"Choisir ses technologies et pouvoir changer : la souveraineté des infrastructures garantit que l'organisation garde la main sur son socle technique, peut le faire évoluer et peut en sortir sans dommage excessif."
Cartographie des dépendances infrastructure, critères de décision cloud/on-premise/edge, DORA opérationnel, plan de résilience et stratégie de sortie.
CIO, architectes d'entreprise, responsables infra & cloud, CISO, équipes résilience et continuité, CDO office.
DORA Art. 28-30 (concentration TIC), NIS2 Art. 21 (mesures techniques), Data Act Art. 23-35 (portabilité), BCBS 239 (continuité).
½ journée (3h30) — 2 séquences théoriques + 1 atelier cartographie des dépendances.
La souveraineté des infrastructures repose sur la capacité à cartographier précisément les dépendances, à les classifier par criticité DORA, et à disposer d'une stratégie de continuité sans dépendance excessive à un tiers unique.
Infrastructure propre, datacenter interne ou co-localisé. Contrôle total. Investissement CAPEX élevé.
Cloud certifié SecNumCloud ou HDS, opérateur UE, sans exposition juridiction étrangère.
Cloud public international. Agilité maximale. Exposition Cloud Act selon fournisseur. Risque concentration DORA.
| Workload | Criticité DORA | Classification données | Tier recommandé | Certification requise |
|---|---|---|---|---|
| Core banking & paiements | ● Critique | Critique | On-premise / Tier 1 | PCI-DSS, ISO 27001 |
| Plateforme data & reporting BCBS | ● Critique | Critique | On-premise ou SecNumCloud | HDS si santé, ISO 27001 |
| Systèmes IA haut risque (scoring) | ● Critique | Confidentiel | Cloud souverain / Tier 1 | SecNumCloud ou équiv. |
| Détection de fraude & AML | ● Important | Confidentiel | Cloud souverain UE | ISO 27001, SOC2 |
| Analytics & BI internes | ● Standard | Interne | Cloud UE (hyperscaler) | RGPD + DPA |
| Outils collaboratifs & productivité | ● Faible | Interne | Cloud international | Politique sécurité interne |
DORA introduit un nouveau concept : le risque de concentration TIC. Trop dépendre d'un seul fournisseur d'infrastructure crée un risque systémique pour le secteur financier dans son ensemble.
Si une entité financière héberge 100% de ses workloads critiques chez un seul fournisseur cloud, une panne, une violation de sécurité ou une mesure réglementaire (ex: suspension de licences) peut rendre l'entité incapable d'opérer. DORA considère que c'est un risque systémique, pas seulement opérationnel. L'ABE (Autorité Bancaire Européenne) peut désigner un fournisseur TIC comme "critique" et lui imposer des inspections directes.
La résilience opérationnelle numérique (DORA) et la souveraineté des infrastructures convergent : les deux exigent diversification, plan de sortie documenté et tests réguliers.
| Composante | Contenu obligatoire | Délai de validation |
|---|---|---|
| Plan de migration documenté | Étapes, ressources requises, délai estimé, risques identifiés | Avant signature contrat |
| Fournisseur de substitution qualifié | Au moins 1 alternatif testé et contractuellement disponible | Dans les 6 mois |
| Portabilité technique assurée | Format standard, API ouverte, export des données certifié | Avant déploiement en production |
| Test de bascule annuel | Simulation de migration partielle avec rapport d'incident | Annuel |
| RTO/RPO définis | Objectifs de temps de reprise et de point de reprise par système | Dans le contrat |
Le risque de concentration TIC n'est plus théorique : DORA Art. 28.8 impose de le déclarer au régulateur. Concentrer plus de 30% des systèmes critiques chez un seul fournisseur est désormais un risque réglementaire documenté.
On-premise pour le critique, cloud souverain pour le confidentiel, hyperscaler pour le reste. Cette segmentation n'est pas idéologique — c'est la réponse pragmatique aux exigences combinées de DORA, RGPD et EU AI Act.
DORA Art. 28.4 : pas de contrat TIC critique sans stratégie de sortie documentée et testée. Cette clause doit être rédigée avant la signature, pas après une crise.
① Inventaire TIC classifié DORA (criticité + indicateurs concentration) ② Plan de résilience 3 tiers avec RTO/RPO ③ Template stratégie de sortie conforme DORA Art. 28.4 pour contrats TIC critiques.
"Une infrastructure dont on ne peut pas sortir sans dommage excessif n'est pas une infrastructure choisie — c'est une infrastructure subie."