Le débat « cloud ou on-premise » court depuis 2010. Dans les secteurs ordinaires, le cloud l’a définitivement emporté — en 2026, vous auriez du mal à trouver une agence marketing ou un e-commerce qui exploite ses propres serveurs. Dans les secteurs régulés (banques, assureurs, hôpitaux, marchés publics), la question reste cependant vive et a ses bonnes raisons. Dans cet article, nous parcourons l’état actuel de la réglementation, faisons une comparaison TCO et montrons quand le self-host vaut réellement le coup, quand le cloud, et quand l’hybride.
Contexte réglementaire — DORA, NIS2, RGPD et règles sectorielles
L’année 2026 a apporté à l’espace européen une consolidation de la réglementation. Aux banques et assureurs s’applique DORA (Digital Operational Resilience Act), aux infrastructures critiques NIS2, à toute l’UE l’écosystème RGPD et l’AI Act. Pour la santé s’ajoutent les règles locales du Ministère de la Santé et les directives sectorielles de l’ACPR pour la fintech.
DORA, depuis janvier 2025, exige des institutions financières un contrôle complet de la chaîne d’approvisionnement ICT. Chaque fournisseur cloud qui traite des « fonctions importantes » doit avoir un contrat explicite avec rights-to-audit, plan de stratégie de sortie et résilience démontrée face aux pannes. L’ACPR vérifie régulièrement si la banque peut démontrer en temps réel où se trouvent ses données, qui y a eu accès et comment se déroulerait une perte de 48 heures du fournisseur.
NIS2, depuis octobre 2024, étend les obligations aux établissements de santé importants, distributeurs d’eau, énergie et administration publique. La clé est la réponse aux incidents en 24 heures, le signalement à 72 heures et l’obligation de MFA pour les comptes administrateurs.
RGPD traite la protection des données personnelles. Pour les données de santé (art. 9) et la biométrie, des règles plus strictes s’appliquent, dont l’obligation d’AIPD (Analyse d’Impact relative à la Protection des Données) avant le déploiement.
Astuce : Avant de commencer à choisir entre cloud et self-host, demandez à votre service conformité ou à votre juriste une liste écrite des exigences réglementaires que doit remplir votre solution IT. Sans cette liste, vous décidez à l’instinct, pas sur les faits.
Cloud — ce que cela signifie réellement dans un environnement régulé
Cloud, dans le langage courant, signifie « quelque part sur Internet ». Dans le monde régulé, c’est plus subtil. Nous distinguons quatre variantes :
Public cloud — AWS, Azure, Google Cloud. Votre application tourne à côté de mille autres. Pour les secteurs régulés, acceptable uniquement avec des régions UE et en respectant toutes les SCC (Standard Contractual Clauses), les solutions face au CLOUD Act et idéalement via des variantes « sovereign cloud » (Azure EU Data Boundary, AWS European Sovereign Cloud).
Private cloud — infrastructure dédiée chez un fournisseur cloud, mais pour vous seul. Plus cher, mais plein contrôle de la segmentation réseau. Beaucoup plus facile à défendre devant le régulateur.
Sovereign cloud — cloud sous juridiction UE/FR, sans possibilité d’accès des autorités étrangères (CLOUD Act immune). En France disponible par exemple via OVHcloud Sovereign Cloud, S3NS (Thales/Google) ou Bleu (Orange/Capgemini).
SaaS au niveau application — Modulario, Salesforce Financial Cloud, Epic (santé). Le fournisseur s’occupe de l’infra et de l’application. Le plus simple à adopter, mais nécessite une vendor due diligence soigneuse.
Pour une banque et un établissement de santé en 2026, le public cloud est admissible — mais uniquement via une variante sovereign ou régionale européenne avec des SCC RGPD claires. BNP, Société Générale, Crédit Agricole et Crédit Mutuel ont aujourd’hui des parties d’infrastructure dans Azure UE, mais jamais dans une région américaine.
Self-host — contrôle au prix de la complexité
Self-host (on-premise) signifie que vous exploitez l’infrastructure vous-même — vos serveurs, votre datacenter, votre équipe, votre risque. En 2026, le self-host reste pertinent pour trois scénarios :
- Règles sectorielles strictes. Par exemple, certaines institutions militaires ou stratégiquement importantes où le régulateur exige explicitement un déploiement air-gapped.
- Volumes de données énormes. Si vous générez quotidiennement 50 To de logs, le cloud vous ruinera financièrement ; un SAN/NAS propre a un sens économique.
