Les points cl\u00e9s en bref<\/p>\n
- \n
- La d\u00e9fense est elle-m\u00eame d\u00e9pendante des importations.<\/strong> Les \u00e9tudes mentionnent environ 72 pour cent de solutions de s\u00e9curit\u00e9 \u00e9trang\u00e8res et une large d\u00e9pendance \u00e0 la technologie am\u00e9ricaine. La souverainet\u00e9 fait d\u00e9faut l\u00e0 o\u00f9 elle compterait le plus.<\/li>\n
- L’Allemagne \u00e9crit d\u00e9sormais ses propres r\u00e8gles.<\/strong> Avec le catalogue de crit\u00e8res C3A de fin avril 2026, le BSI a pr\u00e9sent\u00e9 un cadre technique pour une utilisation souveraine du cloud.<\/li>\n
- La souverainet\u00e9 est une question de pile, pas une d\u00e9cision de principe.<\/strong> Dans le SOC, la d\u00e9tection et les outils open source, une r\u00e9duction est r\u00e9aliste. Pour les syst\u00e8mes d’exploitation et les hyperscalers, elle reste une illusion \u00e0 court terme.<\/li>\n<\/ul>\n<\/div>\n
En relation :<\/span>D\u00e9tection-ing\u00e9nierie sans verrouillage de fournisseur : pile Wazuh 2026<\/a> \/<\/span> O\u00f9 les PME sont encore \u00e0 la tra\u00eene techniquement avec NIS2<\/a><\/p>\n
\u00c0 quel point la pile de s\u00e9curit\u00e9 allemande est r\u00e9ellement d\u00e9pendante<\/h2>\n
Qu’est-ce que la souverainet\u00e9 num\u00e9rique dans la s\u00e9curit\u00e9 informatique ?<\/strong> La souverainet\u00e9 num\u00e9rique d\u00e9signe la capacit\u00e9 \u00e0 contr\u00f4ler sa propre technique de mani\u00e8re autonome : sans contr\u00f4le externe non contr\u00f4l\u00e9 et sans fuite de donn\u00e9es non souhait\u00e9e. Dans le contexte de la s\u00e9curit\u00e9, cela signifie maintenir la logique de d\u00e9tection, les cl\u00e9s et les donn\u00e9es de protocole sous sa propre autorit\u00e9, au lieu de les laisser enti\u00e8rement \u00e0 des fournisseurs \u00e9trangers.<\/p>\n
Les chiffres sont inconfortables. Ils proviennent de plusieurs enqu\u00eates, pas d’une seule source. Les \u00e9tudes sectorielles mentionnent de mani\u00e8re concordante une part d’environ 72 pour cent de fournisseurs \u00e9trangers dans les solutions de cybers\u00e9curit\u00e9 utilis\u00e9es par les entreprises allemandes. La d\u00e9pendance \u00e0 la technologie am\u00e9ricaine en g\u00e9n\u00e9ral, y compris les syst\u00e8mes d’exploitation, le cloud et les cha\u00eenes d’approvisionnement, est indiqu\u00e9e dans la m\u00eame situation d’\u00e9tude avec des valeurs autour de 87 pour cent.<\/p>\n
Ces pourcentages sont \u00e0 lire comme un ordre de grandeur, pas comme une statistique officielle. La tendance est cependant claire. Pour une \u00e9quipe de s\u00e9curit\u00e9, elle est particuli\u00e8rement d\u00e9licate. Qui fonde presque enti\u00e8rement sa d\u00e9fense sur des outils dont le fabricant, la cha\u00eene de mise \u00e0 jour et le cadre juridique se situent hors de sa propre juridiction, a un risque concentr\u00e9 dans exactement la fonction qui est cens\u00e9e r\u00e9duire les risques.<\/p>\n
\nenviron 72 %<\/div>\ndes solutions de cybers\u00e9curit\u00e9 utilis\u00e9es par les entreprises allemandes proviennent, selon des \u00e9tudes, de fournisseurs \u00e9trangers.<\/div>\nSource : situation des \u00e9tudes sur la souverainet\u00e9 des donn\u00e9es, 2025\/2026<\/div>\n<\/div>\nPersonne ne conclura de cela qu’il faut remplacer tous les produits \u00e9trangers. Cela ne serait ni faisable ni judicieux. La bonne question est autre : \u00e0 quels endroits dans la pile la d\u00e9pendance est-elle un v\u00e9ritable risque g\u00e9rable ? Et \u00e0 quels endroits est-elle acceptable ?<\/p>\n
