Coûts de migration des données vers un cloud suisse : les postes

Pourquoi le transfert des données en Suisse modifie la structure des coûts

Stocker les données en Suisse ne relève pas seulement de la conformité : cela modifie le devis. En 2023, la Suisse a entièrement révisé la loi fédérale sur la protection des données pour l’aligner sur le Règlement général sur la protection des données de l’Union européenne. Elle applique également des règles strictes aux transferts transfrontaliers. Toute migration doit budgétiser, outre le déplacement technique, des vérifications sur le pays de destination, des documents contractuels et des mesures de sécurité à la charge du prestataire.

La juridiction du prestataire pèse lourd. Les États-Unis ne disposent pas d’une seule loi fédérale globale sur la protection des données personnelles, mais d’une mosaïque de réglementations sectorielles : HIPAA pour la santé, GLBA pour la finance, COPPA pour les mineurs. S’y ajoutent les pouvoirs d’intervention de la Federal Trade Commission.

Le Cloud Act de 2018 autorise les autorités américaines à accéder, sous certaines conditions légales, aux données détenues par des entreprises américaines, même si elles sont stockées hors des États-Unis.

Le Foreign Intelligence Surveillance Act permet aux agences de renseignement d’accéder à des données concernant des citoyens étrangers pour des raisons de sécurité nationale, sans obligation d’informer les personnes concernées ni de leur garantir un recours juridique. La section 702 a été vivement critiquée pour ses programmes de surveillance de masse.

La Cour de justice de l’Union européenne a invalidé des accords de transfert tels que le Privacy Shield. Le cadre « Data Privacy Framework » établi en 2023 est lui-même sous examen.

La Suisse n’interdit pas les transferts transfrontaliers : elle les autorise uniquement vers des pays considérés comme offrant une protection adéquate. Démontrer cette adéquation coûte des heures de conseil juridique et une documentation à mettre à jour à chaque changement de prestataire ou de sous-traitant. En francs, il s’agit d’un taux horaire multiplié par un nombre d’heures, non d’un pourcentage.

Dans le budget, ces règles se traduisent par des postes absents du tarif cloud : chiffrement et gestion des clés, séparation des charges de travail par juridiction, documentation des évaluations des risques et support juridique pour les transferts. Un prestataire entièrement sous juridiction suisse réduit ces postes ; un prestataire exposé à des mécanismes d’accès étrangers les augmente. La comparaison doit se faire avant la signature, non après.

Dans le devis, la juridiction devient des lignes d’heures, chacune avec un nom : conseil juridique sur les transferts, configuration du chiffrement, gestion des clés, séparation des charges de travail. Pour chacune, il faut le nombre d’heures et le taux horaire en francs. Un poste exprimé en pourcentage n’est pas vérifiable.

La différence entre un prestataire sous juridiction suisse et un autre exposé au Cloud Act ne réside pas dans la liste des mesures, mais dans le nombre d’heures. Les mêmes postes figurent dans les deux devis ; ce qui change, c’est leur coût en francs. La comparaison doit porter sur ces heures, non sur le redevance mensuelle d’entrée.

Le coût d’une migration vers un cloud suisse se lit en trois blocs. Le premier est la juridiction : conseil juridique sur les transferts. Le deuxième est la technique : prix au Go ou To transféré et heures d’ingénierie de migration. Le troisième est la conformité : heures de classification, analyse d’impact et documentation. Chaque bloc se chiffre en francs.

Pour les solutions entreprise, le prix s’obtient sur offre : l’Enterprise Service Cloud de Swisscom se demande au prestataire. Le devis de migration se compose de postes précis, chacun avec une quantité et un prix unitaire en francs.

Avantages et coûts supplémentaires de la juridiction suisse vs. États-Unis

Les postes de coût d’une migration de données vers un cloud suisse

Une migration s’estime par phases, non avec un prix unique. Les postes typiques comprennent l’inventaire et la classification des données (quelles existent, où elles résident, lesquelles sont personnelles ou sensibles) et l’évaluation de l’environnement existant (applications, dépendances, volumes, fenêtres d’arrêt).

