Blocage à l’administration fiscale néerlandaise, un signal aux administrations européennes ?
L’administration fiscale et douanière néerlandaise a abandonné son projet de migration vers le cloud Microsoft 365 au profit de services hébergés sur une infrastructure qu’elle contrôle, ainsi que d’alternatives open source européennes.
Le Belastingdienst a renoncé à migrer vers la suite bureautique cloud de Microsoft : ses e-mails, ses calendriers et ses outils de travail seront hébergés sur des serveurs qu’elle possède ou contrôle, avec l’appui de logiciels libres européens.
L’administration fiscale néerlandaise, les douanes néerlandaises et l’organisme chargé du versement des prestations devaient travailler dans le cloud public de Microsoft, avec Outlook, Teams et les applications Office en ligne. Ce ne sera pas le cas. L’institution qui détient les données financières de chaque contribuable néerlandais rapatrie ces activités sur sa propre infrastructure.
À l’origine de ce revirement ? Un avis du propre organisme de contrôle informatique du gouvernement. L’Advisory Council on ICT Assessment a conclu que « l’architecture en cloud public ne répond pas aux exigences en matière de sécurité de l’information, de traitement des données et de pérennité. »
Un choix et déjà un calendrier
« En 2027, la fourniture du courrier et des calendriers sera réalisée sur site. Plus tard en 2027 et en 2028, des solutions open source européennes pour le stockage personnel et les fonctionnalités de collaboration suivront », écrit Eelco Eerenberg, Minister for Tax Affairs, Tax Administration and Customs.
L’augmentation de la capacité de ses propres centres de données rend l’option sur site possible, et l’administration réutilisera les licences existantes « dans la mesure du possible » pour limiter l’investissement supplémentaire.
La liste des problèmes repris dans l’audit ressemble à une série de vérifications que toute organisation utilisant le cloud de Microsoft pourrait effectuer : des documents confidentiels transitent par des serveurs américains, et le chiffrement Microsoft standard est utilisé à la place de Double Key Encryption, une option qui permet au client de garder l’une des clés.
Le conseil a également constaté que les appels Teams en tête-à-tête n’étaient pas chiffrés de bout en bout par défaut et que les appels de groupe ne pouvaient pas l’être du tout. Mais le problème de dépendance à un fournisseur unique était le plus préoccupant : un seul prestataire américain, sans stratégie de sortie si l’administration fiscale devait un jour le quitter.
Sur les propres serveurs de l’administration fiscale
Microsoft a refusé de commenter. Au-delà des Pays-Bas, cette décision compte davantage comme précédent que comme projet IT. Les administrations fiscales figurent parmi les institutions publiques les plus réticentes à prendre des risques, et l’une d’elles vient désormais d’écrire noir sur blanc qu’une suite cloud américaine très répandue n’a pas satisfait à son examen de sécurité.
Les e-mails et les calendriers seront les premiers à passer sur les propres serveurs de l’administration fiscale, en 2027. Les outils européens libres de stockage personnel et de collaboration suivront plus tard en 2027 et en 2028, et la Chambre des représentants recevra une feuille de route détaillée au premier trimestre 2027.
Défaire une dépendance à un écosystème prend des années… et coûte cher
Le projet comporte encore des zones d’ombre. Notamment sur les produits. Evoquer des « logiciels libres européens » indique une orientation, pas encore un choix. Certaines fonctionnalités de gestion documentaire intégrées à Microsoft 365 n’ont pas d’équivalent sur site. Et l’administration cherche encore comment les remplacer.
L’expérience néerlandaise nous rappelle que « sortir » demeure un audacieux défi, difficile à relever. D’autres administrations tentent de le faire, avec des succès mitigés. Le cœur du problème n’est ni Word ni Outlook, mais tout ce qui s’y est arrimé au fil des ans : l’identité, les applications métier, les flux de travail, les compétences… Remplacer un traitement de texte prend quelques semaines ; défaire une dépendance à un écosystème prend des années… et coûte cher.
