Cette transformation s’inscrit toutefois dans un cadre de réduction des coûts, de rationalisation des infrastructures existantes et de mutualisation des ressources informatiques.

Dans ce contexte contraint, la question n’est pas uniquement de savoir quel fournisseur ou quelle technologie adopter, mais quel modèle d’exécution applicative est le plus adapté au projet concerné. Le PaaS (Platform as a Service) fait partie des options possibles, à condition d’en comprendre précisément les apports, les limites et les cadres dans lesquels il peut être mobilisé.

Les enjeux et problématiques spécifiques des services publics

Les organisations publiques font face à des contraintes structurelles qui influencent directement leurs choix techniques. La pression budgétaire est permanente, avec des objectifs explicites de maîtrise, voire de réduction, des coûts d’exploitation IT. Les équipes techniques sont souvent limitées en effectif, avec des difficultés de recrutement sur certains profils spécialisés, tels que les administrateurs systèmes, les développeurs, les experts cybersécurité ou les ingénieurs cloud et DevOps.

À cela s’ajoute un patrimoine applicatif hétérogène, parfois ancien, reposant sur des technologies ou des environnements qui ne sont plus maintenus ou difficilement évolutifs. Les exigences en matière de sécurité, de disponibilité et de conformité réglementaire sont élevées, tandis que les délais de mise en œuvre des projets numériques doivent rester compatibles avec les besoins opérationnels des administrations, collectivités ou établissements publics.

En quoi le PaaS peut répondre à ces enjeux dans le secteur public

Le recours à une plateforme cloud peut répondre à une partie de ces problématiques, sans pour autant constituer une solution universelle. L’un de ses apports majeurs réside dans la réduction de la charge opérationnelle. Concrètement, cela signifie que l’exploitation des systèmes d’exploitation, la gestion des runtimes applicatifs, les mécanismes de déploiement, de redémarrage ou de supervision sont pris en charge au niveau de la plateforme. Les équipes techniques n’ont plus à administrer l’infrastructure sous-jacente au quotidien et peuvent se concentrer sur le développement, l’évolution et la qualité des applications.

Sur le plan de la sécurité et des mises à jour, une solution d’hébergement applicatif permet également de maintenir des environnements techniques à jour de manière plus systématique. Dans le secteur public, où la gestion du legacy est un enjeu central, cela contribue à limiter les risques liés à l’obsolescence des systèmes, aux dépendances non maintenues ou aux correctifs de sécurité appliqués tardivement. Cette solution ne supprime pas le legacy existant, mais il peut en encadrer l’exploitation et faciliter une modernisation progressive, sans refonte immédiate de l’ensemble du système d’information.

C’est dans ce cadre qu’un PaaS pour les services publics peut constituer un levier pertinent, à condition d’être choisi pour des usages clairement identifiés.

Tous les projets publics ne relèvent pas du même cadre de déploiement

Les projets numériques portés par les services publics couvrent des réalités très différentes. Une application métier interne, un service numérique à destination des citoyens, une plateforme de données ou un projet de recherche n’impliquent pas les mêmes contraintes ni les mêmes niveaux d’exigence.

Certains contextes, notamment ceux liés à la défense ou au traitement d’informations sensibles, requièrent des garanties renforcées en matière de sécurité, de contrôle et de souveraineté. Dans ces cas, des démarches de qualification spécifiques, comme SecNumCloud, peuvent être nécessaires et limiter les options techniques envisageables. Le PaaS n’est donc pas adapté à tous les périmètres, et son usage doit être évalué au regard de la sensibilité des données et des obligations réglementaires applicables.

Les cadres publics existants pour déployer un PaaS

Contrairement à une idée reçue, les acteurs publics disposent déjà de cadres opérationnels pour accéder à des services cloud et solution d’hébergement applicatif conformes.

Pour les administrations et établissements publics, le recours à l’UGAP permet de s’appuyer sur une centrale d’achat nationale, avec des contrats mutualisés et juridiquement sécurisés.

À l’échelle régionale, des dispositifs comme La Fabrique IA Territoriale portée par GIGALIS, offrent aux collectivités et institutions locales des Pays de la Loire un cadre structuré pour accéder à des services numériques et cloud, dans une logique de mutualisation et d’accompagnement.

Dans le secteur de la santé, les établissements hospitaliers peuvent quant à eux s’appuyer sur Resah, qui référence des solutions adaptées aux exigences spécifiques du domaine sanitaire.

