Hébergement et cloud en Suisse : critères pour évaluer les SLA

SLA pour l'hébergement et le cloud en Suisse : critères et déclarations

Pour évaluer les SLA d'hébergement et de cloud en Suisse, il convient de distinguer les niveaux contractuels des descriptions d'architecture, de localisation et de support. Les informations concernant Swisscom, Hostpoint et UMB permettent de comparer les caractéristiques déclarées, mais ne suffisent pas à déduire un pourcentage de disponibilité (uptime) ou un temps de rétablissement (Swisscom ; Hostpoint ; UMB). La décision nécessite donc d'aligner le périmètre du service et de vérifier les métriques dans le contrat.

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) signale trois aspects juridiques liés à l'utilisation du cloud : le recours à des responsables et sous-traitants, la sécurité du traitement, ainsi que le transfert de données personnelles vers des pays tiers. Dans la relation avec l'utilisateur, le fournisseur de cloud est généralement responsable ou sous-traitant du traitement au sens de l'art. 9 LPD. Le client peut être lui-même responsable du traitement ou contrôleur.

Il en découle une obligation contractuelle précise : le contrôleur doit garantir par contrat que le responsable du traitement respecte les exigences légales. La comparaison des SLA part donc du contrat de traitement et du rôle du fournisseur, et non pas uniquement de la fiche technique.

Six axes structurent la comparaison nominative : disponibilité garantie, maintenance planifiée, pénalités, localisation des données, support et sécurité. Pour Swisscom, Hostpoint et UMB, les informations publiques couvrent la localisation, l'architecture et le support. La disponibilité, la maintenance et les pénalités restent à demander par écrit.

La comparaison nominative porte sur trois fournisseurs suisses : Swisscom avec son Enterprise Service Cloud, Hostpoint avec ses services d'hébergement, e-mail, domaines et Managed Flex Server, et UMB avec son cloud privé. Chacun avance un argument différent : isolation et intégration, gestion unifiée, protection juridique des données.

Nominativement, le périmètre est également distinct. Swisscom positionne son Enterprise Service Cloud sur l'infrastructure (IaaS) et les plateformes (PaaS) pour des environnements IT complexes et des données sensibles. Hostpoint couvre l'hébergement, les domaines, les e-mails et les Managed Flex Server depuis un panneau unique. UMB fournit un cloud privé pour plusieurs clients ou pour une seule entreprise.

Les promesses concrètes sont déjà lisibles. Swisscom lie l'usage exclusif de la bande passante et de la mémoire à une disponibilité maximale et à une sécurité élevée des données grâce à un fonctionnement isolé en Suisse. Hostpoint déclare une infrastructure gérée entièrement en Suisse et indépendante de fournisseurs tiers.

UMB présente sa solution privée suisse comme l'option la plus sûre pour les entrepreneurs helvétiques, en réponse au risque d'accès par les autorités américaines prévu par le CLOUD Act. Ce sont des arguments qualitatifs : les métriques de disponibilité, les temps de réponse et les crédits de service doivent être demandés contractuellement, fournisseur par fournisseur.

Pour compléter la comparaison nominative, il faut exiger contractuellement certaines rubriques : pourcentages de disponibilité garantie, délais contractuels de première réponse et de rétablissement, pourcentages et seuils des crédits de service, liste des exclusions, préavis des fenêtres de maintenance, siège social, adresse des centres de données, liste et siège des sous-traitants.

La grille distingue les éléments déclarés publiquement de ceux à vérifier dans le contrat. Déclarés : localisation en Suisse, architecture et support. À vérifier : métriques de disponibilité, temps de réponse et de rétablissement, crédits avec leurs seuils. Pour la signature, les deux comptent : les éléments non déductibles de la communication publique doivent être demandés par écrit, fournisseur par fournisseur.

Les formules qualitatives ne doivent pas être converties en pourcentages par supposition. Swisscom décrit des centres de données à haute disponibilité et géoredondants ; Hostpoint parle d'un service fiable ; UMB présente un cloud privé en Suisse (Swisscom ; Hostpoint ; UMB). Seules, ces descriptions ne spécifient pas un objectif chiffré de disponibilité ni une période de mesure.

Il manque les éléments qui définissent un SLA : période de mesure, délais contractuels de première réponse et de rétablissement, pourcentages et seuils des crédits de service, liste des exclusions. Ils doivent être demandés par écrit, fournisseur par fournisseur, avant la signature.

