Blog Souveraineté cloud et conformité en Europe : NIS2, DORA et EU AI Act

Pourquoi la localisation physique ne garantit plus la conformité

Choisir un centre de données situé dans les limites d'une frontière nationale suffisait autrefois à qualifier une charge de travail de "conforme". Cette certitude a discrètement cessé d'être vraie. Le simple fait qu'un serveur soit hébergé à Francfort ou à Amsterdam ne garantit en rien l'absence de contraintes légales étrangères exigeant la remise de vos données — une faille précise que les régulateurs s'emploient à combler depuis trois ans.

Trois cadres réglementaires convergent aujourd'hui vers une même interrogation : au-delà de l'emplacement des données, qui a le pouvoir d'y accéder, et êtes-vous en mesure de le démontrer lors d'un audit ? NIS2 s'impose à plus de 160 000 entités réparties dans 18 secteurs d'activité, et les autorités européennes de protection des données ont infligé plus de 5,9 milliards d'euros d'amendes au titre du RGPD depuis mai 2018, selon le suivi des données du GDPR Enforcement Tracker par Vision Compliance. DORA s'applique aux entités financières de l'UE et à leurs fournisseurs de services TIC critiques. L'EU AI Act vient y ajouter des obligations strictes d'infrastructure pour les systèmes d'IA à haut risque.

Les enjeux commerciaux évoluent à la même vitesse. L'étude d'Insight sur le trilemme de la souveraineté numérique, menée par Coleman Parkes entre décembre 2025 et janvier 2026 auprès de 900 décideurs de haut niveau d'entreprises de plus de 500 salariés dans neuf pays européens, révèle que 67 % des organisations considèrent déjà la souveraineté numérique comme un enjeu stratégique critique. Ce chiffre grimpe à 78 % d'ici un à deux ans et à 82 % à horizon trois ans. 55 % citent la complexité réglementaire parmi leurs défis stratégiques majeurs, et 43 % ont déjà fait valoir de solides garanties de souveraineté pour remporter ou reconduire des contrats. S'agissant d'une étude commanditée par un prestataire et non de statistiques officielles, ces données traduisent une orientation globale du marché plutôt qu'une vérité absolue.

L'analyse qui suit dresse la cartographie du paysage réglementaire tel qu'il se présente en 2026, détaille les exigences réelles de chaque cadre sur votre architecture cloud et explique comment les organisations s'appuyant sur Azure, AWS ou Google Cloud peuvent atteindre une posture prête pour la souveraineté, sans subir de surcoût de conformité injustifiable en interne.

Le mille-feuille réglementaire européen : pourquoi il agit comme un système unifié

Le RGPD, NIS2, DORA et l'AI Act ne constituent pas quatre listes de contrôle indépendantes, bien que la plupart des équipes de conformité continuent de les traiter ainsi. En 2026, ces textes convergent vers trois objectifs identiques : savoir précisément où résident les données, contrôler qui peut y accéder et prouver — éléments factuels à l'appui et non sur de simples déclarations — votre capacité à maintenir vos activités en cas de défaillance ou d'audit.

Ce chevauchement est particulièrement marqué dans les secteurs de la finance, de la santé, de l'énergie et du secteur public, où une unique faille de contrôle peut déclencher des obligations simultanées sous deux ou trois régimes différents.

NIS2 : des obligations de cybersécurité sur 18 secteurs, assorties d'une responsabilité personnelle

NIS2, la directive révisée sur la sécurité des réseaux et des systèmes d'information adoptée par l'UE en 2023, remplace un texte initial plus restreint par des obligations impératives couvrant plus de 160 000 entités. Elle introduit des exigences en matière de gestion des risques, la responsabilité directe des organes de direction, des délais stricts de notification des incidents et des mandats de sécurité sur la chaîne d'approvisionnement, avec une responsabilité personnelle des dirigeants engagée en cas de non-conformité avérée.

La directive classe les organisations assujetties en deux catégories :

• Entités essentielles : les grands opérateurs des secteurs de l'énergie, des transports, de la banque, de la santé et des infrastructures numériques, soumis à une supervision proactive et aux mesures d'exécution les plus strictes.
• Entités importantes : les entreprises de taille intermédiaire (ETI) des mêmes secteurs, soumises au même niveau d'exigences techniques, mais à une surveillance réactive et non proactive.

