1. À quoi sert l'application
L'Indice de souveraineté numérique mesure à quel point une entreprise dépend d'acteurs et de lois étrangères pour son informatique. Il combine trois mesures :
- Juridiction des fournisseurs : qui contrôle les fabricants, éditeurs, hébergeurs et prestataires utilisés (siège et maison mère).
- Localisation des données : où sont stockées les données, où sont les sauvegardes, d'où se font l'administration et le support.
- Maturité organisationnelle : 8 domaines et une cinquantaine de critères (contrats, réversibilité, chiffrement, gouvernance…).
Le résultat est un indice sur 100 et un niveau : Dépendant (0–39), Exposé (40–59), Maîtrisé (60–79), Souverain (80–100).
2. Démarrer
Ouvrez le fichier index.html. L'écran 1 · Entreprise propose quatre façons de commencer :
| Choix | Quand l'utiliser |
|---|---|
| Importer un inventaire | Vous disposez d'un export GLPI, OCS Inventory ou d'un tableur (.csv). |
| Saisir l'inventaire | Vous construisez l'inventaire à la main, avec la recherche rapide. |
| Reprendre une évaluation | Vous rouvrez un fichier .json enregistré précédemment. |
| Voir un exemple | Pour découvrir l'outil avec une PME industrielle fictive (signalée « exemple fictif »). |
Le menu suit l'ordre de travail : Entreprise → Inventaire → Maturité → Résultats → Scénario cible → Plan d'action. Les onglets Fournisseurs et Méthode sont des références consultables à tout moment. Un bouton « Étape suivante » en bas de chaque écran fait avancer.
En haut à droite, toujours visibles : Ouvrir, Enregistrer, Rapport PDF, Présentation et Aide.
3. Étape 1 · Entreprise
- Raison sociale, secteur, évaluateur, date : repris en en-tête et sur le rapport.
- Juridiction des locaux : sert à noter ce qui est conservé « sur site » et le support assuré par l'équipe interne (France par défaut).
- Profil sectoriel : Générique, Santé, Finance (DORA), Fournisseur du secteur public, Défense / OIV, Industrie. Le profil ajuste le poids des domaines du questionnaire, rend certains critères critiques et ajoute des critères propres au secteur (HDS, DORA, LPM, II 901…).
- Avancement : liste ce qui reste à faire, avec un lien vers l'écran concerné.
- Nouvelle évaluation : efface tout (deux clics de confirmation). Enregistrez avant.
4. Étape 2 · Inventaire
Ajout rapide
Tapez un nom ou un usage dans le champ de recherche : dell, serveur hpe, microsoft 365, chatgpt, traduction, colocation… Choisissez avec ↑ ↓ et validez avec Entrée. Réglez au préalable la criticité et la case données sensibles : elles s'appliquent aux ajouts suivants.
Chaque proposition affiche la catégorie, le pays du siège et la juridiction de contrôle. Si le fournisseur n'existe pas, choisissez « Ajouter … comme fournisseur absent de la base » : il sera classé en juridiction « Non déterminée » (note 0) tant que vous ne l'aurez pas qualifié.
Import CSV
- Cliquez sur Importer un CSV (ou téléchargez d'abord le Modèle CSV).
- L'application reconnaît les colonnes usuelles : fabricant, éditeur, type, catégorie, modèle, quantité, criticité, stockage, sauvegardes, support…
- Un écran de contrôle montre le rapprochement de chaque ligne avec la base (ex. « Dell Inc. » → Dell Technologies). Corrigez la catégorie ou le fournisseur si besoin, décochez les lignes à ignorer.
- « Regrouper les lignes identiques » fusionne par exemple 300 postes Dell en une ligne avec la quantité.
- Cliquez sur Ajouter à l'inventaire.
Le tableau d'inventaire
- Chaque ligne montre le fournisseur (avec sa pastille de vérification), la catégorie, la juridiction de contrôle et sa note, la localisation résumée en pastilles (« à vérifier » en orange) et sa note, la criticité et la case « sensible ».
- Modifier ouvre le détail : lieu de stockage des données, des sauvegardes, d'administration / support, technologie sous-jacente, usage, précision de localisation.
- Filtrer : recherche texte et vues « à compléter », « critiques », « données sensibles », « contrôlé hors UE ».
- Modification groupée : cochez plusieurs lignes, choisissez les nouvelles valeurs dans la barre bleue, puis Appliquer.
