Datacenter résilient : 7 critères NIS2/DORA à valider en 2026

Pourquoi la résilience des centres de données est devenue une priorité réglementaire

En 2026, exploiter un centre de données en Europe sans se conformer aux cadres NIS2 et DORA, c'est s'exposer à des sanctions pouvant atteindre 2 % du chiffre d'affaires mondial. Pour les opérateurs d'infrastructures numériques françaises, la question n'est plus de savoir s'il faut agir, mais à quelle vitesse. Le marché hexagonal compte désormais environ 350 sites opérationnels, pour une puissance installée de 715 MW, ce qui place la France au troisième rang européen. Cette densité fait des centres de traitement de données des cibles prioritaires pour les régulateurs, au même titre que les réseaux d'énergie ou de transport.

La directive NIS2, transposée en droit français à travers la loi Résilience fin 2025, soumet entre 15 000 et 18 000 entités à des obligations renforcées. Le règlement DORA, pleinement applicable depuis le début de l'année 2026, cible quant à lui les prestataires ICT critiques qui hébergent des fonctions financières. L'ANSSI a publié le 17 mars 2026 son Référentiel Cyber France (ReCyF), structuré en 20 objectifs de sécurité, pour guider les opérateurs dans leur mise en conformité.

Ce guide détaille les 7 critères incontournables à valider pour qu'un centre de traitement des données réponde aux exigences croisées de NIS2 et DORA. Il s'adresse aussi bien aux équipes techniques qu'aux directions générales qui portent désormais une responsabilité personnelle en cas de manquement.

Pour aller plus loin sur le cadre juridique national, notre article sur le classement des grands datacenters parisiens comme "projets d'intérêt national majeur" décrit les implications concrètes de cette évolution législative.

Les 7 critères fondamentaux à valider

Critère 1 : Gouvernance et responsabilité des dirigeants

NIS2 introduit une rupture culturelle majeure : la cybersécurité ne relève plus uniquement de la DSI. Les dirigeants de toute entité classée essentielle ou importante sont personnellement responsables de l'approbation des mesures de sécurité. Un responsable NIS2 doit être formellement désigné et une formation obligatoire dispensée aux instances de direction.

Pour un opérateur de centre de données, cela implique concrètement l'adoption d'une Politique de Sécurité des Systèmes d'Information (PSSI) validée au niveau du conseil d'administration, une cartographie exhaustive des actifs numériques et la mise en place d'un tableau de bord de suivi de la maturité cyber, revu au minimum chaque trimestre.

Le ReCyF de l'ANSSI consacre six objectifs de sécurité au pilier Gouvernance pour les entités importantes, et jusqu'à huit pour les entités essentielles, parmi lesquels le recensement des systèmes d'information, la maîtrise des fournisseurs et une approche structurée par les risques.

Critère 2 : Gestion des risques ICT et cartographie des actifs

La gestion des risques est le socle commun à NIS2 et DORA. Les deux textes exigent un cadre formalisé couvrant l'identification, la protection, la détection, la réponse et la récupération face aux incidents cyber. Pour un opérateur de salle serveur, cela signifie réaliser une évaluation annuelle des menaces internes et externes, maintenir un inventaire précis de l'ensemble des systèmes, et documenter les interdépendances critiques.

Sous DORA, les entités financières clientes doivent impérativement recevoir de leur prestataire hébergeur une cartographie des risques ICT mise à jour, incluant les systèmes hérités (legacy) susceptibles de concentrer des vulnérabilités. Le règlement interdit par ailleurs toute concentration du risque sur un seul prestataire pour des fonctions critiques, ce qui oblige les opérateurs à proposer des architectures redondantes vérifiables.

La MFA (authentification multifacteur) sur l'ensemble des accès sensibles, la segmentation réseau, et le déploiement régulier de correctifs figurent parmi les mesures de protection prioritaires référencées dans les objectifs OS5 à OS11 du ReCyF.

Critère 3 : Plans de continuité et de reprise d'activité (PCA/PRA)

Le critère de continuité est celui sur lequel les centres de traitement des données sont le plus souvent évalués lors des audits de conformité. NIS2 impose des plans de continuité d'activité (PCA) et de reprise d'activité (PRA) formalisés, testés régulièrement et documentés avec des preuves vérifiables.

