La Commission européenne vient de publier les résultats de son appel d'offres pour des services cloud qualifiés de souverains. D'une durée de 6 ans et d'une valeur totale estimée à 180 M€, ce marché est accordé à quatre prestataires ou consortiums : l'opérateur luxembourgeois Post Telecom, avec l'appui de CleverCloud et OVHcloud, StackIT (l'offre cloud du groupe de distribution allemand Lidl), Scaleway (filiale du Français Iliad) et l'opérateur télécoms belge Proximus, en partenariat avec S3NS (la filiale de Thales proposant un cloud sur technologie Google), Clarence (coentreprise entre Proximus et Luxcom) et l'éditeur français Mistral.

Bruxelles dit avoir sélectionné quatre prestataires ou consortiums pour éviter une trop grande dépendance à un acteur, au risque de l'éparpillement technologique. « Pour être éligibles, les fournisseurs devaient atteindre des niveaux d'assurance élevés garantissant que des tiers non-membres de l'UE n'aient qu'un contrôle limité sur les technologies utilisées par les prestataires ou sur les services qu'ils fournissent », précise la Commission. Les services retenus, qui seront accessibles aux institutions et agences européennes, répondent aux critères du Cloud Sovereignty Framework, publié par la Commission européenne en octobre dernier.

5 niveaux de souveraineté, 8 objectifs

Ce dernier repose à la fois sur un niveau d'assurance (Sovereignty Effectiveness Assurance Level, sur 5 niveaux, le plus élevé étant réservé à des services dont les technologies et opérations sont entièrement sous contrôle européen, soumis uniquement à des lois européennes et sans dépendance critique à des facteurs non-européens) et sur le calcul d'un score basé sur 8 critères : souveraineté stratégique, souveraineté légale et juridictionnelle, souveraineté sur la data, souveraineté opérationnelle (soit la dépendance à une supply chain non européenne), souveraineté technologique, sécurité et conformité et, enfin, durabilité (soit la dépendance à des facteurs environnementaux). En pratique, le cahier des charges de l'appel d'offres de la Commission pour son contrat cloud définissait le niveau minimal d'assurance pour chaque objectif requis.

Dans un communiqué, la Commission indique être en cours de finalisation d'une nouvelle version de son framework, celle-ci devant inclure des « critères spécifiques » pour effectuer des évaluations de souveraineté des services cloud. Objectif affiché : faciliter la réutilisation de cette méthodologie d'évaluation par des tiers.

Vers un paquet souveraineté

En plus de ce contrat dédié aux usages internes de son administration, la Commission indique finaliser un paquet législatif appelé Tech Sovereignty, qui comprendra un texte sur la stratégie Open Source européenne, le Chips Act 2 (une révision de sa directive de 2023 visant à rattraper le retard européen dans les semi-conducteurs), une feuille sur la numérisation et les usages de l'IA dans le secteur de l'énergie et le Cloud and AI Development Act (ou CADA), censé harmoniser la définition de services cloud et IA souverains à l'échelle du marché unique.