La souveraineté des données financières occupe désormais une place centrale dans les stratégies numériques des banques, des compagnies d’assurance et des directions financières. Le sujet est souvent associé au cloud souverain, à la localisation des infrastructures ou à la protection contre certaines législations étrangères.
Pourtant, héberger des données en France ou dans l’Union européenne ne suffit pas nécessairement à garantir leur souveraineté. Celle-ci dépend également du droit applicable au prestataire, du contrôle de la chaîne de sous-traitance, de la gestion des clés de chiffrement, des conditions de réversibilité et de la capacité de l’organisation à maintenir ses activités en cas de défaillance d’un fournisseur.
La souveraineté ne doit donc être considérée ni comme un simple argument commercial ni comme une protection absolue. Elle constitue avant tout un objectif de maîtrise des risques juridiques, technologiques et opérationnels.
La souveraineté des données financières désigne la capacité d’une organisation à conserver un contrôle effectif sur ses données, leurs traitements et les infrastructures qui les supportent.
Ce contrôle concerne notamment :
• les personnes et organisations pouvant accéder aux données ;
• les juridictions auxquelles le prestataire est soumis ;
• les lieux de stockage, de traitement et de sauvegarde ;
• les sous-traitants intervenant dans la prestation ;
• les technologies utilisées et leurs conditions d’exploitation ;
• la capacité à récupérer les données et à changer de fournisseur ;
• la continuité du service en cas de crise.
Cette notion doit être distinguée de deux concepts proches.
La localisation des données indique l’emplacement physique d’un serveur ou d’un centre de données. La résidence des données décrit les règles selon lesquelles les données doivent rester dans un territoire défini, par exemple au sein de l’Espace économique européen.
La souveraineté va plus loin. Des données peuvent être stockées dans un centre de données situé en France tout en étant exploitées par un prestataire dépendant d’une société étrangère ou soumis à une législation susceptible d’imposer leur communication. La localisation constitue donc un critère important, mais insuffisant lorsqu’elle est examinée isolément.
Les établissements financiers traitent des données particulièrement sensibles : informations d’identification, coordonnées bancaires, historiques de transactions, données patrimoniales, documents contractuels, informations relatives aux risques ou dispositifs de lutte contre la fraude.
Une perte de confidentialité, une indisponibilité prolongée ou une altération de ces données peut affecter les clients, les opérations de l’établissement et la confiance accordée au système financier.
Le recours croissant à des prestataires technologiques renforce également les interdépendances. Une application métier peut dépendre d’un hébergeur, d’une plateforme cloud, d’un éditeur de logiciel, d’un opérateur réseau et de plusieurs sous-traitants techniques. L’organisation reste néanmoins responsable de ses risques, même lorsqu’une partie de ses systèmes est externalisée.
Depuis le 17 janvier 2025, le règlement européen DORA impose aux entités financières concernées un cadre harmonisé de gestion des risques liés aux technologies de l’information et de la communication. Il couvre notamment la gestion des risques informatiques, la notification des incidents, les tests de résilience et la surveillance des prestataires tiers de services numériques.
DORA ne rend pas obligatoire le recours à un fournisseur qualifié de « souverain ». Il impose en revanche de connaître ses dépendances, d’encadrer contractuellement les prestations numériques, d’évaluer les risques de concentration et de préparer des stratégies de sortie.
Cartographie des actifs critiques, maîtrise des prestataires, tests de résilience et continuité d’activité : découvrez comment intégrer DORA à la gouvernance de votre système d’information.
Le terme « souverain » n’est pas toujours utilisé selon une définition uniforme. Selon les offres, il peut désigner un hébergement en France, une entreprise européenne, un support assuré localement ou une architecture isolée.
Ces caractéristiques peuvent être utiles, mais elles ne démontrent pas à elles seules une maîtrise complète des risques.
