DATA ACT EUROPEEN - OBLIGATIONS DE CHANGEMENT DE PRESTATAIRE CLOUD

Mesurez votre dépendance numérique avant qu'elle ne vous coûte cher

Sovereign-Audit est un audit structuré qui évalue votre dépendance aux fournisseurs cloud (Microsoft 365 en particulier) et votre capacité réelle à récupérer vos données et à changer de prestataire. Nous ne certifions pas une « souveraineté » : nous mesurons, documentons et priorisons.

32
Contrôles de dépendance et portabilité audités
7
Domaines Microsoft 365 couverts
3
Référentiels de référence mobilisés
2009
SYAGA réalise des audits de sécurité SI depuis

Le problème

La dépendance numérique est rarement mesurée, et le sujet devient réglementaire

Le Data Act européen encadre désormais le changement de fournisseur cloud

Le Règlement (UE) 2023/2854 (Data Act) comporte un chapitre dédié au changement entre services de traitement de données, avec des obligations de suppression des obstacles techniques et contractuels au changement de prestataire. Peu d'organisations savent aujourd'hui où elles en sont sur ce point.

🔒

Le verrouillage fournisseur s'installe sans être décidé

Comptes de secours, fédération d'identité, Copilot, chiffrement natif, applications Teams personnalisées : chaque choix technique crée un peu plus de dépendance, sans qu'une décision explicite n'ait été prise.

📋

Les clauses de réversibilité sont rarement relues

Les contrats cloud contiennent des clauses de récupération des données et de sortie, mais elles sont signées une fois et jamais revues à la lumière de l'usage réel du tenant.

🧭

Les référentiels existent mais restent théoriques

Le Data Act, SecNumCloud et Gaia-X définissent un vocabulaire et des exigences de portabilité, mais traduire cela en constat opérationnel sur VOTRE tenant demande une méthode et du temps que les équipes IT internes n'ont pas.

Notre approche : Sovereign-Audit

Une méthode structurée, appuyée sur un catalogue de 32 contrôles de dépendance et de portabilité

01
Cadrage

Entretien de cadrage

Échange avec la direction ou le responsable IT pour cadrer le périmètre (tenant M365, entités, filiales, prestataires clés) et les enjeux de dépendance propres à votre organisation.

02
Collecte

Recueil structuré des éléments techniques et contractuels

Examen de la configuration Microsoft 365 (identité, sauvegarde, résidence des données, chiffrement, applications) et des clauses contractuelles de réversibilité auprès de vos prestataires.

03
Analyse

Évaluation face aux 32 contrôles du catalogue

Chaque contrôle est évalué selon un statut clair (couvert, partiel, absent, à vérifier contractuellement), avec une correspondance vers les domaines Microsoft 365 concernés.

04
Mise en perspective

Mise en regard avec le Data Act, SecNumCloud et Gaia-X

Les constats sont reliés, quand c'est pertinent, aux exigences du Data Act européen et au vocabulaire de référence SecNumCloud/Gaia-X - sans jamais présenter cela comme une certification obtenue.

05
Restitution

Rapport et plan d'action priorisé

Remise d'un rapport clair à la direction, avec un plan d'action priorisé pour réduire les points de dépendance les plus critiques.

Ce que vous recevez

Un ensemble clair de documents exploitables par votre direction et vos équipes IT

📝

Rapport de dépendance et portabilité

Évaluation documentée des 32 contrôles du catalogue, avec un statut par contrôle.

  • Cartographie des 7 domaines M365 concernés
  • Statut par contrôle (couvert / partiel / absent / à vérifier)
  • Constats illustrés par des extraits de configuration
  • Synthèse exécutive en première page
🗺

Cartographie du verrouillage fournisseur

Une vue d'ensemble de où se concentre votre dépendance à Microsoft.

  • Identité et fédération
  • Sauvegarde et résidence des données
  • Chiffrement et gestion des clés
  • Applications et automatisations propriétaires

Grille de lecture des clauses de réversibilité

Un support pour relire vos contrats cloud existants avec vos équipes juridiques.

