Cloud souverain en Europe : quels référentiels pour définir la souveraineté du cloud ?

La souveraineté, appliquée au domaine du Cloud, consiste à tirer parti de ce service avantages tout en en gardant la maîtrise juridique, technique et opérationnelle, en particulier face aux lois extraterritoriales et à la dépendance envers des prestataires étrangers. Avec les tensions géopolitiques actuelles, il s’agit d’un enjeu stratégique pour préserver l’autonomie de décision de la France et de l’Europe. C’est dans cette perspective que s’inscrit cette présentation, qui vise à rappeler les grands concepts de souveraineté cloud, présenter 2 référentiels clés à savoir l’European Union Cybersecurity Certification Scheme for Cloud Services (EUCS) et le Cloud Sovereignty Framework et dessiner les perspectives d’évolution de la stratégie de cloud souverain européen. 

II. Les référentiels européens de souveraineté du cloud

A. European Union Cybersecurity Certification Scheme for Cloud Services (EUCS)

1. Contexte et objectifs

L’EUCS est un projet de règlement visant à définir les exigences en matière de cybersécurité entre les différents membres de l’UE dans le cloud. Démarré en 2020 par l’agence de l’Union européenne pour la Cybersécurité (ENISA), ce projet a pour vocation de consolider un paysage fragmenté au niveau européen en matière de certification cloud.  

2. Les trois niveaux d’assurance

a. Niveau d’assurance « Basic »

Le niveau Basic constitue le premier niveau d’assurance. Il vise à garantir que le fournisseur met en œuvre les bonnes pratiques essentielles de cybersécurité afin de se prémunir contre les menaces les plus courantes.

À ce niveau, les exigences portent principalement sur :

• la mise en œuvre de mesures de sécurité de base (gestion des comptes, authentification, journalisation, sauvegardes, etc.) ;

• la gestion des vulnérabilités connues ;

• la documentation des politiques de sécurité ;

• la protection contre les erreurs de configuration les plus fréquentes.

L’objectif est de limiter les risques liés aux incidents courants et aux attaques opportunistes, sans exiger des mécanismes de protection particulièrement avancés. 

Ce niveau est adapté aux services cloud dont la compromission aurait un impact limité sur les activités de l’organisation.

b. Niveau d’assurance « Substantial »

Le niveau Substantial renforce significativement les exigences de sécurité. Il est destiné aux services exposés à des menaces plus importantes et susceptibles d’être ciblés par des attaquants disposant de compétences techniques et de moyens modérés.

Outre les exigences du niveau Basic, il impose notamment :

• une gouvernance de la sécurité plus mature ;

• des processus formalisés de gestion des risques ;

• un contrôle renforcé des accès et des privilèges ;

• des mécanismes de détection et de réponse aux incidents ;  

• une meilleure protection des données, notamment par le chiffrement ;

• des exigences accrues en matière de continuité d’activité et de reprise après sinistre.

À ce niveau, l’objectif n’est plus uniquement de prévenir les incidents, mais également d’améliorer la capacité du fournisseur à les détecter, contenir et à restaurer rapidement le service.

c. Niveau d’assurance « High »

Le niveau High représente le niveau d’assurance le plus exigeant prévu par l’EUCS. Il s’adresse aux services cloud hébergeant des données ou des traitements particulièrement sensibles, pour lesquels une compromission pourrait avoir des conséquences majeures. 

Il vise à protéger les services contre des cyberattaques sophistiquées menées par des acteurs disposant de ressources importantes, tels que des groupes criminels organisés ou des acteurs étatiques. 

Les exigences deviennent alors beaucoup plus poussées et concernent notamment :

1. une architecture de sécurité conçue selon le principe du security by design ;

2. un cloisonnement renforcé des environnements et des données ;

3. une gestion rigoureuse des clés cryptographiques ;

4. une surveillance continue des infrastructures ;

5. des audits de sécurité indépendants et réguliers ;

6. des mécanismes de résilience avancés garantissant la disponibilité et l’intégrité du service même en cas d’attaque complexe ;

7. un niveau élevé d’assurance sur l’ensemble de la chaîne d’approvisionnement.

