Le cloud a profondément transformé les infrastructures des entreprises françaises : elles y trouvent à la fois de la flexibilité, de la scalabilité et des économies d’échelle. Mais cette adoption du cloud nécessite aussi une connaissance du cadre réglementaire qui l’entoure, pour éviter tout risque juridique, financier et/ou opérationnel.
Les textes se multiplient, leurs périmètres d’application s’élargissent et les sanctions montent : le moment est venu de prendre la mesure de ces obligations, et d’agir.
RGPD : une base incontournable, encore mal appliquée dans le cloud
Depuis 2018, le Règlement Général sur la Protection des Données Personnelles structure la manière dont les entreprises européennes traitent les données des utilisateurs. Dans le contexte cloud, les implications sont directes : dès lors que vous hébergez des données relatives à vos clients, vos collaborateurs ou partenaires sur une infrastructure distante, vous devez garantir que ce traitement respecte bien tous les principes du RGPD.
Concrètement, vous devez savoir exactement où vos données sont stockées, qui peut y accéder, dans quelles conditions et pour quels objectifs. En ce sens, le recours à un prestataire cloud situé hors de l’Union Européenne soulève immédiatement la question des transferts de données. Un sous-traitant américain, même certifié, peut faire l’objet d’injonctions de la part des autorités américaines ; c’est précisément ce que vise le Cloud Act.
Le Cloud Act américain, un risque trop souvent sous-estimé
Le CLOUD Act (Clarifying Lawful Overseas Use of Data act, adopté aux États-Unis en 2018) autorise les autorités américaines à accéder aux données stockées par des opérateurs de droit américain, y compris lorsque ces données sont hébergées sur des serveurs situés en Europe.
Ainsi, si vous utilisez AWS, Azure ou Google Cloud, vos données peuvent théoriquement être soumises à une demande de communication par des autorités étrangères, et ceci sans que votre entreprise ne soit informée.
Finalement, pour toutes les organisations qui traitent des données sensibles (données de santé, informations stratégiques, données clients confidentielles), le risque reste important. Il appelle une réponse concrète : l’évaluation sérieuse du recours à un cloud souverain, hébergé et opéré par des entités soumises exclusivement au droit européen.
NIS2, la directive qui monte en puissance
La directive NIS2 (Network and Information Security 2) élargit significativement le périmètre de la directive NIS originelle, touchant désormais un nombre bien plus important d’entreprises françaises (notamment dans les secteurs de l’énergie, des transports, de la santé, du numérique, des services financiers et de l’industrie manufacturière).
NIS2 impose des obligations renforcées en matière de gestion des risques de cybersécurité, de notification des incidents, de sécurisation de la chaîne d’approvisionnement et de gouvernance. Vos prestataires cloud font naturellement partie de cette chaîne : vous devez vérifier qu’ils appliquent eux-mêmes des mesures de sécurité adaptées.
DORA : une obligation de résilience opérationnelle pour le secteur financier
Le règlement DORA (Digital Operational Resilience Act) s’applique depuis janvier 2025 aux entités financières opérant dans l’Union Européenne : banques, assurances, sociétés de gestion, prestataires de services de paiement, et bien d’autres. Il fixe des exigences strictes en matière de résilience opérationnelle numérique.
DORA impose notamment de tester régulièrement la capacité de vos systèmes à résister aux cyberattaques et aux incidents techniques, de gérer les risques liés aux prestataires tiers de technologie de l’information (y compris vos fournisseurs cloud) et de notifier les incidents significatifs aux autorités compétentes dans des délais précis.
Si votre entreprise appartient au secteur financier ou lui fournit des services numériques critiques, DORA redéfinit le niveau d’exigence attendu de votre infrastructure cloud.
Besoin d’une infrastructure cloud conforme et sécurisée ?
Sigma accompagne les entreprises dans la conception, le déploiement et l’infogérance de leur environnement cloud. Avec une approche évidemment pensée pour répondre à toutes les réglementations en vigueur.
ISO 27001 et SOC 2 : les référentiels qui crédibilisent votre démarche
Au-delà des obligations légales, deux référentiels de sécurité méritent l’attention des DSI qui veulent structurer leur approche de la conformité cloud.
