En quelques années, la majorité des PME suisses ont confié leur messagerie, leurs fichiers et parfois leurs applications métier à trois acteurs mondiaux. La promesse est séduisante, une puissance quasi illimitée et des innovations permanentes. Le revers l’est moins, et il se joue sur trois terrains rarement examinés au moment de signer, la juridiction, le coût de sortie et la concentration du risque.
Le confort de la centralisation a un prix
Personne ne conteste l’efficacité des grands fournisseurs. Déployer une messagerie pour vingt collaborateurs en une matinée est devenu banal, et c’est une excellente nouvelle. Le problème n’est pas la technologie, il est dans le fait que la décision se prend souvent sur un seul critère, le prix mensuel affiché, alors qu’elle engage la maîtrise de votre patrimoine numérique pour plusieurs années.
Pour une PME romande, trois angles morts méritent d’être regardés en face avant de tout centraliser.
Risque 1 : la juridiction prime sur la géographie
C’est le point le plus mal compris. Un fournisseur peut vous garantir que vos données résident dans un datacenter situé à Zurich ou à Francfort, cela ne dit rien du droit qui s’applique à l’entreprise qui les exploite. Une société de droit américain reste soumise au Cloud Act, qui permet aux autorités des États-Unis de réclamer des données détenues par cette société, y compris lorsqu’elles sont stockées à l’étranger.
Une localisation suisse ne garantit pas une juridiction suisse.
Ce que cela change avec la nLPD
Depuis l’entrée en vigueur de la nouvelle loi fédérale sur la protection des données, votre entreprise doit savoir où sont ses données, qui peut y accéder et selon quelles règles. Vous restez responsable du traitement, même quand l’hébergement est délégué. Concrètement, cela suppose de tenir un registre des traitements, de documenter les transferts hors de Suisse et de pouvoir répondre à un client ou à un employé qui demande ce que vous faites de ses informations. Un contrat de sous-traitance signé en anglais et jamais relu ne suffit pas à remplir cette obligation.
Le sujet devient sensible dès que vous manipulez des données de santé, des dossiers RH, des pièces comptables ou des informations de clients soumis eux-mêmes à des obligations sectorielles.
Risque 2 : la dépendance économique, ou vendor lock-in
Le second risque est financier, et il se révèle rarement la première année. Il tient à une asymétrie simple, faire entrer des données dans un cloud public ne coûte presque rien, les en faire sortir coûte cher.
Les frais de sortie, une accalmie en trompe l’oeil
Les trois grands fournisseurs ont bien annoncé en 2024 la gratuité des frais de sortie. La nuance compte, cette gratuité s’applique généralement au client qui quitte intégralement la plateforme et qui déclare sa migration à l’avance. Les frais de transfert du quotidien, eux, restent facturés, et ce sont souvent ceux qui pèsent sur une architecture hybride ou multi-cloud. Le règlement européen sur les données interdira ces frais à partir de janvier 2027, mais la Suisse n’est pas dans l’Union, et une PME valaisanne ne bénéficie pas automatiquement de cette protection.
Les briques propriétaires
Le verrouillage le plus solide n’est pas tarifaire, il est technique. Une base de données maison, un service d’authentification spécifique ou un outil d’automatisation propre au fournisseur ne se transportent pas. Plus votre architecture s’appuie sur ces briques, plus le devis de sortie s’allonge, en heures d’ingénierie bien davantage qu’en gigaoctets transférés. C’est aussi pour cette raison que nous privilégions les technologies ouvertes, qui restent portables d’un hébergeur à l’autre.
Risque 3 : la concentration du risque opérationnel
Quand la messagerie, les fichiers, la visioconférence, l’authentification et la sauvegarde reposent sur le même fournisseur, un incident régional met l’entreprise à l’arrêt complet. Le scénario n’a rien de théorique, plusieurs pannes de grande ampleur ces dernières années ont privé des milliers d’entreprises d’accès pendant plusieurs heures. Une PME qui facture à l’heure ou qui livre des chantiers ne peut pas se le permettre.
La question à se poser est simple, si ce fournisseur devient inaccessible pendant une journée, que reste-t-il d’opérationnel dans l’entreprise ? Si la réponse est « rien », le sujet n’est plus technique, il est stratégique. C’est exactement ce que vise une stratégie de sauvegarde indépendante du fournisseur principal.
L’alternative : une architecture hybride et souveraine
Il ne s’agit pas de renoncer au cloud, ce serait un contresens. Il s’agit de choisir, service par service, où la donnée doit vivre. Trois options se combinent très bien.
Le cloud privé suisse
Vos serveurs, vos données et vos sauvegardes sont hébergés en Suisse, exploités par une entreprise suisse et soumis au seul droit suisse. C’est la réponse la plus directe à la question de la juridiction. Selon les besoins, cela prend la forme d’un serveur dédié provisionné à la demande ou d’un environnement de travail distant en TSE.
L’infrastructure sur site
Pour les métiers qui manipulent de gros volumes localement, la conception assistée par ordinateur, l’imagerie, la vidéo, garder le serveur dans les locaux reste la solution la plus rapide et la plus économique. Elle demande en contrepartie une maintenance sérieuse et une sauvegarde externalisée. C’est le rôle de l’achat d’un serveur physique couplé à une supervision.
Le multi-cloud géré
Certaines charges restent parfaitement à leur place chez un grand fournisseur, la bureautique collaborative en particulier. Nous administrons ces environnements aux côtés de votre infrastructure suisse, avec un pilotage des coûts et un interlocuteur local. La cohabitation entre un tenant Microsoft 365 et un stockage souverain fonctionne très bien, à condition d’avoir défini au départ ce qui va où.
Cinq questions à poser avant de signer
- Quelle est la nationalité juridique de la société qui exploite mes données, et non seulement celle du datacenter ?
- Combien coûte, en francs et en heures, une sortie complète dans dix-huit mois ?
- Mes sauvegardes reposent-elles sur un autre fournisseur que ma production ?
- Quels services de l’entreprise continuent de fonctionner si ce fournisseur tombe une journée ?
- Qui répond au téléphone en français, sous quel délai, et avec quel engagement écrit ?
Ce qu’il faut retenir
La centralisation est facile, la résilience est stratégique. Une architecture bien pensée mélange les modèles, place chaque donnée là où son niveau de sensibilité l’exige et garde toujours une porte de sortie ouverte. C’est moins spectaculaire qu’une migration massive vers un seul fournisseur, c’est nettement plus confortable le jour où les conditions changent.
Questions fréquentes
Un hébergement en Suisse suffit-il à être conforme à la nLPD ?
Non. L’hébergement en Suisse est un excellent point de départ, mais la conformité repose aussi sur le registre des traitements, les contrats de sous-traitance, l’information des personnes concernées et la sécurité effective des accès. L’infrastructure est une brique, pas la démarche entière.
Le cloud souverain coûte-t-il plus cher ?
Sur la facture mensuelle brute, souvent un peu plus. Sur le coût total sur trois ans, l’écart se resserre nettement dès que l’on intègre les frais de transfert, les licences additionnelles et le temps d’administration. Nous chiffrons systématiquement les deux scénarios avant de recommander l’un ou l’autre.
Peut-on migrer progressivement ?
Oui, et c’est même la meilleure approche. On commence en général par les données les plus sensibles et par les sauvegardes, puis on traite les applications métier. La bureautique collaborative est souvent la dernière étape, quand elle bouge.
Écrit par Mathieu, responsable informatique chez YETY. Plus de 20 ans d’expérience en infrastructure, hébergement et sécurité pour les PME romandes.