Airbus s’apprête à lancer un appel d’offres que de nombreux acteurs du secteur technologique européen attendaient depuis des années : migrer des charges de travail critiques — et surtout sensibles — vers un “cloud souverain” européen. Cependant, ce mouvement intervient avec une confession peu courante pour une grande entreprise : ils ne sont pas certains de l’existence d’un fournisseur européen capable de répondre à tous les critères.

Selon Catherine Jestin, vice-présidente exécutive de la division Digitale chez Airbus, la société prévoit de lancer la consultation au début du mois de janvier et de prendre une décision avant l’été. Le contrat, dont la valeur dépasse 50 millions d’euros, pourrait s’étendre sur jusqu’à 10 ans, afin d’assurer une stabilité tarifaire.

Ce qu’Airbus souhaite migrer (et pourquoi ce n’est pas un simple “lift & shift”)

Lorsqu’une entreprise évoque la migration vers le cloud, il ne s’agit pas seulement de déplacer quelques applications périphériques. Ce projet concerne la transformation de composantes structurelles : ERP, systèmes de gestion de la fabrication (MES), CRM et gestion du cycle de vie du produit (PLM), y compris la conception aéronautique.

Ce n’est pas seulement une dépendance technique, mais aussi une question de cycle de vie logiciel. Dans l’écosystème industriel, de nombreux grands acteurs poussent l’innovation vers le cloud, avec des plateformes comme SAP qui accélèrent cette transition. Airbus le souligne explicitement : si les fournisseurs concentrent leur développement sur le cloud, rester “on-prem” pourrait signifier rester bloqué sur des versions anciennes, sans évolution ou avec des calendriers de mise à jour de plus en plus contraints.

Pour une équipe d’administrateurs systèmes, cela va bien au-delà d’un simple changement d’hébergement : il faut repenser identités, réseaux, segmentation, chiffrement, continuité d’activité et opération 24/7 pour des applications qui supportent la production industrielle.

Le point critique : souveraineté ne veut pas dire “région en Europe”

Airbus insiste sur une idée précise : un contrôle européen sur des informations extrêmement sensibles. Or, cela entre en conflit avec la réalité juridique : même si les données résident physiquement en UE, la dépendance à de grands fournisseurs américains relance le débat sur les lois extraterritoriales, notamment avec le CLOUD Act comme symbole de cette incertitude.

Jestin admet qu’Airbus attend une régulation claire quant à sa capacité à être réellement “immune” à ces pressions, et si un risque d’interruptions de service existe en cas de tensions géopolitiques. Elle conclut en citant une estimation du marché : “80/20” de chances de trouver la solution adéquate.

En langage sysadmin : il ne suffit pas de se demander “où se trouve le data center ?”, mais aussi qui l’exploite, sous quelle juridiction, qui gère le plan de contrôle, qui a accès, comment les clés sont sécurisées, quelles audits sont en place et quelles garanties contractuelles sont assurées.

L’Europe avance aussi : certification, exigences et achats publics

Le cas Airbus s’inscrit dans un contexte où Bruxelles cherche à concrétiser la souveraineté numérique, pas seulement à en parler. La Commission européenne a impulsé des initiatives autour d’un cadre de souveraineté cloud et de l’évolution vers une certification européenne pour les services cloud (EUCS), avec des procédures d’achat public et des exigences visant à réduire la dépendance et renforcer le contrôle.

Ce débat reste animé : une partie de l’industrie européenne critique les approches réglementaires qui, en pratique, pourraient permettre aux hyperscalers de continuer à participer à des contrats “souverains” via des structures légales et filiales, sans changer fondamentalement les déséquilibres de pouvoir.

Que signifie “cloud souverain” pour une équipe infrastructure (checklist réaliste)

Si Airbus impose un tel haut niveau d’exigence, c’est parce que le terme “souverain” a été souvent utilisé de façon relâchée. Dans la pratique, pour les environnements industriels et critiques, la réalité se résume à des conditions vérifiables telles que :

• Garder les clés et le chiffrement : BYOK/HYOK, HSM sous contrôle européen, politiques de rotation et de séparation.
• Plan de contrôle et d’opération : accès aux consoles, audits, existence de mécanismes “break glass” et règles associées.
• Isolation et réseau : segmentation avancée, microsegmentation ou Zero Trust, connectivité dédiée (MPLS/SD-WAN), contrôle des routes et télémétrie.
• Continuité d’activité : DR multi-sites réel (et multi-juridiction si pertinent), tests réguliers, RPO/RTO contractuels.
• Portabilité et dépendance : APIs, formats, automatisation IaC, plan de sortie (exit strategy) dès le départ.
• Conformité : RGPD bien sûr, mais aussi exigences sectorielles, contrôle des exportations, politiques internes de classification d’informations.

Pour une organisation comme Airbus, le défi est que tout cela doit fonctionner avec systèmes sans latence imprévisible, nécessitant une intégration avec les usines, et où une baisse de performance ne se limite pas à “des utilisateurs qui se plaignent”, mais peut engendrer des goulets d’étranglement dans la production.

“Souveraineté réelle” ou marketing : l’avis depuis la frontière européenne

Un point que de nombreux CIO commencent à exprimer : sortir partiellement des hyperscalers n’est pas revenir dans le passé, c’est réduire les risques stratégiques.

David Carrero, cofondateur de Stackscale (groupe Aire), fournisseur européen d’infrastructure cloud, le résume ainsi : “La souveraineté ne peut pas simplement se baser sur le fait d’apposer le logo ‘UE’ sur une plateforme. Si l’opération, le contrôle et la juridiction restent en dehors, on a simplement une dépendance déguisée. La véritable stratégie consiste à combiner cloud privé, bare-metal et cloud européen exploité depuis l’Europe, avec des audits et un contrôle effectif.”

Ce discours ne suppose pas un arrêt immédiat des fournisseurs américains. Il prône une approche plus pragmatique : des architectures hybrides où l’essentiel et le sensible s’ancrent dans l’infrastructure européenne, tout en répartissant le reste selon des critères précis. Pour beaucoup d’entreprises, l’option réaliste consiste à migrer par domaines (ERP par étapes, données sensibles par classification, environnements d’ingénierie avec contrôles renforcés) et à bâtir un modèle où le fournisseur est une pièce substituable, pas une solution irréversible.

L’“effet Airbus” : pourquoi cela pourrait entraîner d’autres industries

Si Airbus remporte cette consultation avec succès, le message adressé au marché sera puissant : l’Europe ne souhaite pas seulement la souveraineté, elle est prête à la financer et à l’imposer dans de grands contrats. Et si elle ne parvient pas à le faire, cela enverra aussi un signal : l’offre européenne ne s’est pas encore suffisamment développée, ou qu’elle nécessite davantage de coopération, de standards communs et de capacités industrielles renforcées.

Des secteurs avec des enjeux similaires de dépendance – au moins partielle – sont légion : défense, énergie, santé, banques, télécoms, industrie de pointe, secteur public. La constante est la gestion de données sensibles, la continuité opérationnelle et une inquiétude croissante face aux risques réglementaires et géopolitiques.

Airbus a mis une date et des fonds sur la table. Reste à voir si l’écosystème européen parviendra à transformer “souverain” en une réalité opérationnelle, ou si cela restera une promesse commerciale.