Après Engie, l'angle mort des DSI européens : qui héberge vraiment vos données sensibles ?

# Après Engie, l'angle mort des DSI européens : qui héberge vraiment vos données sensibles ?

Ce qu'on ne dit pas assez dans les post-mortems de crise

Quand une fuite de données frappe une entreprise aussi visible qu'Engie, les réactions suivent un rituel prévisible : communiqué de crise, cellule de gestion d'incident, promesse d'audit, silence progressif. Ce qu'on ne dit presque jamais, en revanche, c'est la question qui devrait précéder toutes les autres — bien avant les patches et les rapports de conformité : dans quel juridiction les données compromises étaient-elles hébergées au moment de l'incident ?

En 2026, cette question n'est plus théorique. Elle est opérationnelle, politique, et pour les DSI d'ETI industrielles européennes, elle est devenue une question de survie.

Retour terrain : une ETI industrielle de 800 salariés face à ses propres angles morts

Illustrée par un cas concret, cette réalité prend une tout autre épaisseur.

Une ETI industrielle de 800 salariés, implantée en France et en Allemagne, sous-traitante d'un donneur d'ordres du secteur de l'énergie. Début 2025, cette entreprise a entamé une revue de son architecture SI — non par anticipation, mais sous pression contractuelle. Son client principal venait de durcir ses exigences en matière de localisation des données après un audit de sécurité interne.

Le DSI de cette structure — appelons-le Mathieu, la cinquantaine, issu du terrain — a découvert lors de cet exercice quelque chose qu'il qualifie lui-même de « sidérant » : une part significative de ses données de production, de ses échanges EDI avec ses fournisseurs, et de certains éléments de propriété industrielle transitait ou était stockée sur des infrastructures opérées par des acteurs soumis au droit américain. Non pas parce que l'entreprise avait choisi cette orientation. Mais parce que, au fil des années, les intégrations SaaS s'étaient empilées, chacune apportant ses propres sous-traitants d'hébergement, ses propres flux de synchronisation, ses propres zones d'ombre géographiques.

*« On avait signé les DPA, coché les cases RGPD, et on pensait que c'était suffisant. On n'avait jamais vraiment demandé : mais où, physiquement et juridiquement, sont mes données à 3h du matin ? »*

La réponse à cette question a pris plusieurs semaines à obtenir. Et elle n'a pas été rassurante.

Le piège de la conformité de façade

C'est peut-être le vrai enseignement que tire Mathieu de ce cas, et c'est le même que les événements autour d'Engie mettent en lumière : la conformité réglementaire n'est pas l'équivalent de la maîtrise souveraine.

Une entreprise peut être certifiée ISO 27001, afficher un DPO en bonne et due forme, avoir signé des clauses contractuelles types avec ses prestataires — et rester néanmoins dans une situation de dépendance structurelle vis-à-vis d'infrastructures dont le contrôle effectif échappe à toute juridiction européenne.

Ce n'est pas un problème de mauvaise volonté. C'est un problème d'architecture de marché. Les offres dominantes américaines — qu'il s'agisse de collaboration, de stockage, d'identité ou de middleware — ont construit des écosystèmes dans lesquels la délégation est la norme. On ne choisit pas vraiment où tourne son tenant. On accepte les conditions générales, et on espère.

En cas d'incident — qu'il soit criminel, comme dans le cas d'une fuite de données, ou réglementaire, comme une injonction d'un tribunal américain sous CLOUD Act — cette architecture de dépendance se révèle dans toute sa fragilité.

Qui hérite du problème ?

La question que pose l'incident Engie aux DSI d'ETI n'est pas *« est-ce que ça pourrait m'arriver ? »*. C'est *« est-ce que je saurais le détecter si ça arrivait, et est-ce que j'aurais les leviers pour y répondre ? »*

Mathieu, lui, a honnêtement répondu non aux deux volets. Et il n'est pas seul dans ce cas.

