Comment les banques européennes peuvent respecter les directives d’externalisation de l’EBA grâce à des clés de chiffrement contrôlées par le client

Les lignes directrices de l’Autorité bancaire européenne (ABE) sur les accords d’externalisation (EBA/GL/2019/02) imposent aux établissements financiers de garder un contrôle effectif sur les fonctions externalisées, notamment la capacité à surveiller les performances, à appliquer les normes de sécurité et à mettre fin aux contrats en cas de compromission de la protection des données. Depuis janvier 2025, le Digital Operational Resilience Act (DORA) ajoute des exigences contraignantes en matière de gestion des risques liés aux TIC, de supervision des tiers et de résilience opérationnelle, applicables directement dans tous les États membres de l’UE. Ensemble, ces cadres réglementaires obligent les banques européennes à prouver qu’elles gardent un contrôle réel sur les données clients et opérationnelles traitées par les fournisseurs de cloud.

Pour les banques allemandes supervisées par la BaFin, ce paysage réglementaire est encore plus précis. L’avis de surveillance 2024 de la BaFin sur l’externalisation dans le cloud exige explicitement que les entreprises supervisées traitent le chiffrement et la gestion des clés comme un sujet central de gouvernance. Le cadre BAIT (Bankaufsichtliche Anforderungen an die IT), qui reste applicable jusqu’en décembre 2026 pour les établissements en transition vers DORA, fixe des attentes claires en matière de contrôles de sécurité IT. Parallèlement, le projet de guide de la BCE sur l’externalisation des services cloud rappelle que les établissements doivent être propriétaires de leurs données et limiter les lieux de stockage chez les fournisseurs de cloud.

Le fil conducteur de toutes ces exigences est le contrôle. Pas une simple garantie contractuelle, mais un contrôle architectural, vérifiable et technique sur la souveraineté des données. Ce guide explique comment les clés de chiffrement contrôlées par le client répondent au principal risque d’externalisation visé par les régulateurs, et comment les banques européennes peuvent mettre en œuvre cette approche pour satisfaire simultanément aux attentes de l’ABE, de DORA et des autorités nationales de supervision.

Résumé Exécutif

Idée principale : Les lignes directrices de l’ABE sur l’externalisation et DORA imposent aux banques européennes de garder un contrôle effectif sur les données traitées par les fournisseurs de cloud, notamment la capacité à les protéger contre tout accès non autorisé. Les clés de chiffrement contrôlées par le client, où la banque génère, stocke et gère exclusivement les clés cryptographiques dans son propre module matériel de sécurité, constituent la base architecturale qui répond à ces exigences, car le fournisseur de cloud ne peut pas accéder aux données déchiffrées, même sous contrainte légale.

Pourquoi c’est important : DORA est entrée en vigueur le 17 janvier 2025, avec des sanctions pouvant atteindre 10 % du chiffre d’affaires annuel en cas de manquements graves. La BaFin attend des banques allemandes qu’elles prouvent leur conformité dès maintenant et a indiqué que les premiers résultats seront disponibles fin 2025. Si votre établissement dépend d’un fournisseur cloud basé aux États-Unis qui conserve l’accès aux clés de chiffrement, il existe un écart mesurable entre votre contrat d’externalisation et les attentes des régulateurs. Le chiffrement contrôlé par le client est la mesure technique qui comble cet écart.

