48 % des victimes de ransomware en France sont des PME, TPE et ETI. Ce n’est pas une statistique sortie du chapeau: c’est une entreprise comme la vôtre, avec ses clients, ses contrats et ses données, paralysée du jour au lendemain par une attaque informatique.

En 2026, la menace ne faiblit pas, bien au contraire, elle se professionnalise. Et pendant ce temps, une nouvelle réglementation européenne, le NIS2 (Network and Information Systems), impose aux dirigeants de PME et d’ETI des obligations de cybersécurité renforcée. Pour la première fois, votre responsabilité personnelle est engagée en cas de manquement.

Face à ce double défi, une solution émerge comme la réponse la plus complète : le cloud souverain. Hébergé en France, certifié par l’ANSSI, il protège vos données des lois étrangères, simplifie votre conformité NIS2 et vous fait économiser jusqu’à 50 % par rapport aux géants américains.

Vous n’êtes pas informaticien. Vous êtes chef d’entreprise. Ce guide est fait pour vous : pas de jargon technique, des étapes faciles à suivre, et tout ce qu’il faut savoir pour agir avant que la réglementation ne vous y oblige.

Qu’est-ce qu’un cloud souverain ?

Comment reconnaître un cloud souverain ? Quels sont les avantages de ce type de service ? Voici les questions les plus répandues sur le sujet et nous y répondons de suite.

Comprendre le concept de souveraineté

Un cloud souverain est une infrastructure d’hébergement soumise exclusivement au droit européen et français. Il est hébergé en France et est opéré par une entreprise française ou a minima de droit européen. Cela implique que la protection de vos données est soumise au droit français et au droit européen. Cela garantit également que vous gardez le contrôle sur ce qui est hébergé sur le service cloud. Cela n’est pas le cas pour les hébergements fournis par des services étrangers tels que Google Cloud, Amazon Web Services ou encore Microsoft Azure.

Ces derniers sont connus pour leur manquement concernant le RGPD, mais ce n’est pas le seul élément qui doit vous inquiéter. Les services de cloud américains sont soumis à une réglementation américaine spécifique. Le CLOUD Act(Clarifying Lawful Overseas Use of Data Act), adopté aux États-Unis en 2018, est une loi qui autorise les autorités américaines à exiger l’accès aux données stockées par des entreprises américaines (AWS, Microsoft Azure, Google Cloud), et ce, même si ces serveurs sont physiquement situés en France ou en Europe.

Concrètement, cela signifie que le gouvernement américain peut accéder à vos documents et données hébergés chez un fournisseur américain sans vous en informer. Cela est parfaitement légal.

Mais, comment être sûr que votre service cloud est souverain ? L’ANSSI délivre un certificat : le SecNumCloud. C’est aujourd’hui le seul label garantissant l’immunité juridique aux lois extra-européennes. Nous ne sommes pas SecNumCloud à ce jour voir comment écrire le positionnement de Kloud’ici

Avantages d’un cloud souverain

Le premier avantage réside dans la garantie de conformité aux réglementations et lois françaises et européennes. La conformité au RGPD est native puisqu’un cloud souverain assure qu’il n’y aura pas de transfert de données hors de l’Union européenne (les données étant stockées sur le sol de l’UE).

Ensuite, deuxième avantage, en utilisant un cloud souverain qualifié SecNumCloud, vous intégrez déjà les mesures du NIS2 au sujet du chiffrement, des contrôles d’accès, de la continuité d’activité. D’ailleurs, votre seule responsabilité personnelle n’est plus engagée, elle est partagée avec l’hébergeur en cas de manquement. Cela fait une grande différence pour les gérants d’entreprises.

Le troisième avantage, quant à lui, est financier. En utilisant un service de location ou d’achat comme celui proposé par Kloud’Ici, vous faites une réelle économie. Les tarifs sont transparents et en moyenne une solution cloud chez un hébergeur français coûte entre 30 et 50 % de moins que celle d’un fournisseur étranger américain. voir avec Daniel

Quelles sont les exigences de la directive NIS 2 ?

le NIS2, nouvelles exigences pour plus de sécurité numérique.

Objectifs principaux du NIS2

Les secteurs concernés par cette évolution

Le NIS2 est une directive européenne applicable depuis le 17 octobre 2024. Elle s’adresse à toutes les entités de plus de 50 salariés ou réalisant plus de 10 millions d’euros de chiffre d’affaires. Elles concernent les organisations de 18 secteurs différents :

• bâtiment,
• industrie,
• numérique,
• énergie,
• transport,
• santé, etc.

