HDS, NIS2, DORA, Data Act : faire de la conformité cloud une discipline d'ingénierie

Cinq textes, une seule question : savez-vous prouver que vous maîtrisez votre cloud ?

HDS, NIS2, DORA, Data Act, souveraineté : on présente généralement ces sujets comme cinq chantiers de conformité distincts, chacun avec son comité de pilotage, son cabinet de conseil et son tableur de suivi. C'est coûteux et, surtout, c'est faux. En lisant les exigences sous-jacentes plutôt que les titres, les mêmes quatre demandes reviennent systématiquement : savoir où se trouvent physiquement vos données et quelle loi leur est applicable, connaître vos fournisseurs critiques et leurs sous-traitants, détecter et notifier un incident en quelques heures, et être capable de quitter un fournisseur sans perdre le service.

Autrement dit, le régulateur européen a cessé de demander si vous avez une politique documentée pour demander si vous disposez d'une capacité opérationnelle démontrable. C'est un problème d'ingénierie de plateforme bien plus que de direction juridique. Cet article relie les cinq textes aux clauses contractuelles et aux pratiques techniques qui, concrètement, y répondent.

HDS : le ticket d'entrée sur la donnée de santé

La certification Hébergeur de Données de Santé est obligatoire dès lors que des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic ou de soins sont hébergées pour le compte d'un tiers. Elle a remplacé l'ancien agrément ministériel : c'est aujourd'hui une certification délivrée par un organisme accrédité COFRAC, construite sur ISO 27001, ISO 20000-1 et ISO 27018, complétée d'exigences spécifiques au secteur, et découpée en six activités d'hébergement allant de la mise à disposition de locaux physiques à l'infogérance applicative et à la sauvegarde externalisée.

Deux points sont systématiquement sous-estimés. D'abord, le certificat est périmétré. Un fournisseur certifié pour les activités 1 et 2 (infrastructure physique et infrastructure virtuelle) ne couvre en rien l'administration de votre plateforme applicative. Si vous exécutez Kubernetes sur un IaaS certifié et qu'un tiers opère vos clusters, cet infogérant doit détenir sa propre couverture sur les activités concernées. Les ruptures dans la chaîne de certification sont l'écart le plus fréquemment relevé lors des audits.

Ensuite, le référentiel a été actualisé en 2024 et a durci exactement les points qui touchent à la souveraineté : hébergement et traitement au sein de l'Union européenne, transparence sur les accès d'administration ou de support depuis un pays tiers, et traitement explicite de l'exposition aux lois extraterritoriales. Si votre charge de travail santé repose sur un hyperscaler doté d'un support mondial en follow-the-sun, ce n'est plus une note de bas de page mais un risque à documenter et à atténuer.

NIS2 : l'explosion du périmètre

La directive (UE) 2022/2555 remplace NIS1 et multiplie d'environ un ordre de grandeur le nombre d'organisations régulées en Europe. Elle vise les entités moyennes et grandes de dix-huit secteurs, réparties entre entités essentielles (énergie, transport, banque, santé, eau potable, infrastructure numérique, administration publique…) et entités importantes (services postaux, déchets, fabrication, fournisseurs numériques, agroalimentaire…). Les fournisseurs de services managés et de cloud sont explicitement inclus : une bonne partie de vos prestataires devient donc régulée en même temps que vous.

Le fond se trouve à l'article 21 : un socle de mesures de gestion des risques comprenant le traitement des incidents, la continuité d'activité et la gestion de crise, la sécurité de la chaîne d'approvisionnement, la gestion et la divulgation des vulnérabilités, la cryptographie, l'authentification multifacteur et les communications sécurisées. L'article 23 fixe le tempo que tout le monde retient : alerte précoce sous 24 heures après la prise de connaissance d'un incident significatif, notification complète sous 72 heures, rapport final sous un mois. Les organes de direction doivent approuver les mesures et peuvent voir leur responsabilité engagée — cette seule disposition a fait davantage pour les budgets sécurité que dix ans de sensibilisation.

