La Commission européenne détaille ses critères de souveraineté pour ses achats cloud
La Commission européenne a publié le 20 octobre un référentiel pour évaluer la souveraineté des offres cloud pour ses propres achats. Inspiré d'initiatives comme le Cloud Referential v2 du Cigref, les règles de Gaia-X et les stratégies "Cloud de confiance" française et "Souveräner Cloud" allemande, le document décline huit critères de souveraineté. Objectif : calculer un "score de souveraineté" pour choisir ses prestataires. Chaque critère possède un poids différent dans la notation finale : la chaîne d'approvisionnement compte pour 20%, tandis que la durabilité environnementale ne représente que 5%. Le critère de souveraineté des données et de l'IA (10%) tient compte du lieu de stockage et de traitement des données. La souveraineté juridique et juridictionnelle (10%) mesure l'exposition aux lois extraterritoriales comme le Cloud Act américain. S'ajoutent des critères contribution à la stratégie UE de souveraineté (15%), un critère technologie (15%), souveraineté opérationnelle (15%) et sécurité (10%).
Le référentiel classe les fournisseurs via des niveaux appelés Seal (Sovereignty Effectiveness Assurance Levels), de 0 à 4. Le niveau 0 correspond à un service "sous le contrôle exclusif de tiers non européens, entièrement régis par des juridictions non européennes". Le Seal 4 représente une "technologie et des opérations sous le contrôle total de l'UE, soumises uniquement au droit de l'UE, sans dépendances critiques extérieures à l'UE". En fonction de la criticité des services cibles, les instances européennes doivent définir le niveau minimum dans leurs appels d'offres.
Si ce référentiel est destiné à un usage interne, il est regardé avec attention par l'écosystème européen du cloud. La Commission travaille en effet sur le Cloud and AI Development Act (Caida), attendu au premier trimestre 2026. Ce règlement promet d'harmoniser les pratiques et règles en matière de cloud souverain en Europe, s'appuyant potentiellement sur les critères de ce référentiel.
