Tech Sovereignty Package : ce que le texte du 3 juin change vraiment pour les PME B2B sous-traitantes

Le 3 juin, Bruxelles a présenté son Tech Sovereignty Package après trois reports successifs¹. Ce week-end, j'ai reçu trois messages quasi identiques de dirigeants PME : "Alex, on doit migrer en urgence, c'est ça ?" Réponse courte : non. Réponse longue : ça dépend qui sont vos clients.

Le texte ne crée aucune obligation directe pour les entreprises privées. Le titre "Tech Sovereignty Package" est trompeur dans la presse FR. La Commission le dit elle-même, interrogée par CNBC le 7 mai : "discussions do not relate to private-sector companies"³. La sound bite de Henna Virkkunen, EVP Tech Sovereignty, en conférence de presse mardi : "We want to be sure nobody has a kill switch"³. Le kill switch dont elle parle, c'est celui qu'un gouvernement étranger pourrait actionner sur les hôpitaux et les avions de chasse. Pas sur votre back-office.

Mais le texte pose les standards qu'environ 30 à 40 % des PME B2B (sous-traitants marché public direct, sous-traitants régulés banque/santé/énergie/télécom) vont voir cascader dans leurs appels d'offres sur 12 à 18 mois⁸. Pour les 60 à 70 % restantes, le bon réflexe est de ne rien faire. Et le dire publiquement est plus utile que de vendre du SecNumCloud par mimétisme.

Le malentendu : ce texte ne s'applique pas à vous (et la Commission le dit elle-même)

Trois sources directes pour clarifier ce point.

D'abord la Commission. Interrogée par CNBC le 7 mai, elle confirme noir sur blanc que les discussions actuelles ne concernent pas les entreprises privées. Toute société commerciale restera libre de choisir n'importe quelle plateforme cloud, y compris AWS, Azure ou Google Cloud³. Les restrictions visent le secteur public dans trois domaines : santé, finance, judiciaire.

Ensuite le scope du paquet. Le Cloud and AI Development Act, qui en est la pièce centrale, n'est pas qu'un texte de restriction. C'est aussi un texte d'investissement, qui vise à tripler la capacité datacenter européenne sur 5 à 7 ans, à harmoniser la définition du cloud souverain et à simplifier les règles datacenters². Aucune ligne ne dit "les PME devront utiliser un cloud européen".

Enfin la dynamique réglementaire FR 2026. Le décret SecNumCloud loi SREN du 14 avril 2026 impose déjà une analyse de la chaîne de sous-traitance pour les données sensibles État¹⁴. Lisez le périmètre : État, opérateurs de services essentiels et leurs prestataires directs. Aucune provision générique pour le secteur privé concurrentiel.

D'où vient le malentendu ? Du nom "Tech Sovereignty Package". Quand la presse FR généraliste écrit "Bruxelles veut imposer le cloud souverain", le dirigeant PME entend "je dois migrer mon serveur Exchange". C'est inexact. Ce qu'il faut entendre : "l'État européen et les administrations vont devoir migrer, et ils vont demander des comptes à leurs sous-traitants". La nuance n'est pas cosmétique. Pour comprendre comment la Commission orchestre cette pression par strates, voir aussi le décryptage Digital Omnibus du 7 mai.

Elle change le calcul économique de toute décision d'infrastructure pour les 18 prochains mois. Un éditeur SaaS qui vend à des PME standards n'a aucune raison de prendre un cloud SecNumCloud à plus de 1 300 €/mois HT en ticket d'entrée¹³. Un sous-traitant qui adresse 40 % de son CA à des hôpitaux publics doit, lui, sortir sa calculette dès cette semaine.

On fait ce calcul ensemble dans la suite de l'article. Pas un débat idéologique sur la souveraineté.

Ce qui sort vraiment du texte du 3 juin (le cadre des 4 niveaux CADA)

Le texte de référence n'est pas le slogan "Tech Sovereignty Package". C'est la Cloud and AI Development Act (CADA), proposition de règlement adoptée par la Commission le 3 juin 2026 sur la base de l'article 114 TFUE². Direct effect dans les 27 États membres une fois adopté, sans transposition.

