8 min de lecture<\/p>\n
NIS2 oblige les exploitants allemands \u00e0 v\u00e9rifier leurs cha\u00eenes d’approvisionnement, ce qui contrecarre le US CLOUD Act en m\u00eame temps. Quiconque exploite un hyperscaler am\u00e9ricain avec des donn\u00e9es allemandes se retrouve face \u00e0 deux autorit\u00e9s exigeant un acc\u00e8s contradictoire. La responsabilit\u00e9 ne repose plus en 2026 sur les achats, mais sur la direction g\u00e9n\u00e9rale.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Similaire :<\/span>Conformit\u00e9 NIS2 dans les PME : \u00e9tapes r\u00e9alisables<\/a> \/<\/span> DORA et NIS2 : pourquoi les audits bancaires entrent d\u00e9sormais en collision<\/a><\/p>\n Qu’est-ce que la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement selon NIS2 ?<\/strong> La s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement au sens de la directive NIS2 oblige les entit\u00e9s concern\u00e9es \u00e0 \u00e9valuer syst\u00e9matiquement, documenter et s\u00e9curiser contractuellement la s\u00e9curit\u00e9 de leurs fournisseurs et prestataires. Cela inclut les fournisseurs de services cloud, les prestataires de services g\u00e9r\u00e9s et les fournisseurs de logiciels. La responsabilit\u00e9 incombe \u00e0 la direction g\u00e9n\u00e9rale et n’est pas d\u00e9l\u00e9gable.<\/p>\n L’article 21 paragraphe 2 point d de la directive NIS2 et sa mise en \u0153uvre dans le NIS2UmsuCG exigent explicitement que la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement soit int\u00e9gr\u00e9e \u00e0 la gestion des risques. La loi nomme quatre points pr\u00e9cis : les vuln\u00e9rabilit\u00e9s des fournisseurs directs, les pratiques de s\u00e9curit\u00e9 des fournisseurs, la r\u00e9action aux incidents de s\u00e9curit\u00e9 dans la cha\u00eene, et la fiabilit\u00e9 de cette relation fournisseur tout au long de la dur\u00e9e du contrat.<\/p>\n Celui qui met cela en \u0153uvre dans la pratique ne peut \u00e9viter une question : quels fournisseurs de cloud font partie de sa propre cha\u00eene d’approvisionnement, et quels sous-fournisseurs ont-ils eux-m\u00eames int\u00e9gr\u00e9s. Dans le cadre d’un audit, r\u00e9pondre \u00ab\u00a0nous utilisons Azure\u00a0\u00bb est insuffisant. Une vue \u00e0 deux niveaux d’intervalle est requise.<\/p>\n L’US Clarifying Lawful Overseas Use of Data Act de 2018 permet aux autorit\u00e9s am\u00e9ricaines de poursuite p\u00e9nale d’exiger des donn\u00e9es aupr\u00e8s des fournisseurs am\u00e9ricains, ind\u00e9pendamment de l’emplacement de stockage de ces donn\u00e9es. AWS, Microsoft et Google sont des fournisseurs am\u00e9ricains. Le choix d’une r\u00e9gion allemande ne change rien \u00e0 cet \u00e9gard. Le fournisseur est tenu de coop\u00e9rer, tandis que le client allemand n’est inform\u00e9 dans de nombreux cas.<\/p>\n Ce n’est pas un secret. Cela figure dans les contrats de traitement des donn\u00e9es des hyperscalers, g\u00e9n\u00e9ralement sous la rubrique \u00ab Government Access Requests \u00bb ou \u00ab Law Enforcement Demands \u00bb. Ceux qui ne l’ont pas lu n’ont pas rempli leur obligation de diligence envers leurs fournisseurs. Ceux qui l’ont lu et ignor\u00e9 ont un autre probl\u00e8me : ils savent que leurs clauses contractuelles types conformes \u00e0 Schrems II c\u00e8dent en cas de conflit, et ont sign\u00e9 malgr\u00e9 tout.