Quand le fournisseur doit arrêter le service : risque de juridiction pour le gestionnaire de mots de passe

La disponibilité n’est pas garantie : un exemple actuel

En juin 2026, ce qui paraît abstrait est devenu concret : une mesure de contrôle des exportations du gouvernement américain a obligé le fournisseur d’IA Anthropic à suspendre l’accès à deux de ses modèles les plus avancés pour les ressortissants étrangers, qu’ils se trouvent ou non aux États-Unis. Comme la nationalité des utilisateurs ne pouvait pas être vérifiée de manière fiable en temps réel, le fournisseur a désactivé par précaution les modèles concernés pour tous ses clients. En quelques heures, un produit auparavant librement disponible n’était plus utilisable – indépendamment des contrats en cours, des abonnements payés ou de la localisation physique des utilisateurs.

Ce cas est instructif pour une raison : il ne s’agissait pas d’une panne technique, mais d’une décision réglementaire. Un engagement contractuel de disponibilité (SLA) ne protège pas contre ce scénario : lorsqu’un fournisseur doit se conformer à une injonction administrative, celle-ci prime l’engagement contractuel. Pour des services non critiques, cela reste une gêne supportable. Pour une infrastructure critique pour l’activité, c’est un risque qui doit entrer dans la décision d’architecture.

Deux dimensions du risque de juridiction

Quiconque confie des données ou des services à un fournisseur soumis à un ordre juridique étranger assume deux risques distincts :

• Accès : les autorités du pays concerné peuvent, dans certaines circonstances, contraindre le fournisseur à remettre des données – même lorsque celles-ci sont physiquement stockées en Europe.
• Disponibilité : des sanctions, des contrôles à l’exportation ou d’autres injonctions souveraines peuvent obliger le fournisseur à interrompre un service pour certains groupes d’utilisateurs ou certaines régions.

Ces deux risques sont indépendants de la qualité technique du service ou de la situation contractuelle. Ils découlent uniquement de l’ordre juridique auquel le fournisseur est soumis.

Pourquoi cela pèse particulièrement lourd pour le gestionnaire de mots de passe

Un gestionnaire de mots de passe n’est pas un service ordinaire. Il contient les identifiants de pratiquement tous les autres systèmes d’une entreprise – de la messagerie aux serveurs et aux services Cloud, jusqu’à la comptabilité. Celui qui compromet ou arrête ce coffre-fort central atteint indirectement tout le reste.

Cela modifie l’évaluation du risque : pour de nombreuses applications, l’arbitrage peut pencher en faveur de la commodité du Cloud. Pour le coffre-fort des passe-partout de l’entreprise, en revanche, le contrôle de l’accès et de la disponibilité est prioritaire. Ici, un risque de juridiction ne touche pas un système isolé, mais potentiellement toute l’informatique.

Le contexte juridique

Le risque de juridiction avec des fournisseurs soumis à un ordre juridique étranger n’est pas une construction théorique : il s’inscrit dans des lois concrètes. Il ne se limite pas aux États-Unis – des règles comparables existent dans d’autres pays –, mais trois points sont particulièrement pertinents pour le marché européen :

• CLOUD Act (États-Unis, 2018) : oblige les fournisseurs de services de communication électronique ou de services de calcul à distance soumis à la juridiction américaine à divulguer les données en leur possession, garde ou contrôle, qu’elles soient stockées aux États-Unis ou ailleurs. Un centre de données européen exploité par un fournisseur américain n’exclut donc pas nécessairement l’accès.
• Règles d’accès des services de renseignement : des pouvoirs tels que FISA Section 702 concernent, sous certaines conditions, la collecte ciblée de communications de personnes non américaines situées hors des États-Unis via des services de communication américains. La portée et le statut juridique de ces pouvoirs doivent être évalués séparément pour le service concret.
• Transfert vers un pays tiers au sens du RGPD : quiconque transfère des données personnelles à des fournisseurs situés dans des pays tiers ou les y fait traiter doit respecter l’art. 44 et suiv. du RGPD. Depuis 2023, l’EU-US Data Privacy Framework fournit une base pour les organisations américaines certifiées, mais il ne remplace pas l’évaluation des risques et du fournisseur pour les données particulièrement sensibles.

Ces règles ne rendent pas les services Cloud globalement inadmissibles. Mais elles déplacent une partie du contrôle hors de l’entreprise – et ce contrôle est précisément particulièrement précieux pour les identifiants.

