Le risque du cloud : comment les pays de l’UE échappent à la dépendance à Microsoft

Allemagne, France, Italie : directives et exigences pour une sécurité accrue sur les cloud

L’architecture de sécurité européenne est menacée depuis longtemps — et pas seulement par la guerre en Ukraine. Depuis plusieurs années, les experts en géopolitique alertent sur l’émergence d’une guerre hybride, menée par les grandes puissances autoritaires comme la Russie et la Chine, contre les États occidentaux. L’une de leurs cibles privilégiées : les infrastructures numériques des institutions publiques, des organismes gouvernementaux et des entreprises opérant dans des secteurs critiques tels que la finance, la santé, l’énergie ou les transports.

Dans ce contexte, la numérisation croissante de notre société apparaît davantage comme une vulnérabilité que comme un progrès. Plus nos systèmes deviennent numériques, plus ils s’exposent à des attaques visant leurs fondations matérielles et logicielles. Le sabotage de câbles sous-marins en mer Baltique, les cyberattaques contre des administrations et des hôpitaux, ou encore les récentes fuites de données dans le cloud (comme chez Microsoft) en sont des exemples parlants.

Réglementation européenne et nationale pour une sécurité renforcée dans le cloud

Dans l’Union européenne, les entreprises et les institutions publiques sont soumises à plusieurs obligations réglementaires lorsqu’elles ont recours à des services cloud. Le Règlement général sur la protection des données (RGPD) reste la référence, mais il s’accompagne de lois nationales sur la protection des données, de normes de sécurité et de réglementations propres à chaque secteur, qui peuvent varier d’un pays à l’autre.

Depuis l’arrêt Schrems II rendu par la Cour de justice de l’Union européenne en juillet 2020 (qui a invalidé le Privacy Shield encadrant les transferts de données entre l’UE et les États-Unis) ces exigences se sont durcies. Les exportateurs de données doivent désormais s’assurer que les droits des personnes concernées sont protégés à un niveau équivalent à celui de l’UE avant tout transfert vers un fournisseur cloud établi dans un pays tiers.

Nous nous penchons donc sur les réglementations spécifiques en vigueur dans les trois plus grands pays de l’UE (l’Allemagne, la France et l’Italie) concernant les autorités, les organismes publics et les entreprises critiques, dans le but de renforcer la sécurité et la souveraineté des données dans le cloud. Nous expliquons également pourquoi, en pratique, l’Union des municipalités de Romagna Forlivese (UCRF), située dans le nord de l’Italie, a fait le choix d’utiliser des licences Microsoft d’occasion en local plutôt que de migrer vers le cloud.

Exemple pays 1 : Allemagne

En Allemagne, l’utilisation des services cloud n’est pas interdite, mais elle est soumise à une réglementation particulièrement stricte. Pourtant, les risques liés à ces services restent souvent sous-estimés, y compris par les institutions publiques. D’après la Gesellschaft für Informatik (GI), au moins six Länder prévoient actuellement de déployer Teams ou Microsoft 365 dans leurs administrations. Ce choix renforce la dépendance au cloud de Microsoft, tout en mettant en péril la souveraineté des données et la protection des citoyens.

Les principaux risques concernent la sécurité ainsi que l’évolution imprévisible des coûts de licences. Il est donc essentiel que les entreprises critiques, les institutions publiques et les administrations veillent à :

• Leurs données sont traitées en toute sécurité
• Le fournisseur cloud respecte les RGPD
• Les exigences sectorielles sont prises en compte
• La conformité aux règles internes est assurée
• Autant que possible, elles privilégient les fournisseurs nationaux ou européens comme IONOS, T-Systems ou

Secteur financier : L’Autorité fédérale de surveillance financière allemande (BaFin) impose des exigences spécifiques via ses directives MaRisk et BAIT.

Secteur santé : En plus des RGPD et de la BDSG, la loi sur la protection des données des patients (PDSG) impose que les données sensibles soient stockées et traitées en Allemagne ou dans l’UE.

Exemple pays 2 : France

La France applique des règles similaires à celles de l’Allemagne. Le RGPD s’y applique également, complété par des lois nationales sur la sécurité et la souveraineté numérique.

Points clés :

Outre le RGPD, la Loi Informatique et Libertés, encadrée par la CNIL, garantit la protection et la localisation des données personnelles. Les industries sensibles (infrastructures critiques, institutions publiques, etc.) ne peuvent utiliser que des fournisseurs certifiés comme SecNumCloud. En général, la France favorise les fournisseurs nationaux ou européens et promeut les solutions souveraines. Le gouvernement a conclu des partenariats avec Orange ou Capgemini pour créer une alternative souveraine aux fournisseurs américains comme Microsoft, AWS ou Google.

Secteur financier : L’Autorité de Contrôle Prudentiel et de Résolution (ACPR) impose des exigences spécifiques comparables à celles de la BaFin.

Secteur santé : le stockage des données de santé est encadré par des réglementations particulièrement strictes, comme celles définies par l’Hébergeur de Données de Santé (HDS). Les prestataires cloud souhaitant héberger ou traiter ce type de données doivent obtenir la certification HDS. En conséquence, les hôpitaux et les compagnies d’assurance, par exemple, privilégient le stockage et le traitement des données de santé dans leurs propres centres de données sur site, renonçant ainsi le plus souvent aux solutions cloud.

