Continuité de service sous dépendance américaine : un DSI face à ses angles morts

# Continuité de service sous dépendance américaine : un DSI face à ses angles morts

*Nous avons rencontré un DSI d'une ETI industrielle française de taille intermédiaire, en poste depuis plus de dix ans. Il a récemment conduit un audit de son plan de reprise d'activité après la consolidation opérée entre NetApp et JetStream Software sur le marché de la continuité de service. Il témoigne, sous couvert d'anonymat, des questions que ce mouvement soulève pour les entreprises européennes.*

RiffLab Media : Pour commencer, pouvez-vous expliquer simplement ce que font NetApp et JetStream, et pourquoi leur rapprochement mérite qu'on s'y arrête ?

NetApp est un éditeur américain spécialisé dans le stockage de données et la gestion de l'infrastructure. JetStream Software, également américain, propose des solutions de continuité de service — ce qu'on appelle dans le métier le DRaaS, pour *Disaster Recovery as a Service*, ou reprise d'activité en tant que service. Concrètement, si votre datacenter brûle ou si vous subissez une cyberattaque, ces outils sont censés vous permettre de redémarrer vos systèmes rapidement, ailleurs, sur une infrastructure de secours.

Leur rapprochement, c'est un signal classique de consolidation du marché. Deux acteurs américains fusionnent leur offre pour verrouiller un segment critique : celui qui protège votre capacité à fonctionner en cas de crise. Quand ce maillon devient américain de bout en bout, ça pose des questions qui dépassent la technique.

Quelles questions exactement ? En quoi le fait que ces acteurs soient américains change-t-il quelque chose pour une entreprise européenne ?

Ça change tout, et c'est souvent là que les DSI ont un angle mort. La question centrale, c'est le Cloud Act. Le *Clarifying Lawful Overseas Use of Data Act*, adopté par les États-Unis en 2018, permet aux autorités américaines d'exiger d'une entreprise soumise au droit américain qu'elle leur transmette des données — même si ces données sont hébergées en Europe. Même si elles appartiennent à une entreprise européenne.

Donc, si votre plan de continuité de service repose sur une solution américaine, vos données de sauvegarde, vos configurations systèmes, vos données métier critiques peuvent théoriquement être accessibles à des autorités étrangères. Sans que vous en soyez informé. Sans recours effectif.

Ce n'est pas une hypothèse d'école. C'est un risque juridique réel, documenté, et qui entre en contradiction directe avec le RGPD — le Règlement Général sur la Protection des Données — qui interdit en principe le transfert de données personnelles vers des pays tiers sans garanties adéquates.

Vous mentionnez le RGPD. Mais depuis 2026, les entreprises doivent aussi se conformer à NIS2 et à DORA. Est-ce que ces réglementations changent l'équation ?

Oui, et de façon significative. NIS2, c'est la directive européenne sur la sécurité des réseaux et des systèmes d'information, dans sa version révisée. Elle élargit considérablement le périmètre des entreprises concernées — beaucoup de PME et ETI sont désormais dans le scope — et elle renforce les obligations sur la gestion des risques liés aux prestataires tiers. Ce point est fondamental : vous êtes responsable de la sécurité de votre chaîne d'approvisionnement numérique. Si votre fournisseur de continuité de service est défaillant ou compromis, c'est votre responsabilité.

DORA, le *Digital Operational Resilience Act*, va encore plus loin, mais il cible prioritairement le secteur financier. Il impose des exigences très précises sur les tests de résilience, la traçabilité des incidents, et surtout la maîtrise des dépendances aux prestataires tiers critiques. Là encore, un prestataire américain soumis au Cloud Act peut constituer une dépendance à risque au regard de ces textes.

Ce que ces deux réglementations disent, en substance : vous devez savoir qui touche à vos systèmes, sous quelle juridiction, et être capable de démontrer que vous maîtrisez ce risque. Avec une solution comme celle issue du rapprochement NetApp-JetStream, cette démonstration devient très difficile.

Concrètement, qu'est-ce que cela signifie pour un DSI qui a déjà déployé ce type de solution dans son infrastructure ?

Cela signifie qu'il est potentiellement en risque de non-conformité — sans le savoir, ou en le sachant mais en n'ayant pas documenté les mesures compensatoires. Le premier réflexe, c'est de rouvrir son contrat et de lire attentivement les clauses de localisation des données, de sous-traitance, et de transferts hors UE. Ces clauses sont souvent très bien cachées.

Ensuite, il faut cartographier : où sont réellement hébergées mes sauvegardes ? Qui y a accès ? Sous quelle loi ? Est-ce que mon prestataire a des filiales ou des infrastructures aux États-Unis qui le soumettent au droit américain ?

Beaucoup de DSI que je connais n'ont pas ces réponses. Pas par négligence — par manque de temps, de ressources, et aussi parce que ces sujets ont longtemps été traités comme des détails contractuels et non comme des enjeux stratégiques. Ce temps-là est révolu.

Existe-t-il des alternatives européennes crédibles pour la continuité de service ? On parle souvent des mêmes noms — comment éviter de se retrouver dans un autre angle mort ?

Des alternatives existent, et elles montent en maturité. Sans dresser une liste exhaustive — ce serait contre-productif et ce n'est pas mon rôle —, je dirais qu'il faut regarder du côté des hébergeurs et éditeurs certifiés SecNumCloud, la qualification de l'ANSSI qui garantit un niveau élevé de sécurité et d'indépendance vis-à-vis des juridictions extracommunautaires. Ce label est précisément conçu pour répondre aux risques que j'ai décrits.

Il faut aussi regarder les offres construites sur des socles open source maîtrisables — des solutions que vous pouvez auditer, modifier, et dont vous ne dépendez pas d'une feuille de route éditoriale décidée à San José ou à Seattle. C'est un critère de souveraineté opérationnelle autant que juridique.

La vraie question n'est pas « quel est le meilleur produit ? » mais « quel est le niveau de maîtrise que je conserve sur mon plan de reprise d'activité ? »

Un dernier mot pour les DSI d'ETI qui lisent cet article et qui se disent que tout cela semble compliqué et coûteux ?

Je les comprends. Et je ne vais pas leur promettre que la transition est simple. Mais je leur poserais une question inverse : quel est le coût d'une mise en conformité ratée ? Une sanction RGPD, une notification d'incident NIS2, un audit DORA qui tourne mal — sans parler d'une crise opérationnelle gérée avec un outil dont vous n'avez pas la maîtrise juridique.

La continuité de service, c'est le système nerveux de l'entreprise en situation de crise. C'est précisément à ce moment-là — quand tout s'effondre — que vous ne voulez pas découvrir que vos données de reprise sont dans un datacenter dont la juridiction vous échappe.

Commencez petit : un audit de vos contrats, une cartographie de vos flux de données critiques, une discussion avec votre RSSI — votre Responsable de la Sécurité des Systèmes d'Information — sur les risques d'extraterritorialité. Ce n'est pas un projet à dix-huit mois. C'est une conversation à avoir cette semaine.

*Cet entretien a été réalisé dans le cadre d'une série éditoriale de RiffLab Media sur la souveraineté numérique des ETI européennes. Le DSI interrogé s'exprime à titre personnel.*