Windows 10 à Monaco : le cap d'octobre

Windows 10 ne reçoit plus de mises à jour de sécurité gratuites depuis le 14 octobre 2025. Près d'un an plus tard, beaucoup de bureaux, de boutiques, d'agences et de comptoirs d'accueil à Monaco tournent encore dessus, le plus souvent sur des machines qui fonctionnent très bien. Le prochain point de décision arrive dans quelques semaines : la première année du programme payant Extended Security Updates (ESU) de Microsoft pour les organisations se termine mi-octobre 2026, et la deuxième année démarre le 14 octobre 2026 à un tarif environ deux fois plus élevé.

Il ne s'agit pas d'un arrêt. Les PC sous Windows 10 fonctionneront le 15 octobre exactement comme le 13. Le problème est plus discret et, pour une entreprise de la Principauté, plus lourd de conséquences : chaque mois sans correctif creuse l'écart entre ce que vous pouvez défendre et ce que la loi attend que vous défendiez.

Où en est-on en septembre 2026

Les conditions publiées par Microsoft ont changé pendant l'été, d'où l'intérêt d'être précis :

• Pour les organisations, l'ESU est un abonnement annuel payant, par appareil, acheté via la licence en volume. La première année coûtait 61 USD par poste. Le prix double chaque année consécutive, pour trois ans maximum : la deuxième année (à partir du 14 octobre 2026) revient à environ 122 USD par appareil, la troisième à environ 244 USD. L'ESU est cumulatif : si vous entrez en deuxième année, vous payez aussi la première. Les appareils doivent être sous Windows 10 version 22H2.
• Pour les particuliers (Windows 10 Famille, usage personnel), Microsoft a prolongé en juillet 2026 l'ESU grand public jusqu'au 12 octobre 2027 : gratuit si vous synchronisez les paramètres du PC avec un compte Microsoft, ou contre des points Microsoft Rewards ou un paiement unique de 30 USD. Microsoft précise que les options « peuvent varier selon la région », en citant l'Espace économique européen. Monaco n'est membre ni de l'UE ni de l'EEE : vérifiez ce que propose votre propre appareil plutôt que de supposer que les conditions françaises ou européennes s'appliquent.
• L'ESU ne couvre que les mises à jour de sécurité. Pas de nouvelles fonctionnalités, pas de correctifs hors sécurité, pas de support technique général. C'est une passerelle, pas une destination.

La prolongation grand public est un piège pour les petites structures : l'ordinateur portable d'un indépendant qui sert à facturer et à gérer les dossiers clients n'est pas un « usage personnel », et la voie gratuite n'est pas conçue pour les appareils d'entreprise.

Pourquoi c'est une question de conformité à Monaco

La Loi n° 1.565 du 3 décembre 2024 impose aux organismes qui traitent des données personnelles à Monaco de mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées et, au titre du principe de responsabilisation, d'être en mesure de le démontrer. L'APDP a montré le 10 septembre 2026 qu'elle publie des mises en demeure nominatives.

Un système d'exploitation sans correctifs de sécurité est très difficile à justifier après un incident. Si une base clients, les réservations d'un hôtel ou les mandats d'une agence immobilière sont exfiltrés depuis un poste Windows 10 non corrigé, la question « quelles mesures aviez-vous mises en place ? » a une réponse gênante, et les règles monégasques de notification des violations ajoutent un chronomètre à la conversation. Notre guide sur la conformité APDP et la protection des données traite du sujet dans son ensemble ; ici le point est plus étroit : un poste non corrigé, c'est une mesure de sécurité que vous avez choisi de ne pas prendre.

Le calendrier aide : les Assises de la cybersécurité se tiennent à Monaco du 7 au 10 octobre, et Extended Monaco Entreprises propose une session cybersécurité le 20 octobre.

Première étape : savoir ce que vous avez vraiment

La plupart des PME monégasques ne savent pas de mémoire combien d'appareils Windows 10 elles possèdent. Listez-les, en incluant les machines que l'on oublie : le PC derrière le comptoir d'accueil ou la caisse de la boutique, le portable du comptable, le poste de back-office qui fait tourner le logiciel de stock ou de gestion locative, et tout appareil depuis lequel on se connecte à l'administration du site web, au CRM, au back-office e-commerce ou à la banque.

