Guide de référence
Logiciel souverain : le guide complet
« Souverain » est devenu un argument commercial avant d'être une notion précise. Ce guide distingue ce qui relève du droit, ce qui relève de la technique et ce qui relève du marketing : localisation des données, juridiction applicable, qualification SecNumCloud, portée réelle du Cloud Act et obligations issues de NIS2.
Guide mis à jour le · Lecture 10 min
Souverain & sécurisé
Éditeur français, données hébergées en France
Démo sans engagement
30 min, aucune pression commerciale
Sans carte bancaire
Testez avant de vous décider
Réponse sous 24 h
Un interlocuteur Lemmpo dédié
Qu'est-ce qu'un logiciel souverain ?
Un logiciel souverain est un logiciel dont les données et l'exploitation relèvent exclusivement du droit français ou européen, sans possibilité d'accès par une autorité étrangère au titre d'une législation extraterritoriale. La souveraineté n'est donc pas une propriété technique : c'est d'abord une question de droit applicable.
Trois éléments distincts, souvent confondus, la déterminent :
La localisation des données. Où résident-elles physiquement ? C'est le critère le plus cité, et le moins protecteur pris isolément : des données stockées en France chez un opérateur soumis au droit américain restent exposées.
La juridiction de l'éditeur et de l'hébergeur. De quel droit relèvent les sociétés qui exploitent le service ? C'est le critère déterminant : une filiale européenne d'un groupe non européen peut se voir opposer les obligations de sa maison mère.
Le niveau de sécurité vérifié par un tiers. Existe-t-il une qualification, délivrée par une autorité, qui atteste du niveau réel ? En France, c'est le rôle de SecNumCloud.
SecNumCloud : ce que la qualification couvre exactement
SecNumCloud est le visa de sécurité délivré par l'ANSSI, l'agence nationale de la sécurité des systèmes d'information. Le référentiel en vigueur, la version 3.2, repose sur plus de 360 exigences couvrant la sécurité technique, l'organisation, l'exploitation et le cadre juridique. Une dizaine d'offres seulement sont qualifiées en France.
Trois précisions déterminent la valeur réelle de l'argument dans une négociation.
La qualification porte sur une offre, pas sur une entreprise. Un hébergeur peut disposer d'une offre qualifiée et de dix autres qui ne le sont pas. À la phrase « nous sommes chez un hébergeur qualifié SecNumCloud », la question suivante est : sur quelle offre précisément ? La réponse figure au contrat.
La qualification ne se transmet pas à ce qui est hébergé. L'ANSSI l'écrit explicitement : la qualification « ne préjuge pas du niveau de sécurité d'un service numérique d'un client qui sera hébergé sur l'offre cloud qualifiée SecNumCloud ». Une application hébergée sur une infrastructure qualifiée n'est pas, de ce fait, une application qualifiée.
Une homologation ne se transmet pas davantage. Un prestataire dont l'infrastructure est homologuée pour la Diffusion Restreinte ne vous transfère pas cette homologation : c'est vous, autorité d'homologation de votre propre système, qui menez la démarche pour votre contexte d'usage.
Qui est concerné
Trois situations, trois niveaux d'exigence
Obligation réglementaire
Les administrations d'État pour leurs données sensibles, au titre de la doctrine « cloud au centre » et du décret d'application de l'article 31 de la loi SREN. L'obligation vise les données à la fois particulièrement sensibles et à risque caractérisé, pas l'ensemble des données d'une administration.
Recommandation forte
Les systèmes traitant des informations portant la mention Diffusion Restreinte, relevant de l'instruction interministérielle n° 901. L'ANSSI y préconise des offres qualifiées sur infrastructure dédiée.
Analyse de risque
Tout le reste — dont la grande majorité des PME et ETI industrielles. Aucune obligation générale : le niveau requis découle de votre analyse de risque et des exigences que votre donneur d'ordre vous répercute par contrat.
