Le Parlement enquête sur votre dépendance à AWS. Êtes-vous capable de répondre à la question : « Que se passe-t-il si Microsoft coupe votre accès demain ? »

Le 20 avril 2026, la Commission européenne a officiellement attribué un marché-cadre de 180 millions d’euros sur six ans à des clouds souverains européens — OVHcloud, Scaleway, STACKIT, S3NS — écartant délibérément AWS, Microsoft Azure et Google Cloud pour l’hébergement des institutions européennes. Le lendemain, la commission d’enquête parlementaire française sur les dépendances structurelles dans le numérique poursuivait ses auditions, interrogeant Bpifrance et des fournisseurs de cloud sur l’exposition des entreprises françaises.

Ce mouvement n’est pas idéologique. Il est stratégique. Et il pose une question que toute ETI française devrait être capable de répondre en moins de cinq minutes : si votre principal fournisseur cloud coupait votre accès demain matin — pour une panne, une décision commerciale, ou une tension géopolitique — que se passerait-il ?

Les risques concrets que la dépendance cloud crée pour votre entreprise

Le risque de rupture de service

AWS, Azure et Google Cloud sont des infrastructures mondiales remarquablement fiables — mais pas infaillibles. En 2025, plusieurs pannes majeures ont paralysé des milliers d’entreprises pendant plusieurs heures. Une dépendance exclusive à un seul fournisseur, sans plan de continuité documenté, transforme un incident fournisseur en catastrophe opérationnelle pour vous.

Le risque juridique : le Cloud Act

Les services cloud américains — y compris leurs filiales et infrastructures hébergées en Europe — sont soumis au CLOUD Act. Cette loi autorise les autorités américaines à exiger l’accès aux données stockées par ces entreprises, quel que soit le lieu de stockage. AWS ne peut pas garantir qu’une injonction américaine ne sera jamais exécutée sur vos données hébergées en Irlande. C’est factuel — le PDG d’AWS Europe l’a reconnu devant une commission parlementaire.

Le risque tarifaire

Les prix des hyperscalers ont augmenté significativement ces deux dernières années. Microsoft a relevé le prix de ses licences Microsoft 365 de 15 à 25 % selon les plans. Les « egress fees » — frais de sortie des données — créent une dépendance économique réelle qui rend la migration coûteuse une fois engagée. C’est précisément ce que la Commission européenne qualifie de pratique anticoncurrentielle dans son enquête DMA sur AWS et Azure.

Ce que la sortie du cloud public ne signifie pas

Sortir du cloud public ne signifie pas revenir à des serveurs physiques en salle informatique. La tendance documentée par Wavestone et confirmée par tous les analystes est à l’hybride maîtrisé : des plateformes globales pour les workloads standards et l’innovation, complétées par une infrastructure souveraine pour les données critiques et les systèmes sensibles.

L’objectif n’est pas de couper AWS — c’est de ne plus en être prisonnier.

Les questions à poser dans votre COMEX cette semaine

• Quelles applications critiques dépendent exclusivement d’un fournisseur cloud américain ? Avons-nous un plan de continuité si ce service est interrompu ?
• Connaissons-nous nos frais de sortie de données (egress fees) si nous décidions de changer de fournisseur ? Sommes-nous réellement libres de partir ?
• Nos données les plus sensibles (données clients, données RH, propriété intellectuelle) sont-elles soumises au Cloud Act américain sans que nous en ayons conscience ?
• Si notre fournisseur cloud principal augmentait ses prix de 30 % l’an prochain, quel serait l’impact sur notre budget IT ? Avons-nous une alternative documentée ?

La stratégie hybride : conserver la flexibilité, retrouver la maîtrise

Le modèle que nous recommandons à nos clients ETI n’est pas un basculement radical. C’est une cartographie claire de vos workloads, une distinction entre ce qui peut rester sur cloud public et ce qui gagne à être rapatrié sur infrastructure française maîtrisée — avec une clause de réversibilité documentée pour tout ce qui reste chez les hyperscalers.

