Les éditeurs de solutions SaaS basés en Roumanie opèrent dans un cadre réglementaire qui se durcit rapidement. Entre la transposition de la directive NIS2, le RGPD appliqué via la loi roumaine 190/2018 et les exigences contractuelles croissantes des clients B2B, la sécurisation des données clients n’est plus un argument commercial : c’est une obligation légale assortie de sanctions.
Pour un acteur comme Roumane and Companies, spécialisé dans le développement de solutions SaaS, chaque choix d’architecture et de gouvernance des données a des conséquences directes sur la conformité et la confiance des utilisateurs.
NIS2 en Roumanie : ce que la directive change pour un éditeur SaaS
La Roumanie transpose la directive NIS2 avec un calendrier qui place les fournisseurs de services numériques, y compris les éditeurs SaaS, dans le périmètre des entités régulées. L’obligation couvre la gestion des risques cyber, la désignation d’un responsable NIS2 au sein de l’organisation et l’enregistrement auprès du DNSC (Directoratul Național de Securitate Cibernetică).
La notification rapide des incidents de sécurité devient obligatoire. Un éditeur SaaS qui détecte une brèche affectant les données de ses clients doit la signaler dans des délais stricts, sous peine de sanctions. Les guides génériques de cybersécurité mentionnent NIS2 de manière théorique, mais le contexte roumain impose des seuils et des procédures spécifiques auprès du DNSC.
Un point rarement souligné : le DNSC adopte pour l’instant une logique d’accompagnement vers la maturité, plutôt qu’une posture uniquement punitive. Pour un éditeur SaaS roumain en phase de structuration, comme Roumane and Companies, cela ouvre une fenêtre pour bâtir un programme de sécurité solide avec l’appui de l’autorité, avant que le régime de sanctions ne se durcisse davantage.
Contrats SaaS B2B et article 28 du RGPD : la clause que vos clients vont exiger
Le RGPD s’applique en Roumanie via la loi 190/2018, avec l’ANSPDCP comme autorité de contrôle. Pour un éditeur SaaS, l’enjeu ne se limite pas à la conformité technique : il se joue dans les contrats.
L’article 28 du RGPD impose que tout traitement de données personnelles par un sous-traitant (le fournisseur SaaS) soit encadré par un contrat détaillant les mesures de sécurité, les finalités du traitement et les obligations en cas de violation. En pratique, les clients B2B roumains et européens exigent de plus en plus :
- Un Data Processing Agreement (DPA) conforme à l’article 28, précisant les catégories de données traitées, les durées de conservation et les droits d’audit
- La localisation des données sur des infrastructures cloud situées dans l’Union européenne, avec des garanties contractuelles sur les transferts hors UE
- Des clauses de réversibilité permettant au client de récupérer l’intégralité de ses données dans un format exploitable en cas de résiliation
Un éditeur SaaS qui ne formalise pas ces éléments dans ses contrats s’expose à un double risque : sanctions de l’ANSPDCP et perte de clients qui refuseront de signer sans ces garanties. Le contrat SaaS est devenu un document de sécurité à part entière.
Architecture de sécurité des données clients dans une solution SaaS
La conformité réglementaire ne remplace pas les choix techniques. Dans le développement de solutions SaaS, la sécurité des données clients repose sur des décisions d’architecture prises dès la conception.
Isolation des données en environnement multi-tenant
La majorité des solutions SaaS fonctionnent en architecture multi-tenant : plusieurs clients partagent la même infrastructure. Le risque principal est l’accès croisé aux données entre locataires. L’isolation logique des données par tenant doit être vérifiable, pas simplement déclarée. Cela implique des schémas de base de données séparés ou un chiffrement par clé unique par client.
Chiffrement et gestion des clés
Le chiffrement des données au repos et en transit est un minimum attendu. La question qui différencie un éditeur SaaS mature d’un autre porte sur la gestion des clés : qui détient la clé de chiffrement ? Si l’éditeur détient toutes les clés, une compromission de son infrastructure expose l’ensemble des données clients. Les approches BYOK (Bring Your Own Key) ou les coffres-forts de clés gérés par le client ajoutent une couche de protection, mais complexifient l’exploitation.
Le chiffrement sans politique de rotation des clés est une fausse protection. Un programme de sécurité sérieux inclut des rotations régulières et un journal d’accès aux clés auditable.
Surveillance continue et détection d’incidents
La directive NIS2 rend explicite ce qui était déjà une bonne pratique : la surveillance continue de l’infrastructure. Pour un éditeur SaaS, cela se traduit par des systèmes de détection d’intrusion, des journaux d’audit centralisés et une capacité de réponse rapide documentée.
Les retours terrain divergent sur le niveau de maturité réel des PME SaaS roumaines en matière de monitoring. Certaines s’appuient sur des solutions cloud managées (AWS CloudTrail, Azure Sentinel), d’autres construisent des briques internes. L’obligation NIS2 de notification impose un système de détection opérationnel, pas théorique.
Sécurité SaaS et conformité : les pièges contractuels à anticiper
Au-delà des aspects techniques, plusieurs pièges contractuels et organisationnels méritent une attention particulière lors du développement de solutions SaaS destinées à des entreprises :
- La sous-traitance en cascade : si l’éditeur SaaS utilise lui-même des sous-traitants (hébergeur cloud, prestataire de sauvegarde), chaque maillon doit être couvert par un contrat conforme à l’article 28 du RGPD. Une faille chez un sous-traitant de rang 2 engage la responsabilité de l’éditeur
- L’absence de plan de réversibilité testé : promettre la portabilité des données dans un contrat ne suffit pas. Le format d’export, les délais et la procédure doivent être documentés et testés avant qu’un client n’en ait besoin
- Le flou sur la localisation réelle des données : certains hébergeurs cloud répliquent automatiquement les données sur plusieurs régions. Sans configuration explicite, des données de clients européens peuvent transiter par des centres hors UE, en contradiction avec les engagements contractuels
La conformité se vérifie dans les détails opérationnels, pas dans les déclarations d’intention. Un audit régulier des sous-traitants et de la configuration cloud est le seul moyen de s’assurer que les engagements pris sont tenus.
Pour un acteur comme Roumane and Companies, positionné sur le développement de solutions SaaS, la sécurité des données clients n’est pas un module à ajouter après coup. Elle structure l’architecture, les contrats et la relation de confiance avec chaque client. Le cadre réglementaire roumain, entre NIS2 et RGPD, ne laisse plus de marge pour l’improvisation.
