Qui peut accéder à vos données, et selon quelles lois ?
Calculer votre indice de souveraineté numérique
Héberger ses données en France ne suffit pas. Ce qui compte, c'est qui contrôle vos fabricants, éditeurs, hébergeurs et prestataires, où se trouvent vos données et vos sauvegardes, et d'où se font l'administration et le support.
L'Indice de souveraineté numérique de CYCEO le mesure sur 100, fournisseur par fournisseur, et vous dit ce qu'il faut traiter en premier.
Mis à jour le · base fournisseurs 2026.10.2 · outil v1.30.0
- 100 % local, sans inscription. Le calcul se fait dans votre navigateur : aucune donnée n'est transmise, aucun cookie, aucun suivi.
- 460 fournisseurs référencés, avec leur pays du siège et la juridiction qui les contrôle réellement : matériel, logiciels, cloud, IA, services, télécoms.
- Un rapport à présenter. Points d'attention, textes de loi concernés, scénario cible et plan d'action, en PDF.
Qu'est-ce que la souveraineté numérique d'une entreprise ?
La souveraineté numérique d'une entreprise est sa capacité à garder la maîtrise de ses données et de ses outils numériques : savoir qui peut y accéder, en vertu de quelles lois, et pouvoir changer de fournisseur sans perdre ses données ni interrompre son activité.
Elle se mesure sur trois plans : la juridiction des sociétés qui contrôlent ses fournisseurs (une loi étrangère peut s'imposer à elles), la localisation de ses données, de ses sauvegardes et de l'administration de ses systèmes, et la maturité de son organisation face à ces dépendances (contrats, réversibilité, chiffrement, gouvernance).
L'essentiel en cinq points
- Une loi étrangère s'applique à un fournisseur selon sa nationalité et celle de sa maison mère, pas selon l'emplacement de ses serveurs.
- Le siège d'un fournisseur ne suffit pas : un fonds ou une maison mère étrangère peut le contrôler.
- Un opérateur français peut dépendre de la technologie d'un éditeur étranger, exploitée sous licence.
- Des données stockées en Europe mais administrées depuis l'extérieur de l'UE sortent de fait de l'UE.
- Sans clause de réversibilité ni export testé, changer de fournisseur reste théorique.
Pourquoi « hébergé en France » ne suffit pas ?
Une loi étrangère s'applique à une entreprise en raison de sa nationalité, pas de l'emplacement de ses serveurs. Le CLOUD Act américain permet ainsi aux autorités des États-Unis d'obtenir des données détenues par une entreprise américaine, où qu'elles soient stockées. Évaluer sa souveraineté, c'est donc regarder qui contrôle chaque fournisseur, pas seulement où il héberge.
Ce qu'une simple liste de prestataires ne dit pas
- Qu'un fournisseur au siège européen peut être contrôlé par une maison mère ou un fonds étranger.
- Qu'un opérateur français peut dépendre de la technologie d'un éditeur américain.
- Que des données stockées en France peuvent être administrées depuis l'extérieur de l'UE.
- Qu'une localisation inconnue au contrat est un risque, pas une case vide.
Ce que l'indice vous donne
- La juridiction de contrôle de chaque fabricant, éditeur, hébergeur et prestataire, expliquée quand elle diffère du siège.
- La part de votre informatique, pondérée par la criticité et la sensibilité, qui dépend de l'extérieur de l'UE.
- Les points d'attention classés par priorité, avec le texte de loi concerné.
- Des fournisseurs français et européens référencés pour chaque catégorie exposée, comme point de départ d'un sourcing.
- Un scénario cible chiffré avec la même méthode, et un plan d'action.
Trois mesures, un indice sur 100
L'indice combine ce que vous utilisez, où sont vos données, et la manière dont votre organisation maîtrise ses dépendances. Chaque pondération est affichée et modifiable : c'est une méthode interne CYCEO, non normative, que vous pouvez adapter à votre secteur.
Juridiction des fournisseurs
Chaque ligne d'inventaire reçoit la note de la juridiction qui contrôle son fournisseur : France, Union européenne, pays reconnu « adéquat » par la Commission européenne, États-Unis, Chine, Russie… Une maison mère étrangère est prise en compte, de même que la technologie sous-jacente d'un opérateur.
Qui peut être contraint par une loi étrangère ?
Localisation des données
Pour chaque équipement ou service : où sont stockées les données, où sont les sauvegardes, d'où se font l'administration et le support. Sur site, France, UE, multi-régions ou inconnue : une localisation non vérifiée compte comme un risque.
Où se trouvent réellement vos données ?
Maturité organisationnelle
Une grille de 8 domaines : données et localisation, lois extraterritoriales, dépendance aux fournisseurs, chiffrement, réversibilité, logiciels, infrastructure, gouvernance. Profils sectoriels : santé, finance (DORA), secteur public, défense / OIV, industrie.