HostMe opère des infrastructures sur les datacenters OVHcloud de Roubaix et Strasbourg, sous juridiction française et droit européen, avec des contrats sans clause de rétention de données et des frais de sortie contractuellement nuls. Ce n’est pas une posture politique — c’est une réponse pragmatique à des risques documentés.

Cegedim, ANTS, OFII : si 3 fuites massives n’ont pas suffi à alerter votre direction, que faudra-t-il ?

En moins de six mois, trois fuites de données massives ont secoué la France. En février 2026, une cyberattaque contre le logiciel médical MLM de Cegedim Santé expose les données administratives de 15 millions de patients — annotations médicales intimes incluses — révélées quatre mois après les faits par une enquête de France 2. En avril, le portail de l’ANTS est percé par une faille IDOR élémentaire : jusqu’à 19 millions de comptes en vente sur le dark web. Dans le même mois, l’OFII voit fuiter 2,1 millions de dossiers de demandeurs de titres de séjour.

Ce n’est pas une vague exceptionnelle. C’est le nouveau rythme. Et si votre direction n’a pas encore changé de posture, voici pourquoi elle doit le faire maintenant.

Ce que ces trois incidents ont en commun

Des failles techniques prévisibles

La faille IDOR de l’ANTS est cataloguée dans le Top 10 de l’OWASP depuis des années. Elle est détectable en quelques heures par un auditeur compétent. La faille Cegedim a été signalée par le hacker lui-même — l’entreprise n’a pas répondu. Ces incidents ne sont pas des coups de génie — ce sont des défaillances de maintenance et de surveillance basiques.

Une détection tardive, une communication encore plus tardive

Cegedim a détecté l’intrusion en octobre 2025. Elle a notifié ses clients médecins en janvier 2026. Le grand public a appris les faits le 26 février — quatre mois après les faits, via une enquête télévisée. Les 15 millions de personnes concernées n’ont eu aucun moyen de savoir si leur dossier contenait des informations sensibles. C’est une violation directe de l’esprit du RGPD, qui impose une notification dans les meilleurs délais.

Des données qui ne disparaissent pas

Les bases en circulation sur le dark web ne sont pas supprimées. Elles sont copiées, enrichies, revendues. Les données de la fuite ANTS seront utilisées dans des campagnes de phishing pendant des mois. Croisées avec Cegedim, elles permettent de constituer des profils d’une précision redoutable sur des millions de Français.

Pourquoi votre entreprise est concernée — même si elle n’est pas la cible

Vos collaborateurs ont des comptes ANTS. Certains étaient peut-être patients chez des médecins utilisant MLM de Cegedim. Leurs données sont dans ces bases. Et ces données vont alimenter des tentatives d’ingénierie sociale ciblées contre votre entreprise.

Un e-mail d’apparence officielle construit sur des informations réelles. Un appel téléphonique de quelqu’un qui connaît le nom du DSI et la structure de votre organisation. Une tentative de connexion à votre VPN avec des identifiants récupérés sur une autre fuite. Ce sont les vecteurs d’entrée les plus courants dans les PME — et les fuites publiques en sont le carburant.

Les 5 mesures à déclencher cette semaine

• Sensibiliser vos équipes aux campagnes de phishing en cours : envoyer une note interne avec des exemples concrets de messages frauduleux liés à ces fuites.
• Vérifier que le MFA est activé sur tous les accès critiques : messagerie professionnelle, outils RH, ERP, interfaces d’administration.
• Auditer vos accès actifs : qui se connecte à vos serveurs et applications ? Des accès orphelins d’anciens prestataires existent dans la majorité des PME auditées.
• Tester vos sauvegardes : une restauration de test prend quelques heures et peut éviter plusieurs jours d’arrêt en cas d’incident.
• Mettre à jour votre registre des traitements RGPD et vérifier vos procédures de notification en cas d’incident.