Quatre éléments clés qu'un conseil d'administration doit être en mesure de démontrer sous NIS2 :

1. La gouvernance du risque. La direction approuve les mesures de cybersécurité et en supervise la mise en œuvre ; ne pas le faire peut engager sa responsabilité personnelle.
2. Les exigences de sécurité. L'article 21 de la directive NIS2 définit les mesures fondamentales, notamment la gestion des incidents, la continuité d'activité et la gestion de crise.
3. La sécurité de la chaîne d'approvisionnement. Les pratiques de cybersécurité de vos fournisseurs et prestataires de services doivent faire l'objet d'évaluations rigoureuses, au même titre que vos propres systèmes.
4. La notification des incidents. Les entités essentielles doivent notifier le CSIRT national compétent (l'ANSSI en France) dans les 24 heures suivant la détection d'un incident significatif, puis fournir un rapport complet sous 72 heures.

En pratique, NIS2 impose une rigueur d'identification stricte, la journalisation infalsifiable, la gouvernance des tiers et la notification d'incidents sous des délais contraints directement au niveau de la couche plateforme. Le mot d'ordre est la démontrabilité : un auditeur doit pouvoir tracer vos contrôles via votre télémétrie et vos journaux de modifications, sans se contenter d'attestations déclaratives.

Les sanctions sont bien réelles et échelonnées : les entités essentielles encourent des amendes allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu), tandis que les entités importantes risquent jusqu'à 7 millions d'euros ou 1,4 % de leur chiffre d'affaires. Ces plafonds s'appliquant par État membre, une entreprise possédant des filiales dans plusieurs pays de l'UE s'expose à des sanctions cumulées dans chaque juridiction.

DORA : la résilience opérationnelle comme preuve factuelle et non comme simple plan théorique

Le règlement sur la résilience opérationnelle numérique du secteur financier (DORA) fixe des normes de résilience impératives pour les entités financières de l'UE ainsi que pour leurs prestataires de services TIC. Entré en vigueur avec pleine applicabilité en janvier 2025, il exige des stratégies de sortie documentées et testées vis-à-vis des fournisseurs critiques, des droits d'audit contractuels, des mesures de contrôle du risque de concentration informatique et un suivi continu des tiers.

Le champ d'application est déterminé par l'activité et non par l'effectif : une FinTech de 50 personnes traitant des paiements est soumise aux mêmes obligations réglementaires qu'une grande banque de détail.

DORA standardise la gestion du risque TIC à l'échelle de l'industrie : basculements testés en conditions réelles, objectifs de temps de reprise (RTO) et de perte de données maximale admissible (RPO) mesurés, tests de pénétration fondés sur la menace (TLPT) lorsque requis, et un registre d'information sur les accords TIC tiers qui reflète fidèlement la réalité des environnements de production. La résilience est définitivement devenue une exigence fonctionnelle produit plutôt qu'une simple ligne dans un plan de reprise d'activité.

C'est sur le plan architectural que l'impact est le plus fort. La stratégie de sortie obligatoire imposée par l'article 28 exige des entités financières qu'elles maintiennent un plan documenté, testé et auditable pour se désengager de tout fournisseur TIC critique sans interrompre leurs services. Si votre infrastructure est étroitement liée aux API propriétaires d'un seul hyperscaler, ce "plan de sortie" risque de se transformer en un projet de migration de plusieurs années : autant dire une dépendance critique déguisée sous une étiquette de conformité.

Ce que les institutions financières européennes doivent mettre en œuvre dès maintenant :

1. Auditer l'ensemble des contrats cloud existants au regard des exigences de stratégie de sortie de l'article 28.
2. Classifier les traitements applicatifs selon leur criticité et identifier ceux qui dépendent de services gérés exclusifs à un seul fournisseur.
3. Formuler la documentation de l'architecture de sortie au niveau de l'entreprise, avant qu'une situation de crise n'impose une décision dans l'urgence.
4. S'assurer que le registre des risques liés aux tiers TIC couvre la totalité des fournisseurs cloud et fait l'objet d'un suivi continu plutôt que d'une révision ponctuelle.

