Schéma européen de certification de cybersécurité des services cloud (EUCS)

L'EUCS (European Cybersecurity Certification Scheme for Cloud Services) est le projet de schéma européen de certification de cybersécurité des services cloud, préparé par l'ENISA (Agence de l'Union européenne pour la cybersécurité). La Commission a confié le schéma à l'ENISA fin 2019, en vertu du règlement (UE) 2019/881, le Cybersecurity Act. Le premier projet, publié en décembre 2020, reprenait les niveaux d'assurance du règlement, élémentaire, substantiel et élevé, avec des exigences réparties en une vingtaine de catégories de contrôles. La bataille est venue en 2022, quand des versions de travail ont ajouté au niveau élevé des critères calqués sur SecNumCloud. Ces critères : siège dans l'Union, contrôle par des capitaux européens, immunité face aux lois étrangères à portée extraterritoriale, CLOUD Act (Clarifying Lawful Overseas Use of Data Act) américain en tête. Les fournisseurs américains et plusieurs États membres s'y sont opposés, la France les a défendus. Les projets de 2024 ont retiré ces critères, et le schéma n'était toujours pas adopté au milieu de 2025. Pour un souscripteur, l'intérêt du dossier tient justement à ce qui a été retiré. Une certification EUCS de niveau élevé sans critère d'immunité attestera de contrôles techniques ; elle ne dira rien de la possibilité qu'un juge américain ordonne la communication de données hébergées à Francfort. C'est du risque politique logé dans un contrat cyber, et il ne se lit pas dans le certificat. Le schéma pèsera aussi par ricochet. NIS2 (la directive européenne sur la sécurité des réseaux et des systèmes d'information) permet aux États d'imposer une certification européenne à certaines entités. Le questionnaire d'un client citera un niveau EUCS comme il cite aujourd'hui ISO 27001, avec la même question sur le périmètre réellement audité : un service, une région, ou toute l'offre du fournisseur.