Ces mesures ne nécessitent pas un budget exceptionnel. Elles nécessitent une décision et une mise en œuvre immédiate.

DSI interne vs infogérance : le vrai calcul que votre DAF devrait faire avant de décider.

C’est une décision stratégique que beaucoup de PME abordent avec les mauvais paramètres. Le raisonnement habituel : « Un DSI coûte 80 000 € par an. L’infogérance coûte 1 200 € par mois. L’infogérance est moins chère. » Ou l’inverse : « L’infogérance, c’est cher pour ce qu’on a. On préfère quelqu’un en interne. » Dans les deux cas, le calcul est incomplet. Voici la version correcte.

Le coût réel d’un DSI interne

Le salaire est la partie visible

Un DSI ou responsable informatique dans une PME de 50 à 500 salariés représente un salaire brut annuel de 60 000 à 100 000 euros selon l’expérience et la région. Ajoutez les charges patronales (environ 45 %), soit un coût employeur de 87 000 à 145 000 euros par an.

Les coûts cachés

• Recrutement : 15 à 25 % du salaire annuel selon les études de référence — soit 12 000 à 20 000 euros, sans garantie de succès dans les délais.
• En 2026, les profils DSI et responsables IT sont parmi les plus difficiles à recruter : 15 000 postes cyber non pourvus en France, délais moyens de 3 à 6 mois pour un profil qualifié.
• Congés, arrêts maladie, formation continue : pendant ces périodes, vos serveurs ne dorment pas. Qui assure la continuité ?
• Turnover : la durée de vie moyenne d’un DSI en PME est de 3 à 4 ans. Chaque départ relance le cycle de recrutement.

Ce qu’un DSI seul ne peut pas faire

Un DSI interne est une personne. Une personne qui dort, qui prend des vacances, qui tombe malade, qui a des compétences dans certains domaines et des lacunes dans d’autres. Elle ne peut pas assurer simultanément :

• La supervision 24h/7j de vos serveurs
• Une expertise à jour en cybersécurité, VMware, backup, réseau et applications
• La gestion de projets IT majeurs (migration, PRA, montée en version)
• La veille réglementaire (NIS2, RGPD, CSRD côté IT)

Une équipe d’infogérance, elle, apporte l’ensemble de ces compétences — de façon permanente, sans jours de congés et sans turnover à gérer.

Le calcul de l’infogérance

L’infogérance HostMe se structure en deux formules principales. La formule PRO à 100 euros par mois par serveur couvre la supervision, les interventions en heures ouvrées, la gestion des sauvegardes et les mises à jour de sécurité. La formule 24H/7J à 200 euros par mois ajoute l’astreinte nocturne et les interventions en urgence hors heures ouvrées, avec une Garantie de Temps de Rétablissement contractuelle.

Pour une PME avec 10 serveurs infogérés en 24/7 : 2 000 euros par mois, soit 24 000 euros par an. Avec une équipe disponible en permanence, des ingénieurs spécialisés et aucun coût de recrutement ni de remplacement.

Ce n’est pas l’un ou l’autre — c’est le bon niveau au bon moment

L’infogérance n’est pas une solution universelle. Les ETI avec une DSI interne existante peuvent opter pour un modèle co-managé : l’équipe interne conserve la maîtrise stratégique, HostMe assure la supervision 24/7, les interventions techniques spécialisées et la cybersécurité avancée. C’est le meilleur des deux mondes — et le modèle que la majorité de nos clients grands comptes ont choisi.

La vraie question n’est pas « DSI interne ou infogérance ». C’est : « Quel niveau de service avez-vous réellement besoin, et quel est le moyen le plus efficace de l’atteindre ? »

Passeports, permis, cartes d’identité : après l’ANTS, vos données administratives valent de l’or sur le dark web. Voilà pourquoi votre entreprise est la prochaine cible logique.

