Mis à jour le 28 septembre 2026
L’infogérance souveraine n’est pas un label que l’on colle sur une offre. C’est une promesse qui se vérifie couche par couche : où sont stockées les données de vos clients, quelle entreprise les opère, sous quel droit elle tombe, et qui intervient dessus. Un MSP (Managed Service Provider) infogéreur qui revend Microsoft 365 ne peut pas se dire souverain à 100 %. Il peut en revanche rendre souveraines les couches qui pèsent le plus (la sauvegarde, les fichiers sensibles, les équipes qui interviennent) et l’écrire noir sur blanc.
Cet article vous donne une grille pour auditer votre propre catalogue, les formulations à employer face à un client et celles à bannir. Il s’adresse aux prestataires qui entendent la question de la souveraineté de plus en plus souvent en rendez-vous, sans toujours savoir jusqu’où ils peuvent répondre oui. Si vous démarrez dans le métier, commencez par notre guide pour devenir infogéreur.
Pourquoi vos clients posent la question de la souveraineté maintenant
Pendant longtemps, « hébergé en France » suffisait à clore la discussion. Trois faits récents l’ont rouverte.
Microsoft a reconnu devant le Sénat qu’il ne pouvait pas garantir la non-transmission des données
Le 10 juin 2025, le directeur des affaires publiques et juridiques de Microsoft France était auditionné par la commission d’enquête sénatoriale sur la commande publique. Interrogé sur la possibilité de garantir que des données de l’administration française ne seraient jamais transmises aux autorités américaines, il a répondu, selon le compte rendu officiel de la commission : « Non, je ne peux pas le garantir », en précisant que le cas ne s’était encore jamais produit.
Juridiquement, rien de nouveau. Depuis 2018, le Cloud Act (Clarifying Lawful Overseas Use of Data Act) permet aux autorités américaines d’exiger d’un fournisseur soumis au droit américain les données qu’il contrôle, où qu’elles soient stockées. Mais l’aveu a circulé bien au-delà des cercles spécialisés, et beaucoup de dirigeants de PME l’ont lu.
Le cadre des transferts de données vers les États-Unis reste contesté
Le Data Privacy Framework encadre depuis juillet 2023 les transferts de données personnelles entre l’Union européenne et les États-Unis. Le Tribunal de l’Union européenne l’a validé le 3 septembre 2025, dans l’affaire portée par le député Philippe Latombe. Celui-ci s’est pourvu devant la Cour de justice, où l’affaire C-703/25 est toujours en cours, et Microsoft a obtenu l’autorisation d’y intervenir au soutien de la Commission (Next, 30 juin 2026).
Les deux cadres précédents, Safe Harbor puis Privacy Shield, ont été annulés par cette même Cour en 2015 et en 2020. Un client informé sait que la base juridique de ses transferts vers les États-Unis peut changer, et il vous demandera ce que vous avez prévu dans ce cas.
L’État durcit ses propres règles, et le vocabulaire descend jusqu’aux PME
Le décret n° 2026-272 du 14 avril 2026, pris pour l’application de l’article 31 de la loi SREN du 21 mai 2024, impose aux administrations de l’État de confier leurs données d’une sensibilité particulière à des services cloud protégés contre tout accès non autorisé par des autorités publiques d’États tiers (présentation de la Direction des affaires juridiques de Bercy). Vos clients PME ne sont pas directement visés. Ceux qui travaillent pour le secteur public, ou qui répondent à ses appels d’offres, voient pourtant ces exigences remonter dans les cahiers des charges.
Côté cybersécurité, la loi Résilience, qui transpose la directive NIS2 en France, est inscrite en séance publique à l’Assemblée nationale le 7 octobre 2026 selon le dossier législatif. Elle ne parle pas de souveraineté, mais elle demandera aux entités concernées de maîtriser la sécurité de leur chaîne d’approvisionnement, ce qui suppose de savoir où sont leurs données et qui les manipule. Nous avons détaillé ce que cela change commercialement dans notre article sur NIS2 et les leviers commerciaux pour les MSP infogéreurs.
« Hébergé en France » ne veut pas dire souverain : les quatre questions à poser
La localisation des données est la question que tout le monde pose, et la moins décisive. Un datacenter situé à Paris mais exploité par la filiale d’un groupe américain reste exposé au Cloud Act. Pour qualifier chaque brique de votre offre, posez quatre questions à votre fournisseur.