Sous DORA, les entités financières sont tenues de vérifier que leur prestataire hébergeur dispose d'une capacité démontrée à restaurer les services dans des délais définis contractuellement. Les sauvegardes doivent être automatisées, isolées du réseau principal, et faire l'objet de tests de restauration documentés. Le délai de récupération cible (RTO) et le point de récupération objectif (RPO) doivent figurer noir sur blanc dans les contrats de service.

Pour en savoir plus sur les niveaux de disponibilité certifiés, notre guide sur les certifications ISO et Tier indispensables en 2026 complète utilement ce critère.

Critère 4 : Détection des incidents et notification sous 24 heures

NIS2 et DORA s'accordent sur un délai d'alerte de 24 heures pour la notification des incidents significatifs aux autorités compétentes. En France, c'est l'ANSSI qui reçoit les signalements des entités essentielles, accompagnés d'un rapport détaillé sous 72 heures. Sous DORA, les incidents majeurs doivent également être signalés aux autorités de surveillance financière (ACPR, AMF) selon une classification stricte de matérialité.

Pour un opérateur de centre informatique, la mise en conformité passe par la mise en place d'un Centre Opérationnel de Sécurité (SOC), interne ou externalisé auprès d'un prestataire qualifié PACS par l'ANSSI. Le SOC doit être capable de détecter, qualifier et escalader un incident en moins de quatre heures pour garantir le respect des délais réglementaires.

La supervision du système d'information (OS20 du ReCyF, obligatoire pour les entités essentielles) complète ce dispositif en assurant une collecte et une analyse permanente des journaux d'événements.

Critère 5 : Sécurité de la chaîne d'approvisionnement

La sécurité des fournisseurs est l'une des obligations les plus exigeantes de NIS2. Tout opérateur hébergeant des données critiques doit évaluer la maturité cyber de ses prestataires (opérateurs télécom, fournisseurs d'énergie, sous-traitants de maintenance) et inclure des clauses contractuelles explicites sur les exigences de sécurité.

Sous DORA, cette obligation prend une dimension encore plus structurante : les contrats passés avec des prestataires ICT critiques doivent obligatoirement prévoir des droits illimités d'accès, d'inspection et d'audit, ainsi qu'une stratégie de sortie permettant une migration sans interruption de service. Les Autorités de Surveillance Européennes (ESAs) ont établi en juillet 2025 la liste des prestataires ICT critiques, dont certains grands hébergeurs français. Ces acteurs sont désormais soumis à une supervision directe et peuvent voir leurs contrats suspendus en cas de non-conformité.

Pour les clients qui cherchent à réduire leur dépendance à des acteurs extra-européens, notre article sur le choix d'un datacenter souverain en 2026 offre une grille d'analyse complémentaire.

Critère 6 : Tests de résilience opérationnelle

NIS2 impose des audits et tests de pénétration annuels. DORA va plus loin en exigeant des tests avancés de type TLPT (Threat-Led Penetration Testing) réalisés sur les systèmes de production tous les trois ans. Ces tests, pilotés par des équipes de red teaming qualifiées, simulent des scénarios d'attaques sophistiquées ciblant les fonctions les plus critiques.

Pour un opérateur d'infrastructure numérique, cela implique d'autoriser contractuellement ses clients financiers à conduire ou à commanditer ces tests sur les systèmes hébergés, sans pouvoir s'y opposer. L'objectif OS15 du ReCyF (exercices et tests de résilience) impose également la réalisation de simulations de crise cyber, intégrant les scénarios de panne physique, d'attaque ransomware et de défaillance de sous-traitant.

Critère 7 : Chiffrement, contrôle des accès et protection des données

Le septième critère regroupe les mesures techniques de base dont l'absence est systématiquement relevée lors des audits de conformité. NIS2 exige le chiffrement des données en transit et au repos selon des standards validés à l'échelle européenne. La gestion des identités et des accès (IAM) doit intégrer la MFA pour tous les comptes à privilèges, et un principe de moindre privilège doit gouverner l'attribution des droits.

Pour les centres de données hébergeant des données financières, DORA ajoute l'obligation de localiser contractuellement les données et de garantir qu'elles ne transitent pas par des pays tiers sans accord explicite. Les protections physiques des salles (contrôle d'accès biométrique, surveillance vidéo, journalisation des entrées) relèvent de l'objectif OS6 du ReCyF et constituent un prérequis à toute certification sectorielle.

