Pourquoi la souveraineté numérique est-elle devenue un critère de choix en 2026 ?
La dépendance est chiffrée. Selon l'étude Asterès pour le Cigref publiée en avril 2025, 83 % des dépenses européennes en logiciels et services cloud vont à des fournisseurs américains. Cela représente 264 milliards d'euros par an, dont environ 54 milliards pour la France.
L'étude chiffre aussi le gain possible. Réorienter 5 % de ces dépenses vers des fournisseurs européens créerait 178 000 emplois et 12 milliards d'euros de valeur ajoutée en Europe.
L'État a commencé. En 2025, ses commandes sur le marché cloud interministériel ont progressé de 62 % pour atteindre 84 millions d'euros. 70 % de ce montant est allé à des fournisseurs européens.
« La souveraineté commence par la lucidité. » Anne Le Hénanff, ministre chargée de l'Intelligence artificielle et du Numérique, au lancement de l'Observatoire le 26 janvier 2026
En 2026, l'État est passé du constat à l'action, en trois étapes
| Date | Décision | Ce qu'elle prévoit |
|---|---|---|
| 26 janvier 2026 | Lancement de l'Observatoire de la souveraineté numérique | Mesurer les dépendances numériques de la France pour mieux les réduire. Un questionnaire national a été adressé aux acteurs publics et privés. |
| 6 février 2026 | Doctrine d'achats publics numériques (circulaire du Premier ministre) | La souveraineté devient un critère d'achat de l'État. Elle recouvre l'immunité au droit extraterritorial, la capacité à remplacer un composant et la maîtrise des technologies clés. |
| 8 avril 2026 | Séminaire interministériel de la DINUM | Objectif : réduire les dépendances extra-européennes de l'État. Chaque ministère, opérateurs inclus, formalise son plan de réduction d'ici l'automne 2026. |
Ce que cela change pour une DSI publique
Les administrations de l'État et leurs opérateurs ont un calendrier. Leur plan de réduction couvre notamment les bases de données, la virtualisation et les outils collaboratifs. Le site web et l'intranet reposent sur ces briques.
La doctrine d'achats couvre les achats numériques de l'État. Un CMS, son hébergement et sa maintenance en font partie.
Ce que cela change pour une DSI privée
Le risque juridique : Le CLOUD Act, loi américaine de 2018, permet aux autorités des États-Unis d'accéder à des données détenues par un fournisseur soumis au droit américain. Y compris quand ces données sont hébergées en France.
Les exigences des clients publics : Une entreprise qui répond à des marchés de l'État peut avoir à justifier la souveraineté des solutions qu'elle propose.
La continuité d'activité : Un service soumis à un éditeur unique peut changer de prix, de conditions ou disparaître. La dépendance est aussi un risque opérationnel.
Comment Drupal répond-il aux exigences de souveraineté ?
Drupal ne rend pas un site souverain à lui seul. Il garantit ce qui dépend du logiciel : personne ne peut le confisquer, et le site peut changer d'hébergeur ou de prestataire sans être reconstruit. Le reste dépend de l'hébergeur et de l'intégrateur.
Un logiciel libre, recommandé par l'État
Drupal est publié sous licence GPL. Son code source est ouvert et auditable. Chacun peut l'utiliser, le modifier et le faire maintenir par le prestataire de son choix.
Drupal figure dans le Socle interministériel de logiciels libres, le catalogue tenu par la DINUM. C'est la liste des logiciels libres recommandés pour l'administration française.
Les institutions européennes l'ont adopté à grande échelle. La plateforme web de la Commission européenne repose sur une usine à sites Drupal : 770 sites, 44 services, 700 millions de visites par an, selon ses responsables lors de Drupal4Gov EU, en janvier 2026.
Une gouvernance sans éditeur propriétaire
Aucun éditeur ne vend de licence Drupal. Le projet est porté par une communauté internationale de développeurs et d'entreprises.
La Drupal Association soutient le projet. C'est une association à but non lucratif de droit américain, basée à Portland. Elle gère l'infrastructure de drupal.org et organise les événements de la communauté.
La licence GPL protège l'utilisateur. Le code publié ne peut pas être refermé. Une organisation peut donc exploiter Drupal sans aucun contrat avec la Drupal Association.
« L'open source est la voie la plus crédible vers la souveraineté numérique. » Dries Buytaert, créateur de Drupal, dans Funding Open Source for Digital Sovereignty, janvier 2026
Dries Buytaert précise ce point sur un cas concret. Les clients Drupal hébergés chez un fournisseur américain restent exposés au droit américain. Mais le code étant libre, ils peuvent migrer vers un hébergeur européen, s'auto-héberger ou reprendre le code. C'est la différence avec un logiciel propriétaire, même européen.
