Quand une ETI industrielle a compris que son fournisseur cloud décidait aussi de sa cybersécurité

# Quand une ETI industrielle a compris que son fournisseur cloud décidait aussi de sa cybersécurité

*Retour terrain — Analyse économique et budgets IT*

Il y a deux ans, le DSI d'une ETI industrielle de 800 salariés, implantée en France avec deux filiales en Allemagne et en Pologne, pensait avoir fait le bon choix. Son infrastructure était hébergée chez un acteur américain dominant. Ses outils de messagerie, de visioconférence et de gestion documentaire aussi. Le tout, sous des contrats négociés en central, avec des niveaux de service jugés satisfaisants.

Aujourd'hui, ce même DSI présente son retour d'expérience dans des cercles professionnels avec une formule devenue sa signature : « J'ai cru acheter un service. J'avais en réalité délégué mes décisions. »

Voici ce qui s'est passé.

Le déclencheur : une hausse de tarif non négociée

Tout commence par une lettre — pardon, un e-mail — du prestataire américain. L'objet est neutre. Le contenu, moins. Les tarifs de leur abonnement principal augmentent. La hausse est significative, appliquée à l'ensemble des postes utilisateurs. Le délai pour accepter ou résilier : soixante jours.

Soixante jours pour trouver une alternative à un système dont dépendent 800 collaborateurs, leurs accès, leurs données, leurs habitudes de travail. En pratique : impossible.

L'ETI paie. Elle n'a pas le choix.

Mais ce que ce DSI comprend à ce moment-là, c'est que le vrai risque n'était pas la cybersécurité au sens classique — pare-feux, antivirus, détection d'intrusion. Le vrai risque, c'était la dépendance structurelle à un acteur étranger capable de modifier unilatéralement les conditions de la relation commerciale. Sans préavis réel. Sans recours effectif.

On appelle cela le risque de captivité fournisseur, ou *vendor lock-in* en anglais. Et dans ce cas précis, ce risque avait un impact budgétaire immédiat et non planifié.

Ce que recouvre vraiment la « souveraineté numérique »

Avant d'aller plus loin, posons une définition simple.

La souveraineté numérique, c'est la capacité d'une organisation — une entreprise, une administration, un État — à maîtriser ses outils, ses données et ses décisions technologiques. Sans dépendre d'un acteur étranger qui peut changer les règles du jeu à tout moment.

Cela ne signifie pas « tout faire soi-même ». Cela signifie choisir ses dépendances en connaissance de cause, et conserver un droit de sortie réaliste.

Dans le cas de notre ETI, ce droit de sortie n'existait plus. Et c'est précisément là que la souveraineté numérique rejoint la cybersécurité.

Souveraineté et cybersécurité : deux faces du même risque

La cybersécurité, au sens réglementaire européen — notamment au regard de la directive NIS 2 (Network and Information Security, entrée en application en 2024) — ne se limite pas à protéger les données contre des attaquants extérieurs. Elle intègre désormais la résilience opérationnelle, c'est-à-dire la capacité à continuer à fonctionner même en cas de perturbation majeure.

Or, qu'est-ce qu'une perturbation majeure pour une ETI industrielle ?

Ce peut être une cyberattaque. Mais ce peut être aussi :

• Une modification unilatérale des conditions d'accès à ses propres données.
• Une décision réglementaire américaine — comme une application extraterritoriale du Cloud Act — qui permettrait aux autorités américaines d'accéder aux données hébergées par un opérateur américain, même sur des serveurs européens.
• Une défaillance technique chez un prestataire unique, sans plan de continuité alternatif.

Dans tous ces cas, le choix technologique initial est la source du risque. Pas un virus. Pas un hacker. Un contrat mal lu, signé avec un acteur dont les intérêts ne sont pas alignés avec ceux de l'entreprise européenne.

Ce que l'ETI a fait — et ce que ça a coûté

Face à cette prise de conscience, le DSI a engagé une démarche de cartographie. Pas de transformation radicale immédiate — ce serait irréaliste. Mais une cartographie des dépendances critiques : quels outils touchent quelles données ? Quels services seraient impossibles à remplacer en moins de six mois ? Quels fournisseurs ont la capacité de modifier leurs tarifs ou leurs conditions sans que l'ETI puisse réagir ?

