L’acquisition de Solvinity pour les services Logius (poste)

Ce document décrit l’acquisition de Solvinity par Kyndryl et l’importance pour les services de Logius. L’accent est mis sur DigiD, mais la boîte de message est également abordée, car elle facilite beaucoup la communication entre les citoyens et le gouvernement. Vous pouvez obtenez ce document sous forme de fichier PDF ici.

Résumé

Ce document de position décrit comment le projet d’acquisition de Solvinity par Kyndryl modifiera sensiblement la position stratégique des installations numériques vitales du gouvernement néerlandais, malgré le fait que les services opérationnels resteront intacts à court terme. Depuis 2020, Solvinity fournit l’infrastructure et la plate-forme matérielle sous la direction de Logius pour des installations principales telles que DigiD, MijnOverheid (y compris la Message Box) et Digipoort. La responsabilité de la politique, de l’architecture et des services incombe entièrement au gouvernement, mais la continuité technique dépend d’un fournisseur d’infrastructure privé.

L’acquisition transfère la propriété et le contrôle ultime de ce fournisseur à une partie non-UE, ce qui, selon le cadre européen de souveraineté du cloud, entraîne une diminution du niveau de souveraineté d’environ SEAL-3 (résilience numérique sous contrôle de l’UE) à SEAL-1 (souveraineté juridique formelle) !

L’article situe explicitement ce changement dans un climat géopolitique modifié, dans lequel la législation américaine, les régimes de sanctions et les pressions politiques peuvent manifestement avoir un impact sur les services numériques, même avec des accords contractuels stricts et la localisation des données en Europe. Fondé sur les principes classiques de sécurité de l’information (disponibilité, intégrité et confidentialité), le document identifie des risques stratégiques élevés de souveraineté, des risques d’autonomie à moyen terme et des risques concrets de mise en œuvre, et précise qu’il ne s’agit pas d’une question technique mais d’une question politique fondamentale. Le message central est que le gouvernement doit désormais choisir explicitement les risques qu’il est prêt à assumer pour les installations numériques vitales et les coûts associés, et que le report ou l’acceptation implicite équivaut à une décision politique sans responsabilité explicite.

Logius et solvinité

En 2020, Solvinity a été chargé par Logius de fournir l’infrastructure sous-jacente et la plate-forme matérielle pour un certain nombre d’installations numériques à l’échelle gouvernementale. Cela concerne la capacité du centre de données, les serveurs, le stockage, le réseau et les installations de sécurité. Solvinity fournit cette infrastructure. Le contrôle et la responsabilité des services numériques publics incombent à Logius.

Logius détermine l’architecture, les exigences de sécurité, la gouvernance et l’utilisation des systèmes et, en tant qu’organisation de mise en œuvre, est responsable, entre autres, du fonctionnement de DigiD. DigiD lui-même, l’application, le traitement des données et la gestion des politiques, est et restera entièrement la propriété du gouvernement néerlandais. DigiD est la clé de tous les services gouvernementaux et services associés, tels que l’accès à l’information en matière de santé.

En 2025, il a été annoncé que Solvinity serait rachetée par Kyndryl. Kyndryl est une importante société américaine de services informatiques qui gère les infrastructures des gouvernements et des grandes entreprises du monde entier. Elle a été séparée d’IBM en 2021. La société ne fournit pas de produits de consommation, mais se concentre sur le fonctionnement technique des systèmes informatiques vitaux. L’acquisition ne modifiera pas automatiquement les services techniques quotidiens, mais placera la propriété et le contrôle ultime du fournisseur d’infrastructure entre les mains des Américains. Un nouveau contexte administratif et stratégique se dessine autour d’une plateforme au service des équipements publics essentiels.

En plus de DigiD, d’autres installations principales de Logius utilisent également cette infrastructure, notamment MijnOverheid (y compris la boîte de messages pour la communication gouvernement-citoyen), Digipoort (trafic de messages entre le gouvernement et les entreprises), les autorisations et les installations du système OIN pour l’identification organisationnelle. Pour PKIoverheid, le système d’accord PKIoverheid gère, dirige et supervise les prestataires de services de certificat au sein du système. La plateforme Solvinity ne gère pas une application distincte, mais un ensemble cohérent de services gouvernementaux numériques, dont le gouvernement est politiquement responsable, tandis que la continuité technique dépend d’un fournisseur d’infrastructure privé.

