EUCS : des entreprises européennes s’opposent à l’exclusion du critère de souveraineté

Dix-huit grandes entreprises européennes ont fermement critiqué, le 10 avril 2024, la nouvelle version de la future certification européenne de cybersécurité dans le cloud, l’EUCS (European Union cybersecurity certification scheme for cloud services). La Belgique, qui préside actuellement l’Union européenne, a en effet proposé de supprimer le critère de souveraineté de cette norme.

Ce critère oblige les acteurs extra-européens du cloud à créer une co-entreprise ou à coopérer avec une entreprise européenne s’ils veulent obtenir le niveau le plus élevé de l’EUCS. Il interdirait donc à un géant américain de prendre seul en charge l’hébergement cloud d’un acteur européen critique. Les responsables de la cybersécurité des Vingt-Sept se retrouveront le 15 avril 2024 pour discuter de cette nouvelle version de l’EUCS.

Les dix-huit entreprises contestataires ont adressé une lettre commune aux autorités de leurs pays et aux hauts fonctionnaires de la Commission pour demander la réintégration du critère de souveraineté. Parmi les signataires figurent Deutsche Telekom, Orange, Airbus, EDF, OVHcloud, Dassault Systèmes, Capgemini ou Ionos.

Ces entreprises rappellent le risque que représentent des lois étrangères extra-territoriales comme la loi chinoise sur le renseignement national et, surtout, le Cloud Act américain. En effet, cette législation permet aux autorités des États-Unis d’accéder aux données sensibles, hébergées dans l’Union européenne, par un fournisseur de cloud américain.

De plus, cette nouvelle version de l’EUCS « compromettrait sérieusement la viabilité des solutions de cloud souverain en Europe, dont beaucoup sont soit en cours de développement, soit déjà disponibles sur le marché », pointent les signataires. Ils proposent que l’EUCS s’aligne sur les critères du projet Gaia-X. Cette plateforme cloud, créée pour réduire la dépendance de l’UE aux géants américains, comporte ainsi des exigences de souveraineté.