5 Points Clés à Retenir

1. Les lignes directrices de l’ABE exigent un contrôle effectif, pas de simples promesses contractuelles. Le paragraphe 98 de l’EBA/GL/2019/02 impose que les contrats d’externalisation de fonctions critiques précisent les lieux de stockage des données, garantissent leur confidentialité, intégrité et disponibilité, et incluent un droit de résiliation en cas de faille de sécurité.
2. DORA impose le chiffrement des données au repos, en transit et, si nécessaire, en cours d’utilisation. Les établissements financiers doivent appliquer des politiques de chiffrement des données conformément aux exigences de gestion des risques TIC de DORA, protégeant les informations contre tout accès non autorisé dans tous les états.
3. La BaFin identifie spécifiquement le chiffrement et la gestion des clés comme sujets de gouvernance. L’avis de surveillance 2024 exige des banques allemandes qu’elles intègrent la gestion des clés dans leurs règles de gouvernance cloud, allant au-delà du simple chiffrement pour exiger une maîtrise documentée des clés cryptographiques.
4. Des clés détenues par le fournisseur créent un risque d’externalisation insoluble. Si un fournisseur cloud basé aux États-Unis conserve les clés de chiffrement, le CLOUD Act et la FISA 702 exposent la banque à l’impossibilité de garantir la confidentialité des données, en violation des exigences de l’ABE et de DORA.
5. Les clés contrôlées par le client répondent simultanément à plusieurs exigences réglementaires. Un choix architectural unique, la conservation des clés de chiffrement dans le HSM de la banque, permet de répondre aux contrôles d’externalisation de l’ABE, aux obligations de chiffrement de DORA, aux garanties de transfert du RGPD et aux attentes de la BaFin.

Pourquoi les lignes directrices de l’ABE sur l’externalisation exigent plus que de simples contrôles contractuels

L’approche fondée sur les risques de l’ABE pour l’externalisation cloud

Les lignes directrices de l’ABE sur les accords d’externalisation, en vigueur depuis le 30 septembre 2019, s’appliquent aux établissements de crédit, sociétés d’investissement, établissements de paiement et établissements de monnaie électronique. Elles adoptent une approche fondée sur les risques, exigeant des établissements financiers qu’ils identifient, évaluent et atténuent les risques de toutes les externalisations, avec des exigences renforcées pour les fonctions critiques ou importantes.

Le partage sécurisé de fichiers dans le cloud, la messagerie électronique, les plateformes collaboratives et les systèmes de transfert sécurisé de fichiers utilisés pour l’échange de données sensibles sont généralement considérés comme des fonctions critiques ou importantes. Ces plateformes traitent des données financières clients, des communications internes, des correspondances réglementaires et des enregistrements de transactions. Selon le paragraphe 75 de l’ABE, les établissements doivent réaliser des analyses de risques approfondies avant toute externalisation et maintenir une surveillance continue de la posture de sécurité du fournisseur.

Point essentiel : les lignes directrices de l’ABE précisent que se fier uniquement à des certifications telles qu’ISO 27001 n’est pas suffisant pour mener une analyse de risques ou une surveillance continue. Les banques doivent aller au-delà des garanties du fournisseur et évaluer l’architecture technique réelle qui détermine qui peut accéder à leurs données.

Ce que les lignes directrices exigent en matière de sécurité des données

Pour l’externalisation de fonctions critiques ou importantes, le paragraphe 98 de l’EBA/GL/2019/02 impose des contrats écrits précisant où les données seront stockées et traitées, avec notification en cas de changement de lieu proposé par le fournisseur. Le contrat doit garantir l’accessibilité, la disponibilité, l’intégrité, la confidentialité et la sécurité des données. Il doit garantir que l’établissement puisse accéder à ses données en cas d’insolvabilité du fournisseur. Il doit aussi inclure un droit de résiliation en cas de faiblesse de la sécurité des données.

Le paragraphe 100 exige que les établissements surveillent régulièrement la performance de leur fournisseur, en se concentrant sur la disponibilité, la sécurité et l’intégrité des données. Les lignes directrices de l’ABE sur la gestion des risques TIC et de sécurité ajoutent que les contrats doivent inclure des exigences minimales en matière de cybersécurité, des spécifications pour le cycle de vie des données, des obligations de chiffrement, de sécurité réseau et de localisation des centres de données.

