« La conformité UE, c'est le moment ou jamais de reprendre la main sur votre SI »

# « La conformité UE, c'est le moment ou jamais de reprendre la main sur votre SI »

*En 2026, les entreprises européennes jonglent avec une accumulation de textes réglementaires — NIS2, DORA, Data Act, AI Act. Pour beaucoup de DSI, c'est d'abord une pile de contraintes supplémentaires. Mais certains y voient autre chose : une occasion structurelle de desserrer l'étau des dépendances américaines. Nous avons interrogé un DSI d'une ETI industrielle française d'environ 1 200 salariés, en poste depuis six ans, qui a fait de la conformité réglementaire un levier de transformation interne. Ses réponses dérangent autant qu'elles éclairent.*

RiffLab : Soyons directs. NIS2, DORA, Data Act... Vos collègues DSI voient souvent ça comme une punition administrative. Vous, vous dites que c'est une opportunité. C'est du storytelling positif pour rassurer votre direction, ou vous y croyez vraiment ?

Je comprends le cynisme. Honnêtement, ma première réaction en 2024, quand NIS2 est entré en vigueur en France, c'était aussi : « encore une couche de reporting ». Mais quand j'ai commencé à cartographier sérieusement nos actifs numériques pour répondre aux exigences de l'ANSSI, j'ai découvert quelque chose d'embarrassant : on ne savait plus très bien ce qu'on avait. Des contrats cloud signés par des BU en mode shadow IT, des données métier hébergées chez des sous-traitants américains sans que personne n'ait vraiment décidé que c'était la bonne option — juste la plus rapide à l'époque. La réglementation m'a forcé à faire ce que j'aurais dû faire bien avant : une cartographie honnête de nos dépendances. Et quand vous voyez ça écrit noir sur blanc, la question de la souveraineté n'est plus abstraite.

RiffLab : Justement, cette cartographie — vous l'avez faite avec quels moyens ? Parce que le réflexe immédiat de beaucoup d'entreprises, c'est d'appeler un grand cabinet de conseil ou un intégrateur, souvent lui-même très lié aux acteurs américains dominants. On ne fait pas que déplacer le problème ?

C'est LA question qui dérange, et vous avez raison de la poser. Oui, on a failli tomber dans ce piège. Le premier devis qu'on a reçu pour nous accompagner sur NIS2 venait d'un intégrateur dont toute la pratique de sécurité était construite autour des solutions d'un acteur américain dominant. Leur audit allait naturellement conclure qu'il fallait déployer davantage de leurs outils. Ce n'est pas de la malveillance, c'est de la logique commerciale. Mais ce n'est pas notre intérêt.

On a changé d'approche. On a internalisé la compétence d'audit de cartographie — pas le travail d'un RSSI seul dans son coin, mais une équipe transverse : quelqu'un des achats, quelqu'un du juridique, deux architectes SI. Et on a fait monter en compétence cette équipe sur les cadres réglementaires européens directement, via les ressources publiées par l'ENISA et l'ANSSI, qui sont publiques et de qualité. C'est moins glamour qu'un grand projet de conseil, mais c'est du savoir qui reste dans l'entreprise.

RiffLab : Vous parlez de monter en compétence en interne. C'est précisément là où ça coince pour la majorité des ETI : les profils capables de comprendre à la fois le droit européen, la sécurité et l'architecture SI, ça ne court pas les rues. Vous ne sous-estimez pas la difficulté RH ?

Non, je ne la sous-estime pas. Mais je pense qu'on se trompe de cible. On cherche le mouton à cinq pattes — la personne qui sait tout — alors qu'on devrait construire des binômes ou des trinômes complémentaires. Ce que j'ai fait concrètement : j'ai identifié deux personnes dans mon équipe qui avaient une appétence pour le droit et la conformité — pas des juristes, des techniciens curieux. Je leur ai proposé une montée en compétence formelle sur les textes européens, en finançant une certification reconnue et en leur donnant du temps de veille réel, pas juste théorique.

