Chroniques de Cybérie : Microsoft nous a quitté !

1. Que s’est-il passé ?

Jeudi 12 novembre en fin de journée, puis tout au long du vendredi 13, les services Microsoft 365 ont connu une panne mondiale : Outlook en tête, mais aussi Teams, SharePoint, OneDrive et Copilot. Selon la presse, le site Downdetector recensait des perturbations dans 74 pays et territoires. Microsoft a présenté ses excuses et écarté la piste d’une cyberattaque, attribuant l’incident à un problème survenu lors d’une mise à niveau de la capacité de son réseau, révélé par une modification récente. Le rétablissement a été progressif, région par région.

Les faits sont déjà bien documentés par la presse (RTBF/AFP, Le Monde et d’autres), et nous vous invitons à les consulter pour le détail chronologique. Cette chronique a une autre ambition : aller plus loin que l’événement, et regarder ce qu’il révèle de nos organisations. Précisons aussi que l’explication technique est, à ce stade, celle de Microsoft elle-même, et qu’un rapport post-incident détaillé reste à attendre.

2. Quelles leçons en retenir ?

Les témoignages recueillis par la presse sont parlants, car ils touchent des organisations très différentes.

• Une mutuelle (Solidaris) s’est retrouvée avec une messagerie interne et externe totalement à l’arrêt, et est revenue au téléphone et aux SMS.
• Un comptable, en pleine période de dépôt des déclarations fiscales, ne pouvait plus obtenir les confirmations écrites de ses clients, ni utiliser son agenda ou son système d’impression, tous liés à Outlook.
• Une commune (Rochefort) a résumé la situation sans détour : une journée sans Outlook, c’est une journée sans e-mail, et l’administration entière fonctionne sur cet outil. Selon la presse, neuf communes belges sur dix dépendent de Google ou de Microsoft pour leur messagerie.
• En France, un responsable RH cité par la presse relève que la panne bloquait aussi la signature électronique et la double authentification pour accéder à d’autres services. Il constate que peu d’entreprises disposent d’une solution de secours, et que beaucoup ont simplement attendu en se disant chanceuses que cela tombe un vendredi.

Ces exemples montrent que la messagerie n’est pas un simple outil de confort. Elle est devenue le canal officiel de communication, le support des agendas, le relais des authentifications et des validations. Quand elle tombe, c’est tout un enchaînement de processus qui se grippe, souvent là où on ne l’avait pas anticipé.

Le deuxième enseignement est celui de la concentration. Microsoft 365 équipe 82 % des entreprises françaises dotées d’une suite bureautique, et l’éditeur revendique environ 450 millions de licences dans le monde. Une défaillance unique, située dans l’infrastructure d’un seul fournisseur, peut donc paralyser simultanément des hôpitaux, des banques, des administrations et des PME sur plusieurs continents. Ce n’est pas un jugement sur la qualité de ces outils, qui explique précisément leur succès. C’est un constat de risque : plus un écosystème est efficace et intégré, plus il est difficile d’en sortir, et plus sa défaillance est systémique.

À cette dépendance technique s’ajoute une dimension de souveraineté. Nos données, nos communications et notre continuité d’activité reposent largement sur des infrastructures cloud opérées par quelques acteurs américains, sur lesquels nous n’avons ni maîtrise, ni visibilité, ni emprise juridique ! Le débat est désormais ouvert au plus haut niveau : le gouvernement fédéral a lancé une évaluation d’alternatives européennes et open source, en vue de l’échéance de son contrat avec Microsoft en 2028. L’objectif affiché n’est pas de remplacer une dépendance par une autre, mais de gagner en autonomie et en résilience.

Enfin, une observation encourageante : les organisations les mieux préparées ont tenu. Un groupe hospitalier a activé ses procédures de contournement après avoir réuni ses cellules de crise, et a pu continuer à fonctionner normalement. Les grandes banques citées affirment, elles, que leurs services bancaires ne dépendent pas des outils Microsoft. La différence n’a pas été la chance, mais la préparation.

3. Conclusion : de la dépendance à la résilience

On ne supprimera pas les pannes. Elles sont inhérentes à tout système complexe, qu’elles proviennent d’une erreur de configuration, d’une cyberattaque ou d’un incident matériel. La vraie question n’est donc pas « cela peut-il arriver ? », mais « que faisons-nous quand cela arrive ? ».

C’est le rôle du BCP (Business Continuity Plan, ou plan de continuité d’activité). Dit simplement, c’est la réponse écrite, testée et connue de tous à la question : « si tel outil ou tel service s’arrête, comment continuons-nous à travailler ? ». Un BCP solide repose sur quelques principes :

• Identifier ce qui est vraiment critique : quels processus ne peuvent pas s’arrêter, et pendant combien de temps l’organisation peut-elle le supporter ?
• Cartographier ses dépendances : de quels fournisseurs et de quels services chacun de ces processus dépend-il ?
• Prévoir des solutions de repli : un canal de communication alternatif, indépendant de l’outil principal, des contacts critiques accessibles hors ligne, des procédures dégradées.
• Définir qui décide et qui fait quoi : une cellule de crise, des rôles clairs, des règles de communication.
• Tester régulièrement : un plan qui n’a jamais été éprouvé est une hypothèse, pas un plan.

C’est précisément l’objectif de la directive NIS2 : garantir la continuité des organisations, et pas seulement leur sécurité au sens strict. Elle impose gestion des risques, gestion des incidents, continuité d’activité, gestion de crise et maîtrise de la chaîne d’approvisionnement. La panne de cette semaine illustre à quel point ces exigences sont concrètes.

Et si votre organisation n’y est pas formellement soumise ? Le cadre NIS2, et en Belgique le référentiel CyberFundamentals, constituent malgré tout une formidable feuille de route. Ils offrent une méthode éprouvée pour structurer votre résilience, quelle que soit votre taille. Une panne comme celle-ci est le bon moment pour se poser la question : si cela durait cinq jours au lieu de quelques heures, tiendrions-nous ?

ePlianz peut vous accompagner dans cette démarche : analyse de vos dépendances critiques, élaboration et test de votre plan de continuité, mise en conformité NIS2 ou CyberFundamentals. N’hésitez pas à nous contacter pour en discuter.