ils demandent dans quel pays nos données sont stockées

Localisation du stockage dans le cloud relève de la sécurité de la chaîne d'approvisionnement, non du chiffrement

Cette question relève de la mesure de sécurité de la chaîne d'approvisionnement prévue à l'article 21, paragraphe 2, point d de la NIS2 : les exigences que l'entreprise impose à ses propres fournisseurs, y compris le fournisseur de services cloud. Le pays de stockage n'est donc pas une question de technique, mais de gestion des fournisseurs — quels accords ont été conclus avec ce fournisseur, et sont-ils documentés. Celui qui traite cela comme une simple question factuelle et répond immédiatement « oui » sans contrat sous-jacent répond techniquement correctement à la question mais manque la justification que le client souhaite vraiment obtenir.

La pièce justificative qui s'y rapporte est généralement un Data Processing Agreement ou l'aperçu des sous-traitants du fournisseur de services cloud, dans lequel figure la localisation des centres de données. Si vous ne l'avez pas sous la main, « à déterminer » est la bonne réponse ici — non pas parce qu'il faut rester inconnu, mais parce que nommer un pays sans ce document est une hypothèse, non un fait. La même documentation est également pertinente pour la question si l'entreprise fixe des exigences de sécurité à ses propres fournisseurs: un DPA avec une localisation fixe est souvent la preuve que cette exigence a été imposée. Certains clients ne posent d'ailleurs cette question non pas pour la localisation elle-même, mais pour vérifier s'il y a application du chiffrement au repos — vérifiez alors si la question ne s'aligne pas plutôt sur la politique sur la cryptographie et le chiffrement.

Où cela figure dans la directive : article 21, paragraphe 2, point d

L'article 21, paragraphe 2, point d de la NIS2 mentionne explicitement « la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité relatifs aux relations entre chaque entité et ses fournisseurs ou prestataires de services directs » comme l'une des dix mesures obligatoires. Un fournisseur de services cloud est un tel prestataire de services direct, et la localisation du stockage de données est un aspect de sécurité de cette relation. La norme ISO/IEC 27001, annexe A, développe cela davantage dans les mesures de contrôle concernant les relations avec les fournisseurs, ce qui explique pourquoi les clients posent souvent cette question en même temps que des questions de certification — voir aussi ou si l'entreprise est certifiée ISO 27001. La loi sur la cybersécurité reprend cette obligation sans modification de la directive.