Il ne s’agit pas de recommandations facultatives. Ces exigences créent des attentes de supervision contraignantes, que des régulateurs nationaux comme la BaFin appliquent via des contrôles, des injonctions correctives et, dans le cadre de DORA, des sanctions financières.

DORA fait monter la pression sur le risque tiers TIC

Exigences de chiffrement selon DORA

DORA (Règlement UE 2022/2554) est applicable depuis le 17 janvier 2025 et instaure des exigences uniformes en matière de sécurité TIC pour environ 22 000 entités financières dans l’UE. Selon le cadre de gestion des risques TIC de DORA, les entités financières doivent appliquer des politiques de chiffrement des données couvrant les données au repos, en transit et, si nécessaire, en cours d’utilisation. Si le chiffrement n’est pas techniquement possible, les données doivent être traitées dans un environnement distinct et sécurisé, avec des mesures équivalentes pour garantir leur confidentialité et leur intégrité.

Le pilier de gestion des risques tiers de DORA impose que tous les contrats de services TIC incluent des accords de niveau de service, des droits d’audit, des droits de résiliation, des stratégies de sortie et des procédures de notification d’incident. Les Autorités européennes de surveillance ont désigné 19 fournisseurs de services TIC comme critiques en novembre 2025, dont AWS, Microsoft Azure et Google Cloud, les soumettant à une supervision directe de l’UE. Cela signifie que les banques européennes ne peuvent plus considérer leur relation avec ces fournisseurs comme une simple question contractuelle. Les régulateurs examinent désormais les fournisseurs eux-mêmes.

Attentes spécifiques de la BaFin pour les banques allemandes

L’avis de surveillance de la BaFin de février 2024 sur l’externalisation cloud va plus loin que le socle de l’ABE. Il impose aux entreprises supervisées d’élaborer des règles internes sur l’usage du cloud couvrant le chiffrement et la gestion des clés comme sujets centraux, aux côtés de la conformité, de la gestion des identités et du contrôle des sous-traitants. La BaFin attend des banques qu’elles réalisent une analyse stratégique pour déterminer si chaque fonction externalisée peut être suffisamment surveillée et, si besoin, rapatriée.

La BaFin a indiqué qu’elle renforcera la supervision de l’externalisation en 2025 et attend les premiers retours sur la conformité DORA d’ici la fin de l’année. Les banques allemandes qui s’appuient sur des fournisseurs hyperscale américains sans chiffrement contrôlé par le client s’exposent à un risque de supervision direct, car leur architecture actuelle pourrait ne pas répondre à l’interprétation de la BaFin en matière de protection adéquate des données.

Le défi des clés de chiffrement que les banques européennes doivent relever

Pourquoi les clés détenues par le fournisseur ne répondent pas aux exigences réglementaires

Lorsqu’une banque européenne utilise un fournisseur cloud basé aux États-Unis pour le partage sécurisé de fichiers, la messagerie ou la collaboration, le fournisseur conserve généralement le contrôle des clés de chiffrement. Même si la banque choisit des régions de centres de données dans l’UE, l’entité juridique qui opère le service reste soumise au CLOUD Act, qui permet aux autorités américaines d’exiger la production de données, quel que soit leur lieu de stockage. La section 702 de la FISA autorise les agences de renseignement à surveiller les personnes non américaines sans mandat individuel.

Cela crée un conflit architectural avec les exigences de l’ABE et de DORA. Le contrat d’externalisation de la banque peut exiger la confidentialité des données, mais le fournisseur peut être légalement contraint de déchiffrer et de fournir les données sans en avertir la banque. L’exigence de l’ABE d’un droit de résiliation en cas de faiblesse de la sécurité des données devient alors inopérante si la faiblesse est structurelle : le fournisseur détient les clés et est soumis à des lois d’accès gouvernemental étrangères.

Les recommandations 01/2020 de l’EDPB ont confirmé que lorsqu’un fournisseur détient les clés de chiffrement et relève d’un régime juridique permettant l’accès gouvernemental, aucune mesure complémentaire efficace n’existe. Pour les banques qui réalisent des analyses d’impact sur les transferts, les clés détenues par le fournisseur constituent un risque impossible à atténuer.

