L’Otan ouvre une porte au cloud commercial pour certaines données classifiées. AWS peut désormais proposer des services évalués aux armées alliées, mais chaque projet devra obtenir sa propre autorisation.
Cette décision distingue clairement l’approbation d’un fournisseur de l’homologation d’un système militaire. Elle offre aux administrations une base de sécurité commune, sans régler leurs choix de souveraineté numérique.
Ce que l’Otan autorise sur le cloud AWS
Selon l’annonce d’AWS rapportée par Alice Vitard en septembre 2026, l’Otan approuve certaines capacités du fournisseur. Ces services peuvent contribuer au traitement d’informations classifiées « NATO Restricted ». Ce niveau protège des données dont la divulgation pourrait porter atteinte aux intérêts de l’Alliance. L’accord ne couvre ni toutes les informations sensibles ni l’ensemble du catalogue AWS.
Les organisations alliées et leurs partenaires industriels peuvent concevoir des systèmes avec les capacités évaluées. Ils doivent choisir une région cloud située dans un pays membre. AWS indique disposer de quinze régions dans ces pays, dont sept en Europe continentale. Ces chiffres proviennent du fournisseur, cité par Alice Vitard.
Une administration pourrait, par exemple, préparer une application de coordination sur cette infrastructure. Elle devrait néanmoins vérifier que les services retenus figurent dans le périmètre approuvé. Pour comprendre cette distinction technique, la présentation du fonctionnement des services AWS apporte un éclairage contextuel. Le périmètre exact compte davantage que le nom du fournisseur.
La directive D32 facilite les évaluations nationales
Pour obtenir cette approbation, AWS a documenté la conformité des capacités concernées à la directive D32. Ce cadre fixe les exigences de sécurité du cloud public pour le niveau « NATO Restricted ». Le Centre cryptologique national espagnol a évalué les services, puis l’Alliance a partagé le résultat avec ses membres.
Ce travail évite aux autorités de reprendre entièrement l’examen du fournisseur. Il ne remplace pourtant pas l’homologation locale des applications, des accès et des configurations. Chaque État applique ses règles avant toute mise en service. Un industriel ne peut donc pas transférer ses données classifiées sur AWS sur la seule base de cette décision.
L’Espagne illustre la différence. Parallèlement à l’examen commun, elle a accrédité la région AWS implantée sur son territoire. Cette décision nationale possède son propre périmètre et ne vaut pas autorisation générale. Les équipes chargées d’un projet gagnent une référence technique, mais conservent leurs vérifications opérationnelles.
Un avantage commercial face aux enjeux de souveraineté
Cette reconnaissance place AWS parmi les fournisseurs que les armées alliées peuvent examiner pour leurs futurs projets. Elle ne lui garantit toutefois aucun contrat : chaque pays choisit ses prestataires. Pour une équipe chargée d’un appel d’offres, l’évaluation commune peut simplifier la comparaison des exigences de sécurité, sans décider du résultat.
La question de la souveraineté numérique demeure entière. Les autorités doivent notamment déterminer où elles hébergent les données et quelles règles encadrent leur exploitation. Le débat autour du cloud souverain européen d’AWS montre pourquoi le lieu d’hébergement compte, sans constituer une réponse automatique aux besoins militaires.
AWS possède déjà une expérience du cloud militaire américain grâce au programme du Pentagone mentionné par Alice Vitard. Cette référence commerciale ne change pas la portée de l’aval de l’Otan. Les membres de l’Alliance devront apprécier séparément la sécurité technique, leurs obligations nationales et leur stratégie industrielle.
- Partager l'article :
