Microsoft, AWS et Google régulés par la finance britannique

Le Royaume-Uni soumet les géants du cloud à la supervision financière directe

Le 10 juillet 2026, le Trésor britannique (HM Treasury) a officiellement désigné quatre grandes entités comme prestataires tiers critiques (Critical Third Parties, CTP) du secteur financier du Royaume-Uni : Microsoft Ireland Operations Limited, Google Cloud EMEA Limited, Amazon Web Services EMEA SARL et Oracle Corporation UK Limited. Trois jours plus tard, le 13 juillet, le régime réglementaire associé est entré en vigueur, plaçant les services cloud critiques fournis par ces quatre acteurs sous un nouveau cadre d'intervention directe des autorités de supervision financière britanniques. C'est une première mondiale dans la régulation des hyperscalers : pour la première fois dans un grand pays industrialisé, des fournisseurs cloud se voient imposer des obligations directes vis-à-vis d'un régulateur sectoriel, et non plus seulement via leurs clients régulés.

Cette désignation marque l'aboutissement d'un processus législatif amorcé en 2022 avec le Financial Services and Markets Act (FSMA), qui avait habilité les régulateurs financiers à créer le régime CTP. L'objectif est de répondre à une réalité structurelle devenue incontournable : les banques, assureurs et infrastructures de marché financier britanniques sont devenus si dépendants d'un petit nombre de fournisseurs cloud que la défaillance de l'un d'eux pourrait déclencher une crise systémique dans l'ensemble du secteur. L'incident CrowdStrike de juillet 2024, qui avait paralysé des millions de systèmes Windows à travers le monde en quelques heures, a représenté le catalyseur politique décisif pour accélérer la mise en place de ce régime.

Les pouvoirs accordés aux trois régulateurs désignés — la Banque d'Angleterre, la Prudential Regulation Authority (PRA) et la Financial Conduct Authority (FCA) — sont substantiels. Premièrement, les régulateurs peuvent désormais imposer aux quatre CTP de réaliser des tests de résilience sur des scénarios "sévères mais plausibles", incluant des cyberattaques majeures ou des pannes de datacenter étendues. Deuxièmement, les CTP sont tenus de soumettre des auto-évaluations régulières de leur résilience opérationnelle selon des formats standardisés. Troisièmement, tout incident majeur susceptible d'affecter le secteur financier britannique doit être notifié aux autorités dans des délais contraints, sans attendre que les clients financiers effectuent eux-mêmes le signalement. Quatrièmement, les régulateurs peuvent exiger la transmission de toute information sur demande — une faculté d'investigation sans précédent sur les hyperscalers.

Il est important de préciser la portée exacte de la désignation. Elle porte spécifiquement sur des "services cloud critiques" fournis aux institutions financières britanniques, et non sur l'intégralité des activités de Microsoft, Google, AWS ou Oracle au Royaume-Uni. Les entités juridiques désignées sont les filiales EMEA de chaque groupe, celles qui contractualisent principalement avec les clients du secteur financier dans la région. Un prestataire cloud utilisé exclusivement par des entreprises de l'industrie manufacturière, par exemple, n'est pas concerné par ce régime. C'est la relation de service avec le secteur financier qui est régulée, pas le fournisseur cloud dans sa globalité.

La réaction des quatre fournisseurs désignés a été prudente mais coopérative, selon les informations rapportées par Fintech Global et Cloudswitched. AWS a publié un document d'orientation à destination de ses clients du secteur financier, expliquant les implications de la désignation pour les contrats existants et les nouvelles souscriptions. Microsoft a rappelé dans ses communications que ses outils de gouvernance et son Cloud Adoption Framework sont conçus pour répondre à ce type d'exigences réglementaires. Aucun des quatre acteurs n'a contesté publiquement la désignation — le marché des services financiers britanniques représente des revenus considérables, et refuser de coopérer avec les régulateurs entraînerait des conséquences commerciales potentiellement désastreuses.

Pour les établissements financiers eux-mêmes — banques, assureurs, gestionnaires d'actifs, infrastructures de marché — la désignation modifie le cadre de leurs propres obligations de gestion des risques liés aux tiers. Les règles de résilience opérationnelle de la PRA et du FCA, applicables depuis 2022, se trouvent renforcées d'un niveau de supervision supplémentaire côté fournisseur. Les établissements doivent vérifier que leurs contrats avec les CTP permettent aux régulateurs d'exercer leurs droits d'accès et d'information, et que leurs plans de continuité d'activité intègrent des scénarios de défaillance des fournisseurs cloud désignés avec des mesures de rétablissement documentées.

