« Cartographiez vos dépendances » : le conseil figure dans tous les guides de souveraineté économique depuis 2020, rarement accompagné d'une méthode et jamais d'un chiffre de référence. La question que pose cette enquête est plus étroite. De quoi dispose réellement une entreprise française, et d'abord une PME, pour mesurer ses propres dépendances — fournisseurs, clients, cloud et logiciels — avec des données qu'elle possède déjà, et à quoi peut-elle comparer le résultat ?
La réponse tient en trois constats. L'appareil statistique public (Insee, direction générale du Trésor, Banque de France) mesure beaucoup, mais à une échelle qui n'est pas celle d'une entreprise, et il écrit lui-même ce qu'il ne voit pas. Le marché du cloud est documenté par des sources dont les chiffres divergent selon le périmètre et la date. Et la comptabilité d'une PME contient l'essentiel de ce qu'il faut pour un diagnostic sérieux, à condition de savoir quel compte ouvrir et à quel étalon public comparer.
L'enquête en 30 secondes
Que mesurent réellement les statistiques publiques sur les dépendances d'approvisionnement ?
Deux travaux font référence en France, et ils ne mesurent pas la même chose.
Le premier est la note Trésor-Éco n° 274 de la direction générale du Trésor, publiée le 17 décembre 2020. Elle établit que la production industrielle française « inclut directement près de 40 % d'intrants étrangers, dont plus de la moitié provient de pays européens », puis passe au crible les importations extra-européennes d'environ 5 000 catégories de produits (nomenclature SH à six chiffres, données BACI 2018). Deux critères : la concentration des pays fournisseurs hors Union, mesurée par un indice de Herfindahl-Hirschman supérieur à 0,5, et la « centralité » du produit, c'est-à-dire l'absence d'alternative crédible sur le marché mondial. Résultat : 121 produits aux importations concentrées, dont 12 seulement jugés vulnérables, à faible potentiel de diversification. Pour un quart de ces produits, le premier fournisseur extra-européen est la Chine.
Le Trésor nomme ses propres angles morts. La méthode repose sur les importations directes « sans intégrer les données de production nationale » et ne permet pas « d'isoler dans ces données les flux de réexportations et donc de détecter les vulnérabilités indirectes à travers les fournisseurs de rang 2 ou plus ». Un composant chinois assemblé en Allemagne compte comme allemand. La note en donne l'ordre de grandeur : la dépendance apparente de la production française aux intrants chinois se situe entre 1,4 % et 2,0 % en 2019 ; en intégrant la dépendance indirecte, une étude qu'elle cite la porte à 3,2 % dès 2014.
Le second travail est l'Insee Analyses n° 114, publié le 19 novembre 2025 par Raphaël Lafrogne-Joussier. Il change d'échelle : non plus des flux de pays à pays, mais des entreprises industrielles importatrices observées une à une, à partir des liasses fiscales, de la base FARE et des déclarations en douane. Sur 3 175 intrants importés, 174 « peuvent être considérés comme à risque » et 79 cumulent tous les critères de vulnérabilité ; ces 79 intrants « ne représentent que 0,2 % de la valeur totale des importations d'intrants ». Surtout, l'Insee décrit des comportements : « une entreprise sur quatre s'approvisionne pour chaque produit auprès d'un seul pays » ; la moitié des entreprises dispose de plus de 63 jours d'autonomie de production en cas d'arrêt total des approvisionnements, les 10 % les moins dotées de six jours au plus. Les 5 % d'entreprises les plus petites s'approvisionnent en moyenne dans 1,1 pays et détiennent 116 jours de stocks ; les 5 % les plus grandes, dans 5,3 pays avec 55 jours. Les petites stockent, les grandes diversifient.
Douze produits vulnérables pour le Trésor, 79 intrants pour l'Insee : l'écart ne traduit pas une aggravation en cinq ans mais un changement d'unité. Le Trésor compte des produits à l'échelle du pays, sur des données 2018, avec un seuil de concentration explicite ; l'Insee compte des intrants à l'échelle des entreprises, sur la période 2015-2019, avec des critères de diversification propres. Le nombre de dépendances « critiques » dépend d'abord de qui compte et à quelle maille. Une entreprise qui cherche un étalon doit retenir celui de l'Insee, le seul construit à son échelle.
