Quand le congélateur devient une porte d'entrée : l'IoT en grande distribution nous force enfin à regarder en face notre dépendance américaine

# Quand le congélateur devient une porte d'entrée : l'IoT en grande distribution nous force enfin à regarder en face notre dépendance américaine

Il y a quelque chose d'assez révélateur dans le fait que les premières cyberattaques sérieuses ciblant l'IoT en environnement retail européen ne nous aient pas conduits à parler de capteurs, de protocoles ou de firmware. Elles nous ont conduits à parler de contrats cloud américains, d'hébergement de données hors sol européen, et de chaînes de dépendance que personne n'avait vraiment cartographiées. C'est là que réside l'essentiel, et c'est précisément ce que la transposition de la directive NIS2 — entrée en vigueur dans la majorité des États membres en 2025, avec ses premières mises en conformité effectives en 2026 — est en train de forcer les ETI à regarder en face.

Soyons directs : l'IoT en supermarché n'est pas un sujet de niche. C'est aujourd'hui la réalité opérationnelle de milliers d'enseignes moyennes à travers l'Europe. Gestion des températures, supervision énergétique, contrôle d'accès, caisses connectées, systèmes d'étiquetage dynamique — chaque maillon de cette chaîne représente un vecteur d'attaque potentiel. Et derrière chaque maillon, dans une proportion inquiétante des installations que nous observons, se trouve une brique logicielle ou une infrastructure cloud dont les conditions générales prévoient explicitement une juridiction américaine.

Ce que la directive dit, et ce que les ETI ont tardé à entendre

NIS2 n'est pas une directive sur l'IoT. Mais elle s'applique à l'IoT, et c'est une nuance que beaucoup de DSI de PME/ETI ont mis trop longtemps à intégrer. Dès lors qu'un système connecté participe à la continuité opérationnelle d'une entité désormais qualifiée d'«importante» ou d'«essentielle» au sens de la directive — ce qui inclut une part significative de la grande distribution alimentaire européenne —, les obligations de gestion du risque cyber s'appliquent à l'ensemble de la chaîne technique, y compris aux fournisseurs tiers.

Or, que découvre-t-on lorsqu'on commence à auditer sérieusement ces chaînes ? Que les plateformes de gestion IoT les plus déployées dans le retail européen sont majoritairement hébergées sur des infrastructures soumises au Cloud Act américain. Ce texte, adopté en 2018 à Washington, autorise les autorités fédérales américaines à exiger des opérateurs cloud américains la transmission de données stockées n'importe où dans le monde, y compris sur des serveurs localisés en Europe. Ce n'est pas une hypothèse d'école. C'est un risque juridique documenté, que les équipes légales américaines de ces mêmes opérateurs reconnaissent dans leurs propres analyses de risque internes — tout en continuant à vendre leurs services comme si la question était réglée.

Elle ne l'est pas. Et NIS2, précisément parce qu'elle introduit une responsabilité directe des dirigeants en cas d'incident, change la nature du problème pour les ETI. Ce n'est plus une question abstraite de souveraineté. C'est une question de responsabilité personnelle.

L'incident comme révélateur structurel

Lorsqu'une cyberattaque exploite un capteur IoT mal segmenté pour pivoter vers le système de paiement d'une enseigne, le vecteur technique initial est rarement le plus intéressant à analyser. Ce qui est intéressant, c'est la cartographie de ce qui s'effondre ensuite : les logs centralisés sur un tenant cloud hors Europe, les procédures de notification d'incident conditionnées à des SLA américains, l'impossibilité de produire une analyse forensique complète sans passer par le support d'un acteur dont le siège social est à Seattle ou à San Jose.

J'ai vu des équipes de réponse à incident parfaitement compétentes passer des heures à attendre une autorisation contractuelle pour accéder à leurs propres données. C'est le résultat concret, opérationnel, de dix ans de délégation silencieuse à des acteurs américains dont le modèle économique ne s'est jamais construit autour des intérêts de leurs clients européens.

NIS2 impose désormais des délais de notification très contraints — 24 heures pour le signalement initial, 72 heures pour le rapport intermédiaire. Ces délais sont incompatibles avec les temps de réponse réels d'une chaîne de support externalisée chez un acteur américain dont l'équipe de traitement des incidents est en décalage horaire et soumise à ses propres procédures internes. Ce n'est pas une critique de compétence. C'est une incompatibilité structurelle.

La transposition comme ligne de départ, pas d'arrivée

Ce qui est en train de se passer en 2026, c'est que la transposition nationale de NIS2 transforme une contrainte réglementaire abstraite en obligation opérationnelle concrète, avec des sanctions effectives et des autorités nationales désormais outillées pour contrôler. Pour les ETI du retail, cela signifie que la question «de qui dépend mon stack IoT et dans quelle juridiction ?» n'est plus optionnelle.

Cela crée, mécaniquement, une opportunité pour les acteurs européens capables de répondre à ces contraintes — non pas parce qu'ils seraient intrinsèquement meilleurs sur le plan technique, mais parce qu'ils sont structurellement alignés avec le cadre réglementaire dans lequel leurs clients opèrent. Un opérateur dont les infrastructures sont localisées en Europe, soumis au RGPD, non exposé au Cloud Act, capable de produire des preuves d'hébergement souverain dans le cadre d'un audit NIS2, répond à des critères que les acteurs américains ne peuvent tout simplement pas satisfaire sans contorsions contractuelles dont la valeur juridique reste incertaine.

Sur le segment IoT industriel et retail, des acteurs européens existent — discrets, moins marketés que leurs concurrents américains, mais présents. La consolidation du marché européen de la gestion IoT souveraine est un sujet qui mérite une couverture sérieuse, au-delà des annonces de levées de fonds.

Ce que les DSI doivent faire maintenant

La première étape n'est pas technique. C'est cartographique. Avant de parler de remplacement de stack, il faut savoir précisément quels systèmes IoT alimentent quelles données vers quels clouds, sous quels contrats, avec quelles clauses de juridiction. La plupart des ETI que je rencontre n'ont pas cette cartographie. Elles ont des inventaires. Ce n'est pas la même chose.

La deuxième étape est contractuelle. NIS2 impose des exigences sur la chaîne de sous-traitance. Cela signifie que chaque fournisseur IoT, chaque opérateur de plateforme de supervision, chaque prestataire de maintenance à distance doit être évalué non seulement sur ses capacités techniques, mais sur sa capacité à satisfaire les obligations de notification, de traçabilité et de coopération avec les autorités compétentes européennes.

La troisième étape est stratégique. Et elle impose une question que trop peu de comités de direction posent encore clairement : sommes-nous prêts à assumer, devant nos actionnaires, nos clients et potentiellement un régulateur, que la continuité de notre activité dépend d'un acteur dont la coopération avec des autorités étrangères est inscrite dans la loi de son pays d'origine ?

La directive NIS2 n'a pas créé le problème. Elle a créé l'obligation de ne plus faire semblant qu'il n'existait pas.