Notre souveraineté, notée : openEduSuite face au cadre européen de souveraineté cloud
« La souveraineté cloud » est facile à revendiquer et difficile à mesurer. Un précédent article a parcouru les huit objectifs du cadre européen de souveraineté cloud et les a lus face à une plateforme auto-hébergée. Lire un cadre face à une hypothèse est une chose ; noter un déploiement réel en est une autre, car cela produit des chiffres vérifiables.
Nous avons noté notre cluster de référence openEduSuite avec la méthodologie officielle du cadre : les 48 critères, le score de souveraineté pondéré et le niveau SEAL à maillon faible. Cet article rapporte le résultat, les points forts de la plateforme et là où le résultat est plafonné.
Ce que mesure le cadre
Le cadre européen de souveraineté cloud (v1.2.1) juge une offre cloud selon huit objectifs (SOV-1 à SOV-8) et 48 critères. Chaque critère est une échelle ordinale de réponses ; chaque réponse porte une valeur en points et un niveau SEAL (0 à 4). Les valeurs nourrissent le score de souveraineté pondéré, normalisé sur /1000. Le niveau SEAL nourrit le SEAL global.
La propriété décisive est le maillon faible : le SEAL global équivaut au niveau SEAL le plus bas atteint sur un seul critère quelconque. Un fournisseur peut bien scorer et pourtant tomber à SEAL-1 si un seul critère est faible, par exemple du matériel qu'une autorité non européenne peut contraindre. Le score récompense la force en moyenne ; le SEAL, non.
flowchart LR
A["Réponse au critère<br/>(48 critères, SOV-1 à SOV-8)"] --> B["Valeur en points"]
A --> C["Niveau SEAL (0 à 4)"]
B --> D["Score de souveraineté pondéré<br/>73,5 % (735 / 1000)"]
C --> E["SEAL global = SEAL le plus bas<br/>sur tous les critères"]
E --> F["SEAL-1 · Souveraineté juridictionnelle"]
Ce que nous avons noté
L'objet est le cluster de référence openEduSuite de l'atelier Sovereign Cloud Days : trois serveurs Huawei RH2288E V2 réemployés (env. 2013) exécutant K3s vérifié SCS sur du bare-metal, avec stockage Ceph, Flannel, MetalLB, HAProxy et ArgoCD. Il est exploité sur site au HRZ de l'Université Philipps de Marburg et héberge les workloads multi-locataires d'openEduSuite ainsi qu'un chemin d'inférence Ollama sur CPU.
| Métrique | Résultat |
|---|---|
| Score de souveraineté (pondéré, /1000) | 73,5 % (735/1000) |
| SEAL (maillon faible de tous les critères) | SEAL-1 (Souveraineté juridictionnelle) |
Le score et le SEAL divergent : un bon score et un niveau faible, tous deux issus des mêmes données.
Décomposition par objectif
| Objectif | Poids | Score | SEAL d'objectif |
|---|---|---|---|
| SOV-1 Souveraineté stratégique | 20 % | 94 % | SEAL-4 |
| SOV-4 Souveraineté opérationnelle | 15 % | 83 % | SEAL-3 |
| SOV-6 Souveraineté technologique | 15 % | 80 % | SEAL-3 |
| SOV-3 Souveraineté données & IA | 10 % | 75 % | SEAL-1 |
| SOV-2 Droit & juridiction | 10 % | 71 % | SEAL-1 |
| SOV-7 Sécurité & conformité | 15 % | 64 % | SEAL-1 |
| SOV-5 Souveraineté de la chaîne d'approvisionnement | 10 % | 50 % | SEAL-1 |
| SOV-8 Durabilité environnementale | 5 % | 19 % | SEAL-1 |
xychart-beta
title "Score de souveraineté par objectif (%)"
x-axis ["SOV-1","SOV-2","SOV-3","SOV-4","SOV-5","SOV-6","SOV-7","SOV-8"]
y-axis "Score (%)" 0 --> 100
bar [94,71,75,83,50,80,64,19]
Là où la plateforme est forte
SOV-1 Souveraineté stratégique (94 %, SEAL-4). L'institution est son propre fournisseur. Le contrôle, la propriété, le financement et la feuille de route relèvent de l'UE. C'est la base que toute plateforme auto-hébergée devrait atteindre ; le score la confirme.
