Les fournisseurs cloud ou SaaS hors UE ont-ils besoin des représentants GDPR et NIS2 ?

• Les articles 27 du GDPR et 26 du NIS2 s’appliquent souvent aux fournisseurs cloud/SaaS hors UE
• Aucun seuil de taille pour le GDPR ; NIS2 concerne cloud/CDN/DNS quel que soit la taille
• REP27, EU Presence, DataShield Guardian et Regingada proposent les deux services
• Les prix publiés varient largement ; vérifiez toujours ce qui est inclus
• Les amendes en cas de non-conformité peuvent atteindre 10 millions € ou 2 % du chiffre d’affaires (GDPR)
• Processus de nomination, exclusions et frais cachés diffèrent selon le fournisseur

Mis à jour 3 novembre 2026 · 8 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 3 novembre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : articles 27 du GDPR et 26 du NIS2

Les fournisseurs cloud et SaaS hors UE desservant l’UE sont soumis à deux obligations légales distinctes :

• Représentant GDPR Article 27 : Tout responsable de traitement ou sous-traitant hors UE proposant des biens/services à des personnes dans l’UE ou surveillant ces individus doit désigner un représentant dans l’UE. Cela s’applique aux fournisseurs SaaS et cloud, même en B2B, dès lors que les données concernent des individus de l’UE. Aucun seuil de taille minimum : toute entité hors UE traitant des données de l’UE doit se conformer. (GDPR Art. 27)
• Représentant NIS2 Article 26 : Les fournisseurs hors UE de services cloud, DNS, CDN, services managés, places de marché et plateformes sociales doivent désigner un représentant dans un État membre où ils offrent leurs services. Contrairement à d’autres obligations NIS2, cela s’applique indépendamment de la taille ou du chiffre d’affaires pour ces services numériques spécifiques. (NIS2 Art. 26)

Ces obligations sont cumulatives. Nommer un représentant GDPR ne dispense pas de NIS2, et inversement. Les deux rôles sont des points de contact pour les autorités de l’UE et les personnes concernées, mais couvrent des cadres juridiques et des devoirs de déclaration différents. NIS2 inclut par exemple la déclaration obligatoire d’incidents et l’enregistrement auprès des autorités nationales avant janvier 2025, tandis que le GDPR porte sur la protection des données et les droits des personnes.

Le non-respect de ces obligations peut entraîner des sanctions sévères. Le non-respect du GDPR peut conduire à des amendes allant jusqu’à 10 millions € ou 2 % du chiffre d’affaires mondial. NIS2 autorise les États membres à agir directement contre les fournisseurs hors UE, même si un représentant est désigné. La conformité implique donc non seulement la nomination d’un représentant, mais aussi une coopération continue avec les autorités.

En résumé, les fournisseurs SaaS et cloud hors UE doivent évaluer précisément si leurs activités déclenchent une ou les deux obligations, et choisir un prestataire capable de couvrir les deux rôles si nécessaire.

Comment choisir : matrice de décision pour fournisseurs hors UE

Le choix du ou des représentants dépend de votre modèle d’affaires, de la nature de vos services et de votre clientèle. La matrice suivante clarifie vos besoins selon votre situation :

Conseils pratiques :

• Analysez vos flux de données : si vous traitez des données personnelles de résidents UE, le GDPR s’applique.
• Évaluez vos services numériques : si vous proposez cloud, CDN, DNS ou services managés à l’UE, NIS2 s’applique même sans données personnelles.
• Places de marché : si vous vendez uniquement des produits physiques via Amazon ou eBay sans traiter de données personnelles UE ni offrir de services numériques, vous devez désigner une personne responsable produit, pas un représentant GDPR ou NIS2.
• Établissement dans l’UE : si votre société est déjà établie dans l’UE, ces obligations ne s’appliquent pas sauf si vous agissez pour une maison mère hors UE.

Choisir un prestataire couvrant les deux rôles (GDPR et NIS2) peut simplifier la conformité, réduire la charge administrative et assurer une communication cohérente avec les autorités. Vérifiez toujours la capacité du prestataire à gérer les deux obligations et consultez les prix et services inclus.