  • Points de vigilance identifiés par le catalogue
  • Questions à poser à vos prestataires
  • Pas un avis juridique - un support de travail
🎯

Mise en perspective réglementaire

Correspondance entre vos constats et le vocabulaire des référentiels de référence.

  • Data Act (UE) 2023/2854 - chapitre changement de prestataire
  • SecNumCloud (ANSSI) - clause de réversibilité
  • Gaia-X - vocabulaire de portabilité / interopérabilité
  • ISO/IEC 27001 Annexe A - relations fournisseurs
📈

Plan d'action priorisé

Des recommandations classées par criticité et facilité de mise en œuvre.

  • Actions rapides (quick wins)
  • Chantiers de fond (contractuels, techniques)
  • Aucune action mise en œuvre sans votre validation
📄

Restitution et fichiers remis

Des documents dans des formats exploitables par vos équipes.

  • Rapport au format PDF
  • Synthèse pour la direction
  • Session de restitution avec questions/réponses

Référentiels mobilisés

Sovereign-Audit s'appuie sur des cadres publics existants - nous ne délivrons aucune certification

DA

Data Act - Règlement (UE) 2023/2854

Texte européen comportant un chapitre dédié au changement entre services de traitement de données (portabilité et interopérabilité cloud). Sovereign-Audit s'appuie sur ce chapitre pour structurer les questions d'audit, sans présenter un article précis comme une obligation déjà opposable à votre organisation sans vérification juridique.

ISO

ISO/IEC 27001 - Annexe A

Les contrôles organisationnels relatifs aux relations fournisseurs et à la continuité d'activité structurent une partie de l'analyse de dépendance.

SNC

SecNumCloud v3.2 (ANSSI)

Référentiel de qualification volontaire de l'ANSSI. Sa clause de réversibilité contractuelle sert ici de grille de lecture, même si Microsoft 365 standard n'est pas qualifié SecNumCloud.

GX

Gaia-X (Trust Framework)

Cadre européen volontaire, non contraignant, qui fournit un vocabulaire commun de souveraineté et d'interopérabilité entre acteurs cloud, utilisé ici comme grille de lecture.

Périmètre & devis

Chaque mission est cadrée sur devis, selon la taille et la complexité de votre environnement

Diagnostic

PME, tenant M365 unique

Sur devis
Cadré avec vous au préalable
  • Évaluation des 32 contrôles du catalogue
  • Rapport de synthèse
  • Restitution à la direction
Demander un devis

Suivi

Organisations avec un plan de remédiation

Sur devis
Cadré avec vous au préalable
  • Tout Approfondi +
  • Plan d'action priorisé détaillé
  • Point de suivi après mise en œuvre des actions
  • Actualisation du rapport
Demander un devis

Aucun tarif n'est fixé à l'avance sur cette page

Le périmètre exact (nombre d'entités, taille du tenant, profondeur d'analyse contractuelle) est défini avec vous avant tout devis.

Questions fréquentes

Mon organisation est-elle concernée par le Data Act européen ?
Le Data Act (Règlement (UE) 2023/2854) s'applique largement aux fournisseurs et utilisateurs de services cloud dans l'Union européenne, avec des dispositions spécifiques sur le changement de prestataire. Sovereign-Audit vous aide à comprendre concrètement où vous en êtes, mais ne remplace pas une analyse juridique dédiée à votre situation.
Sovereign-Audit est-il lié à l'audit M365 automatisé de SYAGA ?
Non. Sovereign-Audit est une mission menée par nos auditeurs, appuyée sur le même catalogue de contrôles que nos autres travaux, mais réalisée manuellement, sans extension de collecte automatisée. Ce n'est pas le même produit que la solution d'audit M365 en zero-knowledge de SYAGA.
Le rapport constitue-t-il un avis juridique ?
Non. Sovereign-Audit est un outil d'accompagnement opérationnel et technique. Il ne constitue pas un avis juridique et ne remplace pas la relecture de vos contrats par un avocat ou votre service juridique.
Combien de temps dois-je libérer sur mon équipe ?
L'entretien de cadrage et la restitution finale mobilisent votre direction ou votre responsable IT. Le reste de la collecte et de l'analyse est effectué par nos auditeurs. Le volume exact dépend du périmètre retenu et sera précisé dans le devis.
En quoi SYAGA est légitime pour réaliser cet audit ?
SYAGA Consulting réalise des audits de sécurité des systèmes d'information depuis 2009, auprès de clients de 50 à 5 000 salariés dans plusieurs secteurs. Le catalogue de contrôles utilisé pour Sovereign-Audit s'appuie sur ce même travail d'audit.
Sovereign-Audit certifie-t-il que mon organisation est souveraine ?
Non. Sovereign-Audit mesure votre dépendance et votre portabilité à un instant donné, sur la base de constats vérifiables. Nous ne délivrons aucun label ni certification de souveraineté.

