Logiciels espions : le guide de survie pour les entreprises européennes qui ne veulent plus dépendre de boîtes noires étrangères

# Logiciels espions : le guide de survie pour les entreprises européennes qui ne veulent plus dépendre de boîtes noires étrangères

> En 2026, la question n'est plus de savoir si votre organisation est une cible. C'est de savoir combien vous êtes prêt à payer — en euros, en données, en souveraineté — pour que quelqu'un d'autre gère ce risque à votre place.

Pegasus a quitté les colonnes des journaux d'investigation pour atterrir dans les rapports de risque des RSSI. Et ce n'est que la partie visible. Derrière le logiciel du groupe NSO, il existe tout un écosystème de solutions de surveillance et d'interception commercialisées depuis des juridictions étrangères — américaines, israéliennes, britanniques — dont les conditions d'utilisation, les backdoors potentielles et les liens avec des agences de renseignement ne sont ni auditables ni opposables devant un tribunal européen.

Le problème n'est pas uniquement sécuritaire. Il est économique et stratégique. Externaliser sa sécurité endpoint à des acteurs dont vous ne contrôlez ni le code, ni les accès, ni les obligations légales, c'est accepter une dépendance budgétaire et opérationnelle qui peut se retourner contre vous à n'importe quel moment : hausse tarifaire unilatérale, retrait de licence sous pression géopolitique, ou simple changement de politique d'export control américain.

Voici comment reprendre la main. Concrètement.

Étape 1 — Cartographiez vos dépendances réelles avant de parler solution

Posez les questions que personne ne pose en réunion de budget

Avant d'engager le moindre euro dans un nouvel outil, répondez honnêtement à ces questions :

• Où tourne votre EDR actuel ? Qui en détient le code source ? Sous quelle juridiction ses serveurs de commande et contrôle sont-ils hébergés ?
• Vos outils de détection d'intrusion remontent-ils leurs données vers des clouds hors UE ? Si oui, RGPD et NIS2 vous exposent déjà.
• Avez-vous un contrat qui vous garantit l'absence de collecte de métadonnées à des fins commerciales ou gouvernementales ? Pas une clause marketing — un engagement contractuel auditable.
• Que se passe-t-il si votre fournisseur de sécurité est racheté demain par un fonds américain ou placé sur une liste de sanctions ? Avez-vous un plan de sortie chiffré ?

Ce travail de cartographie est ingrat. Il révèle des angles morts budgétaires que les directions financières n'ont pas provisionné. Mais c'est le seul point de départ sérieux.

Livrable concret : un tableau de dépendances avec, pour chaque outil de sécurité en place, la juridiction du fournisseur, la localisation des données, l'existence ou non d'un audit de code tiers, et le coût estimé d'une migration forcée.

Étape 2 — Évaluez le coût réel de votre dépendance actuelle (pas juste la facture)

Le prix affiché n'est jamais le prix réel

Les directions IT ont l'habitude de comparer des licences. C'est une erreur de cadrage. Le coût total d'une dépendance à un acteur hors UE comprend :

Le coût de conformité. NIS2 est pleinement applicable en 2026 dans la quasi-totalité des États membres. Si votre outil de sécurité transfère des données hors UE sans garanties adéquates, vous portez un risque d'amende réglementaire que votre fournisseur, lui, n'assume pas.

Le risque tarifaire. Les acteurs dominants du marché de la cybersécurité — majoritairement américains — ont une pratique documentée d'augmentations tarifaires significatives après la phase d'acquisition client. Une fois vos équipes formées, vos processus intégrés et vos données indexées dans leur plateforme, votre pouvoir de négociation tend vers zéro.

Le coût d'un incident d'origine fournisseur. Si votre outil de sécurité devient lui-même le vecteur d'attaque — scénario documenté dans plusieurs affaires publiques ces cinq dernières années — qui paie la réponse à incident ? Vous. Avec votre équipe, vos prestataires, et votre budget de crise.

Le coût politique et commercial. Pour une ETI qui travaille avec des clients du secteur public, de la défense ou des infrastructures critiques, dépendre d'un logiciel sous juridiction étrangère peut devenir disqualifiant lors d'appels d'offres. Ce coût-là n'apparaît jamais dans un tableau comparatif de licences.

Livrable concret : construisez un coût total de possession sur 36 mois qui intègre ces quatre dimensions. Présentez-le à votre direction financière. Le delta avec la facture actuelle sera rarement neutre.

Étape 3 — Définissez votre seuil de tolérance souverainiste (et assumez-le)

Tout le monde ne peut pas — ni ne doit — tout rapatrier

La souveraineté numérique n'est pas un curseur binaire. C'est un spectre. Et prétendre le contraire est aussi malhonnête que de nier le problème.