Pièce maîtresse du texte : un cadre à 4 niveaux d'assurance souveraineté, applicable aux marchés publics IT des États membres et des institutions UE. Ce vocabulaire va devenir la grammaire standard des RFP grandes administrations européennes.

Pour les esprits attentifs : le Cloud Sovereignty Framework d'avril 2026 utilisait la nomenclature SEAL-0 à SEAL-4. Le texte CADA du 3 juin reformule cette hiérarchie en Level 1 à 4. Si vous voyez encore SEAL dans la presse, c'est l'ancien framework. Sur les attributions UE en cours (les 180 M€ d'avril 2026), la nomenclature SEAL reste celle utilisée dans les contrats.

Trois choses que le texte fait, et trois choses qu'il ne fait pas.

Ce qu'il fait. Il rend obligatoires les évaluations de souveraineté pour les marchés publics IT des États membres et des institutions UE. Il cible nommément 3 catégories de données : santé, finance/comptes publics, judiciaire². Il introduit un mécanisme article 31 permettant à la Commission d'adopter des actes d'exécution étendant ces évaluations aux entreprises privées des secteurs NIS2 (banques, énergie, télécom, santé privée).

Ce qu'il ne fait pas. Il n'impose aucun "Buy European" généralisé. Il ne crée pas d'obligation cascade automatique vers tous les sous-traitants privés. Il ne sort pas les hyperscalers US du marché européen pour les workloads non sensibles. Le rapport Le Monde Informatique du 3 juin titre d'ailleurs "mesurettes"¹⁹. Le lobby cloud US, CCIA, parle à l'inverse de "fragmented discrimination across Europe in 27 different ways"¹⁵. Quand les deux extrêmes sont mécontents, c'est généralement que la Commission a calibré quelque chose de calibré pour passer les trilogues.

Calendrier législatif réel : trilogues non démarrés. Adoption finale ciblée Q4 2027. Application opérationnelle 2028-2030. Le tempo UE est lent.

Tempo FR vs tempo UE : ce qui est déjà applicable

Confusion fréquente côté PME : on parle du paquet UE en pensant qu'il faut bouger demain. C'est partiellement vrai côté français, complètement faux côté UE.

Côté UE : application en 2028-2030 selon les estimations Inside Global Tech¹⁸. Les premiers RFP intégrant Level 3 comme critère éliminatoire arriveront courant 2028.

Côté FR : le décret SecNumCloud loi SREN du 14 avril 2026 est déjà en vigueur¹⁴. Il impose SecNumCloud pour les données sensibles État et exige une analyse de la chaîne de sous-traitance. Hébergement FR insuffisant si le support, la maison-mère ou un sous-traitant exposent à un droit extra-UE (typiquement CLOUD Act ou FISA 702). Concrètement : si vous êtes sous-traitant direct d'un hôpital public ou d'un ministère et que vous renouvelez un contrat au second semestre 2026, le sujet est sur la table maintenant.

Position gouvernementale FR sur le paquet UE à J+2 (au moment où j'écris) : silence officiel. Ni Clara Chappaz (ambassadrice numérique), ni le secrétariat d'État au numérique, ni l'ANSSI, ni la CNIL, ni Bpifrance, ni Numeum, ni la CPME n'ont publié de communiqué public répercuté. Lecture probable : Paris attend le trilogue et préfère parler de sa propre dynamique (DINUM, marché Cloud III gagné par OVH/Scaleway, AMI France 2030 IA souveraine PME/ETI qui clôt précisément le 5 juin chez Bpifrance).

Et pourtant, vos clients vont vous l'opposer (les 2 mécanismes de cascade)

Le mot "cascade" dans la presse est journalistique. Il recouvre en réalité deux mécanismes distincts à ne pas confondre.

