ERP hébergé en France : souveraineté des données

La question de l’hébergement d’un ERP industriel ne se limite plus à un arbitrage technique entre cloud et on-premise. Pour un site de production français, elle touche désormais la conformité réglementaire, la continuité d’activité et la maîtrise juridique des données de fabrication. Cet article détaille ce que recouvre concrètement la souveraineté des données pour un ERP industriel, et les points à vérifier avant de signer un contrat d’hébergement.

Ce que recouvre la souveraineté des données pour un ERP

La souveraineté des données désigne la capacité à savoir précisément où sont stockées les données de l’entreprise, sous quel droit elles sont juridiquement soumises, et qui peut y accéder — y compris en cas de réquisition par une autorité étrangère. Pour un ERP industriel, ces données incluent les nomenclatures de fabrication, les plannings de production, les données de coûts et, de plus en plus, les flux remontés par les capteurs IoT connectés à la GMAO (voir notre article sur le connecteur GMAO-IoT). Une localisation physique en France ou en Union européenne ne suffit pas à elle seule à garantir la souveraineté si l’éditeur de la solution reste soumis à un droit extraterritorial, un point souvent mal compris dans les négociations contractuelles.

Pourquoi ce sujet devient central pour l’industrie française

Plusieurs facteurs poussent les industriels à examiner ce critère plus attentivement qu’il y a quelques années : la sensibilité croissante des données de production (propriété intellectuelle, secrets de fabrication), les exigences de certains donneurs d’ordre ou marchés publics qui imposent des garanties d’hébergement national, et la volonté de sécuriser la continuité d’activité en cas de tension géopolitique affectant un prestataire étranger. Pour une PME sous-traitante d’un grand groupe industriel ou d’un acteur de la défense, cette exigence peut même devenir une condition contractuelle imposée par le client final.

Les options d’hébergement à distinguer

Hébergement on-premise en France

L’ERP tourne sur des serveurs physiquement détenus et gérés par l’entreprise elle-même, dans ses propres locaux ou un datacenter loué en France. C’est l’option offrant la maîtrise la plus directe, au prix d’une charge d’exploitation et de maintenance interne plus lourde.

Cloud souverain ou cloud de confiance

Certains hébergeurs français ou européens proposent des offres qualifiées de “cloud souverain”, combinant localisation des données en France et droit applicable français ou européen. La vigilance porte sur la réalité de cette souveraineté : un hébergeur français peut techniquement stocker les données en France tout en s’appuyant sur une technologie sous licence d’un éditeur soumis à un droit extraterritorial — un point à faire préciser explicitement dans le contrat.

Cloud international classique

Les grands hyperscalers proposent des régions européennes qui répondent aux exigences de localisation géographique, mais restent, selon leur nationalité d’origine, potentiellement soumis à des législations d’accès aux données extraterritoriales. Ce point doit être évalué au regard de la sensibilité réelle des données hébergées, qui varie selon le secteur et le type de contrat en jeu pour l’entreprise.

Ce qu’il faut vérifier contractuellement avant de signer

Au-delà de la simple mention “hébergé en France” en communication commerciale, plusieurs clauses méritent une lecture attentive : la localisation précise des datacenters (adresse, pas seulement le pays), le droit applicable au contrat d’hébergement, les modalités de réversibilité en cas de changement de prestataire, les certifications de sécurité obtenues (HDS pour les données de santé le cas échéant, ISO 27001 plus généralement), et les engagements de notification en cas d’incident ou de demande d’accès par une autorité tierce. Ces clauses sont rarement mises en avant spontanément par les commerciaux et méritent d’être demandées explicitement, si besoin avec l’appui d’un conseil juridique spécialisé.

L’impact sur le choix de l’éditeur ERP

Les éditeurs ERP présents sur le marché français n’offrent pas tous le même niveau de transparence ni les mêmes options d’hébergement souverain. Ce critère s’ajoute aux critères fonctionnels classiques (couverture métier, coût, facilité de déploiement) sans les remplacer. Voir notre comparatif ERP Sage vs SAP pour une analyse plus large des critères de choix, incluant les options d’hébergement disponibles chez chaque éditeur.

Les secteurs les plus concernés par cette exigence

Si la question de la souveraineté des données se pose potentiellement pour tout industriel, elle devient une exigence contractuelle explicite dans certains secteurs : la sous-traitance de défense et d’aéronautique, où les donneurs d’ordre imposent fréquemment des clauses d’hébergement national ou européen strict ; l’agroalimentaire et la pharmacie, soumis à des exigences de traçabilité renforcées ; et plus largement les entreprises répondant à des marchés publics, où les critères de souveraineté numérique pèsent de plus en plus dans les grilles d’évaluation des appels d’offres. Pour ces profils, le sujet n’est plus une option de confort mais une condition d’accès au marché.

Check-list avant signature d’un contrat d’hébergement ERP

Avant de signer, une vérification structurée limite le risque de découvrir tardivement un écart entre la promesse commerciale et la réalité contractuelle : demander l’adresse précise du ou des datacenters, pas seulement le pays ; obtenir par écrit le droit applicable au contrat d’hébergement et non uniquement au contrat de licence logicielle ; vérifier les certifications de sécurité effectivement obtenues et leur date de dernier audit ; demander les modalités précises de réversibilité (délai, format d’export des données, coût) en cas de changement de prestataire ; et clarifier la chaîne de sous-traitance technique de l’hébergeur lui-même, qui peut s’appuyer sur une infrastructure tierce non mentionnée en première lecture du contrat.

Questions fréquentes

Un ERP hébergé en France est-il automatiquement plus sûr ?

Pas automatiquement : la localisation géographique est une condition nécessaire mais pas suffisante. Le droit applicable, les certifications de sécurité obtenues et la politique de gestion des incidents de l’hébergeur pèsent au moins autant que la seule localisation physique des serveurs.

Le cloud souverain coûte-t-il plus cher qu’un cloud international classique ?

Le positionnement tarifaire varie selon les offres et n’est pas systématiquement plus élevé, mais le marché du cloud souverain reste globalement moins mature et moins concurrentiel que celui des grands hyperscalers internationaux, ce qui peut se traduire par un choix d’options plus restreint à budget équivalent. Une comparaison de devis au cas par cas reste nécessaire.

Peut-on migrer un ERP existant vers un hébergement souverain sans tout reconstruire ?

Cela dépend de l’architecture technique de l’ERP en place. Une migration d’infrastructure (changement d’hébergeur) est généralement plus simple qu’une migration d’éditeur, à condition que le contrat de licence actuel n’impose pas un hébergement spécifique chez l’éditeur lui-même — un point à vérifier avant tout projet de migration.

La certification HDS s’applique-t-elle à un ERP industriel classique ?

La certification Hébergeur de Données de Santé concerne spécifiquement les données médicales et ne s’applique pas à un ERP industriel standard. Elle peut néanmoins devenir pertinente pour un site industriel du secteur pharmaceutique ou dispositif médical qui traiterait, via son ERP, des données entrant dans ce périmètre réglementaire précis — un point à faire trancher avec un conseil juridique spécialisé en cas de doute sur le périmètre exact des données traitées.

Anticiper l’évolution réglementaire

Le cadre réglementaire autour de la souveraineté des données évolue régulièrement, au niveau français comme européen. Une clause contractuelle rigide, figée sur l’état du droit au moment de la signature, peut devenir inadaptée quelques années plus tard. Prévoir une clause de revoyure contractuelle, permettant d’ajuster les engagements d’hébergement en cas d’évolution réglementaire significative, est une précaution simple à négocier qui évite une renégociation complète du contrat en cours d’exécution.