L’objectif principal de cette directive est d’imposer l’homogénéité et un haut niveau de sécurité informatique dans l’Union Européenne. Celle-ci oblige les entreprises et les services publics à agir de manière concrète pour protéger et notifier les incidents de cybersécurité. Le NIS2 engage la responsabilité personnelle des dirigeants de ces organisations.

Notez aussi que si vous êtes sous-traitant informatique d’une organisation soumise au NIS2, vous devez vous conformer à la directive, même si vous ne remplissez pas les critères de chiffre d’affaires ou de nombre de salariés.

Les mesures du NIS2

Cette mise à jour de la directive NIS1 implique davantage la gouvernance des organisations puisque la direction doit approuver les mesures de cybersécurité, les superviser et surtout se former. Aujourd’hui, le sujet de la cybersécurité ne se cantonne plus au responsable des services informatiques, mais implique tous les organes vitaux des organisations, privées comme publiques. Les 10 mesures à appliquer sont inscrites dans l’article 21 du NIS2 :

• Politique de sécurité des SI et analyse de risques
• Gestion des incidents (alerte 24 h, notification 72 h, rapport 1 mois)
• Continuité d’activité — PRA/PCA
• Sécurité de la chaîne d’approvisionnement (fournisseurs, prestataires cloud)
• Sécurité de l’acquisition et développement des SI
• Évaluation de l’efficacité des mesures (audits)
• Hygiène numérique et formation des collaborateurs
• Politique de cryptographie
• Sécurité des ressources humaines et contrôle des accès
• Authentification multifactorielle (MFA) obligatoire.

Les sanctions en cas de non-respect du NIS2

En cas de non-respect des mesures, des sanctions s’appliquent. Le NIS2 distingue deux niveaux selon que vous êtes une entité importante ou une entité essentielle. Les entités importantes comptent au moins 50 salariés ou ont un chiffre d’affaires et un bilan supérieurs à 10 M€. Leurs amendes vont jusqu’à 7 M€ ou 1,4 % du CA mondial. Les entités essentielles, quant à elles, comptent au moins 250 salariés ou réalisent un chiffre d’affaires supérieur à 50 M€ et un bilan supérieur à 43 M€. Les amendes vont jusqu’à 10 M€ ou 2 % du CA mondial. Dans les deux cas, le dirigeant engage sa responsabilité personnelle, pouvant aller jusqu’à une interdiction temporaire d’exercer ses fonctions.

Les changements par rapport au NIS1

Les évolutions sont nombreuses, pour bien les comprendre, nous vous proposons le tableau comparatif suivant :

Critère	NIS1 (2016)	NIS2 (2022)
Secteurs couverts	7 secteurs	18 secteurs
Entités en France	~500	10 000 à 15 000
Désignation	Cas par cas par l’État	Automatique selon taille/secteur
Mesures techniques	Non détaillées	10 mesures explicites (art. 21)
Responsabilité des dirigeants	Inexistante	Personnelle (art. 20)
Notification d’incident	Sans délai défini	24 h / 72 h / 1 mois
Supply chain	Non couverte	Obligation explicite
Sanctions	Variables, faibles	Harmonisées jusqu’à 10 M€

Avec ces nouvelles règles, de nombreuses organisations sont désormais concernées par la NIS 2. Là où 98 % des PME/ETI n’étaient pas concernées par la NIS1, elles le sont automatiquement aujourd’hui dès lors qu’elles remplissent les critères.

Comment les directives NIS2 s’intègrent dans le cloud souverain ?

Le NIS2 inclut explicitement les hébergeurs et opérateurs de data centers parmi les entités essentielles.

Mesures de conformité à prendre en compte pour les entreprises

L’hébergement cloud n’est pas interdit par le NIS2, cependant il revient à l’organisation de vérifier que les objectifs de sécurité sont atteints. Vous devez donc vérifier chaque critère par vous-même. En choisissant un cloud souverain, qualifié SecNumCloud, vous déléguez une grande partie des mesures de l’article 21 à votre prestataire. Sa qualification délivrée par l’ANSSI confirme sa conformité et sa capacité à gérer ces impératifs. Notez qu’en sélectionnant un service qualifié SecNumCloud, vous répondez également aux exigences du RGPD puisque les mesures techniques NIS2 correspondent à l’article 32 du RGPD. Vous gagnez donc en tranquillité d’esprit.

En hébergeant vos données chez un fournisseur non conforme, vous supportez le risque juridique seul, là où en sélectionnant un service certifié, vous partagez la responsabilité.