Dans son échelle de souveraineté logicielle, il classe en tête l'open source sous licence copyleft. C'est le cas de la licence GPL de Drupal : tout code dérivé doit rester libre.
Un hébergement au choix
Drupal n'impose aucun cloud. Il fonctionne avec PHP et une base de données standard comme MySQL, MariaDB ou PostgreSQL. Il s'installe chez n'importe quel hébergeur, y compris une offre qualifiée SecNumCloud.
Une réversibilité complète
Les contenus sont stockés dans une base de données que l'organisation contrôle. Ils s'exportent dans des formats ouverts. Le code développé pour le projet peut être repris par un autre prestataire, à condition que le contrat en prévoie la propriété et la documentation.
Un écosystème français établi
La France compte des intégrateurs spécialisés, des hébergeurs qualifiés et une association, Drupal France. Une organisation peut confier toute la chaîne à des acteurs français.
Quels critères de souveraineté appliquer à un CMS ?
Un CMS n'est pas souverain par nature. Sa souveraineté dépend de cinq maillons. Chacun se vérifie par une question simple.
| Critère | Question à poser | Ce qu'on vérifie |
|---|---|---|
| Origine et gouvernance du logiciel | Qui décide de l'évolution du produit ? | Licence, structure qui porte le projet, possibilité de reprendre le code |
| Hébergement et localisation des données | Qui peut accéder aux données, et sous quel droit ? | Pays des serveurs et des sauvegardes, nationalité de l'hébergeur, qualification SecNumCloud |
| Propriété du code et réversibilité | Peut-on changer de prestataire sans tout refaire ? | Propriété du code développé, formats d'export, documentation |
| Dépendances technologiques | Quels services tiers le site appelle-t-il ? | Polices, CDN, mesure d'audience, cartes, vidéos, API |
| Chaîne de sous-traitance | Qui développe et maintient la plateforme ? | Siège et capital de l'intégrateur, localisation des équipes, sous-traitance |
Ces cinq critères recoupent les trois notions retenues par l'État dans sa doctrine d'achats. L'hébergement et la sous-traitance relèvent de l'immunité au droit extraterritorial. La réversibilité et les dépendances relèvent de la capacité à remplacer un composant. La gouvernance du logiciel relève de la maîtrise des technologies.
Comment choisir un hébergement souverain pour Drupal ?
L'hébergement est le maillon le plus exposé au droit extraterritorial. Un serveur en France ne suffit pas. Si l'hébergeur relève du droit américain, le CLOUD Act s'applique.
La qualification SecNumCloud
SecNumCloud est la qualification délivrée par l'ANSSI aux offres cloud de confiance. Son usage est préconisé pour les données sensibles. Le référentiel en vigueur est la version 3.2. Il ajoute aux exigences de sécurité une exigence d'immunité aux lois extraterritoriales.
La qualification porte sur une offre, pas sur une entreprise. Un même hébergeur peut proposer des offres qualifiées et d'autres qui ne le sont pas. Parmi les fournisseurs qualifiés figurent notamment 3DS Outscale, OVHcloud, Cloud Temple et Worldline. La liste officielle de l'ANSSI fait foi. Elle évolue régulièrement.
Les points à vérifier avant de choisir
- Localisation : pays des serveurs, mais aussi des sauvegardes et des équipes d'administration.
- Nationalité et capital : siège social, actionnaires, liens avec un groupe extra-européen.
- Périmètre de la qualification : offre exacte qualifiée, et non le nom du fournisseur.
- Conformité RGPD : contrat de sous-traitance (DPA) et liste des sous-traitants ultérieurs. Voir notre guide Le RGPD pour les nuls.
- Réversibilité : conditions de récupération des données en fin de contrat.
SecNumCloud, pour qui ?
SecNumCloud vise les données sensibles et les systèmes critiques. Pour un site vitrine, un hébergeur de droit européen sans lien capitalistique avec un groupe américain réduit déjà l'exposition au CLOUD Act. Le niveau d'exigence se décide selon la nature des données traitées par la plateforme.
Comment éviter de dépendre de son prestataire ?
Un logiciel libre ne protège pas d'un enfermement chez son intégrateur. Un code sur mesure non documenté, des accès conservés par le prestataire ou un hébergement à son nom rendent tout changement coûteux. La réversibilité se prévoit dès le contrat.
L'hébergeur ne règle pas non plus ce point. L'ANSSI le précise : la qualification SecNumCloud ne préjuge pas du niveau de sécurité des services hébergés, comme un site web. Celui-ci se vérifie par un audit de sécurité du site lui-même.