Le 15 avril 2026, l’Agence nationale des titres sécurisés (ANTS) — rebaptisée France Titres — a subi une intrusion informatique massive. Le bilan est sans appel : entre 11,7 et 19 millions de comptes potentiellement compromis, selon les estimations du ministère de l’Intérieur et des chercheurs en cybersécurité. Des données personnelles complètes — nom, prénom, date de naissance, adresse postale, adresse e-mail, numéro de téléphone — circulent désormais librement sur des forums de revente du dark web.

L’incident a été rendu public cinq jours après sa détection. Le Parquet de Paris a ouvert une enquête, confiée à l’Office anti-cybercriminalité (OFAC). La CNIL et l’ANSSI ont été notifiées. Le ministre de l’Intérieur a saisi l’Inspection générale de l’administration pour établir la chaîne de responsabilité.

Pendant ce temps, sur des forums spécialisés, des bases de données proposées à la vente se négocient à quelques centaines d’euros pour des millions de profils.

Ce que les hackers vont faire de ces données — et ça vous concerne

La première réaction face à ce type d’incident est toujours la même : ‘Je ne suis pas une célébrité, mes données n’intéressent personne.’ C’est une erreur d’analyse.

Les données volées à l’ANTS ne valent pas leur prix pour cibler des individus spécifiques. Elles valent leur prix parce qu’elles permettent de construire des attaques crédibles à grande échelle — et les entreprises sont les cibles principales.

Le phishing chirurgical

Avec un nom, un prénom, une adresse e-mail professionnelle et une date de naissance, un attaquant peut rédiger un e-mail de phishing personnalisé qui passe tous les filtres anti-spam basiques. ‘Bonjour Madame Martin, suite à votre demande de renouvellement de carte d’identité du 12 mars, merci de confirmer votre identité…’ Votre responsable comptable ne verra pas la différence.

L’arnaque au président nouvelle génération

La technique du ‘faux PDG’ existe depuis des années. En 2026, elle s’appuie sur des données enrichies. Un attaquant qui connaît le nom du dirigeant, son adresse et son numéro de téléphone peut construire un scénario d’urgence extrêmement crédible — renforcé, si besoin, par un deepfake vocal généré en quelques secondes à partir d’une vidéo LinkedIn.

La consolidation de bases de données

Les hackers recoupent les fuites entre elles. ANTS + Cegedim Santé (15 millions de dossiers patients, fuite de février 2026) + OFII + France Travail : certains profils sont désormais documentés avec leur identité complète, leur état de santé, leur situation professionnelle et leurs coordonnées. Des profils d’une précision redoutable pour cibler les décideurs d’entreprise.

Votre entreprise est dans cette base de données

Si vous avez un compte sur ants.gouv.fr — pour renouveler votre carte d’identité, votre passeport ou votre permis — vos données personnelles font probablement partie des millions de profils en circulation. Et vos collaborateurs aussi.

La question n’est pas de savoir si vos données sont compromises. Elle est de savoir ce que votre entreprise fait pour que ces données ne deviennent pas un vecteur d’attaque.

Concrètement, cela signifie :

• Un collaborateur reçoit un e-mail d’apparence officielle lui demandant de valider ses identifiants de connexion au portail RH.
• Un e-mail ‘de la direction’ demande un virement urgent dans un contexte fabriqué à partir d’informations réelles.
• Un faux technicien informatique appelle en connaissant le nom exact du DSI et le modèle de serveur utilisé — information récupérée sur LinkedIn, enrichie des données ANTS.

Ces scénarios ne sont pas hypothétiques. Ils se produisent chaque semaine dans des PME françaises qui n’avaient ‘rien à cacher’.

Ce qui sépare les entreprises qui résistent de celles qui tombent

Les entreprises qui résistent à ces attaques ne sont pas celles qui ont le plus gros budget cybersécurité. Elles ont mis en place des protections de base — correctement — et elles les maintiennent en conditions opérationnelles.

