Cloud
EUCS : “la France cherche une victoire à la Pyrrhus”
Par Thierry Derouet, publié le 22 avril 2024
Les débats sur l’EUCS (European Cybersecurity Certification Scheme for Cloud Services) démontrent qu’entreprises et gouvernements ne sont pas alignés. Du moins pas dans l’UE. Tentative d’analyse.
Un mois. C’est dans un mois, en juin prochain, que la Commission européenne rendra son avis définitif sur l’EUCS (European Union Cybersecurity Certification Scheme for Cloud Services), la certification européenne pour les services cloud qui se substituera aux certifications nationales, SecNumCloud en France, C5 en Allemagne, ENS en Espagne, AGID en Italie…
Pour rappel, l’actuel projet EUCS est dépourvu de toute notion de souveraineté, de toute obligation d’opter pour les données les plus sensibles et les plus critiques pour un opérateur de Cloud imperméable aux lois extra-européennes. Un recul net face au SecNumCloud 3.2 et douloureux pour les opérateurs de cloud français et européens.
À LIRE AUSSI :
Une victoire à venir à la Pyrrhus
Isolée sur le certificat EUCS, la France cherche à sauvegarder son référentiel SecNumCloud en obtenant des garanties écrites du Conseil de l’UE. En cause : la dernière version de l’EUCS ne considère plus les critères de souveraineté. Dès lors, Paris demande des éclaircissements sur l’applicabilité du règlement et la possibilité de maintenir des critères nationaux de souveraineté (autrement dit de maintenir SecNumCloud), tels que le stockage des données en Europe ou l’utilisation de cloud européen.
Cette question n’est pas que sensible, elle est dommageable à plus d’un titre. Pour Jérome Valat CEO et co-fondateur de Cleyrop « La France en a déjà fait son deuil. L’EUCS fera tomber — s’il est adapté tel quel — le référentiel SecNumCloud 3.2. » Même discours, chez Alain Issarni, président exécutif de Numspot, pour qui « la France cherche une victoire à la Pyrrhus, une victoire qui permet tout au plus de sauver politiquement la face. »
La France capitule mais ne se rend pas ?
Sinon, comment expliquer la position du cabinet de Marina Ferrari, Secrétaire d’État chargée du numérique, pour qui « la France n’a pas du tout rendu les armes dans ce débat et nous restons totalement alignés sur le fait d’obtenir un point de sortie garantissant soit l’inscription d’une clause d’immunité dans le schéma EUCS, soit, au regard du positionnement de beaucoup d’États membres dans ce débat, en repli, la possibilité d’additionner de manière juridiquement fiable et solide une clause d’immunité au niveau national en sus du schéma EUCS du niveau le plus élevé, au niveau européen. »
Le repli est donc bien acté.
Avec l’EUCS, le référentiel français n’a plus de sens
Cette position est du point de vue de tous difficilement acceptable. Pour le délégué général du Cigref, Henri d’Agrain, avec l’acceptation d’une telle position de repli, « ce référentiel n’a pas de sens à l’échelle de la France ». Et il invite au passage nos politiques à ne plus confondre la résilience des systèmes d’information destinés à assurer la disponibilité et l’intégrité des données (pour assurer la continuité d’activité) avec le système juridique dont nous avons besoin pour assurer la confidentialité des informations au plus haut niveau requis, c’est-à-dire européen. Et de se demander « pour qui travaillent les gouvernements ? ».
Ces derniers jours, les représentants d’organisations européennes, équivalents du Cigref, ont contrarié la position politique de leur propre gouvernement en allant dans une lettre ouverte adressée à la présidente de la Commission européenne, Madame Ursula Von Der Leyen, souligner à quel point cette situation est inacceptable, car elle « pourrait compromettre la capacité des entreprises et des administrations publiques européennes à défendre la confidentialité et la sécurité de leurs données, les rendant vulnérables aux ingérences d’acteurs non européens ».
Un excès d’optimisme ?
Chez Marina Ferrari, on y voit encore un « côté positif » car « tout le monde en Europe nous reconnait ce droit à titre politique, y compris les Néerlandais, la présidence belge ou la Commission. Mais encore faut-il que ce soit juridiquement robuste à toute épreuve et à tout recours. »
À défaut de volonté politique, il faudrait encore espérer en la capacité d’un raisonnable alignement d’empilement de textes ? Les acteurs du numérique commencent sérieusement à partager le même sentiment que nos agriculteurs vis-à-vis de Bruxelles.
Comment une seule ligne suffit à tout remettre en cause
Cette fonction normative de l’Union européenne est décrite de manière critique par Nicolas Zubinski (voir encadré ci-dessous), un spécialiste en intelligence économique et influence, pour qui chaque mot, chaque virgule, chaque oubli ou ajout, est la résultante d’une ingénierie juridique ciblée. Cette complexité serait, selon lui, le fruit de la sophistication des techniques de protection des intérêts économiques des États membres. La confusion vient de ce que cette complexité n’est pas au service d’un intérêt collectif des États membres et des concitoyens européens, mais l’expression de stratégies d’influence où Zubinski pose la question rhétorique : « Quel est l’État qui possède le meilleur système de défense de ses propres intérêts ? », suggérant que l’UE est le théâtre d’une « guerre économique vivante » entre États européens, selon leurs intérêts à l’exportation avec les états non européens.
Est-ce bien ce que nous vivons avec l’incapacité de l’UE de se mettre d’accord sur une seule petite ligne, à propos du niveau « élevé+ » de l’EUCS – et ce dans un document de 221 pages – qui n’avait pas d’autre objectif que de protéger les données européennes contre les revendications juridiques étrangères ?