↔ Faites glisser le tableau pour voir toutes les colonnes.
| Question | Ce qu’elle révèle | Réponse qui permet de parler de souveraineté |
|---|---|---|
| 1. Où sont stockées les données, sauvegardes comprises ? | La localisation physique, y compris les copies de secours, souvent oubliées | En France, ou dans l’Union européenne si vous l’annoncez comme telle |
| 2. Quelle entreprise opère l’infrastructure, et de quel droit relève-t-elle ? | L’exposition à une loi extraterritoriale, par le siège ou l’actionnariat | Un opérateur soumis exclusivement au droit européen |
| 3. Qui peut administrer les données, et depuis où ? | Les accès à distance du support et des équipes techniques | Des équipes identifiées, en France ou dans l’Union |
| 4. Pouvez-vous récupérer les données et partir ? | La réversibilité, sans laquelle la souveraineté reste théorique | Un export documenté, dans un format standard, prévu au contrat |
Une brique qui échoue à la deuxième question n’est pas souveraine, quelle que soit la réponse à la première. C’est le cas de la plupart des services des grands fournisseurs américains, y compris lorsqu’ils stockent les données de leurs clients européens dans des datacenters situés en Europe.
SecNumCloud, la seule qualification qui tranche, et ses limites pour une PME
En France, un seul référentiel répond formellement à la deuxième question : SecNumCloud, la qualification délivrée par l’ANSSI. Depuis la version 3.2 de son référentiel, elle exige que le prestataire soit « soumis exclusivement aux lois de l’Union européenne », avec un siège dans l’Union, des participations non européennes minoritaires, et des données stockées, administrées et sauvegardées dans l’Union (FAQ de l’ANSSI sur la qualification SecNumCloud).
Deux conséquences pratiques pour un MSP infogéreur. D’abord, n’écrivez jamais « SecNumCloud » ou « qualifié ANSSI » sans avoir vérifié que l’offre précise de votre fournisseur figure dans la liste des produits et services qualifiés : une qualification porte sur une offre, pas sur une marque. Ensuite, la plupart des PME n’ont pas besoin d’un hébergement qualifié pour tout leur système d’information. Le coût et un catalogue encore restreint le réservent aux données qui le justifient. Votre rôle est d’aider le client à identifier ces données, pas de lui vendre la qualification partout.
Découper votre offre couche par couche
Une offre d’infogérance est un empilement de services, et chacun a son propre niveau de souveraineté atteignable. C’est brique par brique qu’il faut raisonner, comme on le fait déjà pour choisir entre une stack complète et un RMM seul.
↔ Faites glisser le tableau pour voir toutes les colonnes.
| Couche | Souveraineté réaliste pour une PME | Ce que vous pouvez dire au client |
|---|---|---|
| Messagerie et bureautique | Faible si le client est sur Microsoft 365 ou une suite américaine équivalente | « Vos boîtes sont chez Microsoft. Nous les administrons, nous les sécurisons, et nous pouvons sauvegarder leur contenu en France. » |
| Sauvegarde | Élevée : c’est la couche la plus simple à rendre souveraine | « Une copie de vos données est stockée en France et reste restaurable même si votre fournisseur principal devient inaccessible. » |
| Fichiers sensibles (partage, coffre-fort) | Élevée | « Vos documents confidentiels sont hébergés en France, hors des grands clouds américains. » |
| Supervision et administration à distance | Variable, ces outils viennent souvent d’éditeurs internationaux | « Voici les outils que nous utilisons et où ils hébergent leurs données. » |
| Équipes, support et SOC | Élevée si les équipes sont en France | « Les personnes qui interviennent sur votre système sont en France, et nous pouvons vous dire qui elles sont. » |
Montrer ce tableau à un client ne vous affaiblit pas. Un dirigeant qui découvre seul que sa messagerie « souveraine » tourne sur Microsoft 365 perd confiance dans tout le reste. Celui à qui vous l’avez dit d’emblée retient que vous savez de quoi vous parlez.
La sauvegarde mérite une place à part, parce qu’elle transforme une dépendance subie en risque maîtrisé. Si un fournisseur américain devient inaccessible, pour une raison technique, commerciale ou juridique, une copie des données hébergée en France permet de reprendre l’activité ailleurs. C’est souvent le premier argument de souveraineté qui parle à un dirigeant, parce qu’il le relie à la continuité de son entreprise plutôt qu’à la géopolitique.
Ce que NeoOne Expert rend souverain, et ce qu’il ne revendique pas
Nous appliquons cette grille à notre propre plateforme et nous en publions le résultat. NeoOne est une plateforme MSP infogérance française qui intègre des outils reconnus du marché et leur ajoute une couche souveraine là où elle compte : les données de sauvegarde, les fichiers sensibles et les équipes.
