Sanctions contre la CPI et serveur saisi à Amsterdam, qui peut encore dépendre d’un logiciel américain ?

Annoncées le 9 octobre, les sanctions américaines visent désormais la Cour pénale internationale (CPI) en tant qu’institution et les entreprises américaines ont six mois pour cesser de travailler avec elle. Quatre jours plus tard, le 13 octobre, la police néerlandaise saisissait dans un datacenter de l’Amsterdam Science Park un serveur de l’hébergeur italien Autistici/Inventati (A/I), en réponse à une demande d’entraide judiciaire américaine. Le même jour, EU Sovereignty Score, outil développé par la société Accans aux Pays-Bas, publiait son analyse de 6 877 éditeurs de logiciels issus de 74 pays. La différence est marquée, puisque le score médian d’un service américain s’établit à 27 sur 100 quand celui de la meilleure alternative européenne atteint 94. Pour 432 des 517 services américains assortis d’alternatives sélectionnées, soit 84 % d’entre eux, l’option européenne la mieux notée dépasse 80.

“Tout le monde parle de souveraineté numérique, mais presque personne ne sait dire où en est sa propre organisation”, a constaté dans un communiqué Ric van Westhreenen, créateur de l’outil et directeur de programme en IAM et cybersécurité. Il a voulu “mettre un chiffre dessus” pour offrir aux conseils d’administration une base de discussion sur leurs points de vulnérabilité et sur les premiers chantiers à ouvrir.

Les marges de manœuvre existent jusque dans les briques les plus sensibles du système d’information. La base recense 93 éditeurs européens sur 153 en cybersécurité, 84 sur 119 dans l’infrastructure cloud et 58 sur 100 dans la gestion des identités, même si tous les fournisseurs d’une catégorie ne sont pas des remplaçants équivalents.

Une sanction américaine suffit à éteindre un hébergeur

Le cas A/I montre jusqu’où peut porter une décision prise à Washington. Le 26 août, les États-Unis ont inscrit le collectif sur leur liste des entités sanctionnées pour terrorisme international, en lui reprochant d’héberger les communications de groupes antifascistes violents. A/I conteste ces accusations et le Sénat italien relève qu’aucune procédure pénale italienne ou européenne ne le vise pour terrorisme. Les effets ont pourtant été immédiats : perte du nom de domaine, fermeture du compte PayPal, gel des avoirs bancaires. Après 25 ans d’activité au service d’environ 20 000 organisations et militants, l’hébergeur a engagé sa dissolution début septembre.

La saisie d’Amsterdam a ensuite inquiété toute la profession. Le 16 octobre, la Dutch Cloud Community (DCC), fédération néerlandaise du cloud et de l’hébergement, a demandé des précisions sur le fondement juridique de l’opération et sur l’existence d’un contrôle indépendant, en affirmant qu’une copie des données avait déjà été remise aux États-Unis. Le parquet d’Amsterdam a démenti le 17 octobre, invoquant le traité d’entraide judiciaire entre les deux pays et l’absence de motif de refus. La DCC redoute une perte de confiance des entreprises qui hébergent leurs données aux Pays-Bas.

Remonter jusqu’au véritable propriétaire

Le score repose sur cinq dimensions à poids égal, qui recoupent une partie du Cloud Sovereignty Framework de la Commission européenne. Juridiction, résidence des données, maîtrise des clés de chiffrement, absence de verrouillage et disponibilité du code source comptent chacune pour 20 % de la note. L’outil ne s’arrête pas à l’adresse du siège et remonte les chaînes de propriété jusqu’à l’entité qui exerce le contrôle final. Le détail compte, puisque 694 fournisseurs de la base dépendent d’une maison mère étrangère. Chaque information précise enfin si elle a été déclarée par l’éditeur, confirmée dans un registre ou mesurée techniquement.

L’évaluation se fait dans le navigateur, sans compte et sans qu’aucune donnée ne quitte l’appareil de l’utilisateur. Celui-ci sélectionne les logiciels de son organisation et obtient un score global, une note par dimension et des alternatives européennes pour chaque fournisseur.

Malgré son nom, EU Sovereignty Score n’a aucun lien avec l’Union européenne et ne vaut pas attestation de conformité à NIS2, DORA ou au RGPD. Il ne couvre pas non plus tous les risques : l’affaire A/I rappelle qu’un hébergement européen n’échappe pas à la coopération judiciaire entre États. L’outil donne en revanche aux directions des systèmes d’information un point de départ pour mesurer leur dépendance avant qu’une décision prise à Washington ne leur impose son calendrier.