Ce que le prix inclut (et n’inclut pas)

Les tarifs publiés pour la représentation GDPR et NIS2 varient fortement. Il est crucial de comprendre ce que chaque fournisseur inclut dans son tarif de base et ce qui peut entraîner des frais supplémentaires. Voici un aperçu comparatif :

Détails clés des fournisseurs :

• REP27 : Offre représentation GDPR et NIS2, certificat, vérification publique, un contrat unique pour plusieurs rôles. Prix GDPR à partir de 290 €/an ; tarif NIS2 sur demande. Toutes les nominations sont signées par Europe Services SE (UE) avec certificat vérifiable. (source)
• EU Presence : Facture 127 $/mois pour GDPR et 327 $/mois pour NIS2 (prix vérifiés sur la page source). Inclut workflow de déclaration d’incidents et couverture des 27 États de l’UE. (source)
• DataShield Guardian : Plan Full Presence à partir de 12 000 $/an, couvrant GDPR, NIS2, AI Act, DPO externalisé et support conformité. (source)
• Regingada : GDPR à partir de 490 €/an ; NIS2 sur demande. Offre transmission documentée, suivi des délais, basé en Allemagne. (source)

Demandez toujours un devis détaillé et un contrat. Beaucoup de fournisseurs ne publient pas tous les frais supplémentaires, comme les frais par incident, les frais de réponse aux autorités ou les coûts de renouvellement. Interrogez-les précisément avant signature.

Coûts cachés et ce que les fournisseurs ne disent généralement pas

Bien que les fournisseurs annoncent des frais annuels ou mensuels pour la représentation, plusieurs détails importants sont souvent absents des documents publics. Les acheteurs doivent être vigilants quant aux coûts cachés et exclusions possibles :

• Durée de préavis : Aucun des fournisseurs mentionnés ne précise de durée minimale de contrat ni de préavis pour résiliation. Vérifiez toujours le contrat sur ce point.
• Frais par demande/incident : Aucun fournisseur ne publie de tarifs par incident ou par demande d’autorité. Pour NIS2, la déclaration d’incidents et les communications avec autorités peuvent engendrer des frais additionnels. Demandez un barème complet.
• Limites de responsabilité : Aucune information publique sur les plafonds ou exclusions de responsabilité. Il est courant que les fournisseurs limitent leur responsabilité sur les amendes ou dommages dans le contrat – demandez cette clause avant signature.
• Exclusions de services : Certains fournisseurs peuvent ne pas inclure toutes les communications avec autorités, la gestion des incidents ou le renouvellement des certificats dans le prix de base. Par exemple, Regingada propose la représentation NIS2 uniquement sur demande, et les détails sur la déclaration d’incidents ne sont pas publiés. DataShield Guardian inclut DPO et support conformité, mais la portée peut être limitée à certaines heures ou types d’incidents.
• Vérification et documentation : REP27 fournit un certificat public et un code de vérification, utile pour démontrer la conformité aux autorités et places de marché. Tous les fournisseurs ne proposent pas cette fonctionnalité.

Ce que les fournisseurs ne disent généralement pas :

• Si toutes les demandes des autorités sont traitées ou facturées en supplément pour les cas complexes
• Si le prix inclut des conseils de conformité continus ou seulement la nomination légale
• La rapidité de traitement des déclarations d’incidents ou correspondances avec autorités
• Les conditions de renouvellement automatique du contrat

Pour éviter les surprises, demandez toujours le contrat complet, un détail des services inclus et exclus, et clarifiez la procédure en cas d’incidents urgents ou d’enquêtes des autorités.

Comment fonctionne la nomination : étape par étape

La nomination d’un représentant GDPR et/ou NIS2 implique plusieurs étapes concrètes. Le processus garantit que le représentant est dûment autorisé et que votre entreprise est prête à répondre aux autorités de l’UE et à respecter les obligations légales. Voici le déroulé type, avec REP27 en exemple :

1. Évaluer vos obligations : Utilisez la matrice de décision ci-dessus pour déterminer si vous avez besoin d’un représentant GDPR et/ou NIS2. Analysez vos traitements de données et services numériques proposés à l’UE.
2. Choisir un fournisseur : Comparez les prestataires selon les prix publiés, services inclus et réputation. Confirmez que le fournisseur peut couvrir les deux obligations si nécessaire.
3. Soumettre les informations de l’entreprise : Vous devrez fournir les données légales de votre société, une description de vos services et des informations sur vos clients ou utilisateurs UE. REP27, par exemple, demande un dossier pour examen humain.
4. Examen par le fournisseur : Le prestataire vérifie que le dossier est complet et exact. Pour REP27, cela prend généralement moins de 24 heures ouvrées.
5. Désignation et signature : L’organe statutaire du fournisseur signe la lettre de désignation, vous nommant officiellement son client. REP27 délivre un certificat signé, un QR code et un code de vérification.
6. Réception des documents : Vous recevez la désignation signée, le certificat et un modèle de texte pour votre notice de confidentialité ou site web. Ces documents sont essentiels pour prouver la conformité aux autorités, clients et places de marché.
7. Mise à jour des mentions légales : Actualisez votre politique de confidentialité, site web et (pour NIS2) enregistrez les coordonnées du représentant auprès de l’autorité nationale compétente. L’enregistrement NIS2 est obligatoire avant janvier 2025.
8. Coopération continue : Maintenez la communication avec votre représentant pour la déclaration d’incidents, demandes des autorités et mises à jour de conformité. Comprenez bien la procédure pour les notifications urgentes et les délais de réponse du fournisseur.