Le résultat a été éclairant — et inconfortable. L'essentiel du système d'information reposait sur deux ou trois acteurs américains, pour la quasi-totalité des usages critiques : messagerie, stockage, outils collaboratifs, et une partie de la production industrielle via des logiciels de supervision connectés au cloud du fournisseur.

La migration n'a pas été immédiate. Elle a été progressive et priorisée. Les premières décisions ont porté sur les données les plus sensibles : propriété industrielle, données RH, communications de direction. Pour ces usages, l'ETI a basculé vers un opérateur cloud européen soumis au droit européen, avec des serveurs localisés sur le territoire de l'Union.

Le surcoût à court terme était réel. Les outils européens retenus étaient parfois moins matures sur certaines fonctionnalités. La conduite du changement auprès des équipes a demandé du temps et de la pédagogie.

Mais le DSI le formule ainsi : « On a arrêté de comparer le coût de la migration au coût du statu quo. On a commencé à comparer le coût de la migration au coût d'un incident. »

Un incident cyber majeur dans l'industrie, c'est plusieurs semaines d'arrêt partiel ou total de la production. C'est une perte de données potentiellement irréversible. C'est un risque réputationnel avec les clients et les partenaires. Ces coûts-là ne figurent dans aucun tableau de bord budgétaire — jusqu'au jour où ils se matérialisent.

Ce que les acteurs européens peuvent proposer aujourd'hui

Il serait malhonnête de prétendre que l'offre européenne répond aujourd'hui à tous les besoins avec la même profondeur fonctionnelle que les géants américains. Ce n'est pas vrai. Et les DSI le savent.

Mais le paysage a changé. Des acteurs comme **Infomaniak**, opérateur suisse engagé sur la protection des données personnelles, ou **3DS Outscale**, qualifié SecNumCloud par l'ANSSI (l'Agence nationale de la sécurité des systèmes d'information), proposent des environnements cloud souverains avec des niveaux de service professionnels.

SecNumCloud, pour ceux qui découvrent ce terme : c'est le visa de sécurité délivré par l'ANSSI aux prestataires cloud qui respectent un cahier des charges strict, notamment sur l'immunité au droit extraterritorial. C'est aujourd'hui la référence pour les organisations qui traitent des données sensibles en France.

Pour les ETI qui ne peuvent pas tout migrer d'un coup — c'est-à-dire la grande majorité — la stratégie réaliste n'est pas le « tout européen » immédiat. C'est l'hybridation raisonnée : identifier les actifs critiques, les isoler, les protéger en priorité avec des solutions souveraines, et réduire progressivement la surface de dépendance aux acteurs américains.

Ce que vous devriez retenir

Le cas de cette ETI industrielle n'est pas exceptionnel. Il est représentatif d'une situation que vivent silencieusement de nombreuses PME et ETI européennes : des systèmes d'information construits par empilement de services pratiques, sans audit global des dépendances ni évaluation du risque de captivité.

Trois enseignements transférables :

1. Le risque tarifaire est un risque de cybersécurité. Un fournisseur qui peut augmenter ses prix unilatéralement peut aussi modifier ses conditions d'accès, ses niveaux de service, ou sa politique de rétention des données. Ces trois menaces ont la même origine : l'absence de maîtrise du contrat.

2. La cartographie avant la migration. Avant de changer quoi que ce soit, savoir ce que vous avez. Quelles données, chez qui, avec quelles garanties juridiques. C'est un travail de quelques semaines. Il conditionne tout le reste.

3. NIS 2 n'est pas une contrainte de conformité, c'est un cadre d'analyse. La directive oblige les organisations concernées à documenter leurs dépendances critiques et leurs plans de continuité. Pour les ETI industrielles qui ne sont pas encore dans son périmètre direct, elle reste une grille de lecture utile pour évaluer leur propre exposition.

La souveraineté numérique n'est pas un idéal politique. C'est une variable budgétaire et opérationnelle. Ceux qui l'intègrent dans leurs décisions aujourd'hui évitent les mauvaises surprises de demain.