L'EU AI Act : une obligation d'infrastructure dissimulée au cœur d'un règlement IA

Le règlement européen sur l'IA (Règlement 2024/1689) constitue la première législation d'envergure spécifiquement dédiée à l'intelligence artificielle. Il classe les systèmes selon leur niveau de risque et impose des règles de gouvernance des données, d'auditabilité et des exigences d'infrastructure pour les IA à haut risque. Son application devient pleinement effective le 2 août 2026, avec des sanctions pouvant atteindre jusqu'à 7 % du chiffre d'affaires annuel mondial.

De nombreux éditeurs de logiciels SaaS n'ont pas conscience d'être concernés : les outils d'évaluation de la solvabilité dans la FinTech, la sélection automatisée de CV dans la HR Tech ou les modules intégrés à des dispositifs médicaux dans la HealthTech relèvent souvent des catégories à haut risque définies à l'Annexe III. Le défi d'infrastructure est immédiat : les solutions SaaS exécutées sur des services d'IA mutualisés des hyperscalers sont généralement incapables de fournir le niveau de traçabilité matérielle requis par le texte. Les environnements souverains ou hébergés en propre permettent de documenter l'intégralité du lignage des données (*data lineage*), là où les services multi-tenants managés échouent historiquement.

Pour les équipes d'architecture système, cela implique d'isoler les environnements d'entraînement et d'inférence, de documenter rigoureusement les jeux de données, de conserver les artefacts d'évaluation et de garantir des procédures de retour en arrière (*rollback*) — des exigences bien plus simples à satisfaire lorsque votre périmètre de données et votre gestion des clés relèvent d'une seule et même juridiction claire.

Résidence vs souveraineté des données : la nuance déterminante pour votre conformité

L'erreur la plus coûteuse commise actuellement dans les projets cloud en Europe consiste à confondre résidence et souveraineté des données. Ces deux notions sont distinctes, et c'est dans l'écart qui les sépare que réside la majeure partie de votre exposition juridique.

Un hyperscaler américain opérant des serveurs sur le sol européen vous offre la résidence des données. Il ne vous garantit en aucun cas la souveraineté : le droit américain peut exiger la communication des données indépendamment de l'emplacement physique des équipements. Selon l'analyse réalisée par SoftwareSeni sur le Cadre pour la souveraineté cloud de la Commission européenne (octobre 2025), les hyperscalers américains contrôlent plus de 70 % du marché du cloud dans l'UE et restent soumis à des lois extraterritoriales américaines — notamment le CLOUD Act et le FISA — qui permettent de sommer l'accès aux données quel que soit le lieu d'hébergement du serveur. La majorité des applications régulées exigent désormais une souveraineté stricte, et non une simple résidence, pour respecter le cadre légal.

Le scénario du "bouton d'arrêt général" : pourquoi la seule géolocalisation ne vous protège pas

L'étude d'Insight sur le trilemme de la souveraineté numérique résume parfaitement cet enjeu : 67 % des décideurs déclarent que le maintien de la souveraineté numérique constitue un facteur critique dans leurs décisions stratégiques actuelles, une proportion qui s'élève à 78 % d'ici un à deux ans et à 82 % à horizon trois ans. Le secteur public mène cette transition, avec 73 % d'organisations considérant la souveraineté numérique comme essentielle à leurs choix stratégiques, traduisant une priorité accrue accordée à la sécurité nationale et à la protection juridique.

Sur le plan opérationnel, la résilience repose aujourd'hui sur la souveraineté numérique : la capacité de conserver le contrôle technique absolu de vos systèmes et de vos clés de chiffrement, à l'abri de toute ingérence extérieure. L'illustration formulée par Insight est directe : imaginez qu'une juridiction étrangère exerce son autorité sur votre fournisseur cloud et exige l'activation d'un "kill switch" (bouton d'arrêt) sur vos systèmes d'information. Il ne s'agit plus d'un incident informatique mineur, mais d'une menace majeure pour la continuité d'activité, sans solution de contournement rapide une fois le signal envoyé. La même étude indique que 32 % des entreprises priorisent désormais la résilience et la continuité de la chaîne d'approvisionnement lors de l'évaluation de leur stratégie cloud, loin devant la maîtrise des coûts (20 %) ou la rapidité de mise sur le marché (16 %).