Ces cadres ne définissent pas les usages techniques, mais constituent des points d’accès concrets à des services conformes au droit de la commande publique.

Dans quels cas le PaaS est particulièrement pertinent

Le modèle cloud managé se révèle particulièrement adapté dans des situations où l’objectif est de créer une nouvelle application sans volonté d’assurer de l’administration système. Il est également pertinent pour la modernisation ou la refonte d’applications existantes, lorsque l’enjeu principal est de simplifier l’exploitation tout en améliorant la fiabilité et la sécurité.

Pour des projets applicatifs nécessitant des cycles de déploiement rapides, une meilleure prévisibilité des coûts d’exploitation et une réduction du temps consacré aux tâches d’administration, une offre cloud pour les acteurs publics peut représenter un choix cohérent, dès lors que le périmètre fonctionnel et réglementaire est clairement défini.

Points de vigilance avant de faire ce choix

Avant d’opter pour un PaaS, il reste indispensable d’évaluer plusieurs éléments : le périmètre réel de responsabilité de la plateforme, les conditions de réversibilité, la localisation et la protection des données, ainsi que l’adéquation entre le niveau de sensibilité des informations traitées et les garanties proposées. Ces points conditionnent la pertinence du modèle et sa soutenabilité dans le temps.

Vous travaillez sur un projet applicatif au sein d’un service public et vous vous interrogez sur la pertinence d’un modèle PaaS dans votre contexte ?

Identifier le bon cadre contractuel permet de gagner du temps et de garantir la conformité de vos projets numériques publics.

Ou retrouvez directement Clever Cloud via les plateformes publiques UGAP, pour les administrations et établissements publics, la Fabrique IA Territoriale pour les acteurs des Pays de la Loire, et Resah pour les établissements de santé.

En parallèle, dans sa synthèse parue en début d’année, l’organisme de cybersécurité CERT-FR, porté par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), indique que 218 incidents cyber ont été traités en 2024 pour les collectivités territoriales. Aussi, dans son rapport d'activité de 2024, l’ANSSI qualifie la menace de “systémique” pour le tissu public et social.

Dans ce contexte, choisir une solution cloud sécurisée pour les administrations publiques est devenu un enjeu central pour les DSI, les RSSI et les responsables de projets numériques.

L’objectif n’est pas simplement de trouver une infrastructure performante, mais de s’assurer que le cloud choisi respecte à la fois les exigences juridiques, réglementaires, techniques et opérationnelles propres au secteur public.

Comprendre ce qu’implique la sécurité cloud dans le secteur public

Les données manipulées par les administrations (informations personnelles, données de santé, données financières, informations sensibles liées aux infrastructures publiques) sont strictement encadrées par la CNIL et le RGPD. À cela s’ajoutent les certifications de sécurité attendues dans le secteur public : ISO/IEC 27001, HDS pour les données de santé, voire SecNumCloud pour les environnements les plus critiques.

Ces exigences montrent qu’un cloud sécurisé ne se limite pas à un pare-feu ou à du chiffrement. Il implique une approche complète, encadrée et auditée.

La souveraineté numérique, un critère devenu incontournable

Pour une administration publique, il est indispensable de savoir où sont hébergées les données et sous quelle juridiction elles se trouvent, afin de respecter le RGPD et d’encadrer correctement les éventuels transferts hors de l’Union Européenne.

Un cloud souverain implique non seulement une localisation des données en Union Européenne, mais aussi une absence d’exposition à des lois extraterritoriales comme le Cloud Act américain (2018), qui permet à un gouvernement étranger d’exiger l’accès à des données stockées chez un fournisseur soumis à sa juridiction.

La souveraineté participe également à la résilience des systèmes d’information. En limitant les dépendances techniques, contractuelles ou juridiques à un fournisseur unique, une administration conserve la capacité de réagir rapidement en cas de contrainte, par exemple s’il faut changer de prestataire ou relocaliser un service lorsque le contexte réglementaire, opérationnel ou stratégique l’impose. Cette marge de manœuvre constitue un facteur important de maîtrise et de pérennité des services numériques publics.

Le critère de souveraineté constitue donc un point différenciant majeur lorsqu’il s’agit de choisir entre un fournisseur européen et un fournisseur américain.