Savez-vous changer de fournisseur ?Comment l'indice est calculé
- Indice global = 50 % score d'inventaire + 50 % maturité organisationnelle.
- Score d'inventaire = 60 % juridiction des fournisseurs + 40 % localisation des données.
- Note de juridiction (sur 100) : France 100, Union européenne / EEE 90, Logiciel libre communautaire 80, Pays tiers « adéquat » (RGPD art. 45) 70, Autre pays tiers 45, États-Unis 20, Chine 5, Russie 0, Non déterminée 0.
- Localisation d'une ligne = 50 % stockage + 30 % sauvegardes + 20 % administration et support ; une localisation inconnue vaut 0.
- Poids d'une ligne = criticité (critique 3, importante 2, secondaire 1) + 2 si elle traite des données sensibles.
Méthode interne CYCEO, non normative ; toutes les valeurs sont modifiables dans l'outil.
Lire le résultat
Une décision extérieure (juridique, tarifaire, géopolitique) peut bloquer l'activité.
Les risques sont connus mais peu couverts sur les données sensibles.
Les données sensibles sont protégées, des dépendances subsistent.
Capacité démontrée à changer de fournisseur et à résister aux lois extraterritoriales.
De l'inventaire au plan d'action, en six étapes
L'outil suit le parcours d'un audit : décrire l'entreprise, inventorier, évaluer l'organisation, lire les résultats, simuler une cible et planifier.
Un inventaire rapide à constituer
Tapez « dell », « microsoft 365 » ou « serveur hpe » : le fournisseur, sa catégorie et sa juridiction s'ajoutent d'une touche. Ou importez un export GLPI, OCS Inventory ou tableur : les noms sont rapprochés automatiquement.
460 fournisseurs, sourçables
Matériel, logiciels, cloud, datacenters, intelligence artificielle, services informatiques, télécoms. Chaque fournisseur porte une pastille de vérification sur quatre points : identité, offre, localisation, contrôle, avec la source et la date de chaque vérification.
Points d'attention motivés
Dépendance à une loi extraterritoriale, données sensibles hors UE, support administré hors UE, localisation inconnue, contrat sans réversibilité ou arrivant à échéance : chaque alerte cite le texte concerné.
Intelligence artificielle
Assistants, API, plateformes et outils de programmation : qui les contrôle, où sont traitées les données, lesquels reçoivent des informations sensibles, et quelles alternatives européennes ou exécutables en interne existent.
Scénario cible
Remplacez un fournisseur, rapatriez des données, changez une localisation : l'écart actuel → cible s'affiche sur l'indice et sur le nombre de points d'attention, sans toucher à l'inventaire réel.
Plan d'action et rapport
Une action par point d'attention, avec priorité, responsable et échéance. Rapport PDF structuré aux couleurs CYCEO, mode présentation pour la restitution, historique pour suivre l'évolution dans le temps.
La base fournisseurs en chiffres
460 fabricants, éditeurs, hébergeurs, prestataires et opérateurs sont référencés avec leur pays du siège et la juridiction qui les contrôle. Pour au moins 23 d'entre eux, cette juridiction diffère du pays du siège : maison mère étrangère, fonds d'investissement ou actionnaire majoritaire.
Par juridiction de contrôle
| États-Unis | 172 |
| France | 85 |
| Union européenne / EEE | 68 |
| Pays tiers « adéquat » (RGPD art. 45) | 57 |
| Chine | 36 |
| Autre pays tiers | 27 |
| Logiciel libre communautaire | 12 |
| Russie | 3 |
Par famille
| Matériel | 175 |
| Logiciels | 220 |
| Cloud, services et télécoms | 100 |
Un fournisseur présent dans plusieurs familles est compté dans chacune.
Quelques catégories
| Cloud (IaaS / PaaS / hébergement) | 49 |
| Intelligence artificielle | 50 |
| Cybersécurité (pare-feu, EDR, identité) | 64 |
| Services informatiques (ESN) | 32 |
| Datacenters et colocation | 10 |
| Opérateurs télécoms | 19 |
Base CYCEO 2026.10.2, établie à partir d'informations publiques (siège social, actionnaire de contrôle) connues à mi-2026 ; les cas incertains ont été écartés. Chaque fournisseur porte une pastille de vérification à confirmer, source à l'appui, avant toute décision engageante.
Votre cartographie reste chez vous
Un inventaire de fournisseurs et de flux de données est une information sensible. L'outil a donc été conçu pour ne rien transmettre : il s'exécute entièrement dans votre navigateur.
- Aucune donnée transmise
- Le site interdit à la page toute connexion sortante : rien de ce que vous saisissez ne peut partir.
