Le fisc néerlandais renonce à Microsoft 365 et rapatrie ses e-mails sur ses serveurs

L’administration fiscale néerlandaise a renoncé à migrer vers la suite bureautique cloud de Microsoft : ses e-mails, ses calendriers et ses outils de travail seront hébergés sur des serveurs qu’elle possède ou contrôle, avec l’appui de logiciels libres européens. Le Belastingdienst, les douanes néerlandaises et l’organisme chargé du versement des prestations devaient travailler dans le cloud public de Microsoft, avec Outlook, Teams et les applications Office en ligne. Aujourd’hui, l’institution qui détient les données financières de chaque contribuable néerlandais rapatrie ces activités sur son propre matériel.

À l’origine de ce revirement : un avis du propre organisme de contrôle informatique du gouvernement. L’Advisory Council on ICT Assessment a conclu que l’architecture en cloud public « ne répond pas aux exigences en matière de sécurité de l’information, de traitement des données et de pérennité », comme l’a rapporté The Register. La liste des problèmes ressemble à une série de vérifications que toute organisation utilisant le cloud de Microsoft pourrait effectuer : des documents confidentiels transitent par des serveurs américains, et le chiffrement Microsoft standard est utilisé à la place de Double Key Encryption, une option qui permet au client de garder l’une des clés.

Le conseil a également constaté que les appels Teams en tête-à-tête n’étaient pas chiffrés de bout en bout par défaut et que les appels de groupe ne pouvaient pas l’être du tout. Mais le problème de dépendance à un fournisseur unique était le plus préoccupant : un seul prestataire américain, sans stratégie de sortie si l’administration fiscale devait un jour le quitter. Les parlementaires néerlandais avaient déjà fait valoir que s’appuyer sur un seul fournisseur américain exposait une fonction essentielle de l’État, puisque la loi américaine peut contraindre les entreprises américaines à transmettre des données, où qu’elles soient stockées.

Jusqu’à récemment, l’administration fiscale soutenait qu’une solution souveraine « n’était ni réaliste ni viable ». Ce qui a changé, selon Eelco Eerenberg, secrétaire d’État aux Finances, c’est sa capacité d’hébergement : le Belastingdienst a suffisamment développé ses propres centres de données pour pouvoir y héberger lui-même les logiciels. Afin de limiter les coûts, il réutilisera autant que possible les licences existantes et suivra les recommandations du conseil en choisissant les outils fonction par fonction, plutôt qu’en achetant une suite complète auprès d’un seul fournisseur.

Le projet comporte encore des zones d’ombre. Le gouvernement ne cite aucun produit : « logiciels libres européens » indique une orientation, pas encore un choix. Certaines fonctionnalités de gestion documentaire intégrées à Microsoft 365 n’ont pas d’équivalent sur site, et l’administration cherche encore comment les remplacer. Selon The Register, environ 5 000 des 47 500 personnes travaillant dans les services fiscaux, les douanes et les prestations avaient déjà basculé dans le cloud, et personne n’a chiffré le coût de ce revirement. Les premières évaluations des solutions européennes sont elles aussi mitigées : Politico a rapporté qu’un membre du personnel de la Commission européenne avait vivement critiqué, sur un forum interne, le concurrent de Teams proposé par Element.

Microsoft a refusé de commenter. Les fournisseurs qui pourraient tirer profit de cette décision ont, eux, pris la parole plus rapidement. Frank Karlitschek, directeur général de Nextcloud, s’est félicité de la décision et a déclaré que son entreprise avait ajouté plus de deux millions de licences d’espace de travail souverain l’an dernier. Matthew Hodgson, directeur général d’Element, a qualifié les retours des clients d’« uniquement positifs et constructifs » et estimé qu’il fallait s’attendre à une certaine résistance de la part d’utilisateurs réticents au changement.

Au-delà des Pays-Bas, cette décision compte davantage comme précédent que comme projet informatique. Les administrations fiscales figurent parmi les institutions publiques les plus réticentes à prendre des risques, et l’une d’elles vient désormais d’écrire noir sur blanc qu’une suite cloud américaine très répandue n’a pas satisfait à son examen de sécurité. Les failles relevées par le conseil ne tiennent pas à des paramètres obscurs. Le chiffrement par défaut, les appels Teams et le contrat avec un fournisseur unique, voilà ce qu’obtient la plupart des organisations en souscrivant à Microsoft 365 ; et la majorité des organismes publics néerlandais utilisent encore le cloud de Microsoft.

Les e-mails et les calendriers seront les premiers à passer sur les propres serveurs de l’administration fiscale, en 2027. Les outils européens libres de stockage personnel et de collaboration suivront plus tard en 2027 et en 2028, et la Chambre des représentants recevra une feuille de route détaillée au premier trimestre 2027. Eerenberg a présenté le projet dans une lettre adressée au Parlement le 6 octobre, en réponse aux questions de députés.

Le premier véritable test se jouera dans les boîtes de réception : le matin où des dizaines de milliers d’agents des services fiscaux, des douanes et des prestations ouvriront leurs e-mails sur des serveurs contrôlés par l’État néerlandais, et ne remarqueront rien — ou remarqueront tout.

Étiquettes: microsoft, Microsoft 365, Belastingdienst, Element, logiciel libre, Nextcloud