Au-delà de la conformité : les exigences techniques essentielles

Pour garantir un niveau de sécurité adapté au secteur public, une solution cloud doit offrir une isolation forte entre les environnements, un chiffrement systématique des données en transit et au repos, un durcissement des hôtes, ainsi que des mécanismes de supervision continus (logs, métriques, alertes).

La gestion des identités (IAM), l’authentification multifacteur et l’application du principe du moindre privilège s’inscrivent dans une logique Zero Trust, désormais recommandée par l’ANSSI pour réduire la surface d’attaque.

La sécurité repose également sur la résistance opérationnelle : continuité de service, capacité de récupération, haute disponibilité, et architecture tolérante aux pannes.

La place de l’automatisation dans la réduction du risque

L’automatisation est souvent perçue comme un confort pour les développeurs ; dans le secteur public, c’est surtout un levier de réduction du risque humain.

Les déploiements automatisés, la scalabilité automatique ou encore l’autoréparation (self-healing) permettent de limiter les erreurs opérationnelles, qui représentent une part importante des incidents de sécurité.

En réduisant le nombre d’opérations manuelles, on diminue les risques de mauvaise configuration et on améliore la disponibilité globale du service.

La question du coût total et de la gouvernance

Choisir un cloud sécurisé ne revient pas uniquement à comparer des prix catalogue.

Le secteur public doit intégrer la notion de coût total de possession (TCO) :

• Coût de l’infrastructure,
• Coûts humains internes,
• Complexité des opérations,
• Maintenance,
• Temps passé à gérer les incidents,
• Effort nécessaire pour migrer un service ou en assurer la réversibilité.

Une plateforme qui automatise la majorité des opérations et rend les environnements reproductibles peut réduire significativement la charge interne, et donc le coût global.

Comment évaluer objectivement les solutions du marché ?

Pour évaluer une solution cloud destinée au secteur public, il est essentiel de s’appuyer sur des critères factuels : le niveau de souveraineté, les certifications, les capacités techniques, la réversibilité, la disponibilité d’options cloud privé ou on-premise, l’existence d’environnements air-gap, la qualité du support et la compatibilité avec les outils existants.

Les erreurs les plus fréquentes consistent à choisir un acteur par habitude, à se baser uniquement sur le prix, ou à confondre souveraineté de localisation et souveraineté juridique.

Une autre erreur récurrente consiste à surestimer la difficulté d’une migration : un test ou un Proof of Concept est souvent suffisant pour valider la faisabilité.

Une méthode simple pour choisir la bonne solution cloud

La démarche la plus efficace consiste à :

Cette méthode offre une vision équilibrée entre sécurité, conformité, performance et durabilité.

Ce que Clever Cloud apporte sur ces sujets

Clever Cloud est un hébergeur européen certifié ISO/IEC 27001:2022 et HDS, proposant des environnements cloud publics, privés, on-premise et air-gap. Pour les besoins ultra-réglementés, une zone déjà qualifiée SecNumCloud est disponible sur demande via notre partenariat avec Cloud Temple. Cela permet de répondre aux exigences du “cloud de confiance” tout en bénéficiant de la plateforme Clever Cloud.

La plateforme suit une approche de sécurité basée sur l’isolation, le durcissement, l’authentification forte et l’observabilité intégrée.

Les déploiements automatisés, la montée en charge automatique (auto-scaling) et les mécanismes de self-healing réduisent l’effort opérationnel et limitent les erreurs humaines.

Les données restent en Europe et leur portabilité est garantie, sans dépendance propriétaire.

Le support est humain et assuré depuis la France.

Enfin, il est à noter que pour les organismes publics qui passent par les marchés mutualisés, Clever Cloud est également référencé sur le marché Nuage Public (UGAP). Les administrations peuvent ainsi souscrire nos services dans un cadre d’achat public déjà validé, ce qui simplifie les démarches administratives et accélère la mise en service.

Vers un cloud public sécurisé, souverain et durable

Pour une administration, choisir un cloud sécurisé revient à trouver un équilibre entre souveraineté, conformité, sécurité technique, productivité et maîtrise des coûts.

En s’appuyant sur des critères clairs et sur les référentiels officiels (ANSSI, ISO, RGPD, HDS), il devient possible de sélectionner une solution réellement adaptée aux besoins du secteur public, capable d’assurer à la fois la continuité de service et la protection des données des citoyens.

Vous souhaitez évaluer une plateforme cloud souveraine et automatisée ?

Contactez-nous