En attendant d’ouvrir une enquête formelle contre Broadcom, prière d’imposer des mesures intérimaires.

La Commission européenne a reçu, la semaine passée, une lettre à ce sujet. Signataires : le Cigref et trois de ses homologues (en Allemagne, en Belgique et aux Pays-Bas), ainsi que l’association CISPE, qui défend les intérêts des fournisseurs cloud européens.

Voilà des mois que cette dernière sollicite les mesures en question. Elles consisteraient principalement à :

• Geler la suspension du programme VCSP (VMware Cloud Service Partner) en Europe et y réintégrer les clouders européens
• Réintroduire le programme de marque blanche qui permettait aux plus petits CSP de proposer les solutions VMware
• Établir des protections explicites contre d’éventuelles représailles de la part de Broadcom

L’association vise plus globalement l’obtention de conditions commerciales plus raisonnables. Et leur maintien pour au moins 3 ans, le temps de s’adapter… ou d’aller voir ailleurs.

La piste du DMA, vite évoquée, vite écartée

Broadcom avait bouclé l’acquisition de VMware en novembre 2023. Avec les chamboulements que l’on sait, CISPE n’avait pas tardé à lever la voix. Au printemps 2024, il avait appelé régulateurs, législateurs et tribunaux européens à s’enquérir de la situation. Ses principales doléances portaient alors sur :

• Résiliation unilatérale de contrats de licence avec seulement quelques semaines de préavis
• Suppression de centaines de produits sans préavis
• Regroupement des autres en des bundles faisant exploser la facture sans amélioration fonctionnelle
• Flou sur les conditions d’admission dans les nouveaux programmes partenaires

Estimant que Broadcom « [prenait] le secteur en otage », CISPE avait suggéré de le désigner contrôleur d’accès dans le cadre du DMA (législation sur les marchés numériques). Il avait aussi demandé la suspension des résiliations de contrats. Et la possibilité, pour les clients, de sortir des engagements pluriannuels une fois que des solutions alternatives viables seraient disponibles.

La Commission européenne avait finalement entrepris de réunir des témoignages. Peu après l’ouverture de cette RFI (request for information), Broadcom avait fait quelques concessions. Dont la promesse de continuer à corriger les failles critiques dans ses produits sous licences perpétuelles.

Non sans dénoncer une démarche opportuniste, CISPE avait qualifié les changements de « mineurs » : ils ne résolvaient rien des problèmes précédemment soulevés. L’association en avait ajouté un : la modification de la base de facturation. Au lieu d’un modèle pay-as-you-go basé sur la mémoire utilisée, les partenaires devaient s’engager pour 3 ans sur une capacité prévisionnelle de cœurs CPU.

Un « observatoire » aux conclusions lapidaires

En novembre 2024, CISPE avait monté un observatoire chargé d’examiner la concurrence sur le marché du cloud en Europe. Il devait, en premier lieu, superviser les engagements de Microsoft. Il a toutefois aussi inclus Broadcom dans son périmètre.

Son premier rapport, tombé en février 2025, fut lapidaire : pas de perspectives de négociation avec Broadcom. À ce moment-là, des procédures avaient été engagées auprès de tribunaux de commerce, notamment en France (Orange, Thales). Eles visaient en général à préserver des conditions de licence antérieures… en attendant la négociation de nouvelles conditions « plus justes ». Ou bien à obtenir un délai pour migrer vers des solutions alternatives.

L’observatoire avait fait remarquer les « tactiques dilatoires » employées par Broadcom dans le cadre de ces litiges afin de retarder les décisions sur le fond. Dans la plupart des cas, avait ajouté CISPE, les parties concernées n’avaient pas osé aller en justice par peur de représailles. D’autant plus que, prétendait-il, la pression ne se limitait pas aux licences VMware – elle s’étendait aussi, notamment, aux logiciels mainframe.