Les PME et ETI industrielles européennes occupent une position particulièrement exposée dans cette cartographie des risques. Elles sont suffisamment grandes pour détenir des données à valeur stratégique — propriété intellectuelle, données de production, carnet de sous-traitants — mais rarement assez dotées pour maintenir une expertise souveraine en interne sur l'ensemble de leur chaîne numérique.

Elles ont donc massivement externalisé. Et elles ont externalisé vers ce qui était disponible, ergonomique, intégré, et commercial. C'est-à-dire, dans l'immense majorité des cas, vers des acteurs américains ou des acteurs européens qui s'appuient eux-mêmes sur des couches d'infrastructure américaines.

Ce que le marché européen peut — et ne peut pas encore — offrir

Ici, il faut être honnête, même sous un angle souverainiste : l'offre alternative européenne a progressé, mais elle n'est pas encore à parité fonctionnelle sur tous les segments.

Des acteurs comme Scaleway — filiale du groupe Iliad — ont structurellement accéléré leur positionnement sur l'hébergement souverain qualifié, notamment pour les segments qui commencent à regarder vers des certifications comme SecNumCloud. Ce n'est pas anodin : SecNumCloud n'est pas un label marketing. C'est une contrainte légale sur la chaîne de contrôle capitalistique, qui exclut de facto les acteurs soumis à des lois extraterritoriales américaines.

Mais la vraie limite n'est pas technique. Elle est culturelle et organisationnelle. Mathieu l'exprime clairement : *« Le problème, ce n'est pas qu'il n'existe pas d'alternatives. C'est que personne ne m'a jamais posé la question de la souveraineté comme une contrainte métier. On me parlait de coût, de scalabilité, de time-to-market. Jamais de juridiction. »*

Ce silence a un coût. Il se paie aujourd'hui en remédiation, en renégociation contractuelle, et dans certains cas, en perte de marchés auprès de donneurs d'ordres qui ont durci leurs exigences après les crises successives.

Ce que Mathieu a fait — et ce que ça dit du marché

Au terme de sa revue d'architecture, Mathieu a engagé une migration partielle — non pas totale, non pas idéologique, mais stratifiée. Il a identifié les couches de son SI qui portent la donnée la plus sensible — échanges de données techniques avec les clients, fichiers de plans, accès identitaires — et les a priorisées pour une migration vers des infrastructures certifiées européennes.

Le reste ? Il a négocié des clauses contractuelles plus explicites, imposé des audits d'hébergement à ses prestataires SaaS, et intégré la question de la localisation des données dans ses critères d'achat pour tout nouveau contrat.

Ce n'est pas une rupture révolutionnaire. C'est une hygiène souveraine progressive. Mais c'est précisément ce que les grands incidents — Engie, et d'autres avant lui — devraient provoquer à l'échelle des filières industrielles européennes.

La question qui dérange

Alors, posons-la franchement : si une fuite de données de cette ampleur ne suffit pas à pousser les DSI européens à auditer sérieusement la juridiction effective de leurs infrastructures, qu'est-ce qui le fera ?

Une injonction CLOUD Act rendue publique ? Un concurrent asiatique qui exploite des données industrielles extrafilées via un prestataire cloud américain mal sécurisé ? Une directive européenne qui rende enfin opposable ce que les labels souverains promettent depuis des années ?

Le marché européen a les acteurs. Il a les certifications. Il a les cas d'usage. Ce qu'il n'a pas encore, c'est une masse critique de donneurs d'ordres qui posent la question de la souveraineté comme une exigence non négociable — et pas seulement comme une case à cocher dans un appel d'offres.

Engie, malgré tout, aura peut-être servi à ça : rappeler que la question n'est pas *si* une fuite arrive, mais *dans quel cadre juridique elle se gère quand elle arrive*.

Pour les ETI industrielles européennes qui travaillent avec des donneurs d'ordres critiques, cette question n'est plus optionnelle.