Données ESG : la grille de sécurité avant signature

Pourquoi les données ESG sont particulièrement sensibles

L'agrégation de données sensibles multi-sources

Un logiciel ESG mature agrège des données issues de plusieurs catégories sensibles simultanément.

• Les données énergie couvrent les consommations détaillées par site, les contrats fournisseurs, les factures avec adresses et montants.
• Les données RH incluent les effectifs par entité, les modes de transport domicile-travail, le télétravail, les déplacements professionnels.
• Les données fournisseurs portent sur les identités, les volumes d'achats, l'empreinte carbone par fournisseur, des informations géolocalisées.
• Les données financières concernent les investissements par levier de décarbonation, les subventions perçues, les plans budgétaires pluriannuels.
• Les données stratégiques comprennent la trajectoire bas carbone, le plan de transition, les écarts aux objectifs, les hypothèses de business model.

Cette agrégation est ce qui rend les données ESG particulièrement sensibles. Elle dépasse en richesse informationnelle chaque source prise isolément. Elle permet à qui y aurait accès de reconstituer la structure opérationnelle, l'exposition sectorielle et parfois les vulnérabilités stratégiques de l'entreprise.

Des données réglementées par le RGPD et parfois davantage

Une part des données hébergées relève directement du RGPD : données RH nominatives (déplacements, formations, effectifs), données fournisseurs identifiables (entrepreneurs individuels notamment), données de connexion et d'usage des contributeurs.

Ces données imposent un cadre précis : base légale du traitement, durée de conservation, droits des personnes concernées, DPA (Data Processing Agreement, accord de traitement des données) avec chaque sous-traitant.

Selon le secteur, d'autres régimes réglementaires s'ajoutent. La directive NIS2, transposée en droit français en 2024, s'applique aux entités essentielles et importantes dans dix-huit secteurs : énergie, transport, santé, eau, infrastructures numériques, industrie manufacturière et d'autres encore. Elle impose des obligations renforcées de gestion des risques numériques et de notification des incidents.

Le règlement DORA, applicable depuis janvier 2025, s'adresse spécifiquement aux entités financières (banques, assurances, gestionnaires d'actifs) et encadre leur résilience opérationnelle numérique, y compris pour les prestataires tiers. La certification HDS (Hébergement de Données de Santé), délivrée par l'ANS (Agence du Numérique en Santé), peut s'appliquer dans les rares cas où des données de santé sont associées au périmètre ESG.

Identifier les régimes réglementaires applicables à votre entreprise avant la consultation permet de calibrer précisément les exigences sécurité dès la RFP (Request for Proposal).

Un enjeu de souveraineté qui s'est imposé en 2024-2026

La question de la souveraineté des données s'est structurée autour de trois dimensions distinctes qu'il faut traiter séparément.

• L'hébergement géographique concerne la localisation physique des serveurs. Un hébergement dans l'Union européenne est une condition nécessaire (encore rare chez les éditeurs SaaS ESG aujourd'hui) mais non suffisante.
• La souveraineté ne se limite pas au lieu d'hébergement. Selon votre politique de gestion des risques, vous pouvez également analyser la juridiction applicable aux fournisseurs cloud, les éventuels transferts de données hors UE et les garanties contractuelles proposées. Ces critères prennent une importance particulière dans certains secteurs sensibles ou fortement réglementés.
• Pour certaines organisations, notamment dans les secteurs les plus sensibles, une qualification SecNumCloud (défini par l'ANSSI - Agence Nationale de la Sécurité des Systèmes d'Information) ou des garanties équivalentes pourront faire partie des critères d'évaluation.

Le cadre des transferts de données hors UE a lui-même connu des évolutions majeures : l'invalidation du Privacy Shield par la Cour de Justice de l'UE en juillet 2020 (arrêt Schrems II), puis l'adoption du Data Privacy Framework en juillet 2023 par la Commission européenne comme nouvelle décision d'adéquation pour les transferts vers les États-Unis. Ce cadre reste susceptible de remise en cause juridique. Chaque revue de contrat doit intégrer ces évolutions.

La grille de contrôle en quatre dimensions à passer avec chaque éditeur

Dimension 1 - La maturité de la sécurité

Ces questions évaluent les fondamentaux de la posture sécurité de l'éditeur.

• Existe-t-il une politique de sécurité formalisée et régulièrement mise à jour ?

• Comment sont gérées les vulnérabilités et les incidents de sécurité ? Existe-t-il un processus documenté de détection, de qualification, de remédiation et de notification ?