Les programmes partenaires, progressivement intégrés au cahier de doléances

Le deuxième rapport, en mai 2025, ne fut pas plus reluisant. Les charges s’alourdirent même. Entre autres parce que depuis peu, les CSP partenaires de VMware devaient choisir entre les statuts de fournisseur de services et de revendeur, en conséquence d’une modification des structures d’incitation.

CISPE avait admis que depuis la publication du premier rapport, la majorité de ses membres avaient signé de nouveaux accords de licence. Mais on leur avait largement forcé la main, clamait l’association, faute d’un préavis suffisant.

Pour la plupart des cas d’usage, il n’existe pas d’alternative fonctionnellement équivalente, constatait-elle. Quant à celles qui s’en approchaient, elles induiraient la nécessité de déplacer les workloads chez des hyperscalers américains… et le risque de voir les prix augmenter encore plus.

Dans ce contexte, il était demandé à Broadcom :

• Au moins 6 mois de préavis pour toute modification des conditions contractuelles ou des structures tarifaires
• Une négociation contractuelle des frais applicables lors des pics d’utilisation, et l’absence de pénalités pour les CSP en cas de sur- ou sous-utilisation
• Des options de licensing flexibles permettant des réductions sur engagement de volume
• Un accès facilité aux plus hauts niveaux de partenariat pour les petits CSP
• La possibilité d’être à la fois revendeur et fournisseur de services

Un recours au Tribunal de l’UE…

En juillet 2025, CISPE avait déposé un recours auprès du Tribunal de l’UE. Objectif : faire annuler la décision par laquelle Bruxelles avait autorisé l’acquisition de VMware par Broadcom.

À l’en croire, la Commission européenne aurait omis d’examiner le risque de renforcement de la position dominante de VMware sur les logiciels de virtualisation, alors même qu’elle disposait d’un faisceau d’éléments de preuve. Son examen s’était effectivement centré sur les effets de conglomérat en relation avec des produits matériels de Broadcom (contrôleurs hôtes de bus Fibre Channel et adaptateurs de stockage). Et sur le risque d’exclusion du principal concurrent, à savoir Marvell.

… puis des plaintes auprès du Médiateur européen…

Le troisième rapport de l’observatoire était tombé en octobre 2025. Broadcom venait d’officialiser la refonte de son programme VCSP, sans clarifier si elle s’appliquerait en Europe. Les clients ne pourraient en tout cas plus, à partir du 1^er novembre, porter leurs licences existantes vers un autre CSP. En parallèle, les clouders qui ne feraient pas partie du programme ne pourraient plus héberger de solutions VMware – ils ne pourraient que revendre des licences. Pour ceux qui en feraient partie, ce serait le contraire. Bilan : il leur faudrait effectivement choisir entre les rôles de revendeur et de fournisseur de services, même s’ils ont des contrats sur les deux fronts.

Ce troisième volet fut l’occasion, pour CISPE, de dénoncer la rigidité sur les dates de début et de fin des licences VMware. Et de souligner la fin du modèle permettant aux CSP d’exploiter des cœurs supplémentaires ensuite payés en arriérés.

Fin 2025, la Commission européenne ayant défendu sa décision de valider la fusion Broadcom-VMware, le CISPE en avait remis une couche. Il avait clamé que la structure de financement de l’opération et les engagements de croissance associés auraient dû alerter Bruxelles. Hock Tan avait effectivement promis de faire augmenter l’EBITDA de VMware de 60 à 80 % en 3 ans… sur un marché qui croissait de moins de 10 % par an.

En parallèle, l’association avait déposé plainte auprès du Médiateur européen. Motif : Bruxelles a pris beaucoup trop de temps (672 jours) pour publier sa décision, qui n’a été attaquable qu’à partir de ce moment-là.

… et de la DG Concurrence

Une autre plainte a suivi en mars 2026, cette fois auprès de la direction générale de la concurrence de la Commission européenne. Broadcom avait alors confirmé la fin de VCSP en Europe. C’est dans ce cadre que CISPE avait réclamé les mesures intérimaires sus-évoquées.

