La sécurité et la conformité dans les ERP cloud en 2026 reposent sur cinq piliers : infrastructure certifiée (ISO 27001, SOC 2), traitement des données conforme au RGPD avec hébergement dans l’UE, respect des directives NIS2 et DORA, DPIA établie pour les opérations à risque, et journalisation auditables de chaque modification. Pour les PME européennes, cela signifie une documentation probante, des mesures techniques (2FA, chiffrement, politiques de rétention) et une sécurisation contractuelle envers les fournisseurs TIC — faute de quoi les amendes vont de 10 000 € à 10 M€ ou 2 % du CA.
L’ERP cloud est passé ces cinq dernières années du statut d’« alternative risquée » à celui de choix par défaut, même dans des secteurs conservateurs comme la construction, la fabrication ou la santé. Parallèlement, le cadre réglementaire a évolué — si le RGPD de 2018 était la « première vague », 2026 apporte la seconde : NIS2, DORA, AI Act et lignes directrices renforcées du CEPD. Cet article pilier résume tout ce qu’une PME doit savoir avant de choisir, déployer et exploiter un système ERP cloud du point de vue de la sécurité et de la conformité.
Pourquoi 2026 est une année charnière pour la sécurité des ERP cloud
Trois facteurs se rejoignent dans une même fenêtre temporelle et changent fondamentalement la donne :
-
Transposition de NIS2. La directive NIS2 est désormais transposée dans le droit national de tous les États membres de l’UE et étend le périmètre régulé de quelques dizaines d’entités à des milliers d’entreprises. Une PME de 50+ employés dans les secteurs de la fabrication, du transport, de la distribution alimentaire, des services TIC ou même des infrastructures numériques est très probablement concernée.
-
DORA (Digital Operational Resilience Act). En vigueur depuis le 17 janvier 2025. Concerne non seulement les banques et les assurances, mais aussi leurs fournisseurs tiers TIC — y compris les fournisseurs SaaS ERP/CRM qui servent des entités réglementées.
-
Lignes directrices CEPD 2025 + AI Act. Le Comité européen de la protection des données a publié en 2025 de nouvelles lignes directrices sur les systèmes IA traitant des données personnelles, les stockages cloud hors UE et les chaînes d’approvisionnement. Simultanément, l’AI Act a introduit des obligations pour les systèmes IA à haut risque (scoring RH, scoring crédit) souvent intégrés dans les modules ERP.
Cadre juridique : UE vs. CLOUD Act
La question la plus sous-estimée lors du choix d’un ERP cloud est la juridiction du fournisseur. Cela concerne non seulement l’emplacement physique des serveurs, mais aussi le siège de la société mère.
CLOUD Act et Schrems II
La loi américaine CLOUD Act (2018) permet aux autorités fédérales américaines d’exiger des entreprises américaines (y compris leurs filiales européennes) l’accès aux données des clients, quel que soit l’endroit où les données sont stockées. Cela signifie que même si AWS Francfort héberge vos données à Francfort, Amazon Web Services Inc. à Seattle peut être légalement contrainte de les divulguer.
La Cour de justice de l’UE l’a confirmé comme un problème dans l’arrêt Schrems II (C-311/18).
| Scénario | Risque CLOUD Act | Conformité RGPD |
|---|---|---|
| Fournisseur américain + datacenter américain | Élevé | Problématique |
| Fournisseur américain + datacenter UE (AWS Francfort, Azure DE) | Moyen | Moyen, nécessite SCC + TIA |
| Fournisseur UE + datacenter UE | Aucun | Complet |
| Fournisseur UE + datacenter UE + ISO 27001 + DPA | Aucun | Complet + auditable |
Modulario appartient à la dernière catégorie — société européenne, hébergement exclusivement dans l’UE, certification ISO 27001, DPA standardisé.
Pourquoi cela compte pour les PME
De nombreuses PME pensent que le CLOUD Act ne les « concerne pas, car elles ne sont pas une banque ». La réalité est :
- Contrats B2B. Les grands clients (Volkswagen, Continental, banques, secteur de l’énergie) exigent en 2026 un DPA où le fournisseur confirme explicitement qu’il n’est pas soumis au CLOUD Act.
- Données sensibles des employés. Les données de salaire, de santé et RH des citoyens de l’UE figurent parmi les plus strictement réglementées.