Les postes qui composent le coût d’une migration sont au nombre de onze, tous à chiffrer en francs. Les voici : inventaire et classification ; prix au Go ou To transféré ; heures d’ingénierie de migration ; heures de conseil juridique sur les transferts ; redevance mensuelle de capacité ; montant mensuel à la consommation ; redevance mensuelle de connectivité ; conversion des licences et delta annuel ; formation ; double exploitation ; sortie.

Suivent le transfert (bande passante, outils, délais), l’adaptation des applications et des processus (interfaces, identités, latence, procédures opérationnelles), l’intégration avec le réseau de l’entreprise, la formation du personnel, les services gérés et les coûts récurrents d’exploitation.

L’intégration est un poste à part entière et n’est pas optionnelle. Le cloud privé de Swisscom est décrit comme intégré au réseau de l’entreprise, à l’infrastructure et aux processus du client, avec des services de réseau, de sécurité et des services gérés disponibles si nécessaire. L’offre de cloud hybride inclut explicitement la sécurité, la conformité, la connectivité et la gouvernance.

Le prestataire doit chiffrer ces catégories séparément : un montant global unique ne permet pas de comprendre où se concentre la dépense. Demandez aussi la distinction entre coûts ponctuels (analyse, transfert, adaptation applicative, formation initiale) et récurrents (redevances de capacité ou de consommation, services gérés, connectivité, licences, mise à jour des compétences internes).

Swisscom énumère parmi ses services Cloud Sourcing, Data Center, Cloud Security et Managed Services. Elle propose également des Professional Services pour la migration vers le cloud, avec conseil, gestion de projet et ingénierie, et met à disposition plus de 250 experts. Chaque poste doit être chiffré séparément.

Pour les services de migration, il convient de définir dans l’offre le périmètre couvert (conseil, gestion de projet, ingénierie) et comment le prix est déterminé. Swisscom combine Private Cloud, Public Cloud ou une combinaison des deux.

Pour les licences, Swisscom propose Microsoft Licensing Services avec conseil et optimisation. La conversion des licences est donc un poste de coût à part entière, à prévoir au devis.

Le devis se construit poste par poste, en francs. Il faut quatre colonnes : poste, quantité, unité de mesure, prix unitaire. Une cinquième colonne indique le total par poste. Sans cette structure, deux offres ne sont pas comparables.

La comparaison entre offres se fait sur la somme à trois ou cinq ans, non sur la redevance mensuelle d’entrée.

La somme à trois ans comporte trois addendes : les coûts ponctuels, le récurrent annuel multiplié par trois, le coût de sortie. Chaque addende doit être exposé en francs avec son unité de mesure, sinon le total n’est pas reconstituable.

Chaque poste doit être demandé avec deux chiffres : la quantité — Go ou To transférés, heures d’ingénierie, mois de coexistence, postes à former — et le prix unitaire en francs. Sans quantité, le devis reste un pourcentage, non un montant.

Les offres suisses ne se présentent pas toutes de la même manière. Swisscom structure le parcours vers le cloud en phases, de la conception à la gestion opérationnelle et à l’optimisation continue.

Poste par poste, l’unité de mesure en francs change : Go ou To pour le transfert, heures d’ingénierie pour l’adaptation, mois pour la coexistence des deux environnements, postes pour la formation, redevances mensuelles ou annuelles pour la capacité et les services gérés, montants par produit pour les licences.

Le prix au Go ou To transféré doit être demandé dans l’offre en indiquant le volume prévu. Sans volume, le prix unitaire n’est pas comparable entre prestataires.

Pour les licences, il faut deux montants en francs : le coût ponctuel de la conversion et la redevance annuelle suivante. Le delta annuel se calcule produit par produit, en soustrayant la redevance actuelle de celle future.