Un cadre européen pour donner un aperçu de la souveraineté

Le Cloud Sovereignty Framework de la Commission européenne est un cadre d’évaluation qui a été développé pour fournir un aperçu et une comparaison dans la mesure dans laquelle les services numériques, en particulier les services de cloud et de plateforme, relèvent effectivement du contrôle, de la législation et du contrôle européens. Le cadre est expressément destiné aux situations dans lesquelles la propriété, le contrôle et la compétence peuvent diverger, comme dans le cas d’acquisitions par des parties non européennes. Dans ce cadre, les niveaux SEAL (Sovereignty Effective Assurance Levels) introduisent une échelle ascendante (SEAL-0 à SEAL-4) qui indique dans quelle mesure la souveraineté numérique européenne est garantie : de l’absence de souveraineté significative (SEAL-0) à la pleine souveraineté numérique sous le droit exclusif de l’UE et le contrôle de l’UE (SEAL-4). Dans le contexte d’une reprise, les niveaux SEAL offrent un instrument concret pour évaluer si une organisation peut encore répondre aux exigences européennes en matière de juridiction, d’accès aux données, de continuité et d’autonomie stratégique après la reprise, indépendamment des contrats formels ou des bonnes intentions. Le cadre aide les administrateurs et les gouvernements à discuter du contrôle réel plutôt que des structures purement juridiques.

Lors des rachats, vous voyez souvent des organisations descendre d’un niveau SEAL, même si les contrats restent formellement intacts. Pour les tâches gouvernementales critiques, SEAL-3 ou SEAL-4 est généralement considéré comme la limite inférieure. L’infrastructure de DigiD passerait de SEAL-3 (résilience numérique sous contrôle de l’UE) à SEAL-1 (souveraineté juridique formelle) grâce au rachat du fournisseur d’infrastructure par une partie non-UE. Il s’agit d’un impact majeur.

##Climat modifié

Le projet d’acquisition de Solvinity s’inscrit dans une réalité qui a fondamentalement changé au cours de l’année écoulée depuis l’entrée en fonction de la nouvelle administration américaine. Alors qu’autrefois les offres informatiques étaient souvent évaluées par le service informatique sur la base de la qualité technique et du prix, une évaluation administrative (politique) est de plus en plus nécessaire en ce qui concerne l’effet du produit sur l’autonomie stratégique de l’organisation. Quatre développements récents illustrent que l’évidence avec laquelle nous faisions confiance aux prestataires de services américains est sous pression.

1. Le précédent du « contrôle de l’obturateur » (Maxar). Le cas de la société satellitaire Maxar montre clairement que les contrats d’approvisionnement commerciaux sont subordonnés aux intérêts géopolitiques. Malgré des accords de droit privé, le gouvernement américain semblait être en mesure de limiter ou de diriger la fourniture de données aux alliés via Shutter Control. C’est ce qui s’est produit après une conversation conflictuelle entre le gouvernement américain et le président ukrainien sur la fourniture d’images satellite. Cela crée un précédent pour d’autres secteurs : la propriété de l’infrastructure détermine en fin de compte qui exploite le « commutateur », et non le client payant.

2. Érosion du filet de sécurité juridique (Privacy Shield). La base juridique de l’échange de données est instable. La confiance dans les accords transatlantiques a été ébranlée par l’incertitude entourant les successeurs du Privacy Shield. Le climat politique aux États-Unis, où les organes de contrôle (tels que la fonction de médiateur pour la protection de la vie privée) peuvent être mis à l’écart par des décrets tels que ceux de l’administration Trump, démontre cette vulnérabilité. En pratique, les garanties de protection des données des non-Américains semblent dépendre des enjeux politiques du moment à Washington. Il y a actuellement une bataille juridique en Europe sur la validité de ce filet de sécurité.

3. Escalade autour de la réglementation européenne (cas X). Les relations entre les entreprises technologiques américaines et le législateur européen se sont durcies. Après l’introduction de la loi sur les services numériques (DSA) et les amendes et avertissements associés contre la plateforme, des menaces sont ouvertes de retirer des services ou d’ignorer les sanctions européennes, soutenues par la pression politique des États-Unis. Cela illustre un nouveau risque : les propriétaires américains d’infrastructures critiques pourraient utiliser leur position comme levier dans des conflits commerciaux plus larges entre les États-Unis et l’UE. Les données du gouvernement néerlandais peuvent donc involontairement faire partie d’un jeu de pouvoir politique.