Posez-vous trois questions structurantes :

Quels actifs sont non-négociables ? La messagerie des dirigeants, les données clients, les secrets industriels, les communications liées à des procédures juridiques : ce sont vos actifs à risque maximal. Ce sont eux qui doivent bénéficier en priorité d'une protection sous juridiction européenne et d'outils auditables.

Quels flux peuvent tolérer une dépendance gérée ? Certains outils périphériques, faiblement couplés à vos données sensibles, peuvent rester chez des acteurs non européens si le niveau de risque est documenté, accepté formellement par le RSSI, et révisé annuellement.

Où est votre seuil de douleur budgétaire ? La migration d'un outil de sécurité endpoint ne se fait pas en trois semaines. Elle mobilise des équipes, exige de la formation, génère des frictions opérationnelles. Sous-estimez ce coût et votre projet de souveraineté mourra en comité de direction. Surestimez-le et vous resterez paralysé.

Livrable concret : une matrice de priorisation avec trois colonnes — actif concerné, niveau de sensibilité, délai de migration réaliste — validée par le COMEX, pas seulement par la DSI.

Étape 4 — Sourcez des alternatives européennes auditables (et posez les bonnes questions)

Auditable ne veut pas dire parfait. Ça veut dire vérifiable.

L'écosystème européen de la cybersécurité existe. Il est moins visible que les mastodontes américains parce qu'il investit moins en marketing qu'en R&D. C'est à vous de le chercher — et de l'exiger.

Deux critères non négociables avant tout référencement d'un acteur européen :

Le code est-il auditable par un tiers indépendant ? Pas un label marketing. Un audit réalisé par un cabinet européen accrédité, avec un rapport consultable sur demande. Des acteurs comme Sekoia.io — plateforme de threat intelligence et de détection française — ou Rohde & Schwarz Cybersecurity côté allemand proposent des niveaux de transparence qui méritent d'être comparés sérieusement aux boîtes noires dominantes.

Le modèle économique est-il pérenne sans captation de données ? Certains outils se financent sur la revente de métadonnées ou sur des partenariats avec des agences. Demandez explicitement comment le fournisseur génère ses revenus. Si la réponse est floue, passez votre tour.

Questions à poser systématiquement en appel d'offres :

• Où sont hébergés vos serveurs de commande et contrôle ?
• Avez-vous déjà reçu une injonction gouvernementale d'accès aux données de clients ? Comment y avez-vous répondu ?
• Sous quelle juridiction votre contrat est-il régi ?
• Proposez-vous un déploiement on-premise ou en cloud privé européen certifié ?

Livrable concret : une grille d'évaluation fournisseur standardisée, réutilisable pour tout appel d'offres sécurité, intégrant ces critères de souveraineté au même niveau que les critères fonctionnels.

Étape 5 — Budgétez la transition comme un investissement, pas comme un coût

Le vrai risque financier, c'est de ne rien faire

La résistance des directions financières à financer une migration de sécurité vers des acteurs européens repose souvent sur un biais de statu quo : le coût de la migration est visible, le coût du risque est hypothétique.

Rendez le risque concret :

• Scénario 1 — Incident de sécurité lié à un outil tiers. Chiffrez le coût moyen d'une réponse à incident dans votre secteur. Incluez l'impact réputationnel si vous opérez en B2B sur des marchés réglementés.
• Scénario 2 — Hausse tarifaire non anticipée. Que se passe-t-il si votre fournisseur principal augmente ses tarifs de manière significative à renouvellement ? Avez-vous budgété la clause de sortie ?
• Scénario 3 — Disqualification commerciale. Si un client stratégique vous demande de justifier votre chaîne de sécurité dans le cadre d'un audit fournisseur, êtes-vous en mesure de le faire ?

Face à ces trois scénarios chiffrés, le coût d'une migration vers des outils européens auditables devient défendable — souvent bien plus rapidement que ce que les équipes IT anticipent.

Livrable concret : une note de risque financier à destination du CFO, avec les trois scénarios ci-dessus quantifiés selon vos paramètres spécifiques. Ce document transforme un débat technique en décision de gouvernance.

Ce que ce guide ne vous dira pas

Il n'existe pas de solution magique, ni de stack souveraine clé en main qui règle le problème en un trimestre. Quiconque vous vend ça ment — ou cherche à reproduire le même modèle de dépendance avec un drapeau européen collé dessus.

La souveraineté numérique est un processus de gouvernance continue, pas un projet IT avec une date de fin. Elle exige des choix budgétaires, des arbitrages politiques internes, et une volonté de poser des questions inconfortables à des fournisseurs dont vous dépendez depuis des années.

Le seul vrai risque, en 2026, est de continuer à faire semblant que le problème ne vous concerne pas — jusqu'à ce qu'il vous coûte bien plus que ce que vous auriez accepté d'investir pour l'éviter.