En parallèle, j'ai travaillé avec les RH pour créer un parcours de rétention spécifique à ces profils. Parce que si vous formez quelqu'un sur NIS2 et DORA et que vous ne faites rien pour le garder, vous financez la concurrence. La compétence réglementaire européenne est aujourd'hui un actif stratégique. Elle mérite d'être traitée comme tel dans la politique RH, pas comme une ligne de coût formation.

RiffLab : Le Data Act impose notamment des règles sur la portabilité des données dans les environnements cloud. Dans les faits, les contrats avec les acteurs américains dominants rendent cette portabilité très difficile. Comment vous en sortez-vous sans tomber dans un projet de migration qui dure trois ans et coûte une fortune ?

Vous mettez le doigt sur quelque chose d'important. La portabilité théorique que promettent ces contrats et la portabilité réelle sont deux choses très différentes. Les formats propriétaires, les APIs qui changent, les coûts de sortie qui ne sont pas toujours transparents — tout ça crée une viscosité qui n'est pas accidentelle.

Ma réponse opérationnelle, c'est de ne pas chercher à tout migrer d'un coup, mais d'introduire une règle de gouvernance simple : tout nouveau projet, toute nouvelle contractualisation doit démontrer sa réversibilité avant validation. On documente les chemins de sortie au moment de l'entrée. C'est un changement de culture autant qu'un changement de processus. Et ça implique de former les chefs de projet et les acheteurs à poser ces questions dès la phase d'appel d'offres — pas uniquement l'équipe technique.

Sur les systèmes existants, on procède par ordre de criticité et de coût de dépendance. On n'attaque pas tout en même temps. Mais on n'attend plus non plus.

RiffLab : Parlons gouvernance. Comment vous avez fait évoluer les instances de décision IT pour que la souveraineté numérique ne soit pas juste un discours de DSI, mais un critère réel dans les arbitrages de direction ?

C'est probablement le chantier le plus difficile. Tant que la souveraineté reste un sujet « IT », elle ne survit pas au premier arbitrage budgétaire. Ce qui a changé chez nous, c'est qu'on a intégré un critère de dépendance géopolitique dans notre comité d'investissement SI, au même titre que le ROI ou le délai de mise en œuvre. Ce n'est pas moi qui l'ai imposé — c'est notre direction générale qui a pris conscience, après les débats autour du Cloud Act et des premières turbulences commerciales transatlantiques de 2025, que la question n'était plus théorique.

Concrètement, chaque dossier d'investissement IT supérieur à un certain seuil doit maintenant répondre à trois questions : où sont les données ? Qui y a potentiellement accès en dehors de notre périmètre juridique ? Quel est le coût et le délai de sortie si nous devons changer ? Ces questions ne bloquent pas tout, mais elles créent une friction saine. Elles obligent à choisir en connaissance de cause, pas par défaut.

RiffLab : Dernier point — et c'est peut-être le plus inconfortable. Est-ce que vous ne craignez pas que cette dynamique réglementaire européenne soit aussi détournée par de grands acteurs européens pour construire leurs propres positions dominantes ? La souveraineté comme argument marketing, en quelque sorte ?

Oui, absolument, et il faut rester lucide là-dessus. « Souverain » est en train de devenir un label que tout le monde s'approprie, parfois avec peu de substance derrière. Un acteur européen qui héberge vos données en France mais dont l'architecture dépend entièrement de composants américains et dont les conditions contractuelles sont opaques sur la portabilité — ce n'est pas vraiment de la souveraineté, c'est du localwashing.

Ma grille de lecture, c'est de ne jamais prendre la nationalité d'un acteur comme critère suffisant. Je regarde l'architecture réelle, les dépendances de second rang, les conditions contractuelles de sortie, et la capacité de l'équipe interne à auditer ce qu'on nous vend. La réglementation européenne nous donne des outils pour poser ces questions avec une base légale. Mais c'est à nous, DSI et RSSI, de ne pas nous laisser endormir par les discours. La vigilance n'est pas déléguable.

*Cet entretien a été réalisé avec un DSI d'une ETI industrielle européenne. Son identité est préservée à sa demande.*