Cloud Act : la portée réelle du risque
Le Clarifying Lawful Overseas Use of Data Act, adopté aux États-Unis en 2018, permet aux autorités américaines d'exiger d'un fournisseur relevant de leur juridiction la communication de données qu'il détient, y compris lorsque ces données sont stockées hors des États-Unis.
La conséquence pratique est contre-intuitive : héberger ses données dans un centre de données européen ne suffit pas si l'opérateur du service relève du droit américain. Le critère qui protège n'est pas la géographie du serveur, c'est la juridiction de la société qui exploite le service et de celles qui la contrôlent.
Cela ne signifie pas que tout service non européen est disqualifié. Cela signifie que la question doit être posée explicitement, service par service, et que la réponse doit figurer dans votre analyse de risque plutôt que dans une plaquette commerciale.
NIS2 : un facteur d'accélération, pas une obligation d'hébergement
La directive NIS2, transposée en France par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, élargit considérablement le périmètre des entités soumises à des obligations de cybersécurité — de quelques centaines à plusieurs milliers d'organisations. L'ANSSI en est l'autorité nationale et a publié un référentiel de mesures associé.
Point important, souvent mal compris : NIS2 n'impose pas d'héberger ses données sur une offre qualifiée SecNumCloud. Le texte impose une gestion des risques, la sécurisation de la chaîne d'approvisionnement, la notification des incidents et la responsabilisation des dirigeants. Le choix de l'hébergement en découle indirectement, comme une conséquence de l'analyse de risque.
En revanche, l'obligation de sécuriser la chaîne d'approvisionnement a un effet en cascade très concret : les entités concernées répercutent contractuellement leurs exigences sur leurs fournisseurs, y compris sur leurs éditeurs de logiciels. C'est par ce canal, plus que par le texte lui-même, que la question atteindra la plupart des PME.
⚠️ Le calendrier de transposition et les seuils d'application évoluent : vérifiez l'état du droit sur cyber.gouv.fr et Legifrance avant toute décision, plutôt que sur un article de blog — y compris celui-ci.
Les questions à poser à un éditeur
« Êtes-vous souverain ? » appelle une réponse binaire souvent trompeuse. Ces six questions vous en apprendront beaucoup plus, et la manière d'y répondre vous renseignera autant que les réponses.
1. Où sont hébergées mes données, chez quel hébergeur, sur quelle offre exactement, et sous quelle juridiction ?
2. Votre service applicatif est-il qualifié, ou est-ce l'infrastructure de votre hébergeur qui l'est ?
3. Quelle est la nationalité de votre société et de vos actionnaires de contrôle ?
4. Pouvez-vous me transmettre la liste complète de vos sous-traitants, avec leur rôle et leur localisation ?
5. Quels sont vos objectifs de reprise, et quand avez-vous testé une restauration pour la dernière fois ?
6. Quelles sont les modalités de réversibilité : format, délai, coût ?
Un éditeur qui répond précisément à ces six questions, même quand certaines réponses ne sont pas flatteuses, est un partenaire plus sûr qu'un éditeur qui coche une case sans savoir ce qu'elle recouvre.
La position de Lemmpo
Nous appliquons à nous-mêmes les questions ci-dessus, et nous publions les réponses. Lemmpo est édité par une société française. Vos données sont hébergées en France, chez OVHcloud, hébergeur français soumis au seul droit français. Dans le cadre de l'offre Entreprise, votre environnement peut être déployé sur une infrastructure OVHcloud qualifiée SecNumCloud, sur demande et après étude.
Et la précision qui accompagne systématiquement la précédente : le service applicatif Lemmpo n'est pas lui-même qualifié SecNumCloud, y compris lorsqu'il est déployé sur une infrastructure qualifiée. Nous le disons avant qu'on nous le demande, parce que c'est la distinction sur laquelle les acheteurs du secteur testent les éditeurs.
Les principes de sécurité sur lesquels repose le service sont détaillés sur notre page Sécurité, et notre questionnaire de sécurité pré-rempli est transmis sur demande aux équipes sécurité et conformité.
