Cadre de l'UE en matière de souveraineté du cloud

Le cadre de souveraineté du cloud de l'UE (CSF) est une méthodologie axée sur les marchés publics qui définit et évalue la souveraineté du cloud à l'aide de critères structurés et de niveaux d'assurance (SEAL). Il offre une méthode cohérente pour évaluer dans quelle mesure les services cloud répondent aux objectifs de souveraineté sur les plans juridique, opérationnel et technique, dans le cadre des marchés publics de l'UE. 

Ce cadre traduit le concept de souveraineté numérique en critères d'évaluation mesurables. Il permet d'évaluer les services cloud en fonction des niveaux SEAL, qui reflètent leur capacité à respecter les exigences de l'UE et à maintenir des niveaux appropriés de contrôle et de conformité. Plutôt que d'imposer des contrôles techniques spécifiques, ce cadre facilite l'évaluation comparative des prestataires dans le cadre des décisions d'achat. 

L'infrastructure cloud est à la base de services essentiels pour lesquels toute perturbation, perte de contrôle ou ingérence extérieure est inacceptable. Les institutions publiques et les opérateurs d'infrastructures critiques ont besoin d'être assurés que les données, les systèmes et les décisions opérationnelles restent soumis aux cadres juridiques et réglementaires européens applicables. 

Le CSF répond à ce besoin en proposant un modèle d'évaluation reproductible qui permet : 

• Conformité aux cadres juridiques et réglementaires de l'UE, notamment le RGPD, la directive NIS 2 et la directive DORA  

• Réduction de l'exposition aux risques liés à l'accès extraterritorial et à la compétence juridictionnelle étrangère  

• Comparaison structurée des prestataires sur la base des résultats en matière de souveraineté  

• Une transparence accrue dans les marchés publics et l'évaluation des fournisseurs  

• Renforcement de la résilience opérationnelle des systèmes essentiels à la mission  

Cela reflète une évolution plus générale des priorités en matière d'adoption du cloud. Au-delà de l'évolutivité et de la rentabilité, les organisations doivent désormais tenir compte des exigences de contrôle applicables, de la résilience opérationnelle et de l'alignement sur les objectifs européens d'autonomie stratégique. 

Ce cadre prend en charge un large éventail de missions au sein de l'administration et des infrastructures critiques, permettant ainsi aux organisations d'évaluer leurs déploiements dans le cloud au regard des exigences en matière de souveraineté, tout en préservant les performances opérationnelles et l'évolutivité. 

Administration publique et services aux citoyens 

Les plateformes gouvernementales chargées de la gestion de l'identité, de la fiscalité et des services sociaux exigent un contrôle vérifiable de la juridiction et des droits d'accès. Ce cadre permet une évaluation structurée des prestataires traitant des données sensibles relatives aux citoyens, tout en garantissant la continuité des services. 

Défense et sécurité nationale 

Les charges de travail sensibles nécessitent la garantie que le contrôle opérationnel n'est pas exposé à des influences extérieures. Ce cadre propose une méthode permettant d'évaluer l'indépendance au niveau de l'infrastructure, du personnel et des systèmes de soutien, dans le respect des limites réglementaires en matière d'achats. 

Santé et sciences de la vie 

Les systèmes cliniques et les environnements de recherche exigent une gouvernance rigoureuse des données et une mise en conformité réglementaire. Ce cadre permet d'évaluer les prestataires au regard d'objectifs de souveraineté liés à la protection des données et à la résilience opérationnelle. 

Services financiers et infrastructures de marché 

Les entités réglementées doivent démontrer leur résilience opérationnelle et leur capacité à maîtriser les risques liés aux tiers. Ce cadre est conforme aux exigences de la directive DORA et aux attentes des autorités de surveillance qui en découlent. 

Énergie, services publics et transports 

Les systèmes d'infrastructures critiques reposent sur une disponibilité continue et des flux de données sécurisés. Ce cadre permet d'évaluer la transparence de la chaîne d'approvisionnement et la résilience opérationnelle au sein du territoire de l'Union européenne. 

Télécommunications et communications essentielles 

Les systèmes de communication nationaux exigent une haute disponibilité et un contrôle juridictionnel strict. Ce cadre permet une évaluation cohérente des fournisseurs de services cloud au regard des critères de souveraineté. 

Le CSF définit un modèle structuré d'évaluation de la souveraineté à travers huit objectifs mesurables utilisés dans les contextes d'approvisionnement et d'évaluation. Ces objectifs vont au-delà des concepts généraux tels que la localisation ou la portabilité des données et fournissent une méthode standardisée pour évaluer la souveraineté sur les plans juridique, opérationnel et technique. 

1. La souveraineté stratégique s'inscrit dans le cadre de l'écosystème juridique, financier et industriel de l'UE, y compris ses structures de gouvernance et la stabilité opérationnelle à long terme au sein de l'Union. 

2. La souveraineté juridique et juridictionnelle garantit que les services fonctionnent dans le respect du droit de l'Union européenne, tout en minimisant l'exposition à d'éventuelles actions en justice hors de l'Union ou à un accès extraterritorial. 

3. La souveraineté en matière de données et d'IA permet de garder le contrôle sur l'accès aux données, leur chiffrement, le lieu de traitement et la gouvernance des modèles d'IA au sein de la juridiction de l'UE. 

4. La souveraineté opérationnelle garantit que les entités basées dans l'Union européenne peuvent assurer, maintenir et prendre en charge leurs services de manière continue, même en cas de perturbation. 

5. La souveraineté de la chaîne d'approvisionnement garantit la visibilité, l'intégrité et le contrôle géographique du matériel, des logiciels et des dépendances vis-à-vis de tiers tout au long du cycle de vie du service. 

