Souveraineté numérique de l'État : ce que ça change pour vous

Sur le site de la direction des achats de l'État, une brève de cinq paragraphes datée du 16 avril 2026 annonce un séminaire interministériel sur « la réduction des dépendances aux solutions extra-européennes ». Le ton est administratif, la page passe inaperçue. Pourtant, si on tire le fil, on tombe sur ce qui est probablement la bascule la plus concrète du numérique public français depuis dix ans : une circulaire opposable, un décret d'application, un calendrier contraignant et un objectif chiffré en préparation. Voici ce qu'il y a derrière, et pourquoi ça ne restera pas confiné aux ministères.

Bâtiment institutionnel français stylisé relié par des câbles réseau à un centre de données européen, tandis que des liaisons vers un nuage extra-européen se détachent, illustration de la réduction des dépendances numériques de l'État — De la déclaration d'intention à la doctrine d'achat : en 2026, la souveraineté numérique est devenue un critère opposable dans la commande publique.

Une brève administrative, une bascule derrière

Le 8 avril 2026, la DINUM (direction interministérielle du numérique) a réuni un séminaire interministériel avec l'ANSSI, la DAE (direction des achats de l'État) et la DGE (direction générale des entreprises). Les ministres Anne Le Hénanff (Intelligence artificielle et Numérique) et David Amiel (Action et Comptes publics) y sont intervenus. L'objet : passer du constat de dépendance à un plan de sortie, ministère par ministère.

La phrase du communiqué qui résume le changement de ton est signée David Amiel : « L'État ne peut plus se contenter de constater sa dépendance, il doit en sortir. » Et surtout : « Nous ne pouvons plus accepter que nos données, nos infrastructures et nos décisions stratégiques dépendent de solutions dont nous ne maîtrisons ni les règles, ni les tarifs, ni les évolutions, ni les risques. » Ce quadruplet — règles, tarifs, évolutions, risques — est exactement la grille que nous utilisons quand un client nous demande si son infrastructure est « souveraine ». Elle a le mérite de ne pas se limiter à la question de la localisation.

Les chiffres qui rendent la dépendance mesurable

La DINUM a publié en août 2026 un billet qui pose les ordres de grandeur, en s'appuyant sur les travaux de la Commission européenne et sur le rapport Draghi. C'est utile, parce que la souveraineté numérique souffre d'un défaut classique : tout le monde en parle, personne ne la chiffre.

Près de 80 % des infrastructures et technologies numériques européennes sont importées (rapport Draghi). Ce n'est pas une part de marché, c'est une structure.
264 milliards d'euros par an : la dépense européenne en produits et services informatiques, principalement américains.
4,2 milliards d'euros par an pour le seul État français. C'est le montant sur lequel la commande publique peut agir directement.
Android, Microsoft et iOS représentent la quasi-totalité des systèmes d'exploitation utilisés en Europe, et Google concentre 89 % des recherches web.

Le terme qui s'est imposé dans les débats est celui de kill switch : la possibilité, théorique ou réelle, que des services deviennent indisponibles sur décision d'un tiers. Ce n'est plus un scénario de séminaire. La DINUM cite le cas du juge français Nicolas Guillou, à la Cour pénale internationale, dont la vie numérique a été effacée du jour au lendemain après un mandat d'arrêt visant le Premier ministre israélien. Nous avions raconté un épisode du même ordre côté intelligence artificielle, quand deux modèles ont été coupés pour la planète entière sur ordre d'un gouvernement : la leçon de souveraineté que toute PME devrait en retenir.

La circulaire du 5 février 2026 : la souveraineté devient un critère d'achat

C'est le texte fondateur, et il est passé largement sous les radars. La circulaire du Premier ministre du 5 février 2026 (n° 6519/SG) relative à la commande publique numérique fixe une doctrine d'achat pour l'État et ses établissements publics. Détail qui a son importance : Légifrance la qualifie de circulaire opposable, c'est-à-dire que toute personne peut se prévaloir de son interprétation. On n'est plus dans la déclaration d'intention.

