InterCERT France : la détection des cybermenaces peut-elle enfin se passer des outils américains ?

# InterCERT France : la détection des cybermenaces peut-elle enfin se passer des outils américains ?

En 2026, la question n'est plus théorique. Entre le Cloud Act, NIS2, DORA et une dépendance structurelle aux plateformes américaines de cybersécurité, les DSI et RSSI européens se retrouvent coincés dans une contradiction intenable : protéger leur SI avec des outils qui, par construction réglementaire, peuvent être scrutés par des juridictions étrangères. InterCERT France — le réseau français des CERT d'entreprises — incarne une voie différente. Mais suffit-il d'avoir les bons réseaux si on continue d'alimenter des outils qui ne nous appartiennent pas ?

La dépendance invisible : quand la cybersécurité devient un angle mort souverain

Il faut le dire clairement : pendant des années, l'industrie européenne de la cybersécurité a importé ses réflexes autant que ses outils. Les SIEM dominants, les plateformes de threat intelligence, les solutions EDR de référence — autant de briques venues outre-Atlantique, adoptées sans questionnement, souvent sous la pression de benchmarks rédigés par des cabinets de conseil eux-mêmes largement financés par les mêmes acteurs américains.

Ce n'est pas un complot. C'est une logique de marché qui a fonctionné — jusqu'à ce que la géopolitique rattrape la technologie.

Le Cloud Act américain de 2018 est la première fissure visible dans ce consensus confortable. Cette loi autorise les autorités américaines à exiger d'un fournisseur de cloud américain l'accès à des données stockées n'importe où dans le monde, y compris en Europe, sans que l'entreprise concernée en soit nécessairement informée. Peu importe que vos logs de sécurité soient hébergés dans un datacenter francfortois ou irlandais : si la plateforme qui les traite est américaine, le risque juridique est américain.

Pour un RSSI, c'est une situation kafkaïenne. L'outil censé protéger votre SI devient potentiellement un canal d'exposition de vos données les plus sensibles — vos vulnérabilités, vos incidents, vos patterns d'attaque — à une juridiction étrangère. Et en 2026, avec la montée des tensions commerciales transatlantiques et un cadre réglementaire européen qui se durcit à vitesse accélérée (NIS2, DORA, prochaine révision du Data Act), cette contradiction ne peut plus être ignorée.

InterCERT France : ce que le réseau apporte réellement

Fondé en 2014, InterCERT France regroupe les CERT d'entreprises françaises et s'est progressivement imposé comme un lieu d'échange opérationnel entre praticiens de la sécurité. Le principe est simple et puissant : partager les indicateurs de compromission, les tactiques d'attaquants, les retours d'expérience d'incidents — entre pairs, sans intermédiaire commercial, sans dépendance à une plateforme propriétaire étrangère.

En 2026, ce modèle prend une dimension nouvelle. Le réseau s'est élargi, les échanges se sont structurés, et surtout, il s'inscrit désormais dans un écosystème réglementaire qui lui donne une légitimité institutionnelle renforcée. NIS2, transposée en droit français et dans la plupart des États membres, impose aux entités essentielles et importantes de mettre en place des capacités de détection et de réponse aux incidents. Elle ne précise pas *comment* — mais elle crée un terreau favorable aux approches coopératives non commerciales.

Je pense que c'est là que réside la vraie valeur d'InterCERT : pas dans une stack technologique définie, mais dans une intelligence collective qui, par construction, ne peut pas être rachetée, revendue ou soumise au Cloud Act. Quand deux RSSI d'ETI industrielles échangent sur une campagne de phishing ciblant leur secteur, cette connaissance reste en Europe. Elle nourrit des défenses européennes. C'est trivial à dire, mais rare à pratiquer.

NIS2, DORA, extraterritorialité : le cadre réglementaire qui force la décision

On ne peut plus traiter la question des outils de détection comme un simple choix technique. C'est un choix de conformité, avec des implications juridiques directes.

NIS2 impose des obligations de signalement d'incidents sous 24 heures (notification initiale) et 72 heures (rapport détaillé) à l'ANSSI ou à l'autorité nationale compétente. Si votre plateforme de SIEM est hébergée chez un acteur américain, vous devez vous poser cette question : en cas d'incident majeur, vos données de télémétrie et vos logs sont-ils techniquement et juridiquement accessibles à votre CSIRT national sans passer par une chaîne de valeur étrangère ? La réponse, dans la plupart des configurations actuelles, est non.

DORA, entré en application début 2025 pour les entités financières, va plus loin encore. Il impose une maîtrise contractuelle et opérationnelle des prestataires critiques de TIC — y compris les outils de cybersécurité. Les tests de résilience opérationnelle doivent être documentés, les chaînes de dépendance cartographiées. Un ETI du secteur financier qui s'appuie sur une plateforme de détection américaine pour ses capacités SOC doit désormais démontrer qu'elle maîtrise le risque de concentration et le risque d'extraterritorialité. La charge de la preuve s'est inversée.

