L’essentiel
Une décision de souveraineté numérique doit préciser ce que l’organisation cherche à protéger : confidentialité, disponibilité, autonomie de décision, maîtrise juridique, continuité ou capacité à changer de fournisseur.
1. Classer les services et les données
Commencez par l’impact métier d’une indisponibilité, d’une divulgation, d’une modification ou d’une impossibilité de migrer. Cette classification évite d’appliquer le niveau d’exigence maximal à tout le SI et de sous-protéger les actifs réellement critiques.
2. Examiner cinq axes de maîtrise
- Contrôle technique : identités, clés, administration, journaux et chaînes de mise à jour.
- Exposition juridique : entités contractantes, sous-traitants, droit applicable et accès extraterritoriaux.
- Dépendance : formats, API propriétaires, compétences et coûts de sortie.
- Opérations : support, continuité, capacité, gestion d’incident et preuves.
- Gouvernance : décisions, exceptions, durée et réévaluation.
3. Choisir une combinaison, pas un camp
Cloud public, cloud qualifié, hébergement privé, infrastructure interne et services SaaS peuvent coexister. Le bon modèle sépare les composants selon leur criticité et rend explicites les flux, les dépendances et les contrôles compensatoires.
Un service hébergé en France peut rester dépendant d’une chaîne d’administration, de logiciels, de capitaux ou de juridictions étrangères. Inversement, certaines charges peu sensibles peuvent accepter cette exposition si la sortie et la continuité sont maîtrisées.
4. Contractualiser la réversibilité avant l’entrée
Formats d’export, fréquence, volume, assistance, propriété des configurations, délais, coût et test de sortie doivent être négociés avant la migration. Une clause sans exercice ni données exportables n’est pas une capacité de réversibilité.
5. Produire une décision traçable
Le livrable attendu relie classification, scénarios, critères pondérés, risques résiduels, coût complet et trajectoire. Il explique aussi les exceptions et la date de révision, afin que la souveraineté reste un choix gouverné plutôt qu’une déclaration marketing.