Ce que signifie concr\u00e8tement le facteur am\u00e9ricain<\/h2>\n
La d\u00e9pendance \u00e0 l’\u00e9gard de fournisseurs am\u00e9ricains n’est pas en soi un probl\u00e8me de qualit\u00e9. Les produits am\u00e9ricains offrent souvent un niveau de s\u00e9curit\u00e9 technique \u00e9lev\u00e9. Le risque est juridique et politique. Le Cloud Act am\u00e9ricain permet aux autorit\u00e9s am\u00e9ricaines, sous certaines conditions, d’acc\u00e9der aux donn\u00e9es trait\u00e9es par un fournisseur am\u00e9ricain, m\u00eame si elles sont physiquement situ\u00e9es en Europe. Ce risque r\u00e9siduel peut \u00eatre att\u00e9nu\u00e9 contractuellement, mais pas compl\u00e8tement \u00e9limin\u00e9.<\/p>\n
Une nouvelle variable s’ajoute \u00e0 cela. Le BSI a soulign\u00e9 dans son rapport de situation que les d\u00e9veloppements politiques aux \u00c9tats-Unis peuvent affaiblir la cybers\u00e9curit\u00e9 en Europe. Les r\u00e9ductions budg\u00e9taires des agences de s\u00e9curit\u00e9 am\u00e9ricaines en 2025 en sont un exemple : elles concernent des structures dont les d\u00e9fenseurs europ\u00e9ens ont indirectement profit\u00e9. Celui qui fonde sa d\u00e9fense sur un \u00e9cosyst\u00e8me dont l’infrastructure \u00e9tatique est en train de se r\u00e9duire devrait au moins en tenir compte dans l’\u00e9valuation des risques.<\/p>\n
Le catalogue C3A : l’Allemagne d\u00e9finit ses propres r\u00e8gles<\/h2>\n
L’\u00e9tape la plus concr\u00e8te est de nature r\u00e9glementaire. Fin avril 2026, le BSI a publi\u00e9 le catalogue de crit\u00e8res C3A, un ensemble de r\u00e8gles techniques qui d\u00e9finissent des normes pour une utilisation souveraine du cloud. Au lieu de formuler une exigence politique, le catalogue d\u00e9crit des propri\u00e9t\u00e9s techniques v\u00e9rifiables.<\/p>\n
La strat\u00e9gie sous-jacente du BSI est pragmatique. Elle ne demande pas d’exclure les produits non europ\u00e9ens. Elle exige de les int\u00e9grer techniquement de mani\u00e8re \u00e0 exclure techniquement une commande non contr\u00f4l\u00e9e depuis l’ext\u00e9rieur de l’UE et un flux de donn\u00e9es non souhait\u00e9. C’est une approche diff\u00e9rente d’une interdiction pure et simple bas\u00e9e sur l’origine. Pour les CISOs, c’est l’approche la plus pratique. La souverainet\u00e9 devient ainsi une propri\u00e9t\u00e9 d’architecture que l’on peut mesurer, et non une question de si\u00e8ge social.<\/p>\n
Pour la planification interne, cela signifie que le catalogue C3A fournit un vocabulaire et une liste de contr\u00f4le. M\u00eame ceux qui ne fournissent pas de services \u00e0 des administrations publiques peuvent utiliser les crit\u00e8res comme grille d’\u00e9valuation pour leur prochain achat.<\/p>\n
O\u00f9 la souverainet\u00e9 est r\u00e9aliste dans la pile de s\u00e9curit\u00e9<\/h2>\n
Une \u00e9valuation honn\u00eate distingue les niveaux. Dans certains domaines, une r\u00e9duction de la d\u00e9pendance est r\u00e9alisable aujourd’hui, dans d’autres, elle reste th\u00e9orique pendant des ann\u00e9es.<\/p>\n
\n - L’Allemagne \u00e9crit d\u00e9sormais ses propres r\u00e8gles.<\/strong> Avec le catalogue de crit\u00e8res C3A de fin avril 2026, le BSI a pr\u00e9sent\u00e9 un cadre technique pour une utilisation souveraine du cloud.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-souveraene-verwaltungscloud-vergabe-sign-86128254-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-ki-frisst-strom-cloud-rechnung-sustainab-22300708.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-elbphilharmonie-stadtschloss-baukosten-n-5403944-250x141.jpg\")
<\/span>