- Réglementation sectorielle. L’administration publique, la santé et le secteur financier ont en 2026 une interdiction de facto du cloud américain pour les données primaires.
Voir plus sur la façon dont Modulario gère la juridiction exclusivement UE sur la page Sécurité.
ISO 27001 : pourquoi c’est désormais le standard minimum
ISO/IEC 27001 est la norme internationale pour le système de management de la sécurité de l’information (SMSI). Pour un fournisseur d’ERP cloud en 2026, c’est le ticket d’entrée minimum pour la due diligence fournisseur de la plupart des entreprises moyennes et de toutes les grandes entreprises.
Ce que la certification signifie concrètement
ISO 27001 n’est pas qu’un document. Un vrai audit couvre :
- Politiques et procédures (114 contrôles dans l’Annexe A) : de l’intégration des employés à la gestion de crise jusqu’au retrait du matériel.
- Analyse des risques pour chaque actif (serveur, base de données, ressource humaine, fournisseur).
- Mesures techniques : chiffrement, ségrégation des réseaux, monitoring, MFA, sauvegardes.
- Mesures organisationnelles : formations, code de conduite, gestion des fournisseurs, réponse aux incidents.
- Audits réguliers : interne 1× par an, audit de surveillance externe 1× par an, recertification tous les 3 ans.
Pour plus de détails, voir l’article ISO 27001 pour les PME : ce que cela signifie et quand c’est rentable.
RGPD dans le contexte des ERP cloud
Le RGPD (Règlement UE 2016/679) présente dans le déploiement ERP cloud plusieurs spécificités que les checklists classiques ne couvrent pas.
Rôles : responsable du traitement vs. sous-traitant
Dans un système ERP/CRM, votre client est le responsable du traitement (controller) et vous, le fournisseur ERP, êtes le sous-traitant (processor). Cette relation doit être formalisée dans un DPA (Accord de Traitement des Données) selon l’art. 28 RGPD, qui spécifie :
- l’objet, la durée et la nature du traitement,
- les types de données personnelles et les catégories de personnes concernées,
- les obligations du sous-traitant (confidentialité, mesures techniques, sous-traitants ultérieurs, audits),
- la liste des sous-traitants ultérieurs (AWS, Sentry, fournisseur e-mail, etc.) avec accord explicite du responsable du traitement.
Modulario fournit un DPA standardisé inclus dans chaque contrat.
Demandes des personnes concernées (DSAR)
Le RGPD, art. 15 à 22, donne à une personne physique le droit d’accès, de rectification, d’effacement, de portabilité et de limitation. L’ERP doit permettre l’export de toutes les données personnelles sur une personne en format structuré dans 30 jours.
NIS2 : la nouvelle vague de réglementation cybersécurité
La directive NIS2 (UE 2022/2555) est entrée en vigueur le 16 janvier 2023 et les États membres avaient jusqu’au 17 octobre 2024 pour la transposer en droit national.
Qui est concerné par NIS2
NIS2 étend la directive NIS1 originale de 2016 de quelques secteurs à 18 secteurs divisés en entités essentielles et importantes. Pour les PME européennes, le changement clé est :
- Les entreprises moyennes (50 à 250 employés / 10 à 50 M€ de CA) dans les secteurs concernés sont automatiquement réglementées.
- Les secteurs incluent : fabrication, distribution alimentaire, transport, gestion des déchets, infrastructures numériques, services TIC, administration publique, santé, recherche.
Principales obligations
L’entité réglementée doit :
- Gérer les risques cyber — évaluation des risques, mesures, documentation.
- Mettre en place des mesures techniques et organisationnelles : MFA, chiffrement, sauvegardes, réponse aux incidents, BCP/DRP, sécurité de la chaîne d’approvisionnement.
- Signaler les incidents aux autorités compétentes dans les délais 24h (alerte précoce) / 72h (notification d’incident) / 1 mois (rapport final).
- Gérer la chaîne d’approvisionnement — démontrer que vos fournisseurs TIC clés (y compris SaaS ERP) respectent des mesures adéquates.
Amendes : jusqu’à 10 M€ ou 2 % du CA mondial (entités essentielles), 7 M€ / 1,4 % (entités importantes). La responsabilité personnelle des dirigeants est explicite dans NIS2.
Voir l’article détaillé Directive NIS2 en pratique : obligations pour votre entreprise.