Comment les clés contrôlées par le client résolvent ce conflit

Les clés de chiffrement contrôlées par le client modifient fondamentalement l’architecture du risque. Dans ce modèle, la banque génère et stocke ses propres clés dans un module matériel de sécurité, situé sur site ou dans un centre de données européen contrôlé par la banque. La plateforme cloud traite les données chiffrées mais ne possède jamais les clés de déchiffrement. Si un gouvernement étranger contraint le fournisseur à fournir les données, il ne peut remettre que des données chiffrées, illisibles sans les clés de la banque.

Cette approche diffère du modèle « Bring Your Own Key » (BYOK), où la banque génère une clé mais la télécharge sur le service de gestion de clés du fournisseur. Avec BYOK, le fournisseur conserve l’accès à la clé et peut être contraint de l’utiliser. Le chiffrement contrôlé par le client signifie que la clé ne quitte jamais l’infrastructure de la banque.

Exigences réglementaires couvertes par les clés contrôlées par le client

Exigences architecturales au-delà des clés de chiffrement

Le chiffrement contrôlé par le client est nécessaire mais ne suffit pas. Les banques européennes doivent évaluer les plateformes cloud selon trois exigences complémentaires qui, ensemble, garantissent une souveraineté des données vérifiable.

Déploiement européen à locataire unique

Les environnements cloud multi-locataires partagent l’infrastructure entre clients, avec des interventions de maintenance réalisées par le personnel du fournisseur depuis le monde entier. Un déploiement à locataire unique sur une infrastructure européenne dédiée garantit que les données de la banque résident sur des systèmes isolés, avec des contrôles d’accès régis par la législation européenne. Associé au chiffrement contrôlé par le client, cela élimine les accès logiques et physiques non autorisés.

Résidence des données imposée par la politique

Le paragraphe 98 de l’ABE impose que les contrats précisent les lieux de stockage des données, avec notification en cas de changement. DORA renforce cette exigence via ses attentes en matière de résidence des données. Plutôt que de s’appuyer sur des engagements contractuels, les banques doivent choisir des plateformes intégrant un géorepérage technique qui limite le stockage aux centres de données allemands ou européens, empêche la réplication hors UE et journalise toutes les tentatives d’accès à des fins d’audit.

Capacités d’audit et de surveillance étendues

L’ABE et DORA exigent toutes deux une surveillance continue des services externalisés. Les banques ont besoin de plateformes offrant une visibilité totale sur chaque accès à un fichier, chaque action utilisateur, chaque modification administrative et chaque mouvement de données. Cette capacité de gouvernance des données permet d’alimenter le registre d’externalisation exigé par l’article 28(3) de DORA et de prouver la conformité lors des contrôles de la BaFin et des examens de la BCE.

Mise en œuvre : une approche fondée sur les risques pour les banques européennes

Phase 1 : Évaluer les accords d’externalisation actuels

Recensez tous les services cloud traitant des données clients, opérationnelles et collaborateurs. Pour chaque service, documentez la juridiction du fournisseur, le modèle de chiffrement, l’architecture de gestion des clés et la classification du risque tiers. Croisez ces informations avec les exigences du registre DORA pour identifier les écarts.

Phase 2 : Évaluer l’exposition des clés de chiffrement

Pour chaque service cloud classé comme supportant une fonction critique ou importante, appliquez le test clé : le fournisseur peut-il accéder aux données déchiffrées sous contrainte d’un gouvernement étranger ? Comparez les résultats aux exigences de l’ABE et de DORA. Priorisez les services traitant les données les plus sensibles : dossiers financiers clients, correspondances réglementaires, documents d’audit interne et données de transactions transfrontalières.

