Qui détient le bouton d'arrêt d'urgence de votre infrastructure ?

« Nous voulons nous assurer que personne ne dispose d’un bouton d’arrêt d’urgence. » Henna Virkkunen, vice-présidente exécutive chargée de la souveraineté technologique, de la sécurité et de la démocratie à la Commission européenne, l’a clairement exprimé. En d’autres termes : aucun gouvernement étranger ne devrait pouvoir simplement mettre hors service ou accéder aux infrastructures sur lesquelles repose l’Europe. Il ne s’agit pas là d’une mise en garde concernant un avenir lointain.

C'est une description du présent.

 

Le moment où tout est devenu réel

En 2025, le procureur général de la Cour pénale internationale s'est vu temporairement privé de l'accès à son compte de messagerie Microsoft dans le cadre des sanctions américaines. Un seul fournisseur externe, une juridiction étrangère et une institution internationale ont ainsi vu leur fonctionnement perturbé.

Ce n'est pas un cas isolé. Le baromètre de la souveraineté numérique dans le secteur des technologies de l'information publiques, publié par Next:Public (décembre 2025, disponible uniquement en allemand), montre que 65 % des administrations interrogées estiment être fortement ou très fortement dépendantes de fournisseurs informatiques non européens. Parmi les communes, ce chiffre atteint 70 %. Les deux tiers d'entre elles jugent leurs possibilités de changement peu ou très limitées. Le « kill switch » existe bel et bien. Mais il ne dépend tout simplement pas d'elles.

 

L'Europe en tire les conséquences

Les tendances observées ces derniers mois ne peuvent plus être considérées comme une simple coïncidence ; elles laissent entrevoir une action plus délibérée. Microsoft a reconnu sous serment devant le Sénat français que l'accès aux données par les autorités américaines ne pouvait être exclu, même lorsque ces données sont physiquement stockées en Europe. La France a commencé à retirer des logiciels américains de 2,5 millions de postes de travail. Le Parlement européen s'est prononcé en ce sens, par 471 voix contre 68. Et la Commission est désormais en train d'élaborer les règles d'application.

Le paquet « Souveraineté technologique » définit, pour la première fois, quatre niveaux de souveraineté dans le cloud. Aux niveaux les plus élevés, un fournisseur doit être contrôlé depuis l'intérieur de l'UE, exercer un contrôle total sur la chaîne d'approvisionnement et ne permettre aucun accès depuis des pays tiers. Ceux qui ne satisfont pas à ces exigences seront exclus des marchés publics les plus sensibles : données de santé, données financières, données judiciaires.

 

Ce que signifie réellement la souveraineté numérique

Le BMDS définit la souveraineté numérique dans l'administration publique comme « les capacités et les possibilités dont disposent les individus et les institutions pour exercer leur(s) rôle(s) dans le monde numérique de manière indépendante, autonome et sécurisée ». L'objectif est de préserver la capacité d'action de l'État.

Dans la pratique, la souveraineté numérique a tendance à se résumer à une seule question : où les données sont-elles stockées ? C'est un point de départ compréhensible, mais qui ne va pas assez loin.

La souveraineté des données est importante. Mais le simple fait de stocker des données en Europe ne garantit pas pour autant qu’une solution soit véritablement souveraine. Si l’administration, l’assistance, la gestion des clés, les opérations, les interfaces propriétaires ou les dépendances vis-à-vis des fournisseurs n’ont pas été soigneusement examinées, d’importantes vulnérabilités peuvent subsister, quel que soit l’emplacement physique des données.

Voici un exemple : « Hébergé en Europe » semble convaincant. Mais le lieu d'hébergement ne permet pas à lui seul de déterminer qui peut légalement ou techniquement accéder aux données et aux systèmes. En particulier dans le cas de prestataires soumis à des juridictions non européennes, il convient de vérifier si l'institution publique conserve réellement le contrôle des données, des systèmes, des métadonnées, des clés et des processus opérationnels.

 

Pourquoi la souveraineté numérique ne peut être atteinte grâce à un seul produit

Pour de nombreuses institutions publiques, le processus commence par le choix d'une technologie. C'est souvent là que les choses tournent mal.

La question la plus importante à se poser en premier lieu est la suivante : quels sont les besoins réels – pour l'institution elle-même, pour le cas d'utilisation spécifique et pour les données concernées ?