Mécanisme 1. Réglementaire, via NIS2 (article 31 CADA)

CADA prévoit dans son article 31 que la Commission peut adopter des actes d'exécution étendant les évaluations de souveraineté aux entreprises privées des secteurs NIS2. Concrètement : banques, assurances, mutuelles, énergie, télécoms, santé privée, fournisseurs critiques. Un acte d'exécution arrive plus vite qu'une révision de règlement (mois plutôt qu'années). Le calendrier précis n'est pas dans le texte du 3 juin, mais le levier existe.

Si vous tombez dans NIS2 (la liste s'est élargie en 2024), vous êtes potentiellement concerné par ce mécanisme à 12 à 24 mois.

Mécanisme 2. Contractuel, via les Level 1 à 4 dans les RFP

Indépendamment des actes d'exécution, les grands comptes régulés vont commencer à exiger Level 2 ou Level 3 comme critère éliminatoire dans leurs propres RFP fournisseurs. C'est le mécanisme classique cascade B2B qu'on a déjà vu sur RGPD puis NIS2. La lettre du donneur d'ordre arrive 12 à 18 mois après l'application côté public, jamais l'inverse⁸.

Côté FR, le signal est déjà visible. La commande publique cloud a atteint 84 millions d'euros en 2025 sur le marché Nuage public interministériel, en hausse de 62 % vs 2024. 70 % des fournisseurs sélectionnés étaient européens, 99 % côté État pur¹¹. Quand l'État applique ce ratio à ses fournisseurs, le ratio finit par s'imposer à leurs sous-traitants.

Côté grand compte régulé, le signal est encore plus net. S3NS a publié sa liste d'early adopters de PREMI3NS, son offre SecNumCloud 3.2 qualifiée le 18 décembre 2025 : Qonto, BConnect, Club Med, MGEN, Matmut, AGPM, Birdz (Veolia)⁷. Banque, mutuelle, assurance, énergie. Quand une MGEN ou une Matmut bascule ses workloads sensibles sur du SecNumCloud, son intégrateur, son éditeur SaaS et son prestataire d'analytics finissent par devoir suivre dans le prochain renouvellement de contrat.

SAP arrive sur S3NS au second semestre 2026¹⁰. Ça veut dire qu'un ERP standard de marché va exister en version SecNumCloud, ce qui supprime un argument classique contre le cloud souverain ("mes outils métier n'existent pas dessus").

Vu en mission, la pression cloud souverain ne vient jamais de l'idéologie côté PME. Elle vient toujours d'une clause RFP grand compte ou d'une lettre type donneur d'ordre. La capture d'écran admin center Copilot Flex routing données hors UE en est l'illustration la plus concrète vue récemment.

Pour mémoire : la convergence inattendue de cette semaine est que CISPE, qui représente 38 cloud providers européens, et ARTICLE 19, ONG droits humains, attaquent tous les deux le "sovereignty washing"¹⁷. Quand le lobby cloud EU et les ONG dénoncent la même chose dans la même journée, ça signale que le compromis politique sur S3NS (Thales × Google) reste contesté. Pour les PME, ça veut dire que la définition pratique du "souverain" va continuer à bouger pendant la procédure législative.

Les 3 questions à se poser avant de bouger un workload

Voici les trois questions que je pose en première réunion à tout client qui me dit "le 3 juin me concerne". Aucune n'est sur la technologie. Toutes les trois concernent les contrats commerciaux.

Question 1. Vos clients régulés ou publics représentent quelle part du CA ?

Le seuil critique observé sur mes cadrages est 30 %. Au-dessus, la pression cascade va arriver, c'est mathématique. Un client régulé représentant 35 % du CA qui passe sa propre infra en Level 2 finira par exiger que vous suiviez. Pas par méchanceté, par cohérence interne de gestion des risques.

En dessous de 30 %, vous avez une marge de manœuvre. La question devient : pouvez-vous segmenter votre activité (un environnement standard pour la majorité, un environnement souverain pour la minorité régulée), et est-ce que la complexité opérationnelle de cette segmentation est inférieure au coût d'un cloud SecNumCloud appliqué à tout ? Calcul à faire client par client, pas en moyenne.

Question 2. Quel type de données vous confient-ils ?

Trois catégories à distinguer.

