Ce que les exigences de l’OTAN impliquent pour le cloud

Les achats de cloud de défense doivent relier la souveraineté aux exigences opérationnelles

Un cloud de défense peut répondre à des exigences européennes de souveraineté plus strictes tout en laissant subsister des questions sur sa capacité à soutenir une opération de coalition. Des responsables européens de la défense de plusieurs pays de l’UE, y compris des États membres d’Europe orientale et nordiques, contestent certaines parties du projet de Cloud and AI Development Act, selon le Financial Times. Ils craignent que des restrictions touchant Amazon, Microsoft et Google ne limitent l’accès aux capacités cloud et d’IA ou ne compliquent l’interopérabilité, c’est-à-dire la capacité des systèmes à fonctionner ensemble, avec les systèmes de l’OTAN.

Ces objections réunissent plusieurs exigences de sécurité dans une même décision d’achat : le contrôle des données et des services, la continuité d’accès et le fonctionnement entre systèmes alliés. La proposition est toujours à l’étude par les États membres et les institutions de l’UE et n’est pas entrée en vigueur, de sorte que les responsables signalent des risques pour les opérations futures. Les équipes achats doivent déterminer quels services peuvent répondre simultanément à ces exigences. Pour cela, elles doivent examiner les dispositifs juridiques, opérationnels et techniques de chaque service sans partir du principe que les fournisseurs US sont indispensables ni que la souveraineté européenne et la compatibilité avec l’OTAN sont incompatibles.

Le CADA relierait les activités du secteur public à des niveaux d’assurance cloud

Les règles proposées formaliseraient une partie de cette évaluation. La Commission européenne a proposé le Cloud and AI Development Act, ou CADA, en juin afin de traiter la capacité des centres de données, les achats de cloud du secteur public et la dépendance à l’égard de fournisseurs cloud et IA non européens. Ses dispositions en matière d’achats introduiraient un framework à quatre niveaux pour évaluer la souveraineté cloud au sein des institutions de l’UE et des organisations du secteur public, les niveaux d’assurance les plus élevés imposant des exigences plus strictes à un service.

Les exigences examineraient plusieurs façons dont une organisation ou un gouvernement pourrait contrôler ou influencer un service cloud. L’emplacement de l’infrastructure serait évalué aux côtés du contrôle opérationnel, de la propriété, des chaînes d’approvisionnement logicielles et de l’exposition aux juridictions de pays tiers. Les acheteurs devraient donc déterminer qui peut exploiter ou influencer le service et quels systèmes juridiques peuvent l’affecter. L’hébergement de l’infrastructure dans l’UE satisferait une partie de cet examen.

Pour déterminer où s’appliquent des exigences renforcées, l’article 29 imposerait aux États membres et aux entités de l’UE d’évaluer les activités du secteur public utilisant le cloud qui contribuent au maintien de l’ordre public. Celles-ci comprennent la sécurité nationale, la défense, la sécurité intérieure, la gestion des frontières, la justice et l’application de la loi. L’évaluation relierait la fonction publique assurée par une charge de travail, les applications et les données exécutées sur un service cloud, aux exigences d’achat qui la régissent.

Pour les activités identifiées par ce processus, l’article 30 établirait la manière dont les niveaux d’assurance cloud requis sont reconnus. Ces activités devraient utiliser des services reconnus aux niveaux 2, 3 ou 4. Les achats impliqueraient donc deux jugements liés : identifier le risque de l’activité et sélectionner un service disposant de la reconnaissance requise. La description générale par un fournisseur de son cloud comme souverain resterait distincte d’une reconnaissance dans ce système.

Le CADA autoriserait également des exceptions lorsque des services conformes ne sont pas disponibles, lorsqu’un processus d’achat ne produit aucune offre adaptée, ou lorsque d’autres conditions précisées dans le règlement s’appliquent. Ces dispositions rendent son effet plus conditionnel qu’une interdiction générale des fournisseurs US. Une exception pourrait autoriser un achat, mais les acheteurs devraient toujours établir si le service peut soutenir l’activité de défense visée.

La Commission traite l’exposition juridique et la dépendance aux fournisseurs

L’argumentaire de la Commission en faveur de ces contrôles commence par un marché des fournisseurs concentré. Son étude d’impact sur le CADA estime qu’AWS, Microsoft et Google représentent ensemble environ 70 % du marché européen des services d’infrastructure cloud. La part cumulée des fournisseurs européens est passée de 29 % en 2017 à 15 % en 2022 et est restée autour de ce niveau, selon l’étude. Ces chiffres décrivent une dépendance à l’échelle du marché européen du cloud dans son ensemble.