Depuis, l’association a dénoncé la « conduite très inquiétante » du groupe américain vis-à-vis du Tribunal de l’UE. Il lui aurait à la fois intimé de ne pas divulguer un certain nombre de ses correspondances… et de divulguer celles de membres du CISPE contenant pourtant des informations confidentielles.

Broadcom a aussi eu droit à des attaques sur le terrain de la souveraineté. CISPE fait valoir le framework qu’il a développé et prétend que VCF n’en remplit pas les critères, y compris au niveau de base. Avant tout parce qu’il s’agit d’une stack propriétaire émanant d’un éditeur exposé, entre autres, au CLOUD Act et aux restrictions à l’export que décrète Washington. Mais aussi parce que Broadcom garde un contrôle unilatéral en tant que seule source de correctifs, de mise à jour et de maintenance. CISPE rappelle aussi l’existence d’un mécanisme de reporting de conformité qu’il assimile à un « kill switch », au sens où une non-conformité peut résulter en une dégradation ou un blocage du plan de contrôle.

Illustration générée par IA

The post Broadcom vs CISPE : beaucoup de recours, peu d’effets appeared first on Silicon.fr.

D’un côté, les services dits « souverains » de par les garanties juridiques qu’ils apportent. De l’autre, ceux qualifiés de « résilients » au titre des garanties techniques.

Cette distinction structure un référentiel made in CISPE*.
Difficile de ne pas y voir une réaction au Cloud Sovereignty Framework, même si l’association représentative des CSP européens ne le présente pas comme telle. Elle a en effet vivement critiqué ce cadre de référence dont l’UE s’est dotée à l’automne 2025 pour évaluer la « souveraineté » des offres cloud dans le cadre de la commande publique.

Le référentiel Gaia-X niveau 3, mais avec deux options

Le Cloud Sovereignty Framework établit 8 « objectifs » (souveraineté stratégique, opérationnelle, technologique, etc.) déclinés en critères. Pour chacun, on peut déterminer un niveau d’assurance, sur 5 échelons.
Bruxelles propose aussi de calculer un « score de souveraineté », éventuellement avec une pondération par objectif.

CISPE a dénoncé ce dernier élément. Un système créant une « moyenne de moyennes » ne favorise pas la transparence, estime l’association, qui considère plus globalement qu’on ne « peut pas être souverain à 75 % » (on l’est ou pas). Elle a par ailleurs déploré la présence d’objectifs « inatteignables » (contrôle européen complet sur tous les composants matériels, par exemple) et d’idées « vagues » (en particulier quant aux garanties sur le changement de contrôle).

L’initiative s’inspire nettement du niveau 3 du référentiel Gaia-X. Elle s’en différencie toutefois par la double approche « souverain »/« résilient ». Tout en ouvrant la porte à une certification au-delà de l’Europe : un service hébergé au Japon par un fournisseur japonais pourrait être à la fois « souverain » sur place et « résilient » en Europe, explique CISPE. Est pour cela introduite la notion de « zone géographique de souveraineté ».

Souveraineté légale et juridictionnelle

Une offre peut prétendre au label « résilient » dans une zone géographique donnée dès lors que son fournisseur y est légalement établi.

Le label « souverain » implique beaucoup plus d’exigences sur ce volet. D’abord sur l’immunité juridictionnelle. Le siège social, l’administration centrale et l’établissement principal du fournisseur doivent être situés dans un pays de la zone. En parallèle, aucune entité située en dehors de la zone ne doit exercer de contrôle direct ou indirect, individuel ou collectif. Quant aux membres de l’équipe dirigeante et du conseil d’administration, ils ne doivent pas, en raison de leur nationalité ou de leur résidence, être sujets à des obligations extraterritoriales en conflit avec les principes énoncés dans le référentiel.

Autre spécificité du label « souverain » : aucune entité localisée hors de la zone, ni aucune personne physique citoyenne ou résidente d’un pays hors zone, ne doit avoir un droit de veto sur le fournisseur. Et pas plus le droit de nommer la majorité des membres des organes d’administration, de gestion ou de supervision.