L’objectif est de réduire le risque résiduel face à des attaques avancées en combinant des mesures techniques, organisationnelles et opérationnelles particulièrement robustes. 

3. Divergences de conception entre Etats-membres et échec du dispositif

Alors que le premier projet de l’EUCS a été publié en 2020, le schéma européen de certification cloud ne dispose toujours pas de version définitive. Les principales difficultés portent notamment sur l’intégration de critères permettant de prendre en compte la souveraineté du fournisseur et son exposition à des juridictions non européennes.

Le projet initial prévoyait, au-delà du niveau d’assurance « élevé », un niveau supplémentaire intégrant des exigences de souveraineté susceptibles notamment d’écarter les fournisseurs soumis à des législations extraterritoriales. Ce niveau a toutefois été retiré du projet de travail par l’ENISA en mars 2024, après plusieurs mois de discussions entre les États membres. La France, l’Italie et l’Espagne défendaient l’intégration de critères de souveraineté forts, tandis que l’Allemagne et les Pays-Bas estimaient notamment que de telles exigences risquaient d’être trop restrictives et de limiter l’accès au marché européen des grands fournisseurs internationaux.

Cette divergence traduit des conceptions différentes de ce que doit recouvrir la souveraineté du cloud à l’échelle européenne. Pour certains États membres, un niveau élevé de cybersécurité peut être atteint indépendamment de la nationalité du fournisseur : la priorité doit alors rester l’établissement d’un socle commun d’exigences techniques et organisationnelles. Pour d’autres, la cybersécurité ne peut être dissociée de la maîtrise de la chaîne de contrôle du fournisseur, de sa gouvernance et de son exposition aux législations extraterritoriales. Dans cette seconde approche, un service hébergé en Europe ne peut être considéré comme pleinement souverain si son fournisseur reste susceptible d’être soumis à une juridiction étrangère.

Derrière cette divergence de conception se trouvent également des arbitrages économiques et industriels. Des exigences fortes en matière de souveraineté peuvent favoriser l’émergence et le développement de fournisseurs européens, mais elles peuvent également restreindre le nombre d’acteurs éligibles à la certification et donc réduire l’ouverture et la compétitivité du marché européen. L’EUCS se retrouve ainsi au croisement de deux ambitions parfois difficiles à concilier : harmoniser un niveau élevé de cybersécurité au sein du marché intérieur et préserver l’ouverture, la compétitivité et l’attractivité de ce dernier.

En conséquence, le retrait de ce niveau de souveraineté signifie que, dans l’hypothèse d’une adoption du projet en l’état, un service pourrait obtenir une certification européenne au niveau d’assurance « élevé » sans que cette certification implique nécessairement l’absence d’exposition de son fournisseur à des législations extraterritoriales telles que le CLOUD Act ou le FISA. La certification européenne garantirait alors avant tout un niveau élevé de cybersécurité, sans constituer à elle seule une garantie de souveraineté au sens juridique ou géopolitique du terme.

Faute de compromis, l’adoption du schéma a ainsi été repoussée sans échéance définitive. La Commission européenne a toutefois envisagé une autre voie pour intégrer des considérations de souveraineté dans les futurs schémas de certification, notamment à travers une évolution du Cybersecurity Act permettant de prendre en compte certains facteurs de risque non techniques.

L’EUCS illustre ainsi une difficulté fondamentale : l’Europe cherche à construire un référentiel commun alors qu’elle ne dispose pas encore d’une conception pleinement partagée de ce que doit être un cloud souverain.

B. Un enjeu stratégique du fait de plusieurs facteurs

1. Contexte et objectifs

Le Cloud Sovereignty Framework, publié en octobre 2025, est un cadre non contraignant élaboré dans un contexte où les discussions autour de l’EUCS n’avaient pas permis d’aboutir à un consensus sur l’intégration de critères de souveraineté.