Phase 3 : Mettre en place une architecture contrôlée par le client

Migrez les plateformes d’échange de données critiques vers des architectures où la banque garde le contrôle exclusif des clés de chiffrement. Cela implique généralement le déploiement d’une appliance virtuelle durcie ou d’un HSM sur site pour le stockage des clés, la configuration d’un déploiement européen à locataire unique et la mise en place de politiques de géorepérage. Faites valider, via des tests indépendants, que le fournisseur ne peut accéder aux données déchiffrées dans aucun scénario.

Phase 4 : Instaurer une surveillance continue de la conformité

Mettez en place une surveillance continue conforme au paragraphe 100 de l’ABE et aux exigences de résilience opérationnelle de DORA. Prévoyez des revues régulières avec des preuves documentées pour les contrôles de supervision. Assurez-vous que les plans de réponse aux incidents couvrent les scénarios d’accès aux données par des gouvernements étrangers et les faiblesses de sécurité du fournisseur.

Le chiffrement contrôlé par le client, socle d’une externalisation conforme à la réglementation

Les lignes directrices de l’ABE sur l’externalisation, DORA et les attentes de la BaFin convergent vers un principe unique : les banques européennes doivent garder un contrôle effectif et vérifiable sur les données traitées par les fournisseurs de cloud. Si un fournisseur détient les clés de chiffrement et relève de lois d’accès gouvernemental étrangères, ce contrôle est une fiction architecturale. Les clés de chiffrement contrôlées par le client rétablissent un contrôle réel en garantissant qu’aucun tiers ne peut accéder aux données déchiffrées sans l’intervention explicite de la banque.

Les banques qui associent clés contrôlées par le client, déploiement européen à locataire unique et résidence des données imposée par la politique ne se contentent pas de cocher des cases réglementaires. Elles bâtissent l’infrastructure zéro trust que DORA prévoit pour un secteur financier européen résilient.

Kiteworks aide les banques européennes à répondre aux exigences de l’ABE grâce au chiffrement contrôlé par le client

Le Réseau de données privé Kiteworks fournit les contrôles architecturaux dont les banques européennes ont besoin pour satisfaire simultanément aux exigences de l’ABE, de DORA et de la BaFin. Kiteworks fonctionne selon un modèle de chiffrement géré par le client, où la banque génère et conserve les clés de chiffrement dans son propre HSM. Kiteworks ne peut pas accéder au contenu déchiffré et ne peut pas répondre à des demandes gouvernementales étrangères de remise de données lisibles, car il ne possède pas les clés.

Kiteworks se déploie en instance à locataire unique sur une infrastructure européenne dédiée, y compris sur site, en cloud privé ou sous forme d’appliance virtuelle durcie. Le géorepérage intégré impose la résidence des données au niveau de la plateforme. L’audit logging complet trace chaque accès à un fichier, chaque action utilisateur et chaque modification administrative, fournissant la preuve de surveillance continue exigée par le paragraphe 100 de l’ABE et DORA. Kiteworks contribue à la conformité DORA grâce à son approche unifiée de la gestion des risques TIC sur tous les canaux de contenu sensible.

La plateforme unifie le partage sécurisé de fichiers, la protection des e-mails, le transfert sécurisé de fichiers et les formulaires web sous un même cadre de gouvernance, permettant aux banques de répondre aux exigences d’externalisation sur tous les canaux d’échange de données avec une seule architecture, un seul ensemble de contrôles et un seul dossier de preuves pour la supervision.

Pour en savoir plus sur la conformité aux lignes directrices de l’ABE grâce aux clés de chiffrement contrôlées par le client, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog  
  Souveraineté des données : bonne pratique ou obligation réglementaire ?
• eBook  
  Souveraineté des données et RGPD
• Article de blog  
  Les pièges à éviter en matière de souveraineté des données
• Article de blog  
  Bonnes pratiques pour la souveraineté des données
• Article de blog  
  Souveraineté des données et RGPD [Comprendre la sécurité des données]