Pour les institutions publiques, le niveau de protection requis constitue un point de départ essentiel. La méthodologie IT-Grundschutz du BSI s'interroge sur les dommages qui pourraient survenir si la confidentialité, l'intégrité ou la disponibilité des informations, des applications ou des systèmes informatiques venaient à être compromises.

À cette fin, le BSI distingue trois catégories de protection : normale, élevée et très élevée.

• Dans des conditions normales, les dommages éventuels sont limités et généralement gérables.
• À un niveau plus élevé, les conséquences potentielles deviennent nettement plus graves.
• À très grande échelle, cela peut prendre des proportions qui constituent une menace existentielle ou une catastrophe.

Le point essentiel est que c'est le niveau de protection qui détermine l'architecture, et non l'inverse.

Toutes les applications ne doivent pas nécessairement être sécurisées au plus haut niveau. Cela dit, les communications particulièrement sensibles, les données critiques ou les fonctions administratives essentielles ne doivent pas être traitées à l'aide d'une solution standard.

La souveraineté numérique n'est donc pas le fruit d'une décision isolée : elle résulte de l'interaction entre l'architecture, l'intégration et la mise en œuvre. La voix, la vidéo, la messagerie, les plateformes de communications unifiées (UC), les réseaux, la sécurité, la gestion des identités et les systèmes existants doivent tous être pris en compte dans leur ensemble. Aucun outil pris isolément ne peut résoudre ce problème à lui seul.

 

Quel rôle joue l'infrastructure ?

Une infrastructure sur site n'est pas automatiquement plus sûre que n'importe quelle solution cloud. Cela dit, elle peut constituer un facteur déterminant lorsqu'il s'agit de données, de canaux de communication ou de processus opérationnels particulièrement sensibles.

Pour les institutions publiques, il peut être intéressant d'envisager la mise en place d'infrastructures locales ou spécialisées dans les cas suivants :

• Les données de communication et les métadonnées doivent rester confinées à des environnements bien définis
• Les systèmes doivent rester disponibles même en cas d'interruption ou de limitation de la connectivité externe
• Il convient de séparer clairement l'administration et les opérations
• Il existe des exigences spécifiques concernant les informations classifiées, la disponibilité ou la traçabilité

Le choix du modèle d'exploitation doit donc être mûrement réfléchi. Une architecture véritablement souveraine peut s'appuyer sur une combinaison de solutions sur site, hybrides, de cloud privé et de cloud public : il n'y a pas de réponse unique.

Ce qui importe, ce n'est pas l'étiquette attribuée à une solution, mais le fait que les flux de données, les droits d'accès, les processus opérationnels, les interfaces et les options de sortie soient tous régis de manière transparente et explicite.

 

Pourquoi les technologies européennes et l'open source sont-elles importantes ?

Les technologies européennes peuvent contribuer à réduire les dépendances juridiques et opérationnelles, mais elles ne constituent pas une fin en soi. Une solution n'est pas automatiquement souveraine simplement parce qu'elle provient d'Europe.

Ce qui importe, c'est de savoir si la technologie est réellement adaptée à l'usage prévu, si elle peut être intégrée en toute sécurité dans les environnements existants et si elle peut être maintenue et développée à long terme.

Les logiciels libres constituent un élément central dans ce contexte, non pas pour des raisons idéologiques, mais pour des raisons pratiques :

• Le code open source garantit la transparence et permet un audit indépendant.
• Les normes ouvertes améliorent l'interopérabilité entre les systèmes.
• Les approches modulaires permettent de réduire la dépendance vis-à-vis d'un seul fournisseur.
• Les solutions deviennent plus faciles à adapter et à réutiliser.
• Opter pour une solution alternative reste une option envisageable.

Cela dit, l'open source est un levier important, mais pas une stratégie de souveraineté toute faite. Il ne prend tout son sens que lorsque les applications sont intégrées de manière sécurisée, correctement documentées, exploitées de manière fiable et véritablement ancrées dans les flux de travail existants.

Pour les institutions publiques, il ne s'agit pas d'un choix binaire entre solutions open source et solutions propriétaires. Ce qu'il faut, c'est une architecture qui allie transparence, interopérabilité, sécurité et liberté de changer de fournisseur si nécessaire.

 

Pourquoi la technologie ne suffit-elle pas à elle seule ?

Une question souvent négligée, bien qu'elle semble simple à première vue, est la suivante : qui est réellement autorisé à accéder à ces systèmes ?

