L'essentiel
Definition
Qu'est-ce que l'EUCS ?
L'EUCS, pour European Cybersecurity Certification Scheme for Cloud Services, est un schema europeen de certification cybersecurite specifiquement destine aux services cloud. Il est prepare par l'ENISA, l'agence europeenne pour la cybersecurite, en application du Cybersecurity Act adopte en 2019.
Le schema propose trois niveaux d'assurance graduels. Basic et Substantial reposent sur des criteres techniques et organisationnels classiques, alignes sur ISO 27001 et ISO 27017. Le niveau High vise les services les plus sensibles et fait l'objet de discussions politiques approfondies depuis 2021.
Le coeur du debat porte sur l'inclusion ou non, dans le niveau High, d'exigences dites de souverainete : controle capitalistique europeen, immunite aux injonctions extraterritoriales, localisation stricte des donnees. Les positions des Etats membres divergent, ce qui explique le decalage du calendrier d'adoption.
Contexte historique
Du Cybersecurity Act aux arbitrages politiques
Impact concret
Ce que l'EUCS changera, ou non
Six effets attendus pour les organisations europeennes, sous reserve de l'adoption finale du texte.
Trois niveaux d'assurance
Basic correspond a une assurance de base, Substantial a un niveau renforce et High a une assurance elevee. Les criteres techniques sont issus de standards existants (ISO 27001, ISO 27017, ENS, ENISA Cloud Computing Risk Assessment).
Articulation avec les referentiels nationaux
Une fois adopte, l'EUCS coexistera avec les referentiels nationaux (SecNumCloud en France, BSI C5 en Allemagne, ENS au Portugal et en Espagne). Le mecanisme de reconnaissance mutuelle reste a stabiliser.
Enjeu de souverainete sur le niveau High
La principale controverse porte sur la presence ou l'absence, au niveau High, d'exigences de localisation des donnees et d'immunite aux lois extraterritoriales. Les positions des Etats membres restent divergentes.
Impact commande publique
Si le niveau High inclut des exigences souveraines, l'EUCS deviendra un outil structurant pour les marches publics europeens. Sinon, son adoption sera plus large mais sa portee souveraine plus faible.
Cout de mise en conformite
Pour les fournisseurs, viser le niveau High implique un effort important de documentation, d'audit et de gouvernance. Le retour sur investissement depend de la reconnaissance effective dans les appels d'offres publics et regules.
Calendrier flou
L'adoption formelle a ete repoussee a plusieurs reprises depuis 2022. A la date de cette page, le schema n'est pas encore en vigueur, mais les fournisseurs preparent deja leur dossier en s'appuyant sur les versions de travail.
Idees recues
Trois confusions frequentes
Sources et references
Pour aller plus loin
Sur NextHop