Souveraineté cloud : C5, résidence des données, maîtrise des clés
La souveraineté signifie résidence des données, maîtrise de l'exploitation et maîtrise des clés.
La souveraineté figure dans presque chaque appel d’offres cloud, mais reste souvent floue. Les fournisseurs inscrivent le terme sur leurs fiches techniques, et dans les offres il devient vite une case de conformité. Sur le plan architectural, il se décompose en trois questions concrètes : où résident les données, qui exploite la plateforme et qui détient les clés. Ce sont les réponses à ces questions qui déterminent si une architecture cloud est souveraine de manière robuste ou seulement désignée comme telle.
Les points clés en bref
- La souveraineté exige des décisions architecturales : elle se décompose en résidence des données, maîtrise opérationnelle et maîtrise des clés. Qui ne vérifie que l’emplacement géographique a omis deux niveaux sur trois.
- Le BSI C5 est la référence, non une promesse de résidence : ce catalogue de critères évalue la sécurité d’un service cloud, mais ne dit rien sur le lieu de stockage des données. Les deux points doivent être clarifiés séparément.
- C5:2026 durcit les exigences : 168 critères au lieu de 121, avec des nouveautés pour les conteneurs, la cryptographie post-quantique et le Confidential Computing. Les exigences pénètrent plus profondément dans les architectures existantes.
En lien :La souveraineté de l’IA commence par l’infrastructure / Souverain, mais face à quoi ?
La souveraineté exige des décisions architecturales
Qu’est-ce que le BSI C5 ? Le C5, abréviation de Cloud Computing Compliance Criteria Catalogue, est un catalogue de critères de l’Office fédéral allemand de la sécurité des technologies de l’information. Il définit les exigences minimales en matière de sécurité de l’information pour les services cloud et est attesté par des commissaires aux comptes. Une attestation C5 démontre qu’un fournisseur met en œuvre des mesures de sécurité vérifiées. En Allemagne, c’est la norme de facto pour tout achat cloud sérieux.
L’erreur la plus fréquente commence par une confusion. Une attestation C5 dans une offre est lue comme preuve de souveraineté. Ce n’en est pas une. Le C5 évalue la sécurité opérationnelle d’un service, non le lieu de stockage des données ni les personnes habilitées à y accéder en cas d’urgence. Un fournisseur peut détenir une attestation C5 et relever néanmoins d’un cadre juridique autorisant l’accès aux données européennes. Ces deux questions sont liées, mais ne sont pas identiques.
Vérifier rigoureusement la souveraineté signifie la décomposer en ses éléments constitutifs. Ce n’est qu’une fois clairement établi quels niveaux un projet requiert qu’il devient possible d’évaluer si une offre est adaptée. De nombreuses promesses de souveraineté n’échouent pas sur le plan technique, mais précisément faute de cette distinction.
Résidence des données, souveraineté opérationnelle, maîtrise des clés : trois niveaux
Le premier niveau est la résidence des données, la question de l’emplacement physique. C’est le plus facile à vérifier et il est donc souvent assimilé à la souveraineté. Des données hébergées dans un centre de données à Francfort constituent un bon point de départ, mais elles ne répondent qu’à la plus simple des trois questions.
Le deuxième niveau est la souveraineté opérationnelle. Qui administre la plateforme, depuis où, et sous quelle juridiction ce personnel se trouve-t-il ? Un centre de données en UE administré à distance depuis un pays tiers dispose d’une résidence des données, mais pas de souveraineté opérationnelle. Le troisième niveau, et le plus exigeant, est la maîtrise des clés. Celui qui détient les clés de chiffrement contrôle les données, indépendamment de l’endroit où elles se trouvent. Si c’est le prestataire qui détient les clés, la résidence devient secondaire.
| Niveau | Question centrale | Vérifiable via |
|---|---|---|
| Résidence des données | Où les données se trouvent-elles physiquement ? | Emplacement du centre de données |
| Souveraineté opérationnelle | Qui administre la plateforme ? | Localisation et juridiction du personnel |
| Maîtrise des clés | Qui détient le chiffrement ? | Gestion des clés, BYOK ou HYOK |
En pratique, tous les projets n’ont pas besoin des trois niveaux au même degré. Un site web public peut se contenter d’un cloud standard. Un dossier patient ou un jeu de données de conception exige la maîtrise des clés et la souveraineté opérationnelle, pas seulement un emplacement en UE. Le travail d’architecture consiste ici à attribuer à chaque ensemble de données le niveau approprié, plutôt que d’exiger la souveraineté de manière uniforme ou d’acheter du cloud standard sans discernement.