Comparatif NIS2 vs DORA : ce que chaque texte impose aux opérateurs

Mise en œuvre pratique : les étapes clés pour 2026

Étape 1 : Le diagnostic d'écart (gap analysis)

Avant d'engager tout chantier de mise en conformité, il est indispensable de réaliser un diagnostic d'écart rigoureux. Ce gap analysis doit couvrir les quatre piliers du ReCyF (Gouvernance, Protection, Défense, Résilience) et prendre pour référentiel le Règlement européen 2024/2690 sur les mesures de sécurité des réseaux et systèmes d'information.

Le résultat doit identifier précisément les 20 objectifs de sécurité qui sont couverts, partiellement couverts ou absents. Pour les entités essentielles, les cinq objectifs supplémentaires (OS16 à OS20) doivent faire l'objet d'une attention particulière, notamment l'OS20 relatif à la supervision permanente du système d'information.

Étape 2 : Déploiement technique et organisationnel

Une fois les écarts identifiés, le plan de déploiement doit intégrer les éléments suivants :

• Déploiement d'une solution SIEM (Security Information and Event Management) ou externalisation du SOC auprès d'un prestataire PACS qualifié ANSSI
• Mise en place d'une solution IAM avec MFA sur l'ensemble des comptes à privilèges et des accès distants
• Automatisation des sauvegardes avec isolation physique et tests de restauration documentés au moins tous les trimestres
• Révision de l'ensemble des contrats fournisseurs pour y intégrer les clauses d'audit, de localisation des données et de stratégie de sortie requises par DORA
• Formalisation d'un plan de réponse aux incidents cyber avec des procédures d'escalade respectant les délais de 24 heures imposés par les deux réglementations
• Réalisation d'un premier exercice de crise cyber impliquant la direction générale, les équipes techniques et les principaux clients hébergés
• Obtention ou renouvellement de certifications reconnues (ISO 27001, HDS pour les données de santé, SecNumCloud pour les services cloud souverains)

Étape 3 : Suivi continu et amélioration

La conformité NIS2/DORA n'est pas un projet ponctuel mais un processus continu. Les opérateurs d'infrastructures numériques doivent mettre en place un tableau de bord de maturité cyber revu trimestriellement, programmer les pentests annuels et les TLPT triannuels, et assurer une veille permanente sur les évolutions réglementaires publiées par l'ANSSI et les ESAs.

Le marché mondial des centres de données devrait atteindre 300,64 milliards de dollars en 2026, soit une croissance de 31,7 % sur un an. Dans ce contexte de croissance accélérée, notamment sous l'impulsion de l'intelligence artificielle, la démonstration d'une conformité réglementaire solide est devenue un avantage compétitif de premier ordre. Pour une vue d'ensemble des dynamiques de marché, notre analyse sur les coûts, puissances et tendances des datacenters parisiens en 2026 fournit des données de référence utiles.

Le débat politique autour de la croissance des infrastructures numériques reste vif. Notre article sur le projet de loi américain pour un moratoire sur les datacenters IA illustre les tensions que cette expansion génère à l'échelle mondiale.

FAQ

Qu'est-ce que la directive NIS2 et qui concerne-t-elle dans le secteur des centres de données ?

La directive NIS2 (Network and Information Security 2) est un texte européen transposé en droit français à la fin de l'année 2025. Elle classe les opérateurs d'infrastructures numériques, dont les centres de données dépassant certains seuils (plus de 50 millions d'euros de chiffre d'affaires ou plus de 250 salariés), dans la catégorie des "entités essentielles". Ces entités sont soumises aux 20 objectifs de sécurité du ReCyF publié par l'ANSSI en mars 2026, couvrant la gouvernance, la protection, la défense et la résilience de leurs systèmes d'information. En cas de manquement, les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial, et les dirigeants peuvent être personnellement mis en cause.

Quelle est la différence entre NIS2 et DORA pour un opérateur d'infrastructure numérique ?