Dans les projets où la sécurité est un enjeu crucial, la réflexion ne doit pas se limiter aux logiciels, au matériel ou aux modèles de cloud. Elle doit également porter sur les personnes autorisées à accéder aux systèmes, aux données, aux processus opérationnels et aux fonctions administratives.

Lorsque les exigences d'un projet l'imposent, il est possible de faire appel à du personnel ayant fait l'objet d'une habilitation de sécurité conformément à la loi sur l'habilitation de sécurité (SÜG). Dans les environnements sensibles, il ne s'agit pas d'un simple détail, mais d'un élément central de tout concept de mise en œuvre sérieux.

La technologie, l'architecture et les personnes doivent travailler main dans la main. Sans cette synergie, la souveraineté reste exactement là où il est le plus facile de la laisser : sur le papier.

 

Comment les institutions publiques devraient-elles aborder la souveraineté numérique dans la pratique ?

La première étape ne consiste pas à choisir un produit, mais à définir clairement les besoins.

Les institutions publiques devraient notamment préciser :

1. Quels sont les processus de données et de communication qui revêtent un caractère critique ? Toutes les informations ne nécessitent pas le même niveau de protection ni le même modèle opérationnel.
2. Quels sont les systèmes déjà en place ? Il convient de prendre en compte les solutions existantes en matière de téléphonie, de collaboration, de visioconférence, de réseau et de sécurité.
3. Quelles sont les dépendances actuelles ? Cela inclut les fournisseurs, les plateformes, les interfaces, les formats de données, les processus d'assistance et les modèles de licence.
4. Quels sont les modèles d'exploitation autorisés et pertinents ? Les architectures sur site , hybrides, en cloud privé, en cloud public ou en « air-gap » doivent être déterminées en fonction des besoins.
5. Quelles sont les technologies qui conviennent réellement ? Il est important ici de rester indépendant des fournisseurs . Sinon, l'architecture se retrouve trop tôt dictée par un seul produit.
6. Comment préserver les possibilités de changement et la capacité d'action ? Des normes ouvertes , des interfaces documentées et des scénarios de migration réalistes doivent être intégrés dès le début dans la planification.

Cette approche permet d'éviter deux erreurs courantes : considérer la souveraineté comme une simple question de conformité ou tenter d'y remédier par l'acquisition d'une seule plateforme. Dans la pratique, les deux sont indispensables : une évaluation claire des besoins et la capacité à mettre en place, sur cette base, une infrastructure de communication et de réseau viable. C'est précisément là qu'intervient Damovo.

 

Comment Damovo contribue-t-il à la mise en œuvre de la souveraineté numérique ?

Damovo est un partenaire de conseil et d'intégration indépendant de tout fournisseur, spécialisé dans les infrastructures de communication et de réseau pour le secteur public.

Notre rôle n'est pas de présenter une technologie particulière comme étant « souveraine ». Nous évaluons les besoins, recommandons les technologies adaptées et les intégrons dans une architecture globale sécurisée, conviviale et gérable à long terme.

Plus précisément, nous accompagnons les institutions publiques dans les domaines suivants :

• l'évaluation des exigences réglementaires, organisationnelles et techniques
• la classification des exigences en matière de protection, des besoins en communication et des modèles opérationnels
• le choix de technologies européennes adaptées, d'applications open source et de solutions proposées par nos partenaires
• l'intégration de la voix, de la vidéo, des communications unifiées, de la messagerie, du réseau et de la sécurité
• la mise en œuvre d'architectures sur site, hybrides, en cloud privé et, si nécessaire, en mode « air-gap »
• le déploiement de personnel ayant fait l'objet d'une habilitation de sécurité dans le cadre de la SÜG lorsque les besoins l'exigent
• la réduction des dépendances grâce aux logiciels libres et aux possibilités de changement.

L'objectif n'est pas l'isolement total. C'est la capacité d'agir.

 

La souveraineté numérique n'est plus une option

La souveraineté numérique ne découle pas d'un produit unique, d'un emplacement cloud particulier ou d'une décision technologique prise isolément. Elle se concrétise lorsque les institutions publiques ont une vision claire de leurs propres besoins, s'efforcent délibérément de réduire leurs dépendances et mettent en place une infrastructure de communication et de réseau qui reste sécurisée, ouverte, interopérable et gérable sur le long terme.

Au final, l'important ne réside pas dans les éléments constitutifs pris isolément. Ce qui compte, c'est de rester capable d'agir. La souveraineté numérique n'est donc pas une option. C'est le fondement sur lequel tout le reste repose.