Une option de mise en miroir des workloads critiques

Les fournisseurs de services « souverains » doivent aussi s’abstenir de transférer des données clients et des données utilisateurs vers des pays ou régions hors de la zone. Ni, plus globalement, vers tout sous-traitant ou destinataires que le client n’a pas expressément autorisé. Si la législation applicable l’impose, le fournisseur doit limiter la divulgation au strict minimum et informer le client sans délai – sauf la loi l’interdit.

La fourniture d’un service « souverain » suppose aussi de notifier le client en cas de prise de contrôle par un tiers qui ne respecte pas les exigences du référentiel. Et de soumettre le contrat de service exclusivement à la loi et à la juridiction d’un pays de la zone.

Toutes ces exigences s’appliquent aussi aux sous-traitants. Sauf s’ils n’ont pas techniquement la capacité de traiter les données critiques de manière autonome. Lorsqu’il leur est possible d’affecter la disponibilité de services (cas des prestataires de colocation, notamment), le fournisseur doit mettre en miroir les workloads et données critiques sur une infrastructure « sous contrôle souverain » dans la zone, ou bien déployer sur une infra « fédérée, distribuée, multifournisseur ».

Souveraineté opérationnelle

Peut être souverain un service dont tous les actifs critiques, y compris ceux qu gèrent des sous-traitants, se trouvent dans la zone géographique concernée.
Le label « résilient » tolère que des actifs se trouvent en dehors de la zone. Mais à condition d’avoir obtenu le consentement écrit préalable du client. Et de disposer, dans la zone, d’au moins un actif redondant équivalent sur les plans fonctionnel, technique, de sécurité et de niveau de service.

Le référentiel opère une distinction similaire pour ce qui est du support. Sur un service « souverain », il est techniquement impossible d’accéder aux données et à l’exploitation des actifs critiques depuis l’extérieur de la zone. Sur un service « résilient », les éventuels accès externes sont documentés, avec maintien à jour de la liste des opérations concernées. Le fournisseur obtient l’accord du client et implémente un contrôle des accès.

Qu’il soit « souverain » ou « résilient », un service doit être conforme au Data Act (ou à une législation locale similaire). Sinon, soit être portable (notamment par l’usage de solutions open source ou largement utilisées au sein de la zone concernée), soit reposer sur une infrastructure fédérée ou distribuée.
Les services « résilients » doivent, en complément, permettre au client de faire ses sauvegardes de manière autonome, avec des outils tiers et dans des formats qu’il peut restaurer hors de l’environnement du fournisseur.

Souveraineté technologique

En matière de gestion du matériel, le label « souverain » impose des mesues pour sécuriser les composants critiques (isolation, validation des mises à jour de fournisseurs non souverains…).
Le label « résilient » les reprend et y ajoute deux éléments. D’une part, définir un stock approprié pour les équipements et composants-clés. De l’autre, notifier le client de toute perturbation de la chaîne d’approvisionnement entraînant l’indisponibilité de ces équipements et composants.
Sur la question du stock, on aura noté que le référentiel impose, pour les équipements et composants conçus et fabriqués en dehors de la zone, d’assurer la disponibilité d’une alternative venant de l’intérieur de la zone…

Sur la gestion du logiciel, pas de différence entre « souverain » et « résilient ». Le fournisseur doit notamment s’efforcer d’obtenir des engagements – ou, au minimum, des informations – de la part de l’éditeur de tout actif critique quant aux conditions de sa maintenance. À défaut, il doit pouvoir assurer indépendamment la continuité du service. Y compris en substituant un autre logiciel afin d’assurer un minimum de viabilité fonctionnelle.
Dans le même esprit, pour tout logiciel tiers propriétaire utilisé ou mis à disposition, le fournisseur doit identifier au moins un logiciel alternatif, open source si possible. À défaut (par exemple pour l’edge et des services cyber comme WAF, anti-DDoS et CDN), il doit identifier une solution permettant un minimum de viabilité foncitonnelle. Tout en validant, pour les SaaS, la conformité avec le Data Act ou toute législation similaire.