1. L’authentification multifacteur (MFA) sur tous les accès critiques

Un collaborateur dont les identifiants sont compromis ne représente un risque que si l’attaquant peut s’en servir. Le MFA ajoute une couche que les données volées à l’ANTS ne suffisent pas à franchir. Messagerie, outils collaboratifs, accès VPN, interfaces d’administration : tout doit être protégé.

2. Une infrastructure avec des accès cloisonnés et tracés

Dans les architectures bien conçues, un collaborateur compromis ne peut pas accéder à l’ensemble du système d’information. Les accès sont segmentés, les actions enregistrées, les droits limités au strict nécessaire. C’est le principe du bastion d’accès — une brique que nos ingénieurs déploient systématiquement dans les infrastructures infogérées par HostMe.

3. La supervision en temps réel

Les attaques par phishing réussi se détectent généralement dans les minutes qui suivent — si quelqu’un regarde. Une supervision active 24h/7j permet d’identifier les connexions anormales, les tentatives d’accès hors horaires, les exports de données inhabituels, et d’intervenir avant que l’incident ne devienne une catastrophe.

4. Des sauvegardes hors de portée

Quand une attaque réussit malgré tout, la vraie question devient : combien de temps perdez-vous, et perdez-vous des données ? Une sauvegarde répliquée sur 3 sites, hors de portée de l’infrastructure principale, est la différence entre un incident maîtrisé et une paralysie d’activité de plusieurs jours.

Ce que cette affaire révèle sur l’état de la cybersécurité publique — et ce que ça vous apprend sur la vôtre

La faille exploitée dans le portail de l’ANTS est de type IDOR (Insecure Direct Object Reference). En termes simples : il suffisait de changer un chiffre dans l’URL pour accéder au dossier d’un autre utilisateur. Le pirate lui-même l’a qualifiée de ‘vraiment stupide’.

Cette vulnérabilité n’est pas rare. Elle figure dans le Top 10 des failles les plus communes de l’OWASP depuis des années. Elle est détectable lors d’un audit de sécurité basique. Et pourtant.

La leçon pour votre entreprise n’est pas de vous moquer des défenses de l’État. C’est de vous poser la même question : quand avez-vous fait auditer la sécurité de votre infrastructure pour la dernière fois ?

Pas un scan automatisé. Un audit conduit par des ingénieurs qui regardent comment vos API exposent vos données, comment vos accès sont configurés, où sont vos sauvegardes et si elles ont été testées.

Les bonnes questions à poser à votre prestataire informatique dès aujourd’hui

Cette affaire est l’occasion de remettre sur la table des questions que beaucoup d’entreprises évitent parce qu’elles anticipent des réponses inconfortables.

• Quelle est notre politique de MFA ? Est-elle appliquée sur 100 % des accès critiques, ou seulement en théorie ?
• Qui a accès à nos serveurs en ce moment ? Peut-on le tracer et le justifier ?
• Nos sauvegardes ont-elles été testées récemment ? En combien de temps pourrions-nous redémarrer après une attaque ransomware ?
• Qui nous alerte si un collaborateur se connecte à 3h du matin depuis une IP inconnue ?
• Nos logiciels et systèmes sont-ils à jour, y compris les environnements secondaires ?

Si votre prestataire ne peut pas répondre précisément à ces questions, il est peut-être temps d’en parler.

Nos experts à vos côtés — avant l’incident

Chez HostMe, nous gérons plus de 800 serveurs au quotidien pour des PME, ETI et plateformes SaaS qui ont décidé de ne pas attendre d’être victimes pour agir. Nos ingénieurs déploient et maintiennent les briques de sécurité qui auraient rendu la faille de l’ANTS inopérante sur vos infrastructures : MFA physique avec clés FIDO2, accès bastion tracé, supervision 24h/7j, sauvegardes répliquées sur 3 sites.

Votre sérénité numérique commence par un audit. On s’en occupe de A à Z.

On a audité 50 serveurs de PME françaises. Voilà ce qu’on a trouvé (et ce qui nous a surpris).