- La norme ISO 27001 définit les exigences d’un Système de Management de la Sécurité de l’Information (SMSI). Elle vous oblige à identifier vos actifs, évaluer vos risques et mettre en œuvre des contrôles adaptés ; une logique qui s’articule parfaitement avec les exigences RGPD et NIS2.
- Le SOC 2 (Service Organization Control 2) est un rapport d’audit américain fréquemment exigé par des clients et prestataires internationaux pour attester du niveau de sécurité d’un fournisseur cloud. Si votre entreprise délivre des services numériques à d’autres organisations, il peut devenir un argument commercial différenciant.
Vos données sensibles méritent une protection souveraine.
Face au Cloud Act et aux enjeux de souveraineté numérique, faites le choix stratégique d’héberger vos données sur une infrastructure soumise exclusivement au droit européen.
Notre offre cloud souverain vous garantit un hébergement 100 % en France, opéré par des équipes françaises, sans exposition aux législations extraterritoriales.
SecNumCloud : la qualification française pour aller plus loin
Pour les entreprises qui traitent des données particulièrement sensibles (secteur public, défense, santé, opérateurs d’importance vitale), l’ANSSI (Agence nationale de la sécurité des systèmes d’information) a défini un référentiel de qualification cloud : SecNumCloud. Les prestataires cloud qui obtiennent cette qualification démontrent qu’ils répondent aux exigences les plus élevées tant en termes de sécurité que de souveraineté.
Si le SecNumCloud n’a rien d’une obligation généralisée à l’heure actuelle, il peut devenir un critère dans certains appels d’offres et notamment dans les secteurs particulièrement régulés.
Comment mettre en œuvre une conformité cloud durable ?
La conformité réglementaire doit s’intégrer dans une démarche continue qui repose sur plusieurs étapes fondamentales :
- Cartographie des données et des flux. Avant toute chose, il faut savoir où se trouvent vos données, qui les traite, dans quel pays, avec quelles garanties contractuelles. Cette cartographie constitue la base de toute démarche RGPD (et plus largement de conformité).
- Choix du bon modèle de cloud. IaaS, PaaS ou SaaS : le modèle retenu détermine le partage des responsabilités en matière de sécurité. Dans un modèle IaaS, vous gardez la main sur l’essentiel de la sécurité applicative. En SaaS, vous dépendez davantage de votre fournisseur. Ce choix a des conséquences directes sur votre posture de conformité.
- Qualification de vos prestataires cloud. Vos fournisseurs et vos sous-traitants au sens du RGPD : leurs certifications, leur localisation, leurs engagements contractuels en matière de sécurité et de réversibilité : tous ces éléments doivent être vérifiés et documentés. Un cloud hybride peut vous permettre une segmentation des environnements selon leur niveau de sensibilité.
- Traçabilité et observabilité. Sans observabilité de votre infrastructure, vous ne pouvez ni détecter les incidents, ni les notifier dans les délais imposés par NIS2 ou DORA. Les outils de monitoring et de journalisation deviennent des composantes de votre conformité.
- Tests de résilience. Avec les réglementations actuelles, vous ne devez plus seulement décrire vos mesures de sécurité, mais les éprouver. Pour faire la différence lors d’un contrôle ou d’un audit, misez sur des tests de pénétration (pentests) réguliers, des exercices de simulation d’incident et une stratégie de sauvegarde cloud à la fois documentée et testée.
La conformité de votre cloud contribue à redessiner dans votre entreprise le rôle de la DSI : garante non seulement de la disponibilité des systèmes, elle devient responsable de leur conformité aux exigences légales, contractuelles et sectorielles.
Ces obligations imposent une collaboration plus forte avec les directions métier, la direction générale et les équipes juridiques. Elles impliquent aussi de choisir des partenaires technologiques qui comprennent ces enjeux et peuvent vous accompagner (pas seulement sur la performance de l’infrastructure, mais sur sa conformité dans la durée).
À la une
Découvrez tous nos articles, contenus et webinaires sur la thématique du cloud et de la gestion du système d’information.