Elle pose d'abord une hiérarchie dans le choix d'une solution, dans cet ordre : d'abord les solutions mutualisées qui existent déjà en interne (socle interministériel de la DINUM, OSIIC, services partagés) ; ensuite les solutions du marché « sur étagère » ; en dernier recours seulement, le développement spécifique. C'est une doctrine de bon sens que nous appliquons aussi chez nos clients, et qui va à rebours du réflexe « on va faire développer un outil sur mesure » : le sur-mesure est un excellent choix quand le besoin est réellement spécifique, un très mauvais quand il duplique un produit existant.

Elle définit ensuite ce que « souveraineté numérique » veut dire pour un acheteur, en trois composantes. C'est la partie la plus réutilisable du texte, et de loin :

L'immunité face aux réglementations extra-européennes à portée extraterritoriale. Autrement dit : votre fournisseur peut-il être contraint par un droit étranger de vous livrer, ou de vous couper ?
La capacité de substitution. Si ce composant disparaît, existe-t-il une alternative, et à quel coût de sortie ? C'est la question de la réversibilité, la plus souvent oubliée au moment de signer.
La maîtrise des technologies essentielles. Comprend-on ce qu'on utilise, peut-on l'auditer, le modifier, le faire évoluer sans dépendre du bon vouloir d'un éditeur ?

La circulaire s'accompagne d'un vade-mecum de la DINUM sur la sensibilité des données, et fait de la qualification SecNumCloud de l'ANSSI l'instrument qui atteste qu'une offre cloud bénéficie d'une protection adéquate face aux normes extra-européennes. Pour la DAE, la déclinaison de ce texte est annoncée comme un des enjeux majeurs de son programme de travail 2026.

Le décret du 14 avril : quand la doctrine devient obligation

Deux mois plus tard, le décret n° 2026-272 du 14 avril 2026 rend opposable l'article 31 de la loi SREN du 21 mai 2024. Là où la circulaire oriente, le décret contraint. Il vise les données dites d'une sensibilité particulière : celles dont la compromission serait susceptible d'affecter l'ordre public, la sécurité, la santé ou la vie des personnes, ou encore la propriété intellectuelle de l'administration.

Qui est visé : les administrations de l'État, leurs opérateurs, et six groupements d'intérêt public désignés nommément (dont l'Agence du numérique en santé et le Centre d'accès sécurisé aux données).
Ce qui est exigé : un hébergement chez un prestataire qualifié SecNumCloud, ou porteur d'une certification européenne équivalente.
Le référentiel : l'ANSSI est chargée d'élaborer un cadre technique, approuvé par arrêté du Premier ministre, couvrant une dizaine de domaines — de la cryptologie jusqu'à la localisation de l'actionnariat du prestataire.
Les dérogations : elles existent pour les projets engagés avant la publication du décret, sont accordées par le ministre après validation du Premier ministre, et sont bornées dans le temps. Une dérogation n'est pas un droit acquis, c'est un délai.

Sept chantiers, un plan par ministère, avant l'automne

Le séminaire du 8 avril a fixé la méthode. La DINUM coordonne un plan interministériel, et chaque ministère, opérateurs compris, doit formaliser son propre plan de réduction des dépendances d'ici l'automne 2026. Nous écrivons ces lignes fin août : l'échéance, c'est maintenant. Les sept axes imposés sont les suivants.

Le poste de travail (système d'exploitation et suite bureautique).
Les outils collaboratifs (messagerie, visioconférence, transfert de fichiers, documents partagés).
L'anti-virus et la sécurité du poste.
L'intelligence artificielle.
Les bases de données.
La virtualisation.
Les équipements réseau.

Ce n'est pas resté théorique. Le communiqué du 8 avril annonce trois mouvements déjà engagés : la DINUM sort de Windows au profit de postes sous Linux ; la Caisse nationale d'Assurance maladie migre ses 80 000 agents vers le socle interministériel (Tchap pour la messagerie, Visio pour la visioconférence, FranceTransfert pour les fichiers) ; et la plateforme des données de santé bascule vers une solution de confiance d'ici fin 2026. Le 29 juin 2026, les premières « Rencontres industrielles du numérique de l'État » ont réuni la filière pour concrétiser des coalitions public-privé, avec la formalisation annoncée d'une alliance pour la souveraineté européenne.

