Souveraineté numérique en santé : la couche dont personne ne fait de communiqué de presse

La réputation d’un horloger suisse repose sur ce que vous ne pouvez pas voir. Les rouages visibles qui font tourner les aiguilles d’une montre de précision ne sont pas ce qui distingue un instrument de précision d’un jouet. Ils sont nécessaires, magnifiquement finis, et un acheteur avisé les examinera. Mais ce ne sont pas la montre.

La montre, c’est l’échappement. Ce petit mécanisme précisément conçu convertit l’énergie accumulée du ressort moteur en mouvement régulé et mesurable. Il bat derrière le cadran, caché du porteur, effectuant l’unique travail dont tout le reste dépend. Retirez-le, et le mouvement le plus magnifiquement décoré devient de la ferraille.

Le même principe s’applique aux infrastructures numériques souveraines. Les composants visibles — la plateforme, le fournisseur de cloud, les charges de travail conteneurisées, le centre de données sur territoire national — sont nécessaires et impressionnants. Ce sont aussi les parties les plus faciles à discuter et les plus faciles à mettre dans un communiqué de presse. Mais ce sont les rouages et les aiguilles.

Le calcul souverain est nécessaire. Il n’est pas suffisant.

Pourquoi les choix de HIN sont un modèle, non un cas d’étude

HIN — Health Info Net — se situe derrière environ 90 % des parties prenantes du secteur de la santé suisse. Médecins, hôpitaux, pharmacies, assureurs, laboratoires. Quand HIN se modernise, ce n’est pas un pilote. C’est la transformation de la base de confiance d’un secteur national entier.

Donc quand Red Hat a annoncé à son Summit à Atlanta en mai 2026 que HIN avait migré vers Red Hat OpenShift, fonctionnant sur deux clouds suisses souverains — Cloudscale et Exoscale — et géré 24h/24 et 7j/7 par VSHN avec une disponibilité cible de 99,99 %, ce n’était pas une victoire vendeur de routine. C’était un secteur régulé qui pariait son avenir opérationnel sur une architecture ouverte, délibérément répartie entre deux fournisseurs pour qu’aucun vendeur unique ne contrôle la ligne d’accès à la santé numérique suisse.

Le travail a été sérieux, et les personnes qui l’ont réalisé méritent d’être nommées. Aarno Aukia, cofondateur de VSHN, a décrit le choix architectural simplement : « Nous avons choisi Red Hat OpenShift pour répondre aux exigences de sécurité et de multi-tenancy de HIN. La solution a fourni la base appropriée pour construire l’architecture de sécurité adéquate. » Son équipe a mis en place le nouvel environnement en 36 heures. Mohammad Alavi, CTO de HIN, a décrit ce que la migration a changé dans sa propre organisation : « Nous n’avions jamais eu d’approche d’expérimentation rapide auparavant, et notre environnement hérité ne nous permettait pas d’utiliser l’automatisation. C’était une expérience extraordinaire de passer à DevOps et d’autonomiser nos développeurs avec une culture entièrement nouvelle. »

Richard Zobrist, Country Manager Suisse de Red Hat, a cadré la question stratégique : « La souveraineté numérique exige le contrôle opérationnel de la technologie, la flexibilité stratégique et la confiance. »

Mais le cas d’étude mentionne un service presque en passant. La messagerie chiffrée pour les communications médecin-patient. Cette seule phrase est où l’histoire la plus intéressante commence.

L’infrastructure souveraine stocke les données. L’infrastructure de confiance les déplace.

Il y a au moins deux choses très différentes que « messagerie chiffrée » peut signifier, et la plupart des discussions dans notre secteur les confondent si complètement que la signification la plus importante disparaît entièrement de la conversation.

La version facile est TLS en transit. Les octets sont brouillés entre l’appareil de l’utilisateur et les serveurs de la plateforme, et encore entre la plateforme et le destinataire. C’est un prérequis. Chaque système de messagerie moderne le fait. Cela protège contre les écouteurs passifs sur le réseau et contre le WiFi public non sécurisé. Cela ne protège pas, en aucune façon structurelle, contre la plateforme elle-même. L’opérateur de plateforme se tient au milieu, détient les clés, et lit, indexe et renouvelle la clé du message à volonté. Le verrou est réel. La plateforme a une copie de la clé.

La version plus difficile est l’échange vérifié de bout en bout. Les identités de l’expéditeur et du destinataire sont affirmées cryptographiquement au moment de l’échange, par les participants eux-mêmes, non déléguées à un opérateur de plateforme. Le contenu est confidentiel par construction, non confidentiel par politique. Un médecin peut prouver qu’un message est arrivé intacte et a été ouvert par le patient prévu. La plateforme ne peut pas la lire, ne peut pas la réécrire, et ne peut pas discrètement substituer un destinataire à un autre.