- Systèmes legacy spécialisés. Core banking mainframe existants, qui ne sont pas proposés en cloud et dont la migration coûterait des centaines de millions.
En dehors de ces trois scénarios, le self-host en 2026 est financièrement et opérationnellement difficile à défendre. Raisons :
- Pénurie chronique de SRE et de spécialistes sécurité. Un sysadmin senior avec certifications et 5 ans d’expérience coûte en France 5 500 EUR par mois bruts, et il y en a peu. Un fournisseur cloud en a des milliers.
- Exploitation 24/7. Une application bancaire doit tourner 99,99 % du temps. Le respecter avec sa propre équipe demande au minimum 4 personnes en rotation — annuellement 200 000 EUR de salaires.
- Patching et correctifs zero-day. En 2025, 45 000 CVE ont été publiés. Le temps de réaction en self-host est de plusieurs jours, chez un bon fournisseur cloud quelques heures.
Astuce : Le self-host qui « semble peu cher » cache généralement trois lignes — refroidissement, connexion redondante et spécialistes sécurité en rotation 24/7. Si votre modèle TCO ne contient pas ces trois lignes, la comparaison avec le cloud n’est pas équitable.
Comparaison TCO — chiffres réels de 2025
Nous avons fait un modèle TCO sur 5 ans pour une banque régionale moyenne (capacité 50 000 clients, 250 utilisateurs internes, 1 To de données par mois, exigence 99,99 % uptime).
Scénario A — self-host on-premise
| Poste | An 1 | Années suivantes |
|---|---|---|
| Matériel (serveurs, SAN, réseau) | 180 000 EUR | Renouvellement 20 % par an |
| Licences OS, base de données, sauvegardes | 45 000 EUR | 35 000 EUR par an |
| Datacenter + refroidissement | 24 000 EUR | 24 000 EUR par an |
| Personnel (4 personnes, 24/7) | 220 000 EUR | 230 000 EUR par an |
| Audits de sécurité | 30 000 EUR | 20 000 EUR par an |
| Certifications (ISO 27001) | 50 000 EUR | 15 000 EUR par an |
| Total an 1 | 549 000 EUR | |
| Moyenne annuelle (5 ans) | ~360 000 EUR |
Scénario B — cloud souverain UE avec application SaaS
| Poste | An 1 | Années suivantes |
|---|---|---|
| Licences SaaS (250 utilisateurs) | 90 000 EUR | 95 000 EUR par an |
| Infra cloud supplémentaire (storage, backup) | 24 000 EUR | 26 000 EUR par an |
| Intégrations et développement propre | 60 000 EUR | 30 000 EUR par an |
| Personnel (2 personnes, administration) | 130 000 EUR | 135 000 EUR par an |
| Audits de sécurité | 20 000 EUR | 15 000 EUR par an |
| Total an 1 | 324 000 EUR | |
| Moyenne annuelle (5 ans) | ~215 000 EUR |
Économie du cloud par rapport au self-host : ~40 % sur 5 ans, à condition de choisir une variante UE souveraine avec conformité complète.
Les chiffres valent pour une banque moyenne. Pour une micro-fintech de 5 collaborateurs, le cloud est avantageux 10:1. Pour une grande banque mondiale avec son propre DC et une équipe déjà en place, le self-host peut être plus avantageux de 10-15 %.
Data residency et souveraineté — la question la plus importante
Où se trouvent physiquement vos données ? Voici la question qu’une banque et un établissement de santé doivent se poser par écrit avant chaque contrat. En France, on a trois niveaux :
- Données en France — idéal pour les systèmes critiques de l’administration publique et de la santé. Fournisseurs : OVHcloud, Outscale (Dassault Systèmes), S3NS, Bleu, certains datacenters régionaux.
- Données en UE — acceptable pour les banques, si le fournisseur offre une garantie de data residency et CLOUD Act immune. Fournisseurs : Azure EU Data Boundary, AWS Frankfurt/Dublin avec European Sovereign Cloud, OVHcloud.
- Données hors UE — admissibles uniquement pour des fonctions non critiques avec anonymisation complète et Standard Contractual Clauses.
L’infrastructure Modulario est principalement hébergée dans Azure Europe West (Amsterdam) avec une réplique de secours dans Azure Europe North (Dublin), les deux sous EU Data Boundary. Pour les clients de secteurs régulés, nous pouvons aussi proposer un déploiement en cloud souverain FR.
