Confier son informatique à un fournisseur américain ou chinois, c'est accepter deux risques décidés hors de l'Union européenne : une injonction de remettre vos données, et une coupure de service. L'emplacement des serveurs n'y change rien, même au Luxembourg : ce qui compte est le droit auquel obéit l'opérateur.
LuxOps est un opérateur de droit luxembourgeois, pour l'hébergement souverain comme pour l'infogérance. Aucune société américaine ou chinoise dans la chaîne qui héberge et administre vos données, sur les services que nous hébergeons et opérons. Voici les textes, les faits datés, et ce que nous mettons en face.
Ce que permet le droit américain et chinois
Trois cadres juridiques permettent à un État étranger d'atteindre des données confiées à un fournisseur relevant de sa juridiction.
CLOUD Act
Sur injonction, un fournisseur américain doit remettre aux autorités américaines les données qu'il « possède, garde ou contrôle », où que soient ses serveurs. La règle vise l'entreprise, pas le centre de données : une filiale européenne contrôlée par la maison mère reste dans son champ.
FISA 702 et EO 12333
La section 702 du Foreign Intelligence Surveillance Act et l'Executive Order 12333 encadrent le renseignement extérieur américain. Ils visent les personnes qui ne sont pas américaines : une entreprise luxembourgeoise, ses salariés et ses clients entrent dans cette catégorie.
Loi chinoise sur le renseignement national
Toute organisation doit « soutenir, assister et coopérer » avec le renseignement chinois. Un fournisseur chinois y est soumis : la question n'est donc pas où sont vos données, mais qui les administre.
Aucune injonction étrangère, CLOUD Act ou loi chinoise sur le renseignement, ne vise LuxOps ni ses sous-traitants d'hébergement.
Quand le fournisseur coupe
L'injonction n'est qu'un des deux risques. Un fournisseur tenu par les décisions de son gouvernement peut suspendre un service du jour au lendemain. Trois épisodes datés, dont un contesté par le fournisseur.
Cour pénale internationale
Le 6 février 2025, les États-Unis adoptent des sanctions visant la Cour. Selon l'agence Associated Press, la messagerie Microsoft de son procureur est ensuite déconnectée. Microsoft affirme, pour sa part, ne pas avoir suspendu les services de la Cour.
Fin 2025, la Cour annonce remplacer Microsoft Office par une suite bureautique ouverte européenne.
Nayara Energy
Le 22 juillet 2025, Microsoft coupe sans préavis Outlook et Teams chez cette entreprise indienne. Le service est rétabli le 30 juillet, avant une audience judiciaire. Le fournisseur a coupé d'abord, le recours en justice est venu ensuite.
Entreprises russes
Microsoft arrête plus de 50 services cloud pour les entreprises russes. Pour ces clients, la date de fin de service n'a pas été la leur.
Contrats de droit luxembourgeois, juridictions luxembourgeoises : chez LuxOps, une suspension de service relève de votre contrat et d'un juge luxembourgeois.
Les offres dites souveraines des hyperscalers
On vous proposera un « cloud souverain » : données stockées dans l'Union, parfois au Luxembourg, exploitation confiée à une entité européenne. La résidence des données est réelle. La maison mère, elle, reste américaine, donc soumise au CLOUD Act, et le juge américain peut ordonner la production de données détenues par une entité qu'elle contrôle, où qu'elles se trouvent.
Le 10 juin 2025, devant une commission d'enquête du Sénat français consacrée à la commande publique, le représentant de Microsoft France doit dire s'il peut garantir que les données ne seront pas transmises aux autorités américaines. Sa réponse :
« Non, je ne peux pas le garantir. »
La résidence des données répond à la question « où ? ». La souveraineté répond à la question « qui décide ? ».
DORA, NIS2 : ce que le régulateur attend de votre prestataire
Pour une entité financière, DORA fait de ces risques des obligations depuis le 17 janvier 2025. Ses articles 28 à 30 exigent un registre d'information des prestataires TIC, l'évaluation du risque de concentration, la localisation des données inscrite au contrat et une stratégie de sortie. Le 18 novembre 2025, les autorités européennes de surveillance ont désigné 19 prestataires TIC critiques, dont AWS, Google Cloud et Microsoft.
NIS2, transposée au Luxembourg par la loi du 5 mai 2026 avec l'ILR pour autorité compétente, impose de sécuriser la chaîne d'approvisionnement. L'EU Data Act, applicable depuis le 12 septembre 2025, ouvre le droit de changer de fournisseur cloud.
Comment nous vous aidons à y répondre : sécurité et conformité. Le règlement en détail : DORA et vos prestataires TIC.
