Audit de risque numérique

Un juge français à la Cour pénale internationale veut réserver une chambre d’hôtel. Il tend sa carte de crédit. Refusée. La deuxième carte. Refusée. Deux cartes de banques européennes, deux comptes approvisionnés — mais le système de paiement transite par Visa et Mastercard. Réseaux américains. Règles américaines.

Le juge figure sur une liste de sanctions américaines. Non pour un crime. Parce qu’il travaille pour un tribunal que Washington considère comme une menace.

Il ne peut pas louer de voiture. Ni faire d’achats en ligne. Il vit et travaille en Europe, mais sa vie économique s’est arrêtée du jour au lendemain — parce que l’infrastructure qui la porte est américaine.

Il saisit son iPhone pour appeler sa banque. Puis la prise de conscience : l’appareil qu’il tient en main vient de Cupertino, en Californie. Ses contacts sont dans iCloud. L’application bancaire vient de l’App Store. Même l’outil avec lequel il cherche à résoudre le problème appartient à la même chaîne d’approvisionnement qui vient de céder.

C’est un magistrat, pas un chef d’entreprise. Mais l’infrastructure qui lui a fait défaut est exactement celle sur laquelle les entreprises européennes font reposer l’ensemble de leur activité.

Ce qui a changé

Jusqu’à récemment, la dépendance à la technologie américaine était un risque théorique. Un sujet de rapports stratégiques, acquiescé d’un hochement de tête en conseil d’administration. Cela a changé — non par une décision unique, mais par un glissement des règles du jeu.

Trois instruments juridiques rendent cette dépendance désormais opérationnellement pertinente :

Le CLOUD Act donne aux autorités américaines accès aux données stockées par des entreprises américaines — où qu’elles se trouvent dans le monde. Le Defense Production Act autorise le président à contraindre des entreprises à céder leur technologie. Et la désignation comme risque pour la chaîne d’approvisionnement peut couper une entreprise de l’ensemble de l’écosystème américain du jour au lendemain — comme l’ont démontré les cas Huawei et Kaspersky.

Aucun de ces instruments n’est nouveau. Ce qui est nouveau, c’est que le seuil de leur utilisation a baissé. Le démantèlement des organes de contrôle censés superviser le EU-US Data Privacy Framework. Des décisions tarifaires prises à court terme sans consultation des partenaires commerciaux. L’extension des régimes de sanctions aux alliés. Quiconque fonde sa planification sur la prévisibilité politique à Washington s’appuie sur une hypothèse qui n’est plus démontrable.

La conséquence se dessine déjà : selon une enquête Gartner, 61 % des DSI d’Europe occidentale prévoient de réduire leur dépendance aux fournisseurs cloud américains. La souveraineté numérique n’est plus un terme de conférence. C’est une décision d’achat.

La chaîne que personne ne voit

La plupart des entreprises ignorent la profondeur de leur dépendance. Elles voient Microsoft 365 et pensent : messagerie. Mais la dépendance forme une chaîne — et si un maillon cède, tout cède.

Cela commence au point le moins visible.

Identité — le commutateur central. Entra ID (anciennement Azure AD) gère dans la plupart des entreprises l’ensemble des comptes utilisateurs et des droits d’accès. Ce seul service décide qui peut se connecter où. S’il tombe en panne, plus personne ne peut s’authentifier. Sur aucun système. Plus de messagerie. Plus d’accès aux fichiers. Plus de VPN. Plus d’application métier. Tout ce qui suit dépend de ce seul point.

Systèmes d’exploitation. Windows équipe la majorité des postes de travail. macOS et iOS dominent dans de nombreux secteurs. Les deux exigent une licence active. Sans mises à jour : risque de sécurité. Sans licence : inutilisable.

Productivité. Microsoft 365 regroupe messagerie, calendrier, fichiers, intranet et chat. Chaque document, chaque e-mail, chaque rendez-vous — chez un seul fournisseur américain. Quiconque perd l’accès ne perd pas un outil. Il perd son socle de travail.

Cloud et sauvegardes. Infrastructure sur AWS, Azure ou GCP. Sauvegardes sur S3, Glacier ou OneDrive. Si l’accès est coupé, ce n’est pas seulement la production qui tombe — les sauvegardes tombent avec, parce qu’elles sont hébergées chez le même fournisseur.

