Souveraineté des logs : qui peut réellement accéder à vos journaux ?

Vos logs racontent tout de votre système d’information : son architecture, ses accès, ses failles, ses incidents. Pour un attaquant comme pour une autorité étrangère, c’est une cartographie complète de vos points faibles. La souveraineté des logs n’est donc pas une précaution de principe : avec NIS2 et DORA, elle est devenue un enjeu de conformité à part entière.

La question à se poser n’est plus seulement « où sont stockés mes logs ? », mais « qui, en dernier ressort, peut y accéder ? ». Et la réponse dépend moins de l’emplacement de vos serveurs que du droit auquel votre fournisseur est soumis.

Voici pourquoi un hébergement en Europe ne suffit pas, et quelles questions poser à votre fournisseur de log management, en SaaS comme en on-premises.

Pourquoi la souveraineté des logs est devenue un enjeu de conformité

Longtemps, un outil de gestion des logs se choisissait sur des critères techniques et économiques. NIS2 et DORA en ajoutent un que beaucoup d’équipes ITOps n’avaient pas en tête : la maîtrise de la chaîne de fournisseurs.

Ce que NIS2 et DORA exigent de vos fournisseurs

Parmi les mesures de gestion des risques imposées par NIS2, l’article 21 de la directive (UE) 2022/2555 inclut la sécurité de la chaîne d’approvisionnement, y compris les fournisseurs qui hébergent et traitent vos données. Pour le secteur financier, DORA va plus loin : le règlement (UE) 2022/2554 impose d’évaluer le risque de concentration lié aux prestataires TIC et d’inscrire la localisation des données dans le contrat (articles 28 à 30).

Autrement dit, le fournisseur qui stocke et traite vos journaux fait partie de votre périmètre de conformité. Vous devez pouvoir expliquer qui il est, où il traite vos données et sous quel droit il opère.

Les logs, des données parmi les plus sensibles du SI

Un log d’authentification révèle vos comptes à privilèges. Un log réseau décrit vos flux. Un log applicatif peut contenir des adresses IP ou des identifiants utilisateurs, donc des données personnelles au sens du RGPD. Centralisés, ces journaux forment une vue d’ensemble de votre SI : un actif à protéger, au même titre que vos données métier.

À retenir : la souveraineté des logs ne relève pas de la préférence. NIS2 et DORA vous demandent de maîtriser les fournisseurs qui hébergent et traitent vos données, journaux compris.

« Hébergé en Europe » ne veut pas dire « protégé par le droit européen »

C’est le malentendu le plus répandu. De nombreux éditeurs proposent aujourd’hui des régions d’hébergement européennes. Cette réponse règle la question de la localisation des données. Elle ne règle pas celle de la juridiction.

Le CLOUD Act : la juridiction compte plus que la géographie

Adopté aux États-Unis en 2018, le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) permet aux autorités américaines d’exiger d’un fournisseur relevant du droit américain qu’il leur communique les données qu’il détient, quel que soit le pays où elles sont physiquement stockées. Cela vaut pour un datacenter (centre de données) situé en France ou en Allemagne, et peut se faire sans notification préalable à la personne concernée ni au régulateur européen.

Une société de droit américain, ou la filiale européenne d’un groupe américain, peut donc être contrainte de livrer vos logs même s’ils sont « hébergés en Europe ». Le datacenter européen ne supprime pas le risque juridique : il le déplace.

Un conflit direct avec le RGPD

Ce mécanisme se heurte au RGPD. Son article 48 prévoit qu’une autorité d’un pays tiers ne peut exiger un transfert de données personnelles qu’au travers d’un accord international, comme un traité d’entraide judiciaire. Le client européen d’un fournisseur soumis au CLOUD Act peut ainsi se retrouver pris entre deux lois contradictoires, et vos logs, qui contiennent souvent des données personnelles, sont directement concernés.

Souveraineté contractuelle ou structurelle : la distinction qui change tout

Face à ce risque, deux approches coexistent, avec des niveaux de garantie très différents.

La souveraineté contractuelle : une promesse

Le fournisseur s’engage, par contrat, à héberger vos données en Europe et à résister aux demandes d’autorités étrangères. C’est utile, mais cela reste une promesse : un contrat ne peut pas prévaloir sur les obligations légales auxquelles le fournisseur est lui-même soumis.

La souveraineté structurelle : une architecture

Ici, c’est toute la chaîne de valeur qui relève du droit européen : l’éditeur, l’hébergeur, les sous-traitants, jusqu’aux briques d’IA. Il n’existe alors aucun point d’entrée pour une injonction extra-européenne, puisqu’aucun maillon n’y est assujetti.

Pour une organisation soumise à NIS2 ou DORA, qui doit démontrer la maîtrise et l’intégrité de ses journaux, seule la souveraineté structurelle apporte une garantie qui ne repose pas sur la bonne volonté d’un tiers.

À retenir : la souveraineté contractuelle est une promesse, la souveraineté structurelle est une architecture.

On-premises ou SaaS : la souveraineté ne dépend pas du mode de déploiement

Le réflexe courant consiste à rapatrier ses logs en interne pour sortir un tiers de la boucle. Le raisonnement est compréhensible, mais incomplet : un déploiement on-premises repose rarement sur une infrastructure totalement isolée. Trois maillons méritent d’être examinés.

