Domaine de recherche · Cloud & souveraineté
Souveraineté cloud : de la localisation des données au contrôle démontrable
Qui décide si, où et sous quel droit vos systèmes fonctionnent – et votre IA ? Vami Research traduit le BSI C5, le catalogue de souveraineté C3A, la CSA Cloud Controls Matrix et la proposition de la Commission relative au Cloud & AI Development Act en critères vérifiables pour le choix des fournisseurs, les contrats et l'exploitation. En exploitation, le contexte prime sur la liste de findings : la priorisation se fait selon l'exploitabilité réelle.
- BSI C5
- BSI C3A
- CSA CCM & CAIQ
- CNAPP & CSPM
- Projet de CADA
- EUCS
- Maîtrise des clés
- Deep Dives
- 6
- Livres blancs
- 0
- Solutions
- 1
La souveraineté devient une exigence vérifiable
Aujourd'hui, la sécurité du cloud est moins un problème technologique qu'un problème de pilotage. Les trois premières places des Top Threats 2024 de la CSA reviennent aux erreurs de configuration et au contrôle insuffisant des changements, à l'Identity and Access Management ainsi qu'aux interfaces et API non sécurisées – autant de sujets relevant de la responsabilité du client. Selon la matrice de responsabilité de Microsoft, les données, les terminaux, les comptes et la gestion des accès restent à la charge du client dans tous les modèles de service.
Parallèlement, la souveraineté est devenue mesurable en 2026. Avec le C3A v1.0, le BSI a présenté le 27 avril 2026, pour la première fois, des critères pour un usage autodéterminé du cloud ; la nouvelle version C5:2026 intègre la souveraineté technique, le confidential computing et la cryptographie post-quantique. Le Cloud & AI Development Act existe depuis le 3 juin 2026 sous forme de proposition de la Commission ; le schéma européen de certification EUCS n'est toujours pas adopté.
Nous évaluons les déploiements cloud au regard de ces catalogues et projets, et posons la même question de contrôle à l'IA. VamiGRC, VamiAppSec, VamiThreat, VamiRedteam, VamiDAST, VamiReverse et Vamiset fonctionnent en SaaS sur T Cloud Public, exclusivement dans des centres de données allemands. Le modèle de langage est au choix – dans VamiAppSec, VamiThreat, VamiDAST et VamiReverse jusqu'au Qwen3.8 local du centre de données VamiSec de Sankt Augustin, dans VamiGRC pour le chat, l'assistant et les agents. Les données clients ne servent pas à l'entraînement de l'IA.
Les questions ouvertes du terrain
- 01
Comment savoir si un service cloud est souverain – et ne se contente pas de stocker les données dans l'UE ?
Notre approche
Dans le projet de CADA, la résidence des données ne couvre que le plus bas des quatre niveaux. Nous examinons donc aussi l'exploitation et la technologie : qui exploite le service, d'où vient le support, à qui appartient le fournisseur et qui fait évoluer le logiciel. Les blocs de critères SOV-1 à SOV-6 du BSI C3A et la logique de niveaux du projet de CADA servent de grille.
- 02
Comment ancrer des exigences de souveraineté dans les appels d'offres sans restreindre indûment la concurrence ?
Notre approche
Pour chaque scénario d'usage, nous sélectionnons les critères C3A pertinents et les formulons comme exigences vérifiables pour le cahier des charges et l'évaluation des fournisseurs. Selon le BSI, les restrictions à des variantes UE ou Allemagne doivent être justifiées et juridiquement admissibles ; nous les rattachons donc à l'objet du marché et les documentons – de la localisation des données, télémétrie comprise, jusqu'aux droits d'audit.
- 03
Que prouve réellement une attestation C5 – et qu'est-ce qui change avec C5:2026 ?
Notre approche
Nous vérifions d'abord le type de rapport : le type 1 confirme la conception des contrôles à une date de référence, seul le type 2 atteste leur efficacité sur une période d'audit de trois à douze mois en général. La nouvelle version C5:2026 comprend 168 critères au lieu de 121 et devient obligatoire pour les attestations dont les dates de référence ou périodes d'audit se situent à partir du 1er juin 2027 ; une application anticipée est admise.
- 04
Que signifie la souveraineté lorsque les systèmes d'IA et les agents sont fournis en tant que service depuis le cloud ?
Notre approche
Nous traitons un service d'IA comme tout autre service cloud et examinons en plus le modèle, l'inférence et les données d'entraînement : où les prompts, les sorties et la télémétrie sont traités, qui exploite et fait évoluer le modèle, et si des données d'exploitation ou des données clients alimentent un entraînement. Cette logique suit le projet de CADA, qui classe les systèmes d'IA exploités à distance comme des services cloud.