La formation est un poste récurrent, pas seulement initial : le personnel change et les plateformes se mettent à jour. En Suisse, la sensibilisation est une pratique courante même dans le secteur public : le 11 septembre 2022, le Département des institutions du canton du Tessin a annoncé un séminaire dédié aux communes sur la cybersécurité.

À côté de Cloud Sourcing, Data Center, Cloud Security et Managed Services, Swisscom énumère Cloud Native et le poste « Cloud et souveraineté des données ». L’Enterprise Service Cloud couvre l’infrastructure (IaaS) et les plateformes (PaaS). Un ingénieur Swisscom peut suivre personnellement le projet.

Principaux postes de coût pour la migration de données vers un cloud suisse

Éléments à vérifier dans le devis de migration cloud suisse

Conformité à la nLPD : ce qui pèse sur le budget

La nouvelle loi fédérale sur la protection des données, avec ses ordonnances d’exécution, est en vigueur depuis le 1er septembre 2023. Elle s’applique uniquement aux données des personnes physiques, plus à celles des personnes morales. Délimiter correctement le périmètre constitue déjà une économie : moins de données à classifier, moins de traitements à documenter.

La nLPD résulte d’une révision totale, après les révisions partielles de 2009 et 2019. La première loi fédérale sur la protection des données date de 1992. Le Parlement a adopté la nouvelle loi lors de la session d’automne 2020.

Les dispositions d’exécution sont au nombre de deux : la nouvelle ordonnance sur la protection des données (OPDa) et la nouvelle ordonnance sur les certifications en matière de protection des données (OCPD). Elles sont en vigueur depuis le 1er septembre 2023 conjointement avec la loi. Au devis, il convient de les citer par leur nom.

La compatibilité avec le RGPD sert à préserver la libre circulation des données avec l’Union européenne et à éviter des pertes de compétitivité pour les entreprises suisses. Pour le budget, cela signifie que les transferts vers l’étranger restent possibles uniquement vers des pays considérés comme offrant une protection adéquate.

La nLPD introduit huit changements principaux pour les entreprises. Délimiter le périmètre aux seules données des personnes physiques réduit le nombre de traitements à documenter.

Les changements de la nLPD qui pèsent sur le devis cloud sont : périmètre limité aux données des personnes physiques, données génétiques et biométriques parmi les données sensibles, « Privacy by Design », « Privacy by Default », analyse d’impact. Chacun se traduit en heures à chiffrer : classification, configuration, tests, documentation.

Les principes de « Privacy by Design » et « Privacy by Default » exigent que les logiciels, le matériel et les services soient configurés dès leur mise en circulation pour protéger les données et limiter leur utilisation. Les mesures doivent être activées automatiquement.

Dans un projet cloud, cela implique configuration, tests et documentation, à prévoir dans l’adaptation applicative. S’y ajoutent les analyses d’impact prévues par la loi, qui nécessitent des ressources internes ou un conseil externe.

L’extension de la notion de données sensibles aux données génétiques et biométriques augmente les traitements requérant une attention particulière. Il faut une classification plus fine lors de l’inventaire, des contrôles d’accès et des mesures de sécurité plus strictes. Il en résulte des coûts supplémentaires techniques et organisationnels.

Sur le front des droits, la nLPD permet aux personnes concernées de faire valoir leurs prétentions auprès des responsables du traitement. Il faut un processus fonctionnel pour recevoir, traiter et documenter les demandes, avec des outils et du personnel dédiés, pas une adresse e-mail générique.

La gouvernance des prestataires est le troisième poste. Avant de transférer des données dans le cloud, il faut savoir quels sous-traitants traitent les données et où, quelles obligations contractuelles sont assumées et qui répond en cas d’incident. Maintenir cette documentation à jour et la vérifier périodiquement est un coût récurrent, non une formalité ponctuelle.

