Le BSI présente des standards concrets pour des services cloud souverains
Avec les « Criteria Enabling Cloud Computing Autonomy » (C3A), l'Office fédéral allemand de la sécurité des technologies de l'information (BSI) a défini pour la première fois des standards concrets permettant de déterminer quand un service cloud peut être considéré comme souverain. Ces nouveaux critères doivent apporter de la clarté, en particulier pour les applications critiques de l'administration publique et pour les exploitants d'infrastructures critiques.
Jusqu'à présent, l'incertitude régnait souvent quant aux solutions cloud pouvant réellement être exploitées indépendamment de fournisseurs non européens tels qu'AWS, Azure, Alibaba ou Huawei Cloud. « Nous cherchons des solutions techniquement viables qui formulent des conditions concrètes », explique Thomas Caspers, vice-président du BSI.
Des retours d'expérience pratiques alimentent les nouveaux standards
Pour élaborer les C3A, le BSI s'appuie sur une vaste expérience pratique avec différentes configurations de dépendance. Plusieurs approches de cloud souverain ont déjà été testées en Allemagne, parmi lesquelles :
- DelosCloud, la coopération entre SAP et Microsoft
- Stackit, de Schwarz Digits
- Le cloud souverain de T-Systems en coopération avec Google
- L'offre European Sovereign Cloud d'Amazon
En parallèle, l'ANSSI, l'autorité française de sécurité informatique, a testé des approches similaires, associant toujours des entreprises françaises, comme le groupe de défense Thales pour S3NS, certifié selon les exigences SecNumCloud.
« Nous avons vu, notamment à l'exemple de l'AWS European Sovereign Cloud, combien de mécanismes entrent en jeu pour maintenir un cloud opérationnel », explique Thomas Caspers. « Mais on ne pourra pas exploiter de telles offres pendant des années de manière totalement découplée. »
Des critères concrets pour les situations d'urgence
Les standards C3A définissent des exigences précises pour différents scénarios. Un critère central est SOV-4-09-C, qui fixe les exigences en cas de « disconnect » – la déconnexion du cloud de l'exploitant extra-européen :
- L'exploitation doit se poursuivre sans pertes en matière de disponibilité, d'intégrité, d'authenticité et de confidentialité
- Un processus documenté pour la déconnexion doit exister
- L'exploitant doit le tester et le documenter au moins une fois par an
S'agissant des exigences relatives au personnel, le BSI distingue plusieurs niveaux de sécurité. Le critère SOV-4-01-C1 impose que tous les collaborateurs ayant accès aux moyens d'exploitation possèdent la citoyenneté de l'UE et y aient leur résidence. Pour les applications de haute sécurité telles que les autorités de sécurité ou la Bundeswehr, c'est SOV-4-01-C2 qui s'applique : tous les collaborateurs doivent alors avoir leur résidence sur le territoire de la République fédérale.
Pour l'état de défense prévu par la Loi fondamentale, les exigences sont particulièrement strictes : les prestataires de cloud doivent être en mesure de transférer l'exploitation aux autorités fédérales, y compris le matériel et le personnel nécessaires.
Conséquences pour les infrastructures critiques et la sécurité technique
Ces nouveaux standards ne sont dans un premier temps pas juridiquement contraignants, mais ils peuvent être érigés en exigences minimales dans le cadre de la législation ou des appels d'offres. « Les C3A peuvent devenir la référence de l'administration fédérale », estime Thomas Caspers.
Cela devient particulièrement pertinent du fait de leur articulation avec les dispositions existantes : les services fédéraux sont tenus de mettre en œuvre l'IT-Grundschutz du BSI. Lorsqu'ils recourent à des services cloud externes, ils doivent satisfaire au module OPS 2.2 et au standard minimal relatif à l'utilisation de services cloud externes (MST-NCD). Les C3A complètent ces critères de sécurité par des aspects de souveraineté numérique.
Pour les exploitants d'infrastructures critiques, déjà soumis à des exigences de sécurité strictes, ces nouveaux standards apportent une sécurité de planification supplémentaire. Les entreprises des secteurs de l'énergie, de l'eau, de la santé ou des télécommunications peuvent désormais choisir de manière ciblée des solutions cloud satisfaisant à la fois aux exigences de sécurité technique et de souveraineté.
Dimension européenne et perspectives
La publication des critères C3A intervient stratégiquement avant la présentation prévue du Cloud and AI Development Act (CADA) par la Commission européenne le 27 mai. Les observateurs s'attendent à ce que la vice-présidente de la Commission européenne Henna Virkkunen fixe, avec le CADA, des critères plus clairs pour la souveraineté du cloud.
Si des critères similaires venaient à figurer dans les annexes des lois de sécurité informatique telles que NIS 2 ou le Cybersecurity Act, cela aurait des répercussions déterminantes à l'échelle européenne. La proposition allemande pourrait alors devenir le standard des services cloud souverains dans toute l'UE.
Pour le secteur de la sécurité technique, ces évolutions apportent une nouvelle sécurité de planification dans le choix des services cloud destinés aux applications critiques. La capacité des grands hyperscalers à satisfaire à ces exigences strictes dépendra du profil d'exigences de chaque client et de la pression réglementaire à opter pour des solutions souveraines.