La comparaison qualitative met en lumière des différences d'architecture et de périmètre. Swisscom déclare une géoredondance pour ses centres de données en Suisse ; Hostpoint décrit des produits intégrés et une infrastructure gérée entièrement en Suisse et indépendante de fournisseurs tiers ; UMB propose un cloud privé en Suisse (Swisscom ; Hostpoint ; UMB). Aucune de ces caractéristiques, prise isolément, ne définit les recours contractuels en cas de dysfonctionnement.

Pour rendre les contrats comparables, il faut demander pour chaque service la définition de l'indisponibilité, la période de mesure et les interruptions exclues. Il faut également préciser le préavis et le décompte des maintenances, les temps de première réponse et de rétablissement, ainsi que les seuils, pourcentages et modalités de demande des crédits. Le siège des centres de données et les sous-traitants doivent être documentés séparément.

La fiche de chaque fournisseur devrait distinguer les caractéristiques décrites, comme l'architecture et la localisation, des niveaux garantis contractuellement. Une description d'infrastructure n'équivaut pas à un engagement SLA : pour comparer les garanties, il faut une métrique, une période de référence et un recours définis.

Deux dates cadrent les déclarations. Hostpoint publie son argumentaire le 27 février 2025, signé par Claudius Röllin, Co-Founder et CPO. UMB publie sa thèse le 9 septembre 2025, avec Roberto Aliano comme interlocuteur. Ce sont des dates de publication, et non de validité du SLA.

Métriques SLA : disponibilité, maintenance et crédits

Pour comparer deux SLA, il faut extraire et normaliser les mêmes rubriques : disponibilité garantie et période de mesure ; préavis et décompte des fenêtres de maintenance planifiée ; temps de première réponse et de rétablissement par classe d'incident ; crédits de service, seuils d'activation et exclusions.

Un SLA n'est comparable qu'avec des métriques et un périmètre homogènes. Deux contrats peuvent déclarer des pourcentages similaires mais couvrir des services, périodes, causes et exclusions différents, avec des crédits calculés sur des bases différentes. Avant de comparer les pourcentages, il faut aligner la définition de « l'indisponibilité », les services couverts, la période de référence et les exceptions. Alors seulement le chiffre prend le même sens.

Les pénalités se lisent avec les seuils. Un crédit qui ne s'active qu'au-delà d'une certaine durée d'interruption, ou limité à un pourcentage du redevance mensuelle, offre moins de protection qu'un remboursement automatique. Il faut demander comment le crédit est calculé, qui l'active et si une demande formelle de l'acheteur est requise.

Pour la comparaison nominative, les mêmes questions doivent être posées sous la même forme à Swisscom, Hostpoint et UMB. Disponibilité garantie et période de mesure. Préavis et décompte de la maintenance. Délais contractuels de première réponse et de rétablissement. Seuils et pourcentages des crédits, avec les exclusions applicables.

Les fournisseurs communiquent la disponibilité surtout sous forme qualitative : Swisscom parle de disponibilité maximale, Hostpoint de service fiable, UMB de protection des données dans le cloud privé suisse. Pour les comparer, il faut traduire ces formules en clauses contractuelles : disponibilité garantie, période, maintenance, temps de réponse et de rétablissement, crédits, seuils et exclusions.

Swisscom accompagne la disponibilité maximale de la formule « Protection maximale contre les interruptions avec une faible latence » et promet une performance IT excellente et stable. Ce sont des engagements déclarés, non des métriques contractuelles : le pourcentage garanti et la période de mesure restent à fixer par écrit.

Nominativement, le point de départ diffère. Swisscom déclare une disponibilité maximale et la lie à l'usage exclusif de la bande passante et de la mémoire. Hostpoint déclare un service fiable et un support proche du client. UMB place au centre la protection des données dans le cloud privé suisse. La période de mesure et la définition contractuelle de « l'indisponibilité » doivent être demandées par écrit pour chacun des trois fournisseurs.

Les chiffres à obtenir par contrat sont : le pourcentage de disponibilité garantie et la période de mesure ; les temps de première réponse et de rétablissement ; les pourcentages des crédits de service. Pénalités, seuils et exclusions restent des clauses à négocier.

Nominativement, les formules ne sont pas des métriques. Swisscom lie la disponibilité maximale à l'usage exclusif de la bande passante et de la mémoire. Hostpoint lie la fiabilité au support proche du client. UMB lie la sécurité au cloud privé suisse. Dans les extraits disponibles, aucune des trois n'est un pourcentage.