Ce que signifie concrètement la souveraineté numérique

La souveraineté numérique est facilement mal comprise comme un slogan politique. En pratique, elle signifie simplement que l’entreprise conserve le contrôle sur les trois questions qui comptent en cas critique.

• Emplacement : où les données sont-elles stockées physiquement et logiquement ?
• Accès : qui peut accéder aux données – et qui peut être contraint de donner accès ?
• Disponibilité : qui décide si le service continue de fonctionner ?

La souveraineté ne signifie pas renoncer par principe aux services Cloud. Elle signifie ne pas céder la réponse à ces trois questions pour la couche la plus sensible : les identifiants.

On-Premises comme réponse architecturale

La réponse la plus évidente au risque de juridiction consiste à conserver dans l’entreprise le contrôle de la couche critique. Un gestionnaire de mots de passe On-Premises maintient les bases de données chiffrées, la gestion des utilisateurs et les journaux entièrement sur une infrastructure que l’entreprise contrôle elle-même.

Une distinction claire s’impose, car dans l’exploitation en interne le fournisseur du gestionnaire de mots de passe disparaît dans tous les cas comme point externe de remise de données ou d’arrêt du service – la seule question restante concerne l’infrastructure :

• Centre de données propre : coffre-fort, clés, sauvegardes et exploitation sont entièrement entre vos mains. C’est ici que la souveraineté numérique va le plus loin : il n’existe ni service externe de gestionnaire de mots de passe ni exploitant externe d’infrastructure pouvant être contraint de donner accès ou d’arrêter le service.
• Private Cloud ou Azure-Tenant propre : ici non plus, aucun éditeur n’exploite le service de gestionnaire de mots de passe. En revanche, un exploitant d’infrastructure entre en jeu ; s’il est soumis à un ordre juridique étranger, son risque de juridiction doit être évalué séparément. Le risque lié au fournisseur du gestionnaire de mots de passe disparaît, le risque d’hébergement demeure.

Pour un contrôle maximal, l’exploitation dans votre propre centre de données est donc le choix le plus clair. L’évaluation de protection des données se simplifie dans les deux cas, car le fournisseur du gestionnaire de mots de passe ne provoque aucun transfert vers un pays tiers – détails dans l’article Gestionnaire de mots de passe RGPD pour les entreprises.

Comparaison de la souveraineté selon le modèle d’exploitation

Les gestionnaires de mots de passe Cloud ne sont pas dangereux en soi : pour les organisations sans infrastructure propre et sans exigences particulières de souveraineté, ils peuvent constituer un choix approprié. La question n’est pas « bon ou mauvais », mais : qui doit décider, en cas critique, de l’accès et de la disponibilité des données les plus sensibles ?

En bref : lorsque le contrôle de l’accès et de la disponibilité est décisif, l’exploitation en interne est le choix cohérent – non pas parce que le Cloud serait exclu par principe, mais parce que les identifiants constituent la couche pour laquelle vous devriez garder le contrôle.

Password Depot : la souveraineté des données comme principe

Le Password Depot Enterprise Server est conçu de manière cohérente pour l’exploitation dans votre environnement et n’impose aucun service Cloud externe – la souveraineté des données vous appartient entièrement. Le fabricant est également déterminant pour la question de souveraineté : Password Depot est développé par AceBIT GmbH, basée à Darmstadt – une entreprise allemande soumise au droit allemand et européen. Développé depuis 1998, utilisé par plus de 100 000 clients.

• Exploitation dans votre infrastructure : On-Premises dans votre propre centre de données, dans une Private Cloud chez le partenaire d’hébergement de votre choix ou dans votre propre Azure-Tenant – les bases de données chiffrées ne quittent pas le périmètre de responsabilité que vous avez choisi.
• Fabricant soumis au droit de l’UE : en tant qu’entreprise allemande, AceBIT n’est pas soumise au US CLOUD Act. Si vous utilisez une infrastructure externe, son exploitant doit être évalué séparément – le choix vous appartient.
• Architecture de sécurité vérifiable : AES-256 (algorithme selon FIPS 197) et TLS 1.3, un test d’intrusion SySS pour Password Depot 19 (12/2025) avec le résultat « aucune faille de sécurité grave constatée », ainsi qu’un SMSI d’AceBIT GmbH certifié selon ISO/IEC 27001:2022 par TÜV NORD CERT.
• Exploitable conformément au RGPD : comme les données restent, en exploitation interne, sur l’infrastructure que vous avez choisie, le gestionnaire de mots de passe n’entraîne aucun transfert vers un pays tiers ; les rôles, la journalisation et le chiffrement soutiennent les mesures techniques et organisationnelles prévues à l’art. 32 du RGPD. La conformité concrète dépend en outre de votre configuration et de vos processus. Tous les justificatifs sont disponibles dans le Trust Center.

