Quand une ETI industrielle a décidé d'arrêter de construire sur un sol américain

Le signal d'alarme est venu d'un audit NIS2, pas d'une décision stratégique

L'histoire aurait pu commencer par une vision. Elle a commencé par une peur.

En début d'année 2025, une ETI industrielle de 800 salariés — fabricant de composants mécaniques de précision, clients majoritairement dans le secteur aérospatial européen — reçoit les conclusions d'un audit de conformité NIS2 commandé à un cabinet indépendant. Parmi les points de vigilance : une dépendance opérationnelle significative à des registres de conteneurs et des services d'orchestration gérés par des entités américaines, sans contrats de traitement des données adaptés, sans analyse d'impact sérieuse sur l'extraterritorialité américaine.

Le RSSI résume la situation en une phrase lors du comité de direction : *« On a construit notre infrastructure applicative sur un sol dont on ne contrôle pas les lois. »*

C'est cette formulation, pragmatique et sans dramatisation, qui va déclencher dix-huit mois de travail.

Ce que l'audit a mis en évidence concrètement

L'ETI n'est pas un cas extrême. Elle n'avait rien fait de fondamentalement irrationnel. Elle avait adopté Docker pour la portabilité, déployé Kubernetes pour l'orchestration — la trajectoire classique de n'importe quelle équipe technique qui a suivi les tendances de la décennie 2015-2025.

Le problème n'était pas technique. Il était juridique et géopolitique.

Premier point de friction identifié : les images de base utilisées dans les pipelines CI/CD étaient systématiquement tirées de registres hébergés aux États-Unis. En cas de litige commercial, de sanctions, ou simplement d'une décision unilatérale d'un opérateur américain, la chaîne de build devenait inutilisable du jour au lendemain. Cette dépendance n'avait jamais été formalisée comme un risque dans le registre des risques SI.

Deuxième point : les outils de monitoring et d'observabilité intégrés à leur cluster Kubernetes envoyaient de la télémétrie vers des endpoints américains. Des données opérationnelles — logs applicatifs, métriques de performance, traces de débogage — transitaient hors de l'Union européenne sans que personne n'ait clairement documenté ce flux dans le registre RGPD.

Troisième point, le plus sensible : certains workloads conteneurisés traitaient des données de conception — pas des secrets industriels à proprement parler, mais des paramètres de fabrication qui, agrégés, pouvaient constituer un avantage concurrentiel réel. Ces données étaient orchestrées par un plan de contrôle dont les composants de support passaient par des équipes américaines.

Le Cloud Act américain n'est pas une théorie. C'est une loi en vigueur, qui permet aux autorités américaines de demander l'accès à des données stockées ou gérées par des entreprises américaines, indépendamment de leur localisation physique. L'ETI n'avait pas évalué cette surface d'exposition.

La décision : pas une révolution, une désescalade maîtrisée

Le DSI a posé une règle simple dès le début du projet : *« On ne refait pas tout. On réduit l'exposition là où le risque est documenté, et on documente les compromis là où on reste. »*

Cette approche a évité le syndrome du grand soir qui tue les projets de migration avant qu'ils démarrent.

La première décision a concerné le registre de conteneurs. L'ETI a migré vers une solution hébergée dans un datacenter certifié en France, opérée par un acteur dont le siège social et le droit applicable sont européens. Le choix a été fait sur des critères de juridiction et de conformité avant d'être un choix technique. La compatibilité avec les workflows Docker existants a été vérifiée — elle était suffisante pour ne pas réécrire les pipelines.

La deuxième décision a porté sur l'observabilité. Les outils de monitoring ont été remplacés par une stack auto-hébergée, déployée sur leur propre infrastructure, dans un datacenter français. Pas de télémétrie sortante vers des endpoints américains. Les données opérationnelles restent dans le périmètre contractuel et juridique de l'entreprise.

La troisième décision, la plus longue à mettre en œuvre, a concerné l'orchestration elle-même. L'ETI a choisi de ne pas remplacer Kubernetes — le projet aurait été disproportionné — mais de le faire opérer par un prestataire européen, avec des SLA documentés incluant des clauses explicites sur la localisation des données et l'absence de transfert vers des entités soumises au droit américain. Ce choix a imposé une renégociation contractuelle rigoureuse.

Les frictions réelles — et comment elles ont été résolues

La migration n'a pas été sans douleur. Trois points de friction méritent d'être documentés pour les équipes qui envisagent une démarche similaire.

La résistance des équipes de développement. Les développeurs avaient leurs habitudes, leurs extensions, leurs intégrations. Changer de registre, c'est aussi changer des automatismes dans les IDE, les scripts de déploiement, les configurations CI. Le RSSI a fait le choix de ne pas imposer mais de former — deux ateliers pratiques, une documentation interne claire, et un délai de transition de trois mois. La résistance s'est dissipée.

La compatibilité des images de base. Certaines images propriétaires utilisées dans les workloads de l'ETI n'existaient pas dans des versions maintenues par des éditeurs européens. Pour ces cas précis, l'équipe a documenté le risque résiduel, maintenu une exception motivée dans le registre des risques, et programmé une revue à six mois. La transparence sur les compromis est préférable à une migration cosmétique qui prétend résoudre ce qu'elle ne résout pas.

Le coût de la conformité contractuelle. Faire auditer les contrats de prestation avec de nouveaux opérateurs, vérifier les clauses de sous-traitance, intégrer des annexes RGPD solides — cela prend du temps juridique. L'ETI a externalisé cette partie à un cabinet spécialisé en droit du numérique européen. Un investissement que le DSI qualifie rétrospectivement de *« le moins sexy mais le plus utile du projet »*.

Ce que DORA a changé dans l'analyse

L'ETI n'est pas dans le secteur financier, mais ses clients le sont partiellement. La conformité DORA de ses clients crée une pression indirecte sur ses propres pratiques de résilience et de gestion des dépendances tierces.

Le fait de documenter proprement sa chaîne de dépendances conteneurs — qui opère quoi, sous quelle juridiction, avec quels niveaux de service — est devenu un argument commercial. Plusieurs appels d'offres de 2025 et 2026 incluaient des questionnaires de maturité sur la gestion des risques tiers. L'ETI y répond maintenant avec des éléments factuels.

La souveraineté numérique n'est plus seulement une question d'éthique ou d'idéologie. Elle est devenue un facteur de compétitivité dans les chaînes d'approvisionnement industrielles européennes.

Ce que les DSI peuvent retenir

Cette migration n'a pas été une rupture technologique. Elle a été un travail de cartographie, de priorisation et de contractualisation.

La première étape — et la plus urgente — est d'établir une cartographie honnête de sa surface d'exposition : quels composants de son infrastructure conteneurs sont opérés par des entités soumises au droit américain, et quelles données transitent par ces composants. Sans cette cartographie, aucune décision rationnelle n'est possible.

La deuxième étape est de trier par niveau de risque documenté, et non par idéal de souveraineté totale. Certaines dépendances sont acceptables à court terme si elles sont formalisées comme des risques résiduels conscients. D'autres — celles qui touchent aux données sensibles, aux données de clients, aux secrets industriels — méritent une action prioritaire.

La troisième étape est contractuelle avant d'être technique. Choisir un opérateur européen sans vérifier que ses contrats excluent explicitement tout transfert vers des entités soumises au Cloud Act, c'est se donner une illusion de souveraineté.

L'ETI a terminé sa migration en dix-huit mois. Elle n'a pas tout résolu. Mais elle sait désormais précisément où elle est exposée — et c'est déjà une position infiniment plus solide que celle de départ.