• L'éditeur fournit-il des rapports de tests d'intrusion (pentest) réguliers, réalisés par un tiers indépendant, avec plan de remédiation documenté ?

• Quelle est la politique de gestion des accès et des privilèges : principe du moindre privilège, revues régulières des droits, gestion des comptes à privilèges ?

• Comment les données sont-elles chiffrées au repos (AES-256 ou équivalent) et en transit (TLS 1.2 ou 1.3 minimum) ?

• Quelle est la politique de sauvegarde et de restauration, avec quels RTO (Recovery Time Objective) et RPO (Recovery Point Objective) contractualisés ?

‍

Pour les PME et ETI, une politique de sécurité documentée, des procédures formalisées et des audits réguliers peuvent également permettre d'évaluer le niveau de maturité de l'éditeur.

Les certifications (ISO 27001, SOC 2, etc.) constituent des indicateurs utiles de maturité, mais elles ne résument pas à elles seules le niveau de sécurité d'un éditeur. Une gouvernance documentée, des procédures opérationnelles, des audits réguliers, une gestion des vulnérabilités et une démarche d'amélioration continue apportent également des éléments concrets d'évaluation, en particulier pour les PME et ETI. Selon votre secteur, certaines certifications pourront néanmoins constituer un prérequis.

L'absence d'une certification ISO 27001 n'est pas, à elle seule, un critère éliminatoire. Elle doit conduire à examiner plus en détail les autres éléments de maturité : politique de sécurité, organisation, audits indépendants, gestion des vulnérabilités, PRA/PCA et gouvernance documentaire.

Dimension 2 - La conformité réglementaire

Ces questions vérifient le respect des cadres réglementaires applicables à vos données.

• L'éditeur fournit-il un DPA (Data Processing Agreement, accord de traitement des données) conforme au RGPD, disponible dès la phase de RFP ?
• Comment gère-t-il les droits des personnes concernées : accès, rectification, suppression, portabilité des données ?
• Où sont physiquement hébergées les données (pays précis) ? Quels sous-traitants sont mobilisés et dans quels pays ?
• En cas de transfert de données hors UE, quels mécanismes juridiques sont utilisés : SCC (Standard Contractual Clauses), BCR (Binding Corporate Rules), décision d'adéquation ?
• L'éditeur est-il soumis à NIS2 en tant qu'entité essentielle ou importante ? Si oui, quelles mesures a-t-il mises en place ?
• L'éditeur fournit-il les éléments nécessaires à la réalisation d'une DPIA (Data Protection Impact Assessment, analyse d'impact relative à la protection des données) par votre DPO ?
• Quel est le délai et la procédure de notification en cas de violation de données ?

• L'éditeur ou sa maison mère sont-ils certifiés ISO 27001 (norme internationale de management de la sécurité de l'information), sur quel périmètre et depuis quand ?
• L'éditeur fournit-il un rapport SOC 2 Type II (audit indépendant conduit selon les standards de l'AICPA, couvrant sécurité, disponibilité et confidentialité - surtout utile dans contextes internationaux, notamment nord-américains) récent ?

Un DPA solide et disponible rapidement est un préalable attendu dans la majorité des consultations. Un éditeur qui tarde à le produire dans la phase de consultation révèle son niveau de maturité juridique sur le sujet.

Dimension 3 - La souveraineté

Ces questions clarifient la réalité de la souveraineté, au-delà des formulations commerciales.

• Dans quels pays précis les données sont-elles hébergées, avec quelle infrastructure sous-jacente ?
• Quels sous-traitants cloud sont utilisés (AWS, Azure, Google Cloud, OVH, Scaleway, Outscale, autre) ?
• Ces sous-traitants sont-ils soumis à des juridictions extra-européennes, notamment le Cloud Act américain ?

• L'éditeur propose-t-il une option d'hébergement qualifié SecNumCloud (qualification ANSSI) ou une infrastructure certifiée selon un standard européen équivalent ?

En cas de demande d'accès aux données par une autorité extra-européenne, quelle est la procédure de l'éditeur : notification au client, résistance juridique, transparence ?

• Quel engagement contractuel est pris sur la localisation des données dans la durée du contrat ?

Pour vérifier les points techniques d'authentification et de connexion au SI qui conditionnent également la souveraineté opérationnelle, l'article sur l'intégration logiciel ESG SI détaille cette couche complémentaire.