Ainsi, le prétendu inconvénient de l’exploitation en interne devient un avantage stratégique : Password Depot est le modèle d’exploitation dans lequel aucun service éditeur tiers ne décide de l’accès à vos passe-partout ni de la disponibilité de votre coffre-fort.

Conclusion : la souveraineté est une décision d’architecture

La disponibilité et la protection des accès ne peuvent pas être garanties uniquement par contrat lorsque la chaîne sous-jacente de fournisseurs ou d’infrastructure relève d’un ordre juridique étranger – l’exemple de juin 2026 le montre clairement. Pour la plupart des systèmes, cette dépendance est acceptable. Pour le gestionnaire de mots de passe qui conserve les clés de tout le reste, elle ne l’est pas. Si vous voulez garder le contrôle de l’emplacement, de l’accès et de la disponibilité, mieux vaut prendre cette décision au niveau de l’architecture – par une exploitation en interne sous votre propre contrôle et avec un fabricant soumis au droit européen.

Faites-vous votre propre idée dans votre environnement : testez l’Enterprise Server gratuitement pendant 30 jours, découvrez la solution dans une démo en direct ou demandez une offre sans engagement pour votre nombre d’utilisateurs.

Questions fréquentes sur la souveraineté numérique

Que signifie la souveraineté numérique dans la gestion des mots de passe ?

Elle signifie que l’entreprise conserve le contrôle sur trois questions : où se trouvent les identifiants, qui peut y accéder et qui décide de la disponibilité du service. En exploitation interne dans son propre centre de données, les trois réponses appartiennent à l’entreprise elle-même.

Qu’est-ce que le CLOUD Act – et les entreprises allemandes sont-elles concernées ?

Le CLOUD Act (États-Unis, 2018) oblige les fournisseurs de services de communication électronique ou de services de calcul à distance soumis à la juridiction américaine à divulguer les données dont ils ont la garde ou le contrôle – indépendamment du lieu de stockage physique. Pour les entreprises allemandes, cela peut devenir pertinent lorsqu’elles utilisent de tels fournisseurs pour gérer des données sensibles, même si les données se trouvent dans un centre de données européen.

Un centre de données européen d’un fournisseur américain protège-t-il contre l’accès ?

Pas nécessairement. Ce qui compte, ce n’est pas seulement l’endroit où les données sont stockées, mais aussi l’ordre juridique auquel le fournisseur est soumis. Si le fournisseur relève du droit américain, une obligation de divulgation peut également concerner des données stockées hors des États-Unis.

Les gestionnaires de mots de passe Cloud sont-ils donc fondamentalement peu sûrs ?

Non. Il ne s’agit pas de la sécurité technique du chiffrement, mais du contrôle de l’accès et de la disponibilité. Pour les organisations sans exigences particulières de souveraineté, les solutions Cloud peuvent être appropriées. Pour les identifiants – la couche qui ouvre tous les autres systèmes –, l’arbitrage penche toutefois souvent en faveur du contrôle propre.

Comment l’exploitation On-Premises protège-t-elle du risque de juridiction ?

Dans l’exploitation en interne, il n’existe aucun service externe de gestionnaire de mots de passe pouvant être contraint de remettre des données, ni aucun service exploité par le fabricant qu’une autorité étrangère pourrait arrêter. Dans votre propre centre de données, l’emplacement de stockage, les voies d’accès et la disponibilité sont entièrement sous le contrôle de votre propre IT. En cas d’infrastructure externe comme une Private Cloud ou un Azure-Tenant, l’exploitant d’infrastructure doit en outre être évalué.

Password Depot est-il soumis au droit américain ?

Non. Password Depot est développé par AceBIT GmbH, basée à Darmstadt – une entreprise allemande soumise au droit allemand et européen. En exploitation On-Premises, les données chiffrées restent dans votre propre infrastructure ou dans celle que vous avez choisie. En cas d’utilisation d’une infrastructure externe, son fournisseur doit être évalué séparément.