Ces postes se chiffrent en heures : analyse d’impact, classification des données génétiques et biométriques, processus pour les demandes des personnes concernées, mise à jour de la documentation sur les sous-traitants. Pour chacun, il faut le nombre d’heures et le prix unitaire en francs.

En francs, chaque obligation correspond à des heures multipliées par un taux horaire : analyse d’impact, classification, configuration, tests, documentation, processus pour les demandes. Le devis nLPD est la somme de ces multiplications. Un montant forfaitaire ne permet pas de vérifier combien d’heures il couvre.

Sur le plan de la sécurité, la gestion opérationnelle est un processus permanent, avec ses propres heures : qui gère les signalements, avec quelle documentation et avec quelle périodicité. L’Office fédéral de la cybersécurité (OFCS) a publié le 24 août le rapport semestriel 2026/1.

Cloud privé, public ou hybride : l’architecture détermine la dépense

Dans le cloud privé, la dépense se concentre sur l’infrastructure réservée. L’offre privée de Swisscom fournit une largeur de bande et une capacité de mémoire exclusives, avec un fonctionnement isolé en Suisse et une faible latence. Qui choisit cette voie paie surtout le surdimensionnement pour la redondance, la gestion de l’isolement et les compétences pour gouverner l’environnement.

Dans le cloud public, le coût se déplace vers la consommation et la gouvernance. Le document de la Confédération sur le Swiss Government Cloud décrit le cloud public comme une offre avec une large gamme de fonctions, un accès à des solutions innovantes et un degré élevé de flexibilité. Cela comporte moins d’investissement initial, mais une dépense variable à contrôler et des vérifications sur l’emplacement des données et sur qui peut y accéder.

Le cloud public du SGC comprend des services de prestataires connus. C’est la partie de l’infrastructure qui introduit dans le devis la consommation variable.

La solution hybride combine des environnements internes et des services externes et est particulièrement exposée aux coûts de liaison. Le SGC lui-même est conçu comme une infrastructure multi-cloud hybride composée de trois parties, qui inclut des offres de cloud public et privé. Swisscom déclare que son cloud privé s’interface avec les centres de calcul sur site et avec l’infrastructure public cloud du client.

L’approche multi-cloud hybride de la Confédération remonte à la stratégie cloud adoptée par le Conseil fédéral le 11 décembre 2020. En 2022, l’appel d’offres « Cloud public de la Confédération » avait déjà intégré les clouds privés de l’Administration fédérale avec des clouds publics d’offrants externes. Le SGC poursuit sur cette ligne.

Dans ce modèle, le poste principal n’est pas le calcul, mais la connectivité entre sites, l’orchestration entre environnements, la sécurité de la liaison et la gouvernance des données qui traversent la frontière entre interne et externe.

Pour le secteur public, le projet SGC dispose d’un crédit d’engagement de 246,9 millions de francs et d’un coût global de 319,4 millions, réalisé entre 2025 et 2032. L’infrastructure multi-cloud hybride est composée de trois parties et prévoit des investissements dans cinq secteurs. Ce sont des chiffres de capacité souveraine, non de migration d’entreprise.

En francs, l’architecture déplace la dépense entre trois postes : capacité réservée, consommation variable et connectivité. Le cloud privé se paie à la capacité, le public à la consommation, l’hybride additionne les deux et ajoute la liaison entre les environnements.

Les trois postes ont des poids différents selon le modèle : dans le privé domine la capacité réservée, en francs par mois ; dans le public domine la consommation, en francs par mois ; dans l’hybride domine la connectivité entre les deux environnements.

Ces montants doivent être demandés en francs avec la même périodicité : redevance mensuelle de capacité, montant mensuel à la consommation, redevance mensuelle de connectivité. Des périodicités différentes rendent la comparaison entre architectures impossible.

Swisscom décrit cinq scénarios pour un environnement cloud hybride sécurisé. Le premier est Cloud Foundation, le choix de la stratégie. La connectivité entre les environnements reste le poste qui les traverse tous.