SOV-4 Souveraineté opérationnelle (83 %, SEAL-3). Le cluster est exploité par une équipe basée dans l'UE, sans bouée de sauvetage de fournisseur non européen. Mises à niveau, correctifs et dépannage sont internes ; les standards ouverts et GitOps maintiennent le workload portable. L'écart restant est de la formalisation, non de la capacité.
SOV-6 Souveraineté technologique (80 %, SEAL-3). Tout est open source et tourne sur des standards ouverts (Kubernetes, Ceph, OIDC), et peut être inspecté, modifié et redéployé par nous. C'est la promesse fondamentale d'openEduSuite.
Là où le résultat est plafonné
Le SEAL-1 global est fixé par les critères qui ne peuvent pas atteindre les niveaux supérieurs.
SOV-5 Chaîne d'approvisionnement (50 %, SEAL-1). Le matériel (serveurs Huawei, composants Intel ou Huawei, firmware opaque) est d'origine non européenne avec une divulgation partielle. C'est le plus grand frein individuel, et c'est une décision d'achat délibérée de notre part pour montrer que du matériel retiré du service peut encore être utile. Le logiciel est souverain ; le matériel réemployé ne l'est pas.
SOV-7 Sécurité & conformité (64 %, SEAL-1). Le cluster est vérifié SCS (6/6 standards KaaS, 444/444 conformité CNCF) et activement surveillé, mais la conformité SCS n'est pas une certification EAL formelle, et les droits d'audit indépendants ne sont pas encore pleinement utilisés. L'écart est procédural, non technique.
SOV-3 Données & IA (75 %, SEAL-1). Les données restent sur site dans l'UE, les clés sont les nôtres, et le chemin IA est un open source auditable sur CPU. Ce qui plafonne l'objectif, c'est l'effacement vérifiable : la suppression est validée en interne contre les règles mais sans preuve indépendante fondée sur des éléments concrets.
SOV-8 Environnement (19 %, SEAL-1). Réutiliser du matériel existant est une bonne pratique, mais nous ne publions ni PUE ni chiffre d'émissions.
Ce que signifie SEAL-1
SEAL-1 est la souveraineté juridictionnelle : le droit de l'UE s'applique à l'exploitation, mais des dépendances critiques restent hors du contrôle de l'UE. Pour openEduSuite sur ce cluster, c'est une description exacte. Le logiciel, les données et l'exploitation sont à nous ; le silicium en dessous ne l'est pas.
C'est une auto-évaluation, pas une certification. Les autorités contractantes peuvent pondérer le cadre différemment, et un vrai achat serait audité. Nous publions les chiffres parce qu'un score n'est utile que s'il est reproductible ; l'ensemble des réponses aux 48 critères et le script de calcul sont dans le référentiel d'évaluation.
Passer de SEAL-1 à SEAL ≥ 3
Trois étapes :
- Traiter le matériel (SOV-5). La divulgation de provenance ou une plateforme fabriquée dans l'UE corrige la faiblesse structurelle.
- Obtenir une certification formelle (SOV-7). Combler l'écart entre la vérification SCS et un niveau reconnu EAL.
- Publier les chiffres environnementaux (SOV-8). Mesure du PUE, rapport d'émissions aligné CSRD, et énergies renouvelables de l'UE.
Chaque étape est un vrai projet. C'est pourquoi la conception à maillon faible compte : elle ne laisse pas un objectif fort compenser un objectif faible. La souveraineté n'est pas une moyenne.
Conclusion
Nous avons mené cette évaluation pour répondre à une question soulevée dans chaque atelier : quel est le degré de souveraineté de ce déploiement ? La réponse, en chiffres, est 73,5 % avec un maillon faible SEAL-1 ; forte en matière de logiciel et d'exploitation, plafonnée par le matériel non européen réemployé, l'absence de certification formelle et l'absence de rapport environnemental.
Pour les institutions qui décident d'adopter une telle plateforme, c'est plus utile qu'une affirmation. Une auto-évaluation qui nomme le maillon faible est une base pour une décision d'achat.