- Sans inscription
- Pas de compte, pas d'adresse électronique demandée. Vous ouvrez la page et vous calculez.
- Sans cookie ni suivi
- Aucune mesure d'audience, aucune police ni ressource externe, aucun tiers.
- Vous gardez la main
- Mode privé, effacement complet en un clic, enregistrement dans un fichier que vous seul détenez.
Vérifiez-le vous-même
- Ouvrez l'outil, puis les outils de développement de votre navigateur (touche
F12), onglet Réseau. - Saisissez votre inventaire : aucune requête n'apparaît après le chargement de la page.
- Dans l'onglet de la page principale, les en-têtes de réponse montrent la politique de sécurité
connect-src 'none', qui interdit toute connexion.
Comment ça marche ?
Quatre étapes, dans l'ordre de l'outil. Avec un export d'inventaire, l'étape la plus longue se résume à un import et à une vérification.
Décrivez l'entreprise
Raison sociale, pays des locaux, profil sectoriel.
Inventoriez
Recherche rapide ou import CSV, puis criticité, données sensibles et localisation.
Évaluez l'organisation
Les critères se notent de 0 à 3 ; une partie est pré-suggérée à partir de votre inventaire.
Agissez
Lisez les points d'attention, simulez une cible, générez le plan d'action et le rapport.
Sur quels textes reposent les constats ?
Les alertes s'appuient sur des textes en vigueur, cités dans l'outil et dans le rapport. L'outil aide à objectiver une exposition ; il ne remplace pas l'analyse d'un juriste.
Lois extraterritoriales
Savoir qui peut exiger l'accès à vos données
- CLOUD Act (États-Unis, 2018)
- Accès des autorités américaines aux données détenues par une entreprise américaine, où qu'elles soient stockées ; complété par la section 702 du FISA.
- Loi chinoise sur le renseignement national (2017)
- Article 7 : obligation de soutenir et de coopérer avec les services de renseignement.
Transferts de données
Encadrer ce qui sort de l'Union européenne
- RGPD, chapitre V
- Transferts hors UE : décision d'adéquation (art. 45) ou garanties appropriées (art. 46).
- Data Privacy Framework UE–États-Unis (2023)
- Cadre des transferts vers les États-Unis, contesté devant la Cour de justice de l'Union européenne.
Cloud de confiance et secteurs régulés
Répondre aux exigences de vos clients et de votre secteur
- SecNumCloud (ANSSI)
- Référentiel qui exclut les prestataires dont le siège ou l'actionnariat majoritaire est hors UE ; qualifications à vérifier sur le catalogue de l'ANSSI.
- NIS2 · DORA · HDS
- Cybersécurité des entités essentielles et importantes, résilience numérique du secteur financier, hébergement des données de santé.
Intelligence artificielle
Documenter les usages et les données transmises
- Règlement (UE) 2024/1689
- Règlement européen sur l'intelligence artificielle : obligations graduées selon le niveau de risque des usages.
Liste complète, avec dates et références, dans l'onglet « Méthode » de l'outil et en annexe du rapport.
À qui s'adresse l'indice ?
Dirigeants, DSI et RSSI
Objectiver une dépendance souvent intuitive, la présenter en comité de direction et prioriser les actions.
« Que se passe-t-il si notre fournisseur de messagerie change ses conditions demain ? »Fournisseurs du secteur public et entreprises régulées
Préparer les exigences de vos clients et de votre secteur : SecNumCloud, NIS2, DORA, HDS.
« Pouvons-nous répondre à un appel d'offres qui exige un cloud de confiance ? »ESN, intégrateurs et conseils
Conduire un diagnostic structuré chez un client, simuler une trajectoire et remettre un rapport argumenté.
« Quel est le bénéfice d'une migration vers un hébergeur européen ? »Le vocabulaire en clair
- Souveraineté numérique
- Capacité d'une organisation à maîtriser ses données et ses outils numériques : savoir qui peut y accéder, sous quelles lois, et pouvoir changer de fournisseur.
- Juridiction de contrôle
- Pays dont le droit s'applique à la société qui contrôle un fournisseur (maison mère, actionnaire majoritaire). Elle peut différer du pays de son siège.
- Loi extraterritoriale
- Loi d'un État qui produit des effets au-delà de son territoire, par exemple en obligeant une entreprise de sa nationalité à communiquer des données stockées à l'étranger.
- Pays tiers « adéquat »
- Pays reconnu par la Commission européenne comme offrant une protection des données équivalente à celle de l'UE (RGPD, art. 45).
- Réversibilité
- Capacité contractuelle et technique à récupérer ses données et à changer de fournisseur dans des délais et des coûts maîtrisés.