Qui est concerné, et pourquoi

Pas seulement les grands groupes ni les secteurs "sensibles" : la dépendance à un fournisseur cloud concerne des entreprises très différentes, pour des raisons différentes. Voici les critères officiels, sans confondre obligation légale et bonne pratique.

US

Vous utilisez un cloud américain (Microsoft, Google, AWS...)

Le CLOUD Act américain (loi fédérale, Public Law 115-141) s'applique aux "providers of electronic communication services or remote computing services" américains et leur permet d'être contraints de transmettre des données en leur "possession, custody, or control" à la justice américaine, même si ces données sont stockées hors des États-Unis (disposition codifiée 18 U.S.C. § 2713). Concrètement : une PME française qui héberge sa messagerie ou son ERP chez un fournisseur américain, ou une filiale européenne d'un groupe américain, peut être concernée du seul fait de ce lien de contrôle, même si ses données sont hébergées en France ou dans l'UE. Texte officiel (Congress.gov)

DA

Vous utilisez n'importe quel service cloud, quelle que soit votre taille

Le Data Act (règlement (UE) 2023/2854), applicable depuis le 12 septembre 2025, est un texte transversal qui "s'applique à tous les secteurs". Son chapitre sur le changement de fournisseur cloud donne à tout client, quelle que soit sa taille, le droit de "changer effectivement de fournisseur de services de traitement de données" (portabilité, interopérabilité), sans exemption générale pour les petites entreprises. Commission européenne - Data Act

N2

Vous êtes une entreprise moyenne ou grande d'un secteur critique

La directive NIS2 couvre 18 secteurs (énergie, transport, santé, finance, gestion de l'eau, infrastructures numériques, communications électroniques, plateformes numériques, gestion des déchets, fabrication de produits critiques, courrier, espace, administration publique). Pour ces secteurs, "en règle générale, les entités moyennes et grandes devront prendre des mesures appropriées de gestion des risques cybersécurité" - ce qui inclut la gestion du risque lié à leurs fournisseurs, dont leurs fournisseurs cloud. Commission européenne - NIS2

SNC

Vous hébergez des données sensibles

La qualification SecNumCloud de l'ANSSI "reconnaît des offres cloud de confiance" via un Visa de sécurité. Ce n'est pas une obligation légale généralisée pour les entreprises privées : c'est une qualification volontaire, recommandée pour protéger des données sensibles ou héberger des systèmes d'information sensibles dans le cloud. ANSSI - cyber.gouv.fr

En résumé, quatre profils typiquement concernés

1. Une PME qui héberge messagerie, ERP ou CRM chez un hyperscaler américain (ou une filiale européenne d'un groupe américain) : concernée par le CLOUD Act, indépendamment de sa taille.

2. N'importe quelle entreprise européenne, de toute taille, utilisatrice d'un service cloud (SaaS, PaaS ou IaaS) : concernée depuis le 12/09/2025 par les nouveaux droits de portabilité du Data Act.

3. Une entreprise moyenne ou grande d'un des 18 secteurs critiques NIS2 (énergie, santé, transport, finance, infrastructures numériques...) : doit gérer le risque fournisseur, cloud compris.

4. Un organisme public ou une entreprise qui héberge des données sensibles : cible recommandée (pas systématiquement obligatoire) de la qualification SecNumCloud.

