Données industrielles hébergées en France : pourquoi c'est essentiel pour NIS2 et le RGPD

· 12 minutes de lecture
12 min read
Équipe Eziwan
Équipe Eziwan
Infrastructure IoT

La question de la localisation des données industrielles est passée d'un débat technique à un enjeu réglementaire majeur en 2025-2026. Entre l'entrée en application progressive de NIS2, les nouvelles sanctions RGPD sur les transferts hors UE, et la prise de conscience des risques liés au CLOUD Act américain, les entreprises industrielles françaises doivent impérativement savoir où sont hébergées leurs données de supervision OT/IoT.

Cet article explore pourquoi l'hébergement en France est devenu un critère de sélection non négociable pour de nombreux industriels, et ce que cela implique concrètement pour votre choix de solution IIoT.

Qu'est-ce qu'une "donnée industrielle" et pourquoi sa localisation importe ?​

Les données industrielles générées par vos gateways IoT, automates, capteurs et systèmes SCADA couvrent un spectre large :

  • Données de process : températures, pressions, débits, niveaux — les mesures physiques de votre production
  • Données opérationnelles : états d'alarmes, événements machine, journaux de maintenance
  • Données de topologie réseau : adresses IP, schémas d'installation, version firmware des équipements
  • Données d'accès : qui s'est connecté à quel équipement, quand, depuis où

Ces données, prises ensemble, constituent une carte détaillée de votre infrastructure industrielle : sa capacité de production, ses vulnérabilités, ses modes de défaillance. Si elles tombent entre de mauvaises mains — concurrents, acteurs étatiques hostiles, cybercriminels — les conséquences peuvent être sévères.

La question n'est donc pas "mes données sont-elles sensibles ?" mais "qui peut y accéder et sous quelle juridiction ?"

Le problème du CLOUD Act américain​

Depuis 2018, le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) impose aux entreprises américaines de fournir aux autorités fédérales américaines les données qu'elles hébergent — même si ces données sont physiquement stockées en Europe.

Concrètement, cela signifie que si vous utilisez AWS, Microsoft Azure, ou Google Cloud, vos données industrielles peuvent être saisies par le FBI ou la NSA, même si vos serveurs sont situés à Paris ou Francfort, sans que vous en soyez nécessairement informé, et sans recours juridique européen effectif.

Pour les données industrielles, ce risque est particulièrement préoccupant :

  • Espionnage industriel : vos paramètres de production, cadences, formulations peuvent être utilisés par des concurrents américains
  • Infrastructure critique : pour les OIV (Opérateurs d'Importance Vitale), la divulgation de données de supervision peut constituer un risque de sécurité nationale
  • Intelligence économique : la capacité de production réelle d'une usine, ses fournisseurs, ses flux logistiques — tout cela peut intéresser des acteurs étatiques

La Commission européenne et l'ANSSI ont tous deux recommandé d'éviter les prestataires soumis au CLOUD Act pour les données sensibles. NIS2 renforce cette recommandation en obligation de facto pour les entités essentielles.

Ce que NIS2 dit sur la localisation des données​

NIS2 ne stipule pas explicitement une obligation d'hébergement en France ou en UE pour toutes les données. Mais plusieurs de ses exigences y conduisent indirectement :

1. Maîtrise de la chaîne d'approvisionnement numérique​

L'article 21 de NIS2 exige une gestion des risques liés à la chaîne d'approvisionnement, incluant les fournisseurs de services cloud. Cela implique une évaluation formelle de chaque prestataire cloud : où est-il domicilié ? Sous quelle juridiction ses données peuvent-elles être saisies ? Quelles sont ses certifications de sécurité ?

Pour les entités essentielles (EE) — dont font partie de nombreux industriels dans les secteurs énergie, eau, transport, santé, infrastructure numérique — cette évaluation doit être documentée et défendable en cas d'audit ANSSI.

2. Notification d'incident et disponibilité des données de preuves​

NIS2 impose des délais de notification très courts : 24 heures pour l'alerte initiale, 72 heures pour le rapport d'incident. Pour respecter ces délais, vous devez avoir un accès immédiat aux journaux d'audit, logs de connexion, et données de supervision. Si ces données sont hébergées chez un prestataire américain soumis à des procédures légales, vous risquez de ne pas y accéder en temps voulu.

3. Continuité d'activité et résilience​

NIS2 exige un plan de continuité d'activité incluant la résilience des systèmes d'information. Un prestataire cloud dont l'opérabilité peut être compromise par une décision judiciaire américaine (injonction, gel d'actifs) représente un risque de continuité non acceptable pour les entités essentielles.

4. Sanctions​

Pour les entités essentielles, les sanctions NIS2 peuvent atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondial. La responsabilité personnelle des dirigeants est également engagée. Dans ce contexte, le choix d'un hébergement "pas cher mais risqué" n'est plus rationnel économiquement.