Pour comparer la maintenance planifiée, il faut demander à Swisscom, Hostpoint et UMB quel préavis ils appliquent, comment ils comptabilisent les fenêtres et si celles-ci impactent la disponibilité mesurée. Enregistrer la réponse sous la même forme pour les trois, en distinguant les maintenances ordinaires des interventions urgentes éventuelles.

Pour les crédits de service, vérifier avec chaque fournisseur quel seuil les active, comment le montant est calculé et si le client doit présenter une demande. La comparaison n'est utile que si les pourcentages, la base de calcul, les exclusions et la procédure sont explicités de manière homogène.

Pour recueillir des réponses comparables, demander à Swisscom, Hostpoint et UMB le pourcentage garanti, la base temporelle, les événements exclus et la méthode de mesure. Préciser également quel service est comptabilisé et comment le client peut consulter les résultats. Un pourcentage isolé ne permet pas une comparaison homogène.

La fiche de comparaison devrait avoir une ligne par fournisseur et des champs distincts pour la disponibilité, la maintenance et les crédits. Pour chaque valeur, enregistrer la définition, la période de référence et les exclusions ; pour chaque recours, indiquer le seuil et la procédure d'activation. Ainsi, les formules commerciales restent séparées des engagements contractuels.

Swisscom associe aux formules de disponibilité les Managed Services, avec des « services opérationnels fournis depuis la Suisse », un « niveau de sécurité maximal » et une « conformité rigoureuse ». C'est une déclaration de modèle opérationnel. Les temps de première réponse et de rétablissement n'en découlent pas : ils doivent être fixés dans le contrat.

Performances et architecture des services d'hébergement et de cloud

Sur le plan technique, la comparaison dépend du scénario. La latence vers les utilisateurs finaux compte. La redondance prévue dans l'infrastructure compte. Il importe de savoir si la capacité de calcul et la mémoire sont dédiées ou partagées avec d'autres clients. Le degré d'isolation de l'environnement compte. La manière et la rapidité avec laquelle on peut monter en charge en cas de pics comptent.

L'hébergement partagé, les serveurs dédiés et le cloud privé répondent différemment à chaque point. Les promesses contractuelles varient en conséquence.

Certains fournisseurs suisses formulent des engagements techniques explicites. Swisscom décrit l'Enterprise Service Cloud comme une solution avec des ressources dédiées en exclusivité : bande passante et mémoire. L'objectif déclaré est une disponibilité maximale et une protection élevée grâce à un fonctionnement isolé en Suisse. Swisscom cite également une faible latence, une haute scalabilité et une intégration avec les centres de calcul on premise et l'infrastructure Public Cloud.

Swisscom associe à l'Enterprise Service Cloud des services réseau, de sécurité et des Managed Services, par exemple pour exploiter l'automatisation. Le cloud est présenté comme un outil pour traiter des données sensibles et respecter les règles de conformité.

Hostpoint affirme gérer l'infrastructure entièrement en Suisse et de manière indépendante des fournisseurs tiers. Il déclare investir plusieurs millions chaque année dans l'infrastructure serveur et le développement de son propre logiciel.

UMB décrit le Private Cloud comme pouvant être fourni soit pour plusieurs clients, soit pour une seule entreprise, toujours dans le respect des normes suisses strictes en matière de protection des données. C'est la variante que le fournisseur oppose aux clouds étrangers.

Dans la comparaison, il est utile de demander quelle architecture se trouve sous le SLA. Si la capacité est garantie ou en « best effort ». Si l'isolation est physique ou logique. Où se trouvent les systèmes redondants. Si le fournisseur dépend de tiers pour des parties critiques. Les réponses déterminent dans quelle mesure le SLA est réalisable.

Les trois fournisseurs ne couvrent pas les mêmes scénarios. Swisscom et UMB s'adressent au cloud privé pour les entreprises ; Hostpoint couvre également l'hébergement web, les domaines, les e-mails et les Managed Flex Server. Swisscom vend l'Enterprise Service Cloud pour des environnements IT complexes et des données sensibles. UMB présente sa solution privée suisse comme l'option la plus sûre pour les entrepreneurs helvétiques. Hostpoint mise sur une infrastructure propre, gérée entièrement en Suisse.

Pour ses propres centres de données, Swisscom indique que les données sont archivées uniquement en Suisse et que la géoredondance est garantie à l'intérieur des frontières nationales (Swisscom). C'est une information sur l'archivage et l'infrastructure ; le contrat doit préciser quels services et charges de travail il couvre.