Trois niveaux, trois niveaux de preuve
Souveraineté juridique
LuxOps est une société luxembourgeoise, membre du groupe LuxGap. La page Le groupe présente les trois sociétés et leurs métiers.
Nous vous communiquons la chaîne de détention complète et la liste exhaustive de nos sous-traitants, y compris les sociétés du groupe, avant toute signature.
Nos contrats sont soumis au droit et aux juridictions du Luxembourg.
Souveraineté opérationnelle
Les données que nous hébergeons restent dans l’Union européenne.
Site principal : nos locaux, à Kahler, au Grand-Duché de Luxembourg. Site de reprise : Allemagne, en bascule continue.
Nous vous nommons chaque site, et vous pouvez venir voir celui du Luxembourg. Deux accès internet indépendants, une alimentation de secours, et une infrastructure conçue pour être déplacée si nécessaire.
Sur ce que nous hébergeons, vous gardez vos clés de chiffrement, ou vous les confiez à un tiers luxembourgeois de votre choix. Vos clés commandent seules l’accès à vos données au repos.
Microsoft 365 et les autres outils de collaboration que nous administrons pour vous fonctionnent autrement : leurs clés appartiennent à l’éditeur.
Souveraineté technologique
Le noyau Linux, PostgreSQL, Kubernetes, les processeurs de vos serveurs : rien de tout cela n'est européen. Prétendre le contraire serait mentir.
Ce que le logiciel libre change, ce n'est pas l'origine du code, c'est le rapport de force. Le code est public, auditable, forkable. Vos conditions, vos tarifs, votre calendrier de migration et vos fonctionnalités restent sous votre maîtrise. Là où le logiciel propriétaire crée une dépendance contractuelle, le logiciel libre ne crée qu'une dépendance technique, et une dépendance technique se résout.
Nous privilégions les solutions éditées en Europe partout où elles sont à la hauteur, et nous vous disons lesquelles ne le sont pas encore.
Des alternatives souveraines, fonction par fonction
Pour chaque fonction, une alternative souveraine existe. Vous gardez ce qui doit rester, Windows, un progiciel métier, et vous remplacez le reste. Le périmètre, c'est vous qui le fixez, et le catalogue reste le vôtre.
| Fonction | Alternative | Provenance |
|---|---|---|
| Poste de travail | Windows conservé, ou Linux durci | Windows / Linux |
| Bureautique | Suite bureautique libre | Europe |
| Messagerie & agenda | Messagerie & agenda souverains | Europe |
| Collaboration & fichiers | Fichiers & collaboration | Europe |
| Visioconférence | Visioconférence auto-hébergée | Libre |
| Identité & annuaire | Identités & annuaire | Libre |
| Virtualisation | Virtualisation | Europe |
| Sauvegarde | Sauvegarde chiffrée & testée | Europe |
| Supervision | Supervision & métriques | Libre |
| Sécurité | Détection & réponse | Europe |
| Développement | Forge logicielle auto-hébergée | Libre |
| Intelligence artificielle | Modèles à poids ouverts, servis localement | voir IA souveraine |
Sur chacune des lignes remplacées ci-dessus : des licences libres, un code auditable et modifiable, et la liberté de changer de fournisseur quand vous le décidez. Ces logiciels restent concédés sous licence libre, dont nous vous communiquons les termes.
Garder Microsoft 365, ou en sortir
C'est votre décision, et les deux choix se défendent. Nous opérons l'une comme l'autre trajectoire, avec la même exigence.
Vous le gardez
Nous exploitons Microsoft 365 et vos autres outils américains, et nous vous disons précisément ce qui reste exposé : vos messages, vos fichiers et vos comptes restent chez l'éditeur, soumis au CLOUD Act, avec des clés de chiffrement qui lui appartiennent et un service qu'il peut suspendre.
Ces dépendances résiduelles sont listées dans notre étude préalable, avec leur plan de repli.
Vous en sortez
Nous vous accompagnons, à votre rythme, vers une alternative européenne à Microsoft 365 : messagerie et fichiers d'abord, collaboration quand l'usage suit, Windows conservé si vos logiciels métier l'exigent. La trajectoire complète est décrite dans Sortir de Microsoft 365 sans casser la production.
Pendant et après la migration, l'exploitation relève de notre infogérance au Luxembourg.
Ce que notre étude préalable vous dira
Une migration complète représente un effort réel, en temps et en accompagnement. Certains logiciels métier, un progiciel bancaire, un outil actuariel, existent uniquement sous Windows : nous les isolons plutôt que de les remplacer. Vos équipes sont formées, et le calendrier réserve le temps d’adaptation du premier trimestre.
Notre étude préalable chiffre cet effort, périmètre par périmètre, et vous l’avez avant toute signature.