Coûts de migration des données vers un cloud suisse : comparaison entre architectures

Coûts cachés : double exploitation, licences et sortie du prestataire

La double exploitation est le poste qui échappe le plus souvent. Pendant la transition, l’ancien environnement reste actif tandis que le nouveau est peuplé et testé : on paie deux fois les redevances, les licences et l’infrastructure, et le personnel travaille sur deux systèmes. Pour le quantifier déjà dans l’offre, il faut deux données : la durée prévue de la coexistence, en mois, et le coût mensuel documenté de l’environnement sortant, y compris les licences non résiliables avant l’échéance.

La redevance mensuelle de l’environnement sortant figure déjà sur la facture : c’est le seul montant de la double exploitation vérifiable sans négociation. La redevance du nouvel environnement et les mois de coexistence doivent être demandés en francs dans l’offre.

Les licences doivent être cartographiées avant, non après. Le passage au cloud peut changer le modèle de licence, la métrique de comptage et la titularité des licences existantes. La coordination entre technologie et implémentation est un service à part : Swisscom, par exemple, propose Microsoft Licensing Services avec conseil et optimisation des licences, signe que la matière requiert des compétences dédiées.

À demander au prestataire : quelles licences actuelles restent valides, lesquelles doivent être converties, lesquelles deviennent superflues et qui supporte le coût de la conversion.

La sortie du prestataire doit être négociée à l’entrée. Critères pratiques à mettre par écrit : sous quel format et avec quels outils les données sont exportées, qui supporte le coût de l’extraction et dans quels délais. Il faut aussi indiquer quelle documentation technique est remise à la fin du contrat et pendant combien de temps le prestataire doit collaborer avec le successeur.

Pour la sortie, demander en chiffres les heures d’assistance du prestataire sortant, les outils d’extraction et les délais. Pour les licences, le delta annuel entre coût actuel et coût après conversion, produit par produit. Ce sont les deux montants qui rendent la réversibilité et les licences des postes vérifiables.

Double exploitation, licences et sortie n’apparaissent pas dans la redevance d’entrée. La double exploitation pèse sur le récurrent, la conversion des licences sur le ponctuel, la sortie sur le dernier addende du total à trois ans.

Un projet cloud hybride qui combine des composants internes et des services externes augmente la dépendance si les interfaces entre les deux mondes sont propriétaires : c’est ici qu’une migration ultérieure devient onéreuse.

La double exploitation se met en francs avec deux multiplications : mois de coexistence par la redevance mensuelle du nouvel environnement, mois de coexistence par la redevance mensuelle de l’ancien. Le second montant figure déjà sur la facture et est donc vérifiable ; le premier doit être demandé dans l’offre.

La sortie se quantifie avec trois montants : heures d’assistance du prestataire sortant au tarif convenu, coût des outils d’extraction, heures internes nécessaires au successeur. Demandés à l’entrée, ces montants font de la réversibilité un poste de devis.

Choisir le prestataire cloud suisse : critères et comparaison

Une référence dimensionnelle utile vient du secteur public. Avec le Swiss Government Cloud, une nouvelle infrastructure multi-cloud hybride adaptée aux exigences de la Confédération sera créée auprès de l’Office fédéral de l’informatique et des télécommunications, réalisée entre 2025 et 2032. Le crédit d’engagement demandé s’élève à 246,9 millions de francs ; le coût global prévu du projet est de 319,4 millions.

L’infrastructure multi-cloud hybride du SGC est constituée de trois parties et inclut des offres de cloud public et privé. L’offre cloud actuelle de l’OFIT sera remplacée par le SGC. Le projet prévoit des investissements dans cinq domaines importants.

Le SGC est conçu pour les autorités fédérales. Les cantons, villes et communes intéressés pourront également bénéficier de l’offre. Pour le secteur privé, aucun service lié au SGC n’est prévu. Ce n’est donc pas une option pour une entreprise, mais cela indique l’ordre de grandeur des investissements infrastructurels nécessaires pour construire une capacité cloud souveraine.