• L’infrastructure. Si les serveurs qui hébergent vos journaux sont loués auprès d’un hébergeur ou d’un opérateur de cloud privé relevant du droit américain, même comme simple fournisseur d’infrastructure, le CLOUD Act peut s’appliquer à ce maillon.
• La couche logicielle. L’hyperviseur et le système d’exploitation posent la même question lorsqu’ils proviennent d’un éditeur soumis au même droit.
• Le support. Si votre éditeur de log management conserve un accès à distance pour le support ou la maintenance de l’instance déployée chez vous, ce canal devient à son tour un point d’exposition.

L’on-premises n’est donc pas une garantie de souveraineté en soi : comme le SaaS, il se juge maillon par maillon. La bonne question n’est pas « SaaS ou on-premises ? », mais « qui, dans la chaîne complète, relève d’un droit susceptible d’imposer une divulgation ? ». Une solution SaaS de log management structurellement européenne peut ainsi offrir plus de garanties qu’une solution on-premises qui dépend d’un hébergeur, d’un logiciel ou d’un support soumis à un droit extra-européen.

Dans l’Union européenne comme en dehors, un même enjeu d’autonomie stratégique

La souveraineté des logs n’est pas un réflexe protectionniste. C’est une question d’autonomie stratégique : garder la maîtrise de son IT, de ses données et de son avenir, où que l’on opère.

• Si vous opérez dans l’Union européenne, l’enjeu est double : démontrer à votre autorité compétente (l’ANSSI, l’ACPR ou l’AMF en France) que vous maîtrisez votre chaîne de fournisseurs, et protéger des journaux soumis au RGPD contre toute demande qui contournerait le droit européen.
• Si vous opérez hors de l’Union européenne, en Suisse, au Royaume-Uni, au Maghreb ou au Canada par exemple, le même test s’applique : savoir quelle juridiction gouverne chaque maillon de votre chaîne de journalisation. Et si vous disposez de filiales dans l’Union européenne ou servez des clients européens soumis à NIS2 ou DORA, ces textes vous concernent aussi : vos filiales peuvent y être assujetties à part entière, et les exigences de vos clients vous parviennent par le contrat.

Dans les deux cas, la logique est la même : une souveraineté qui se vérifie, plutôt qu’une souveraineté qui se déclare.

Comment évaluer la souveraineté de votre fournisseur de logs ?

La souveraineté ne se constate pas sur une plaquette commerciale : elle se vérifie maillon par maillon. Voici trois questions à poser en priorité à votre fournisseur, qu’il soit en SaaS ou déployé chez vous.

De quel droit relève l’éditeur ?

Une maison mère située hors de l’Union européenne suffit à exposer vos logs au droit de ce pays, même si la filiale qui vous facture est européenne.

Quels sous-traitants interviennent dans le traitement de vos logs ?

Support, sauvegarde, télémétrie, briques d’IA : un seul sous-traitant assujetti à une loi extraterritoriale suffit à rouvrir la brèche. Demandez la liste complète, et la juridiction de chacun.

Que se passe-t-il si une autorité non européenne réclame vos données ?

Le fournisseur peut-il s’y opposer en droit, ou seulement le promettre par contrat ? En France, la qualification SecNumCloud de l’ANSSI intègre justement des critères de protection vis-à-vis des législations extra-européennes. C’est un repère utile pour distinguer la preuve de la promesse.

Le guide « NIS2 et DORA : ce que la réglementation exige de vos logs » détaille la grille complète en sept questions, à confronter à votre fournisseur actuel.

Souveraineté et réversibilité : l’autre face de la maîtrise

Maîtriser ses logs, c’est aussi pouvoir changer de fournisseur. Des agents et formats propriétaires créent une dépendance qui réduit vos marges de manœuvre. Une collecte fondée sur un standard ouvert comme OpenTelemetry garde, au contraire, vos données dans un format réutilisable par tout outil compatible : la réversibilité devient une propriété de l’architecture, et non une clause de contrat.

L’approche de Centreon Log Management : une souveraineté structurelle

La solution Centreon Log Management, proposée en SaaS, a été conçue pour garantir une souveraineté structurelle, et non simplement contractuelle. Elle repose sur :

• Un éditeur français qui maîtrise sa chaîne de valeur, avec un écosystème souverain de bout en bout, qu’il s’agisse de l’IA avec Mistral ou de la sécurité avec CrowdSec.
• Des données hébergées en France sur Outscale, cloud de confiance de Dassault Systèmes.
• Une collecte native OpenTelemetry, pour une réversibilité garantie par l’architecture plutôt que promise par contrat.

S’y ajoutent les capacités exigées par NIS2 et DORA : rétention configurable par type de journal, protection contre l’altération et la suppression, contrôle d’accès par rôle et chiffrement.

Vos logs sont-ils vraiment souverains ?

NIS2 et DORA ont fait entrer la souveraineté des logs dans le champ de la conformité. La question n’est plus seulement de savoir si vos journaux sont bien conservés, mais qui peut, en dernier ressort, y accéder. La réponse se trouve dans le droit applicable à chaque maillon de votre chaîne : éditeur, hébergeur, sous-traitants, support.

Bonne nouvelle : cette vérification se fait une fois, et elle protège à la fois votre conformité et votre autonomie stratégique.

Téléchargez le guide « NIS2 et DORA : ce que la réglementation exige de vos logs » et confrontez votre fournisseur actuel aux sept questions de son chapitre 4.

Cet article a une vocation informative et ne constitue pas un conseil juridique. Pour toute décision de mise en conformité, référez-vous aux textes officiels et aux autorités compétentes.