Sovereign-Audit est un audit structuré qui évalue votre dépendance aux fournisseurs cloud (Microsoft 365 en particulier) et votre capacité réelle à récupérer vos données et à changer de prestataire. Nous ne certifions pas une « souveraineté » : nous mesurons, documentons et priorisons.
La dépendance numérique est rarement mesurée, et le sujet devient réglementaire
Le Règlement (UE) 2023/2854 (Data Act) comporte un chapitre dédié au changement entre services de traitement de données, avec des obligations de suppression des obstacles techniques et contractuels au changement de prestataire. Peu d'organisations savent aujourd'hui où elles en sont sur ce point.
Comptes de secours, fédération d'identité, Copilot, chiffrement natif, applications Teams personnalisées : chaque choix technique crée un peu plus de dépendance, sans qu'une décision explicite n'ait été prise.
Les contrats cloud contiennent des clauses de récupération des données et de sortie, mais elles sont signées une fois et jamais revues à la lumière de l'usage réel du tenant.
Le Data Act, SecNumCloud et Gaia-X définissent un vocabulaire et des exigences de portabilité, mais traduire cela en constat opérationnel sur VOTRE tenant demande une méthode et du temps que les équipes IT internes n'ont pas.
Une méthode structurée, appuyée sur un catalogue de 32 contrôles de dépendance et de portabilité
Échange avec la direction ou le responsable IT pour cadrer le périmètre (tenant M365, entités, filiales, prestataires clés) et les enjeux de dépendance propres à votre organisation.
Examen de la configuration Microsoft 365 (identité, sauvegarde, résidence des données, chiffrement, applications) et des clauses contractuelles de réversibilité auprès de vos prestataires.
Chaque contrôle est évalué selon un statut clair (couvert, partiel, absent, à vérifier contractuellement), avec une correspondance vers les domaines Microsoft 365 concernés.
Les constats sont reliés, quand c'est pertinent, aux exigences du Data Act européen et au vocabulaire de référence SecNumCloud/Gaia-X - sans jamais présenter cela comme une certification obtenue.
Remise d'un rapport clair à la direction, avec un plan d'action priorisé pour réduire les points de dépendance les plus critiques.
Un ensemble clair de documents exploitables par votre direction et vos équipes IT
Évaluation documentée des 32 contrôles du catalogue, avec un statut par contrôle.
Une vue d'ensemble de où se concentre votre dépendance à Microsoft.
Un support pour relire vos contrats cloud existants avec vos équipes juridiques.
Correspondance entre vos constats et le vocabulaire des référentiels de référence.
Des recommandations classées par criticité et facilité de mise en œuvre.
Des documents dans des formats exploitables par vos équipes.
Sovereign-Audit s'appuie sur des cadres publics existants - nous ne délivrons aucune certification
Texte européen comportant un chapitre dédié au changement entre services de traitement de données (portabilité et interopérabilité cloud). Sovereign-Audit s'appuie sur ce chapitre pour structurer les questions d'audit, sans présenter un article précis comme une obligation déjà opposable à votre organisation sans vérification juridique.
Les contrôles organisationnels relatifs aux relations fournisseurs et à la continuité d'activité structurent une partie de l'analyse de dépendance.
Référentiel de qualification volontaire de l'ANSSI. Sa clause de réversibilité contractuelle sert ici de grille de lecture, même si Microsoft 365 standard n'est pas qualifié SecNumCloud.
Cadre européen volontaire, non contraignant, qui fournit un vocabulaire commun de souveraineté et d'interopérabilité entre acteurs cloud, utilisé ici comme grille de lecture.
Chaque mission est cadrée sur devis, selon la taille et la complexité de votre environnement
PME, tenant M365 unique
PME/ETI, plusieurs entités ou filiales
Organisations avec un plan de remédiation
Aucun tarif n'est fixé à l'avance sur cette page
Le périmètre exact (nombre d'entités, taille du tenant, profondeur d'analyse contractuelle) est défini avec vous avant tout devis.
