Réglementation espagnole sur les data centers : « Une contrainte qui oblige les DSI à reprendre la main »

# Réglementation espagnole sur les data centers : « Une contrainte qui oblige les DSI à reprendre la main »

*En 2026, l'Espagne a franchi un cap législatif significatif en imposant des exigences de souveraineté numérique aux opérateurs de data centers actifs sur son territoire : localisation des données, audits de conformité, conditions d'accès pour les autorités nationales. Pour les entreprises européennes qui hébergent tout ou partie de leur SI en Espagne — ou qui envisagent de le faire — les implications dépassent largement le cadre technique. Nous avons échangé avec un DSI d'une ETI industrielle franco-espagnole, qui pilote depuis dix-huit mois la mise en conformité de son organisation.*

RiffLab Media : La réglementation espagnole sur les data centers a surpris beaucoup d'acteurs. Dans votre organisation, comment avez-vous perçu ce signal au départ ?

Franchement, comme la plupart des DSI en Europe, j'ai d'abord regardé ça comme un sujet réglementaire de plus à gérer. Un chantier de conformité parmi d'autres. Et puis, assez vite, on a réalisé que ce texte posait une question bien plus fondamentale : qui contrôle réellement l'infrastructure qui fait tourner notre activité ? Parce que quand on a commencé à cartographier nos dépendances, on a découvert que plusieurs de nos environnements hébergés en Espagne reposaient sur des fournisseurs dont la maison mère est américaine, soumise au Cloud Act. La loi espagnole ne nous a pas créé ce problème — elle nous a forcés à le voir.

Concrètement, les exigences portent sur la localisation effective des données, la traçabilité des accès, et la capacité à démontrer aux autorités compétentes que les données sensibles restent sous juridiction européenne. Pour une organisation comme la nôtre, avec des données industrielles et des données RH sur deux territoires, c'est une remise à plat sérieuse de la gouvernance.

Sur le plan organisationnel, quelles ont été les premières décisions structurantes ?

La première décision a été de ne pas traiter ça comme un projet IT isolé. On a constitué un groupe de travail qui réunit le juridique, la direction générale, la DSI et les métiers opérationnels. Parce que les arbitrages ne sont pas que techniques. Quand vous décidez de migrer un environnement vers un opérateur dont vous avez plus de visibilité sur la chaîne de contrôle, vous prenez une décision qui a des effets sur les coûts, sur les contrats en cours, sur les engagements clients.

Deuxième décision : on a mandaté un audit de dépendance. Pas uniquement sur les hébergeurs, mais sur l'ensemble de la chaîne — les outils de supervision, les solutions de backup, les connecteurs SaaS. On a cartographié jusqu'où remontait chaque flux de données. C'est là qu'on a eu les vraies surprises. Des données qui transitaient par des services tiers américains intégrés dans des outils qu'on croyait neutres.

La question des compétences internes est souvent le point aveugle de ces transitions. Qu'avez-vous observé dans votre équipe ?

C'est le sujet le plus difficile, et le moins visible de l'extérieur. Pendant des années, on a externalisé la connaissance. Les équipes internes savaient consommer des services cloud, mais elles avaient perdu — ou n'avaient jamais acquis — la capacité à évaluer, qualifier et contrôler un hébergeur. On dépendait de notre intégrateur pour nous dire si tel fournisseur était conforme. C'est un problème de gouvernance profond.

On a donc investi sur deux profils qu'on avait sous-estimés. D'abord, ce qu'on appelle en interne un « architecte de souveraineté » — quelqu'un qui connaît suffisamment bien les enjeux juridiques et techniques pour dialoguer avec les fournisseurs d'égal à égal, lire un contrat de service dans ses implications réelles, et poser les bonnes questions lors d'un appel d'offres. Ce n'est pas un juriste, ce n'est pas un ingénieur cloud, c'est un profil hybride qu'on a dû former en interne faute de le trouver sur le marché.

Ensuite, on a investi sur les compétences de gestion de la donnée — pas seulement sa protection, mais sa classification, son cycle de vie, sa localisation à tout instant. C'est un métier à part entière qu'on avait délégué aux outils. On l'a rapatrié.

Est-ce que cette réglementation espagnole crée selon vous une opportunité pour les opérateurs européens alternatifs, ou simplement un coût de conformité supplémentaire ?

Les deux, en même temps, et il faut être lucide là-dessus. Il y a clairement un coût de transition — en audit, en formation, en renégociation de contrats. Toute organisation qui prétend le contraire soit ne l'a pas encore réellement engagé, soit n'a pas mesuré l'ampleur du chantier.

Mais il y a aussi une opportunité structurelle. Les opérateurs européens qui peuvent démontrer une chaîne de contrôle claire — localisation certifiée, absence de transfert hors UE, capacité d'audit — ont aujourd'hui un avantage concurrentiel réel qu'ils n'avaient pas il y a cinq ans. Parce que la demande existe enfin. Des acteurs comme Interxion ou des opérateurs locaux certifiés sous cadre européen se retrouvent en position de répondre à des appels d'offres qu'ils auraient perdus d'emblée face aux hyperscalers américains. La réglementation espagnole, comme le schéma européen de certification EUCS qui se déploie en parallèle, crée les conditions d'un rééquilibrage. Encore faut-il que les DSI sachent l'exploiter.

Comment gérez-vous la résistance interne ? Les équipes et les métiers ne sont pas toujours enthousiastes à l'idée de changer d'outils ou d'hébergeurs.

La résistance est réelle et elle est légitime. Quand une équipe métier travaille depuis des années avec un outil qui s'intègre bien dans ses processus, lui demander d'en changer au nom de la conformité réglementaire, c'est lui imposer un effort sans bénéfice immédiat visible pour elle. Il faut être honnête là-dessus.

Ce qui a changé la dynamique chez nous, c'est de poser la question autrement. Plutôt que de parler de conformité — mot qui tue toute conversation productive — on a parlé de risque opérationnel concret. On a montré à la direction commerciale ce qui se passerait si un partenaire américain décidait unilatéralement de modifier ses conditions d'accès, ses tarifs ou sa politique de données. On l'a vu sur d'autres segments. Ce n'est pas hypothétique. Et là, le discours a changé. La souveraineté numérique est devenue une question de résilience d'activité, pas une injonction réglementaire abstraite.

Dernière question : quel conseil donneriez-vous à un DSI d'ETI européenne qui regarde cette réglementation espagnole de loin, en se disant que ça ne le concerne pas encore ?

Je lui dirais que l'Espagne n'est pas une exception. C'est un laboratoire. La directive NIS2, le Data Act, le cadre EUCS — tout indique que la pression réglementaire sur la localisation et le contrôle des données va s'étendre à l'ensemble du marché européen. L'Espagne a juste accéléré ce mouvement sur son territoire.

Et surtout, je lui dirais ceci : la réglementation n'est pas le vrai sujet. Le vrai sujet, c'est de savoir si son organisation est capable, aujourd'hui, de répondre à la question : « Où sont vos données, qui peut y accéder, et sous quelle juridiction ? » Si la réponse est floue, il ne faut pas attendre qu'une loi le force à clarifier. Parce qu'à ce moment-là, ce sera dans l'urgence, avec les mauvaises décisions que ça implique. Mieux vaut reprendre la main maintenant, à son rythme, avec une vraie stratégie.

*Propos recueillis par la rédaction de RiffLab Media. L'interlocuteur a souhaité conserver l'anonymat.*