Périmètres effondrés : quand les failles VPN américaines deviennent notre problème européen

# Périmètres effondrés : quand les failles VPN américaines deviennent notre problème européen

On peut débattre longtemps du bon moment pour parler de souveraineté numérique. En 2026, ce débat est clos. Les failles massives qui ont successivement touché des solutions VPN et des pare-feu parmi les plus déployées en Europe — des produits dont les architectures de mise à jour, les serveurs de licence et les pipelines de télémétrie sont intégralement pilotés depuis les États-Unis — ont posé la question de manière brutale, concrète, comptable.

Pas philosophique. Comptable.

Parce que c'est bien là que ça fait mal en premier, dans les budgets IT. Avant même la question de la donnée exfiltrée ou du réseau compromis, il y a une facture. Celle de la réponse à incident, de l'audit de périmètre d'urgence, des heures consultants, du remplacement précipité de matériel sous contrat. Et derrière cette facture immédiate, une autre, plus silencieuse : celle de la dépendance structurelle à des acteurs qui ne nous doivent rien.

Le vrai coût d'une architecture de confiance mal placée

Lorsqu'un équipement de sécurité périmétrique est compromis, la question technique — quel vecteur, quelle vulnérabilité — arrive après une autre, moins confortable : qui contrôle réellement cet équipement ? Où sont gérées les mises à jour de firmware ? Qui a accès aux logs de télémétrie ? Dans quel ressort juridique opère le fournisseur ?

Pour une large partie du parc installé en Europe, les réponses à ces questions pointent vers des entités soumises au droit américain, à ses mécanismes de divulgation forcée, à ses logiques de priorisation des correctifs selon des critères qui ne sont pas les nôtres. Ce n'est pas un procès d'intention. C'est une réalité contractuelle et juridique que les équipes juridiques sérieuses intègrent depuis des années — mais que les arbitrages budgétaires IT ont souvent ignorée, au nom du pragmatisme.

Ce pragmatisme a un prix désormais visible. Un DSI qui gère aujourd'hui une réponse à incident sur un VPN piraté hébergé dans une architecture hybride américaine ne gère pas seulement un problème technique. Il gère une négociation avec un fournisseur dont les équipes support sont à douze fuseaux horaires, dont les SLA de correctif critique ne sont pas opposables en droit européen, et dont la roadmap de sécurité répond en premier lieu aux exigences de ses clients gouvernementaux américains.

Ce que « moins cher » a vraiment coûté

Je ne dis pas que les acteurs américains ont livré des solutions délibérément défaillantes. Ce serait réducteur. Je dis que l'économie de la décision d'achat en Europe a systématiquement sous-évalué le coût de l'extraterritorialité. On a comparé des licences, des tableaux de fonctionnalités, des scores dans des quadrants d'analystes — des analystes eux-mêmes en grande partie financés par les acteurs qu'ils évaluent. On n'a pas comparé le risque de dépendance, le coût d'un incident transfrontalier, l'absence de recours réel en cas de défaillance.

Résultat : des budgets IT européens massivement engagés dans des architectures de sécurité dont le centre de gravité échappe à toute régulation européenne. Et quand ça casse — parce que ça casse — la facture de la réparation incombe entièrement à l'entreprise européenne, pendant que le fournisseur américain publie un patch, s'excuse en anglais dans un bulletin de sécurité, et continue de facturer ses licences annuelles.

C'est une asymétrie économique fondamentale. Elle n'est pas accidentelle.

Le marché européen de la sécurité périmétrique existe

Il serait intellectuellement malhonnête de pointer uniquement les défaillances américaines sans reconnaître que l'alternative européenne a longtemps été perçue — parfois à raison — comme moins mature sur certains segments. Mais ce constat appartient à une période révolue, et le maintenir aujourd'hui relève davantage de la paresse intellectuelle que de l'analyse objective.

Des acteurs comme Stormshield — filiale d'Airbus, qualification ANSSI, ancrage européen revendiqué — occupent un segment que les grands comptes publics et parapublics français connaissent bien, mais que les ETI privées ont trop souvent écarté sur la seule base d'une comparaison tarifaire superficielle. La question n'est plus de savoir si ces solutions existent. Elle est de savoir pourquoi les arbitrages budgétaires IT continuent de les ignorer.

Et c'est une question de gouvernance autant que de technique. Un RSSI qui recommande une solution européenne qualifiée, légèrement plus onéreuse à l'achat, mais dont la chaîne de mise à jour est auditable, dont le support est soumis au droit européen, et dont la télémétrie ne transite pas par des datacenters soumis au CLOUD Act américain — ce RSSI prend une décision économiquement rationnelle sur la durée. Le problème est que les cycles budgétaires IT raisonnent rarement sur la durée.

Changer le cadre de l'arbitrage budgétaire

La vraie transformation à opérer n'est pas technique. Elle est dans la manière dont les DSI et les directions financières construisent leurs décisions d'achat en matière de sécurité. Tant que le TCO d'une solution de sécurité périmétrique n'intègre pas le coût du risque de dépendance extraterritoriale, on continuera à sous-financer les alternatives européennes et à surpayer les incidents qui résultent de cette sous-évaluation.

Plusieurs grandes ETI européennes ont commencé à intégrer ce raisonnement dans leurs appels d'offres. Elles demandent explicitement la localisation des équipes support, la soumission du contrat au droit européen, la localisation des serveurs de mise à jour. Ce ne sont pas des exigences idéologiques. Ce sont des exigences de gestion du risque opérationnel et financier, au même titre qu'on exige une clause de réversibilité dans un contrat cloud.

C'est ce cadre qu'il faut généraliser. Pas parce qu'on est anti-américains. Parce qu'on est pro-résilience.

Ce que 2026 a clarifié

Les incidents de sécurité sur les infrastructures périmétrique de ces derniers mois ont accompli quelque chose qu'aucune directive européenne ni aucun argumentaire de fournisseur n'avait réussi à faire aussi efficacement : ils ont rendu le coût de la dépendance visible, immédiat, et incontestable dans les comités de direction.

C'est une fenêtre. Elle ne durera pas indéfiniment. Dans quelques mois, la pression du quotidien reprendra, les cycles de renouvellement de licences recommenceront, et les commerciaux des acteurs dominants reviendront avec des remises qui rendront le statu quo économiquement confortable à court terme.

La question que chaque DSI et RSSI européen doit poser maintenant — avant que cette fenêtre ne se referme — est simple : est-ce que mon architecture de sécurité périmétrique résiste à une analyse honnête de ses dépendances extraterritoriales ? Et si la réponse est non, quel est le plan ?

Pas le plan idéal. Le plan réaliste, budgété, priorisé.

C'est ça, la souveraineté numérique appliquée. Pas une posture. Un arbitrage.