Lorsqu'un fournisseur cloud est soumis à une juridiction extra-européenne (par exemple le Cloud Act Américain), cette exposition doit être analysée au regard de la politique de gestion des risques de l'organisation et des garanties contractuelles mises en œuvre. Selon les secteurs, certaines entreprises privilégieront une chaîne d'hébergement entièrement placée sous juridiction européenne.

Dimension 4 - La gouvernance et la contractualisation

Ces questions portent sur la protection de l'entreprise dans la durée, au-delà de l'état de sécurité au moment de la signature.

• Comment la sécurité est-elle pilotée au sein de l'entreprise ? Existe-t-il un responsable identifié, une revue régulière des risques et un processus d'amélioration continue ?
• Quel est le plan de continuité d'activité (PCA) et le plan de reprise après sinistre (PRA) de l'éditeur, avec quels objectifs de RTO et RPO ?
• Que se passe-t-il en cas de faillite de l'éditeur ou de rachat par un acteur tiers ? Quel dispositif de séquestre ou de réversibilité des données est prévu ?
• Quelles clauses de sortie sont proposées : formats de récupération des données, délai maximum de mise à disposition, coût éventuel de la portabilité ?
• Comment sont définis les engagements de disponibilité : quelles sont les les plages horaires couvertes par le SLA (Service Level Agreement), les délais d'intervention, les modalités de suivi de la disponibilité réelle, les pénalités en cas de manquement ?
• Quels mécanismes permettent au client d'obtenir des éléments de preuve sur le niveau de sécurité : questionnaire, documentation, attestations, audits indépendants ou, pour certains contrats, droit d'audit ?
• Quelle est la procédure d'approbation en cas de changement de sous-traitant clé ?

La sécurité à un instant T ne protège pas l'entreprise sur cinq ans. La gouvernance contractuelle dans la durée est ce qui sécurise l'investissement et les données sur l'ensemble du cycle de vie du projet.

Grille récapitulative de contrôle en quatre dimensions

‍

Les exigences contractuelles à sécuriser avant signature

Les documents à demander dans la RFP

Selon votre contexte, votre politique SSI et votre niveau d'exigence, les documents suivants peuvent être demandés lors d'une consultation.

Pour évaluer la maturité de la démarche sécurité de l'éditeur :

• Une politique de sécurité documentée (PSSI ou document équivalent) décrivant notamment la gestion des accès, le chiffrement, les sauvegardes et la gestion des incidents.
• Les principaux documents opérationnels, comme un Plan d'Assurance Sécurité (PAS), un Plan de Continuité d'Activité (PCA) et un Plan de Reprise d'Activité (PRA), afin de comprendre comment la sécurité est organisée et pilotée dans la durée.
• Un rapport de test d'intrusion (pentest) récent, réalisé par un tiers indépendant, accompagné d'informations sur la démarche de remédiation mise en œuvre.
• Les engagements de disponibilité (SLA) ainsi que, lorsque l'éditeur accepte de les communiquer, des indicateurs de disponibilité observée ou un historique des incidents significatifs.

Pour évaluer la conformité réglementaire et contractuelle :

• Un DPA (Data Processing Agreement) type, prêt à être discuté ou amendé selon les besoins spécifiques du client.
• Le registre des sous-traitants, précisant leur rôle, leur localisation géographique et, le cas échéant, les juridictions auxquelles ils sont soumis.

Pour compléter cette évaluation lorsque le contexte le justifie :

• Les certifications ou attestations disponibles (ISO 27001, SOC 2 Type II, HDS, SecNumCloud ou équivalent), en précisant leur périmètre exact et leur date de validité.

Un éditeur qui ne fournit pas ces documents dans la RFP est soit un éditeur qui ne les a pas produits, soit un éditeur qui refuse de les partager. Les deux situations méritent une analyse sérieuse avant de poursuivre la consultation. La qualité des réponses apportées est souvent aussi révélatrice que la présence d'une certification.

Les clauses contractuelles à négocier

Ces clauses sont à porter explicitement dans le contrat, au-delà des conditions générales standard.