Technologie sous-jacente
Quand un opérateur exploite la technologie d'un autre éditeur (ex. Bleu avec Microsoft Azure, S3NS avec Google Cloud), indiquez-la : la note du fournisseur devient 70 % opérateur + 30 % éditeur de la technologie.
Fiches contrat
En bas de l'inventaire, dépliez Afficher les fiches contrat pour les fournisseurs critiques ou traitant des données sensibles : réversibilité, notification des demandes d'autorités étrangères, droit applicable, tribunal compétent, échéance. Elles déclenchent des alertes (échéance à moins de 180 jours, pas de réversibilité, droit hors UE) et alimentent les suggestions du questionnaire.
5. Étape 3 · Maturité
Notez chaque critère : 0 non, 1 partiel, 2 largement, 3 totalement, N/A sans objet (retiré du calcul). Les critères marqués CRITIQUE remontent en point d'attention s'ils sont notés 0.
- Pastilles D1 à D8 : avancement par domaine ; un clic ouvre le domaine sur son premier critère sans réponse.
- Au clavier : cliquez sur un critère puis tapez 0 1 2 3 ou N. La réponse est enregistrée et le critère suivant non renseigné s'affiche.
- Suggestions : pour une quinzaine de critères, l'application propose une note déduite de l'inventaire et des contrats, avec son motif chiffré. Cliquez sur « Appliquer » pour l'accepter. Une réponse déjà donnée n'est jamais remplacée automatiquement.
6. Étape 4 · Résultats
- Quatre indicateurs : indice global, juridiction des fournisseurs, localisation des données, maturité organisationnelle.
- Phrase de synthèse : ce qu'il faut retenir, calculé à partir des seules données saisies.
- Points d'attention : les 5 principaux, puis « Voir les N points d'attention » pour la liste complète, avec le texte de loi concerné (CLOUD Act, loi chinoise sur le renseignement, RGPD chapitre V…).
- Exposition par juridiction et localisation des données : répartition pondérée par la criticité et la sensibilité. La matrice « juridiction × lieu de stockage » signale en orange les données hébergées en Europe chez un fournisseur contrôlé hors UE.
- Sections repliables : indépendance par nature, maturité par domaine, intelligence artificielle, pays d'origine (carte), fournisseurs français et européens référencés, historique.
- Historique : « Enregistrer un instantané » à chaque étape du projet (audit initial, après migration…) pour suivre la courbe d'évolution.
7. Étape 5 · Scénario cible
- Donnez un nom au scénario (ex. « Migration messagerie vers l'UE »).
- Cliquez sur Créer à partir de l'inventaire actuel : une copie est créée, l'inventaire réel n'est jamais modifié.
- Remplacez des fournisseurs, changez des localisations, retirez ou ajoutez des lignes.
- Lisez l'écart actuel → cible sur l'indice global, les fournisseurs, la localisation et le nombre de points d'attention, ainsi que la liste des changements.
8. Étape 6 · Plan d'action
- Générer depuis les points d'attention crée une action par alerte, sans doublon, avec une priorité reprise de la sévérité.
- Pour chaque action : libellé modifiable, responsable, échéance (signalée en rouge si dépassée), statut (à faire, en cours, terminée, abandonnée).
- Gain potentiel : écart d'indice si la ligne concernée atteignait le niveau « Union européenne », calculé avec la méthode de l'outil. Aucun coût n'est proposé : chiffrez à partir de vos devis.
- Une action dont l'alerte d'origine a disparu est signalée « peut-être réalisée ».
9. Fournisseurs (base de référence)
La base recense plusieurs centaines de fabricants, éditeurs, hébergeurs, prestataires et opérateurs, avec leur pays du siège et la juridiction de contrôle retenue. Quand une maison mère ou un fonds étranger contrôle la société, c'est sa juridiction qui est retenue, et la note l'explique.
Pastilles de vérification
La vérification d'un fournisseur porte sur quatre points, chacun avec sa source et sa date : identité (raison sociale, siège), offre (produits et services), localisation (lieux d'hébergement, de traitement ou de support de l'offre) et contrôle (actionnaire de contrôle, juridiction).
| Vert | Les quatre points sont vérifiés. |
| Orange | Vérification commencée (au moins un point, ou marquée « en cours »). |
| Rouge | Aucun point vérifié : information de la base CYCEO (connaissances publiques à mi-2026) ou fournisseur hors base. |
- Vérifier (sur une ligne) : cochez les points confirmés, indiquez la source (propre au point ou commune) et la date. Vous pouvez corriger le siège, la juridiction, la note et les catégories. Un point coché sans source est refusé.