4. L’affaire impliquant la Cour pénale internationale a révélé comment les tensions géopolitiques se traduisent en dépendances numériques. Lorsque les États-Unis ont imposé des sanctions aux responsables de la CPI, cela a non seulement eu un impact sur la diplomatie et les finances, mais a également affecté les services numériques opérationnels, tels que le courrier électronique et d’autres installations informatiques essentielles. Les fournisseurs ayant un lien juridique américain apparaissent donc sensibles aux décisions politiques en dehors de l’Europe, quels que soient les accords contractuels ou la localisation des données. Les services numériques font partie de l’exercice du pouvoir géopolitique, et la dépendance à l’égard de juridictions non européennes peut conduire à de véritables perturbations de la continuité et de l’autonomie des institutions constitutionnelles internationales.

Dans ces exemples, nous devons nous rappeler que le droit international est actuellement sous pression en raison de la transition vers un nouvel ordre mondial pluraliste ; un monde dans lequel les anciennes structures de pouvoir s’effondrent et où les grandes puissances (États-Unis, Chine, Russie) gouvernent sur la base de la Realpolitik plutôt que sur la base de règles et de traités.

Problème de sécurité des informations

Le thème touche au cœur de la sécurité de l’information et doit être envisagé à partir des objectifs de sécurité classiques de disponibilité, d’intégrité et de confidentialité (BIV). Ces trois principes constituent le fondement de la sécurité de l’information depuis les années 1970, d’abord dans des contextes militaires et gouvernementaux, puis dans des systèmes d’information civils et commerciaux. Au cours des décennies qui ont suivi, elles ont été explicitement énoncées dans les normes internationales, les cadres d’audit et les politiques gouvernementales, et sont depuis devenues leader en matière d’évaluation des risques liés à l’automatisation, à l’externalisation et aux dépendances de la chaîne. L’application du BIV aux installations gouvernementales numériques telles que DigiD et autres services Logius n’est donc pas une approche nouvelle, mais la continuation d’un principe de sécurité éprouvé depuis des décennies dans un contexte de numérisation et de complexité croissante.

Les risques au sein de ce thème se manifestent toujours autour de ces trois objectifs de sécurité. La disponibilité est menacée lorsque la continuité de l’infrastructure sous-jacente ne peut plus être pleinement assurée par le gouvernement, par exemple en cas de perturbations, de dépendance envers les fournisseurs ou de prise de décision stratégique en dehors de la sphère d’influence publique. L’intégrité concerne la mesure dans laquelle le gouvernement peut manifestement garantir que les systèmes, les configurations et les données ne sont pas modifiés de manière indésirable et que la supervision, l’audit et la gestion du changement restent efficaces dans un domaine technique externalisé. La confidentialité concerne le risque que les données personnelles et les données d’authentification soient exposées, indirectement ou autrement, à un accès non autorisé ou à des poursuites judiciaires en dehors du cadre juridique néerlandais et européen. Ces risques ne sont pas des constructions théoriques, mais des problèmes classiques de sécurité de l’information qui se reproduisent et s’amplifient dans une infrastructure numérique moderne et externalisée.

Les risques

Les développements obligent à recalibrer l’analyse des risques entourant Solvinity et Logius. La question n’est plus seulement de savoir si les services sont adéquats, mais si l’État néerlandais conserve un contrôle suffisant dans un scénario dans lequel la législation ou les pressions politiques américaines entrent en conflit avec les intérêts et les réglementations néerlandaises.

Risques stratégiques de souveraineté (élevés)

B= Disponibilité, I=Intégrité et V=confidentialité

Risques d’autonomie à moyen terme

B= Disponibilité, I=Intégrité et V=confidentialité

Risques pratiques de mise en œuvre (sous-jacents)

B= Disponibilité, I=Intégrité et V=confidentialité

Les options politiques

Pour les risques stratégiques liés à DigiD, à Message Box et aux autres services Logius, il existe quatre options classiques d’action en matière de politique et de gestion des risques. Pour le gouvernement, ces options diffèrent considérablement en termes de réalité et de signification politique.

Il ne s’agit pas de savoir s’il existe des risques, mais plutôt de savoir quels risques le gouvernement est prêt à supporter sur une base structurelle et quels risques il veut activement éviter ou gérer. Il s’agit d’un choix politique et non technique.

1. Évitement – éliminer structurellement le risque

Core : mettre fin à la dépendance elle-même.

Il s’agit de l’option la plus ambitieuse et elle affecte les choix fondamentaux concernant la conception du gouvernement numérique.