Le RGPD et les données industrielles​

Le RGPD s'applique aux données à caractère personnel — ce qui peut inclure des données industrielles si elles permettent d'identifier une personne physique. Exemples typiques :

  • Données d'accès distant : qui s'est connecté à quel automate (identifiant nominatif)
  • Journaux de production : données de productivité par opérateur/machine (si liées à un individu)
  • Données de maintenance : qui a réalisé quelle intervention (technicien nominatif)
  • Alarmes avec attribution : quelle personne a acquitté quelle alarme

Pour ces données, le RGPD interdit tout transfert hors de l'Espace Économique Européen sans mécanisme de protection adéquat (Standard Contractual Clauses, Binding Corporate Rules, etc.). Depuis l'invalidation du Privacy Shield en 2020 (arrêt Schrems II), les transferts vers les États-Unis sont particulièrement fragiles juridiquement.

Héberger en France élimine toute ambiguïté : les données restent dans l'EEE, sous juridiction RGPD, sans mécanisme de transfert à justifier.

Certifications qui comptent pour l'industrie française​

Tous les hébergeurs français ne se valent pas. Pour une infrastructure IoT industrielle critique, recherchez ces certifications :

ISO 27001​

Certification de référence pour la sécurité de l'information. Indispensable. Exige un SMSI (Système de Management de la Sécurité de l'Information) documenté, audité annuellement.

HDS (Hébergeur de Données de Santé)​

Obligatoire pour les données de santé (pharma, hôpitaux, dispositifs médicaux). Référentiel ANSSI/MiPih.

SecNumCloud​

Le label de l'ANSSI pour les services cloud de confiance. Niveau de sécurité le plus élevé disponible pour le cloud français. Recommandé pour les OIV et les entités essentielles NIS2. Prestataires actuels : OVHcloud, Outscale (Dassault Systèmes), Oodrive.

CSP (Cloud Service Provider) qualifié ANSSI​

Liste des prestataires qualifiés pour les systèmes d'information sensibles.

Attention : certains prestataires annoncent un "hébergement France" tout en étant des filiales d'entreprises américaines soumises au CLOUD Act. Exigez une attestation que le prestataire n'est pas soumis à une loi extraterritoriale permettant l'accès à vos données sans notification.

Cas concrets : quels industriels sont concernés ?​

Opérateurs d'Importance Vitale (OIV)​

Les 12 secteurs OIV en France (énergie, eau, transport, alimentation, finance, santé, etc.) ont des obligations de sécurité numérique spécifiques depuis la Loi de Programmation Militaire (LPM) de 2013. Pour eux, l'hébergement des données de supervision dans des centres de données français qualifiés n'est pas une option — c'est une exigence contractuelle de l'ANSSI.

Entités essentielles et importantes NIS2​

Avec NIS2, le périmètre s'élargit considérablement :

  • Toutes les entreprises de +250 salariés dans les secteurs couverts
  • Sous-traitants critiques de la défense
  • Opérateurs de réseaux d'eau, d'énergie locaux (même de taille moyenne)
  • Laboratoires pharmaceutiques et dispositifs médicaux

PME industrielles exportant vers des clients sensibles​

Une PME sous-traitante d'Airbus, de Dassault Aviation, ou d'un laboratoire pharmaceutique peut être contractuellement tenue d'héberger ses données dans des conditions conformes aux exigences du donneur d'ordre. Les grands groupes industriels intègrent de plus en plus ces clauses dans leurs appels d'offres fournisseurs.

Comment évaluer votre solution IoT actuelle​

Voici 5 questions à poser à votre prestataire IIoT actuel ou futur :

1. Où sont physiquement hébergées mes données ? Exigez une adresse de datacenter précise, pas juste "en Europe". Un hébergement "Europe" peut signifier Irlande (Amazon), Hollande (Microsoft), ou Finlande (Google) — tous soumis au CLOUD Act.

2. La société mère est-elle soumise au CLOUD Act ? Si votre prestataire est une filiale d'une entreprise américaine, il est soumis au CLOUD Act quelle que soit la localisation de ses serveurs.

3. Quelles sont vos certifications de sécurité ? ISO 27001 minimum. SecNumCloud si vous êtes OIV ou entité essentielle NIS2.

4. Avez-vous signé un DPA (Data Processing Agreement) RGPD ? Obligatoire dès que des données personnelles sont traitées (ce qui est souvent le cas pour les logs d'accès).

5. Pouvez-vous me fournir un rapport de pénétration récent ? Les prestataires sérieux publient des résumés de leurs tests d'intrusion ou les partagent sous NDA.

La position d'Eziwan​

La plateforme Eziwan est hébergée exclusivement en France, chez des prestataires certifiés ISO 27001. Nous sommes une entreprise française (SAS de droit français) et ne sommes soumis à aucune loi extraterritoriale permettant l'accès à vos données sans votre consentement et sans décision judiciaire française.

Nos engagements concrets :

  • Données hébergées en France : datacenter certifié ISO 27001 sur le territoire français
  • Société de droit français : aucune obligation de divulgation sous loi étrangère
  • DPA RGPD : contrat de traitement des données conforme RGPD signable à la demande
  • Journal d'audit NIS2 : tous les accès aux données et aux équipements sont tracés et disponibles pour audit ANSSI
  • Chiffrement de bout en bout : données chiffrées en transit (TLS 1.3) et au repos (AES-256)

Pour les entités essentielles NIS2 et les OIV, nous pouvons fournir un dossier complet incluant la politique de sécurité, les certifications, et les SLA contractuels adaptés aux exigences réglementaires.