Swisscom déclare que, si un centre de données devient indisponible, un autre est immédiatement activé (Swisscom). Cette indication décrit la gestion de l'infrastructure, tandis que le temps de rétablissement garanti pour le service individuel doit être défini dans le SLA correspondant.

La redondance de l'infrastructure et la disponibilité contractuelle sont des aspects distincts. Dans la comparaison, vérifier quels composants sont redondants, quelles pannes activent le basculement vers un autre système et si le temps de rétablissement est garanti pour le service acheté. La formulation du SLA doit se référer au périmètre effectif.

Sur le plan des performances, les chiffres contractuels — latence garantie, capacité minimale, temps de rétablissement — doivent être demandés par contrat. Swisscom cite une faible latence, Hostpoint des temps de chargement rapides ; pour UMB, les métriques de performance doivent être demandées au fournisseur.

Nominativement, il subsiste une différence de périmètre. Swisscom couvre l'IaaS et le PaaS dans l'Enterprise Service Cloud. Hostpoint couvre l'hébergement web, les domaines, les e-mails et les Managed Flex Server. UMB couvre le cloud privé, pour plusieurs clients ou pour une seule entreprise. Le périmètre détermine quelles métriques il est pertinent de demander.

Les descriptions de localisation ont des périmètres différents : Swisscom indique une géoredondance des centres de données en Suisse ; Hostpoint déclare une infrastructure gérée entièrement en Suisse et indépendante de fournisseurs tiers ; UMB affirme que son cloud privé est en Suisse (Swisscom ; Hostpoint ; UMB). Ces déclarations ne prouvent pas que les trois services offrent les mêmes ressources ou le même SLA.

Pour interpréter les déclarations architecturales, distinguer le lieu d'archivage de l'isolation des ressources et de la redondance des systèmes. Demander si la capacité est dédiée ou partagée, quels composants sont redondants et quelles dépendances envers des tiers entrent dans le périmètre contractuel.

Pour comparer les performances, associer chaque indicateur au service et à la charge de travail concernés. La latence, la capacité minimale et les temps de rétablissement doivent avoir une définition et une méthode de vérification ; sans ces éléments, une description architecturale ne permet pas d'évaluer l'engagement mesurable du fournisseur.

Localisation des données et responsabilité des fournisseurs

La localisation des données et la chaîne des fournisseurs peuvent peser plus lourd qu'un dixième de point de disponibilité. Le PFPDT compte parmi les aspects pertinents les responsables et sous-traitants, ainsi que le transfert de données personnelles vers des pays tiers. Demander la liste des sous-traitants et leur siège fait partie de la comparaison, ce n'est pas un détail formel.

UMB illustre par un exemple pourquoi la localisation et la nationalité du fournisseur comptent. Le CLOUD Act américain permet aux autorités des États-Unis de contraindre les entreprises américaines à divulguer des données, même si elles sont archivées à l'étranger.

Selon UMB, un entrepreneur suisse qui utilise un fournisseur de cloud basé aux États-Unis risque que des données sensibles soient consultées par les autorités américaines sans préavis ni recours. Cela serait probablement en contradiction avec les lois suisses sur la protection des données.

UMB rappelle que la Suisse est leader mondial dans la protection des données, une primauté qui se reflète dans les lois fédérales. Il ajoute un élément temporel : les récentes mesures américaines, comme le licenciement de certains membres du Privacy and Civil Liberties Oversight Board en janvier 2025, ont affaibli des mécanismes de contrôle jugés cruciaux pour le cadre UE-USA. Elles soulèvent des doutes sur la durabilité à long terme.

Du côté suisse, UMB rappelle que la loi fédérale sur la protection des données mise à jour en 2023 (LPD) s'oriente fortement vers le RGPD de l'Union européenne. Elle prescrit des règles strictes en matière de transparence, de sécurité et de responsabilité dans la gestion des données. Aux États-Unis, il manque une loi unifiée ; règne un système fragmenté de normes sectorielles.

En pratique, dans la grille de comparaison, inscrire pour chaque fournisseur le siège social et le siège des centres de données. Ajouter la liste et le siège des sous-traitants. Indiquer les transferts vers des pays tiers et leur base juridique. Ajouter une déclaration sur la manière dont le fournisseur réagit aux demandes d'accès des autorités étrangères.

Sur la localisation, les trois fournisseurs argumentent de manière distincte. Swisscom indique un fonctionnement isolé en Suisse. Hostpoint déclare une infrastructure gérée entièrement en Suisse et indépendante de tiers. UMB fait de sa solution privée suisse la réponse au risque d'accès par les autorités américaines prévu par le CLOUD Act. Le siège social et le siège des centres de données restent la première cellule à remplir.