NIS2 s'applique à l'ensemble des secteurs essentiels, dont les centres de traitement de données eux-mêmes en tant qu'opérateurs. DORA (Digital Operational Resilience Act), en revanche, cible spécifiquement le secteur financier et ses prestataires ICT critiques. Un opérateur hébergeant des applications ou des données pour des banques, des assurances ou des gestionnaires d'actifs est soumis à DORA via ses clients. Les deux textes se superposent sans s'annuler : un même site peut être soumis simultanément aux obligations de NIS2 (en tant qu'entité essentielle) et à celles de DORA (en tant que prestataire ICT critique du secteur financier). DORA est pleinement applicable depuis janvier 2025, avec une période de montée en charge qui se conclut en 2026.

Un centre de données de taille intermédiaire est-il concerné par ces réglementations ?

Oui, sous certaines conditions. NIS2 fixe des seuils d'assujettissement : les entités "importantes" doivent dépasser 10 millions d'euros de chiffre d'affaires et 50 salariés, tandis que les entités "essentielles" sont celles qui dépassent 50 millions d'euros et 250 salariés, ou dont l'impact sur les services critiques est jugé significatif quelle que soit leur taille. Un opérateur de taille intermédiaire hébergeant des systèmes hospitaliers, des applications gouvernementales ou des services financiers peut donc être classé "essentiel" même sans atteindre les seuils généraux. Il est conseillé de réaliser une analyse d'assujettissement auprès d'un cabinet spécialisé ou en utilisant l'outil MesServicesCyber proposé par l'ANSSI.

Quels sont les délais réglementaires de notification d'incident à respecter en 2026 ?

Les deux réglementations imposent un délai initial de 24 heures pour signaler tout incident significatif aux autorités compétentes. Sous NIS2, l'ANSSI doit recevoir une alerte préliminaire dans les 24 heures suivant la détection de l'incident, puis un rapport d'incident intermédiaire sous 72 heures, et enfin un rapport final dans le mois suivant la résolution. Sous DORA, les incidents majeurs liés aux systèmes ICT doivent être signalés aux autorités de surveillance financières françaises (ACPR et AMF) selon une classification précise de matérialité établie par les Autorités de Surveillance Européennes. Ces délais rendent indispensable la mise en place d'un SOC capable de détecter, qualifier et escalader un incident en moins de quatre heures.

Quelles certifications permettent de prouver sa conformité NIS2 et DORA ?

Aucune certification unique ne couvre à elle seule l'intégralité des exigences de NIS2 et DORA. En pratique, les opérateurs s'appuient sur une combinaison de référentiels reconnus. L'ISO 27001 constitue le socle de base en matière de management de la sécurité de l'information et est explicitement recommandée par l'ANSSI comme preuve de conformité au ReCyF. La certification SecNumCloud s'impose pour les services cloud hébergeant des données gouvernementales ou sensibles. HDS (Hébergeur de Données de Santé) est requise pour les données médicales. Les rapports SOC 2 Type II fournissent aux clients financiers une assurance sur les contrôles internes. Ces certifications ne dispensent pas d'une conformité réglementaire formelle, mais elles constituent des preuves solides lors des audits menés par l'ANSSI ou les ESAs.

Conclusion

En 2026, la résilience d'un centre de données ne se mesure plus seulement en disponibilité électrique ou en redondance réseau. Elle s'évalue aussi à l'aune d'un corpus réglementaire dense, NIS2, DORA et le ReCyF de l'ANSSI, qui impose des obligations précises en matière de gouvernance, de gestion des risques, de continuité d'activité, de notification d'incidents, de sécurité des fournisseurs, de tests de résilience et de protection des données.

Les 7 critères détaillés dans ce guide forment une grille d'action opérationnelle. Chacun correspond à des objectifs de sécurité vérifiables, auditables et documentables. La démarche recommandée, diagnostic d'écart, déploiement structuré, suivi continu, doit être engagée sans délai pour les opérateurs qui ne l'ont pas encore lancée. Avec 350 centres de données en activité en France et 52 projets en développement, le marché hexagonal entre dans une phase de consolidation où la conformité réglementaire est devenue un critère de sélection aussi important que le PUE ou la connectivité.

Les opérateurs qui sauront démontrer leur conformité NIS2/DORA bénéficieront d'un avantage compétitif décisif, notamment pour capter les grands comptes du secteur financier et des administrations publiques, deux marchés en forte croissance en Île-de-France.

---