Là Alliance numérique des PME soutient l’inclusion de ce qu’on appelle critères d'« immunité » ou de « souveraineté » dans le'Système européen de certification de cybersécurité pour les utilisateurs du cloud (Eucs)en les plaçant comme des exigences harmonisées pour protéger les utilisateurs européens du cloud et les données sensibles contre tout accès illégalIl s'agit d'un appel lancé par l'association qui regroupe petites et moyennes entreprises des TIC en Europe, il s'adresse aux institutions de Bruxelles, qui travaillent depuis 2020 vers un système européen de certification de cybersécurité pour les utilisateurs du cloudLa proposition vise à « renforcer encore les conditions du marché intérieur de l'Union pour les services cloud, en améliorant et en simplifiant les garanties de cybersécurité ».
Ce que demande l'Alliance des PME numériques
« Ce schéma », peut-on lire dans le document de l’Alliance numérique des PME, « sera probablement composé d'au moins trois niveaux de certification de cybersécurité pour les fournisseurs de services cloud (de base, substantiel et annexe, éd.), dans le but de développer la confiance dans les fournisseurs de services cloud. Bien que le système soit volontaire en vertu de la Loi sur la cybersécuritécertaines entités soumises à la Nis2« y compris les administrations publiques et les entreprises utilisatrices, pourraient être obligées de se conformer par les États membres au niveau national ».
Les discussions politiques sur l’Eucs se sont concentrées sur l’opportunité d’inclure ou non des critères qui empêcheraient l’accès illégal aux données stockées sur des services cloud en Europe, les exigences dites « d’immunité » ou de « souveraineté ». Dans une évolution récente de ces discussions, Le niveau d’assurance le plus élevé – High+ – qui comprend des exigences d’immunité, a été supprimé du programmeLes exigences d’immunité ont été remplacées par des attestations obligatoires de profil d’entreprise international, détaillant les informations de conservation des données, les méthodes de traitement des données et les juridictions compétentes pour les fournisseurs de cloud internationaux.
Pour l'Alliance des PME numériques les exigences d'immunité doivent être conservées dans le corps principal du texteCela donnerait une impulsion au marché européen des fournisseurs de services cloud et affirmerait la primauté des principes européens tels que Souveraineté des données et harmonisation des marchés sur l'un des plus grands marchés de services numériques. De cette manière, les décideurs politiques peuvent s'assurer que l'Eucs augmente la confiance des utilisateurs du cloud dans la sécurité de leurs fournisseurs de cloud et de leurs données.
Un système de certification harmonisé serait particulièrement bénéfique pour les PME
Digital Sme estime que l'inclusion de dispositions harmonisées en matière de cybersécurité et de souveraineté des données contribuera à l’harmonisation des marchés de l’UE. « Dans le cas contraire, si la responsabilité incombe aux responsables nationaux des achats, la fragmentation devient inévitable. En outre, la CUE devrait compléter d’autres législations de l’UE, telles que la loi sur les données, assurer l’harmonisation des principes juridiques de l’UE et ne pas créer de régimes juridiques complémentairesCet aspect aurait un impact particulier sur les PME : avec un système de certification informatique harmonisé au niveau de l'UE, elles pourront accéder aux services cloud tout en garantissant le plus haut niveau de protection « La souveraineté des données et la prévention de l’accès illégal aux données européennes doivent être un objectif clé de tous les programmes de cybersécurité liés aux données ».
L’affaiblissement du principe de souveraineté rend la transparence plus difficile
Pour l'Alliance PME numérique, en revanche, La suppression des exigences de souveraineté affaiblit les protections des citoyens et des entreprises européennes et contredit l'objectif d'autres réglementations de l'UE, notamment le RGPD et le Data Act. « Bien que le système reste volontaire et que d'autres dispositions aient été insérées pour permettre aux utilisateurs du cloud de comprendre où leurs données peuvent être stockées, l'affaiblissement du principe de souveraineté rend la transparence plus difficile. Dans le même temps, il convient de souligner que l'état actuel du marché et les perturbations commerciales potentielles doivent être pris en compte lors de la création de systèmes de certification, en particulier s'ils sont volontaires. La plupart des entreprises européennes dépendent encore de hyperscalers non européens pour les services cloud et le conflit entre les exigences du système (si les exigences de souveraineté sont maintenues) et la diffusion actuelle des services cloud pourrait entraver l'adoption de la certification. Par conséquent, à la suite des actes d'exécution de la CSA établissant l'Eucs, l'UE devrait saisir l'occasion de promouvoir l'interopérabilité et de remettre en question le « lock-in » des fournisseurs de cloud.
Globalement, Digital Sme souhaite rappeler aux décideurs politiques de l’UE l’importance de respecter les principes européens, notamment pour préserver l’intégrité des données des particuliers et des entreprises. « En outre, il est essentiel de garantir l’harmonisation des marchés européens du cloud grâce à un système de certification européen uniforme et hautement sécurisé. pour atteindre l’objectif d’un véritable marché unique numérique« .