Ces sept axes forment une check-list étonnamment transposable. Regardez la vôtre : sur la virtualisation par exemple, la question « quel socle, et qui le contrôle ? » se pose exactement dans les mêmes termes pour une PME que pour un ministère — nous l'avons traitée en détail dans Proxmox vs TrueNAS vs Unraid : quel socle pour un auto-hébergement souverain. Sur l'IA, elle rejoint notre retour d'expérience sur l'auto-hébergement d'un LLM pour des applications métier.

L'Observatoire : l'État a déjà posé la question aux entreprises

Un dispositif est passé encore plus inaperçu, alors qu'il concerne directement le secteur privé. Le 26 janvier 2026, Anne Le Hénanff et le Haut-commissaire à la Stratégie et au Plan Clément Beaune ont lancé l'Observatoire de la souveraineté numérique, confié au Haut-commissariat. Sa mission tient en trois points : dresser un diagnostic partagé des dépendances critiques, fournir des outils d'aide à la décision aux acheteurs publics comme privés, et orienter les politiques publiques.

Sa phase opérationnelle a consisté en un questionnaire national adressé aux entreprises de toutes tailles et tous secteurs, ouvert jusqu'au 12 juin 2026, portant sur leurs usages numériques critiques et leurs dépendances technologiques. Clément Beaune le résume ainsi : « recenser les dépendances aux outils numériques non européens, auprès des entreprises elles-mêmes […] pour identifier les points faibles et y remédier ensuite, en proposant des solutions alternatives françaises et européennes ». La restitution est annoncée pour après l'été 2026 : elle est donc imminente au moment où nous publions.

La souveraineté commence par la lucidité. Nous devons savoir d'où et de quoi nous dépendons : sur quelles briques technologiques ; dans quels secteurs ; et pour quels usages.
Anne Le Hénanff, ministre chargée de l'IA et du Numérique

« Changer la nationalité du tyran ne suffit pas »

C'est la formule d'Henri Verdier, reprise par Emma Ghariani, responsable du pôle Open Source et Communs numériques de la DINUM, dans un billet publié le 12 août 2026. Elle mérite d'être méditée par tous ceux qui vendent — ou achètent — de la « souveraineté ». Remplacer un monopole technologique étranger par un monopole national ou européen réduit certaines dépendances, mais ne supprime pas le risque lié à la concentration du pouvoir technologique. Une souveraineté fondée uniquement sur du logiciel propriétaire, fût-il français, ne résout pas le problème de fond : vous ne pouvez toujours ni auditer, ni modifier, ni faire évoluer ce dont vous dépendez.

C'est précisément le test que nous avions appliqué à la migration du Parlement européen vers Qwant : souveraineté réelle, ou surcouche posée sur un index américain ? Le détail de cette analyse est ici, et sa conclusion vaut pour n'importe quel fournisseur : il faut regarder sous la surcouche, et savoir qui peut être contraint par quelle loi.

La réponse de la DINUM est l'ouverture et la gouvernance partagée. Trois exemples qu'elle met en avant :

Tchap, la messagerie de l'État utilisée par plus de 400 000 agents, repose sur le protocole ouvert Matrix, porté par une fondation britannique. La dépendance est assumée mais gérée : la DINUM soutient la fondation, participe à ses groupes de travail et envoie des agents dans ses instances de décision. Dépendre d'une brique dont on co-décide la feuille de route n'est pas la même chose que dépendre d'un éditeur.
Panoramax, alternative ouverte à Google Street View portée par l'IGN et OpenStreetMap France, dont la gouvernance associe collectivités, organismes publics et entreprises privées.
Geotrek : 70 000 € de développement initial financés par deux parcs nationaux, aujourd'hui plus de 100 structures utilisatrices et contributrices, pour une valeur estimée à 4 millions d'euros. Emma Ghariani en tire une formule qui devrait parler à tout dirigeant : « Pour 1 euro investi dans un logiciel open source, 10 ministères peuvent en bénéficier. »

La France a par ailleurs accompagné la création d'une structure européenne (EDIC) réunissant l'Allemagne, les Pays-Bas, l'Italie et le Luxembourg, avec une douzaine de pays observateurs, pour financer le passage à l'échelle des communs numériques stratégiques. Cette dynamique s'articule avec le mouvement réglementaire européen que nous avions décrypté dans Tech Sovereignty Package : l'Europe reprend le contrôle de ses données publiques.