<\/p>\n Dans son arr\u00eat Schrems II de 2020, la CJUE a jug\u00e9 que les clauses contractuelles types ne suffisent que si le niveau de protection du pays tiers est effectivement \u00e9quivalent. Le CLOUD Act ne rend pas ce niveau \u00e9quivalent. Le cadre UE-\u00c9tats-Unis sur la protection des donn\u00e9es (Data Privacy Framework) de 2023 att\u00e9nue cela au niveau applicatif, mais ne r\u00e9sout pas le conflit structurel. Les autorit\u00e9s de protection des donn\u00e9es et les r\u00e9gulateurs l’\u00e9valuent diff\u00e9remment, ce qui ne facilite pas la conformit\u00e9.<\/p>\n \nQui utilise un hyperscaler am\u00e9ricain accepte contractuellement une clause d’acc\u00e8s par les autorit\u00e9s, qui entre en conflit avec la protection des donn\u00e9es europ\u00e9enne. Il s’agit d’une prise de risque consciente, non d’une faiblesse technique r\u00e9siduelle.\n<\/p><\/blockquote>\n Le d\u00e9bat public se concentre sur les fournisseurs am\u00e9ricains. La r\u00e9alit\u00e9 des cha\u00eenes d’approvisionnement est bien plus large. Un SOC g\u00e9r\u00e9 par un MSSP allemand travaille souvent avec des analystes bas\u00e9s en Inde, un fournisseur de sauvegarde cloud stocke ses donn\u00e9es en Pologne et ses copies de s\u00e9curit\u00e9 en Isra\u00ebl, et un \u00e9diteur SaaS de logiciels RH dispose de p\u00f4les de d\u00e9veloppement au Vietnam. Chacun de ces sites poss\u00e8de sa propre logique d’acc\u00e8s des autorit\u00e9s et sa propre interpr\u00e9tation de l’exportation de donn\u00e9es.<\/p>\n Source : Analyse propre bas\u00e9e sur le NIS2UmsuCG et les d\u00e9cisions d’ad\u00e9quation de la Commission europ\u00e9enne, arr\u00eat\u00e9e en mai 2026.<\/p>\n Un registre des risques qui ne refl\u00e8te pas cette dimension est vuln\u00e9rable lors d’un audit NIS2. L’autorit\u00e9 de contr\u00f4le ne s’int\u00e9resse pas \u00e0 vos fournisseurs pr\u00e9f\u00e9r\u00e9s, mais \u00e0 votre m\u00e9thodologie d’\u00e9valuation. Si vous comptez cinq sous-traitants dans trois pays tiers et que vous ne disposez d’aucune \u00e9valuation \u00e9crite du risque d’acc\u00e8s des autorit\u00e9s, vous n’avez pas formellement respect\u00e9 les obligations de diligence requises par la directive NIS2.<\/p>\n Trois situations concr\u00e8tes r\u00e9v\u00e8lent la responsabilit\u00e9 personnelle de la direction. Premi\u00e8rement, en cas d’incident de s\u00e9curit\u00e9 avec fuite de donn\u00e9es : si l’enqu\u00eate d\u00e9montre que la cha\u00eene d’approvisionnement n’a pas \u00e9t\u00e9 \u00e9valu\u00e9e, cela constitue un manquement au devoir de diligence. Deuxi\u00e8mement, lors d’un audit sans incident : une autorit\u00e9 de contr\u00f4le peut sanctionner l’absence de documentation m\u00eame en l’absence de pr\u00e9judice. Troisi\u00e8mement, dans le cadre d’une proc\u00e9dure civile : si des donn\u00e9es clients sont compromises suite \u00e0 un transfert vers un pays tiers, des actions en r\u00e9paration sont engag\u00e9es, dont le montant du litige d\u00e9pend directement du volume de donn\u00e9es concern\u00e9es.<\/p>\n Les hyperscalers ne seront pas les principaux mis en cause dans ces proc\u00e9dures. Leurs conditions g\u00e9n\u00e9rales d’utilisation d\u00e9finissent clairement ce qu’ils fournissent et ce qu’ils ne fournissent pas. Les v\u00e9ritables responsables seront les donneurs d’ordre qui ont sign\u00e9 sans pr\u00e9voir contractuellement les implications. C’est pr\u00e9cis\u00e9ment cette construction juridique que la directive NIS2 entend d\u00e9sormais traiter explicitement.