Infogérance cloud : quand et pourquoi déléguer l’exploitation de son environnement

52,7 % des entreprises européennes utilisaient des services cloud payants en 2025, selon Eurostat, soit 7,4 points de plus qu’en 2023. La moyenne masque un écart de taille : environ une petite entreprise sur deux, contre plus de huit grandes sur dix. Ce décalage ne vient pas du prix des outils, accessibles dès quelques dizaines d’euros par mois. Il vient de l’exploitation : mettre une application en ligne prend quelques semaines, la surveiller sept jours sur sept pendant cinq ans demande une organisation que peu de PME ont sous la main.

Le déclencheur n’est presque jamais technique

La migration se passe en général bien. C’est la suite qui coince. Une fois les serveurs virtualisés et les sauvegardes programmées, une PME découvre un métier qu’elle n’avait pas budgété : la surveillance des alertes, l’application des correctifs, le suivi d’une facture qui gonfle sans prévenir, la restauration à tester avant d’en avoir besoin.

Ce travail ne réclame pas beaucoup de personnes. Il réclame de la permanence. Et c’est cette permanence qui manque quand l’informatique repose sur un responsable unique, souvent compétent, souvent seul, parfois en congés. Confier l’exploitation à un prestataire d’infogérance cloud revient à acheter du temps de veille plutôt que des machines.

Un dirigeant d’ETI industrielle le formule autrement, et beaucoup le répètent en privé : la panne coûte moins cher que les heures écoulées avant que quelqu’un la remarque.

Le calcul économique se fait rarement à l’euro près, et c’est normal : comparer un salaire chargé d’administrateur système à un forfait mensuel d’exploitation ne dit pas tout. Un poste interne apporte la connaissance du métier et une réactivité de proximité. Un contrat apporte la couverture horaire et la profondeur d’expertise sur des briques que personne ne pratique tous les jours, du réseau au chiffrement des sauvegardes. Beaucoup de structures moyennes finissent avec les deux, dans une répartition ajustée au fil des mois.

Infogérance cloud : ce que le prestataire prend en charge, et ce qu’il laisse

Le périmètre varie d’un contrat à l’autre, et c’est là que se jouent les mauvaises surprises. Un contrat d’exploitation standard couvre la disponibilité et la remise en service. Il ne couvre pas les décisions : qui accède à quoi, quelles données partent où, quel dépassement de budget on accepte.

Une confusion revient dans presque tous les appels d’offres. L’hébergeur fournit la ressource, l’infogéreur l’exploite. Louer une machine virtuelle chez un fournisseur cloud n’ouvre droit à aucune surveillance applicative, aucune astreinte, aucun engagement de remise en service. Les deux contrats se superposent au lieu de se remplacer. Une PME persuadée d’avoir délégué son exploitation parce qu’elle paie une facture cloud mensuelle découvre le malentendu au premier incident sérieux, en général un vendredi soir.

La répartition ci-dessous est celle qu’on retrouve le plus souvent dans les offres destinées aux structures de 50 à 500 salariés.

La sécurité a déplacé le curseur

Pendant longtemps, déléguer l’exploitation relevait du confort d’organisation. Le calcul a changé quand les attaquants ont descendu la chaîne. Les TPE, PME et ETI formaient 48 % des victimes de rançongiciel portées à la connaissance de l’ANSSI en 2025, première catégorie touchée, loin devant les collectivités territoriales. Ces organisations cumulent un patrimoine numérique qui a de la valeur et des moyens de défense limités. Vu de l’attaquant, le rapport entre l’effort et la rançon espérée y est meilleur que sur un grand groupe.

Déléguer ne supprime pas le risque. Cela raccourcit le délai de réaction, ce qui n’est pas la même chose et vaut souvent plus. Reste que la gouvernance des accès continue de dépendre de l’entreprise elle-même : la rigueur des procédures de départ des salariés conditionne l’efficacité de tout le dispositif en aval.

Quatre signaux qui indiquent qu’il est temps

Aucun seuil de chiffre d’affaires ne déclenche mécaniquement la décision. En pratique, quatre situations reviennent chez les dirigeants qui finissent par externaliser :

• une seule personne connaît la configuration réelle de l’environnement, et personne ne sait la reprendre en son absence ;
• la facture mensuelle progresse sans qu’on puisse désigner la ligne responsable ;
• le dernier test de restauration date de plus de six mois, ou n’a jamais eu lieu ;
• les correctifs de sécurité s’appliquent quand quelqu’un y pense, pas selon un calendrier tenu.

Deux de ces signaux réunis justifient déjà un audit d’exploitation. Quatre, et la continuité d’activité devient le vrai sujet de la discussion.

Ce qui ne se délègue pas

Un point mérite d’être posé sans détour : externaliser l’exploitation n’exonère de rien sur le plan juridique. Dans la configuration la plus courante, l’entreprise reste responsable de traitement et le prestataire intervient comme sous-traitant au sens du RGPD. La CNIL rappelle que la qualification n’est pas automatique : un prestataire qui décide lui-même de certaines finalités devient coresponsable. La répartition des obligations doit donc figurer dans le contrat, pas dans un échange de courriels. La directive NIS 2 étend en plus les exigences de sécurité à dix-huit secteurs, avec le seuil de moyenne entreprise comme critère d’entrée : une partie des PME et des ETI de ces secteurs y basculent, pas toutes.

Reste la question de la sortie. Un contrat qui ne prévoit ni le format de restitution des données, ni la durée d’accompagnement en cas de changement de prestataire, enferme l’entreprise pour plusieurs années. C’est la clause que les directions financières lisent en dernier, et celle qui coûte le plus cher quand elle manque.

L’infogérance achète de la disponibilité et du temps d’ingénieur. Elle n’achète pas de l’arbitrage. Les entreprises qui s’en sortent le mieux sont celles qui ont écrit leurs règles avant de signer.

Sources : Eurostat, enquête sur l’usage des technologies de l’information et de la communication dans les entreprises (2025) ; ANSSI, Panorama de la cybermenace 2025 ; CNIL, encadrement du recours à un sous-traitant ; directive NIS 2 et son cadre de transposition en droit français.