Il propose une méthodologie d’évaluation fondée sur un système de notation visant à apprécier le niveau de souveraineté des fournisseurs de services cloud, notamment dans la perspective des marchés publics européens.  

Cet outil a servi à départager les offres dans le programme européen Cloud III DPS, la plateforme d’achat de services cloud des institutions européennes. La Commission européenne a attribué un marché de services cloud souverains d’un montant allant jusqu’à 180 millions d’euros sur six ans à quatre groupements de fournisseurs européens :

• Groupement de Post Telecom, OVHcloud et CleverCloud

• Groupe allemand StackIT

• Scaleway

• Proximus, S3NS, Clarence et Mistral.

Cette diversification entre quatre attributaires répond explicitement à un objectif d’évitement du verrouillage par un prestataire unique.

2. Le calcul d’un score de souveraineté

a. 8 objectifs de souveraineté

Les 8 objectifs de souveraineté du Cloud Sovereignty Framework (CSF) visent à évaluer la capacité d’un fournisseur cloud à garantir non seulement un haut niveau de cybersécurité, mais également une véritable autonomie stratégique. Ils couvrent des dimensions juridiques, techniques, opérationnelles et environnementales.

1. Souveraineté stratégique : évalue la capacité du fournisseur à contribuer à l’autonomie stratégique de l’Union européenne. Cette dimension porte sur la gouvernance, le contrôle de l’entreprise, son ancrage économique en Europe et sa capacité à assurer la continuité de ses services de manière indépendante.

2. Souveraineté légale et juridictionnelle : mesure le niveau d’exposition du fournisseur aux juridictions étrangères et aux législations extraterritoriales. L’objectif est de garantir que les données, les contrats et la propriété intellectuelle restent protégés par le cadre juridique européen. 

3. Souveraineté des données et de l’IA : évalue le niveau de maîtrise du client sur ses données et ses traitements d’IA. Cette dimension couvre notamment le contrôle des clés de chiffrement, la localisation des données, la transparence des traitements et la limitation des dépendances aux technologies d’IA non européennes. 

4. Souveraineté opérationnelle : apprécie la capacité à exploiter, maintenir et faire évoluer le service de manière autonome au sein de l’Union européenne. Elle prend en compte la réversibilité, la disponibilité des compétences, le support opérationnel et la maîtrise des sous-traitants critiques. 

5. Souveraineté de la chaîne d’approvisionnement : analyse le degré de maîtrise de la chaîne d’approvisionnement, depuis les composants matériels jusqu’aux logiciels, afin d’identifier les dépendances vis-à-vis de fournisseurs ou de technologies non européens.

6. Souveraineté technologique : évalue le niveau d’indépendance technologique du fournisseur à travers l’utilisation de standards ouverts, la transparence de l’architecture, la maîtrise des technologies utilisées et la limitation des dépendances à des solutions propriétaires.

7. Souveraineté de la sécurité et de la conformité : mesure la capacité du fournisseur à garantir un haut niveau de cybersécurité et de conformité réglementaire, notamment au regard des réglementations européennes (RGPD, NIS2, DORA), des certifications, de la gestion des incidents et de la possibilité de réaliser des audits indépendants.

8. Soutenabilité environnementale : évalue l’impact environnemental du service cloud en s’intéressant à l’efficacité énergétique des infrastructures, au recours aux énergies bas carbone, aux pratiques d’économie circulaire et à la transparence des indicateurs environnementaux.

b. 5 échelons de niveau de garantie

Sur chaque objectif, on détermine un niveau d’assurance entre 5 échelons :

0. Pas de souveraineté : Service, technologie ou activité sous le contrôle exclusif de tiers non européens entièrement soumis à des juridictions non européennes.

1. Souveraineté juridictionnelle : La législation de l’UE s’applique, mais son exécution est limitée en pratique. Service, technologie ou activité sous le contrôle exclusif de tiers non européens. 