La dimension géopolitique de la mesure ne doit pas être sous-estimée. Depuis le Brexit, le Royaume-Uni construit une approche réglementaire propre, distincte du modèle européen. Le régime CTP précède techniquement DORA (Digital Operational Resilience Act, applicable en Europe depuis janvier 2025) dans son application d'obligations directes aux fournisseurs cloud, et non seulement à leurs clients régulés. La coordination avec les régulateurs européens — BCE, EBA, ESMA — sera nécessaire pour éviter des conflits de compétence lorsque les mêmes entités EMEA servent des clients des deux côtés de la Manche. Des discussions exploratoires sont en cours, mais aucun accord formel d'équivalence n'est attendu à court terme.

Au-delà du secteur financier, ce régime constitue un précédent dont d'autres secteurs britanniques entendent s'inspirer. Des discussions actives sont en cours pour appliquer un cadre similaire aux prestataires critiques du secteur de l'énergie et des télécommunications. Si le modèle CTP s'étend à d'autres industries réglementées, Microsoft, Google, AWS et Oracle pourraient se retrouver sous supervision directe de plusieurs régulateurs sectoriels simultanément — une transformation structurelle de la relation entre hyperscalers et régulateurs d'État.

Ce que cette décision change pour les entreprises françaises et européennes

Pour les entreprises françaises et européennes opérant au Royaume-Uni ou fournissant des services à des institutions financières britanniques, les implications sont concrètes et immédiates. Toute organisation utilisant Microsoft Azure, Google Cloud, AWS ou Oracle Cloud pour héberger des services destinés à des banques ou assureurs sous supervision britannique doit s'assurer que ses contrats avec ces fournisseurs sont compatibles avec les droits accordés aux régulateurs CTP. Les clauses de confidentialité standard pouvant restreindre la transmission d'informations aux autorités doivent être réexaminées. Les plans de continuité d'activité doivent documenter les scénarios de défaillance des CTP désignés et les mesures de rétablissement correspondantes.

Cette décision s'inscrit dans un mouvement global que l'on peut qualifier de "cloudification sous contrainte réglementaire". En France, l'ACPR (Autorité de Contrôle Prudentiel et de Résolution) a adopté des orientations alignées avec DORA imposant aux établissements financiers une cartographie rigoureuse et une surveillance continue de leurs prestataires informatiques critiques. La désignation britannique représente un palier supplémentaire : non plus seulement des obligations sur les utilisateurs des services cloud, mais des obligations directes sur les fournisseurs eux-mêmes. Cette évolution rapproche le régime de supervision des fournisseurs IT de ce qui existe depuis longtemps pour les agences de notation ou les auditeurs financiers.

Les États-Unis observent avec intérêt ce précédent britannique. Depuis l'incident CrowdStrike de 2024 et les discussions au Congrès sur la concentration technologique dans les infrastructures critiques, le débat sur une supervision directe des fournisseurs cloud par les régulateurs financiers américains s'intensifie. Le modèle CTP britannique pourrait devenir la référence internationale, à l'image de ce que le RGPD européen a représenté pour la protection des données personnelles : une norme pionnière progressivement adoptée ou imitée bien au-delà de ses frontières d'origine.

Pour les équipes conformité et les RSSI des établissements financiers opérant au Royaume-Uni, la priorité est la mise à jour des registres de risques tiers pour intégrer les nouvelles obligations des CTP désignés, la vérification des clauses contractuelles existantes, et la mise en place de points de contact dédiés pour les éventuelles demandes d'information des régulateurs. Les outils développés dans le cadre de DORA — cartographie des dépendances critiques, tests de résilience des services importants, plans de sortie de crise vis-à-vis des fournisseurs — constituent un socle méthodologique solide pour répondre aux exigences du régime CTP, à adapter au contexte spécifique britannique et à ses calendriers propres.

Ce qu'il faut retenir

• Microsoft, Google Cloud, AWS et Oracle sont désormais soumis à une supervision directe des régulateurs financiers britanniques (Banque d'Angleterre, PRA, FCA) pour leurs services cloud critiques depuis le 13 juillet 2026 — une première mondiale pour les hyperscalers.
• Les régulateurs peuvent imposer des tests de résilience, des auto-évaluations régulières, des obligations de reporting d'incidents et exiger toute information sur demande — un niveau d'intervention direct sans précédent sur les fournisseurs cloud.
• Les entreprises utilisant ces fournisseurs dans un contexte de services financiers britanniques doivent réviser leurs contrats, plans de continuité et cartographies de risques tiers, en s'appuyant sur les méthodologies DORA comme base de travail.