Hostpoint ajoute un argument de conformité territoriale : les entreprises suisses peuvent échanger des données avec les États de l'UE/EEE sans garanties légales supplémentaires. C'est une affirmation à mettre en regard de l'analyse d'UMB sur le CLOUD Act et des garanties d'isolation en Suisse de Swisscom.

Nominativement, la liste des sous-traitants est une rubrique à demander au fournisseur et à annexer au contrat. Le PFPDT la compte parmi les aspects pertinents du traitement dans le cloud.

La localisation n'est pas une métrique de disponibilité : les cellules à remplir restent le siège social, l'adresse des centres de données, la liste et le siège des sous-traitants, les transferts vers des pays tiers et leur base juridique.

Swisscom indique des centres de données à Bâle, Berne, Genève, Lausanne, Lugano et Zurich (2) (Swisscom). Hostpoint déclare une infrastructure gérée entièrement en Suisse et indépendante de fournisseurs tiers, tandis qu'UMB affirme que le cloud privé est en Suisse (Hostpoint ; UMB). Les déclarations distinguent les localités spécifiques et les garanties référées au pays.

Hostpoint affirme que les entreprises suisses peuvent échanger des données avec les États de l'UE/EEE sans garanties légales supplémentaires (Hostpoint). UMB soutient que le CLOUD Act permet aux autorités américaines de contraindre les entreprises américaines à divulguer des données même si elles sont archivées à l'étranger et signale le risque pour ceux qui utilisent un fournisseur basé aux États-Unis (UMB). Juridiction et localisation doivent être évaluées séparément.

Support et gestion des services

Le support est la partie du SLA qui ne se vérifie que lorsque quelque chose ne fonctionne pas. Comparer les canaux, horaires, langues, les temps de première réponse, l'escalade, l'interlocuteur technique et la gestion unifiée. Si l'hébergement, les domaines et les e-mails sont gérés par des fournisseurs différents, le diagnostic d'une panne nécessite plusieurs interlocuteurs.

Les prestataires locaux construisent ici leur argumentaire commercial. Hostpoint soutient que la connexion étroite entre l'hébergement web, les e-mails et les domaines dans un seul système garantit une plus grande efficacité et des charges administratives moindres. Il ajoute que la gestion via un seul login est le choix le plus approprié.

Le panneau de contrôle permet de gérer dans un environnement unique les e-mails et le cloud office, les domaines, l'hébergement web et les Managed Flex Server. Hostpoint indique parmi les critères pertinents un support proche du client et une gestion par un seul fournisseur. Il rappelle que les coûts et les performances du serveur ne sont pas les seuls critères d'achat.

Swisscom se présente comme un partenaire IT local qui intègre le cloud dans le réseau de l'entreprise, l'infrastructure et les processus. Elle offre des services réseau, de sécurité et des managed services. Dans la comparaison, traduire ces déclarations en questions vérifiables. À quels horaires le support répond-il, dans quelle langue, avec quel temps de première réponse contractualisé. Qui gère l'escalade lorsque le problème implique plusieurs services.

Là aussi, la comparaison est nominative. Hostpoint met en avant un support proche du client, une gestion par un seul fournisseur et un seul login pour les e-mails, le cloud office, les domaines, l'hébergement web et les Managed Flex Server. Son site est publié en italien, allemand, français et anglais. Les horaires, les langues et les canaux du support doivent être vérifiés dans le contrat, pour chacun des trois fournisseurs.

Hostpoint signe son argumentaire pour l'hébergement web en Suisse le 27 février 2025 avec Claudius Röllin, Co-Founder et CPO. C'est le nom qui souscrit la promesse d'un support proche du client.

Un interlocuteur nominatif ou un numéro direct ne définit pas à lui seul la couverture du support. Dans le contrat, indiquer les canaux, les horaires, les langues, les priorités des incidents, l'escalade et les temps de première réponse pour chaque service, en précisant qui coordonne les cas impliquant plusieurs composants.

Les horaires de couverture, les langues du support et le temps contractuel de première réponse sont des rubriques à vérifier dans le contrat de Swisscom, Hostpoint et UMB.

Pour comparer le support, demander à tous les fournisseurs les mêmes conditions : horaires de couverture, canaux utilisables, langues, escalade et temps de réponse par classe d'incident. Une personne de contact peut faciliter la communication, mais ne remplace pas ces engagements contractuels.