Santé — spécificités à ne pas négliger
Dans la santé, le cloud a deux barrières principales : un scepticisme historique et des règles locales concrètes. Le secteur de la santé exige :
- Chiffrement AES-256 au repos comme en transit.
- Audit trail end-to-end — chaque consultation d’un dossier de santé doit être enregistrée : par qui, quand et pour quel motif.
- Intégration avec l’Assurance Maladie (CPAM, mutuelles) via les interfaces normalisées.
- Authentification professionnelle (carte CPS) pour la connexion.
Les SaaS modernes pour la santé (systèmes d’information hospitaliers, logiciels d’ambulatoire) en 2026 fournissent toutes ces exigences out-of-the-box. Le self-host nécessite un fournisseur qui comprend les spécificités, ou une équipe interne — ce qui n’est pas réaliste pour la capacité d’établissements plus petits.
Astuce : Lors du choix d’un SaaS pour un cabinet ou une polyclinique, ne vous fiez pas qu’aux discours marketing. Demandez la documentation du dernier test d’intrusion et une copie de l’AIPD. Si le fournisseur ne les a pas, c’est un signal d’alerte.
Secteur financier — DORA en pratique
Le secteur financier doit, depuis janvier 2025, respecter DORA — et le fournisseur cloud y est lié par un contrat contrôlé par l’ACPR. Minimum que doit contenir le contrat :
- Rights to audit — la banque a le droit de réaliser à tout moment un audit chez le fournisseur (typiquement via un tiers comme KPMG ou PwC).
- Exit strategy — plan détaillé pour que la banque quitte le fournisseur en 90 jours sans perte de données.
- Incident notification — le fournisseur notifie la banque dans les 2 heures d’un incident grave.
- Data location guarantee — les données restent dans des régions précises.
- Sub-contractor transparency — la banque voit la chaîne de sous-traitants et peut opposer un veto.
Les fournisseurs cloud incapables de fournir cela sont inacceptables pour une banque. Modulario, AWS UE, Azure UE et certains fournisseurs locaux satisfont à ces exigences.
Scénario hybride — la réponse la plus fréquente
En pratique, la majorité des banques et établissements de santé finissent en hybride. Les systèmes critiques de cœur (core banking, dossier de santé) en cloud souverain ou on-premise, les autres systèmes (e-mail, ERP, RH, marketing) en cloud public avec data residency UE.
Pour une PME fintech, le cloud public UE est généralement avantageux dès le premier jour. Pour une banque moyenne, l’hybride est naturel — le core banking reste dans le DC existant, mais tout le reste (CRM, RH, ERP, documents) migre vers le cloud. L’économie est habituellement de 30 à 45 % sur 5 ans tout en maintenant la pleine conformité DORA.
Arbre de décision — 5 étapes
Si vous décidez de la voie à choisir, suivez les cinq étapes suivantes :
- Identifiez la criticité du système. Est-ce un core (paiements, dossier de santé) ou un système support (RH, marketing) ?
- Demandez au régulateur. Avez-vous de l’ACPR/MS/CNIL une position écrite ou un texte sectoriel qui vous lie ?
- Cartographiez les données. Où sont les données personnelles ? Sont-elles de santé ou biométriques (art. 9 RGPD) ?
- Faites un modèle TCO sur 5 ans. Comptez aussi les salaires de l’équipe, audits, certifications.
- Envisagez l’hybride. Dans la majorité des cas, c’est l’optimum.
Conclusion — 2026 appartient au cloud, mais sous conditions
Dans l’environnement régulé de 2026, le cloud n’est plus depuis longtemps « une étrangeté dangereuse ». Au contraire, avec un bon choix (UE souverain, fournisseur DORA-compliant, CLOUD Act immunity), le cloud est plus sûr que la plupart des déploiements on-premise — précisément parce que les fournisseurs investissent en sécurité bien plus que ne peut se le permettre une banque moyenne.
Le self-host conserve sa place là où le régulateur exige directement un déploiement air-gapped, ou là où le volume de données rend le cloud économiquement défavorable. Dans les autres cas, le cloud — surtout sous forme hybride — est le choix rationnel.
Si vous êtes dans un secteur régulé et voulez faire évaluer votre situation, écrivez-nous. Nous préparons une position écrite avec arbre de décision, modèle TCO et architecture concrète recommandée pour votre cas. La consultation dure 60 minutes et est gratuite — vous repartez avec une voie claire.