Pour chacun, notez la version de Windows (22H2 ou non), si la machine répond aux prérequis matériels de Windows 11 (TPM 2.0, processeur pris en charge, Secure Boot) et à quoi elle sert. C'est cette dernière colonne qui guide la décision.

Deuxième étape : décider par appareil, pas par entreprise

Il n'existe que cinq issues réalistes pour chaque machine :

1. Mettre à niveau vers Windows 11 sur place. Gratuit si le matériel est éligible, et le bon choix pour tout appareil qui touche aux données clients.
2. Remplacer le matériel. Pour les machines recalées au test Windows 11, un PC neuf revient généralement moins cher sur trois ans que trois paiements ESU croissants, sans compter le risque.
3. Acheter la deuxième année d'ESU comme passerelle assumée. Pertinent lorsqu'un poste fait tourner une application critique pas encore certifiée sur Windows 11 et que vous avez un plan de migration daté. Pas pertinent comme moyen d'éviter de trancher.
4. Déplacer l'usage vers un Cloud PC. Pour les fonctions qui n'ont besoin que d'un navigateur et d'outils bureautiques, un Cloud PC Windows 365 transforme une vieille machine en client léger — et les postes Windows 10 qui s'y connectent ont droit à l'ESU tant que l'abonnement est actif. Vérifiez vos obligations d'hébergement avant d'y déplacer des données réglementées.
5. Isoler et laisser mourir. Une machine qui ne pilote qu'un écran ou une vieille imprimante peut être coupée d'internet et retirée des partages réseau. Rien de non corrigé ne doit détenir d'identifiants ni de données personnelles.

Notez la décision en face de chaque ligne de l'inventaire ; ce document fait lui-même partie de la posture de sécurité « démontrable » que demande la Loi 1.565.

L'angle web que la plupart oublient

Votre site, votre boutique en ligne et vos outils marketing ne sont sûrs que dans la mesure où le sont les appareils qui s'y connectent. Le vol d'identifiants via un navigateur infecté sur un PC non corrigé est l'une des façons les plus courantes de voir un site défiguré, une boutique Shopify dotée d'une passerelle de paiement pirate, ou un compte Google Ads dépenser le budget de quelqu'un d'autre. Si votre équipe administre un site que nous suivons dans le cadre d'un contrat de maintenance de site web, la politique de postes de votre côté compte autant que les correctifs du nôtre.

C'est aussi le moment de nettoyer les accès : retirer les anciens collaborateurs, imposer la double authentification sur le CMS et le back-office e-commerce, et cesser de partager un seul identifiant administrateur dans toute l'équipe.

Un plan en quatre semaines avant le 14 octobre

• Semaine 1 : inventorier chaque appareil Windows et signaler tout ce qui détient ou accède à des données personnelles.
• Semaine 2 : lancer le test de compatibilité Windows 11 et mettre à niveau les machines qui passent, en commençant par celles qui accèdent aux données clients ou à l'administration du site.
• Semaine 3 : pour le reste, trancher entre remplacement, ESU deuxième année, Cloud PC ou isolement — et commander le matériel dès maintenant, car les délais du quatrième trimestre ne sont pas courts.
• Semaine 4 : remettre de l'ordre dans les accès aux outils web et cloud, activer la double authentification et classer l'inventaire avec votre documentation de protection des données.

Si vous ne savez pas comment les licences ESU, l'hébergement cloud ou les règles de localisation des données s'appliquent à votre cas, interrogez votre prestataire informatique ou un conseil qualifié ; cet article reflète les conditions publiées par Microsoft en septembre 2026, qui peuvent encore évoluer. La décision de fond, elle, n'exige pas de consultant : une entreprise monégasque qui fait encore tourner Windows 10 sur des machines contenant des données clients aura, à la mi-octobre, soit un plan, soit un problème.

BSS aide les entreprises de Monaco à garder leurs sites, leurs plateformes e-commerce et leurs systèmes marketing sûrs et bien entretenus, aux côtés de votre prestataire informatique et non à sa place. Pour un second regard sur le volet digital de cette transition, contactez-nous.