Il faut être honnête : ces textes n'interdisent pas explicitement les outils américains. Mais ils créent un faisceau de contraintes — documentation, auditabilité, localisation des données, droits d'accès — que les offres dominantes US peinent à satisfaire pleinement, pour des raisons structurelles liées à leur modèle et à leur ancrage juridique.

C'est là que des acteurs comme Sekoia, éditeur français de threat intelligence et de plateforme SOC, commencent à peser dans les appels d'offres. Non pas parce qu'ils seraient nécessairement plus performants sur chaque indicateur technique, mais parce qu'ils permettent de répondre à des questions de conformité que leurs concurrents américains ne peuvent tout simplement pas adresser avec la même clarté juridique.

La détection sans dépendance : ce que cela implique concrètement pour les DSI

Disons-le sans détour : reconstruire une capacité de détection des cybermenaces hors de l'orbite américaine n'est pas une promenade de santé. Ce serait mentir que de présenter la souveraineté comme une option gratuite et sans friction.

Les plateformes américaines dominantes ont investi massivement en R&D, bénéficient d'une télémétrie massive à l'échelle mondiale, et ont intégré des capacités d'IA qui leur permettent de corréler des signaux à une vitesse et une échelle difficiles à égaler. Il faut reconnaître cela, pour mieux identifier où la rupture est possible — et où elle est prioritaire.

La démarche rationnelle pour un DSI d'ETI européenne en 2026 n'est pas de tout jeter, mais d'identifier les points de criticité réelle :

Premièrement, les données de télémétrie. Ce sont les plus sensibles. Vos logs réseau, vos événements endpoint, vos traces d'accès aux applications métier — ces données décrivent votre SI dans ses moindres détails. C'est ici que la localisation et la maîtrise juridique sont non-négociables. Aucun DSI responsable ne devrait accepter que cette couche soit opaque du point de vue du droit applicable.

Deuxièmement, les flux de threat intelligence. C'est là qu'InterCERT apporte une valeur différenciante. Les indicateurs de compromission partagés au sein du réseau sont contextualisés pour le tissu industriel et économique européen — pas calibrés sur les patterns d'attaque ciblant prioritairement les entreprises américaines. Les acteurs qui attaquent une PME industrielle alsacienne n'ont pas nécessairement le même profil que ceux qui ciblent une entreprise texane. La connaissance locale, partagée entre pairs, a une valeur opérationnelle réelle.

Troisièmement, la chaîne de réponse à incident. Quand une attaque survient, la question de savoir qui peut accéder à vos données forensiques est critique. Un prestataire de réponse à incident européen, soumis au droit européen, offre des garanties que son équivalent américain ne peut structurellement pas fournir — quelles que soient les clauses contractuelles négociées.

C'est cette logique par couches — en commençant par les données les plus sensibles — qui permet de construire une trajectoire de souveraineté réaliste, sans rupture brutale qui exposerait l'entreprise à des risques opérationnels.

Ce que l'Europe doit construire maintenant — et vite

InterCERT France est une bonne nouvelle. Mais restons lucides : un réseau d'échange, aussi bien animé soit-il, ne constitue pas à lui seul une infrastructure de cybersécurité souveraine. Il faut des briques technologiques qui tiennent la comparaison, des capacités d'analyse et de corrélation qui n'ont pas à rougir face aux plateformes américaines, et des modèles économiques qui permettent aux éditeurs européens de tenir dans la durée face à des concurrents qui lèvent des capitaux dans un écosystème sans commune mesure.

L'ANSSI joue un rôle structurant dans cet écosystème — à travers ses référentiels, ses qualifications, son soutien aux CERT sectoriels. Mais il faut aller plus loin. Les appels d'offres publics doivent intégrer des critères de souveraineté numérique contraignants, pas optionnels. Les grandes ETI et les opérateurs d'importance vitale doivent accepter de jouer un rôle de premier client pour des solutions européennes encore en montée en puissance — comme le font les grandes entreprises américaines avec leur écosystème national.

Je pense aussi qu'il faut arrêter de traiter la cybersécurité souveraine comme un sujet de niche ou de confort idéologique. C'est une question de résilience économique et stratégique. En 2026, les tensions géopolitiques ont démontré — à plusieurs reprises — que la dépendance technologique peut devenir un levier de pression. Une entreprise dont le SOC repose entièrement sur des outils américains ne subit pas seulement un risque juridique abstrait lié au Cloud Act. Elle subit un risque opérationnel réel en cas de rupture des relations transatlantiques, de sanctions, ou simplement de décisions unilatérales de pricing ou de discontinuité produit.

InterCERT France, en structurant un maillage de confiance entre praticiens européens de la sécurité, pose une brique essentielle. Ce n'est pas suffisant. Mais c'est la bonne direction — et il faut maintenant que les DSI, les RSSI, et leurs directions générales aient le courage de s'y engager pleinement, avec des actes budgétaires concrets, pas seulement des déclarations d'intention.

La détection des cybermenaces sans dépendance américaine est possible. Elle est même, en 2026, de plus en plus nécessaire sur le plan réglementaire. Ce qu'il manque encore, c'est la volonté collective de la rendre incontournable.

*Article rédigé par la rédaction de RiffLab Media. Les positions exprimées reflètent la ligne éditoriale du média.*