<\/p>\n \u00c9tape un : Inventaire des fournisseurs li\u00e9s \u00e0 des pays tiers. Quel fournisseur, quel contrat, quel lieu de traitement effectif, quel sous-traitant. Celui qui peut r\u00e9duire cela \u00e0 une feuille Excel doit \u00eatre en mesure de la pr\u00e9senter \u00e0 une autorit\u00e9 de contr\u00f4le.<\/p>\n \u00c9tape deux : \u00c9valuation \u00e9crite des risques par fournisseur. Pas \u00ab nous faisons confiance \u00e0 AWS \u00bb, mais : quels sont les droits d’acc\u00e8s des autorit\u00e9s, quelles cat\u00e9gories de donn\u00e9es sont concern\u00e9es, quelles mesures att\u00e9nuent le risque. La cryptage avec des cl\u00e9s client est une mesure, la restriction g\u00e9ographique en est une autre. Les deux doivent \u00eatre document\u00e9es.<\/p>\n \u00c9tape trois : Renforcement contractuel. Les clauses contractuelles standard plus des mesures suppl\u00e9mentaires de protection sont obligatoires, pas recommand\u00e9es. Cela signifie concr\u00e8tement : contr\u00f4le du chiffrement, droit d’audit, obligation de signaler aux autorit\u00e9s, clauses de sortie avec un chemin de transfert des donn\u00e9es.<\/p>\n \u00c9tape quatre : D\u00e9cision de direction. Le choix du fournisseur et l’\u00e9valuation du risque r\u00e9siduel doivent \u00eatre document\u00e9s dans une d\u00e9cision prise par la direction. Pas sur une diapositive de strat\u00e9gie cloud. Dans un compte-rendu que l’autorit\u00e9 de contr\u00f4le puisse suivre.<\/p>\n La r\u00e9ponse honn\u00eate est : non pour toutes les charges de travail, pas tout de suite. L’initiative European Open Cloud ainsi que des offres souveraines comme OVHcloud, Open Telekom Cloud ou Stackit couvrent un spectre croissant, mais elles ne remplacent pas toutes les fonctions techniques d’un hyperscaler. Celui qui a besoin d’\u00e9quivalents tels que Bedrock-Inference, Aurora Serverless ou des fonctionnalit\u00e9s sp\u00e9cifiques Microsoft Identity n’a aujourd’hui aucun remplacement 1:1.<\/p>\n Ce n’est pas une raison pour rester dans la situation actuelle. C’est une raison d’adopter une architecture diff\u00e9renci\u00e9e. Les cat\u00e9gories de donn\u00e9es sensibles migrent vers des fournisseurs europ\u00e9ens ou restent sur site. Les charges de travail g\u00e9n\u00e9riques restent sur l’hyperscaler, accompagn\u00e9es de mesures de protection document\u00e9es. L’architecture plateforme 2026 sera polyglotte, pas soit-disant-soit.<\/p>\n Le cadre de 2023 a r\u00e9tabli le jugement sur l’ad\u00e9quation et constitue la base juridique actuelle. Plusieurs autorit\u00e9s de protection des donn\u00e9es et des avis juridiques s’attendent cependant \u00e0 un nouveau proc\u00e8s devant la Cour de justice de l’Union europ\u00e9enne (CJUE), qui v\u00e9rifiera \u00e0 nouveau la solidit\u00e9 de ce cadre. Celui qui s’appuie uniquement sur ce cadre accepte le risque d’une d\u00e9cision Schrems III. Un cadre combin\u00e9 \u00e0 des mesures techniques suppl\u00e9mentaires, notamment le chiffrement avec des cl\u00e9s client, est fiable.