Hostpoint réunit dans un seul panneau les e-mails et le cloud office, les domaines, l'hébergement web et les Managed Flex Server ; il présente également le support proche du client comme un avantage (Hostpoint). Ces éléments décrivent la gestion et le positionnement, non les horaires ou les temps de réponse garantis. Pour Swisscom et UMB, vérifier les mêmes conditions contractuelles.

Le support est aussi un argument de vente nominatif. Swisscom promet des services opérationnels fournis depuis la Suisse et une équipe d'experts. Hostpoint un panneau unique et un support proche du client. UMB un interlocuteur avec numéro direct. Dans les extraits disponibles, aucune des trois promesses ne contient un temps contractuel.

Sécurité, sauvegardes et continuité

Les sauvegardes, le rétablissement, la surveillance et les mesures de sécurité ne sont pas toujours détaillés dans le SLA. Ils sont toutefois couverts par les obligations de protection des données. Le PFPDT rappelle la sécurité du traitement parmi les trois aspects centraux du cloud. L'utilisateur doit garantir par contrat que le responsable respecte les exigences de traitement prévues par l'art. 9 LPD. La sécurité doit être convenue et documentée, pas seulement déclarée.

Sur le plan opérationnel, la vérification porte sur la fréquence et la conservation des sauvegardes. Où se trouvent les copies. Temps objectif de rétablissement et point de restauration. Qui accède aux données et avec quelles accréditations. Quelles mesures techniques et organisationnelles sont décrites dans le contrat. Quels rapports d'audit ou certifications le fournisseur offre-t-il. Comment et dans quel délai les incidents sont-ils notifiés.

Les garanties doivent être demandées sous forme vérifiable. Une déclaration générique de « sécurité maximale » ne permet pas de comparer deux fournisseurs. Une annexe technique avec des mesures, des temps de rétablissement et des procédures de notification, si.

Swisscom lie des ressources dédiées — bande passante et mémoire — à une disponibilité maximale et à une protection élevée grâce à un fonctionnement isolé en Suisse. Elle indique également que le cloud sert à traiter des données sensibles et à respecter les règles de conformité. C'est un exemple de sécurité traduite en caractéristique architecturale à vérifier dans le contrat.

Les trois fournisseurs déclinent la sécurité différemment. Swisscom la traduit en architecture : ressources dédiées et fonctionnement isolé en Suisse. Hostpoint la traduit en infrastructure propre, gérée en Suisse et indépendante de tiers, avec des investissements annuels de plusieurs millions. UMB la traduit en choix juridique : cloud privé suisse contre le CLOUD Act.

La vérification nominative se formule de manière identique. Pour Swisscom : si les ressources dédiées et le fonctionnement isolé en Suisse valent aussi pour les sauvegardes et le rétablissement. Pour Hostpoint : si l'infrastructure propre couvre les copies de sécurité. Pour UMB : quelles mesures techniques accompagnent le cloud privé suisse.

La fréquence et la conservation des sauvegardes, le temps objectif de rétablissement, le point de restauration et le délai de notification des incidents sont des rubriques que le SLA ne détaille souvent pas ; elles doivent être demandées par écrit et vérifiées par rapport aux obligations de sécurité du traitement rappelées par le PFPDT.

La fréquence et la conservation des sauvegardes, le temps objectif de rétablissement, le point de restauration et le délai de notification des incidents sont des rubriques à demander par écrit. Swisscom, Hostpoint et UMB déclinent la sécurité de manière architecturale ou juridique ; les métriques doivent être demandées par contrat.

Les descriptions des fournisseurs concernent surtout l'architecture et la localisation. Swisscom indique un archivage en Suisse et une géoredondance ; Hostpoint déclare une infrastructure gérée entièrement en Suisse et indépendante de fournisseurs tiers ; UMB présente un cloud privé en Suisse (Swisscom ; Hostpoint ; UMB). Ces caractéristiques ne spécifient pas la fréquence des sauvegardes ni les temps de rétablissement.

Une déclaration sur la localisation des données n'éclaire pas la manière dont sont gérées les sauvegardes, les accès ou les incidents. Pour comparer les garanties de sécurité, demander des procédures documentées, des responsabilités opérationnelles et des preuves de rétablissement, en distinguant les mesures déclarées des résultats que le fournisseur s'engage à garantir.

Dans le contrat, préciser la fréquence et la conservation des sauvegardes, le temps et le point objectif de rétablissement et le délai de notification des incidents. Indiquer également qui exécute les opérations, comment elles sont documentées et quels services sont couverts. Ce sont des rubriques à comparer séparément pour Swisscom, Hostpoint et UMB.