• Personnelles sensibles (données de santé, scoring bancaire, informations classifiées). Risque maximum. Une violation peut déclencher une obligation de notification, et le donneur d'ordre va être tenu pour partie responsable.
• Personnelles standards (RH, CRM, marketing). Risque moyen, encadré par le RGPD. La sensibilité dépend du secteur du client.
• Opérationnelles standards (logistique, facturation, comptabilité). Risque faible. La grande majorité des PME B2B est dans cette catégorie.

Le risque corrèle avec le type de données, pas avec le volume. Une PME qui traite 200 dossiers de santé est plus exposée qu'une autre qui traite 5 millions de logs applicatifs.

Question 3. Avez-vous une clause de localisation ou de réversibilité dans vos contrats actuels ?

Sortez les 3 plus gros contrats clients. Cherchez les sections "protection des données", "localisation", "réversibilité", "subprocessors". Si elles existent, regardez la date de renouvellement. Elle détermine votre horizon d'action.

Si elles n'existent pas, c'est plutôt un bon signe : aucun client n'a contractuellement imposé de contrainte. Préparez-vous tout de même à voir ce type de clause arriver dans les 12 prochains mois sur les contrats régulés.

Trois questions, vingt minutes de travail avec votre DAF ou votre responsable juridique. Le résultat vous place dans un des 6 archétypes ci-dessous, et chaque archétype a une décision claire.

6 archétypes PME, 6 décisions claires (sans drama)

Sur la base des 30+ missions de cadrage menées ces 4 dernières années et de la lecture détaillée du texte CADA du 3 juin, voici les 6 archétypes qui capturent l'écrasante majorité des situations PME B2B. Quatre étaient déjà identifiés dans la version pré-annonce. Deux sont ajoutés à la lecture du texte définitif (A5 et A6).

Archétype A. Sous-traitant marché public direct (CA État > 30 %)

Profil type : PME logistique 80 personnes sous-traitante État, ingénierie pour secteur public, éditeur SaaS dont l'État ou un opérateur de service essentiel représente une part majoritaire du CA.

Décision. Préparer SecNumCloud 12 mois avant le prochain renouvellement de RFP. Le décret SREN du 14 avril 2026 est déjà applicable¹⁴. La doctrine "cloud de confiance" du Sénat vise explicitement l'immunité aux législations extraterritoriales pour les données sensibles de l'État¹². Ticket d'entrée publié OVHcloud Hosted Private Cloud SecNumCloud à partir de 1 312 €/mois HT, surcoût d'environ +12 % vs prix HT standard, pack implémentation minimum 2 000 € HT (chiffres OVHcloud à actualiser auprès du commercial)¹³.

Horizon : 12 mois.

Archétype B. Sous-traitant régulé NIS2 (banque, santé, énergie, télécom)

Profil type : éditeur SaaS qui vend à des mutuelles ou banques, ESN spécialisée santé, intégrateur opérateur télécom, prestataire SaaS d'un énergéticien.

Décision. Niveau Level 2 minimum côté infra critique sous 18 mois. Deux pressions parallèles : actes d'exécution NIS2 article 31 (mécanisme réglementaire) et cascade RFP (mécanisme contractuel). La cascade contractuelle est déjà observée chez S3NS (Qonto, MGEN, Matmut, Veolia)⁷. Premium souveraineté de l'ordre de +10 à +15 % vs cloud standard⁹, à provisionner dans le pricing client. Penser dual-stack : un environnement standard pour les workloads non sensibles, un environnement souverain pour ceux qui touchent aux données du client régulé. Mettre toute l'infra en souverain par défaut, c'est cramer du budget.

Horizon : 18 mois.

Archétype C. B2B grand compte non régulé

Profil type : agence de communication qui vend à des grands comptes industriels, éditeur de logiciel CRM standard, prestataire marketing.

