Cloud Act, NIS2 : votre DSI est-il exposé sans le savoir ?

Le Cloud Act et la directive NIS2 exposent aujourd’hui la plupart des entreprises, souvent sans qu’elles le sachent. En effet, une autorité étrangère peut accéder à vos données dès qu’elles transitent par un prestataire soumis au droit américain. De plus, de nouvelles obligations de cybersécurité concernent peut-être votre organisation, même si elle ne s’est jamais vue comme une cible. Pour un DSI, le vrai risque n’est donc pas l’attaque spectaculaire : c’est l’exposition silencieuse, celle qu’aucun tableau de bord n’affiche. Faisons le point, sans jargon.

Cloud Act et NIS2 : deux textes qui exposent votre entreprise

Le Cloud Act est une loi fédérale que le Congrès américain a adoptée le 23 mars 2018. Concrètement, elle autorise les autorités des États-Unis à exiger d’un fournisseur soumis au droit américain la communication de données, où qu’elles soient stockées dans le monde.

La directive NIS2 (directive européenne 2022/2555) est le second volet de la réglementation européenne sur la cybersécurité. Elle impose ainsi des obligations de sécurité et de déclaration d’incident à des dizaines de milliers d’entreprises, bien au-delà des seuls opérateurs critiques historiques.

Ces deux textes n’ont ni le même auteur, ni le même but. Mais ils convergent vers un même constat pour le DSI : la localisation de vos serveurs ne suffit plus à garantir la maîtrise de vos données, et le périmètre des entreprises « concernées » s’est fortement élargi. Comprendre ces deux cadres, c’est déjà réduire son exposition.

Cloud Act : pourquoi vos données restent accessibles même hébergées en Europe

Héberger ses données en France ou en Europe ne les met pas hors de portée du Cloud Act. Ce qui compte, ce n’est pas l’endroit où vous stockez la donnée, mais le droit dont dépend le prestataire qui la détient.

Le Cloud Act s’applique à toute entité rattachée aux États-Unis :

• les entreprises américaines (grands fournisseurs de cloud, de messagerie ou de logiciels) ;
• toute filiale européenne d’une société mère américaine ;
• une entreprise étrangère ayant une activité aux États-Unis.

Concrètement, si un fournisseur relevant du droit américain héberge vos e-mails, vos fichiers ou vos données RH, une autorité des États-Unis peut en demander la communication. Par ailleurs, aucune procédure d’entraide judiciaire internationale n’entre en jeu, et l’entreprise concernée ne reçoit aucune information.

Cette situation crée un conflit juridique direct avec le RGPD. L’article 48 du RGPD prévoit qu’un transfert de données personnelles vers une autorité d’un pays tiers ne peut, en principe, reposer que sur un accord international. D’ailleurs, le Contrôleur européen de la protection des données juge le Cloud Act potentiellement contraire au RGPD. Résultat : le DSI se retrouve pris en tenaille. Se conformer à une demande américaine peut violer le RGPD. À l’inverse, la refuser l’expose à une sanction américaine.

À retenir : la question n’est pas « où sont mes données ? » mais « qui, juridiquement, peut être contraint d’y accéder ? ».

NIS2 : votre entreprise est-elle « essentielle » ou « importante » ?

NIS2 classe les organisations concernées en deux catégories, selon leur secteur et leur taille. En France, la loi « résilience des infrastructures critiques et cybersécurité » transpose la directive. Le législateur l’a adoptée en 2025, après l’échéance européenne manquée d’octobre 2024. Désormais, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) en est l’autorité de contrôle, via une plateforme d’enregistrement dédiée, MonEspaceNIS2.

Surtout, le changement d’échelle est majeur : on passe d’environ 500 organisations sous NIS1 à près de 15 000 entitésconcernées, réparties sur 18 secteurs d’activité.

Beaucoup de dirigeants pensent que NIS2 ne vise que les hôpitaux, les énergéticiens ou les grands groupes. C’est faux : au contraire, de nombreuses ETI et PME entrent dans le périmètre en tant qu’entités importantes, souvent sans l’avoir identifié. Première action utile : vérifier votre secteur et vos seuils, puis vous enregistrer auprès de l’ANSSI.