Ce que nous retenons
- 01
La localisation des données ne prouve pas la souveraineté
La souveraineté se joue sur le contrôle des systèmes, pas sur la seule conformité au RGPD. Le CLOUD Act américain permet aux autorités américaines un accès auprès des fournisseurs sous contrôle américain, indépendamment du lieu de stockage. « Les données restent dans l'UE » n'est donc pas une preuve – la juridiction et le contrôle du fournisseur, l'exploitation et la maîtrise des clés font partie de toute évaluation.
Source: Souveraineté numérique
- 02
Le C3A rend la souveraineté vérifiable – une procédure d'attestation manque encore
Le catalogue C3A v1.0 du BSI, daté du 27 avril 2026, structure la souveraineté en six blocs de critères, de la souveraineté stratégique à la souveraineté technologique, et présuppose les critères C5. Ce n'est ni une loi ni un certificat ; le BSI n'a pour l'instant qu'annoncé des processus d'audit standardisés. Les déclarations des fournisseurs doivent donc être confrontées à des preuves solides.
Source: BSI C3A
- 03
Une attestation C5 transfère du travail au client au lieu de l'en décharger
C5 est une attestation, pas un label : des auditeurs indépendants attestent selon ISAE 3000 ou IDW PS 860, et le résultat est un rapport d'audit qu'il faut exploiter. Il contient des critères correspondants pour les clients, que l'utilisateur met lui-même en œuvre. Seul celui qui les rattache à ses propres contrôles et documente leur mise en œuvre peut justifier son utilisation.
Source: BSI C5
- 04
Le projet de CADA applique aux services d'IA la même logique de niveaux qu'au cloud
Le Cloud & AI Development Act existe sous forme de proposition de la Commission du 3 juin 2026 ; critères et délais peuvent encore évoluer au cours de la procédure législative. Le projet échelonne la souveraineté en quatre niveaux d'assurance de l'Union, avec, à partir du niveau 2, un audit par un tiers et l'interdiction d'entraîner une IA de pays tiers avec les données d'exploitation. Il traite les systèmes d'IA exploités à distance comme des services cloud.
Notre démarche
Nous réunissons catalogues de critères, rapports d'audit et télémétrie technique en une seule évaluation – de la charge de travail individuelle à l'appel d'offres. Nous signalons comme tels les textes à l'état de projet, comme CADA et EUCS.
Grille des trois maîtrises
Évaluer la maîtrise des données, de l'exploitation et de la technologie par charge de travail – y compris les flux de métadonnées, les canaux de support et la structure de propriété du fournisseur.
Rapprochement des critères C5, C3A et CCM
Réunir les exigences du BSI C5, des blocs SOV-1 à SOV-6 et de la CSA Cloud Controls Matrix ; nous utilisons le CAIQ pour des évaluations structurées des fournisseurs.
Exploiter les rapports d'audit
Vérifier le type de rapport et la période d'audit, extraire les critères correspondants pour les clients et les rattacher à ses propres contrôles.
Analyse de graphe plutôt que liste de findings
Relier erreurs de configuration, vulnérabilités, identités et exposition réseau, et rendre visibles les chemins d'attaque – par exemple avec Wiz ; VamiSec est membre de la Wiz Partner Alliance.
Inventaire en lecture seule avec Vamiset
Vamiset recense les actifs dans AWS, Azure et GCP exclusivement avec des droits de lecture et les évalue au regard des CIS Benchmarks et de contrôles issus par exemple d'ISO 27001 et de NIS2 – sans fonction d'IA à ce jour.
Suivi de l'état d'avancement
Suivre en continu l'état de la procédure pour la proposition CADA et le schéma candidat EUCS, ainsi que la transition de C5:2020 à C5:2026.
Pour démarrer
- 1Classer les charges de travailClasser les charges de travail selon leur criticité en matière de souveraineté et recenser les catégories de données, les besoins de protection, la situation contractuelle et les preuves existantes.
- 2Mesurer et prioriser les écartsConfronter l'existant au C5, au C3A et aux niveaux du projet de CADA, puis prioriser les écarts selon l'effort, la dépendance et la durée des contrats.
- 3Établir et prouver le contrôleMettre en œuvre la maîtrise des clés, les plans de sortie et les clauses contractuelles, tester la sortie et rassembler les justificatifs pour un audit indépendant.
Deep Dives, livres blancs et analyses
Deep Dives 6
Analyses & actualités
Autres pages
Du domaine à la mise en œuvre
Domaines de recherche connexes
Quel est le degré de souveraineté de votre cloud – preuves à l'appui ?
Nous confrontons votre parc cloud au BSI C5, au BSI C3A et aux niveaux du projet de CADA, et identifions les lacunes de preuve qui peuvent être comblées dès maintenant.