 2024-2030 (loi n°2023-703 du 1er août 2023) a renforcé les prérogatives de l’ANSSI en matière de cybersécurité des systèmes d’information. Au niveau européen, le schéma EUCS porté par l’ENISA dans le cadre du Cybersecurity Act vise à harmoniser la certification des services cloud, même si ce schéma est encore en cours de finalisation.
Ce cadre réglementaire s’applique qu’on le connaisse ou non. Le prendre en compte dès le choix de ses outils, c’est transformer une contrainte subie en position de maîtrise.
Une capacité qui se construit dans la durée
Ces quatre dimensions forment un tout. Hébergement, technologie, modèle opérationnel, réglementation : chacune engage une décision, et chaque décision non prise est une décision prise par défaut.
La gestion des terminaux mobiles est souvent perçue comme un sujet technique de second plan. Elle est en réalité au cœur du système d’information : elle touche aux accès, aux données, aux communications internes. Négliger sa dimension souveraine, c’est laisser une porte ouverte sans l’avoir choisie.
C’est précisément pour répondre à ces enjeux qu’a été conçue PushManager : une solution EMM développée et hébergée en France, pensée pour les organisations qui considèrent la souveraineté comme un fondement, et non comme une option.
Jean-Cédric MINIOT
Directeur Général d’ITS Ibelem, éditeur de PushManager
