Auteur : heise.de Source : heise.de

Mode rédactionnel : CLARUS_ANALYSIS Recommandation d'index : INDEX Langue/Rôle : FULL_ANALYSIS Date de vérification des faits : 2025

Résumé exécutif

La souveraineté numérique dans le cloud n'est pas une caractéristique de produit standardisée, mais une décision stratégique aux conséquences individuelles. Le marché des fournisseurs de cloud souverains est aujourd'hui caractérisé par des promesses contradictoires : les hyperscalers américains masquent les risques de juridiction par le biais de filiales européennes, tandis que les fournisseurs européens commercialisent la propriété européenne comme garantie de souveraineté. Une analyse de 17 fournisseurs selon 31 critères montre qu'aucun fournisseur ne se distingue clairement – les deux camps présentent des faiblesses considérables en matière de cryptographie et de contrôle des clés.

Personnes

  • Kai Müller (auteur iX)

Thèmes

  • Souveraineté du cloud
  • Souveraineté numérique
  • Comparaison de fournisseurs
  • Protection des données et contrôle

Clarus Lead

L'écart entre l'intention stratégique et la réalité opérationnelle est aujourd'hui le problème central : les décideurs doivent choisir des fournisseurs de cloud qui promettent tous la souveraineté, mais qui présentent des faiblesses différentes – et parfois cachées. Les certifications telles que BSI-C5, SecNumCloud et ISO 27001 créent certes une sécurité, mais établissent aussi des barrières à l'entrée du marché qui faussent la concurrence. La Boussole du cloud souverain offre la transparence là où les promesses marketing disparaissent.

Résumé détaillé

Le phénomène central est le soi-disant « Sovereignty Washing » – la rhétorique de la souveraineté sans que la réalité technique ne la couvre complètement. Les sociétés hyperscalers américaines utilisent des constructions réglementairement autorisées (filiales européennes avec gouvernance européenne) pour minimiser les risques de juridiction, sans pour autant abandonner complètement le contrôle technique sur l'infrastructure, les données ou le chiffrement. Les fournisseurs européens, en revanche, font la publicité de la localisation physique et de la structure de propriété, mais négligent souvent les mécanismes de sécurité technique tels que le chiffrement de bout en bout et la gestion des clés contrôlée par l'utilisateur.

L'analyse révèle un problème fondamental : la cryptographie et le contrôle des clés sont sous-développés dans le secteur – indépendamment du fait que les fournisseurs soient européens ou américains. Cela signifie que même les fournisseurs européens ayant une certification européenne peuvent conserver le contrôle technique et administratif des données des clients. S'ajoute à cela le risque de la chaîne d'approvisionnement : la souveraineté au niveau du fournisseur est relativisée par les dépendances vis-à-vis des fabricants de matériel, des composants logiciels et des exploitants d'infrastructure cloud (souvent non-européens).

Les certifications jouent un rôle ambigu. Elles augmentent la valeur de confiance et signalent le respect des normes – mais créent en même temps des barrières à l'entrée du marché qui excluent les petits fournisseurs européens innovants. Cela conduit à une situation paradoxale : tandis que les grandes sociétés américaines créent de facto des filiales pour obtenir des certifications, les startups européennes ne peuvent tout simplement pas suivre le processus de certification.

Messages clés

  • Le « Sovereignty Washing » est répandu : tous les segments de fournisseurs utilisent la rhétorique de la souveraineté sans abandonner complètement le contrôle technique.
  • Pas de catégorie gagnante claire : les fournisseurs européens obtiennent des points en gouvernance, mais perdent en chiffrement technique ; l'inverse est vrai pour les hyperscalers américains.
  • La cryptographie est le point faible : les deux catégories de fournisseurs misent insuffisamment sur la gestion des clés contrôlée par l'utilisateur.
  • La chaîne d'approvisionnement sape la souveraineté : une localisation physique dans l'UE ne garantit pas que les composants critiques seront contrôlés.
  • Les certifications ont un double tranchant : elles élèvent les normes, mais excluent les petits concurrents.

Questions critiques

  1. Preuve : sur quelle méthodologie repose l'analyse de 17 fournisseurs ? Les 31 critères sont-ils scientifiquement validés ou choisis de manière éditoriale ? Quelles sources ont été utilisées pour l'évaluation technique ?

  2. Conflits d'intérêts : existe-t-il des relations financières ou éditoriales entre heise/iX et les 17 fournisseurs analysés ? Les fournisseurs ont-ils été invités à faire une déclaration ?

  3. Causalité : s'ensuit-il du fait que les certifications créent des barrières à l'entrée que la concentration du marché entraîne une sécurité inférieure ? Ou la sécurité des fournisseurs certifiés est-elle réellement supérieure à celle des fournisseurs non certifiés ?

  4. Applicabilité : comment un utilisateur peut-il procéder concrètement pour évaluer les lacunes en matière de cryptographie et de contrôle des clés lors du choix d'un fournisseur ? Quels tests techniques sont recommandés ?

  5. Risque de la chaîne d'approvisionnement : existe-t-il une différenciation entre les dépendances directes (contrôlées par le fournisseur) et indirectes (contrôlées par les fournisseurs) ? Quels risques de la chaîne d'approvisionnement sont acceptables pour les cas d'usage typiques ?

  6. Gouvernance vs. technique : pourquoi les propriétés de gouvernance (propriété, localisation) et les propriétés techniques (chiffrement) sont-elles pondérées de la même façon si elles offrent des niveaux de protection différents ?

Bibliographie

Source principale : Sovereignty Washing : Comment évaluer réellement la souveraineté du cloud – heise.de/iX, 2025

Outils référencés :

Normes pertinentes :

  • Attestation BSI-C5 (Office fédéral allemand pour la sécurité de l'information)
  • SecNumCloud (certification pour les services cloud en France)
  • ISO 27001 (systèmes de gestion de la sécurité de l'information)

Statut de vérification : ✓ 2025

Ce texte a été créé avec l'aide d'un modèle d'IA. Responsabilité éditoriale : clarus.news | Vérification des faits : 2025