Étapes possibles :

• Interdire le rachat.
• Transition accélérée vers le successeur de DigiD (eIDAS). Par exemple, une mise en œuvre a déjà été réalisée par la société belge « itsme », qui peut également travailler aux Pays-Bas.
• Réaffectation de l’infrastructure à un environnement entièrement public ou contrôlé par l’État. Cela rend possible une étape vers le niveau SEAL 4.
• Séparer les installations essentielles vitales des infrastructures commerciales
• Prévoir légalement que certaines installations numériques ne peuvent relever que sous contrôle national
• Construire une infrastructure à l’échelle du gouvernement pour les services vitaux

Importance politique :

• Souveraineté (numérique) maximale
• Coûts élevés et délais de livraison longs
• Oblige des choix explicites sur ce qui constitue une « infrastructure critique ».

2. Réduire (atténuer) – rendre le risque gérable

Core : accepter la dépendance, mais la limiter clairement.

Étapes possibles :

• Renforcement des exigences contractuelles en matière de sortie, de contingence et de récupérabilité
• Nécessitant une séparation technique et organisationnelle (ring fencing) pour les services vitaux
• Renforcer les pouvoirs d’audit et de surveillance du gouvernement
• Construire des installations parallèles ou des scénarios de repli
• Fixer des exigences en matière d’assurance des connaissances au sein du gouvernement
• Elaborer une politique intégrale de sourcing digital sur ce qui peut ou non être externalisé et dans quelles conditions. Les services peuvent être liés à la politique européenne déjà développée.

Importance politique :

• Moins drastique, plus rapide à mettre en œuvre
• Ne résout pas complètement la dépendance structurelle, mais la réduit
• Nécessite une attention administrative permanente

3. Transfert – transférer le risque à une autre partie

Fondamental : transférer le risque contractuellement ou légalement.

Observation pertinente pour le gouvernement : ce n’est pas une option sérieuse en raison des risques de souveraineté et d’autonomie.

Pourquoi pas :

• Le gouvernement reste politiquement et socialement responsable
• La continuité des installations telles que DigiD et la Message Box n’est pas « assurable »
• Les atteintes à la réputation et à la confiance ne sont pas transférables

Importance politique :

• Important d’exclure explicitement
• Empêche les fausses sécurités (« c’est dans le contrat »)

4. Accepter – supporter le risque consciemment

Fondamental : reconnaître que le risque existe et décider de l’accepter.

Cela nécessite une responsabilité politique explicite.

Étapes possibles :

• Enregistrer formellement quelle perte de souveraineté est considérée comme acceptable
• Rendre transparent les dépendances existantes
• Réévaluation périodique du risque (par exemple en cas de changements géopolitiques)
• Communication claire envers les citoyens et le parlement

Importance politique :

• Coûts les plus bas à court terme
• Risque élevé de panne en cas d’incidents
• Nécessite une responsabilité explicite : ce risque a été pris consciemment

Les options sont résumées :

Problèmes en suspens

Vous trouverez ci-dessous un ensemble cohérent de questions fondamentales sur lesquelles la clarté est nécessaire afin de mener un débat de fond et politiquement pur. Ils ont été délibérément formulés sous forme de questions ouvertes (et non de positions), afin que les députés puissent les utiliser pour des questions, des positions et des motions. Ils sont regroupés selon la souveraineté, la gouvernance, la continuité et la responsabilité politique.

1. Souveraineté et autonomie (fondamentale)

1. Quelles installations gouvernementales numériques pouvons-nous qualifier de vitales, dans le sens où la dépendance structurelle à l’égard du contrôle américain est considérée comme indésirable ?
2. Quel degré de perte d’autonomie est acceptable avec des fonctionnalités de base telles que DigiD et Message Box ?
3. La conception actuelle est-elle le résultat d’un choix politique explicite ou le résultat d’une externalisation progressive sans point de décision intégral ?
4. Où est la limite inférieure de la souveraineté numérique : quand une dépendance n’est-elle plus acceptable, même si le service fonctionne techniquement bien ?

2. Propriété, contrôle et responsabilité

1. Quels sont les liens entre la propriété des infrastructures, le contrôle du fournisseur et la responsabilité des services publics dans les situations de crise ?
2. Le gouvernement fait-il preuve de suffisamment de persévérance dans la pratique pour assumer sa responsabilité publique en cas de conflits d’intérêts ?
3. La gouvernance actuelle est-elle conçue pour la stabilité au quotidien, ou aussi pour des scénarios de stress stratégiques (géopolitique, conflits juridiques, escalades) ?