↔ Faites glisser le tableau pour voir toutes les colonnes.
| Brique | Où sont les données | Ce que nous affirmons |
|---|---|---|
| NeoBackup (fichiers, NAS, Microsoft 365, images complètes de serveurs et de postes) | France uniquement, sur nos propres infrastructures | Hébergement en France, sauvegardes immuables |
| NeoDataSafe (partage et synchronisation de fichiers) | France uniquement, sur l’infrastructure NeoBackup | Hébergement en France, chiffrement et double authentification obligatoire |
| NeoMail et NeoMail Pro | Chez Microsoft (Microsoft 365 Business Standard) | Aucune revendication de souveraineté : nous administrons et sécurisons, Microsoft héberge |
| Supervision et EDR intégrés à NeoOne | Union européenne | Hébergement dans l’Union européenne. Ce sont des outils reconnus du marché : notre apport est leur intégration et leur exploitation |
| Équipes, support et SOC | France (Île-de-France) | Intervention par des équipes basées en France |
Concrètement, un partenaire qui revend NeoOne peut dire à son client que sa sauvegarde et ses fichiers sensibles sont hébergés en France, que les données de supervision restent dans l’Union européenne, que les équipes qui interviennent sont en France, et que sa messagerie est une messagerie Microsoft administrée et sécurisée. C’est moins spectaculaire que « 100 % souverain », et c’est vérifiable. Le détail des outils de sécurité inclus est sur notre page solutions de cybersécurité pour MSP infogéreurs.
Vendre la souveraineté sans la survendre
La souveraineté est un argument commercial qui se retourne vite contre celui qui l’emploie mal. Quelques règles simples évitent l’essentiel des ennuis.
Les formulations à bannir
- « 100 % souverain », dès qu’une brique américaine figure dans l’offre, messagerie comprise.
- « Certifié souverain » : aucune certification officielle ne porte ce nom.
- « SecNumCloud » ou « qualifié ANSSI », sans avoir vérifié l’offre précise dans la liste de l’ANSSI.
- « Vos données ne quittent jamais la France », si une réplication, une sauvegarde ou un accès de support passe par un autre pays.
Les formulations qui tiennent
- « Votre sauvegarde est hébergée en France. »
- « Voici, brique par brique, où sont vos données et qui peut y accéder. »
- « Nous pouvons vous nommer nos sous-traitants et leur pays d’hébergement. »
Le contrat, là où la promesse devient opposable
La souveraineté que vous annoncez doit se retrouver dans votre contrat. L’article 28 du RGPD vous impose déjà d’encadrer la sous-traitance avec votre client, et la CNIL détaille les clauses attendues dans sa fiche « Gérer la sous-traitance ». Profitez-en pour y annexer la liste de vos sous-traitants ultérieurs avec, pour chacun, le pays d’hébergement des données et le pays depuis lequel il peut y accéder. Cette annexe se rédige en une heure et répond d’avance à une bonne partie des questionnaires fournisseurs que vos clients recevront de leurs propres donneurs d’ordre.
Si vous revendez la plateforme sous votre propre nom, avec l’option marque blanche, c’est votre marque qui porte cette promesse face au client. Raison de plus pour qu’elle soit exacte : nous expliquons comment revendre une plateforme MSP infogérance en marque blanche et ce que cela engage.
FAQ
Une infogérance peut-elle être 100 % souveraine si le client utilise Microsoft 365 ?
Non. Microsoft relève du droit américain et reste soumis au Cloud Act, même lorsque les données de ses clients européens sont stockées en Europe. Vous pouvez en revanche rendre souveraines les autres couches (sauvegarde des boîtes en France, fichiers sensibles hébergés en France, équipes d’intervention en France) et présenter l’offre ainsi, sans ambiguïté.
Un hébergement en France suffit-il à protéger les données du Cloud Act ?
Non. Le Cloud Act s’applique aux entreprises soumises au droit américain, quel que soit le lieu de stockage des données. Ce qui compte est le droit dont relève l’opérateur de l’infrastructure : un datacenter en France exploité par une société soumise exclusivement au droit européen n’est pas concerné, celui d’une filiale de groupe américain peut l’être.
Faut-il être qualifié SecNumCloud pour vendre de l’infogérance souveraine ?
Non. SecNumCloud est une qualification de l’ANSSI qui porte sur des offres cloud précises, pas sur les prestataires d’infogérance. Elle se justifie pour les données les plus sensibles et elle est exigée pour certaines données de l’État. Pour une PME, l’essentiel est d’annoncer exactement ce que garantit chaque brique, et de ne citer SecNumCloud que pour une offre qui figure dans la liste publiée par l’ANSSI.
Que doit contenir le contrat d’un MSP infogéreur qui vend une offre souveraine ?
Les clauses de sous-traitance exigées par l’article 28 du RGPD, complétées par une annexe qui liste chaque sous-traitant ultérieur avec le pays d’hébergement des données et le pays depuis lequel il peut y accéder. C’est cette annexe qui rend la promesse vérifiable par le client.
Passer à l’étape suivante
Vous voulez proposer à vos clients une sauvegarde et un stockage de fichiers hébergés en France, opérés par une équipe française, sans monter votre propre infrastructure ? Le programme partenaire NeoOne Expert vous permet de les revendre avec le reste de la stack d’infogérance. Les conditions partenaires se présentent en visio, à partir de votre parc réel.