Ce que l'Insee mesure à l'échelle des entreprises importatrices
0 %
des entreprises s'approvisionnent, pour chaque produit, auprès d'un seul pays
0 jours
d'autonomie de production médiane en cas d'arrêt total des approvisionnements
0 jours
de stocks dans les 5 % d'entreprises les plus petites, contre 55 jours dans les 5 % les plus grandes
0
intrants importés sur 3 175 cumulant tous les critères de vulnérabilité, soit 0,2 % de la valeur importée
Pourquoi la dépendance à un grand donneur d'ordre n'apparaît-elle dans aucune statistique ?
C'est le trou le plus net de l'appareil public. Aucune série de l'Insee ni de la Banque de France ne publie la part du chiffre d'affaires qu'une PME réalise avec son premier client. Le diagnostic annuel de la Banque de France sur les PME et les ETI, publié le 8 juillet 2025 à partir de 1,6 million de liasses fiscales 2024, mesure les taux de marge, l'endettement et la trésorerie ; pas la concentration de la clientèle, que la liasse ne contient pas.
Ce que la Banque de France mesure, c'est le symptôme : le comportement de paiement. Le rapport 2024 de l'Observatoire des délais de paiement, remis le 10 juillet 2025, établit qu'au quatrième trimestre 2024 les entreprises françaises règlent leurs fournisseurs avec un retard moyen de 13,6 jours (données Altares), au-dessus de la moyenne européenne, et que les retards atteignent 18 jours « dans les organisations de plus de 1 000 salariés ». Seules 50 % des grandes entreprises paient sans retard, quand plus de deux PME hors microentreprises sur trois et plus de quatre microentreprises sur cinq le font. La part des retards supérieurs à 30 jours dépasse 9 % des entreprises. Et la simulation de l'Observatoire chiffre le transfert : sans retard, les PME disposeraient de 15 milliards d'euros de trésorerie supplémentaire, que les grandes entreprises devraient, pour l'essentiel, restituer.
Ce déséquilibre est la trace comptable de la dépendance : une entreprise qui accepte d'être payée à 78 jours par un client qui lui impose 60 jours vers ses propres fournisseurs n'a pas de « solution équivalente ». C'est précisément le critère du droit. L'article L420-2 du Code de commerce prohibe l'exploitation abusive « de l'état de dépendance économique dans lequel se trouve, à son égard, une entreprise cliente ou fournisseur », dès lors que celle-ci ne dispose pas de solution équivalente. La loi ne fixe aucun seuil en pourcentage du chiffre d'affaires ; la jurisprudence apprécie un faisceau d'indices (notoriété du partenaire, part de marché, part dans le chiffre d'affaires de la victime, absence d'alternative technique et économique). Le « 30 % du chiffre d'affaires » que citent banquiers et commissaires aux comptes est une règle de prudence professionnelle, pas une norme publique. Une PME qui s'auto-diagnostique doit donc mesurer deux choses distinctes : la part de son premier client, et l'existence documentée d'une alternative.
Cloud et logiciels : quelle est la part réelle des hyperscalers ?
Sur le numérique, les sources abondent et ne se recoupent qu'en partie.
À l'échelle européenne, Synergy Research Group publie le 24 juillet 2025 son décompte : Amazon, Microsoft et Google détiennent ensemble 70 % du marché européen des services d'infrastructure cloud ; les fournisseurs européens, 15 %, contre 29 % en 2017. Le marché a atteint 61 milliards d'euros en 2024 et 36 milliards sur le seul premier semestre 2025. Les fournisseurs européens ont triplé leurs revenus depuis 2017 ; le marché a été multiplié par six. Les deux premiers européens, SAP et Deutsche Telekom, pèsent 2 % chacun.
À l'échelle française, l'Autorité de la concurrence a produit dans son avis 23-A-08 du 29 juin 2023 les seuls chiffres publics détaillés : en 2021, AWS captait 46 % des revenus IaaS et PaaS, Microsoft 17 %, Google 8 %, et les trois représentaient 80 % de la croissance des dépenses en infrastructures et applications de cloud public. L'Autorité documente les mécanismes de verrouillage : crédits cloud allant jusqu'à 200 000 dollars sur deux ans pour les jeunes entreprises, frais de sortie facturés à la migration, conditions de licence des logiciels exécutés sur un cloud concurrent. Ces chiffres ont cinq ans ; aucune mise à jour publique française n'existe pour 2025.