Ce que ça change pour vous, même si vous n'êtes pas l'État

Si vous vendez à des acheteurs publics

Vos prochains cahiers des charges vont contenir des exigences que vous ne voyiez pas il y a dix-huit mois : immunité extraterritoriale du fournisseur, localisation des données et de l'actionnariat, clauses de réversibilité, engagements d'audit, résiliation en cas de changement de contrôle capitalistique. Ce n'est pas une préférence nationale déguisée — le droit européen l'interdit, et les juristes rappellent que ces critères doivent rester liés à l'objet du marché et proportionnés. Mais un candidat capable de documenter sa chaîne de sous-traitance et de démontrer une réversibilité réelle sera avantagé. Si vous sous-traitez votre hébergement à un hyperscaler sans le savoir, c'est le moment de le découvrir.

Si vous êtes une commune, un CCAS, un syndicat mixte

Le décret du 14 avril vise l'État, ses opérateurs et six GIP : les collectivités territoriales ne sont pas directement assujetties à l'obligation SecNumCloud. Mais l'effet de ruissellement est déjà là. La doctrine de l'État devient la référence que citent les prescripteurs, les préfectures, les assureurs cyber et, en cas d'incident, les juges. Et sur le fond, une mairie traite bien des données dont la compromission affecterait ses administrés : état civil, action sociale, urbanisme, vidéoprotection. Nous détaillons ce qu'un site public doit respecter — accessibilité RGAA, RGPD, hébergement, marchés — sur notre page dédiée aux sites internet de mairie et de commune.

Si vous êtes une PME privée

Rien ne vous oblige à quoi que ce soit. Mais l'État vient de produire, gratuitement, la meilleure grille d'analyse disponible pour un sujet que la plupart des dirigeants ne savent pas aborder. Et l'Observatoire vous a explicitement inclus dans son diagnostic : les « outils d'aide à la décision pour les acheteurs publics et privés » sont un livrable annoncé. Autant s'en servir avant que votre donneur d'ordre, votre assureur ou votre client grand compte ne vous pose la question.

La grille de l'État, transposée à une PME

Voici comment nous traduisons les critères de la circulaire quand nous auditons l'existant d'un client. Aucun de ces points ne demande une expertise juridique : ce sont des questions à poser à ses prestataires, par écrit.

Performance métier d'abord. La circulaire place la performance avant la souveraineté, et c'est sain. Un outil souverain qui ne fait pas le travail n'est pas une solution, c'est un problème déplacé.
À quel droit mon prestataire est-il soumis ? Pas « où sont les serveurs », mais : quelle est la nationalité de l'entité contractante, et qui contrôle son capital ?
Quel est mon coût de sortie ? Combien de jours-homme et combien d'euros pour partir, et sous quel format récupère-t-on les données ? Si personne ne sait répondre, la réversibilité n'existe pas.
Quelle est ma dépendance de disponibilité ? Si ce service tombe ou ferme, qu'est-ce qui s'arrête chez moi, et en combien de temps ?
Quelle est mon exposition tarifaire ? Un fournisseur en position de force fixe ses prix. Une hausse de 40 % à l'échéance, c'est un scénario, pas une hypothèse d'école.
Est-ce que je comprends et peux auditer ce que j'utilise ? Les formats sont-ils ouverts, les journaux accessibles, la configuration exportable ?
Interopérabilité. Ce composant parle-t-il des standards, ou un format propriétaire qui me lie ?
Coût complet sur le cycle de vie, pas le prix d'appel de la première année.

Par où commencer : la cartographie avant la migration

L'erreur la plus fréquente est de commencer par migrer quelque chose. L'État ne s'y est pas trompé : il a lancé un Observatoire et une cartographie avant de fixer un objectif chiffré. La même méthode s'applique à une PME, en cinq étapes.