Pas non plus de différence entre « souverain » et « résilient » sur le sujet de l’autonomie opérationnelle. Le fournisseur doit pouvoir maintenir l’entièreté de son service par lui-même ou en s’appuyant sur au moins deux sociétés tierces. Et s’assurer que les actifs critiques issus d’entités non souveraines n’incluent pas de kill switches…

Souveraineté des données

Qu’un fournisseur postule au label « souverain » ou « résilient », il ne doit traiter les données personnelles des clients qu’en accord avec leurs instructions et avec la législation applicable dans la zone. Il lui faut aussi tenir à leur disposition une liste des pays où sont stockées et traitées ces données, ainsi que les données techniques, les données utilisateur et les données administratives. Excepté pour ces dernières, il n’y a pas de transfert hors zone sans consentement du client.

Mêmes exigences également entre « souverain » et « résilient » concernant le chiffrement. Excepté les données client, il faut chiffrer en transit et au repos, en conservant les clés dans la zone… et en évitant les accès non autorisés, y compris par les tiers impliqués dans l’infrastructure de failover réseau.

Les services « résilients » ont un régime spécifique sur le transfert des données vers des pays tiers. C’est possible, à condition que la législation applicable l’autorise et reconnaisse que le pays en question assure un niveau équivalent de protection des données. Dans tous les cas, le fournisseur doit donner au client l’option de stocker et traiter ses données critiques dans la zone géographique concernée.

* Le comité qui pilote le développement du framework se compose d’Anexia (Autriche), Aruba (Italie), Clever Cloud (France), Deda Cloud (Italie), Infomaniak (Suisse), Jotelulu (Espagne), Leaseweb (Pays-Bas), NumSpot (France), OUTSCALE (France), OpenNebula (Espagne), Opiquad (Italie), OUTSCALE (France), oXya (France), ReeVo (Italie) et WaveCom (Estonie). BYCYB, filiale du LNE (Laboratoire national de métrologie et d’essais), est dans la boucle pour les audits. CISPE prévoit d’instaurer plusieurs niveaux de résilience.

Illustration générée par IA

The post Les cloud providers européens avancent leur propre référentiel de souveraineté appeared first on Silicon.fr.

Vade retro, redevance copie privée.

Telle est la position des fournisseurs cloud européens. En tout cas du CISPE, leur principale organisation représentative. Elle craint que le secteur se voie imposer cette redevance à grande échelle après que l’Italie y a ouvert la porte. Le ministre de la Culture a en effet signé, le 23 février 2026, un décret dans ce sens. Pas encore publié néanmoins, il établit une compensation mensuelle par utilisateur, d’un montant maximal de 2,40 €. Il en coûterait aux cloud providers 0,0003 € par Go jusqu’à 500 Go, puis 0,0002 € au-delà. Il y aurait une exemption pour le premier Go.

Le décret institue un mécanisme de remboursement, entre autres pour le stockage utilisé exclusivement à des fins professionnelles. Mais le CISPE veut éviter de passer par là. Il invoque les difficultés auxquelles les entreprises concernées font face dans la pratique pour obtenir ce remboursement. Il estime de plus que ce mécanisme ne devrait être utilisé qu’en dernier recours, la législation européenne tendant à favoriser les exceptions ex ante.

La redevance copie privée ne devrait plus globalement pas cibler en premier lieu les entreprises, ajoute-t-il, en se référant à la directive de 2001 sur le droit d’auteur – dite InfoSoc. Ou plutôt à son interprétation par la CJUE. Celle-ci avait été saisie sur l’interprétation de la notion de « compensation équitable », dans le cadre d’un litige entre un distributeur de supports d’enregistrement (CD, DVD, lecteurs MP3) et la société nationale espagnole de gestion des droits d’auteur. Aux termes de son arrêt de 2010, l’application de la redevance à l’égard d’équipements « non mis à la disposition d’utilisateurs privés et manifestement réservés à des usages autres que la réalisation de copies à usage privé » n’est pas conforme à la directive InfoSoc.