Synergy mesure l'Europe entière en 2025 sur un périmètre IaaS, PaaS et cloud privé hébergé ; l'Autorité mesure la France de 2021 sur IaaS et PaaS. Les 70 % de l'un et les 71 % de l'autre (46 + 17 + 8) se ressemblent sans être comparables : une source privée dont la méthodologie n'est pas publiée, une source publique dont les données sont anciennes.
Ce que mesure Eurostat est plus modeste et plus utile : la part des entreprises de dix salariés et plus qui achètent des services cloud payants. En 2025, elle est de 40,4 % en France, contre 52,7 % en moyenne dans l'Union et 53,9 % en Allemagne ; elle était de 26,8 % en 2023. La France est à la fois sous la moyenne et parmi les trois pays où l'adoption progresse le plus vite, avec 13,7 points gagnés en deux ans. Autrement dit, la dépendance s'installe au moment même où l'on en discute.
Le coût d'une dépendance logicielle se lit rarement avant la facture. Le 28 mars 2024, le Cigref, avec ses homologues belge (Beltug), néerlandais (CIO Platform) et allemand (Voice), saisit la Commission européenne du comportement de Broadcom après le rachat de VMware : suppression des licences perpétuelles au profit d'abonnements, regroupement forcé des produits. Le deuxième rapport de l'Observatoire européen de la concurrence dans le cloud (ECCO, une initiative du CISPE), rendu public en mai 2025, chiffre des hausses « entre 800 et 1 500 % » pour certains clients, avec des remises de 30 à 50 % conditionnées à des engagements de trois ans. Aucune PME n'avait, dans sa comptabilité, une ligne « risque de changement de propriétaire de mon hyperviseur ».
Parts de marché du cloud : trois mesures, trois périmètres (en %)
Le Cloud Act change-t-il quelque chose pour une PME française ?
Le Clarifying Lawful Overseas Use of Data Act a été promulgué aux États-Unis le 23 mars 2018. Il permet aux autorités américaines, dans le cadre d'une procédure judiciaire, d'exiger d'un fournisseur soumis à la juridiction américaine la remise de données qu'il détient, que celles-ci soient situées à l'intérieur ou à l'extérieur des États-Unis. La variable n'est pas l'emplacement du serveur ; c'est le contrôle de l'entreprise.
Le 10 juin 2025, devant la commission d'enquête du Sénat sur la commande publique, le rapporteur Dany Wattebled pose la question sous serment au directeur des affaires publiques et juridiques de Microsoft France, Anton Carniaux : peut-il garantir que les données des citoyens français confiées à Microsoft « ne seront jamais transmises, à la suite d'une injonction du gouvernement américain, sans l'accord explicite des autorités françaises » ? Réponse consignée au compte rendu : « Non, je ne peux pas le garantir, mais, encore une fois, cela ne s'est encore jamais produit. »
Pour une PME, la conséquence est une question de contrat, pas de géographie : quelle est l'entité qui facture, et quelle est sa maison mère ultime ? Un centre de données à Marseille exploité par la filiale d'un groupe américain relève du Cloud Act. C'est la lecture qu'en fait le référentiel SecNumCloud de l'ANSSI, dont la version 3.2 exige un siège dans l'Union, un actionnariat extra-européen minoritaire, une dépendance limitée à des services de pays tiers, et le stockage, le traitement comme l'administration sur le territoire de l'Union. Ce que personne ne publie, en revanche, c'est le nombre de demandes ayant effectivement visé des données d'entreprises françaises : Microsoft affirme qu'il n'y en a jamais eu, et rien ne permet de le vérifier.
Combien de prestataires SecNumCloud existent réellement ?