La France a transposé tardivement, via sa loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, avec l'ANSSI comme autorité compétente. Le retard n'est pas une raison d'attendre : le délai de 24 heures n'est tenable que si la détection, le triage et la validation juridique ont déjà été répétés.

DORA : la résilience passe dans le contrat

Le règlement (UE) 2022/2554 s'applique au secteur financier depuis janvier 2025 et reste le plus prescriptif des cinq. Ses cinq piliers — gestion du risque TIC, classification et notification des incidents, tests de résilience opérationnelle numérique, gestion du risque lié aux tiers, partage d'informations — transforment la résilience en processus auditable.

Deux piliers ont des conséquences cloud directes. Le chapitre V impose un registre d'information recensant chaque accord contractuel avec un prestataire TIC, y compris les sous-traitants soutenant des fonctions critiques, les localisations de données et l'évaluation de substituabilité. Il est transmis aux autorités compétentes et il est impitoyable : les équipes découvrent leur véritable graphe fournisseurs — le SaaS d'observabilité, la flotte de runners CI, l'API LLM appelée depuis un parcours de paiement — au moment de le remplir. L'article 30 énumère ensuite les clauses contractuelles obligatoires : niveaux de service quantifiés, droits d'audit et d'inspection étendus au régulateur, notification des changements substantiels de sous-traitance, engagements de localisation, et stratégies de sortie assorties d'une période de transition durant laquelle le prestataire continue de fournir le service.

Le chapitre IV ajoute, pour les entités significatives, des tests de pénétration fondés sur la menace (TLPT, alignés sur TIBER-EU), tous les trois ans, sur des systèmes en production. Les prestataires tiers critiques — une courte liste d'hyperscalers et d'éditeurs majeurs — sont placés sous surveillance directe des autorités européennes de supervision, ce qui modifie le rapport de force contractuel pour tout le monde en aval.

Data Act : la réversibilité devient un droit par défaut

Le règlement (UE) 2023/2854 est applicable depuis septembre 2025 et son chapitre VI constitue le levier de souveraineté le plus concret jamais offert aux acheteurs européens. Il confère aux clients de services de traitement de données un droit légal de changer de fournisseur ou de rapatrier en interne : un préavis plafonné, une période de transition obligatoire d'au moins 30 jours avec mécanisme de prolongation lorsque la migration est réellement complexe, l'obligation d'exporter l'ensemble des données et actifs numériques exportables dans un format structuré, couramment utilisé et lisible par machine, et — la partie que les fournisseurs apprécient le moins — la suppression progressive des frais de changement et de sortie, totale début 2027.

Pour les services d'infrastructure, le texte va plus loin et impose une équivalence fonctionnelle : après migration, le client doit pouvoir obtenir un niveau de service matériellement comparable. Il n'oblige pas à ouvrir le code des PaaS, mais il impose de documenter interfaces, standards ouverts et compatibilités pour permettre la reconstruction. Le chapitre VII, souvent oublié, ajoute des garanties contre les accès illicites d'autorités de pays tiers aux données non personnelles détenues dans l'Union — écho direct aux exigences HDS 2024 et à la protection contre le droit extraterritorial portée par la qualification SecNumCloud.

Comparer les cinq régimes

Ce qui change réellement dans vos contrats

Les défaillances de conformité sont rarement techniques : ce sont des clauses qui n'ont jamais été négociées. Le socle minimal pour tout nouveau contrat cloud ou SaaS touchant à de la donnée régulée :

• Localisation des données et des traitements : régions et zones nommées, y compris pour les sauvegardes, les journaux, la télémétrie et les outils de support. C'est la télémétrie qui fait silencieusement sauter les engagements de résidence.
• Transparence de la sous-traitance : liste à jour, préavis en cas de changement substantiel, droit d'opposition lorsque le profil de risque évolue.
• Droits d'audit et d'inspection étendus au régulateur, avec acceptation des audits mutualisés comme alternative chez les hyperscalers.
• Notification d'incident dans une fenêtre compatible avec les 24 heures : demander une notification « dans les meilleurs délais » ne vaut rien quand vous devez une alerte précoce à l'ANSSI le lendemain matin.
• Plan de réversibilité : documenté, versionné, avec formats d'export, durée maximale de transition, continuité de service pendant la transition, migration assistée et suppression certifiée ensuite.
• Pas de taxe de sortie : frais d'egress et de changement alignés sur le calendrier Data Act, modèle de coût explicité dès la signature et non découvert pendant la migration.