Aller plus loin
Les contenus liés
SecNumCloud est-il obligatoire ?
Le cas concret du sous-traitant de la défense, et ce qui bloque vraiment un dossier.
En savoir plus →Souveraineté & sécurité
Localisation, juridiction, cloisonnement, traçabilité et réversibilité.
En savoir plus →Défense & industrie sensible
Piloter la charge et les programmes dans un environnement exigeant.
En savoir plus →Notre page Sécurité
Chiffrement, protection des accès, journalisation, sauvegardes, réversibilité.
En savoir plus →Glossaire
SecNumCloud, ANSSI, Diffusion Restreinte, NIS2, BITD, MCO : les définitions.
En savoir plus →Choisir un outil de pilotage
La grille de comparaison, au-delà des seuls critères de sécurité.
En savoir plus →Questions fréquentes
Les réponses aux questions que vous vous posez.
Qu'est-ce qu'un logiciel souverain ?+
Un logiciel dont les données et l'exploitation relèvent exclusivement du droit français ou européen, sans possibilité d'accès par une autorité étrangère au titre d'une législation extraterritoriale. Trois éléments le déterminent : la localisation des données, la juridiction de l'éditeur et de l'hébergeur, et le niveau de sécurité vérifié par un tiers.
Héberger ses données en France suffit-il ?+
Non. Si l'opérateur du service relève du droit américain, le Cloud Act peut s'appliquer même à des données stockées en Europe. Le critère déterminant n'est pas la géographie du serveur mais la juridiction dont relèvent les sociétés qui exploitent le service et celles qui les contrôlent.
Qu'est-ce que SecNumCloud ?+
Le visa de sécurité délivré par l'ANSSI à une offre de cloud. Le référentiel en vigueur, la version 3.2, repose sur plus de 360 exigences de sécurité technique, d'organisation, d'exploitation et de cadre juridique. Une dizaine d'offres seulement sont qualifiées en France.
Un hébergeur qualifié SecNumCloud rend-il mon logiciel conforme ?+
Non. L'ANSSI précise que la qualification d'une offre cloud ne préjuge pas du niveau de sécurité des services clients qui y sont hébergés. Un hébergeur qualifié peut parfaitement héberger des applications qui ne le sont pas.
NIS2 impose-t-elle un hébergement SecNumCloud ?+
Non. NIS2 impose une gestion des risques, la sécurisation de la chaîne d'approvisionnement, la notification des incidents et la responsabilisation des dirigeants. Le choix d'hébergement en découle indirectement, via l'analyse de risque et les exigences répercutées par les donneurs d'ordre.
Mon entreprise est-elle obligée d'utiliser une offre qualifiée ?+
Dans le cas général, non. L'obligation réglementaire vise les administrations d'État pour leurs données sensibles. Pour les systèmes traitant des informations en Diffusion Restreinte, l'ANSSI le préconise. Pour tout le reste, le niveau requis découle de votre analyse de risque et de vos engagements contractuels.
Fonctionnalités clés
Les fonctionnalités Lemmpo qui vous concernent
Explorez en détail les fonctionnalités les plus utiles à votre quotidien.
Règles d'entreprise
Paramétrez les règles utiles à votre organisation : temps, absences, validations, équipes et unités de suivi.
En savoir plus →Pilotage & analyse
Visualisez vos données opérationnelles, vos actions en attente, vos alertes, vos validations et préparez des exports exploitables.
En savoir plus →Projets & clients
Rattachez les temps, équipes et interventions aux bons projets ou clients.
En savoir plus →Gestion des collaborateurs
Retrouvez les informations utiles sur les équipes, les rôles, les rattachements et les historiques associés.
En savoir plus →Des exigences de souveraineté à instruire ?
Échangeons sur votre contexte : donneur d'ordre, contraintes d'homologation, questionnaire de sécurité à remplir. Nous répondons précisément, y compris quand la réponse est non.
Sans engagement • Démonstration gratuite • Réponse sous 24h