Souveraineté numérique : eIAM, AGOV, W012
Situation initiale
eIAM et AGOV sont développés et exploités conjointement avec des partenaires économiques suisses. Leur exploitation est assurée pour le compte de la Chancellerie fédérale suisse dans des centres de données de la Confédération ainsi que, prochainement, afin d’accroître la résilience d’AGOV, dans des centres de données privés situés en Suisse et détenus par des entités suisses ().Les composants nécessaires à l’exploitation et à l’utilisation d’eIAM et d’AGOV sont inévitablement intégrés dans des contextes internationaux tout au long de la chaîne de valeur. Cela concerne les appareils finaux des utilisateurs, l’alimentation électrique et l’infrastructure Internet, les systèmes eIAM et AGOV ainsi que les infrastructures et systèmes métier des autorités. L’intégration internationale s’étend à tous les niveaux, en particulier aux logiciels, au matériel, aux structures organisationnelles et au savoir-faire requis.
Classification scientifique de la souveraineté numérique d’eIAM et d’AGOV- Cadre théoriqueLa souveraineté numérique n’est pas un état statique ou binaire, mais une propriété relationnelle et graduelle de systèmes sociotechniques complexes. Dans la littérature scientifique, elle est appréhendée de diverses manières, notamment en tant qu’autodétermination technologique, contrôle sur les flux de données et d’informations, ainsi qu’indépendance institutionnelle et économique vis-à-vis d’acteurs externes [1,2].
Il en découle : la souveraineté numérique ne doit pas être comprise comme une autarcie complète, mais comme la capacité de piloter un système de manière autonome au sein d’interdépendances existantes.
- Modèle en couches et limites du systèmeLa souveraineté numérique d’eIAM et d’AGOV peut être analysée le long d’un modèle en couches qui rend visibles différents degrés de contrôle et de dépendance. Une telle perspective correspond aux approches établies pour l’analyse de systèmes sociotechniques, lesquelles considèrent les composantes techniques, organisationnelles et infrastructurelles comme indissociables [5,6]. Elle peut en outre être reliée à des approches qui ne conçoivent pas seulement la souveraineté numérique comme un contrôle sur les logiciels et les données, mais comme la capacité à façonner la création de valeur numérique et physique – y compris le matériel, les moyens de production, les normes et le savoir-faire [3].
- Niveau application et gouvernance :
Le développement, la souveraineté sur le code source et le pilotage stratégique d’eIAM et d’AGOV se situent en Suisse. Il existe ainsi un degré élevé de contrôle sur les fonctionnalités, les évolutions futures et les mécanismes de sécurité. - Niveau exploitation (hébergement) :
L’exploitation est assurée dans les centres de données de la Confédération ainsi que dans des centres de données partenaires suisses. Le contrôle juridique et physique reste ainsi au sein de la juridiction nationale. Il n’existe pas de dépendances directes vis-à-vis de plateformes cloud étrangères pour le processus central. - Interface avec les systèmes cibles (délimitation de l’évaluation) :
eIAM et AGOV fonctionnent en tant que systèmes IAM centraux (Identity and Access Management). Leur périmètre d’action s’arrête à l’interface technique de transmission (p. ex. OIDC, SAML) vers les applications métier et registres raccordés. La souveraineté numérique de ces systèmes cibles ne fait pas l’objet de la présente évaluation. eIAM et AGOV fournissent des accès souverains ; la responsabilité du traitement ultérieur des données incombe aux autorités compétentes respectives. - Niveau infrastructure (dépendances structurelles) :
Le matériel, les composants logiciels et les protocoles réseau sont intégrés dans des chaînes d’approvisionnement globales. La recherche sur les chaînes d’approvisionnement IT montre que de telles dépendances sont d’ordre structurel et façonnent de manière déterminante les relations de contrôle et de confiance des systèmes numériques [4]. Une autonomie complète n’est pas réalisable à cette couche ; la souveraineté s’y traduit par la gestion active des dépendances, notamment par la standardisation et la diversification. - Niveau utilisateurs (périphérie) :
Les appareils finaux et les systèmes d’exploitation se situent en dehors de la sphère d’influence directe de l’État. Ce niveau marque une limite systémique de la capacité de pilotage de l’État et illustre le fait que les services numériques sont toujours intégrés dans des contextes d’utilisation externes.
- Niveau application et gouvernance :
- Autonomie opérationnelle et critère du « Killswitch »Un critère central pour l’évaluation de la souveraineté numérique est la question du contrôle externe direct.
eIAM et AGOV ne présentent pas de scénario de « Killswitch » externe : aucun acteur externe, qu’il soit étatique ou privé, ne peut désactiver les services de manière unilatérale et immédiate. Le pouvoir de décision opérationnel reste au sein de la juridiction suisse.
Dans le même temps, les analyses sur la gouvernance d’Internet montrent que les infrastructures numériques sont façonnées par des normes, des protocoles et des structures institutionnelles mondiales [6]. Il en résulte des possibilités d’influence indirectes et distribuées qui n’agissent pas en un point de contrôle unique, mais de manière systémique.
- ConclusioneIAM et AGOV doivent être classés comme hautement souverains sur le plan numérique au sens institutionnel et opérationnel. La fonction étatique centrale de fourniture d’identité peut être assurée de manière autonome et contrôlée dans des conditions réalistes.
Cette souveraineté n’est toutefois pas absolue. Elle s’applique dans le cadre de limites de système clairement définies et repose sur la capacité à façonner activement les dépendances, et non à les éliminer complètement. Cette compréhension correspond également aux classifications stratégiques actuelles de la souveraineté numérique en tant que capacité d’action de l’État dans un environnement d’interconnexions technologiques globales [7].
eIAM et AGOV sont ainsi, dans leurs contextes système respectifs, numériquement souverains, mais non indépendants des interdépendances mondiales dans lesquelles tout système numérique est inscrit. Comme l'explique l'article AGOV AGOV dans les architectures cloud, SaaS et Hyperscal
e – ce qui vaut non seulement pour AGOV en tant que service d'authentification des autorités suisses, mais pour l'ensemble d'eIAM comme système IAM central de l'administration fédérale –, les plateformes internationales peuvent être raccordées sans difficulté. Cette interopérabilité voulue montre que la souveraineté numérique est toujours relative au périmètre de système et de responsabilité concerné.
[1] Florian Pohle & Thorsten Thiel (2020). Digital sovereignty. Internet Policy Review, 9(4).
[2] Stéphane Couture & Sophie Toupin (2019). What does the notion of sovereignty mean when referring to the digital? New Media & Society, 21(10) ().
[3] Neil Gershenfeld et al. (2017). Designing Reality. Basic Books.
[4] Nir Kshetri (2018). The Economics of Cybersecurity: A Supply Chain Perspective. Springer.
[5] Geoffrey C. Bowker & Susan Leigh Star (1999). Sorting Things Out. MIT Press.
[6] Laura DeNardis (2014). The Global War for Internet Governance. Yale University Press.
[7] OECD (2021). Digital Sovereignty for the Digital Decade.
W012 : Souveraineté numérique dans l'administration fédérale
La directive W012 a été édictée par la ChF TNI sur la base de l'Art. 40 ONu- La directive W012 a été édictée par la BK DTI en vertu de l'article 40 de la DigiV et s'applique à l'administration fédérale centrale.