Liste de contrôle pour les acheteurs :

1. Confirmer si vous traitez des données personnelles UE ou fournissez des services cloud/numériques à l’UE.
2. Vérifier si GDPR et NIS2 s’appliquent à vos activités.
3. Rassembler tous les documents nécessaires sur l’entreprise et les services.
4. Contacter les fournisseurs pour un devis complet et contrat, en demandant les frais supplémentaires.
5. Examiner les conditions contractuelles, y compris préavis et limites de responsabilité.
6. Nommer votre ou vos représentants et recevoir la documentation.
7. Mettre à jour votre notice de confidentialité et vous enregistrer auprès des autorités si requis.
8. Mettre en place des processus internes pour la déclaration d’incidents et communications avec les autorités.

Suivre ces étapes garantit le respect des exigences légales de l’UE et évite des sanctions coûteuses.

Risques, amendes et contrôles

Le non-respect des articles 27 du GDPR ou 26 du NIS2 expose les fournisseurs cloud et SaaS hors UE à des risques juridiques et financiers importants. Comprendre ces risques est essentiel pour une prise de décision éclairée :

• GDPR : Ne pas nommer de représentant GDPR constitue une infraction, passible d’amendes jusqu’à 10 millions € ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé. Ces amendes s’ajoutent à d’autres sanctions pour violations du GDPR. Les autorités peuvent aussi bloquer vos services dans l’UE ou ordonner la suppression des données traitées illégalement.
• NIS2 : Sous NIS2, les États membres peuvent engager des actions directes contre les fournisseurs hors UE n’ayant pas désigné de représentant. Cela inclut enquêtes, blocage de services et sanctions administratives. Le représentant ne protège pas le fournisseur contre l’application de la loi ; il sert uniquement de point de contact local.
• Délais d’enregistrement : NIS2 impose aux fournisseurs hors UE d’enregistrer les coordonnées de leur représentant auprès de l’autorité nationale compétente avant le 17 janvier 2025. Le non-respect peut entraîner des mesures immédiates de conformité.
• Déclaration d’incidents : NIS2 oblige les fournisseurs concernés à déclarer rapidement les incidents de sécurité majeurs. Les retards ou omissions peuvent entraîner des pénalités supplémentaires et nuire à la réputation.
• Risque réputationnel : Les actions publiques de contrôle ou blocages de services peuvent nuire à votre image et à la confiance de vos clients, surtout sur le marché européen sensible à la confidentialité et à la sécurité.

Pour réduire ces risques, nommez un représentant qualifié, maintenez une documentation à jour et établissez des procédures internes claires pour la gestion des incidents et les communications avec les autorités. Révisez régulièrement votre conformité et mettez à jour les coordonnées de votre représentant selon l’évolution de votre activité.

Scénarios réalistes : ce qui s’applique et la voie la plus simple

Voici trois scénarios pratiques illustrant l’application des règles et la voie la plus simple pour être conforme :

• Scénario 1 : société SaaS américaine offrant des services B2B et B2C à des clients UE
  Obligations : Doit nommer des représentants GDPR Article 27 et NIS2. La société traite des données personnelles UE (GDPR) et fournit des services cloud (NIS2).
  Voie conforme : Nommer un prestataire (ex. REP27) couvrant les deux rôles. Mettre à jour la notice de confidentialité avec les coordonnées du représentant, s’enregistrer auprès de l’autorité NIS2 compétente, et mettre en place des procédures internes pour la déclaration d’incidents et communications avec les autorités.
• Scénario 2 : vendeur chinois Amazon exportant uniquement des biens physiques vers l’UE
  Obligations : Doit désigner une personne responsable produit pour la conformité sécurité produit. Pas besoin de représentants GDPR ou NIS2 sauf s’il traite aussi des données personnelles UE ou offre des services numériques/cloud.
  Voie conforme : Nommer une personne responsable produit (hors sujet ici), assurer l’étiquetage et la documentation produit, et vérifier si des services numériques ou traitement de données déclenchent d’autres obligations.
• Scénario 3 : boutique en ligne britannique vendant à des consommateurs UE
  Obligations : Doit nommer un représentant GDPR si elle traite des données personnelles UE. NIS2 s’applique seulement si la boutique propose aussi des services cloud ou numériques (pas pour e-commerce pur).
  Voie conforme : Nommer un représentant GDPR (ex. REP27), mettre à jour la notice de confidentialité, et vérifier si des services numériques nécessitent un représentant NIS2. Sinon, aucune autre action NIS2 requise.

Ces scénarios montrent que les obligations dépendent de la nature de votre activité et services. Effectuez toujours une analyse détaillée et consultez un prestataire expérimenté en représentation GDPR et NIS2.