Plusieurs signaux doivent conduire à approfondir l’analyse :
• la localisation européenne est mise en avant sans précision sur le droit applicable au fournisseur ;
• la gestion des clés de chiffrement reste entièrement contrôlée par le prestataire ;
• la liste des sous-traitants n’est pas clairement communiquée ;
• les procédures de réversibilité ne sont ni documentées ni testées ;
• les droits d’audit sont limités à la remise d’une certification générique ;
• les coûts et délais de récupération des données ne sont pas définis.
Une offre véritablement souveraine doit reposer sur des engagements vérifiables, des mécanismes techniques documentés et des clauses contractuelles opposables. Le vocabulaire commercial ne peut pas remplacer une analyse des risques.
Le RGPD autorise les transferts de données personnelles en dehors de l’Espace économique européen, mais ceux-ci doivent reposer sur un mécanisme juridique approprié : décision d’adéquation, clauses contractuelles types, règles d’entreprise contraignantes ou, dans certaines situations limitées, une dérogation prévue par le règlement.
Lorsqu’un transfert repose sur des garanties contractuelles, l’organisation doit également examiner si le droit et les pratiques du pays destinataire permettent effectivement de respecter ces garanties. La CNIL a publié en juillet 2025 la version finale de son guide relatif à l’analyse d’impact des transferts de données, ou AITD.
Le risque ne se limite pas aux transferts techniques visibles. Un accès distant depuis un pays tiers, une opération de support, une réplication de sauvegarde ou l’intervention d’un sous-traitant étranger peuvent également constituer un transfert ou créer une exposition juridique.
La question pertinente n’est donc pas uniquement « où se trouvent les serveurs ? », mais aussi « quelles entités peuvent accéder aux données, depuis quels pays et sous quelles juridictions ? ».
Une solution peut être sécurisée et conforme tout en créant une forte dépendance technologique. Celle-ci apparaît lorsque les applications reposent sur des services propriétaires difficiles à reproduire, des formats non portables ou des volumes de données coûteux à extraire.
La réversibilité doit être pensée avant la signature du contrat. Elle suppose de définir :
• les données et configurations à restituer ;
• les formats d’export ;
• les délais de récupération ;
• l’assistance fournie pendant la migration ;
• les coûts de sortie ;
• les modalités de suppression des copies restantes ;
• les conditions de continuité pendant la transition.
Les lignes directrices de l’Autorité bancaire européenne sur l’externalisation demandent notamment aux établissements de renforcer leur gouvernance lorsque l’externalisation concerne des fonctions critiques ou importantes. Elles insistent sur l’évaluation des risques, les droits d’accès et d’audit ainsi que les stratégies de sortie.
DORA complète cette logique en imposant un encadrement des prestataires TIC et un contenu contractuel minimal. L’ACPR rappelle notamment que l’article 30 du règlement prévoit des exigences applicables aux accords conclus avec ces prestataires.
Il convient d’identifier le siège du fournisseur, sa structure capitalistique, les juridictions auxquelles il est soumis et les demandes d’accès auxquelles il pourrait devoir répondre. La même analyse doit être appliquée aux sous-traitants.
Le chiffrement doit couvrir les données au repos et en transit. Pour les traitements les plus sensibles, l’organisation doit examiner qui contrôle les clés, qui peut les utiliser et dans quelles conditions elles peuvent être récupérées ou révoquées.
Le chiffrement réduit les risques, mais il ne garantit pas une souveraineté complète lorsque le fournisseur contrôle simultanément les données, les clés et les environnements d’exécution.
Les mécanismes d’authentification forte, la gestion des habilitations, la séparation des rôles, la journalisation et la surveillance des accès administrateurs doivent être vérifiables.
Les journaux doivent être suffisamment détaillés pour reconstituer les opérations sensibles et soutenir les investigations, les contrôles internes et les audits.
L’organisation doit connaître les dispositifs de sauvegarde, les plans de reprise, les objectifs de rétablissement et les procédures de gestion de crise. Ces mécanismes doivent être testés, et pas seulement décrits dans un contrat.
DORA exige précisément un cadre de gestion du risque informatique, des tests de résilience et une surveillance structurée des risques liés aux prestataires.