Inventorier. La liste de tous les services numériques utilisés, y compris ceux souscrits par les métiers sans passer par la DSI. C'est souvent l'étape qui surprend le plus.
Classer par criticité. Qu'est-ce qui arrête l'activité en moins d'une journée si ça tombe ? Le reste peut attendre.
Qualifier l'exposition. Pour chaque service critique : droit applicable, contrôle capitalistique, localisation des données et des sauvegardes.
Évaluer le coût de sortie. Sur les trois ou quatre services les plus critiques seulement. Un chiffre approximatif suffit à trancher.
Décider, et documenter la décision. Certaines dépendances seront rapatriées ; d'autres seront conservées en connaissance de cause. Les deux sont des choix valables. Ce qui ne l'est pas, c'est de ne pas savoir.

Les limites qu'il faut nommer

Nous serions malhonnêtes de présenter tout cela comme joué. Plusieurs réserves méritent d'être posées.

L'objectif chiffré n'existe pas encore. Le communiqué du 8 avril indique que la cartographie de la DAE et les travaux de la DGE permettront « d'affiner l'objectif chiffré de réduction avec un calendrier clair ». Autrement dit : à la date de publication de cet article, le chiffre et le calendrier restent à venir.
Un plan n'est pas une migration. Chaque ministère doit rendre un plan avant l'automne. Entre un plan rendu et 2,5 millions de postes migrés, il y a une décennie de travail et beaucoup d'occasions de renoncer.
L'offre qualifiée reste limitée. Exiger SecNumCloud est facile à écrire dans un marché ; trouver, pour chaque besoin métier, un prestataire qualifié qui tient la charge et le budget l'est beaucoup moins. C'est d'ailleurs tout l'enjeu des rencontres industrielles : donner de la visibilité à la filière pour qu'elle investisse.
Le risque de souverain-washing est réel. Chaque nouvelle exigence réglementaire produit sa vague d'offres repeintes. La grille des trois composantes — immunité, substituabilité, maîtrise — est le meilleur détecteur disponible.
La préférence nationale pure reste illégale en droit de la commande publique européen. Les exigences de souveraineté doivent être justifiées par la sensibilité réelle des données et proportionnées à l'objet du marché.

Ce que nous faisons, concrètement

Nous n'avons pas attendu la circulaire pour travailler ainsi, et nous ne prétendons pas incarner à nous seuls la souveraineté numérique française. Ce que nous savons faire, c'est appliquer cette grille à des projets réels : nos serveurs sont en France, chez des opérateurs de droit français, et l'infrastructure est la nôtre — c'est l'objet de notre offre d'hébergement souverain et de notre infogérance.

Le principe se décline brique par brique, et ce blog en est le journal de bord : la mesure d'audience sans cookie ni tiers avec Matomo auto-hébergé, l'anti-spam sans Google ni Cloudflare avec ALTCHA, les sauvegardes immuables sur notre propre matériel, et l'IA branchée sur des modèles ouverts hébergés chez nous plutôt que sur une API qu'un tiers peut éteindre. Quand un besoin métier n'a pas d'équivalent sur étagère, nous le construisons — développement logiciel sur mesure, applications métier — avec les mêmes exigences de réversibilité. Nos réalisations montrent à quoi ça ressemble en production.

En résumé

La circulaire du 5 février 2026 fait de la souveraineté numérique un critère d'achat opposable pour l'État, avec une définition en trois composantes : immunité extraterritoriale, capacité de substitution, maîtrise technologique.
Le décret n° 2026-272 du 14 avril 2026 rend l'hébergement qualifié SecNumCloud obligatoire pour les données d'une sensibilité particulière de l'État, de ses opérateurs et de six GIP.
Chaque ministère doit remettre son plan de réduction des dépendances avant l'automne 2026, sur sept axes : poste de travail, outils collaboratifs, anti-virus, IA, bases de données, virtualisation, réseau.
L'Observatoire de la souveraineté numérique a interrogé les entreprises privées jusqu'au 12 juin ; sa restitution est attendue après l'été 2026.
Les collectivités et les PME ne sont pas juridiquement contraintes, mais héritent d'une grille d'analyse solide — et de clients publics qui vont poser ces questions.
La bonne première action n'est pas de migrer : c'est de cartographier, chiffrer le coût de sortie, puis décider.

Vous voulez savoir où votre infrastructure est réellement exposée, et ce qu'il serait raisonnable de rapatrier ? C'est le cadrage que nous faisons avec nos clients, à Strasbourg et partout en France : parlons-en. Le premier échange est offert, et il commence toujours par la cartographie, jamais par la migration.