La Finlande, la Norvège et l’Islande en exemples

Le CISPE avance un autre argument : sous sa forme la plus répandue (une redevance par support de reproduction), la rémunération de la copie privée engendre plus de dépenses que de bénéfices. À ce sujet, on nous cite une « étude de 2022 de WKO ».

WKO, c’est la Chambre de commerce autrichienne (Wirtschaftskammer Österreich). Elle a en fait commandé l’étude en question, réalisée par un institut de recherche économique viennois.

L’étude, explique le CISPE, a prouvé que la gestion d’une redevance de 2,50 € sur un smartphone engendrait 11 € de coûts. Le lien que fournit l’association professionnelle ne pointe pas vers l’étude, mais vers une synthèse où ces chiffres n’apparaissent pas. Nous ne sommes pas non plus parvenus à les localiser dans la version complète. On y trouve, en revanche, des estimations de manque à gagner… et une traduction en emplois potentiellement perdus. Ainsi que le cas de quelques pays européens qui ont fait évoluer leur système.

La Finlande et la Norvège en fait partie. La redevance y est prélevée sur le budget de l’État. Pour en déterminer le montant, la société de gestion collective réalise chaque année des enquêtes sur l’ampleur de la copie privée au sein de la population. L’Islande y a quant à elle dédié un fonds public, abondé en fonction de la valeur en douane des produits concernés. Elle effectue des évaluations tous les 3 ans pour déterminer si des ajustements sont nécessaires.

L’argument de la double compensation

Le CISPE ne manque pas d’affirmer que ce que payent les consommateurs compense déjà de manière adéquate les titulaires de droits. Se référant aux données de DigitalEurope (lobby des industries IT), il explique qu’en 2024, les foyers allemands ont supporté en moyenne 150 € de redevance copie privée.

L’Allemagne n’a pas été choisie pour rien. Elle est le pays où cette redevance pèse le plus sur les foyers, ici entendus comme composés de 4 personnes, avec 4 smartphones, 2 PC, 1 disque dur, 1 montre connectée, 1 imprimante, 1 console de jeux et 2 box TV.

Une extension de cette redevance au stockage cloud engendrerait un risque de double compensation, fait de surcroît remarquer le CISPE. Or, poursuit-il, la directive InfoSoc tend à éviter cela. Il en veut pour preuve son considérant 35 :

Dans le cas où des titulaires de droits auraient déjà reçu un paiement sous une autre forme, par exemple en tant que partie d’une redevance de licence, un paiement spécifique ou séparé pourrait ne pas être dû.

Rome a aussi fait tiquer Washington

Les données de Statista sur le marché de la musique enregistrée aux États-Unis donnent aussi de l’eau au moulin des cloud providers. Elles accréditent tout du moins l’idée qu’avec le streaming, la copie privée recule. Et qu’il faudrait donc, au minimum, en réduire le montant, glisse le CISPE.

Au streaming, l’association professionnelle ajoute les DRM modernes. Qui, à l’en croire, réduisent d’autant plus la copie privée. Pour illustrer ce déclin de cette pratique, elle ajoute une référence à un rapport d’une société finlandaise d’études de marché, relayée par le ministère de la Culture.

L’initiative de l’Italie a résonné au-delà de l’Europe. Jusqu’à Washington, qui y perçoit une nouvelle pratique discriminatoire contre les entreprises américaines.

Le CISPE n’aborde pas cet aspect. Il assure en revanche qu’une extension de la redevance aux cloud providers compromettrait l’atteinte des objectifs de l’UE en matière de numérisation et de compétitivité…

Illustration principale générée par IA

The post Copie privée : les cloud providers européens s’insurgent appeared first on Silicon.fr.