Conclusion : la souveraineté numérique industrielle n'est plus optionnelle​

En 2026, la question "où sont hébergées mes données industrielles ?" est devenue aussi importante que "mes équipements sont-ils redondants ?" ou "ai-je un backup de mes configurations automates ?".

Les risques sont réels et documentés :

  • Réglementaires : sanctions NIS2 pouvant atteindre 10M€ pour les entités essentielles
  • Juridiques : transferts RGPD illicites pouvant entraîner des amendes CNIL
  • Opérationnels : indisponibilité des données en cas de litige avec un prestataire étranger
  • Concurrentiels : divulgation potentielle de données de production à des acteurs étrangers

La bonne nouvelle : les solutions d'hébergement souverain performantes et accessibles existent en France. Il ne s'agit plus de choisir entre sécurité et praticité — les plateformes IIoT modernes hébergées en France offrent les mêmes fonctionnalités que leurs homologues américaines, avec la garantie de souveraineté numérique.

Checklist : évaluer la souveraineté de votre chaîne IoT complète​

La localisation du datacenter ne suffit pas : les données industrielles traversent toute une chaîne qu'il faut évaluer maillon par maillon.

MaillonQuestion à poserPoint de vigilance
Carte SIM / opérateurOù transitent les données mobiles (APN) ?Un APN public route par l'Internet ouvert ; un APN privé garde le flux dans le réseau opérateur
Gateway / routeurLe firmware et sa télémétrie remontent-ils vers un cloud tiers ?Certains constructeurs asiatiques imposent leur cloud de gestion
TransportLe chiffrement est-il de bout en bout (VPN, TLS) ?Un tunnel terminé chez un intermédiaire crée un point de lecture
Plateforme cloudQui est l'hébergeur final et quel droit s'applique ?Une interface française sur AWS reste soumise au CLOUD Act
SauvegardesOù sont répliquées les données ?Les backups partent parfois dans une autre juridiction
SupportDepuis où les équipes support accèdent-elles aux données ?Un support offshore = un accès extra-européen de fait

Cet audit de bout en bout prend une demi-journée et évite les mauvaises surprises lors d'un questionnaire de sécurité client ou d'un contrôle NIS2.

FAQ — Hébergement données industrielles en France​

Toutes les données IoT industrielles sont-elles soumises au RGPD ?

Le RGPD s'applique aux données personnelles — typiquement les données de localisation liées à des véhicules identifiables, les données d'accès nominatifs, ou les données de production liées à des opérateurs identifiables. Les données purement process (températures, pressions, débits d'une ligne anonymisée) ne sont pas des données personnelles. Mais les journaux d'accès VPN (avec identités des techniciens) et les données de géolocalisation des actifs mobiles sont bien des données personnelles soumises au RGPD.

Le CLOUD Act américain concerne-t-il un prestataire cloud basé en Europe ?

Oui, si ce prestataire est une filiale ou une société soumise au droit américain (siège aux États-Unis, cotation au NYSE/Nasdaq, groupe américain). AWS Europe (Frankfurt), Azure Europe, Google Cloud EU sont toutes des entités soumises au CLOUD Act via leur maison mère américaine. Seuls les hébergeurs de droit exclusivement français/européen (OVHcloud, Scaleway, 3DS Outscale, Outscale) sont hors du périmètre du CLOUD Act.

NIS2 impose-t-elle explicitement l'hébergement en France ou en UE ?

NIS2 n'impose pas explicitement un pays d'hébergement, mais exige des "mesures techniques et organisationnelles appropriées" incluant la sécurité de la chaîne d'approvisionnement et la protection des données. Pour les OIV (Opérateurs d'Importance Vitale) régis par la LPM, le SGDSN impose souvent l'hébergement sur des infrastructures qualifiées SecNumCloud — ce qui exclut de fait les clouds non-européens pour les données les plus sensibles.

Qu'est-ce que la qualification SecNumCloud et qui l'obtient ?

SecNumCloud est le référentiel de l'ANSSI pour les prestataires de cloud "de confiance". Les prestataires qualifiés doivent entre autres garantir l'immunité au droit extra-européen (pas de CLOUD Act), la localisation des données en France, et des niveaux de sécurité audités. À fin 2025, les prestataires qualifiés SecNumCloud incluent OVHcloud, Outscale (3DS), et quelques autres.

Un industriel peut-il imposer à son client final l'hébergement de ses données en France ?

Oui, via des clauses contractuelles (SLA, DPA — Data Processing Agreement). Dans les contrats B2B industriels, notamment dans les secteurs réglementés (défense, énergie, eau), il est courant d'imposer contractuellement l'hébergement en France ou en UE. Ces clauses peuvent être contrôlées par des audits annuels.

Ressources complémentaires​

Solutions Eziwan associées​