<\/p>\n Une cryptage c\u00f4t\u00e9 serveur du fournisseur ne suffit pas, car le fournisseur g\u00e8re les cl\u00e9s et peut \u00eatre contraint de les transmettre dans le cadre d’une proc\u00e9dure administrative. Les solutions Bring-Your-Own-Key ou Hold-Your-Own-Key avec gestion externe des cl\u00e9s combinent techniquement cette lacune, \u00e0 condition que le gestionnaire de cl\u00e9s lui-m\u00eame ne soit pas accessible selon le droit am\u00e9ricain. Il convient \u00e9galement de noter que tous les fournisseurs ne proposent pas HYOK pour tous les services.<\/p>\n Le fournisseur est tenu de fournir les donn\u00e9es demand\u00e9es. Il peut d\u00e9poser un recours, ce qui r\u00e9ussit rarement en pratique. Une notification au client n\u2019a souvent pas lieu, car l\u2019ordre peut comporter une obligation de silence. Le commanditaire apprend g\u00e9n\u00e9ralement seulement ult\u00e9rieurement, lors d\u2019un proc\u00e8s, que des donn\u00e9es ont \u00e9t\u00e9 transmises.<\/p>\n Les obligations NIS2 s’appliquent \u00e0 partir d’une certaine taille ou si l’activit\u00e9 rel\u00e8ve d’un secteur r\u00e9glement\u00e9. Les petites entreprises ne sont g\u00e9n\u00e9ralement pas directement tenues de le faire, mais sont incluses contractuellement dans l\u2019examen par leurs clients soumis \u00e0 NIS2. Cela d\u00e9place effectivement l’obligation vers la cha\u00eene d’approvisionnement. Si une PME a un client soumis \u00e0 NIS2, elle doit pouvoir fournir des informations.<\/p>\n\n
Ce que l’obligation de cha\u00eene d’approvisionnement NIS2 exige r\u00e9ellement<\/h2>\n
Comment le US CLOUD Act contourne la protection europ\u00e9enne<\/h2>\n
Les pays tiers ne se limitent pas aux \u00c9tats-Unis<\/h2>\n
\n\n
\n \nR\u00e9gion<\/th>\n Acc\u00e8s des autorit\u00e9s (r\u00e9sum\u00e9)<\/th>\n \u00c9valuation NIS2 dans l’espace de donn\u00e9es<\/th>\n<\/tr>\n<\/thead>\n \n \u00c9tats-Unis<\/strong><\/td>\n CLOUD Act, FISA 702<\/td>\n \u00c9lev\u00e9, avec conflit r\u00e9siduel li\u00e9 \u00e0 Schrems II<\/td>\n<\/tr>\n \n Royaume-Uni<\/strong><\/td>\n Investigatory Powers Act, d\u00e9cision d’ad\u00e9quation de l’UE<\/td>\n Moyen, ad\u00e9quation sous surveillance<\/td>\n<\/tr>\n \n Inde<\/strong><\/td>\n IT Act Section 69, DPDP Act 2023<\/td>\n \u00c9lev\u00e9, sans d\u00e9cision d’ad\u00e9quation<\/td>\n<\/tr>\n \n Isra\u00ebl<\/strong><\/td>\n Privacy Protection Law, d\u00e9cision d’ad\u00e9quation de l’UE<\/td>\n Moyen, risques r\u00e9siduels sectoriels<\/td>\n<\/tr>\n \n Philippines<\/strong><\/td>\n Data Privacy Act, acc\u00e8s des autorit\u00e9s via le cadre AML<\/td>\n \u00c9lev\u00e9, souvent sous-traitant sans contrat<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n O\u00f9 les pi\u00e8ges de responsabilit\u00e9 se referment r\u00e9ellement<\/h2>\n
Quatre \u00e9tapes concr\u00e8tes qui doivent maintenant figurer dans le registre des risques<\/h2>\n
Quand un changement vers des fournisseurs europ\u00e9ens est r\u00e9aliste<\/h2>\n
Foire aux questions<\/h2>\n
Le cadre de protection des donn\u00e9es UE-\u00c9tats-Unis est-il une base suffisante pour l’utilisation des clouds am\u00e9ricains ?<\/h3>\n
Une cryptage sur l’hyperscaler suffit-il \u00e0 se prot\u00e9ger contre le CLOUD Act ?<\/h3>\n
Que se passe-t-il si un hyperscaler re\u00e7oit un ordre CLOUD Act ?<\/h3>\n
Les petites entreprises doivent-elles effectuer des v\u00e9rifications de cha\u00eene d’approvisionnement NIS2 ?<\/h3>\n
Conseils de lecture de la r\u00e9daction<\/h3>\n