Même lorsque des mécanismes juridiques de transfert existent sur le papier, la majorité des comités exécutifs préfèrent désormais réduire leur exposition à la source : conserver les données sensibles et la télémétrie au sein de l'EEE, et détenir la maîtrise exclusive des clés sous juridiction européenne. Cette posture réduit le risque, simplifie les audits et sécurise la responsabilité des dirigeants en cas de contrôle.

Le coût réel de la non-conformité

Les impacts financiers de la non-conformité ne relèvent plus de la théorie. D'après l'analyse des sanctions effectuée par Vision Compliance, les autorités européennes de protection des données ont infligé environ 5,9 milliards d'euros d'amendes au titre du RGPD depuis son entrée en vigueur en mai 2018 (les 10 sanctions les plus élevées représentant à elles seules plus de 4,5 milliards d'euros). Par ailleurs, le rapport *Cost of a Data Breach 2025* d'IBM chiffre le coût moyen d'une violation de données dans l'UE à 4,57 millions d'euros. Remarque importante : les données mondiales de cette même étude d'IBM étant publiées en dollars (une moyenne globale de 4,44 millions USD, et 4,18 millions USD spécifiquement pour les violations sur le cloud public), veillez à comparer la donnée spécifique exprimée en euros pour la zone UE et à ne pas la confondre avec le chiffre global en dollars. Huit ans après l'entrée en application du texte, seule une minorité d'entreprises (34 %, selon l'étude *Cisco Data Privacy Benchmark 2025*) fait état d'une conformité totale au RGPD.

Côté dépenses inutiles, le constat est tout aussi documenté. L'étude Insight sur la souveraineté numérique évalue le gaspillage de capacité cloud en Europe à 24 % par an, principalement causé par des ressources inactives ou orphelines, un manque de visibilité globale sur les environnements et une gouvernance défaillante. L'essor de l'IA a provoqué à lui seul une hausse de 12 % des coûts d'hébergement en un an, et 56 % des organisations n'effectuent aucune évaluation du coût total de possession (TCO) avant de décider du placement de leurs charges de travail critiques.

Bâtir une architecture souveraine unifiée plutôt que de mener quatre projets de conformité en parallèle

L'erreur la plus fréquente ne réside pas dans l'absence d'un contrôle technique : elle consiste à traiter le RGPD, NIS2, DORA et l'AI Act comme des chantiers isolés qui ne se croisent jamais, alors même que ces réglementations partagent les mêmes exigences de contrôle, les mêmes chaînes de reporting et les mêmes modèles d'analyse des risques. En formalisant cet objectif commun — limiter le risque systémique, appliquer des contrôles auditables et protéger les données des citoyens européens — les arbitrages d'architecture s'imposent d'eux-mêmes.

Cinq principes fondamentaux caractérisent les architectures capables de surmonter un audit réglementaire européen :

1. Multi-région exclusivement européenne avec basculement vérifiable. Exploitez au moins deux zones indépendantes au sein de l'UE. Conservez la production, les instantanés (*snapshots*) et les copies de secours (DR) au sein de l'EEE. Planifiez des exercices de basculement à échéance régulière et conservez les preuves d'exécution avec la même rigueur que vos documents comptables.
2. Gestion déterministe des clés de chiffrement. Adoptez un service de gestion de clés (KMS) résidant dans l'UE avec une propriété clairement établie. Pour les charges de travail critiques, mettez en œuvre des modèles BYOK (*Bring Your Own Key*) ou HYOK (*Hold Your Own Key*) reposant sur des racines de confiance matérielles (HSM) et une ségrégation des rôles de gestion.
3. Gouvernance stricte des flux sortants (egress). Bloquez les flux sortants par défaut. Énumérez les destinations autorisées au travers de règles de politique explicites et documentez la justification de chaque exception.
4. Traçabilité des opérations axée sur la preuve. Centralisez les journaux, l'historique des configurations et les accès privilégiés dans des puits de données immuables à durée de vie contrôlée. La plateforme doit pouvoir répondre précisément aux questions *qui, quoi, quand et où* sans recourir à des scripts développés dans l'urgence pendant un incident.
5. Réversibilité et portabilité dès la conception (*by design*). Concevez votre stratégie de sortie dès l'origine, et non après la signature des contrats. Privilégiez des images de machines virtuelles standardisées et des formats de données ouverts. Maintenez vos procédures de restauration et de migration sous contrôle de version et testez-les en conditions réelles : votre niveau de portabilité effectif correspond exactement au dernier test réussi.