Choisir l'hébergement et le cloud selon les besoins

Le même SLA ne convient pas à tous. Pour un site web d'entreprise et une boîte mail, dominent la continuité du service, la gestion unifiée de l'hébergement, des domaines et des e-mails, ainsi que la rapidité du support. Pour un environnement enterprise avec des données sensibles, deviennent centraux l'isolation, la capacité dédiée, l'intégration avec l'IT existant, la conformité et les clauses sur les accès étrangers. Pour le secteur public s'ajoutent la transparence, l'interopérabilité et la fiabilité des services numériques.

Pour un site d'entreprise, les boîtes mail et les domaines, Hostpoint propose la gestion des e-mails et du cloud office, des domaines, de l'hébergement web et des Managed Flex Server dans un seul panneau (Hostpoint). Dans la comparaison SLA, vérifier séparément la disponibilité de chaque service et le support prévu lorsqu'un problème implique plusieurs composants.

Pour un environnement avec des données sensibles, il ne suffit pas d'évaluer le siège du centre de données. Il faut clarifier qui peut accéder aux données, quels systèmes et copies sont couverts, comment la continuité est gérée et quels temps de réponse et de rétablissement le fournisseur garantit. Le périmètre doit correspondre aux charges de travail effectives.

Pour celui qui évalue un cloud privé suisse, UMB affirme que son Private Cloud est en Suisse et peut être fourni à plusieurs clients ou à une seule entreprise (UMB). Le choix nécessite toutefois de définir dans le contrat les accès, les responsabilités, la continuité et les niveaux de service.

Les besoins de continuité et de protection des données doivent être traduits en clauses vérifiables. Pour chaque fournisseur, spécifier les services couverts, la méthode de mesure de la disponibilité, les exceptions admises et les recours en cas de non-respect. Ainsi, les propositions peuvent être comparées sur la même base.

Pour une organisation qui travaille avec plusieurs fournisseurs, vérifier également la chaîne des sous-traitants, les transferts de données et la gestion des demandes d'accès. Ces informations doivent accompagner les métriques SLA, sans confondre la protection juridique des données avec la disponibilité ou les temps de rétablissement.

Traduit en noms : pour un site d'entreprise, des boîtes mail et des domaines, le périmètre typique est celui de Hostpoint, avec hébergement, e-mails, domaines et Managed Flex Server dans un seul panneau. Pour des environnements IT complexes et des données sensibles, Swisscom oriente vers l'Enterprise Service Cloud. UMB positionne sa solution privée suisse comme l'option la plus sûre pour les entrepreneurs helvétiques.

Si le critère est la disponibilité garantie, le pourcentage doit être demandé par contrat à chaque fournisseur. Le choix se joue alors aussi sur l'architecture, la localisation des données et le support. Pour le secteur public, pèsent la transparence, les standards et l'interopérabilité.

La correspondance entre service et scénario aide à formuler les questions : Hostpoint réunit dans un panneau hébergement, e-mails, domaines et Managed Flex Server ; Swisscom décrit des services pour des centres de données en Suisse ; UMB propose un cloud privé hébergé en Suisse (Hostpoint ; Swisscom ; UMB). Pour tous, la disponibilité et les temps doivent être vérifiés dans le contrat.

Pour le secteur public, la grille s'élargit à la transparence des offres numériques, à l'utilisation de données et de solutions basées sur des standards, à l'interopérabilité entre applications et à l'identité électronique avec des droits d'accès spécifiques. Ce sont des objectifs stratégiques de l'Administration fédérale. Un fournisseur qui les documente réduit le risque de dépendance.

Checklist pour comparer les SLA des fournisseurs

Une méthode pratique s'articule en six étapes. Première : définir les priorités selon le scénario (continuité, performances, localisation, sécurité, support, coûts) et attribuer à chacune un poids.

Deuxième : normaliser les métriques. Pour chaque fournisseur, réécrire sous la même forme la disponibilité garantie, la période de mesure, le traitement de la maintenance, les temps de réponse et de rétablissement, les crédits de service, les seuils et les exclusions. Troisième : vérifier les références et la documentation, y compris les certifications et les rapports d'audit disponibles.

Quatrième : lire les clauses sur les pénalités et la sortie. Comment les crédits s'activent, avec quel préavis on se retire, comment on exporte les données et dans quels formats, ce qu'il advient des données à la fin du contrat.

