NIS 2 : pendant que les DSI européens tergiversent, leurs contrats cloud américains verrouillent leur mise en conformité

Le retard de conformité NIS 2 n'est pas qu'un problème réglementaire — c'est un problème de dépendance

En 2026, la directive NIS 2 est techniquement transposée dans la quasi-totalité des États membres. Sur le terrain, la réalité est toute autre : une large part des PME et ETI concernées n'a pas encore engagé de démarche structurée de mise en conformité. Ce retard est souvent présenté comme un manque de ressources ou de maturité interne. C'est vrai, mais incomplet. Ce que les DSI n'anticipent pas toujours, c'est que leur stack logicielle actuelle — massivement constituée d'outils américains sous contrat SaaS — est elle-même un obstacle à la conformité.

NIS 2 impose des exigences concrètes : traçabilité des accès, localisation maîtrisée des données, capacité d'audit indépendante, notification d'incident sous 24 heures. Or, les contrats des grands acteurs américains — qu'il s'agisse de solutions de messagerie, de gestion des identités ou d'infrastructures cloud — intègrent structurellement des clauses qui limitent la portabilité des logs, soumettent les données à des juridictions extraterritoriales et rendent l'audit tiers techniquement complexe, voire contractuellement restreint. Le DSI qui tente de cocher les cases NIS 2 avec une stack pensée pour la commodité, et non pour la souveraineté, se heurte à un mur invisible : celui du verrouillage par conception.

Choisir sa stack NIS 2 : le critère de réversibilité avant tout

La question n'est pas de savoir quel outil coche le plus de cases dans un tableau comparatif de conformité. La question est : en cas d'incident, d'audit ou de rupture contractuelle, l'entreprise garde-t-elle le contrôle effectif de ses données et de ses preuves d'activité ?

Ce critère de réversibilité effective — pas celle annoncée dans les CGU — est le premier filtre à appliquer. Il oriente naturellement vers des solutions dont le code est auditable, dont les données sont hébergées sur infrastructure européenne certifiée, et dont les contrats ne contiennent pas de clauses de transfert unilatéral vers des juridictions tierces. Des acteurs comme Infomaniak ou 3DS OUTSCALE, qualifiés SecNumCloud ou engagés dans cette démarche, répondent à ce prisme. Ils ne sont pas cités ici comme références universelles, mais comme illustrations que l'alternative existe et est opérationnelle.

Le deuxième filtre est contractuel : toute solution retenue doit permettre un export complet et exploitable des données d'activité, sans délai ni surcoût, à tout moment. C'est un droit à négocier en amont, pas à découvrir lors d'un incident.

Attendre une version améliorée d'un outil américain pour être conforme NIS 2, c'est déléguer sa mise en conformité à un acteur dont les intérêts réglementaires ne sont pas alignés avec le droit européen. Pour les DSI qui ont deux ans de retard, le premier geste utile n'est pas de lancer un projet de conformité — c'est d'auditer les clauses contractuelles de leurs trois principaux fournisseurs logiciels.