Décision. Pas d'action immédiate. Intégrer la clause de réversibilité dans les renégociations contrats 2026. Surveiller les RFP entrants : si une clause de localisation EU apparaît, c'est le signal de bascule. AWS European Sovereign Cloud, opérationnel depuis le 14 janvier 2026 en région Brandebourg, suffit pour cocher la case dans la majorité des cas⁵ et devrait viser un Level 2 reconnaissable. Pour les administrations FR, il manque encore SecNumCloud. Pour un grand compte privé non régulé, l'isolement opérationnel EU est suffisant.

Horizon : 24 mois.

Archétype D. B2B PME pure (vendeur à des PME 10-250)

Profil type : agence comm de 25 personnes qui vend à des PME standards, cabinet d'architectes 12 personnes, éditeur SaaS dont 90 % des clients sont des PME.

Décision. Rien à faire. Aucune raison structurelle pour que ces clients exigent du cloud souverain. Le risque ici est inverse : investir dans du SecNumCloud par mimétisme et cramer 50 000 € inutiles. Ou pire, perdre 6 mois à étudier une migration qui n'apportera ni revenu supplémentaire, ni avantage commercial, ni économie.

Horizon : pas d'horizon. Stabilité.

Archétype A5. Cabinet conseil ou agence digitale en sous-traitance d'un A ou B

Profil type : agence digitale 15 personnes qui développe pour un intégrateur santé, cabinet conseil RH dont 40 % du CA passe par un consortium SaaS bancaire, agence marketing digital revendue à une mutuelle.

Décision. Exposition indirecte mais réelle. Quand votre donneur d'ordre passe sur du Level 2 ou SecNumCloud, il vous fait signer une annexe DPA et clauses de sous-traitance renforcée. Pas besoin de migrer toute votre infra, mais préparer une cellule de travail "compatible souverain" pour les missions concernées : poste de développement séparé, dépôts code chez un acteur EU, pipelines CI/CD dans une région reconnaissable Level 2. Calendrier 2027.

Horizon : 18 mois.

Archétype A6. Hébergeur intermédiaire ou MSP revendant du hyperscaler US

Profil type : ESN qui revend AWS ou Azure à ses clients, MSP qui exploite des workloads en Microsoft 365 ou Google Workspace, hébergeur intermédiaire qui empile son service au-dessus d'un cloud US.

Décision. Exposition forte si présent dans la chaîne d'un titulaire Level 3 ou d'un acteur SecNumCloud. Deux options. Soit basculer l'offre régulée vers un partenaire OVHcloud, Scaleway, Outscale ou Numspot. Soit accepter de perdre la part régulée du portefeuille. Renégocier les contrats fournisseurs upstream avant que les clients downstream ne posent la question. Calendrier 2027-2028.

Horizon : 18 à 24 mois.

Tableau récap

Pour la majorité des PME B2B françaises, l'archétype est D ou C. La panique du 3 juin est mal placée.

La grille complète (3 questions + 6 archétypes + checklist 4 étapes) est téléchargeable en PDF pour partage interne avec votre DAF, votre direction commerciale ou votre comex.

Comparatif rapide des 4 acteurs SecNumCloud / Level européens

Pour ceux qui sont déjà sur les archétypes A, B, A5 ou A6 et qui veulent un premier benchmark.

À retenir : pour les exigences FR État strictes, OVHcloud et S3NS sont les options qualifiées SecNumCloud opérationnelles. Pour les exigences UE à venir via CADA, les 4 acteurs sont éligibles à partir du Level 2.

Si vous êtes archétype A, B, A5 ou A6, par où commencer (sans casser ce qui marche)

Quatre étapes. Pas un projet à 200 000 €, une démarche pragmatique pour gagner 6 mois de visibilité.

Étape 1 – Audit clause souveraineté de vos 3 plus gros contrats clients. Effort 2 jours de travail effectif, à boucler avant juillet 2026 (le décret SREN est déjà applicable côté FR). Sortez les contrats, cherchez les sections protection des données, localisation, sous-traitance, réversibilité. Notez la date de renouvellement. C'est votre horizon réel d'action, pas le calendrier UE.