DORA : pour le secteur financier et leurs fournisseurs TIC
Le règlement DORA (UE 2022/2554) est en vigueur depuis le 17 janvier 2025 et s’applique directement. Il concerne les entités financières réglementées — banques, assurances, sociétés d’investissement, plateformes crypto, établissements de paiement — mais son impact via le risque des tiers TIC touche également leurs fournisseurs SaaS ERP/CRM.
Ce que cela signifie pour les ERP SaaS
Si vous vendez des ERP à des banques, assurances ou clients fintech, vous devez :
- Conclure des contrats avec des clauses DORA explicites (droit d’audit, stratégie de sortie, règles de sous-traitance, localisation des données).
- Fournir des environnements de test pour les tests TLPT et de résilience opérationnelle.
- Avoir un Plan de Continuité d’Activité (PCA) et un Plan de Reprise d’Activité (PRA) avec RTO/RPO définis.
- Démontrer la localisation des données dans l’UE.
Voir la checklist complète dans DORA pour le secteur financier et l’ERP.
Journal d’audit : le cœur de la sécurité auditable
Sans journal d’audit, vous n’avez ni conformité RGPD, ni reporting NIS2, ni audit SOC 2/ISO 27001, ni capacité forensique après un incident.
Ce que le journal d’audit doit contenir
Pour un ERP cloud, portée minimale :
- Qui — compte utilisateur (y compris API, comptes techniques).
- Quand — horodatage UTC à la seconde, idéalement avec millisecondes.
- Quoi — enregistrement spécifique (ID d’entité, attribut), valeur avant et après.
- D’où — adresse IP, user agent, ID de session.
- Action — lecture / création / mise à jour / suppression / export.
- Résultat — succès / échec / autorisation refusée.
Le journal d’audit doit être immuable (ou au moins en mode ajout seulement avec détection de modification), chiffré et conservé hors de la base de données applicative.
Sécurité technique : le minimum de 2026 pour un ERP cloud
| Mesure | Standard 2026 | Modulario |
|---|---|---|
| Chiffrement au repos | AES-256 | ✅ |
| Chiffrement en transit | TLS 1.3 | ✅ |
| MFA / Passkey | Obligatoire pour les admins | ✅ |
| SSO (SAML 2.0 / OIDC) | Azure AD, Google Workspace, Okta | ✅ |
| RBAC granulaire | Permissions au niveau champ | ✅ |
| Sauvegardes | 3-2-1, rétention 90j, testées | ✅ |
| RTO / RPO | < 4h / < 1h | ✅ |
| Journal d’audit | Immuable, 6+ ans | ✅ |
| Test de pénétration | Annuel | ✅ |
| IP whitelisting | Optionnel | ✅ |
Index des articles associés
- ISO 27001 pour les PME — ce que cela signifie et quand c’est rentable
- Directive NIS2 — obligations pour votre entreprise
- DORA pour le secteur financier et l’ERP
- DPIA pour les systèmes ERP et CRM
- Cybersécurité des données d’entreprise
Questions fréquentes
Chaque PME doit-elle avoir la certification ISO 27001 ?
Non, ISO 27001 n’est pas généralement obligatoire. Elle devient toutefois de facto obligatoire dans les échanges B2B avec de grands clients et dans les secteurs régulés par NIS2. Pour les PME, il est souvent plus efficace de choisir un fournisseur ERP/SaaS qui possède déjà ISO 27001.
Quelle est la différence entre NIS2 et DORA ?
NIS2 est une directive horizontale couvrant 18 secteurs de l’UE. DORA est un règlement sectoriel uniquement pour le secteur financier, mais plus strict et avec un impact direct sur les fournisseurs TIC. Une banque relève des deux — DORA ayant la préséance (lex specialis).
Un ERP cloud hébergé dans l’UE suffit-il pour la conformité RGPD ?
L’hébergement dans l’UE est nécessaire mais non suffisant. Il vous faut aussi : DPA avec le fournisseur, liste des sous-traitants, politiques de rétention, journal d’audit, support DSAR, mesures techniques et organisationnelles.
Quelles sont les amendes maximales en 2026 ?
RGPD : 20 M€ ou 4 % du CA mondial. NIS2 : 10 M€ ou 2 % du CA (entités essentielles). DORA : jusqu’à 1 % du CA journalier. AI Act : 35 M€ ou 7 % du CA pour les pratiques interdites.