Pas seulement les grands groupes ni les secteurs "sensibles" : la dépendance à un fournisseur cloud concerne des entreprises très différentes, pour des raisons différentes. Voici les critères officiels, sans confondre obligation légale et bonne pratique.
Le CLOUD Act américain (loi fédérale, Public Law 115-141) s'applique aux "providers of electronic communication services or remote computing services" américains et leur permet d'être contraints de transmettre des données en leur "possession, custody, or control" à la justice américaine, même si ces données sont stockées hors des États-Unis (disposition codifiée 18 U.S.C. § 2713). Concrètement : une PME française qui héberge sa messagerie ou son ERP chez un fournisseur américain, ou une filiale européenne d'un groupe américain, peut être concernée du seul fait de ce lien de contrôle, même si ses données sont hébergées en France ou dans l'UE. Texte officiel (Congress.gov)
Le Data Act (règlement (UE) 2023/2854), applicable depuis le 12 septembre 2025, est un texte transversal qui "s'applique à tous les secteurs". Son chapitre sur le changement de fournisseur cloud donne à tout client, quelle que soit sa taille, le droit de "changer effectivement de fournisseur de services de traitement de données" (portabilité, interopérabilité), sans exemption générale pour les petites entreprises. Commission européenne - Data Act
La directive NIS2 couvre 18 secteurs (énergie, transport, santé, finance, gestion de l'eau, infrastructures numériques, communications électroniques, plateformes numériques, gestion des déchets, fabrication de produits critiques, courrier, espace, administration publique). Pour ces secteurs, "en règle générale, les entités moyennes et grandes devront prendre des mesures appropriées de gestion des risques cybersécurité" - ce qui inclut la gestion du risque lié à leurs fournisseurs, dont leurs fournisseurs cloud. Commission européenne - NIS2
La qualification SecNumCloud de l'ANSSI "reconnaît des offres cloud de confiance" via un Visa de sécurité. Ce n'est pas une obligation légale généralisée pour les entreprises privées : c'est une qualification volontaire, recommandée pour protéger des données sensibles ou héberger des systèmes d'information sensibles dans le cloud. ANSSI - cyber.gouv.fr
En résumé, quatre profils typiquement concernés
1. Une PME qui héberge messagerie, ERP ou CRM chez un hyperscaler américain (ou une filiale
européenne d'un groupe américain) : concernée par le CLOUD Act, indépendamment de sa taille.
2. N'importe quelle entreprise européenne, de toute taille, utilisatrice d'un service cloud
(SaaS, PaaS ou IaaS) : concernée depuis le 12/09/2025 par les nouveaux droits de portabilité du
Data Act.
3. Une entreprise moyenne ou grande d'un des 18 secteurs critiques NIS2 (énergie, santé,
transport, finance, infrastructures numériques...) : doit gérer le risque fournisseur, cloud
compris.
4. Un organisme public ou une entreprise qui héberge des données sensibles : cible recommandée
(pas systématiquement obligatoire) de la qualification SecNumCloud.
Ces critères sont issus de textes et pages officiels cités ci-dessus. Ce n'est pas un avis juridique : votre situation exacte dépend de votre secteur, de votre taille et de vos contrats - à faire confirmer par un juriste si besoin.
Ce qui est une vraie obligation légale, ce qui est une bonne pratique recommandée, et ce qui arrive bientôt - expliqué simplement, sources officielles à l'appui.
Si votre entreprise fait héberger des données personnelles (salariés, clients) chez un prestataire cloud situé hors de l'Union européenne, c'est votre entreprise - pas le prestataire - qui reste juridiquement responsable devant le RGPD de la protection de ces données. Vous devez vous assurer que ce transfert repose sur une garantie reconnue : soit le pays est jugé sûr par l'Union européenne ("décision d'adéquation"), soit vous signez avec le prestataire des clauses contractuelles types fournies par la Commission européenne. Ce sont des documents standards à intégrer dans votre contrat, pas une négociation à inventer vous-même.