Exemple pays 3 : Italie

En Italie, les règles suivantes s’appliquent à l’usage du cloud :

• Outre les RGPD, le Codice della Privacy impose des exigences strictes pour le traitement des données personnelles
• Les institutions publiques doivent prioriser les fournisseurs nationaux ou européens
• Des normes de cybersécurité s’appliquent aux infrastructures critiques
• L’Italie soutient l’usage du cloud souverain européen, comme Polo Strategico Nazionale (PSN)
  

L’Italie a mis en place une stratégie spécifique, structurée en trois catégories, pour l’utilisation des services cloud dans les institutions et l’administration publiques :

1. La priorité est donnée à l’usage du cloud national PSN, dans lequel doivent être hébergées les données critiques et hautement sensibles des organismes publics.
2. Les services cloud de fournisseurs européens peuvent également être utilisés, à condition qu’ils respectent le RGPD ainsi que les autres normes de sécurité nationales.
3. Pour les données moins sensibles, les fournisseurs cloud internationaux sont autorisés, mais uniquement s’ils répondent à des exigences nationales strictes en matière de sécurité et de protection des données — ce qui est rarement le cas.

Secteur financier : la banque centrale italienne, la Banca d’Italia, et l’autorité de régulation des marchés, la CONSOB, ont établi des exigences spécifiques pour les banques et les prestataires de services financiers, portant notamment sur la localisation des données et les normes de sécurité applicables aux services cloud.

Santé : comme en France et en Allemagne, l’Italie impose des règles strictes concernant les données de santé hautement sensibles, notamment en matière de stockage et de traitement, qui doivent impérativement s’effectuer au sein de l’Union européenne.

Exemple en Italie : une administration communale fait le choix de privilégier des logiciels d’occasion plutôt qu’une solution cloud

L'Union des communes de la Romagne Forlivese (UCRF) cherchait une solution pour répondre à ses besoins en licences logicielles pour un cluster VMWare, tout en anticipant ses besoins futurs, le tout sans dépasser un budget restreint. L’UCRF a choisi d’acheter des licences logicielles d’occasion auprès de PREO, une solution qui combine à la fois des avantages financiers significatifs, conformité réglementaire et flexibilité.

Point particulièrement important : l’achat de logiciels d’occasion pour une utilisation sur site a permis de réduire d’environ 50 % les coûts de licence par rapport aux versions neuves équivalentes — un critère décisif, comme le souligne le Dr Riccardo Raffaelli, responsable du département des systèmes d’information :
« Comme dans toute administration publique, l’aspect économique est essentiel, car il s’agit de gérer les fonds publics avec rigueur et responsabilité. La possibilité de réduire durablement les coûts de licence en optant pour des logiciels d’occasion constitue une excellente alternative, notamment pour les administrations publiques. » 

Vous pouvez lire l’intégralité du témoignage client ici.

L’Union des communes de la Romagne Forlivese (UCRF) a été fondée en 2014, à la suite de la fusion de trois entités : l’Unione Montana Acquacheta - Romagna Toscana, la Comunità Montana dell’Appennino Forlivese et l’Associazione di Comuni della Pianura Forlivese. Aujourd’hui, l’Union regroupe 14 communes et représente plus de 67 000 habitants.

Avec PREO, vous faites confiance à un fournisseur B2B expérimenté et réputé.

PREO propose aux entreprises, organisations et administrations publiques un large choix de licences d’occasion, utilisables sur site ou intégrables dans des solutions cloud hybrides. Cela inclut aussi bien les versions récentes que les anciennes de logiciels standard largement répandus, développés par des éditeurs majeurs tels que Microsoft ou Adobe. Quels que soient vos besoins, avec PREO, vous bénéficiez de tous les avantages suivants :

• Des économies substantielles sur les coûts de licence, pouvant aller jusqu’à 70 % par rapport aux versions neuves équivalentes.
     
  
• L’acquisition de licences 100 % conformes à la législation et aux exigences d’audit, avec une transparence totale à chaque étape du processus — y compris une documentation complète accessible via le portail de licences PREO « Easy Compliance ».
  
  
• Un accompagnement personnalisé pour toutes les questions liées aux transactions de licences ou à l’intégration de licences logicielles d’occasion dans des réseaux traditionnels ou des environnements cloud hybrides.
  
  
• Des compétences éprouvées en gestion de licences logicielles, y compris pour des projets d’infrastructure IT à grande échelle, couvrant des milliers de postes et plusieurs sites internationaux.
  
  
• Une démarche plus durable dans le secteur informatique, grâce à l’encouragement actif de l’économie circulaire et à la réduction de l’empreinte carbone des entreprises.
  
  
• À ce titre, PREO est le seul distributeur de logiciels d’occasion actuellement référencé par une Scorecard d’EcoVadis, le principal organisme mondial d’évaluation en matière de durabilité.
  
  
• Une expertise reconnue, acquise à travers de nombreux projets menés avec succès pour des entreprises de renom issues de secteurs variés.

Faites une demande dès maintenant, sans aucun engagement