Infogérance, résilience numérique, cyberattaques et pannes cloud, ce que les DSI renégocient sous pression NIS2

L’infogérance change de priorité. Longtemps évaluée sur la réduction des coûts et la continuité des services courants, elle se réorganise autour de la capacité à encaisser une cyberattaque, une panne cloud ou une rupture d’accès aux données. Le constat formulé par InformatiqueNews. fr s’inscrit dans un mouvement déjà visible chez les directions informatiques: la résilience numérique devient un critère contractuel, opérationnel et budgétaire.

ANSSI et NIS2 placent la résilience au centre de l’infogérance

La pression réglementaire modifie la relation entre clients et prestataires. En France, les recommandations de l’ANSSI servent de repère pour structurer les plans de continuité, les audits de sécurité et les dispositifs de réaction aux incidents. Les entreprises ne demandent plus seulement à leur infogérant de maintenir des serveurs disponibles. Elles attendent une preuve documentée de résistance face aux attaques, aux erreurs de configuration et aux défaillances de fournisseurs techniques.

La directive NIS2 renforce cette dynamique dans de nombreux secteurs, notamment l’énergie, les transports, la santé, l’industrie et les services numériques. Les organisations concernées doivent mieux encadrer la gestion des risques, la notification des incidents et le contrôle des sous-traitants. Pour les prestataires d’infogérance, cette évolution implique davantage de traçabilité, de reporting et de procédures vérifiables. Une promesse commerciale ne suffit plus lorsque la chaîne de responsabilité peut être examinée par un régulateur ou un assureur.

Le secteur financier suit une logique comparable avec DORA, applicable depuis janvier 2025 dans l’Union européenne. Les banques, assurances et acteurs de paiement doivent surveiller leurs prestataires informatiques critiques avec une exigence renforcée. Cette règle produit un effet d’entraînement. Des entreprises non financières reprennent les mêmes méthodes, car elles partagent les mêmes infrastructures cloud, les mêmes outils collaboratifs et les mêmes risques de dépendance opérationnelle.

Cette évolution installe la résilience numérique comme un indicateur de pilotage. Les appels d’offres demandent plus souvent des scénarios de crise, des exercices de restauration et des preuves d’isolement des sauvegardes. Les infogérants capables de démontrer leur maturité gagnent un avantage commercial, mais ils doivent accepter un niveau d’engagement plus précis sur la durée de reprise, la communication de crise et la conservation des journaux techniques.

SLA, sauvegardes et SOC deviennent le cœur des contrats

Les contrats d’infogérance reposaient déjà sur des engagements de disponibilité, mais les SLA se concentrent désormais sur des indicateurs plus proches des incidents réels. Les directions informatiques veulent connaître le délai d’escalade, le temps de qualification d’une alerte, la fréquence des tests de restauration et la liste des personnes mobilisables en dehors des heures ouvrées. Cette granularité change la négociation, car elle transforme une obligation générale de moyens en dispositif mesurable.

Le SOC, centre opérationnel de sécurité, occupe une place centrale dans ce nouveau modèle. Sa mission ne se limite pas à produire des alertes. Il doit corréler les signaux, distinguer un incident mineur d’une attaque en cours et transmettre rapidement les informations exploitables aux équipes d’exploitation. Dans les organisations les plus exposées, la surveillance 24 heures sur 24 devient un prérequis, avec des astreintes formalisées et des procédures de décision connues avant la crise.

Les sauvegardes immuables prennent également une valeur stratégique. Après plusieurs vagues de rançongiciels, de nombreuses entreprises ont compris que la sauvegarde classique pouvait être chiffrée ou supprimée par les attaquants. Les infogérants doivent donc proposer des copies isolées, des environnements de restauration testés et des contrôles réguliers d’intégrité. Une sauvegarde non restaurable n’a plus de valeur opérationnelle, même si elle existe dans un tableau de bord.

Les indicateurs RTO/RPO, liés au délai de reprise et à la perte maximale de données admissible, deviennent plus concrets dans les arbitrages budgétaires. Un service de paie, une plateforme de commande ou une ligne de production n’ont pas le même niveau de criticité. Les contrats les plus solides classent les applications par priorité, associent un coût à chaque niveau de protection et prévoient des exercices au moins annuels. Cette démarche limite les malentendus au moment où chaque minute d’arrêt pèse sur le chiffre d’affaires.