Communication. Teams, Zoom, Slack. Qui ne peut pas communiquer ne peut pas coordonner. Ni décider. Ni réagir.

Systèmes de paiement. Visa et Mastercard traitent la majorité des paiements par carte en Europe. Comme le montre le cas du juge : les sanctions américaines peuvent bloquer les flux de paiement au sein même de l’Europe. Non pas en théorie. De manière avérée.

Et voici l’enseignement décisif : ces dépendances ne sont pas isolées. Elles forment une chaîne. Entra ID authentifie l’accès à Microsoft 365. Microsoft 365 repose sur Azure. Les sauvegardes sont sur Azure. La communication passe par Teams — qui fonctionne lui aussi sur Azure. Une seule révocation de licence, une seule décision de sanction peut rompre l’ensemble de cette chaîne.

Ce n’est pas un système qui tombe en panne. C’est le système qui tombe en panne.

Ce qui n’est plus théorique

En mars 2022, Microsoft a coupé l’accès aux entreprises russes du jour au lendemain. Licences, services cloud, mises à jour — tout a disparu d’un jour à l’autre. Les utilisateurs iraniens sont coupés depuis des années des services Google, des fonctionnalités Apple et des plateformes cloud.

Pour les entreprises européennes, cela semble impensable. Mais le mécanisme existe, il a été activé, et le seuil de son déclenchement a baissé. Ce qui relevait autrefois de situations de crise extrêmes est aujourd’hui un instrument mobilisable à court terme et sans préavis.

Puis la variante économique : Broadcom a, après l’acquisition de VMware, décuplé les coûts de licence pour les fournisseurs cloud européens. Licences perpétuelles supprimées, abonnement imposé. Le verrouillage fournisseur rend cela possible : quiconque a bâti l’ensemble de son infrastructure sur une seule plateforme ne peut pas en changer en quelques semaines. Les modifications unilatérales de prix ne sont pas l’exception — elles sont le modèle économique.

Et puis la variante silencieuse : Google a mis fin à plus de 290 produits. Sans préavis. La décision de maintenir un service appartient au fournisseur — pas au client.

Aucun de ces scénarios ne nécessite une guerre ou une crise. Il suffit d’une modification contractuelle, d’une sanction ou d’une décision commerciale prise dans une juridiction que vous ne contrôlez pas.

Le risque n’est pas qu’un de ces scénarios se réalise. Le risque, c’est qu’aucun d’entre eux ne dispose d’un plan d’urgence.

Le plan d’urgence

La terminologie est empruntée au Disaster Recovery. Elle s’applique directement :

Hot Standby — une alternative opérationnelle fonctionne en parallèle. En cas de crise : bascule immédiate.

Pilot Light — l’alternative est configurée et testée, mais pas en production. Activation : quelques heures à quelques jours.

Plan documenté — l’alternative est identifiée, le chemin de migration est documenté, mais rien n’est mis en place. Activation : semaines à mois.

Pour chaque dépendance critique, un Pilot Light au minimum devrait exister. L’effort est maîtrisable — le coût d’une crise sans préparation ne l’est pas :

Dépendance	Risque en cas de panne	Pilot Light (minimum)
Entra ID	Connexion impossible	Fournisseur d’identité souverain (Keycloak/LDAP) configuré, synchronisation testée
Windows	Postes de travail inutilisables	Images Linux créées, déploiement testé sur un groupe pilote
Microsoft 365 (Mail)	Plus de messagerie	Serveur de messagerie souverain configuré, bascule DNS préparée
Microsoft 365 (Documents)	Accès aux fichiers perdu	LibreOffice / Collabora installé, compatibilité testée
Teams / Zoom	Rupture de communication	Serveur Matrix/Element déployé, accès configurés
AWS / Azure / GCP	Infrastructure indisponible	Compte chez un fournisseur cloud européen, configuration de base en place
Sauvegardes (S3/Glacier)	Perte de données	Export régulier des sauvegardes vers un stockage souverain testé
Apple (iOS/macOS)	Appareils obsolescents, apps bloquées	Plan de gestion des terminaux Android/Linux élaboré
Systèmes de paiement	Transactions bloquées	Prélèvement SEPA actif, contrats avec un prestataire de paiement européen

Certaines institutions européennes sont déjà plus avancées. La France a migré 500 000 agents dans 15 ministères vers Visio, une alternative souveraine à Zoom. L’armée autrichienne fonctionne avec des services open source. La Commission européenne communique via Matrix. Le Parlement européen a adopté en janvier 2026, par 471 voix contre 68, une résolution « Open Source first ».