6 étapes à suivre pour la mise en œuvre des mesures de conformité

Mettre en œuvre les mesures de conformité peut ressembler à un casse-tête, c’est pourquoi nous vous proposons de suivre notre guide en 6 étapes.

Étape 1 : vérifier votre éligibilité NIS2

Pour cela, rendez-vous sur le simulateur de l’ANSSI. Vous pouvez également vous reporter aux critères de chiffre d’affaires et de secteur. Si vous êtes sous-traitant informatique ou fournisseur de logiciels, nous vous conseillons d’effectuer la simulation afin de vérifier que vous y êtes ou non soumis par le fait de sous-traitance.

Étape 2 : cartographier vos données et votre système d’information

Cette étape consiste à analyser les données traitées et votre système d’information afin de déterminer ce qui peut être stocké sur un cloud et ce qu’il est préférable de garder en local. Pour cette étape, nous vous conseillons d’être accompagné par un expert afin d’être sûr de ne rien oublier.

Étape 3 : auditer votre niveau de protection actuel

Pour vous aider, rendez-vous sur l’outil mis à disposition par l’ANSSI sur votre espace NSI2. Vous pouvez également contacter un expert Kloud’Ici pour être accompagné dans cette démarche. En quelques clics, vous mesurez où vous en êtes aujourd’hui par rapport aux obligations légales. Vous identifiez vos points forts et surtout vos angles morts : mot de passe partagé sur le serveur, pas de sauvegarde hors site, aucune procédure en cas de panne, etc. Ce diagnostic est votre point de départ pour savoir quoi corriger en priorité, sans partir dans tous les sens.

Étape 4 : choisir un hébergeur cloud souverain certifié

Sélectionner un service cloud parmi les prestataires SecNumCloud selon votre usage (IaaS, SaaS, PaaS) et votre budget. Cet arbitrage doit être réalisé après une réelle étude de vos besoins. Votre cloud doit être capable de supporter votre activité et d’accompagner votre développement.

Étape 5 : mettre en place les mesures organisationnelles

Maintenant que votre service cloud est opérationnel, il ne vous reste plus qu’à vous occuper de la partie plus administrative : politique de sécurité, plan de continuité (PRA/PCA), procédure de notification d’incident, formation des équipes et de l’équipe de direction.

Étape 6 : s’enregistrer auprès de l’ANSSI

Il s’agit ici d’une obligation réglementaire qui entrera en vigueur dès la promulgation de la loi Résilience (prévue pour juillet 2026). Enfin, veillez à rester vigilant et à maintenir une veille sur les mises à jour du référentiel ReCyf. Cela vous évitera d’être retoqué pour non-conformité en cas d’évolution non suivie.

FAQ – Questions fréquentes sur la NIS 2

Le cloud souverain est-il obligatoire pour être conforme à NIS2 ?

Non, le NIS2 n’impose pas de manière explicite le recours à un cloud souverain. En revanche, elle exige que vous garantissiez la sécurité de vos données, de vos systèmes et de votre chaîne d’approvisionnement. En pratique, choisir un hébergeur certifié SecNumCloud est la façon la plus simple et la plus sécurisante d’y parvenir. Vous déléguez une grande partie de vos obligations à un prestataire reconnu par l’ANSSI, et surtout, vous partagez la responsabilité juridique en cas d’incident. Il s’agit davantage d’un choix stratégique que d’une obligation réglementaire.

Combien coûte la mise en conformité NIS2 pour une PME ?

Le coût varie selon votre taille et votre niveau de maturité actuel. Notez qu’il est généralement moins cher de se mettre en conformité plutôt que d’attendre la sanction ou la cyberattaque. On estime le coût moyen d’une cyberattaque pour une PME française : entre 50 000 et 200 000 € en remédiation directe, sans compter les pertes d’exploitation, les pénalités contractuelles et les amendes NIS2. Ne dit-on pas « mieux vaut prévenir que guérir » ?

Que se passe-t-il si la loi de transposition NIS2 n’est pas encore promulguée en France ?

La directive NIS2 est applicable dans l’Union européenne depuis le 17 octobre 2024. En France, la loi Résilience chargée de la transposer est attendue pour juillet 2026. Ce retard législatif ne signifie pas que vous pouvez attendre : l’ANSSI pousse activement les organisations à anticiper. Aujourd’hui, 41 % des PME ne savent toujours pas si elles sont concernées. Les premières vérifications de conformité débuteront dès la promulgation. Les entreprises qui auront anticipé seront en position favorable, les autres sous pression immédiate.