Cloud hybride et automatisation réduisent les interruptions critiques

L’architecture technique accompagne ce changement. Le cloud hybride permet de répartir certaines charges entre infrastructures internes, clouds publics et environnements spécialisés. Cette répartition ne garantit pas l’absence de panne, mais elle offre davantage de scénarios de repli. Les entreprises cherchent à éviter la dépendance totale à une région cloud, à un seul opérateur réseau ou à un centre de données unique. Le sujet devient prioritaire pour les applications indispensables à la facturation, à la logistique et au support client.

Les technologies comme Kubernetes facilitent le déplacement ou le redémarrage de services conteneurisés, à condition d’être correctement maîtrisées. Un orchestrateur mal configuré peut créer autant de fragilité que de souplesse. Les infogérants doivent donc documenter les dépendances, contrôler les versions et surveiller les politiques d’accès. La résilience ne repose pas sur l’outil seul. Elle dépend de la qualité de l’exploitation, de la supervision et de la discipline dans les changements.

L’automatisation prend une place croissante dans les opérations quotidiennes. Les scripts de déploiement, les contrôles de conformité et les procédures de redémarrage réduisent le risque d’erreur humaine, surtout lors des interventions nocturnes ou sous pression. Les prestataires les plus avancés utilisent des catalogues d’actions validées, avec journalisation complète. Cette méthode aide à rétablir un service plus vite, mais elle impose des tests réguliers pour éviter qu’un automatisme obsolète aggrave une panne.

L’observabilité complète la supervision traditionnelle. Au lieu de vérifier seulement si un serveur répond, les équipes suivent l’expérience utilisateur, les temps de réponse applicatifs, les flux réseau et les dépendances avec les services tiers. Cette vision plus fine permet de détecter une dégradation avant la rupture complète. Elle intéresse particulièrement les secteurs où une interruption courte peut avoir des effets visibles, comme le commerce en ligne, la santé, les services publics locaux ou les plateformes industrielles connectées.

DSI et ESN redéfinissent les responsabilités opérationnelles

La relation entre la DSI et son prestataire se transforme. L’infogérance ne peut plus être perçue comme un transfert complet du risque. Le client conserve la responsabilité de ses choix d’architecture, de ses priorités métiers et de ses arbitrages financiers. Le prestataire, de son côté, doit expliquer clairement ce qui est couvert, ce qui ne l’est pas et quelles conditions doivent être réunies pour respecter les engagements. Cette clarification évite les lectures divergentes lors d’un incident.

Les ESN et opérateurs managés adaptent leurs offres à cette demande. Beaucoup mettent en avant des services combinant exploitation, cybersécurité, sauvegarde, supervision et accompagnement à la conformité. Le modèle économique évolue vers des forfaits plus complets, souvent plus coûteux, mais mieux alignés sur les risques. Pour les PME et les collectivités, cette hausse peut être difficile à absorber. Elle impose de hiérarchiser les actifs essentiels plutôt que de chercher une protection uniforme sur tout le système d’information.

Les clauses de responsabilité deviennent plus détaillées. Elles précisent les conditions de notification, les limites d’indemnisation, les exclusions liées aux accès non maîtrisés et les obligations du client en matière de correctifs. Les assureurs cyber regardent ces éléments avec attention, car un contrat imprécis complique l’évaluation du risque. Les directions juridiques participent davantage aux discussions, aux côtés des équipes techniques et achats.

Le comité de crise s’impose comme un outil de gouvernance. Il réunit la DSI, la direction générale, la communication, le juridique et le prestataire. Son rôle consiste à décider vite, notamment lorsqu’il faut isoler un réseau, interrompre un service ou informer des clients. Les exercices de crise révèlent souvent des faiblesses simples, comme des listes de contacts incomplètes ou des accès administrateurs mal répartis. Dans ce domaine, la préparation compte autant que la technologie, car une organisation entraînée limite les pertes et rétablit la confiance plus rapidement.