Découvert à partir de https://da.van.ac/lallemagne-transforme-la-defiance-en-doctrine-technique-avec-c3a/ que je ne conseille pas, ça me semble être rédigé majoritairement par IA. Cet article est déjà de meilleure qualité, bien que je suspecte que la rédaction ait également été assistée par IA : https://souveraine.tech/c3a-bsi/. Je pense qu'il doit exister des articles de meilleure qualité parlant de ce sujet, notamment à l'international.

Pendant qu'en France nous devons nous méfier de la mise en place et de l'acceptation générale du SecNumCloud et dans une autre mesure du développement de l'IRN qui n'incluent aucunes mesures réelles permettant de garantir l'autonomie stratégique que nous devons être en mesure d'exercer face aux solutions d'informatique en nuage et plus généralement face aux solutions numériques. L'Allemagne publie le C3A, un référentiel d'informatique en nuage permettant de garantir la résilience et l'autonomie que peuvent exercer les consommateur.rices face aux solutions d'informatique en nuage.

Exemple de réel critère intégrant l'autonomie stratégique :

The cloud service provider MUST have a backup of the source code in the EU that is not older than 24 hours and contains at minimum 5 versions of the cloud services so that the operation of the cloud service is possible at any time without external dependencies. This includes all infrastructure-as-code build-scripts and deployment toolchains.
The local source code backup MUST include a documentation that enables the cloud service provider to independently work with the source code and develop it further at any time without external dependencies.

In the event of disconnection of third parties, the cloud service provider MUST maintain documented contingency strategies ensuring continued secure delivery of the cloud services. These strategies may include alternative software suppliers, internal remediation capabilities, or compensating security controls.

In the event of disruption or loss of an external software vendor, the cloud service provider MUST maintain the capability to remediate software vulnerabilities and implement necessary changes.
The cloud provider MUST maintain specialized engineering talent and local build-environments necessary to compile, test, and deploy emergency security patches to the cloud services independently of third parties.

Je ne peux qu'encourager et soutenir cette démarche.