Nos ingénieurs gèrent plus de 800 serveurs au quotidien pour des PME, ETI et plateformes SaaS françaises. À chaque audit de reprise, ils produisent un rapport d’état. Et depuis 10 ans, les mêmes anomalies reviennent — pas des failles spectaculaires de films hollywoodiens, mais des problèmes discrets, chroniques, et coûteux.

Voici ce que nous trouvons le plus souvent. Avec les chiffres réels.

Anomalie 1 : des sauvegardes configurées mais jamais testées

C’est l’anomalie la plus fréquente — et la plus dangereuse. La sauvegarde est activée, planifiée, reportée comme « OK » dans les tableaux de bord. Mais elle n’a jamais été testée en conditions réelles. Quand l’incident survient — ransomware, corruption de données, suppression accidentelle — on découvre que la restauration échoue, que le périmètre sauvegardé est incomplet, ou que les fichiers de sauvegarde sont eux-mêmes corrompus.

Sur une vingtaine d’audits récents, plus de la moitié présentaient des sauvegardes non testées depuis plus de 6 mois. Dans deux cas, les sauvegardes ne fonctionnaient plus du tout — sans que personne ne l’ait détecté.

Anomalie 2 : le sur-provisionnement systématique

La majorité des serveurs que nous auditons sont sur-dimensionnés de 40 à 60 %. Des ressources CPU et RAM allouées au moment d’un pic d’activité passé, jamais revues depuis. Des snapshots qui tournent à vide depuis 18 mois sur des environnements de test abandonnés. Du stockage occupé par des logs jamais archivés ni purgés.

Le coût de ces ressources inutilisées est réel et récurrent. En cloud facturé à l’usage, il représente souvent 30 à 40 % de la facture mensuelle. Dans les infrastructures que nous optimisons, les gains sont immédiats — sans toucher aux performances opérationnelles.

Anomalie 3 : des accès actifs pour des prestataires ou collaborateurs partis

C’est la faille la plus courante — et la plus simple à exploiter. Un prestataire remplacé il y a deux ans. Un développeur parti en fin de mission. Un administrateur système en intérim. Leurs accès sont toujours actifs dans 60 % des infrastructures que nous auditons.

Ces accès sont des portes ouvertes. Ils n’exigent ni sophistication technique ni code malveillant — juste un identifiant qui fonctionne encore. Et souvent, l’ancien titulaire lui-même ne sait pas qu’il pourrait toujours se connecter.

Anomalie 4 : des certificats et logiciels hors support

Certificats SSL expirés sur des sous-domaines de production. Versions de PHP, MySQL ou WordPress non mises à jour depuis 18 mois. Systèmes d’exploitation en fin de support (Windows Server 2012 R2, CentOS 7). Ces points d’entrée sont documentés publiquement — les scanners automatisés des hackers les trouvent en quelques heures.

Le patch management n’est pas une tâche ponctuelle. C’est une discipline continue. Entre la publication d’une CVE critique et son exploitation active, il s’écoule désormais moins de 72 heures selon les données du CERT-FR.

Anomalie 5 : aucune supervision active

Dans la majorité des PME auditées, personne ne regarde les logs en temps réel. Les alertes sont configurées sur des seuils trop élevés. Les connexions nocturnes depuis des IP inconnues passent inaperçues. Les tentatives de brute force sur les interfaces d’administration ne déclenchent aucune réponse.

La supervision n’est pas réservée aux grands comptes. C’est une brique de base — et sans elle, vous saurez qu’il se passe quelque chose quand vos données seront déjà parties.

Ce que nous faisons quand nous reprenons une infrastructure

Quand HostMe prend en charge une nouvelle infrastructure, les 30 premiers jours sont consacrés à un audit systématique : cartographie des accès, test des sauvegardes, revue des ressources, audit des certificats et versions, configuration des alertes de supervision. Ce que nous trouvons, nous le documentons. Ce qui peut être corrigé immédiatement, nous le faisons.