- Technologie sous-jacente
- Technologie d'un éditeur exploitée sous licence par un opérateur : la juridiction de l'opérateur peut être française alors que la dépendance technologique reste étrangère.
Questions fréquentes
Qu'est-ce que la souveraineté numérique ?
Pour une entreprise, c'est la capacité à garder la maîtrise de ses données et de ses outils numériques : savoir qui peut y accéder, en vertu de quelles lois, et pouvoir changer de fournisseur. Elle dépend de la juridiction des sociétés qui contrôlent ses fournisseurs, de la localisation de ses données et de la maturité de son organisation.
Comment est calculé l'indice de souveraineté numérique ?
L'indice sur 100 combine un score d'inventaire et un score de maturité organisationnelle. Le score d'inventaire attribue à chaque équipement, logiciel ou service la note de la juridiction qui contrôle son fournisseur et une note de localisation des données, pondérées par la criticité et la sensibilité. La maturité est évaluée sur 8 domaines. Toutes les pondérations sont affichées et modifiables.
Qu'est-ce que le CLOUD Act et qui est concerné ?
Le CLOUD Act est une loi américaine de 2018. Elle permet aux autorités des États-Unis d'obtenir des données détenues par une entreprise américaine, y compris lorsqu'elles sont stockées hors des États-Unis. Sont concernés les fournisseurs soumis au droit américain, notamment par leur maison mère, quel que soit le pays où se trouvent leurs centres de données.
Un cloud hébergé en France par une société française est-il forcément souverain ?
Pas forcément. Il faut vérifier qui contrôle la société (un fonds ou une maison mère étrangère peut en détenir la majorité), d'où sont administrés les systèmes, et de quelle technologie dépend l'offre : certaines offres françaises exploitent sous licence la technologie d'un éditeur américain. L'indice prend en compte ces trois aspects.
Qu'est-ce que la qualification SecNumCloud ?
SecNumCloud est un référentiel de l'ANSSI pour les offres cloud de confiance. Sa version 3.2 (mars 2022) exclut notamment les prestataires dont le siège ou l'actionnariat majoritaire est situé hors de l'Union européenne. Les qualifications évoluent : elles se vérifient sur le catalogue officiel de l'ANSSI.
Mes données sont-elles envoyées quelque part ?
Non. L'outil s'exécute entièrement dans votre navigateur et n'effectue aucune requête réseau. Le site applique en plus une politique de sécurité qui interdit à la page toute connexion sortante. Vous pouvez le vérifier dans l'onglet « Réseau » des outils de développement de votre navigateur.
Faut-il créer un compte ?
Non. Aucune inscription, aucune adresse électronique, aucun cookie. Vos saisies restent sur votre appareil pour que vous puissiez reprendre plus tard, sauf si vous activez le mode privé.
Héberger mes données en France suffit-il à être souverain ?
Non. Une loi étrangère s'applique à une entreprise en fonction de sa nationalité. Le CLOUD Act permet par exemple aux autorités américaines d'obtenir des données détenues par une entreprise américaine, même si elles sont stockées en France. L'indice croise donc la juridiction de contrôle de chaque fournisseur avec le lieu de stockage, de sauvegarde et de support.
D'où viennent les informations sur les fournisseurs ?
La base est établie à partir d'informations publiques (siège social, actionnaire de contrôle), connues à mi-2026. Les cas incertains ont été écartés plutôt que devinés. Les rachats étant fréquents, chaque fournisseur porte une pastille de vérification : vous confirmez son identité, son offre, sa localisation et son contrôle en indiquant votre source, et vous pouvez corriger ou ajouter un fournisseur.
Le score est-il une norme officielle ?
Non. Les pondérations relèvent d'une méthode interne CYCEO, non normative, affichée en clair et modifiable dans l'outil. Les textes juridiques cités, eux, sont des références réelles. L'indice aide à objectiver et à prioriser ; il ne constitue pas un avis juridique.
Puis-je reprendre mon évaluation sur un autre ordinateur ?
Oui. Le bouton « Enregistrer » crée un fichier que vous conservez ; « Ouvrir » le recharge sur n'importe quel poste. Rien n'est stocké sur nos serveurs.
Puis-je importer mon inventaire existant ?
Oui. L'outil lit les exports CSV de GLPI, d'OCS Inventory ou d'un tableur, reconnaît les colonnes usuelles et rapproche les noms de fabricants et d'éditeurs avec sa base. Un écran de contrôle permet de corriger chaque ligne avant l'import.
Mesurez votre exposition avant qu'elle ne vous soit rappelée
Ouvrez l'outil, importez ou saisissez votre inventaire : l'indice se calcule au fur et à mesure. Pour un diagnostic accompagné, une trajectoire de migration ou un plan de réversibilité, échangeons sur votre situation.