• Localisation des données : engagement contractuel sur le pays d'hébergement et les sous-traitants autorisés, avec clause de modification par avenant préalablement approuvé
• Notification de violation : délai contractuel de 72 heures en cohérence avec les exigences RGPD, canal de notification, contenu minimal transmis
• Réversibilité : formats de récupération des données (formats ouverts, exportables sans développement spécifique), délai maximum de mise à disposition, coût éventuel clarifié
• Séquestre ou dispositif équivalent garantissant l'accès aux données en cas de faillite ou de cessation d'activité de l'éditeur
• Droit d'audit : possibilité pour le client de faire réaliser ou de demander un audit sécurité, avec préavis raisonnable contractualisé
• Approbation des changements de sous-traitants : tout changement de sous-traitant clé (hébergement, sécurité) doit faire l'objet d'une information préalable et d'une possibilité d'opposition
• SLA contractualisé avec pénalités effectives en cas de manquement, pas uniquement un crédit de service sans valeur réelle

Les clauses de réversibilité et de sous-traitance sont les plus fréquemment absentes ou insuffisantes dans les contrats logiciels SaaS standard. Elles méritent une attention particulière lors de la négociation.

Sécuriser la revue interne DSI, DPO et juridique

La signature d'un contrat logiciel ESG implique une validation par trois fonctions internes aux logiques et aux critères différents.

La revue DSI ou RSSI (Responsable de la Sécurité des Systèmes d'Information) porte sur les critères techniques : certifications disponibles, politique de chiffrement, intégration au SI existant, gestion des incidents.

La revue DPO ou juridique couvre la conformité RGPD : DPA, localisation des données, mécanismes de transfert, droits des personnes concernées. La revue achats et direction valide les dimensions contractuelles et financières : SLA, réversibilité, conditions tarifaires pluriannuelles.

Anticiper ces trois revues dès la phase de consultation évite les blocages tardifs. Un retour négatif de la DSI ou du DPO à deux semaines de la signature peut décaler un projet de plusieurs mois et exposer l'entreprise à un démarrage contraint sur un outil alternatif insuffisant.

Pour intégrer les résultats de la revue sécurité dans la shortlist finale et structurer la décision d'achat, un article dédié traite cette phase de synthèse.

Le cas particulier des ETI cotées et des groupes internationaux

Certains profils d'entreprise portent des exigences sécurité renforcées qui dépassent le cadre RGPD standard.

Les ETI et grands groupes cotés intègrent des exigences issues du comité risques et de la direction financière, en cohérence avec le niveau de sécurité des autres logiciels critiques (ERP, CRM, outils financiers).

Les filiales de groupes américains doivent souvent satisfaire des exigences additionnelles imposées par la maison mère : rapport SOC 2 fréquemment requis, conformité SOX (Sarbanes-Oxley Act) si applicable.

Les secteurs sensibles (défense, énergie critique, banque, santé) portent des obligations spécifiques : la Loi de Programmation Militaire pour les opérateurs d'importance vitale, NIS2 renforcé, DORA pour les entités financières, HDS pour les données de santé.

Les groupes multi-pays, enfin, doivent respecter les législations locales en parallèle du RGPD : la Datenschutzgrundverordnung (transposition allemande du RGPD) avec ses spécificités d'application, le UK GDPR post-Brexit, la LGPD brésilienne (Lei Geral de Proteção de Dados) pour les filiales en Amérique latine.

Pour tester la solution sur vos données réelles avant signature et valider la compatibilité avec vos contraintes sectorielles, l'article sur la consolidation multi-sites structure cette phase de validation.

Au-delà des références clients, vérifiez que l'éditeur dispose déjà d'une expérience significative auprès d'organisations présentant des contraintes réglementaires ou de sécurité comparables aux vôtres. Sans référence dans votre secteur ou votre profil réglementaire, il va découvrir vos contraintes à vos frais et à votre calendrier. Vérifier les références clients sectorielles est un contrôle simple et discriminant.

Conclusion

Les données ESG agrègent des informations sensibles de natures très différentes : énergie, RH, fournisseurs, finances, stratégie. Leur sécurité et leur souveraineté sont devenues des critères structurants du choix logiciel, capables de disqualifier une solution en revue DSI indépendamment de ses qualités fonctionnelles.

La revue sécurité doit prioritairement porter sur quatre sujets : la gouvernance de la sécurité de l'éditeur, la conformité RGPD (dont le DPA), l'architecture d'hébergement et les garanties contractuelles de réversibilité. Selon votre secteur et votre niveau d'exigence, ces éléments pourront être complétés par des certifications ou référentiels spécifiques selon le profil et les enjeux de l'entreprise (ISO 27001, SOC 2, SecNumCloud, etc.).

La sécurité contractuelle sur la durée protège l'entreprise bien au-delà de la signature. Anticiper la revue sécurité dès la RFP, et non en dernière étape, évite les blocages tardifs qui déstabilisent les projets.