BSI C3A – Les critères de souveraineté cloud

L'utilisation du cloud repose sur le modèle de responsabilité partagée – le fournisseur prend donc inévitablement des décisions susceptibles de restreindre l'autodétermination du client. Le C3A fournit ici une grille d'évaluation : il définit des critères permettant de vérifier si une offre cloud peut être utilisée de manière autodéterminée dans le contexte de risque considéré. Le catalogue se présente expressément comme un cadre d'orientation destiné à créer de la transparence et n'est pas contraignant en soi. La version 1.0 est parue le 27 avril 2026, d'abord en langue anglaise ; le BSI a annoncé une version allemande.

Le catalogue s'articule en six blocs : SOV-1 souveraineté stratégique (juridiction, siège social, contrôle effectif, préavis de 90 jours en cas de changement de contrôle), SOV-2 souveraineté juridique et juridictionnelle (notamment évaluation annuelle des risques liés aux lois extraterritoriales non européennes, droits d'audit pour les autorités), SOV-3 souveraineté des données (options de localisation des données UE/Allemagne, gestion externe des clés, chiffrement côté client, fournisseurs d'identité externes), SOV-4 souveraineté opérationnelle (personnel d'exploitation dans l'UE, SOC dans l'UE ou en Allemagne, capacité de déconnexion/reconnexion avec des tests de déconnexion au moins annuels), SOV-5 souveraineté de la chaîne d'approvisionnement (divulgation des dépendances logicielles sur la base de SBOM ainsi que des dépendances matérielles et de services) et SOV-6 souveraineté technologique (notamment sauvegarde du code source dans l'UE, datant de 24 heures au maximum). Le catalogue distingue critères, critères additionnels optionnels et indications complémentaires ; de nombreux critères existent en variante UE et en variante allemande plus stricte.

Les clients cloud utilisent le C3A pour sélectionner, par scénario d'utilisation, les critères pertinents et définir ainsi leur propre niveau de base de souveraineté – par exemple sous forme d'exigences vérifiables dans les cahiers des charges ou les évaluations de fournisseurs. L'EU Cloud Sovereignty Framework montre comment cela peut fonctionner dans les marchés publics : les niveaux d'assurance SEAL-0 à SEAL-4 y servent d'exigence minimale par objectif de souveraineté (les offres inférieures sont exclues) et un Sovereignty Score pondéré sert de critère d'attribution. Le BSI souligne par ailleurs que toute restriction aux variantes UE ou Allemagne dans les procédures de passation doit être justifiée et juridiquement admissible, par exemple pour des raisons de sécurité publique.

Il n'existe pas encore, pour le C3A, de procédure d'attestation standardisée comme pour le C5 : le BSI a annoncé des processus d'audit C3A standardisés et une utilisation des rapports analogue à la procédure C5 établie. Le catalogue lui-même prévoit que les fournisseurs démontrent le respect des critères sélectionnés par des preuves dans le cadre d'un audit. Dans l'EU Cloud Sovereignty Framework, l'évaluation repose en revanche sur les déclarations des soumissionnaires, des justificatifs complémentaires et la documentation publique – de fait, une autodéclaration structurée évaluée par le pouvoir adjudicateur. Tant que des rapports d'audit C3A fiables ne sont pas disponibles, vous devriez systématiquement recouper les autodéclarations avec les preuves existantes telles que les attestations C5 ou les rapports SOC 2.

Le C3A présuppose que le fournisseur satisfait aux critères C5 – la dimension sécurité de la souveraineté est couverte par le C5:2026, publié le 7 avril 2026, qui intègre notamment la gestion des conteneurs, la cryptographie post-quantique et le confidential computing. De l'EU Cloud Sovereignty Framework (version 1.2.1, octobre 2025), le C3A reprend la catégorisation, mais omet délibérément deux objectifs : SOV-7 (Security & Compliance) est couvert par le C5:2026 et l'IT-Grundschutz, tandis que SOV-8 (durabilité environnementale) sort du mandat du BSI. Le schéma européen de certification cloud EUCS au titre du Cybersecurity Act n'est en revanche toujours pas adopté (état : juillet 2026) ; les exigences de souveraineté discutées dans les projets antérieurs étaient politiquement controversées. Le C3A et l'EU CSF comblent cette lacune en dehors du cadre de certification.

Le C3A n'est ni une loi ni un certificat : il ne produit d'effet que lorsque les clients ou les pouvoirs adjudicateurs ancrent les critères dans les contrats. Une procédure d'audit et d'attestation établie fait encore défaut, de sorte que les déclarations des fournisseurs ne peuvent pour l'instant être validées de manière indépendante que de façon limitée. Le catalogue renonce en outre délibérément à un label binaire « souverain » – les critères et critères additionnels applicables dépendent du scénario d'utilisation et du contexte de risque et exigent une analyse des exigences qui vous est propre. Le C3A ne traite ni la sécurité cloud elle-même ni les aspects de durabilité, mais renvoie au C5:2026 et à d'autres référentiels.