3. Continuité et récupérabilité

1. Dans quelle mesure le gouvernement peut-il réparer ou dévier de manière indépendante et en temps opportun lorsque l’environnement infrastructurel existant n’est plus disponible ?
2. Quelles sont les limites structurelles du rétablissement qui ne peuvent pas être résolues rapidement sur le plan contractuel ou technique ?
3. Ces limites ont-elles été explicitement prises en compte dans les décisions antérieures concernant l’externalisation des principales installations ?
4. Quelle est la durée maximale de coupure socialement acceptable d’installations telles que DigiD et la Message Box en situation de crise ?

4. Contexte juridique et géopolitique

1. Quelles évolutions juridiques et géopolitiques pourraient limiter la liberté d’action du gouvernement néerlandais à l’avenir ?
2. Comment sont gérées les situations dans lesquelles les cadres juridiques entrent en conflit avec les objectifs politiques ou les intérêts publics ?
3. Une analyse de scénario a-t-elle été réalisée pour l’évolution des circonstances géopolitiques et, si oui, quelle est la solidité des résultats ?

5. Options politiques et réversibilité

1. Parmi les choix actuels, lesquels sont réversibles et lesquels conduisent réellement à des dépendances à long terme ou permanentes ?
2. Quelles options politiques sont actuellement encore réalistes dans un délai de 5 à 10 ans ?
3. Quels risques peuvent être maîtrisés grâce à des mesures d’atténuation et lesquels persisteront structurellement, indépendamment de mesures supplémentaires ?
4. Où est le point à partir duquel l’acceptation du risque devrait être une décision politique explicite plutôt qu’une conséquence implicite ?

6. Responsabilité démocratique et transparence

1. À quel moment la Chambre est-elle activement impliquée dans les décisions qui influencent structurellement l’autonomie numérique ?
2. Comment cela est-il expliqué aux citoyens qui, en fin de compte, contrôlent les principales installations numériques du gouvernement ?
3. Est-il suffisamment clair quels risques sont pris consciemment et qui en est politiquement responsable ?

Colophon

Cet article de la Fondation LibreKAT a été créé avec l’aide et le soutien de diverses personnes et organisations : AdversIQ B.V., Anovum B.V., Jeroen Baten, BIT B.V., Van Buuren IT Security B.V., Chateau IT, Cloudaware Cybersecurity, Coderial B.V., Cynalytics B.V., DSEC Consulting B.V., Stichting DIVD, Jesse Six Dijkstra, Sebastiaan van ’t. Erve, Freedom Internet, Innerheight Internet Services B.V., Mathison B.V., Stichting IP Zorg, Good Cloud B.V., Chris van ’t Hof, Koopman Digital Forensics & Consulting (KDFC), Pieter Muller, Guido de Nobel, Oosenbrug Advies, Vereniging Open Domein, OpenNovations B.V., Stichting Petities.nl, M. Victor de Pous, Unicorn Holding B.V., Hans de Raad, Vigilis Consultancy, Weissheid et De Winter Information Solutions.

À propos de la Fondation LibreKAT

La Fondation LibreKAT s’engage pour une société numérique plus sûre. La fondation se concentre sur la sécurité des informations ouverte, contrôlable et vérifiable. Nous le faisons grâce au partage de connaissances, à la création de communautés et au soutien de solutions open source en matière de cybersécurité. Par exemple, nous proposons OpenKAT pour identifier les vulnérabilités, la méthodologie de recherche sur la sécurité de l’information avec valeur d’audit (MIAW), des listes de contrôle pour la sécurité de l’information et nous organisons le Cyber ​​​​Research Council pour enquêter sur des problèmes complexes et les expliquer clairement.

Notre objectif comprend :

• Stimuler le développement et l’utilisation de logiciels et de matériels open source pour des infrastructures numériques sécurisées.
• Promouvoir la transparence et la reproductibilité des processus de sécurité.
• Organiser et soutenir la recherche, la formation et les activités sur la résilience numérique.
• Connecter les citoyens, les entreprises, le gouvernement et les organisations sociales pour accroître la résilience numérique collective.

Le conseil d’administration de la Fondation est composé de :

• Brenno de Winter, président
• Jan Klopper, secrétaire
• Astrid Oosenbrug, trésorière