Cette distinction compte plus en santé qu’à peu près partout ailleurs. Un médecin et un patient communiquant par un canal médiatisé par la plateforme font confiance, par défaut, à la plateforme avec des informations qui légalement et éthiquement ne doivent pas être partagées. La résidence des données suisse vous dit où les octets se situent physiquement. Cela ne vous dit rien sur qui peut les lire en mouvement.

L’infrastructure souveraine est nécessaire. Elle ne répond pas, en elle-même, à la question de savoir qui peut lire le message.

HIN a compris cela. C’est pourquoi sa modernisation infrastructurelle n’a pas été un projet à une seule couche.

Un coffre-fort verrouillé avec une porte moustiquaire

Pensez aux infrastructures numériques du secteur régulé comme à un bâtiment avec deux propriétés de sécurité distinctes. La première est le coffre-fort — où les données vivent. La deuxième est la porte — comment les données entrent et sortent, et qui peut passer.

Le travail de Red Hat et VSHN traite le coffre-fort. Où les données vivent-elles ? Dans des clouds suisses souverains, sur une plateforme ouverte, exploités par des personnes qui répondent à la loi suisse et aux clients suisses, sans dépendance à un vendeur unique et une disponibilité cible qui signifie une vraie continuité pour de vrais patients. Le communiqué de presse atterrit au Red Hat Summit parce que c’est un véritable accomplissement. Construire un environnement OpenShift multi-tenant, souverain, double cloud qui répond aux exigences de sécurité et opérationnelles de qualité santé est véritablement difficile. Les personnes qui l’ont réalisé méritent la visibilité qu’elles reçoivent.

La couche un est résolue. Mais la couche deux est celle dont les secteurs régulés bricolent depuis trente ans.

La couche de messagerie chiffrée traite la porte. Comment les données se déplacent-elles d’une organisation à une autre, selon quelles garanties d’identité, avec quel audit, avec quelle assurance que l’opérateur de plateforme est structurellement incapable de compromettre l’échange ? Cette question est indépendante de la couche infrastructurelle. Vous pouvez fonctionner sur un cloud parfaitement souverain et toujours router chaque message médecin-patient à travers un modèle de confiance contrôlé par quelqu’un d’autre.

Le calcul souverain plus la communication vérifiée cryptographiquement produit quelque chose que les secteurs régulés recherchent depuis trente ans : une infrastructure qui est digne de confiance par architecture, non par politique.

Le cas d’étude note que HIN fait partie des premières entreprises suisses à adopter une architecture zéro confiance. La confiance zéro part d’une prémisse simple : supposez qu’une partie de l’infrastructure sera compromise. Concevez en fonction de cela. Si vous prenez cette prémisse au sérieux, la couche de communication ne peut pas être une réflexion rétrospective, car c’est précisément la couche qui doit continuer à fonctionner quand l’hypothèse se réalise.

La couche un est résolue.

HIN n’improvise pas. Et cela compte bien au-delà de la Suisse.

Un modèle pour ce qui vient ensuite

L’Espace européen des données de santé mandate l’échange transfrontalier de données de santé dans 27 États membres. Le programme DigiSanté de la Suisse construit l’équivalent national. Chacune de ces initiatives, tôt ou tard, doit répondre à la même question architecturelle que HIN a maintenant répondue en production : infrastructure souveraine, plus quoi ?

Le déploiement de HIN est le premier modèle opérationnel pour une infrastructure numérique du secteur régulé faite correctement. Plateforme ouverte sur des clouds souverains, exploitée selon la loi suisse, avec communication vérifiée de bout en bout portant le contenu le plus sensible. Non comme une diapositive de feuille de route. Comme des services en fonctionnement, en production, aujourd’hui, pour les personnes qui fournissent réellement les soins de santé en Suisse.

Aarno Aukia, encore : « La santé est une industrie prudente, mais c’est aussi une industrie qui a un véritable impact sur la vie des citoyens. » Cet impact est exactement pourquoi la couche ennuyeuse et invisible compte. La question difficile pour n’importe quel pays, n’importe quel secteur, n’importe quelle institution qui traite les communications qu’elle ne peut pas se permettre d’exposer n’est pas si vos données sont stockées dans le bon pays. C’est si les personnes censées communiquer sont réellement celles qui parlent.

Cette réponse n’est pas dans les rouages. Elle est dans l’échappement.