.png)
.png)
.webp)
.svg)
.svg)
.svg)
.png)
.png)
.jpg)
%20F%20(1).jpeg)
.webp)
Login
En janvier 2026, l’État français a annoncé la généralisation de Visio, sa solution de visioconférence développée par la DINUM, à l’ensemble des services de l’État d’ici 2027. L’objectif affiché est de mettre fin à l’utilisation de solutions extra-européennes, notamment les solutions américaines Zoom et Microsoft Teams, et de « garantir la sécurité et la confidentialité des communications électroniques publiques », selon David Amiel, ministre délégué chargé de la Fonction publique et de la Réforme de l’État.
Cette décision ne concerne pas seulement le secteur public. Les communications des entreprises privées contiennent souvent des informations sensibles, des données personnelles ou des éléments stratégiques internes. La sécurité des canaux utilisés pour les transmettre devient donc un enjeu de compétitivité, de continuité opérationnelle et de conformité.
Les éditeurs de logiciels établis hors de l’Union européenne relèvent du droit de leur pays d’origine. Ce risque juridique peut être difficile à concilier avec les exigences européennes de protection et de maîtrise des données. Pour préserver leur souveraineté numérique, les entreprises doivent donc évaluer si leurs outils de communication répondent aux standards de sécurité, de gouvernance et de conformité attendus en Europe.
Cet article propose un guide pratique pour analyser l’exposition au risque de vos outils de communication.
À retenir
- La décision de la France d’abandonner Zoom et Microsoft Teams dans les services de l’État montre que la souveraineté des données et la sécurité des communications sont devenues des priorités stratégiques en Europe.
- Les textes européens, notamment DORA, NIS2 et le règlement sur les données (Data Act), renforcent les attentes en matière de résilience, de gouvernance et de maîtrise des risques liés aux prestataires technologiques.
- La conformité au RGPD reste essentielle, mais elle ne suffit pas toujours à écarter les risques liés à l’accès aux données par des autorités étrangères.
- Les récentes évolutions de Microsoft Teams montrent que le profil de risque d’un outil de collaboration courant peut évoluer rapidement.
La pression réglementaire en Europe
Les entreprises européennes doivent sécuriser leurs communications et protéger l’accès aux données qu’elles détiennent. Plusieurs textes expriment déjà cette exigence.
|
Réglementation |
Ce que cela implique |
Risques potentiels |
|---|---|---|
|
Les entités financières doivent notifier les incidents majeurs liés aux TIC dans les quatre heures suivant leur classification comme incident majeur, et au plus tard dans les 24 heures suivant leur détection. Elles doivent également démontrer la résilience opérationnelle de leurs systèmes numériques. Les plateformes utilisées pour les présentations de résultats, les événements investisseurs et les communications internes peuvent faire partie de cette infrastructure. |
Une plateforme de communication insuffisamment sécurisée accroît le risque d’interruption opérationnelle. À l’inverse, une solution adaptée contribue à démontrer que l’entreprise a mis en place des mesures de résilience.
|
|
|
Les entités essentielles et importantes des organisations doivent prendre en compte la sécurité de leur chaîne d’approvisionnement TIC, y compris les risques liés aux prestataires technologiques et aux demandes d’accès de juridictions tierces, comme le CLOUD Act américain le permet. |
Les organisations qui utilisent des prestataires non européens sans évaluer les risques de souveraineté et de chaîne d’approvisionnement peuvent s’exposer à des enjeux de conformité, même en l’absence de violation de données. Selon les cas, les sanctions peuvent atteindre 10 M€ ou 2 % du chiffre d’affaires annuel mondial. |
|
|
Les fournisseurs de services cloud et de traitement de données opérant dans l’Union européenne doivent prévoir des garanties contre certaines demandes d’accès illicites émanant d’autorités publiques de pays tiers. |
Les entreprises utilisant des plateformes qui n’offrent pas de garanties claires face aux demandes d’accès étrangères peuvent exposer leurs communications sensibles, notamment corporate, investisseurs ou collaborateurs, à des risques de gouvernance et de conformité. |
Pourquoi la conformité au RGPD ne suffit pas
La conformité au RGPD est indispensable, mais elle ne couvre pas à elle seule l’ensemble des risques liés à la sécurité des communications d’entreprise. Le règlement encadre:
-
le traitement licite et transparent des données,
-
la collecte de données pour des finalités déterminées, explicites et légitimes,
-
la minimisation des données collectées,
-
l’exactitude et la mise à jour des données,
-
la sécurité du stockage et la limitation de la durée de conservation.
En revanche, le RGPD ne règle pas à lui seul la question des demandes d’accès formulées par des autorités étrangères auprès d’un fournisseur soumis à leur droit national. Même lorsque les données sont hébergées physiquement dans l’Union européenne et traitées de manière conforme au RGPD, un fournisseur américain peut rester concerné par le CLOUD Act si les conditions légales sont réunies.
De même, la section 702 du Foreign Intelligence Surveillance Act (FISA) autorise les services de renseignement des États-Unis à recueillir des informations étrangères auprès de fournisseurs de services de communication américains, sans mandat individuel pour chaque personne visée.