Les questions à poser à votre intégrateur
- Propriété du code : le code développé vous appartient-il, et est-il documenté ?
- Accès : qui détient les accès à l'hébergement, au nom de domaine et au dépôt de code ?
- Fin de contrat : quelles conditions de transfert vers un autre prestataire ?
- Hébergement : avec quels hébergeurs travaille-t-il, et sur quelles offres ?
- Identité et équipes : où sont son siège, son capital et les personnes qui ont accès à la plateforme ?
- Sous-traitance : le développement est-il fait en interne ou confié à un tiers ?
L'approche de Parker+Parker
Parker+Parker est un cabinet d'expert Drupal. Depuis 2003, elle concentre son activité sur une seule technologie, Drupal : conseil, conception, développement, accessibilité et maintenance. L'agence contribue au projet Drupal sur drupal.org.
Avant toute migration ou réduction de dépendances, elle réalise un audit technique du site Drupal. Elle reprend aussi des sites Drupal développés par d'autres prestataires, ce qui suppose un code réversible et documenté.
Comment mesurer et documenter la souveraineté de votre plateforme Drupal ?
Un site Drupal peut être libre et bien hébergé, et appeler des services américains à chaque page. La mesure commence par l'inventaire de ces appels.
Les dépendances les plus fréquentes
| Dépendance courante | Ce qu'elle transmet | Piste de remplacement |
|---|---|---|
| Polices chargées depuis un service externe | Adresse IP des visiteurs | Polices hébergées sur le serveur du site |
| CDN ou bibliothèques JavaScript externes | Adresse IP, pages consultées | Fichiers servis par le site ou CDN européen |
| Mesure d'audience d'un éditeur américain | Comportement de navigation | Outil auto-hébergé comme Matomo, présent dans le SILL |
| Cartes intégrées | Adresse IP, localisation consultée | Cartes OpenStreetMap |
| Vidéos intégrées | Adresse IP, cookies | Hébergement vidéo européen ou auto-hébergé |
| Captcha externe | Données de navigation | Modules Drupal anti-spam sans appel externe, comme Honeypot ou Antibot |
| API d'intelligence artificielle | Contenus envoyés pour traitement | Modèle hébergé en Europe |
Une démarche en trois étapes
Inventorier : Modules contribués, services tiers, API, outils SaaS connectés au site.
Qualifier : Pour chaque dépendance, le pays du fournisseur, les données transmises et l'existence d'une alternative.
Prioriser : Traiter d'abord ce qui touche des données personnelles ou sensibles.
Drupal est-il un logiciel souverain ?
Drupal est un logiciel libre sous licence GPL, sans éditeur propriétaire. Il figure dans le Socle interministériel de logiciels libres. La souveraineté de la plateforme dépend aussi de son hébergeur, de son intégrateur et des services tiers qu'elle appelle.
Un site Drupal hébergé chez un cloud américain est-il souverain ?
Pas totalement. Les données restent exposées au CLOUD Act, même stockées en Europe. Le logiciel, lui, reste libre : le site peut être déplacé vers un hébergeur européen sans changer de CMS. Pour des données sensibles, visez une offre qualifiée SecNumCloud.
Faut-il déclarer sa plateforme à l'Observatoire de la souveraineté numérique ?
Non. L'Observatoire mesure les dépendances de la France. Il a interrogé les acteurs publics et privés par questionnaire en 2026. Un registre des dépendances à jour permet de répondre à ce type de consultation.
Peut-on migrer un site Drupal hébergé hors UE vers un hébergement souverain sans refonte ?
Dans la plupart des cas, oui. Drupal ne dépend d'aucun cloud. La migration consiste à transférer le code, la base de données et les fichiers. Les services tiers appelés par le site doivent ensuite être traités un par un.
Peut-on changer de prestataire Drupal sans refaire son site ?
Oui, si le code développé appartient à l'organisation, s'il est documenté et si elle détient les accès à l'hébergement et au dépôt de code. Ces trois points se prévoient dans le contrat, avant le début du projet.
Un hébergement SecNumCloud coûte-t-il plus cher qu'un cloud américain ?
Les offres qualifiées sont généralement plus chères. L'écart varie selon le fournisseur, l'offre et le volume. Il se compare au coût d'un risque juridique ou d'une dépendance à un fournisseur unique.
Auditer la souveraineté de votre plateforme Drupal
Votre DSI doit documenter ses dépendances ou préparer une migration ? Parker+Parker réalise l'inventaire des dépendances de votre site Drupal et vous propose un plan de réduction.