Les certifications apportent des informations utiles, mais elles ne dispensent pas d’examiner leur périmètre. Un rapport d’audit portant sur une infrastructure générale ne couvre pas nécessairement le service utilisé par l’établissement.
Les droits d’audit, les mécanismes de contrôle et les procédures de sortie doivent être adaptés à la criticité du traitement.
Cloud public, privé, souverain ou architecture hybride ?
Le cloud public offre une capacité d’innovation, une élasticité et un catalogue de services étendu. Il peut convenir à de nombreux usages, sous réserve de maîtriser les dépendances, les transferts et la configuration de sécurité.
Le cloud privé fournit davantage de contrôle et d’isolation, mais implique généralement une gouvernance et des compétences opérationnelles plus importantes.
Le cloud souverain cherche à renforcer les garanties techniques, opérationnelles et juridiques. En France, la qualification SecNumCloud de l’ANSSI permet d’identifier des offres cloud répondant à un niveau élevé d’exigences. Le référentiel comporte notamment des critères visant à protéger les services qualifiés contre certaines lois extra-européennes.
L’hébergement sur site assure un contrôle direct de l’infrastructure, mais ne supprime ni les risques cyber ni les dépendances aux éditeurs, intégrateurs et fabricants.
Enfin, une architecture hybride permet de répartir les traitements selon leur criticité. Par exemple, une institution peut conserver les données les plus sensibles dans un environnement fortement contrôlé tout en utilisant un cloud public pour des environnements de développement contenant des données anonymisées.
Aucun modèle n’est universellement supérieur. Le choix doit dépendre des données, des usages, des obligations réglementaires, de la tolérance au risque et des capacités internes.
Cloud souverain, privé ou public : découvrez comment les banques et assurances répartissent leurs données et leurs applications selon leur sensibilité, leur criticité et leurs contraintes réglementaires.
Chercher à rendre tous les systèmes totalement souverains peut entraîner des coûts élevés, ralentir les projets et limiter l’accès à certaines innovations. À l’inverse, ignorer les dépendances juridiques et technologiques expose l’organisation à des risques difficilement maîtrisables.
Une démarche réaliste consiste à :
1. cartographier les données, les traitements et les prestataires ;
2. classer les services selon leur criticité ;
3. identifier les transferts et accès depuis des pays tiers ;
4. évaluer les risques juridiques, techniques et opérationnels ;
5. renforcer les exigences pour les traitements les plus sensibles ;
6. négocier la réversibilité et les droits d’audit avant la contractualisation ;
7. tester régulièrement les plans de continuité et de sortie ;
8. réévaluer les fournisseurs lors de toute évolution majeure.
La souveraineté des données financières n’est ni un mythe marketing ni une garantie absolue. Elle devient une exigence opérationnelle lorsqu’elle permet de réduire une dépendance, de contrôler les accès, de sécuriser les transferts, de garantir la continuité d’activité et de conserver une capacité réelle de décision.
La bonne approche ne consiste pas à rechercher une souveraineté théorique pour l’ensemble du système d’information. Elle consiste à fixer un niveau de maîtrise proportionné à la sensibilité des données et à la criticité des activités.
Pour les DSI, RSSI, DPO et directions financières, la priorité est donc de transformer une promesse commerciale en critères mesurables : droit applicable, chaîne de sous-traitance, chiffrement, réversibilité, auditabilité, résilience et maîtrise des coûts.
Découvrez comment Tenexa accompagne les acteurs du secteur dans leurs enjeux de cloud, de conformité, de cybersécurité et de continuité d’activité.
Sources utilisées
• CNIL, « Transférer des données hors de l’UE » : consulter la ressource
• CNIL, « Analyse d’impact des transferts des données : version finale du guide AITD » : consulter la ressource
• Union européenne — EUR-Lex, « Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier » : consulter le règlement
• ACPR, « Digital Operational Resilience Act — DORA » : consulter la présentation
• Autorité bancaire européenne, « Guidelines on outsourcing arrangements » : consulter les lignes directrices
• ANSSI, « Cloud et qualification SecNumCloud » : consulter la ressource