6. La souveraineté technologique favorise l'utilisation de normes ouvertes, d'architectures transparentes et de systèmes interopérables afin de réduire les risques liés à la dépendance. 

7. La souveraineté en matière de sécurité et de conformité garantit que les opérations de sécurité, la surveillance et le respect des réglementations sont assurés au sein d'environnements contrôlés par l'UE. 

8. La durabilité environnementale favorise la résilience à long terme grâce à l'efficacité énergétique, à la transparence en matière de ressources et à des pratiques durables en matière d'infrastructures. 

Le CSF définit cinq niveaux SEAL qui correspondent à des degrés croissants de garantie de souveraineté. Ces niveaux découlent d'une évaluation portant sur l'ensemble des objectifs de souveraineté et traduisent une indépendance opérationnelle et un contrôle juridique de plus en plus grands. 

1. SEAL 0 ne reflète aucune souveraineté significative. Ces services sont principalement régis et contrôlés en dehors de la juridiction de l’UE. 

2. SEAL 1 reflète un alignement juridictionnel limité, dans lequel le droit de l’UE peut s’appliquer mais où le contrôle opérationnel reste en grande partie externe. 

3. SEAL 2 reflète une souveraineté partielle et exécutoire en matière de données, tout en continuant à s'appuyer sur des entités situées hors de l'UE. 

4. SEAL 3 témoigne d’une forte résilience numérique, les acteurs de l’UE conservant un contrôle opérationnel et technique significatif. 

5. SCEAU 4 traduit un alignement élevé en matière de souveraineté, avec un contrôle substantiel de la technologie, des opérations et de la gouvernance juridique au sein des structures de l'UE. 

L'évolution à travers ces niveaux reflète deux dimensions essentielles de la souveraineté. La première est l'autorité juridique, à savoir quelle juridiction peut imposer l'accès aux données ou aux services. La seconde est le contrôle opérationnel et technique, qui englobe la maîtrise du chiffrement, les droits d'accès administratifs et la capacité à fonctionner indépendamment des prestataires externes. 

Indice de souveraineté 

Outre les niveaux SEAL, ce référentiel introduit un indice de souveraineté afin de permettre une évaluation comparative entre les prestataires qui respectent les seuils minimaux de souveraineté. 

Si les niveaux SEAL définissent les catégories d'assurance, le score de souveraineté permet une différenciation plus fine en fonction des performances observées pour chacun des objectifs de souveraineté. 

Le score est calculé à l'aide d'un modèle d'évaluation pondéré, dans lequel chaque critère contribue à l'évaluation globale en fonction de son importance en termes de risque. L'intégrité de la chaîne d'approvisionnement et la souveraineté opérationnelle se voient généralement attribuer une pondération plus élevée en raison de leur impact sur la continuité et l'indépendance. 

Ce double modèle répond à deux objectifs : 

1. Exigences : Garantit le respect des exigences minimales en matière de souveraineté.  

2. Différenciation : Classe les prestataires en fonction de la maturité et de l'exhaustivité de leurs capacités en matière de souveraineté.  

Cette approche permet aux équipes chargées des achats d'évaluer non seulement le respect des exigences en matière de souveraineté, mais aussi la résilience et l'efficacité des contrôles dans des conditions d'exploitation réelles. 

Les organisations opérant dans plusieurs régions doivent se conformer à de multiples cadres de souveraineté et de sécurité qui reflètent des priorités réglementaires et des modèles d'application différents. 

Parmi les principaux cadres, on peut citer : 

GAIA-X : une infrastructure de données fédérée axée sur l'interopérabilité et la gouvernance européenne  

EUCS : Cadre européen de certification en matière de cybersécurité pour les services cloud  

Directive NIS2 : exigences en matière de cybersécurité et de résilience pour les entités essentielles 

Règlement DORA : Exigences en matière de risques et de résilience informatiques pour les établissements financiers 

SecNumCloud : modèle de certification axé sur la souveraineté nationale en France  

C5 : Critères fédéraux allemands d'assurance de la sécurité dans le cloud  

FedRAMP : Cadre américain d'autorisation en matière de sécurité du cloud au niveau fédéral  

Principes de sécurité du cloud au Royaume-Uni : directives gouvernementales pour une adoption sécurisée du cloud  

Politiques en matière de souveraineté régionale : exigences spécifiques à chaque juridiction en matière de résidence des données et de contrôle  

Dans ce contexte mondial, le CSF constitue un modèle d'évaluation axé sur les marchés publics qui intègre des critères de souveraineté juridique, opérationnelle et technique. Il permet une comparaison structurée des fournisseurs de services cloud sur la base des critères de contrôle, de résilience et d'indépendance opérationnelle dans des conditions réelles. 

La souveraineté du cloud est devenue une exigence fondamentale pour les organismes du secteur public et les opérateurs de services essentiels. Ce cadre propose une approche structurée permettant d'évaluer le contrôle juridictionnel, l'exposition aux risques externes et la continuité opérationnelle des services cloud. 

Dans la pratique, les organisations cartographient leurs données et leurs systèmes critiques afin d'évaluer les exigences en matière de souveraineté sur les plans juridique, opérationnel et technique. Cela permet une évaluation structurée des contrôles tels que la localisation des données, la gouvernance des accès et la gestion du chiffrement. 

En s'alignant sur le CSF, les organisations renforcent leur position en matière de souveraineté, favorisant ainsi la conformité réglementaire, la résilience opérationnelle et la confiance à long terme dans les environnements critiques pour leur mission.