La Commission relie cette dépendance au risque que des décisions prises hors du contrôle européen affectent les services publics. Son évaluation identifie la dépendance à des fournisseurs non européens, l’exposition aux lois de pays tiers et une possible interruption de service comme des problèmes auxquels le CADA entend répondre. Pour les activités sensibles, l’accès continu aux capacités de calcul et le contrôle des données sont des exigences de sécurité ; la capacité technique doit donc être évaluée en parallèle des conditions juridiques et organisationnelles dans lesquelles un service fonctionne.

Ces conditions expliquent aussi l’avertissement de la Commission selon lequel les offres présentées comme souveraines par des fournisseurs non européens peuvent rester exposées aux lois de pays tiers régissant l’accès aux données ou aux politiques affectant la continuité du service. L’emplacement de l’infrastructure ne peut pas résoudre toutes les questions sur qui peut imposer l’accès ni sur ce qui peut affecter les opérations. Si les chiffres de part de marché établissent le problème plus large de dépendance, les exigences d’une charge de travail militaire particulière dépendent des opérations qu’elle doit soutenir.

L’OTAN exige que les services cloud fonctionnent entre systèmes alliés

Pour les opérations militaires, une charge de travail peut dépendre de systèmes exploités par plusieurs pays et organisations. La stratégie numérique de l’Alliance de l’OTAN de janvier 2026 appelle à un modèle de cloud fédéré, dans lequel les réseaux participants partagent des services et des ressources au-delà des frontières organisationnelles. Le programme 2026 du Fonds européen de la défense inclut lui aussi des exigences d’interopérabilité avec l’OTAN en parallèle d’objectifs de souveraineté européenne. Ces deux politiques font de la coopération intersystèmes un élément des achats de défense, même si elles fixent des exigences différentes.

Le modèle de l’OTAN combine plusieurs conditions techniques. Il doit prendre en charge plusieurs niveaux de classification de sécurité, s’étendre à mesure que la demande évolue, utiliser une architecture hybride combinant le cloud et d’autres environnements informatiques, et intégrer l’edge computing tactique, qui traite les données au plus près des utilisateurs opérationnels et des équipements. Les acheteurs doivent donc examiner comment un service fonctionnera dans cet ensemble plus large. L’autorisation d’utilisation dans un environnement donné n’établit qu’une partie de son adéquation opérationnelle.

La participation s’accompagne aussi d’obligations formelles. La stratégie numérique de l’Alliance rend son framework d’interopérabilité obligatoire pour les pays rejoignant les réseaux fédérés utilisés pour les opérations dirigées par l’OTAN. Les objectifs d’infrastructure de l’OTAN appellent à des normes internationales et à des architectures de référence approuvées par l’OTAN, qui fournissent des conceptions communes pour les systèmes participants. La compatibilité peut donc déterminer si une capacité nationale fondée sur le cloud peut rejoindre l’environnement opérationnel partagé.

Les connexions au sein de cet environnement doivent supporter des conditions d’exploitation exigeantes. L’OTAN exige de la résilience, une bande passante élevée et une faible latence : les connexions doivent résister aux perturbations, transporter des volumes importants de données et répondre avec peu de délai. Ces exigences s’appliquent aux opérations critiques, y compris dans des environnements dégradés, contestés et refusés où la connectivité peut être altérée ou indisponible. Les achats doivent donc examiner le comportement du service à mesure que les communications se dégradent.

Cet examen s’étend aussi à ce que les organisations peuvent partager via le réseau. L’OTAN précise les données, les services numériques et les ressources de calcul, faisant de l’interopérabilité une question de capacités partagées autant que d’échange d’informations. Sa stratégie de mise en œuvre de la transformation numérique décrit l’épine dorsale numérique plus large comme une fédération de réseaux et de systèmes fournissant des services cloud et edge au-delà des frontières organisationnelles, nationales, opérationnelles et de sécurité. Un achat au sein d’une organisation doit par conséquent tenir compte des services et des connexions qui la dépassent.

Les systèmes de défense doivent pouvoir se rétablir tout en préservant des données exploitables

Le Fonds européen de la défense, ou FED, donne à ces préoccupations opérationnelles une base politique européenne distincte. Son programme 2026 a alloué à titre indicatif 40 millions d’euros à des services cloud pour opérations militaires multi-domaines couvrant les opérations terrestres, aériennes, maritimes, cyber et spatiales. Le soutien de ces domaines inscrit les services cloud dans un système opérationnel large. Les exigences techniques du programme portent sur la manière dont ce système doit s’organiser et continuer à fonctionner à mesure que les conditions évoluent.

