Le CMA ouvre une enquête sur Microsoft pour ses licences

La veille cybersécurité permanente s'impose désormais comme une nécessité opérationnelle pour les équipes de sécurité : elle permet d'anticiper les menaces émergentes, de prioriser les actions de remédiation et d'ajuster les stratégies de défense en temps réel. L'actualité récente confirme cette accélération, avec une multiplication des vulnérabilités critiques, des incidents majeurs et des décisions réglementaires qui redessinent le paysage numérique. Parmi les dossiers les plus scrutés, l'affaire Microsoft cloud CMA enquête illustre la manière dont les autorités britanniques examinent les pratiques de licences des grands fournisseurs, avec des répercussions directes sur les coûts, la souveraineté et la résilience des systèmes d'information. Pour les RSSI, suivre ces évolutions n'est plus un exercice de curiosité : c'est un levier de pilotage du risque, de conformité et de négociation contractuelle face à des dépendances technologiques croissantes.

Ce qui s'est passé

Le 31 mars 2026, la Competition and Markets Authority (CMA), le régulateur britannique de la concurrence, a annoncé l'ouverture d'une enquête formelle sur les pratiques de licences logicielles de Microsoft dans le secteur du cloud computing. Cette décision fait suite à une investigation de plusieurs mois sur la santé concurrentielle du marché du cloud au Royaume-Uni, selon The Register.

Au cœur du problème : les licences de produits phares comme Windows Server et SQL Server coûtent significativement plus cher lorsqu'elles sont déployées sur des clouds concurrents tels qu'AWS ou Google Cloud, par rapport à Azure. Microsoft permet en effet à ses clients de transférer leurs licences on-premise vers Azure sans surcoût, un avantage que les rivaux ne peuvent pas offrir. Cette asymétrie tarifaire crée de fait un verrouillage des entreprises dans l'écosystème Microsoft.

La CMA envisage d'attribuer à Microsoft un « Strategic Market Status » (SMS), un statut qui imposerait des obligations renforcées en matière de transparence et de pratiques commerciales équitables. Le régulateur a toutefois choisi de ne pas étendre cette investigation à AWS dans l'immédiat, une décision qui fait débat dans l'industrie, d'après plusieurs analystes cités par The Register.

Pourquoi c'est important

Cette enquête s'inscrit dans un mouvement réglementaire global visant à encadrer les pratiques des hyperscalers. La FTC américaine avait déjà ouvert une investigation sur la domination de Microsoft dans le cloud et l'IA en février 2026. Pour les entreprises européennes et britanniques, l'enjeu est concret : les coûts de migration entre fournisseurs cloud restent prohibitifs, et les politiques de licences aggravent cette dépendance. Avec l'intégration croissante de l'IA dans les outils métier comme Microsoft 365 Copilot, le risque de verrouillage ne fait que s'amplifier.

Ce qu'il faut retenir

• La CMA cible spécifiquement les licences Windows Server et SQL Server, plus chères hors Azure.
• Un statut SMS pourrait contraindre Microsoft à modifier ses conditions commerciales au Royaume-Uni.
• Les entreprises multi-cloud doivent anticiper les évolutions réglementaires dans leur stratégie de négociation avec les hyperscalers.

Plan de remédiation et mesures correctives

La remédiation de cette problématique nécessite une approche structurée en plusieurs phases. En priorité immédiate, les équipes de sécurité doivent identifier les systèmes exposés, appliquer les correctifs disponibles et mettre en place des règles de détection temporaires. À moyen terme, il convient de renforcer l'architecture de sécurité par la segmentation réseau, le durcissement des configurations et le déploiement de solutions de monitoring avancées. À long terme, l'adoption d'une approche Zero Trust, la formation continue des équipes et l'intégration de la sécurité dans les processus DevOps permettent de réduire structurellement la surface d'attaque et d'améliorer la résilience globale de l'infrastructure.