Quatre niveaux. Une hiérarchie de la confiance.

Aucune transparence vérifiable. Structurellement inadapté aux charges critiques de souveraineté.

L0 signifie qu'aucun domaine d'évaluation n'atteint la transparence requise pour la souveraineté. Propriété, juridiction, sous-traitants et architecture technique ne sont ni documentés ni auditables de manière indépendante. Les leviers opérationnels sont hors de portée du client — toute intervention est impossible en cas de crise.

Profil type : services grand public non certifiés, dark SaaS, shadow IT, outils à structure fournisseur opaque. Des services certifiés peuvent aussi tomber en L0 s'ils documentent la sécurité mais pas la souveraineté.

Cas d'usage : aucun. L0 est explicitement un constat, pas un niveau recommandé — il signale la présence d'un risque structurel de souveraineté.

Structurellement compréhensible, mais sans capacité d'intervention opérationnelle côté client.

L1 marque le socle de l'évaluation de souveraineté. Propriété, juridiction, sous-traitants, architecture et chaîne d'approvisionnement sont entièrement documentés et auditables de manière indépendante. Le client peut comprendre ce qu'il utilise — mais ne peut pas encore intervenir lui-même sur les leviers centraux.

Profil type : services d'hyperscalers certifiés à forte maturité technique mais sans contrôle structurel européen ; éditeurs SaaS établis avec documentation détaillée ; services européens matures en phase de construction de leurs fonctions de souveraineté.

Cas d'usage : charges non critiques, marketing, applications bureautiques générales, collaboration sur contenus non sensibles.

Le client pilote lui-même les leviers opérationnels centraux — clés, accès, localisation, sortie.

L2 exige un contrôle opérationnel démontrable. La maîtrise des clés (p. ex. HYOK), la révocation d'accès côté client, une localisation des données opposable et un chemin de sortie documenté avec capacité de migration prouvée constituent les exigences minimales. Le client peut agir stratégiquement — pas seulement documenter.

Profil type : services UE souverains à l'architecture claire, fournisseurs européens à stack open source, offres cloud public régulées avec gestion de clés externe effective et référence de migration documentée.

Cas d'usage : fonctions soumises à NIS2 et DORA, dossier patient électronique, charges critiques sectorielles, applications standard du secteur public.

Indépendance structurelle vis-à-vis de fournisseurs individuels et de juridictions extra-européennes.

L3 marque la souveraineté structurelle. Le service peut être changé sans perte de contrôle ni de continuité ; la chaîne technique et juridique est diversifiée et résiliente à l'échelle UE. La souveraineté n'est plus seulement une propriété du fournisseur, mais une propriété de l'ensemble du stack et de ses alternatives.

Profil type : architectures multi-cloud entièrement open source, fournisseurs spécialisés de niveau infrastructure critique avec leur propre stack, infrastructures numériques portées par l'État avec diversification documentée.

Cas d'usage : infrastructures critiques, administration sensible, applications proches du domaine défense, objectifs de protection de souveraineté les plus élevés.

Les niveaux minimaux recommandés ci-dessous sont indicatifs — la détermination contraignante se fait par secteur via les objectifs de protection et les niveaux minimaux par domaine (voir Principe d'agrégation).