Nos clients voient les résultats de cet audit. Parce que la transparence est la base d’une relation de confiance — et parce que vous méritez de savoir dans quel état est réellement votre infrastructure.

CSRD & IT : votre hébergeur va entrer dans votre bilan carbone. Êtes-vous prêt ?

En 2022, la CSRD (Corporate Sustainability Reporting Directive) a redéfini les règles du reporting environnemental en Europe. En 2026, elle s’applique concrètement aux grandes entreprises françaises. La directive Omnibus de décembre 2025 a relevé le seuil à 1 000 salariés et 450 millions d’euros de chiffre d’affaires pour l’obligation formelle — mais même les PME et ETI en dessous de ce seuil le ressentent déjà dans leurs appels d’offres : leurs donneurs d’ordre soumis à la CSRD leur demandent des données pour compléter leur propre scope 3.

Et au cœur de ce scope 3 : votre infrastructure IT. Vos serveurs. Votre hébergeur.

Ce que la CSRD exige sur votre IT

Le scope 3 regroupe toutes les émissions indirectes de votre organisation — celles générées par vos fournisseurs, vos déplacements, l’usage de vos produits. Il représente en moyenne 70 à 90 % de l’empreinte carbone totale d’une entreprise de services.

Dans cette catégorie figure désormais explicitement le poste « achats de services IT » : hébergement cloud, infogérance, SaaS, services managés. Chaque euro dépensé chez un hébergeur génère une dette carbone qui doit être mesurée, documentée et reportée.

Selon Gartner, seulement 18 % des grandes entreprises françaises disposent d’une mesure fiable de l’empreinte de leur système d’information. Le reste devra se structurer rapidement — ou subir les conséquences lors des audits CSRD.

Pourquoi le choix de votre hébergeur change tout

La localisation du datacenter, c’est du carbone mesurable

Le mix énergétique du pays où se trouve votre datacenter détermine directement l’empreinte de vos workloads. Un serveur hébergé en Irlande — où AWS, Google et Microsoft ont massivement investi — émet de 3 à 5 fois plus de CO₂ qu’un serveur hébergé en France, dont le mix électrique est parmi les plus bas carbones d’Europe grâce au nucléaire (55 gCO₂eq/kWh en moyenne).

Un datacenter à Roubaix ou Strasbourg, c’est un argument qui figure dans votre bilan carbone avec un chiffre vérifiable.

La transparence des données carbone fournisseurs

La CSRD exige un double reporting : émissions market-based et location-based. AWS ne fournit que des données market-based depuis son outil CCFT (étendu au scope 3 en octobre 2025). Google Cloud et Azure proposent les deux — mais avec une granularité insuffisante pour les PME. Les hébergeurs français qui publient leurs données carbone par datacenter simplifient considérablement le travail de reporting.

L’effet de ruissellement sur vos sous-traitants

Même si vous n’êtes pas directement soumis à la CSRD, vos clients grands comptes le sont. Ils vous demanderont vos données carbone pour alimenter leur propre scope 3 catégorie 1 (achats de services). Si vous ne pouvez pas répondre, vous perdrez des contrats. Ce n’est pas une projection — c’est déjà la réalité dans les appels d’offres 2026.

Ce que vous devez faire maintenant

• Identifier où sont hébergés vos serveurs et leur empreinte carbone estimée.
• Demander à votre hébergeur ses données carbone par datacenter (PUE, mix énergétique, émissions location-based).
• Intégrer le poste « hébergement » dans votre collecte de données scope 3 — en collaboration entre DSI et responsable RSE.
• Si vous ne pouvez pas obtenir ces données de votre hébergeur actuel, c’est un signal fort.

La CSRD n’est pas une contrainte administrative. C’est un filtre concurrentiel. Les entreprises qui maîtrisent leur empreinte numérique ont un avantage mesurable dans les appels d’offres, les levées de fonds et les partenariats grands comptes.