La Commission européenne sélectionne OVHcloud, Scaleway et StackIT pour son cloud souverain

La Commission européenne sélectionne quatre alliances technologiques pour gérer ses infrastructures cloud durant six ans, via un contrat de 180 millions d’euros. Cette décision s’appuie sur le Cloud Sovereignty Framework, un outil inédit mesurant l’indépendance numérique. Ce système de notation, gradué par les niveaux SEAL, permet désormais aux institutions de quantifier précisément la sécurité et l’autonomie de leurs données.

L’indépendance numérique européenne franchit un cap décisif avec la signature d’un accord-cadre historique. En octroyant un marché de grande ampleur à des acteurs du vieux continent, Bruxelles ne se contente pas de sécuriser ses services internes ; elle impose une méthode d’évaluation standardisée qui brise l’opacité habituelle du secteur.

Finies les déclarations d’intention vagues sur la protection des données. Le Cloud Sovereignty Framework transforme désormais la souveraineté en une exigence contractuelle chiffrée et opposable. Ce virage stratégique intervient dans un contexte de tensions technologiques mondiales, où la maîtrise de l’infrastructure logicielle et matérielle devient une priorité absolue pour l’administration publique européenne.

Un référentiel de mesure basé sur les niveaux SEAL

Le Cloud Sovereignty Framework, formalisé par la Commission européenne (DG DIGIT) en octobre 2025, transforme la sélection des prestataires numériques en un exercice de transparence rigoureux. Pour un professionnel en statut freelance ou un DSI, cette grille permet d’évaluer si un outil est un simple service ou un actif stratégique protégé par le droit européen.

Le cœur de ce référentiel repose sur les niveaux SEAL (Sovereignty Effectiveness Assurance Levels), qui servent de « monnaie d’échange » pour mesurer l’indépendance réelle face aux puissances technologiques extra-européennes.

Les 8 piliers du framework (Objectifs SOV)

Pour obtenir un score SEAL, chaque solution est auditée selon huit objectifs pondérés. Cette approche « by design » garantit que la souveraineté n’est pas seulement juridique, mais technique et environnementale.

• Souveraineté stratégique (15%) : Maîtrise de l’actionnariat et protection contre les « changements de contrôle » étrangers ;
• Souveraineté juridique (10%) : Immunité face aux lois extra-européennes (le Cloud Act américain) ;
• Souveraineté Data & IA (10%) : Contrôle total des clés de chiffrement par le client et localisation des modèles d’IA en Europe ;
• Souveraineté opérationnelle (15%) : Capacité à maintenir et exploiter le service uniquement avec des équipes basées dans l’UE ;
• Sécurité & Conformité (10%) : Alignement strict avec la directive NIS2 et localisation des centres opérationnels de sécurité (SOC) dans l’UE ;
• Écoconception (5%) : Respect des normes environnementales de l’UE (empreinte carbone et efficacité énergétique.

La pyramide de souveraineté SEAL

L’échelle SEAL (de 0 à 4) définit des paliers d’exigences croissants. Dans les récents appels d’offres de la Commission (avril 2026), le niveau SEAL-2 est devenu le seuil minimal d’éligibilité pour les données non critiques, tandis que le SEAL-3 est désormais la norme pour la résilience opérationnelle.

Des alliances industrielles pour éviter le monopole

L’attribution par la Commission européenne du marché « Sovereign Cloud » (Cloud III) en ce mois d’avril 2026 marque un tournant historique pour l’autonomie stratégique du continent. Pour un professionnel en statut freelance, cette décision clarifie les standards de sécurité et de conformité (NIS2, DORA) attendus pour les missions de haute technicité auprès des institutions et des OIV (Opérateurs d’Importance Vitale).

Les 4 groupements retenus par la Commission

Le marché, doté d’une enveloppe de 180 millions d’euros sur 6 ans, a été réparti entre quatre consortiums pour éviter tout verrouillage propriétaire (vendor lock-in) et garantir une résilience maximale.

Le fossé stratégique : SEAL-3 vs SEAL-2

SEAL-3 : Résilience Numérique

Les groupements menés par Post Telecom, STACKIT et Scaleway ont atteint ce niveau, attestant d’une résilience supérieure. Ce niveau signifie que leurs solutions sont développées en propre, les protégeant des ruptures d’approvisionnement venant de pays tiers.

SEAL-2 : Souveraineté des données

Le consortium Proximus / S3NS reste plafonné à ce niveau. En effet, l’usage de technologies américaines (Google Cloud Platform) interdit structurellement l’accès au niveau 3 à cause des risques liés aux législations étrangères.

En 2026, la « souveraineté » n’est plus un argument marketing, mais une norme d’audit publique et transparente.

• Standardisation des compétences : les niveaux SEAL offrent un langage commun aux DSI ;
• Transparence : la grille d’analyse sera publique et accessible à tous ;
• Anticipation réglementaire : aide à respecter les futures obligations NIS2 et DORA ;
• Liberté de choix : l’écart avec les acteurs extra-européens se réduit visiblement.

La Commission souhaite que cet outil dépasse ses propres frontières administratives. En publiant ce cadre de mesure, elle offre aux organisations publiques et privées un moyen fiable de qualifier leurs partenaires cloud. Il appartient désormais à chaque responsable de définir le niveau d’exigence nécessaire pour protéger son patrimoine numérique.