5 signaux que votre DSI est exposé sans le savoir

Voici cinq signaux concrets qui indiquent une exposition au Cloud Act, à NIS2, ou aux deux. Dès lors, si vous cochez ne serait-ce que deux cases, un audit s’impose.

1. Vos outils métier reposent sur des services SaaS américains (messagerie, stockage, visioconférence, CRM) sans que le rattachement juridique du fournisseur ait été analysé.
2. Vous n’avez pas de cartographie à jour de vos données : vous ne savez pas précisément où elles sont, qui les héberge et sous quel droit.
3. Vos sous-traitants n’ont jamais été audités sur leur propre chaîne d’hébergement et leurs prestataires.
4. Aucune analyse NIS2 n’a été formalisée : personne, en interne, n’a tranché la question « sommes-nous entité essentielle ou importante ? ».
5. La gouvernance cyber ne remonte pas au comité de direction : la sécurité reste un sujet technique, sans validation ni suivi par les dirigeants.

Ces signaux ont un point commun : ils décrivent une exposition invisible, non pilotée. C’est précisément ce que NIS2 veut corriger, et ce que le Cloud Act rend risqué.

Ce que vous risquez concrètement

L’exposition n’est pas qu’un sujet de principe. En effet, elle a un coût réglementaire, financier et personnel.

Sanctions NIS2. Les montants suivent la logique du RGPD :

• Entité essentielle : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial ; l’autorité retient alors le montant le plus élevé.
• Entité importante : jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial.

Responsabilité des dirigeants. NIS2 introduit une nouveauté : les organes de direction doivent approuver les mesures de gestion du risque cyber, en suivre la mise en œuvre et se former. Pour les entités essentielles, l’autorité peut, en dernier recours, interdire temporairement à un dirigeant d’exercer ses fonctions de direction. Ainsi, la cybersécurité devient une responsabilité de gouvernance, pas seulement une affaire de DSI.

Risque Cloud Act cumulé au RGPD. Une demande d’accès fondée sur le Cloud Act peut vous placer en infraction avec le RGPD, dont les amendes atteignent 20 millions d’euros ou 4 % du chiffre d’affaires. Le risque n’est donc pas seulement une fuite de données : c’est une double insécurité juridique.

À retenir : l’inaction coûte désormais plus cher que la mise en conformité.

Comment réduire votre exposition

Réduire son exposition ne signifie pas tout reconstruire. Cela signifie reprendre la maîtrise, étape par étape.

• Cartographier vos données et vos flux. Identifiez ce que vous détenez, où c’est hébergé et sous quel droit relève chaque prestataire. C’est le socle de toute décision.
• Qualifier votre statut NIS2. Déterminez si vous êtes entité essentielle ou importante, puis enregistrez-vous auprès de l’ANSSI et formalisez un plan de mise en conformité.
• Interroger la souveraineté de vos hébergeurs. Privilégiez des solutions relevant exclusivement du droit européen. Le label SecNumCloud de l’ANSSI constitue un repère fiable pour un cloud de confiance, à l’abri des lois extraterritoriales.
• Faire remonter la cybersécurité au niveau de la direction. Une gouvernance claire, validée par le comité de direction, répond à la fois à l’exigence NIS2 et au besoin de pilotage du risque.

Ces quatre chantiers sont progressifs. Ainsi, en les menant dans l’ordre, vous transformez une exposition subie en risque maîtrisé.

Conclusion

Le Cloud Act et NIS2 ont changé la donne pour les DSI du secteur privé. La localisation des serveurs ne protège plus, et le périmètre des entreprises concernées s’est élargi bien au-delà des acteurs critiques historiques. La bonne nouvelle : l’exposition se mesure et se réduit, à condition de la regarder en face. Cartographier, qualifier son statut NIS2, choisir des hébergeurs souverains et faire de la cybersécurité un sujet de direction : quatre leviers accessibles dès maintenant.

Pour échanger sur ces enjeux avec d’autres DSI, du public comme du privé, et confronter vos pratiques à celles de vos pairs, rejoignez le Club DSI UNOWHY : un espace d’échange dédié à la souveraineté numérique et à la maîtrise du risque.