Ces critères sont issus de textes et pages officiels cités ci-dessus. Ce n'est pas un avis juridique : votre situation exacte dépend de votre secteur, de votre taille et de vos contrats - à faire confirmer par un juriste si besoin.

Ce qu'il faut faire concrètement

Ce qui est une vraie obligation légale, ce qui est une bonne pratique recommandée, et ce qui arrive bientôt - expliqué simplement, sources officielles à l'appui.

Obligation légale

Vous restez responsable de vos données, même chez un prestataire cloud

Si votre entreprise fait héberger des données personnelles (salariés, clients) chez un prestataire cloud situé hors de l'Union européenne, c'est votre entreprise - pas le prestataire - qui reste juridiquement responsable devant le RGPD de la protection de ces données. Vous devez vous assurer que ce transfert repose sur une garantie reconnue : soit le pays est jugé sûr par l'Union européenne ("décision d'adéquation"), soit vous signez avec le prestataire des clauses contractuelles types fournies par la Commission européenne. Ce sont des documents standards à intégrer dans votre contrat, pas une négociation à inventer vous-même.

Source : CNIL, cadre des transferts de données hors UE prévu par le RGPD (chapitre V, articles 45 et 46) - cnil.fr, consulté le 18/07/2026.

Obligation légale (côté fournisseur)

Le droit de changer de fournisseur cloud sans être bloqué

Depuis le 12 septembre 2025, un règlement européen (le "Data Act") oblige les fournisseurs de services cloud à faciliter le changement de prestataire : ils doivent réduire progressivement les frais de sortie et fournir vos données dans un format que vous pouvez réutiliser ailleurs. Concrètement, si un fournisseur vous répond que "ce n'est pas possible" ou vous facture des sommes disproportionnées pour récupérer vos propres données, ce n'est plus normal depuis cette date. Le calendrier précis de suppression totale de ces frais est fixé par le texte réglementaire - à faire vérifier par votre juriste ou votre prestataire si un montant vous est facturé.

Source : Commission européenne, "Data Act" (Règlement (UE) 2023/2854, chapitre VI) - digital-strategy.ec.europa.eu, consulté le 18/07/2026.

Bonne pratique (pas une obligation)

SecNumCloud : un label de confiance, pas une case à cocher obligatoire

SecNumCloud est une qualification délivrée par l'ANSSI (l'agence française de cybersécurité) qui permet de reconnaître les offres cloud considérées comme dignes de confiance pour héberger des données sensibles. Ce n'est pas une obligation légale pour une entreprise privée. Elle s'impose surtout aux administrations et aux organismes qui gèrent des systèmes d'information sensibles pour l'État. Pour une PME, c'est un repère utile pour comparer des offres cloud entre elles, pas une norme à respecter par la loi.

Source : ANSSI (cyber.gouv.fr), page "Cloud" - cyber.gouv.fr, consulté le 18/07/2026.

Bonne pratique (recommandation CNIL)

La sécurité du cloud, c'est un travail à deux

La CNIL recommande - sans que ce soit une obligation chiffrée et détaillée dans la loi - de lister les services cloud réellement utilisés dans votre entreprise, de vérifier le niveau de sécurité du fournisseur avant de signer, d'écrire noir sur blanc dans le contrat qui fait quoi en matière de sécurité, et de chiffrer les données sensibles. Le principe à retenir : le fournisseur sécurise son infrastructure, mais c'est à vous de bien configurer les accès et les comptes de vos équipes. Une mauvaise configuration de votre côté n'est pas couverte par la sécurité du fournisseur.

Source : CNIL, "Sécurité du cloud (informatique en nuage)" - cnil.fr, consulté le 18/07/2026.

À surveiller (pas encore en vigueur)

Un futur texte européen pour muscler le cloud européen

La Commission européenne a mis en discussion un projet de règlement, le "Cloud and AI Development Act", pour renforcer les capacités cloud et intelligence artificielle européennes et réduire la dépendance aux grands fournisseurs non-européens. Ce texte n'est pas encore en vigueur : c'est une proposition en cours d'examen, pas une règle à appliquer aujourd'hui. Il prévoit un système de niveaux de confiance pour évaluer la souveraineté d'une offre cloud. À suivre, sans en tirer de conclusion opérationnelle immédiate.

