Mesurer la souveraineté numérique : une procédure simple

La Commission européenne vient de publier le Cloud Sovereignty Framework, un document de 6 pages qui transforme la souveraineté numérique en score mesurable. Bravo à l’Europe pour cette concision !

8 critères pondérés, 4 niveaux, un score final 

Enfin un cadre d’évaluation simple compréhensible par un DSI, un RSSI, par un élu local ou un patron de PME,  la souveraineté numérique devient mesurable !

Ce document présente le cadre de souveraineté du cloud développé par la Commission européenne. Il définit les objectifs de souveraineté que les services cloud doivent atteindre pour répondre aux exigences des marchés publics européens. Ce cadre vise à :

• Renforcer la résilience numérique de l’Union européenne
• Garantir que les services cloud respectent les valeurs, les lois et les intérêts stratégiques de l’UE
• Offrir aux acheteurs publics un outil d’évaluation clair et structuré

Le cadre s’appuie sur des initiatives existantes telles que :

• Gaia-X
• Le référentiel de souveraineté du CIGREF
• Les cadres de cybersécurité européens (ENISA, NIS2, DORA)

Il est conçu pour être utilisé dans les procédures d’achat public, afin d’évaluer le niveau de souveraineté des offres cloud proposées. Il peut également servir de guide pour les fournisseurs souhaitant améliorer leur conformité aux attentes européennes.

Objectifs de souveraineté

Le cadre de souveraineté du cloud repose sur huit objectifs fondamentaux. Chacun d’eux définit un aspect essentiel de la souveraineté numérique que les services cloud doivent viser pour répondre aux attentes de l’Union européenne.

SOV-1 : Souveraineté stratégique

Le fournisseur de services cloud doit être ancré dans l’écosystème juridique, économique et industriel de l’UE. Cela inclut :

• Une entité juridique principale dans l’UE
• Une gouvernance alignée sur les intérêts européens
• Une capacité à répondre aux priorités stratégiques de l’UE

SOV-2 : Souveraineté juridique et juridictionnelle

Les services cloud doivent être protégés contre l’application extraterritoriale de lois étrangères. Cela implique :

• Une immunité contre les lois non européennes (ex. : Cloud Act)
• Des garanties contractuelles et techniques pour éviter les transferts non autorisés de données

SOV-3 : Souveraineté des données et de l’intelligence artificielle

Les données doivent être traitées, stockées et analysées dans l’UE, avec un contrôle total par les entités européennes. Cela comprend :

• La localisation des données dans l’UE
• L’utilisation d’algorithmes d’IA transparents et auditables
• L’absence de dépendance à des services d’IA non européens

SOV-4 : Souveraineté opérationnelle

Les entités européennes doivent pouvoir exploiter, maintenir et faire évoluer les services cloud sans dépendance critique à des acteurs extérieurs. Cela inclut :

• L’accès aux compétences et outils nécessaires
• La capacité à migrer ou répliquer les services
• L’autonomie dans la gestion des incidents

SOV-5 : Souveraineté de la chaîne d’approvisionnement

Les composants matériels et logiciels doivent provenir de sources fiables et résilientes. Cela implique :

• Une transparence sur l’origine des composants
• Une capacité à substituer les éléments critiques
• Une stratégie de résilience face aux ruptures d’approvisionnement

SOV-6 : Souveraineté technologique

Les technologies utilisées doivent être interopérables, ouvertes et maîtrisables par les acteurs européens. Cela comprend :

• L’utilisation de standards ouverts
• L’absence de verrouillage propriétaire
• La possibilité d’auditer et de modifier les composants

SOV-7 : Souveraineté en matière de sécurité et de conformité

Les opérations de sécurité doivent être contrôlées depuis l’UE, avec des mécanismes de conformité robustes. Cela inclut :

• La supervision des opérations de sécurité par des entités européennes
• La conformité aux cadres européens (ex. : NIS2, DORA)
• La transparence sur les incidents et les audits

SOV-8 : Durabilité environnementale

Les services cloud doivent contribuer à la résilience environnementale de l’UE. Cela implique :