Le chiffre circule sous plusieurs formes contradictoires : « 9 prestataires » (Legiscope), « 10 » (Code Confiance, 3 avril 2026), « 21 » (nis2-pro.fr, 12 mai 2026). La source de référence est le catalogue officiel de l'ANSSI, mis à jour au moins une fois par mois. Son édition du 1er septembre 2026 recense, à la section « Services d'informatique en nuage (SecNumCloud) », 11 prestataires et 25 services qualifiés : Cegedim (1 offre), Cloud Solutions avec la suite Wimi (8 modules SaaS), Cloud Temple (IaaS et PaaS), Index Education (Pronote, Pronote Primaire, Hyperplanning, EDT), OVH (Hosted Private Cloud et Bare Metal Pod), Oodrive (3), Orange Business (Cloud Avenue SecNum), Outscale, Thales avec S3NS, Whaller et Worldline. Le « 21 » de nis2-pro agrège aux prestataires les organismes d'évaluation (AFNOR Certification, BYCYB, Certi-Trust, LSTI) : ce sont deux listes différentes du même catalogue.
Le même 1er septembre, l'ANSSI a qualifié deux offres supplémentaires qui n'y figuraient pas encore : la SNC Cloud Platform d'OVHcloud, son cloud public, et l'IaaS de NumSpot (LeMagIT, 1er septembre 2026). On compte donc, au 6 septembre 2026, 12 prestataires et 27 offres, dont 8 fournisseurs d'IaaS. La section « solutions en cours de qualification » du site de l'ANSSI complète le tableau par 17 projets rendus publics (Bleu, Scaleway, Free Pro, Ecritel, Adista, entre autres). Le chiffre change le jour où on le compte : toute affirmation sur ce point doit porter une date.
Le coût d'entrée explique la rareté. Lors de sa qualification en mars 2022, Cloud Temple indiquait avoir mobilisé une vingtaine de personnes pendant deux ans et demi et investi plus de 7 millions d'euros. La qualification vaut trois ans, sous audits de surveillance, avant demande de renouvellement. Pour une PME cliente, le catalogue ANSSI est le seul test opposable : une offre « souveraine », « de confiance » ou « hébergée en France » qui n'y figure pas n'est pas qualifiée, quelle que soit la brochure.
SecNumCloud en chiffres, au 1er septembre 2026
0
prestataires qualifiés au catalogue du 1er septembre (12 avec NumSpot, qualifié le jour même)
0
services qualifiés listés (27 avec les deux qualifications prononcées le 1er septembre)
0
projets de qualification rendus publics et en cours d'instruction
> 0 M€
investis par Cloud Temple sur deux ans et demi, avec une vingtaine de personnes, pour sa première qualification
Que peut mesurer une PME avec sa seule comptabilité ?
Tout ce qui précède se transpose en six mesures, chacune tirée d'un compte du plan comptable général, comparable à un étalon public, et honnête sur ce qu'elle ne montre pas.
Étape 1 — Concentration des achats. Extraire la balance fournisseurs (comptes 401) sur douze mois, rapprochée du total des comptes 60 à 62. Calculer la part du premier fournisseur, celle des cinq premiers, puis l'indice de Herfindahl-Hirschman : la somme des carrés des parts de chaque fournisseur. C'est l'outil même du Trésor, dont le seuil de 0,5 signale une concentration forte ; il s'applique à des pays, mais l'arithmétique est identique pour des fournisseurs. Vérifiable : la somme des parts fait 100 %.
Étape 2 — Origine réelle. Pour les dix premiers fournisseurs, noter le pays de l'entité qui facture, puis le pays d'origine de la marchandise (déclarations EMEBI, documents douaniers, certificats d'origine). Là où les deux diffèrent, on est exactement dans l'angle mort de rang 2 que le Trésor reconnaît ne pas voir. Une PME ne le voit pas davantage : elle peut seulement poser la question par écrit à chaque fournisseur et consigner le taux de réponse.
Étape 3 — Autonomie en jours. Pour chaque famille d'intrants : stock (comptes 31, 32, 37) divisé par la consommation annuelle, multiplié par 365. Étalon Insee : 63 jours en médiane, 116 jours dans les plus petites entreprises, six jours pour le décile le moins doté.
Étape 4 — Concentration clients et rapport de force. Balance clients (comptes 411) rapportée au chiffre d'affaires (comptes 70) : part du premier client, des cinq premiers. Puis, client par client, le délai moyen d'encaissement (encours 411 divisé par le chiffre d'affaires TTC, multiplié par 365). Étalons : 60 jours de plafond légal, 13,6 jours de retard moyen national, 18 jours chez les clients de plus de 1 000 salariés. Un client qui pèse 40 % du chiffre d'affaires et paie à 90 jours est une dépendance au sens de L420-2, à condition de documenter l'absence d'alternative : clients de substitution sollicités, devis remis, réponses obtenues.