Source : Commission européenne, "Cloud and AI Development Act" - digital-strategy.ec.europa.eu, page mise à jour au 03/06/2026, consultée le 18/07/2026.

Cette section vous donne des repères clairs, pas un avis juridique. Pour une situation précise (contrat en cours, transfert de données spécifique), faites valider par votre service juridique ou un avocat.

Souveraineté numérique : la FAQ simple

Cinq questions que se posent les dirigeants de PME, chacune répondue en 2 minutes avec sa source officielle

Le Data Act européen m'oblige-t-il, moi, à changer de fournisseur cloud ?
Non, il n'oblige pas votre entreprise à faire quoi que ce soit. C'est votre fournisseur cloud qui a de nouvelles obligations envers vous. Le règlement européen Data Act (Règlement (UE) 2023/2854), en application depuis le 12 septembre 2025, l'oblige à supprimer les obstacles au changement de prestataire. Point concret à retenir : à partir de janvier 2027, votre fournisseur ne pourra plus vous facturer de frais pour partir chez un concurrent. Source : Commission européenneCNIL.
Mes données Microsoft 365 sont-elles "hors-la-loi" parce qu'elles passent par les États-Unis ?
Non, ce n'est pas illégal en soi. Le RGPD encadre les transferts de données personnelles hors de l'UE. L'arrêt de justice européen "Schrems II" (juillet 2020) avait invalidé l'accord précédent entre l'UE et les États-Unis. Depuis, la Commission européenne a adopté le 10 juillet 2023 une nouvelle décision reconnaissant, pour les entreprises américaines adhérant au cadre "Data Privacy Framework", un niveau de protection jugé "substantiellement équivalent" à celui de l'UE. Ce n'est pas une obligation légale d'éviter un cloud américain - c'est un point à connaître, documenter et surveiller, comme le recommande la CNIL. Source : CNIL.
Qu'est-ce que SecNumCloud, et dois-je l'exiger de mon prestataire ?
SecNumCloud est un référentiel créé en 2016 par l'ANSSI, l'agence française de cybersécurité, pour qualifier - de façon volontaire - les prestataires de cloud. Un prestataire qualifié doit avoir son siège social et ses capitaux majoritairement européens, et héberger, traiter et administrer vos données exclusivement depuis l'UE : l'objectif affiché est de vous protéger d'une éventuelle injonction d'un État non membre de l'UE. Ce n'est pas une obligation légale pour votre entreprise : c'est un critère utile à connaître si la protection contre les lois étrangères est un enjeu pour votre activité. Source : ANSSI.
Qu'est-ce que Gaia-X ? Dois-je demander cette "certification" à mes fournisseurs ?
Gaia-X n'est pas une certification que vous pouvez exiger aujourd'hui, comme vous exigeriez une norme ISO. C'est une association européenne, basée à Bruxelles, qui développe des standards volontaires pour des services de données et de cloud "fédérés et de confiance", avec l'objectif de renforcer l'indépendance numérique européenne. Utile à connaître comme cadre de référence, mais ce n'est pas (encore) une case à cocher dans un cahier des charges. Source : Gaia-X European Association.
Existe-t-il une loi française en plus du texte européen ?
Oui. En France, la loi SREN (Sécuriser et Réguler l'espace numérique) de 2024 avait déjà commencé, avant le Data Act européen, à encadrer les conditions de changement de fournisseur cloud. Le Data Act vient renforcer et généraliser ce mouvement à l'échelle de toute l'Union européenne. Source : CNIL.

Ces réponses résument des pages officielles consultées en juillet 2026 (Commission européenne, CNIL, ANSSI, Gaia-X). Elles ne constituent pas un avis juridique et ne remplacent pas une analyse dédiée à votre situation.

Envie de savoir où vous en êtes réellement ?

Contactez-nous pour recevoir un devis adapté à votre périmètre.

Démarrer mon diagnostic gratuit

Gratuit: votre score + vos écarts. Le rapport détaillé et l'attestation : 499 € HT, seulement si vous le décidez.

contact@syaga.eu Voir la FAQ