Étape 2 – Choisir le périmètre cloud souverain. Pas tout, juste les workloads qui touchent les données du client régulé. La grande erreur des PME en panique est de migrer toute leur stack. Inutile et cher. Approche pragmatique en lignes parallèles : la production standard reste où elle est, la zone de traitement régulé bascule. Pour l'outillage côté collaboration et stockage, voir aussi alternatives souveraines à Microsoft 365 pour PME.

Étape 3 – Challenger vos prestataires actuels. Microsoft propose Bleu (toujours en attente de qualification SecNumCloud), AWS propose European Sovereign Cloud (région Brandebourg opérationnelle)⁵, Google propose S3NS via Thales (qualifié SecNumCloud 3.2 le 18 décembre 2025)⁷. Demandez à votre commercial une proposition chiffrée et un calendrier. C'est gratuit, ça vous donne un benchmark, et ça les pousse à clarifier leur roadmap souveraineté Level 2 ou Level 3.

Étape 4 – Prévoir 6 à 9 mois de migration sur les workloads concernés, pas 18. Plan de réversibilité dès le contrat initial avec le nouveau prestataire. Ne signez pas un contrat 3 ans sans clause de sortie documentée. Effort pilote : 1 à 2 jours par tranche de 10 utilisateurs sur la partie technique, plus 1 jour par semaine pendant 4 semaines sur l'accompagnement. Délai calendaire global 6 à 9 mois selon la complexité d'intégration.

Honnêteté terrain. Je n'ai pas encore déployé sur AWS European Sovereign Cloud. Trop récent. Ma première migration sur S3NS chez un client probable est T3 2026. Tout ce qui précède est issu de cadrages réels et de retours d'expérience clients, pas de déploiements personnels sur ces nouvelles plateformes. Quand ce sera fait, je publierai le retour terrain. La promesse pour aujourd'hui est limitée à l'analyse et au cadrage commercial, pas au playbook de migration sur les acteurs Level 3.

En résumé

Le Tech Sovereignty Package du 3 juin ne crée aucune obligation directe pour les entreprises privées. La Commission le confirme, le scope FR le confirme, le scope du Cloud and AI Development Act le confirme.

La cascade B2B, elle, est documentée sur deux mécanismes parallèles : actes d'exécution NIS2 article 31 (réglementaire) et clauses Level 1 à 4 dans les RFP (contractuel). 12 à 18 mois après application côté public, environ 30 à 40 % des PME B2B (sous-traitants régulés, marché public direct, sous-traitants indirects via A5 et A6) vont voir le vocabulaire Level apparaître dans leurs appels d'offres⁸. Côté FR, le décret SREN du 14 avril 2026 accélère le tempo¹⁴. Pour les 60 à 70 % restantes, le bon réflexe est la stabilité.

Si vous lisez ça et que vous tombez sur un des archétypes A, B, A5 ou A6, le bon réflexe n'est pas de signer avec un acteur souverain en panique. C'est de faire l'audit clause de souveraineté de vos 3 plus gros contrats. 2 jours de travail, 6 mois de visibilité gagnés.

Sur ce sujet précis, je propose deux interventions calibrées.

Cadrage souveraineté sur votre cas réel. J'audite vos clauses, votre exposition cascade et vos contrats clés. En sortie : votre archétype documenté, la décision recommandée, le périmètre cloud souverain pertinent (s'il y en a un), et un calendrier crédible. Format court, livrable écrit, pas de PowerPoint à 80 slides. Compter 1 à 2 semaines.

Pilotage de la bascule. De l'audit aux 3 mois de stabilisation post-migration, je mène le projet à vos côtés. Choix et coordination du prestataire SecNumCloud ou Level 2/3, planning, communication interne, clauses de réversibilité, gestion des incidents. Indépendant des éditeurs, je suis du côté du client.

Le point d'entrée le plus simple reste un diagnostic flash de 30 minutes.

Réserver un diagnostic flash (30 min, sans engagement)

Pour ceux que ça intéresse : la prochaine étape de la série cloud-souverain-PME est un retour terrain sur Dokploy v0.29 (PaaS self-hosted) comme alternative pragmatique au cloud souverain pour les workloads non-régulés. À paraître dans les semaines qui viennent.