Pour soutenir ce système, le FED exige que l’infrastructure cloud militaire et les réseaux associés soient autoformants et autoréparateurs : ils doivent établir des connexions opérationnelles et se remettre des défaillances. Ils doivent aussi se dégrader de manière maîtrisée, en conservant un fonctionnement utile à mesure que les capacités diminuent. La redondance doit fournir des composants ou des connexions de remplacement afin que les opérations puissent se poursuivre lorsqu’un élément tombe en panne. Les achats doivent donc évaluer le comportement de la conception en situation de défaillance.

Le rétablissement doit aussi préserver la cohérence des données entre les opérations participantes. Un service restauré contenant des données contradictoires pourrait compromettre le travail qu’il soutient ; le FED exige donc des mécanismes de reprise qui maintiennent la cohérence des données. Il exige aussi des capacités de basculement, qui déplacent les opérations affectées vers une alternative lorsque les communications sont perturbées. Les acheteurs ont donc besoin d’assurances sur les données et les capacités exploitables du système rétabli, ainsi que sur sa disponibilité.

Pour relier ces capacités entre organisations, le programme identifie des dispositifs d’interopérabilité précis que les concepteurs doivent prendre en compte. Ils comprennent des interfaces et processus approuvés par l’OTAN ; les exigences du NATO Architecture Framework pour décrire les systèmes ; les accords de normalisation, connus sous le nom de STANAG ; et les spécifications Federated Mission Networking pour les réseaux de mission participants. Ils donnent aux ingénieurs et aux équipes achats des règles concrètes au regard desquelles examiner un service. Ils donnent aussi à la préoccupation des responsables concernant la compatibilité avec l’OTAN une base technique au-delà de la familiarité avec un fournisseur existant.

Le FED place ces exigences aux côtés d’objectifs de souveraineté militaire et technologique européenne. Il soutient également les contributions de l’UE aux initiatives de l’OTAN couvrant l’interopérabilité technique et procédurale, de sorte que la politique européenne de défense recherche explicitement à la fois la souveraineté et la compatibilité avec la coalition. Les achats doivent déterminer quels services et quels dispositifs peuvent offrir les deux dans les conditions d’exploitation attendues.

L’OTAN met en pratique un modèle opérationnel cloud partagé

L’activité de déploiement de l’OTAN montre l’ampleur à laquelle elle poursuit ce modèle partagé. En juillet, la NATO Communications and Information Agency, ou NCIA, a attribué à Accenture un contrat d’environ 200 millions d’euros pour le programme Protected Business Network. La NCIA indique que le programme établira un modèle opérationnel cloud commun pour les opérations numériques classifiées à l’échelle de l’OTAN. Le contrat transforme cet objectif architectural en un engagement de mise en œuvre substantiel.

Dans le cadre du contrat, Accenture doit concevoir la plateforme centrale, la mettre en œuvre, puis l’exploiter dans un environnement multi-cloud, c’est-à-dire utilisant plusieurs services cloud, fourni par la NCIA. Le programme est destiné à prendre en charge environ 29 000 utilisateurs entre 2026 et 2033. Il s’agit d’un exemple concret d’organisation d’opérations classifiées autour d’un environnement cloud partagé, montrant le contexte opérationnel dans lequel de futures règles d’achat s’appliqueraient.

Les offres cloud européennes apportent différentes formes de contrôle

Les fournisseurs répondent à la demande de contrôle européen avec des offres que les acheteurs doivent examiner au regard de ces exigences juridiques et opérationnelles. AWS, Microsoft et Google Cloud commercialisent de tels services et en tirent un avantage commercial lorsque les acheteurs jugent leurs approches adaptées. Leurs descriptions expliquent les contrôles que chaque entreprise propose ; la reconnaissance à un niveau d’assurance CADA proposé relèverait d’une détermination distincte.

AWS a rendu son European Sovereign Cloud généralement disponible en janvier 2026, avec sa première région dans le Brandebourg, en Allemagne. AWS indique que l’environnement est physiquement et logiquement séparé de ses régions existantes, utilise une infrastructure située dans l’UE et est conçu pour continuer à fonctionner si la connectivité avec une infrastructure située hors du bloc est interrompue. Cette conception répond à un scénario précis de continuité pour les acheteurs préoccupés par la connectivité externe.