Le coût de 319,4 millions de francs concerne la construction d’une capacité cloud souveraine pour la Confédération, non la migration d’une entreprise.

Swisscom publie un tarif pour myCloud, service de stockage pour clients privés : 10 Go gratuits, 250 Go à 3.90 par mois, 2 To à 9.90 par mois. C’est un prix de capacité, non de migration : il ne couvre pas le transfert, l’adaptation applicative ou la formation.

myCloud est toutefois une offre pour clients privés : qui opère en tant que client commercial est renvoyé à l’espace clients commerciaux. Les prix de 3.90 et 9.90 par mois ne constituent donc pas une référence pour une migration d’entreprise.

Swisscom met à disposition plus de 250 experts pour les Professional Services. L’offre couvre le conseil, la gestion de projet et l’ingénierie pour la migration, avec Amazon Web Services, Microsoft ou les solutions Swisscom.

Pour évaluer un prestataire local, il convient d’utiliser des critères vérifiables. Compétences : qui gère le projet, avec quelle expérience sur des environnements complexes et avec quelle mise à jour continue des connaissances, comme le déclare faire Swisscom pour sa propre plateforme. Transparence des coûts : séparation entre ponctuel et récurrent, métriques de facturation compréhensibles, coûts de sortie définis contractuellement.

Sécurité et conformité : où résident les données, qui y accède, quelles mesures sont documentées pour les données sensibles. Continuité du service : emplacement des centres de calcul en Suisse, redondance, délais de rétablissement garantis, services gérés et support avec des niveaux de service mesurables.

Une dernière vérification concerne la juridiction : la législation à laquelle sont soumis le prestataire et ses sous-traitants détermine quelles mesures techniques et juridiques ajouter au projet. C’est un critère qui s’évalue en lisant le contrat et la liste des sous-traitants, non la brochure commerciale.

Sur le marché suisse, les prestataires à comparer sont nombreux. Swisscom propose Enterprise Service Cloud et des solutions hybrides. MTF indique parmi ses services la migration IT vers le cloud d’entreprise, avec des données chiffrées dans des centres de données suisses redondants.

Chiffres vérifiés à citer au devis : SGC avec 246,9 millions de francs de crédit d’engagement et 319,4 millions de coût global entre 2025 et 2032 ; myCloud avec 10 Go gratuits, 250 Go à 3.90 par mois et 2 To à 9.90 par mois ; Professional Services Swisscom avec plus de 250 experts. Ce sont des prix de capacité et de compétence, non de transfert. Le prix au gigaoctet transféré doit être demandé dans l’offre.

Un devis vérifiable expose trois totaux : ponctuel, récurrent annuel et sortie. La comparaison entre prestataires se fait sur la somme à trois ou cinq ans. Un poste sans quantité et prix unitaire en francs reste hors comparaison.

Combien coûte en francs la migration des données d’une entreprise vers un cloud suisse se lit uniquement poste par poste. Les postes ont des noms précis : inventaire et classification ; prix au Go ou To transféré ; heures d’ingénierie de migration ; heures de conseil juridique sur les transferts ; redevance mensuelle de capacité ; montant mensuel à la consommation ; redevance mensuelle de connectivité ; conversion des licences et delta annuel ; formation ; double exploitation ; sortie. Chacun avec quantité et prix unitaire en francs, dans le même document.

Le devis se remplit dans un ordre précis : d’abord les quantités, puis les prix unitaires en francs. Les trois premiers postes à obtenir sont le prix au Go ou To transféré, le taux horaire de l’ingénierie de migration et celui du conseil juridique sur les transferts. À partir de ceux-ci, on reconstitue le total à trois ans, avec les autres addendes : double exploitation, licences et sortie.

Indicateurs financiers du projet Swiss Government Cloud (SGC)