Faire de la conformité un levier de compétitivité

La souveraineté ne doit pas nécessairement s'accompagner d'un surcoût financier permanent. Les entreprises qui tirent leur épingle du jeu en matière de conformité en Europe sont généralement celles qui l'intègrent comme un principe d'architecture dès le premier jour, plutôt que comme un correctif appliqué à la hâte à la suite d'un contrôle réglementaire.

La démarche portée par Insight consiste à concevoir des cadres d'architecture souverains qui garantissent la continuité des opérations H24, sans dépendre des révisions tarifaires des éditeurs ni des évolutions législatives régionales. Grâce aux évaluations FinOps et Cloud Hybride, Insight accompagne la rapatriation des charges de travail à forte intensité vers les environnements offrant le meilleur ratio coût-performance. Les retours d'expérience clients d'Insight font état d'une récupération moyenne de 12 % du budget d'hébergement, réinvestie directement dans les projets d'IA et de R&D (donnée issue des missions d'accompagnement menées par Insight).

Éviter le surcoût de la souveraineté grâce au FinOps

Sur sa page dédiée à la souveraineté numérique, Insight rappelle une analyse de Gartner : en négligeant d'évaluer le TCO avant de migrer leurs traitements (ce qui concerne 56 % des entreprises), la plupart des organisations s'acquittent à leur insu d'une surtaxe de 15 à 30 % pour des infrastructures estampillées "conformes". Les audits FinOps et Cloud Hybride conduits par Insight identifient des potentiels d'économies situés dans cette même tranche de 15 à 30 %, un indicateur interne constaté lors des missions d'optimisation qu'il convient de valider au regard de votre propre profil applicatif.

Les services FinOps d'Insight s'insèrent à n'importe quel stade de maturité : identification du gaspillage et des ressources inactives, alignement des équipes, optimisation des coûts et renforcement de la gouvernance, afin de garantir une meilleure maîtrise budgétaire et une synergie renforcée entre les directions financières et les équipes d'ingénierie.

Découvrez les services FinOps d'Insight pour identifier les leviers d'optimisation de vos coûts de conformité.

Préparation à NIS2 : de l'analyse d'écart au pilotage par la direction

L'approche de la conformité NIS2 développée par Insight s'appuie sur l'existant et intègre l'ensemble des directives européennes connexes, évitant de traiter NIS2 comme un chantier isolé et plaçant la gestion des risques et la notification d'incidents au cœur du dispositif. Insight propose un atelier de sensibilisation NIS2 pour accompagner les comités de direction, couplé à un service d'évaluation NIS2 permettant de mesurer les écarts et d'établir une feuille de route de mise en conformité sur mesure.

Les perspectives d'avenir pour la stratégie cloud en Europe

NIS2, DORA, l'EU AI Act et les directives européennes sur la souveraineté des données ne représentent pas des contraintes lointaines qu'il conviendrait de planifier à terme. Ce sont des risques d'entreprise immédiats, avec des contrôles effectifs, des amendes significatives et des risques réputationnels majeurs déjà observés sur le continent.

Les entreprises les mieux armées pour les prochaines années sont celles qui traitent la résilience opérationnelle, l'agilité et l'efficience budgétaire au sein d'un modèle stratégique unifié, plutôt que comme trois priorités divergentes. Intégrer la souveraineté dès la conception tout en préservant la flexibilité nécessaire pour s'adapter aux évolutions réglementaires est la seule approche pérenne, car le cadre réglementaire continuera d'évoluer.

Les organisations qui conçoivent leurs architectures pour la souveraineté dès le départ ne se contentent pas de mieux résister aux futurs chocs réglementaires. Elles transforment cette exigence en argument commercial pour conquérir de nouvelles parts de marché. La résilience a cessé d'être un centre de coûts défensif : elle est devenue un moteur de croissance.