L’enjeu n’est donc pas d’opposer RGPD et souveraineté numérique, mais de ne pas les confondre. Une organisation peut être conforme au RGPD tout en restant exposée à des risques d’accès non voulu à ses données sans même en être alertée.
Exemple: les enjeux de sécurité de Microsoft Teams
De nombreuses entreprises utilisent encore Microsoft Teams dans leurs communications quotidiennes. Mais au-delà du risque juridique lié au CLOUD Act ou à FISA, plusieurs évolutions récentes rappellent que le profil de risque d’un outil courant peut changer rapidement.
-
En janvier 2026, Microsoft a notamment renforcé la protection contre les liens malveillants dans Teams. Ce type de fonctionnalité peut améliorer la sécurité des utilisateurs, mais il conduit aussi les entreprises à s’interroger sur les données réellement analysées par l’outil, dans quel cadre, avec quels contrôles et quels accès.
-
La fonctionnalité Chat with Anyone permet par ailleurs d’inviter des contacts externes à rejoindre des conversations Teams via leur adresse e-mail, même lorsqu’ils n’utilisent pas Teams. Cette ouverture peut faciliter la collaboration, mais elle élargit aussi la surface d’attaque si les politiques d’accès, les contrôles et les règles de partage ne sont pas strictement maîtrisés.
-
Enfin, les campagnes de hameçonnage imitant des invitations Microsoft Teams montrent que les utilisateurs peuvent être incités à cliquer sur de faux liens de réunion ou à rejoindre des environnements malveillants. Pour les communications sensibles, il devient donc essentiel de disposer d’un parcours de connexion vérifiable et maîtrisé.
Ces exemples montrent que la sécurité d’une plateforme ne se limite pas à ses fonctionnalités. Elle dépend aussi du cadre juridique de l’éditeur, de l’hébergement, des contrôles d’accès, des paramètres d’administration et de la capacité de l’entreprise à anticiper les changements de configuration.
Évaluation gratuite: votre plateforme de communication présente-t-elle un risque de sécurité?
Les communications d’entreprise peuvent inclure des événements à forts enjeux qui nécessitent une plateforme capable de préserver l’intégrité des données et des informations traitées ou partagées.
Votre dispositif actuel est-il réellement sécurisé, ou crée-t-il une exposition au risque?
Cette évaluation simple, qui vous prendra deux minutes, vous aide à identifier votre niveau d’exposition et les mesures à envisager pour préserver votre souveraineté numérique.
Faire l’évaluation
EngageStream est conçu pour les communications réglementées
EngageStream, la solution de communication d’Euronext Corporate Solutions, a été créée et est hébergée dans l’Union européenne. Elle respecte les exigences européennes en matière de confidentialité et de traitement des données. Pour les entreprises européennes, cela permet de s’appuyer sur une plateforme conforme au droit de l’Union européenne, qui se maintient sans cesse à jour, et de sécuriser leurs communications corporate.
EngageStream est:
-
certifié ISO/IEC 27001 et conforme au RGPD, avec une infrastructure hébergée dans l’Union européenne,
-
conçu pour les événements de relations investisseurs, les assemblées générales, les présentations de résultats et les journées investisseurs,
-
proposé comme une solution complète, incluant l’accompagnement de la production, le repérage de lieux, la préparation des intervenants et l’accès à un large réseau de studios professionnels en Europe,
-
intégré à l’écosystème Euronext Corporate Solutions, au sein d’une suite de solutions destinée aux émetteurs européens et conçue par des experts des marchés de capitaux.
FAQ
Ces risques concernent-ils aussi les contenus à la demande et les replays, ou seulement les événements en direct?
Les mêmes enjeux de gouvernance, de souveraineté des données et de contrôle d’accès s’appliquent aux enregistrements, aux replays, aux transcriptions et aux archives qu’aux événements diffusés en live.
Comment expliquer ce risque à la direction générale ou au conseil d’administration?
Il est préférable de le présenter comme un sujet de résilience opérationnelle, de gouvernance et de risque réputationnel, plutôt que comme une question purement technique. C’est particulièrement important lorsque les communications concernent les investisseurs, les collaborateurs ou le marché.
Passer à une plateforme européenne signifie-t-il abandonner les outils déjà utilisés au quotidien?
Pas nécessairement. De nombreuses organisations continuent d’utiliser des outils de collaboration généralistes pour les réunions courantes, tout en adoptant des plateformes européennes spécialisées pour les communications réglementées ou à forts enjeux.
Conclusion
Les récentes évolutions de Microsoft Teams rappellent que l’utilisation d’outils généralistes pour des événements sensibles doit être réévaluée régulièrement. Lorsqu’une entreprise traite des communications à forts enjeux, elle doit aussi examiner le cadre juridique de l’éditeur, l’hébergement des données, les contrôles d’accès, les dépendances technologiques et les risques liés aux demandes d’accès d’autorités étrangères.
La décision de l’État français illustre une tendance plus large : la souveraineté numérique devient un sujet de gouvernance, et pas seulement un choix informatique. Pour les communications corporate, les événements investisseurs ou les annonces sensibles, il devient essentiel de privilégier des solutions conçues et hébergées dans l’Union européenne, capables de limiter les risques de fuite, d’accès non autorisé et de perte de contrôle sur les données.