• L’efficacité énergétique des centres de données
• L’utilisation d’énergies renouvelables
• La gestion responsable des ressources

Niveaux d’assurance de souveraineté (SEAL)

Le cadre introduit une échelle de niveaux appelée SEAL (Sovereignty Assurance Level), qui permet de mesurer le degré de souveraineté atteint par un service cloud. Cette échelle comporte cinq niveaux :

SEAL-0 : Aucune souveraineté

• Le service cloud ne présente aucune garantie de souveraineté.
• Il est entièrement dépendant de fournisseurs non européens.
• Les données, les opérations et la gouvernance sont exposées à des juridictions étrangères.

SEAL-1 : Souveraineté minimale

• Le service offre des garanties limitées, comme la localisation des données dans l’UE.
• Des mécanismes de protection juridique sont présents, mais insuffisants.
• La dépendance technologique et opérationnelle reste forte.

SEAL-2 : Souveraineté intermédiaire

• Le service respecte plusieurs objectifs du cadre, notamment la localisation, la sécurité et la conformité.
• Des efforts sont faits pour réduire la dépendance à des technologies non européennes.
• La gouvernance commence à s’aligner sur les intérêts européens.

SEAL-3 : Souveraineté élevée

• Le service est majoritairement opéré, gouverné et sécurisé par des entités européennes.
• La chaîne d’approvisionnement est maîtrisée.
• Les technologies utilisées sont ouvertes, interopérables et auditées.

SEAL-4 : Souveraineté numérique complète

• Le service atteint tous les objectifs du cadre.
• Il est entièrement conçu, opéré et contrôlé par des acteurs européens.
• Il garantit une autonomie stratégique, juridique, technologique et environnementale.

Évaluation de l’efficacité des objectifs

Pour chaque objectif de souveraineté (SOV-1 à SOV-8), le cadre propose une méthode d’évaluation structurée. Cette évaluation repose sur trois piliers :

1. 🔍 Questions d’évaluation

Chaque objectif est associé à une série de questions permettant de déterminer le niveau de conformité du service cloud. Ces questions portent sur :

• La localisation des opérations
• La gouvernance juridique
• La transparence technologique
• La résilience de la chaîne d’approvisionnement
• La supervision des opérations de sécurité
• L’impact environnemental

2. 📁 Preuves documentaires

Les fournisseurs doivent fournir des preuves pour appuyer leurs réponses. Cela peut inclure :

• Des certifications (ISO, EUCS, etc.)
• Des rapports d’audit
• Des contrats et clauses juridiques
• Des schémas d’architecture technique
• Des politiques de sécurité et de durabilité

3. 🌐 Sources publiques

L’évaluation peut également s’appuyer sur des informations disponibles publiquement, telles que :

• Les sites web des fournisseurs
• Les publications officielles
• Les bases de données de certification
• Les rapports d’analystes indépendants

Chaque réponse est notée selon une grille d’évaluation, qui permet de déterminer le niveau SEAL correspondant. Les acheteurs publics peuvent ainsi comparer les offres cloud sur une base objective et transparente.

Calcul du score de souveraineté

Pour permettre une évaluation globale et comparative des offres cloud, le cadre introduit un système de notation basé sur les huit objectifs de souveraineté. Chaque objectif se voit attribuer un poids spécifique, reflétant son importance stratégique.

Méthode de calcul

1. Évaluation individuelle : Chaque objectif est évalué selon une échelle qualitative (par exemple : faible, moyen, élevé).
2. Conversion en score : Ces évaluations sont converties en scores numériques.
3. Application des poids : Chaque score est multiplié par le poids correspondant.
4. Score global : La somme pondérée donne un score de souveraineté global, exprimé sur 100.

Ce score peut être utilisé dans les appels d’offres publics pour comparer les offres cloud sur des bases objectives et transparentes. Il permet également aux fournisseurs de cibler les domaines à améliorer pour renforcer leur souveraineté.

L’article original ( en anglais ) se trouve ici.