- Valider en lot… : valide d'un coup tous les fournisseurs affichés par les filtres, avec votre référence, votre nom et une attestation. Chaque pastille indique « validé en lot ». Les vérifications faites une par une ne sont jamais écrasées.
- Ajouter un fournisseur : avec source obligatoire.
- Exporter / importer les corrections locales : pour partager vérifications et corrections avec les autres postes de l'équipe.
10. Méthode
- Notes par juridiction (modifiables) : France 100, UE 90, logiciel libre 80, pays tiers adéquat 70, autre pays tiers 45, États-Unis 20, Chine 5, Russie 0, non déterminée 0.
- Poids d'une ligne = criticité (critique 3, importante 2, secondaire 1) + 2 si données sensibles.
- Localisation d'une ligne = 50 % stockage + 30 % sauvegardes + 20 % support.
- Score d'inventaire = 60 % juridiction des fournisseurs + 40 % localisation (curseur réglable).
- Indice global = 50 % inventaire + 50 % maturité (curseur réglable).
Ces pondérations sont une méthode interne CYCEO, non normative. Les textes juridiques cités sont listés dans l'onglet Méthode.
11. Rapport, présentation, enregistrement
- Rapport PDF : ouvre l'impression ; choisissez « Enregistrer au format PDF ». Le rapport comprend une page de garde CYCEO, la synthèse, le scénario cible, le plan d'action, les fiches contrat, l'inventaire détaillé et les réponses au questionnaire. Toutes les sections repliées sont dépliées automatiquement.
- Présentation : diaporama plein écran pour une restitution client ; → / Espace suivant, ← précédent, Échap pour quitter.
- Copier le rapport texte (onglet Résultats) : version texte à coller dans un courriel ou un compte rendu.
- Enregistrer : télécharge l'évaluation en
.json. Ouvrir la recharge, sur ce poste ou un autre.
Confidentialité
- Aucune donnée n'est transmise : l'application ne fait aucune requête réseau. Pas de compte, pas de cookie, pas de mesure d'audience.
- Mode privé (écran Entreprise, carte « Confidentialité de vos données ») : rien n'est conservé sur l'appareil ; tout disparaît à la fermeture de l'onglet. Pensez à Enregistrer avant de fermer.
- Effacer toutes mes données de ce navigateur : supprime l'évaluation, les corrections et vérifications de la base enregistrées sur l'appareil.
.json enregistré est la seule copie durable.12. Raccourcis clavier
| Où | Touches | Action |
|---|---|---|
| Recherche rapide | ↑ ↓ Entrée Échap | Choisir, ajouter, effacer |
| Questionnaire | 0 1 2 3 N | Répondre et passer au critère suivant |
| Questionnaire | ↑ ↓ (ou K J) | Critère précédent / suivant |
| Présentation | → Espace ← Échap | Naviguer, quitter |
| Aide | Échap | Fermer le mode d'emploi |
13. Bon à savoir
- Pas d'avis juridique. L'outil aide à objectiver les dépendances ; il ne remplace pas l'analyse d'un juriste.
- Aucun chiffre inventé. Aucun prix, aucune moyenne de marché : l'outil ne calcule qu'à partir de ce que vous saisissez et de la base fournisseurs.
- Qualifications non affichées. SecNumCloud, visas ANSSI, HDS : vérifiez-les sur les catalogues officiels, elles évoluent.
- Base à vérifier. Les rachats sont fréquents : avant une décision engageante, vérifiez les fournisseurs concernés (pastille verte).
14. Glossaire
- Juridiction de contrôle
- Pays dont le droit s'applique à la société qui contrôle le fournisseur (maison mère, actionnaire majoritaire). Elle peut différer du pays du siège.
- CLOUD Act
- Loi américaine de 2018 permettant aux autorités des États-Unis d'obtenir des données détenues par une entreprise américaine, où qu'elles soient stockées.
- Pays tiers adéquat
- Pays reconnu par la Commission européenne comme offrant une protection des données équivalente (RGPD, art. 45).
- SecNumCloud
- Référentiel de l'ANSSI pour les offres cloud de confiance, excluant notamment les prestataires contrôlés hors UE.
- Réversibilité
- Capacité contractuelle et technique à récupérer ses données et à changer de fournisseur.
- HDS
- Certification obligatoire pour héberger des données de santé à caractère personnel en France.
- DORA, NIS2
- Textes européens sur la résilience numérique du secteur financier (DORA) et la cybersécurité des entités essentielles et importantes (NIS2).
- Règlement (UE) 2024/1689
- Règlement européen sur l'intelligence artificielle (AI Act).