Jusqu’à 7 milliards: la Confédération veut garder ses données sensibles en Suisse

La Confédération veut renforcer la maîtrise de ses données. Mardi 20 octobre, elle a lancé l’appel d’offres pour le Swiss Government Cloud, une nouvelle infrastructure destinée à conserver les données sensibles en Suisse et les informations particulièrement sensibles dans ses propres centres de calcul. Cinq prestataires sont recherchés pour trois niveaux de sécurité. La mise en service est prévue à l’automne 2027, avec une enveloppe maximale de sept milliards de francs sur quatorze ans.

Le projet redéfinit les conditions de stockage des données fédérales. L’administration utilise aujourd’hui notamment les clouds d’Amazon, d’Alibaba et d’IBM, dont les infrastructures sont réparties dans le monde. A l’avenir, le degré de protection nécessaire déterminera si une information peut rester à l’étranger ou doit impérativement être conservée en Suisse.

Le lancement de l’appel d’offres ne constitue pas une adjudication: les entreprises retenues ne sont pas encore connues. Mais l’orientation est claire. Pour les informations délicates, la Confédération veut resserrer les contraintes géographiques et opérationnelles, sans renoncer aux offres internationales pour l’ensemble de ses données.

Trois niveaux de sécurité pour des besoins différents

Le Swiss Government Cloud n’est pas conçu comme un espace de stockage unique. Il distingue trois niveaux de sécurité: des informations accessibles au public n’exigent pas les mêmes précautions que des données financières ou fiscales confidentielles.

Le premier niveau concerne les données les moins sensibles. L’Office fédéral de l’informatique cite l’exemple des données météorologiques. Celles-ci pourront toujours être hébergées n’importe où dans le monde. Deux prestataires doivent être sélectionnés pour cette catégorie. Il n’est donc pas question de rapatrier systématiquement toutes les données de la Confédération.

Le deuxième niveau couvre des informations plus sensibles, avec une exigence géographique explicite: elles devront rester en Suisse. Deux prestataires sont également recherchés pour ce volet. A cette restriction du lieu de stockage s’ajoutent des exigences particulières en matière de protection des données et de souveraineté.

Le troisième niveau impose les conditions les plus strictes. Les données particulièrement sensibles, par exemple financières ou fiscales, devront rester dans des centres de calcul appartenant à la Confédération. Ces installations constituent le véritable «bunker de données» du projet. Un seul prestataire est prévu. L’enjeu n’est plus seulement de garantir un hébergement en Suisse, mais de conserver les informations dans l’infrastructure fédérale.

Les entreprises étrangères restent en lice

Cette architecture répond à l’importance croissante de la sécurité des données. Dans le cloud, l’emplacement d’un serveur n’est pas le seul critère pertinent. Le droit auquel l’exploitant est soumis compte aussi, tout comme les conditions permettant à des autorités étrangères d’exiger l’accès aux informations stockées.

Les règles américaines relatives à l’accès des autorités aux données, ainsi que les préoccupations de sécurité liées aux prestataires chinois, ont notamment sensibilisé les administrations et les entreprises suisses. Un hébergement sur territoire helvétique ne règle donc pas, à lui seul, toutes les questions de maîtrise des données. Les exigences supplémentaires des deux niveaux supérieurs visent précisément cet enjeu.

La Confédération n’exclut toutefois pas par principe les entreprises américaines ou chinoises. L’appel d’offres doit respecter les règles de l’Organisation mondiale du commerce, l’OMC. L’accès à la procédure n’est donc pas limité de manière générale en fonction de l’origine des sociétés.

Ce sont les conditions de protection des données et de souveraineté qui doivent restreindre le cercle des prestataires possibles pour les niveaux deux et trois. Les entreprises devront démontrer leur capacité à satisfaire les exigences du niveau concerné. Le Swiss Government Cloud sera ainsi une solution destinée aux autorités suisses, sans nécessairement reposer exclusivement sur des sociétés suisses.

Sept milliards, un plafond et non une facture

L’enveloppe prévue donne la mesure de ce marché de longue durée: jusqu’à sept milliards de francs sur quatorze ans. Ce montant ne correspond cependant pas à des dépenses déjà arrêtées. La Confédération ne paiera que les prestations effectivement utilisées.

Si les besoins en espace de stockage sont inférieurs, par exemple, les coûts correspondants diminueront. Le plafond décrit donc l’ampleur potentielle du marché, et non une facture déjà due. La dépense finale dépendra de l’utilisation réelle des services.

Cette distinction est essentielle pour apprécier le projet. L’ouverture de la procédure ne signifie ni que sept milliards de francs sont immédiatement dépensés, ni que toutes les commandes futures sont fixées. L’horizon de quatorze ans montre en revanche que la Confédération entend établir une base durable pour le stockage des données de son administration.

Cantons et communes pourront aussi participer

La nouvelle infrastructure ne sera pas réservée à l’administration fédérale. Les cantons et les communes pourront également y conserver leurs données, sans obligation. Chaque échelon institutionnel gardera ainsi le choix de recourir ou non à cette offre.

Pour la population, le projet touche à une question fondamentale de l’administration numérique: dans quelles conditions les informations sensibles traitées par les autorités sont-elles conservées? Les trois niveaux doivent traduire des besoins de protection distincts. Les données les plus délicates devront se trouver non seulement en Suisse, mais dans les centres de calcul de la Confédération.

La procédure doit désormais établir quels prestataires répondent aux exigences techniques et de protection. L’adjudication reste une étape décisive avant la mise en service prévue à l’automne 2027. La Confédération a défini le cadre de sa future architecture cloud; les entreprises chargées de la concrétiser restent à désigner.