Les alternatives existent. Elles fonctionnent. Dans des gouvernements et des forces armées dont les exigences de sécurité dépassent celles de la plupart des entreprises. La question n’est pas de savoir si elles fonctionnent. La question est de savoir si elles sont prêtes chez vous à temps.

Pourquoi maintenant

Une migration depuis Microsoft 365 prend typiquement 6 à 18 mois. Une migration cloud, 12 à 24 mois. Un changement de fournisseur d’identité, 3 à 12 mois. Un changement de système d’exploitation, 12 à 36 mois.

Ce sont des délais pour des projets ordonnés, en conditions normales. Avec budget, personnel et une activité courante qui fonctionne.

Quiconque commence après le déclenchement de la crise ne dispose d’aucun de ces délais.

À la place : des collaborateurs qui arrivent le lundi matin et ne peuvent pas se connecter. Des clients sans réponse. Des fournisseurs sans factures. Des contrats impossibles à honorer parce que les systèmes qui les gèrent n’existent plus.

Un Pilot Light change fondamentalement cette équation. Il réduit le délai d’activation de plusieurs mois à quelques jours — l’écart entre une transition ordonnée et l’arrêt opérationnel.

Ce qu’il faut faire

Cinq étapes. Aucune n’exige de remplacer la technologie américaine. Chacune garantit que vous le pourriez, si vous le deviez.

1. Cartographier les dépendances. Pas seulement les évidentes — Microsoft, Google, Amazon. Aussi les couches sous-jacentes : fournisseurs DNS, autorités de certification, fournisseurs CDN, prestataires de paiement. Tout ce dont la panne arrêterait l’activité.

2. Prioriser les risques. Qu’est-ce qui paralyse immédiatement l’activité ? Qu’est-ce qui est supportable ? La réponse à la première question détermine le point de départ de la planification d’urgence.

3. Documenter les alternatives. Pour chaque dépendance critique : quelle est l’alternative ? Comment l’activer ? Qui est responsable ? Un plan que personne ne connaît n’est pas un plan.

4. Lancer des projets pilotes. Les trois dépendances les plus critiques. Conditions réelles, vrais utilisateurs, pas du papier. L’expérience d’un seul pilote vaut davantage que n’importe quel document stratégique.

5. Tester chaque année. Un plan d’urgence non testé n’est pas un plan d’urgence. Simulez la panne d’un service critique. Ce qui en ressort est ce qui déterminera, en cas de crise réelle, la capacité d’action de votre entreprise.

Ce que cet article n’est pas

Cet article ne recommande pas d’éviter la technologie américaine. Il est factuel, non partisan. Les fournisseurs américains proposent dans de nombreux domaines les produits les plus performants du marché. Les entreprises qui les utilisent agissent de manière économiquement rationnelle.

Mais agir de manière rationnelle, c’est aussi traiter la dépendance à un fournisseur unique, à une juridiction unique, à un système de paiement unique pour ce qu’elle est : un risque opérationnel. Un risque qui se gère — mais seulement si l’on s’y attaque avant qu’il ne devienne aigu.

Quiconque attend la crise pour chercher des alternatives n’en trouve pas. Il ne trouve que le chaos.

Les outils — open source, infrastructure cloud souveraine, standards ouverts — sont matures et disponibles. Ce qui manque dans la plupart des entreprises, ce n’est pas la technologie. Ce qui manque, c’est la décision.

Le juge français dont les cartes de crédit ne fonctionnent plus, qui saisit son iPhone et réalise que l’iPhone aussi est américain — il n’a pas eu le choix. Il figurait sur une liste, et l’infrastructure a cédé. Sur toute la ligne.

Les entreprises européennes ont encore le choix aujourd’hui. La question est : pour combien de temps.

Sources

Vue d’ensemble des sujets : Cloud et infrastructure

Quand les services critiques tombent en panne :
audit de risque et plan d’urgence