Source : CNIL, cadre des transferts de données hors UE prévu par le RGPD (chapitre V, articles 45 et 46) - cnil.fr, consulté le 18/07/2026.
Depuis le 12 septembre 2025, un règlement européen (le "Data Act") oblige les fournisseurs de services cloud à faciliter le changement de prestataire : ils doivent réduire progressivement les frais de sortie et fournir vos données dans un format que vous pouvez réutiliser ailleurs. Concrètement, si un fournisseur vous répond que "ce n'est pas possible" ou vous facture des sommes disproportionnées pour récupérer vos propres données, ce n'est plus normal depuis cette date. Le calendrier précis de suppression totale de ces frais est fixé par le texte réglementaire - à faire vérifier par votre juriste ou votre prestataire si un montant vous est facturé.
Source : Commission européenne, "Data Act" (Règlement (UE) 2023/2854, chapitre VI) - digital-strategy.ec.europa.eu, consulté le 18/07/2026.
SecNumCloud est une qualification délivrée par l'ANSSI (l'agence française de cybersécurité) qui permet de reconnaître les offres cloud considérées comme dignes de confiance pour héberger des données sensibles. Ce n'est pas une obligation légale pour une entreprise privée. Elle s'impose surtout aux administrations et aux organismes qui gèrent des systèmes d'information sensibles pour l'État. Pour une PME, c'est un repère utile pour comparer des offres cloud entre elles, pas une norme à respecter par la loi.
Source : ANSSI (cyber.gouv.fr), page "Cloud" - cyber.gouv.fr, consulté le 18/07/2026.
La CNIL recommande - sans que ce soit une obligation chiffrée et détaillée dans la loi - de lister les services cloud réellement utilisés dans votre entreprise, de vérifier le niveau de sécurité du fournisseur avant de signer, d'écrire noir sur blanc dans le contrat qui fait quoi en matière de sécurité, et de chiffrer les données sensibles. Le principe à retenir : le fournisseur sécurise son infrastructure, mais c'est à vous de bien configurer les accès et les comptes de vos équipes. Une mauvaise configuration de votre côté n'est pas couverte par la sécurité du fournisseur.
Source : CNIL, "Sécurité du cloud (informatique en nuage)" - cnil.fr, consulté le 18/07/2026.
La Commission européenne a mis en discussion un projet de règlement, le "Cloud and AI Development Act", pour renforcer les capacités cloud et intelligence artificielle européennes et réduire la dépendance aux grands fournisseurs non-européens. Ce texte n'est pas encore en vigueur : c'est une proposition en cours d'examen, pas une règle à appliquer aujourd'hui. Il prévoit un système de niveaux de confiance pour évaluer la souveraineté d'une offre cloud. À suivre, sans en tirer de conclusion opérationnelle immédiate.
Source : Commission européenne, "Cloud and AI Development Act" - digital-strategy.ec.europa.eu, page mise à jour au 03/06/2026, consultée le 18/07/2026.
Cette section vous donne des repères clairs, pas un avis juridique. Pour une situation précise (contrat en cours, transfert de données spécifique), faites valider par votre service juridique ou un avocat.
Cinq questions que se posent les dirigeants de PME, chacune répondue en 2 minutes avec sa source officielle
Ces réponses résument des pages officielles consultées en juillet 2026 (Commission européenne, CNIL, ANSSI, Gaia-X). Elles ne constituent pas un avis juridique et ne remplacent pas une analyse dédiée à votre situation.
Contactez-nous pour recevoir un devis adapté à votre périmètre.
Gratuit: votre score + vos écarts. Le rapport détaillé et l'attestation : 499 € HT, seulement si vous le décidez.
contact@syaga.eu Voir la FAQ