Transformer les obligations en pratiques d'ingénierie

Le seul plan de réversibilité qui compte est celui que vous avez exécuté. Traitez la réversibilité comme une exigence non fonctionnelle assortie d'un test, pas comme une annexe PDF. Trois pratiques concentrent l'essentiel de la valeur.

1. Policy-as-code pour la résidence et le périmètre certifié. Imposez une liste blanche de régions en CI sur vos plans Terraform, pour qu'aucun bucket, base managée ou puits de logs ne sorte du périmètre certifié :

package m2c.residence

regions_autorisees := {"eu-west-3", "eu-west-1", "eu-central-1"}

deny[msg] {
  r := input.resource_changes[_]
  r.change.actions[_] != "delete"
  region := r.change.after.region
  not regions_autorisees[region]
  msg := sprintf("%s déployé en %s : hors périmètre certifié HDS/DORA", [r.address, region])
}

deny[msg] {
  r := input.resource_changes[_]
  r.type == "aws_s3_bucket"
  not r.change.after.tags.classification_donnees
  msg := sprintf("%s sans tag classification_donnees (sante/dcp/autre)", [r.address])
}

2. Un exercice de réversibilité planifié. Une à deux fois par an, reconstruisez une tranche représentative de la plateforme sur la cible alternative définie dans le plan de sortie, restaurez depuis les exports et mesurez le RTO réel. Le livrable alimente simultanément le registre DORA, la mesure de continuité NIS2 et l'audit HDS.

name: exercice-reversibilite
on:
  schedule: [{ cron: "0 3 1 */6 *" }]
jobs:
  reconstruction-cible-alternative:
    runs-on: self-hosted-eu
    steps:
      - run: make export-donnees-managees   # dumps SQL, objets, métadonnées secrets
      - run: terraform -chdir=sortie/ovh apply -auto-approve
      - run: make restaurer-et-verifier      # schéma, volumétrie, empreintes
      - run: make test-slo                   # contrôle d'équivalence fonctionnelle
      - run: make publier-preuves            # RTO, RPO, écarts -> registre conformité

3. Un registre fournisseurs unique, plusieurs consommateurs. Maintenez le registre d'information DORA comme source de vérité et générez à partir de lui l'inventaire chaîne d'approvisionnement NIS2, l'annexe sous-traitants HDS et le registre des traitements RGPD. Le stocker en données structurées dans Git plutôt que dans un tableur partagé est précisément ce qui rend cela possible.

Une séquence pragmatique sur douze mois

Commencez par la cartographie : inventaire fidèle des services, classification des données et graphe fournisseurs, puisque toutes les autres obligations en dépendent. Fermez ensuite les écarts contractuels sur les dix prestataires les plus critiques, en négociant fenêtres de notification, transparence de sous-traitance et conditions de sortie au renouvellement plutôt qu'en situation de crise. En parallèle, industrialisez la détection et la chaîne d'incident pour rendre crédible le délai de 24 heures, validation juridique hors heures ouvrées comprise. Enfin, exécutez un premier exercice de réversibilité sur une charge significative — pas sur tout le patrimoine — et publiez honnêtement les écarts constatés.

Menés dans cet ordre, les cinq textes cessent d'être cinq chantiers. HDS définit le périmètre, NIS2 le socle de sécurité, DORA la preuve et le contrat, le Data Act la voie de sortie, et SecNumCloud la réponse à la question de l'extraterritorialité quand la sensibilité des données le justifie. Ceux qui en souffrent sont ceux qui les traitent comme un exercice documentaire ; ceux qui en tirent parti se retrouvent avec une plateforme qu'ils peuvent réellement déplacer, auditer et défendre.