Cinquième : tester le support et le rétablissement. Poser des questions techniques au support à différents horaires et demander une preuve de rétablissement ou au moins la description documentée de la procédure. Sixième : calculer les coûts totaux, pas seulement la redevance. Inclure les sauvegardes, les services gérés, la migration, la formation et les charges administratives liées à la gestion de plusieurs fournisseurs.

Pour la décision finale, un tableau avec les fournisseurs en lignes et les critères en colonnes est utile. Disponibilité garantie (avec période et définition de l'indisponibilité). Performances (latence, redondance, capacité dédiée ou partagée, isolation, scalabilité).

Localisation (siège des centres de données, liste des sous-traitants, transferts vers des pays tiers, gestion des demandes des autorités étrangères). Sécurité (sauvegardes, temps de rétablissement, surveillance, audit, notification des incidents). Support (canaux, horaires, langues, escalade, gestion unifiée). Coûts totaux (redevance plus services accessoires et frais de gestion).

Dans le tableau, les noms à comparer sont au moins trois : Swisscom avec l'Enterprise Service Cloud, Hostpoint avec l'hébergement, les domaines, les e-mails et les Managed Flex Server, UMB avec sa solution privée suisse. Si une cellule reste vide, la donnée manque et doit être demandée par écrit au fournisseur avant la signature.

Transposée en lignes et colonnes, la table nominative a trois lignes : Swisscom avec l'Enterprise Service Cloud, Hostpoint avec l'hébergement, les domaines, les e-mails et les Managed Flex Server, UMB avec la solution privée suisse. Les colonnes sont la disponibilité, les performances, la localisation, la sécurité, le support et les coûts totaux.

Certaines colonnes se remplissent déjà avec ce que les fournisseurs déclarent. Swisscom : ressources dédiées — bande passante et mémoire —, fonctionnement isolé en Suisse, intégration avec les centres de calcul on premise et l'infrastructure Public Cloud. Hostpoint : infrastructure propre gérée entièrement en Suisse, indépendante de tiers, panneau unique et site en italien, allemand, français et anglais. UMB : cloud privé suisse contre le CLOUD Act.

Avant la signature, obtenir par écrit les rubriques que le contrat peut préciser : disponibilité garantie avec période de mesure, préavis et décompte des fenêtres de maintenance, délais contractuels de première réponse et de rétablissement.

Demander aussi les seuils et pourcentages des crédits de service, la liste des exclusions, le siège social et le siège des centres de données, la liste et le siège des sous-traitants. Chaque cellule doit être remplie avec la donnée contractuelle du fournisseur, pas avec l'impression commerciale. Ainsi, les différences apparaissent avant la signature et non pendant un incident.

Avant la signature, il faut demander par écrit au fournisseur, pour chacun des trois noms : le pourcentage de disponibilité garantie et la période de mesure ; les temps de première réponse et de rétablissement ; les crédits de service avec seuils et exclusions ; le préavis et le décompte des fenêtres de maintenance ; le siège social et l'adresse des centres de données ; la liste et le siège des sous-traitants.

Trois cellules requièrent la donnée contractuelle : le pourcentage de disponibilité garantie avec période de mesure, les temps de première réponse et de rétablissement, les pourcentages et seuils des crédits avec exclusions. Ils doivent être demandés par écrit à chacun des trois noms.

Le tableau distingue les caractéristiques documentées des clauses SLA à vérifier. Pour Swisscom, on peut enregistrer les centres de données en Suisse et la géoredondance ; pour Hostpoint, l'infrastructure gérée entièrement en Suisse et indépendante de fournisseurs tiers et le panneau unique ; pour UMB, le cloud privé en Suisse (Swisscom ; Hostpoint ; UMB). La disponibilité, la maintenance et les crédits doivent être remplis avec les conditions contractuelles.

Comme trace pour les clauses, le PFPDT renvoie à des outils en allemand : la « Checkliste zur Auswahl eines Cloud-Dienstes » (2022) de l'Office fédéral allemand pour la sécurité de l'information et la notice actualisée de privatim « Cloud-spezifische Risiken und Massnahmen » (2022). Elles listent les cases à cocher ; les valeurs doivent être obtenues auprès des fournisseurs.

Trois questions clôturent les cellules vides. Quel pourcentage de disponibilité est garanti et sur quelle période est-il mesuré ? Quelles interruptions et quelles fenêtres de maintenance sont exclues ? Quel crédit de service s'active, avec quel seuil et avec quelle procédure ? Les réponses doivent être annexées au contrat.