2. Souveraineté des données : La législation de l’UE est applicable et exécutoire. 
D’importantes dépendances demeurent (service, technologie ou activité sous contrôle indirect de tiers non européens). 

3. Résilience numérique :  La législation de l’UE est applicable et exécutoire. Les acteurs européens exercent une influence significative mais pas totale (service, technologie ou activité sous contrôle marginal de tiers non européens). 

4. Souveraineté numérique complète : Technologie et activité sous contrôle européen total, sujettes seulement à la législation de l’UE, avec aucune dépendance critique à du non européen.

c. Pondération et calcul du score de souveraineté

L’évaluation du niveau d’assurance de chaque objectif permet de calculer un « score de souveraineté » obtenue via la pondération suivante :

• Souveraineté stratégique : 15 %

• Souveraineté légale et juridictionnelle : 10 %

• Souveraineté des données et de l’IA : 10 %

• Souveraineté opérationnelle : 15 %

• Souveraineté de la supply chain : 20 %

• Souveraineté technologique : 15 %

• Sécurité/conformité : 10 %

• Environnement : 5 %. 

3. Une vision multidimensionnelle de la souveraineté du cloud

Cette nouvelle approche conduit à considérer la souveraineté comme un continuum plutôt qu’un état nécessairement binaire. Tous les services cloud ne présentent en effet pas le même niveau de maîtrise et de dépendance : un service peut garantir la souveraineté des données tout en reposant sur des technologies étrangères ; un autre peut offrir une plus grande autonomie technologique tout en restant dépendant de certains fournisseurs ou composants de sa chaîne d’approvisionnement.

Le Framework cherche ainsi à objectiver différents niveaux de souveraineté, en évaluant plusieurs dimensions complémentaires. Cette approche permet de distinguer, par exemple, la maîtrise des données et de leur environnement juridique, l’autonomie technologique et opérationnelle ou encore la maîtrise de la chaîne d’approvisionnement.  

La pertinence de cette approche peut néanmoins être discutée. À titre d’exemple, la souveraineté juridique et juridictionnelle – qui couvre notamment l’exposition aux législations extraterritoriales telles que le CLOUD Act ou le FISA – représente 10 % de la note globale, contre 20 % pour la chaîne d’approvisionnement et 15 % pour les dimensions stratégique, opérationnelle et technologique. Cette répartition soulève la question du poids relatif accordé à des critères qui peuvent être considérés comme fondamentaux : dans quelle mesure une exposition juridique significative peut-elle être relativisée par de bonnes performances sur d’autres dimensions de la souveraineté ? 

Ces choix méthodologiques illustrent plus largement la difficulté de traduire un concept multidimensionnel comme la souveraineté en un modèle d’évaluation unique. Ils reflètent une nouvelle fois les arbitrages auxquels l’Union européenne est confrontée entre plusieurs objectifs parfois difficiles à concilier : autonomie stratégique, ouverture du marché, innovation, compétitivité et transparence des achats publics. 

Le Cloud Sovereignty Framework marque ainsi une évolution importante dans la manière d’appréhender la souveraineté du cloud à l’échelle européenne. En passant d’une conception binaire à une approche graduée et multidimensionnelle, il propose de mesurer non seulement si un service est souverain, mais également dans quelle mesure et sur quelles dimensions. Reste désormais à déterminer comment cette méthodologie sera utilisée concrètement dans les politiques d’achat et de qualification des services cloud européens. 

EUCS et le Cloud Sovereignty Framework contribuent à structurer l’approche européenne, mais ils ne suffisent pas, à eux seuls, à garantir l’autonomie technologique du continent. Celle-ci dépend également de la capacité à développer des écosystèmes, à renforcer les compétences et à réduire les dépendances critique.

Dans notre prochain et dernier article, nous examinerons ce qu’elles révèlent de l’évolution de la stratégie européenne, du cloud souverain vers une ambition plus large de souveraineté technologique.

Image d’illustration par Tung Nguyen de Pixabay