Ce que C5:2026 signifie concrètement pour l’architecture
Le catalogue de critères a été élargi. La version publiée en avril 2026 relève les exigences. Les 121 critères de la version précédente sont passés à 168. Les nouvelles exigences concernent des domaines centraux de l’architecture cloud moderne.
Trois nouveaux axes sont pertinents pour les architectes. La gestion des conteneurs est désormais auditée de manière indépendante pour la première fois, ce qui concerne directement les équipes travaillant avec des plateformes Kubernetes. La cryptographie post-quantique fait son entrée, car la menace que représentent les futurs ordinateurs quantiques exige dès aujourd’hui une anticipation dans l’architecture. Le Confidential Computing, c’est-à-dire le chiffrement des données même pendant leur traitement, occupe une place croissante dans le périmètre d’audit. Les nouvelles exigences deviennent contraignantes pour les périodes d’audit à partir de mi-2027. Pour les équipes d’architecture, la fenêtre de planification s’ouvre donc maintenant.
Quiconque planifie une plateforme aujourd’hui devrait intégrer ces sujets fermement dans sa feuille de route. Une architecture qui intègre dès le départ l’isolation des conteneurs, des procédés crypto-agiles et le traitement confidentiel passe le prochain audit sans remaniement. Celle qui doit les ajouter après coup paie deux fois.
Ce qui porte la souveraineté et ce qui la revendique seulement
Entre souveraineté réelle et souveraineté affirmée, c’est rarement la technique qui fait la différence, mais la rigueur de l’examen. Les schémas suivants distinguent l’une de l’autre.
Seulement affirmée
- Une attestation C5 interprétée comme preuve de souveraineté des données
- Localisation UE vérifiée, maîtrise opérationnelle et maîtrise des clés ignorées
- Clés chez le fournisseur, la résidence utilisée comme vitrine
- Souveraineté exigée globalement, sans distinguer les classes de données
Réellement fondée
- Résidence des données, maîtrise opérationnelle et maîtrise des clés vérifiées séparément
- Maîtrise des clés assurée via BYOK ou HYOK en interne
- Chaque patrimoine de données affecté au niveau de souveraineté approprié
- Thématiques C5:2026 intégrées en amont, sans recours aux ajouts a posteriori
La différence entre les deux colonnes n’est pas uniquement une question de fournisseur. Même un grand cloud international propose désormais des régions souveraines avec administration séparée et maîtrise des clés. Ce qui est déterminant, c’est que l’architecture propre exige et vérifie le bon niveau, plutôt que de s’en remettre à un label. La souveraineté n’est au fond pas un produit que l’on achète, mais une propriété que l’on démontre.
Foire aux questions
Une attestation C5 signifie-t-elle que mes données sont hébergées en Allemagne ?
Non. Le C5 évalue la sécurité de l’information d’un service cloud, non la localisation des données. Un fournisseur peut disposer d’une attestation C5 complète tout en traitant des données en dehors de l’Allemagne. La résidence des données doit faire l’objet d’une clarification contractuelle distincte ; elle ne fait pas partie de la preuve C5.
Quelle est la différence entre BYOK et HYOK ?
Avec Bring Your Own Key, le client apporte ses propres clés, mais le fournisseur les gère dans son infrastructure. Avec Hold Your Own Key, les clés restent entièrement sous le contrôle du client ; le fournisseur ne peut pas déchiffrer sans autorisation. HYOK offre une maîtrise des clés plus élevée, mais est plus contraignant à exploiter.
Un centre de données européen suffit-il à garantir la souveraineté ?
Il couvre uniquement la résidence des données. La maîtrise opérationnelle et la maîtrise des clés restent en suspens. Si la plateforme est administrée depuis un pays tiers ou si le fournisseur détient les clés, la localisation européenne seule ne constitue pas une protection solide. La souveraineté n’est atteinte que lorsque les trois niveaux sont clarifiés.
Qu’est-ce que C5:2026 change pour mon architecture ?
Cette version étend le catalogue à 168 critères et intègre la gestion des conteneurs, la cryptographie post-quantique et le Confidential Computing. Les plateformes doivent anticiper l’isolation des conteneurs, les procédés crypto-agiles et le traitement confidentiel dès la conception. Les nouvelles exigences deviennent contraignantes pour les périodes d’audit à partir de mi-2027.
Quelles données nécessitent le niveau de souveraineté le plus élevé ?
Les données à fort besoin de protection ou soumises à une réglementation stricte : données de santé, données de conception et de recherche, données personnelles à grande échelle. Pour celles-ci, la maîtrise des clés et la maîtrise opérationnelle se justifient pleinement. Les données publiques ou non critiques peuvent se contenter d’un cloud standard. L’enjeu est la classification, non l’exigence maximale systématique.
Source de l’image : image de couverture générée par IA (juin 2026), certificat C2PA intégré dans l’image