D’autres fournisseurs décrivent des contrôles axés sur différentes parties de la fourniture du service. Le Sovereign Public Cloud de Microsoft inclut une supervision Data Guardian pour l’accès administratif à distance, selon Microsoft. Google Cloud propose des configurations souveraines via des partenaires européens, notamment S3NS en France et T-Systems en Allemagne. Les acheteurs doivent examiner ces contrôles sur l’administration et les opérations en parallèle des conditions de propriété et de juridiction que le CADA évaluerait également.

Ces descriptions de produits et les préoccupations de la Commission traitent différents aspects d’un même achat. AWS décrit l’emplacement de l’infrastructure, la séparation et la conception de continuité, tandis que la Commission met en garde contre des lois et politiques susceptibles d’affecter l’accès aux données ou la continuité du service. Un acheteur doit examiner comment les deux s’appliquent au dispositif proposé. La séparation opérationnelle peut répondre à un risque de continuité tout en laissant subsister une question juridique distincte à évaluer.

Les achats de la Commission reposent sur des dispositifs fournisseurs mixtes

Les propres achats de la Commission montrent comment ces dispositifs peuvent combiner plusieurs fournisseurs. En avril, elle a attribué des contrats-cadres permettant aux institutions et agences de l’UE d’acheter jusqu’à 180 millions d’euros de services cloud souverains sur six ans. Ces contrats-cadres appliquent des critères de souveraineté en dehors du CADA, démontrant une approche d’achat existante avec un système d’évaluation différent de celui de la législation proposée.

Les attributions sont allées à Post Telecom avec CleverCloud et OVHcloud ; STACKIT ; Scaleway ; et Proximus avec des partenaires comprenant S3NS, Clarence et Mistral. Comme ces attributions incluent à la fois des fournisseurs individuels et des dispositifs multi-entreprises, les acheteurs doivent comprendre comment la responsabilité est répartie au sein de chaque service. Les organisations qui fournissent l’infrastructure, l’administration et d’autres capacités peuvent chacune affecter le contrôle qui en résulte.

Pour évaluer ce contrôle, la Commission a utilisé son Cloud Sovereignty Framework. Ses catégories couvrent les exigences stratégiques, juridiques, opérationnelles, de chaîne d’approvisionnement, technologiques, de sécurité, environnementales et de droit de l’UE. Ce framework est distinct du système proposé à quatre niveaux du CADA, de sorte que la participation aux contrats attribués a une signification d’achat spécifique. Une reconnaissance au titre de la législation proposée nécessiterait sa propre détermination.

S3NS illustre pourquoi la structure du service fourni importe. Il s’agit d’une coentreprise entre Thales et Google Cloud et elle participe au consortium Proximus, faisant entrer une entreprise cloud US dans un achat centré sur la souveraineté via une structure européenne. L’évaluation de ce dispositif exige d’examiner les contrôles juridiques, opérationnels et techniques qui en résultent. Ces contrôles dépendent des responsabilités et des pouvoirs des organisations participantes, ce qu’une simple étiquette de nationalité ne peut pas décrire.

L’essentiel

Les achats de cloud de défense doivent établir à la fois qui contrôle un service et s’il peut soutenir les opérations qui en dépendent. Les exigences européennes de souveraineté traitent l’exposition juridique et la dépendance aux fournisseurs. Les exigences d’interopérabilité de l’OTAN traitent la participation à des systèmes opérationnels partagés. Aucune de ces évaluations ne peut se substituer à l’autre.

Pour les décideurs, cela signifie définir les exigences avant de sélectionner les fournisseurs. Les équipes achats ont besoin de preuves concernant le contrôle opérationnel, l’exposition juridictionnelle, les capacités de reprise et la compatibilité avec les systèmes alliés. Lorsque plusieurs entreprises fournissent un service, les contrats doivent clarifier leurs responsabilités, notamment qui peut administrer l’infrastructure et comment les opérations se poursuivent pendant une perturbation.

Le CADA est toujours à l’étude, mais ces questions affectent déjà les décisions d’achat. Les dirigeants devraient réunir les équipes juridiques, sécurité, achats et opérations dans une même évaluation. L’objectif est un service dont les contrôles peuvent être vérifiés et dont les capacités restent exploitables lorsque les communications échouent ou que les opérations de coalition lui imposent de nouvelles exigences.