Étape 5 — Dépendance numérique. Extraire des comptes de charges externes (locations, maintenance, redevances, abonnements) tout fournisseur récurrent de logiciel, d'hébergement ou de cloud. Pour chacun : entité contractante et maison mère ultime (le test Cloud Act), présence ou non au catalogue ANSSI, clause de réversibilité, format d'export des données, frais de sortie. Le cas VMware montre que la ligne la plus dangereuse n'est pas la plus chère.
Étape 6 — Test de substitution. Pour les trois premières dépendances de chaque liste, écrire deux nombres : le délai et le coût estimés d'un remplacement. Ce sont des estimations, à marquer comme telles ; c'est le seul point du diagnostic qui n'est pas une mesure.
Ce que cela coûte : quelques jours d'un comptable ou d'un directeur financier, aucun outil payant, des étalons publics gratuits. Ce que cela ne donne pas : une probabilité de choc. Le diagnostic mesure une exposition, pas un risque.
Ce que cette enquête n'a pas pu établir
Elle n'a trouvé aucune statistique publique française sur la part du chiffre d'affaires des PME réalisée avec leur premier client ; tout ce qui circule sur ce point est juridique ou anecdotique.
Les deux travaux de référence sur l'approvisionnement s'arrêtent aux importations directes ; le 0,2 % de l'Insee et les 12 produits du Trésor sont des planchers, pas des plafonds, et leurs auteurs le disent eux-mêmes.
Les parts de marché du cloud reposent, pour l'Europe, sur une société d'études privée dont la méthode n'est pas publiée, et pour la France, sur des données de 2021. Aucun chiffre public français pour 2025 n'existe.
Le nombre de requêtes fondées sur le Cloud Act ayant visé des entreprises françaises n'est publié par personne. Le décompte SecNumCloud est exact au 1er septembre 2026 et déjà dépassé le jour même. Enfin, le 40,4 % d'Eurostat mesure un achat, pas une intensité de dépendance : une entreprise qui héberge sa messagerie et une autre qui héberge son progiciel de gestion y comptent chacune pour un.
FAQ
Quel indicateur public mesure la dépendance d'une entreprise à un fournisseur ?
Aucun, à l'échelle d'une entreprise. Le Trésor (12 produits vulnérables sur 5 000, données 2018) et l'Insee (79 intrants sur 3 175, 0,2 % des importations) mesurent des agrégats. L'étalon utilisable par une PME est l'indice de Herfindahl-Hirschman calculé sur sa propre balance fournisseurs, et la comparaison de ses jours de stock à la médiane Insee de 63 jours.
Combien de prestataires sont qualifiés SecNumCloud ?
Le catalogue ANSSI du 1er septembre 2026 en recense 11, pour 25 services qualifiés. Le même jour, deux offres supplémentaires (OVHcloud SNC Cloud Platform, NumSpot IaaS) ont été qualifiées, soit 12 prestataires et 27 offres ; 17 projets sont en cours. Les chiffres « 9 » ou « 21 » qui circulent comptent à une autre date ou mélangent prestataires et organismes d'évaluation.
Le Cloud Act s'applique-t-il à des données hébergées en France ?
Oui, dès lors que le fournisseur ou sa maison mère relève de la juridiction américaine, quel que soit l'emplacement des serveurs. Devant le Sénat, le 10 juin 2025, Microsoft France a déclaré sous serment ne pas pouvoir garantir qu'aucune donnée ne serait transmise sur injonction américaine sans l'accord des autorités françaises, tout en précisant que cela ne s'était jamais produit.
Existe-t-il un seuil légal de dépendance économique ?
Non. L'article L420-2 du Code de commerce retient l'absence de « solution équivalente », appréciée par un faisceau d'indices, sans pourcentage. Le seuil de 30 % du chiffre d'affaires souvent cité est une règle de prudence des banques et des commissaires aux comptes, pas une norme publique.
L'enquête en slides