Des acteurs économiques déterminés à se battre
D’ici juin prochain, date de la prochaine échéance européenne, pouvons-nous encore espérer qu’un revirement de dernière minute vienne remettre l’Europe sur le chemin de la protection de ses propres intérêts ? C’est ce qu’espère Jérôme Valat pour qui la bataille semble pliée. Il constate que depuis le Safe Harbour, nous avons contribué à la création d’hyperscalers hégémoniques, et ce depuis 9 ans. Le cas Mistral est une illustration d’une réalité. Il n’y a pas d’autre choix pour eux, comme tout ce qui est innovation – d’être obligé de passer par Microsoft Azure, AWS, Google Cloud pour commercialement se développer.
Jérôme Valat propose de ne pas baisser les bras et de se préparer — comme pour la décision d’adéquation concernant la circulation sécurisée et fiable des données entre l’UE et les États-Unis — d’attaquer l’EUCS devant le tribunal de l’Union européenne pour défendre notre cause devant la cour européenne. Il soulève également la question de savoir qui sera le premier à être labellisé ”EUCS’’ : « forcément Google Cloud, Azure ou AWS ! »
« C’est de notre capacité à prospérer que nous gagnerons en influence, et donc en souveraineté ».
Interview avec Nicolas Zubinski, spécialiste en intelligence économique et influence.
Dans notre quête d’une Europe idéale, il est facile d’ignorer les divers obstacles qui entravent sa construction. Nicolas Zubinski reconnait l’importance de l’Union européenne dans le développement de droits fondamentaux qui encouragent la défense de l’intérêt commun des citoyens européens. Toutefois, il émet des réserves quant à l’aspect économique, où il perçoit une lutte de pouvoir constante entre les États : « Dans le domaine économique, chaque État est engagé dans une compétition de puissances perpétuelle ». Cette perspective, autrefois écartée par naïveté, est maintenant prise au sérieux. Zubinski évoque le concept de « système coopétitif », où les nations naviguent entre coopération et compétition : « Nous endossons tour à tour les rôles de coopérateur et de compétiteur, en fonction des projets et des sujets abordés. Nous sommes même en train d’accepter cette réalité ».
Une dimension fédérale qui fait défaut
Zubinski critique la vision traditionnelle qui a longtemps ignoré ces risques. Il distingue la position française de celle des États-Unis et note la différence fondamentale entre un système fédéral et un système coopétitif, comme celui de l’Union européenne, où il n’y a pas d’intérêt commun fédéral. Concernant la question de la souveraineté, il met en lumière la complexité des intérêts convergents et divergents entre les États membres de l’UE : « Comment, dans un système coopétitif, pouvons-nous parvenir à une convergence d’intérêts en matière de souveraineté ? ».
Zubinski fait état d’une méfiance particulière à l’égard de la position allemande dans l’Union européenne. Selon lui, « Les Allemands ont parfaitement compris les règles du jeu. Seuls les Français ne jouent pas selon les règles du système coopétitif ». Cela reflète la dynamique économique de l’UE, certains pays ont mieux saisi et exploité avec succès les règles que d’autres, pour associer leurs avantages économiques. À cet égard, l’Union européenne constitue pour l’Allemagne une rente économique permettant de faire fructifier sa dépendance aux États-Unis.
Repenser l’Europe
Zubinski exprime un inconfort prononcé sur la position allemande, considérant que « le mythe de la construction européenne telle que portée dans la société allemande et du moteur franco-allemand revendiqué dans la société française masque la réalité des divergences d’intérêts entre nos deux pays. C’est d’autant plus dommageable que les Européens ont, dans la compétition internationale, un intérêt objectif à s’unir face à la multipolarisation du monde. Peut-être faut-il justement repenser notre mythe fondateur pour préparer les citoyens des États membres à la nécessité de recalculer leurs intérêts économiques ».
Enfin, il considère que l’influence entre États s’explique plus généralement par l’analyse comparée des balances commerciales extérieures, des taux d’industrialisation et de la structure des dettes publiques. Rapporté à chaque secteur de l’économique, se dessine alors un « profil de dépendance et d’interdépendance » qui va guider les stratégies d’influence.
Des pays européens qui jouent contre leur camp
Zubinski éclaire cette dynamique en analysant la situation des Pays-Bas, qu’il décrit comme le « cheval de Troie des investissements chinois en Europe ». Cette métaphore illustre comment les Pays-Bas, profitant de leur position de portail commercial grâce à leur accès maritime, facilitent l’entrée des biens chinois dans l’UE, et comment ils tirent historiquement un bénéfice structurel de cette relation. Ils maximisent aujourd’hui cet avantage par des acquisitions de sociétés et du rachat de propriété intellectuelle.
La France, en mauvaise position pour exiger
Et Zubinski de considérer que cette situation coopétitive est naturelle, mais qu’il ne faut pas jouer naïvement le jeu de la coopération européenne. Il critique la posture de la France, qui affiche une balance extérieure négative, une situation qu’il interprète comme un signe de faiblesse économique et un obstacle à la souveraineté. Il souligne l’urgence pour la France d’apprendre de ces dynamiques européennes, où d’autres pays ont élaboré des stratégies d’influence et de lobbying pour défendre efficacement leurs intérêts.
Pour Zubinski, la véritable souveraineté repose sur la capacité d’un pays à faire du business, une compétence qu’il juge cruciale et pourtant insuffisamment valorisée en France. Il conclut ainsi « c’est de notre capacité à prospérer que nous gagnerons en influence, et donc en souveraineté ».
À LIRE AUSSI :
