Neverhack lève 11M€ : quand la cyber-IA européenne cesse d'être une promesse

# Neverhack lève 11M€ : quand la cyber-IA européenne cesse d'être une promesse

Pendant des années, la souveraineté numérique en matière de cybersécurité a tenu davantage du manifeste politique que de la réalité opérationnelle. Les DSI européens connaissent bien ce paradoxe : alertés sur les risques d'extraterritorialité américaine, sommés de se conformer à NIS2 ou DORA, ils n'avaient pourtant, dans les faits, que peu d'alternatives crédibles aux plateformes de détection et réponse aux incidents proposées par les acteurs américains dominants. En 2026, ce constat commence à se fissurer sérieusement. La levée de fonds de 11 millions d'euros réalisée par Neverhack n'est pas un événement isolé : elle s'inscrit dans une recomposition plus profonde du marché européen de la cyber-IA, dont il convient d'analyser lucidement les contours, les limites et les implications concrètes pour les organisations qui cherchent à reprendre la main sur leur sécurité informatique.

Un marché structurellement verrouillé par les acteurs américains

Pour comprendre ce que représente l'émergence d'acteurs comme Neverhack, il faut d'abord mesurer l'état du verrouillage antérieur. Depuis le milieu des années 2010, le marché mondial des solutions de cybersécurité à composante analytique ou prédictive a été massivement consolidé autour d'un oligopole américain. Les grandes plateformes SIEM, XDR et SOAR qui équipent aujourd'hui la majorité des SOC (Security Operations Centers) européens sont hébergées, développées et régies par des entreprises soumises au droit américain — et donc, de facto, au CLOUD Act de 2018.

Ce texte législatif, souvent présenté comme une simple disposition technique, autorise les autorités fédérales américaines à exiger d'une entreprise américaine qu'elle transmette des données stockées n'importe où dans le monde, y compris sur des serveurs localisés en Europe. Pour un RSSI, cela signifie concrètement que les logs de sécurité, les indicateurs de compromission, les flux réseau analysés par une plateforme américaine ne sont jamais totalement hors de portée d'une injonction américaine — quelles que soient les garanties contractuelles offertes par l'éditeur.

Cette réalité juridique n'est pas hypothétique. Elle a été documentée, débattue au Parlement européen, et intégrée dans plusieurs analyses d'impact réalisées dans le cadre du RGPD. Pourtant, faute d'alternatives matures, de nombreuses PME et ETI européennes ont continué à s'équiper avec ces outils, parfois en fermant les yeux sur le risque, parfois en espérant que les certifications locales suffiraient à les en protéger. Elles n'y suffisent pas.

Ce que Neverhack propose concrètement et pourquoi c'est structurellement différent

Neverhack est un acteur français de la cybersécurité qui a construit son positionnement autour d'une combinaison entre expertise humaine en tests d'intrusion et automatisation par intelligence artificielle. La levée de 11 millions d'euros annoncée en 2026 lui permet d'accélérer sur le volet IA de sa plateforme, notamment en matière de détection proactive des vulnérabilités et d'analyse comportementale des menaces.

Ce qui distingue structurellement cette approche des offres dominantes américaines, ce n'est pas uniquement la localisation géographique des serveurs. C'est l'architecture de gouvernance des données. Lorsqu'une plateforme de cyber-IA européenne traite les événements de sécurité d'une organisation, la chaîne juridique de responsabilité reste dans le périmètre du droit européen : RGPD pour la protection des données personnelles potentiellement contenues dans les logs, NIS2 pour les obligations de notification et de résilience, DORA pour les entités financières soumises à cette réglementation depuis janvier 2025.

Concrètement, cela change plusieurs choses pour un DSI ou un RSSI :

• La cartographie des risques légaux devient plus lisible. Il n'y a pas de zone grise liée à une juridiction tierce.
• Les audits de conformité sont facilités. Les autorités de contrôle nationales peuvent, si nécessaire, accéder aux conditions de traitement sans passer par des procédures internationales complexes.
• La logique de sous-traitance au sens du RGPD est plus claire : l'éditeur européen est un sous-traitant dont les obligations sont définies par le règlement européen, sans ambiguïté de droit applicable.

Ces différences ne sont pas cosmétiques. Dans le contexte de NIS2, qui impose depuis octobre 2024 des obligations renforcées aux entités essentielles et importantes en matière de gestion des risques liés à la chaîne d'approvisionnement, le choix de l'éditeur de sécurité est devenu un acte de conformité à part entière.

NIS2, DORA, RGPD : le triptyque réglementaire qui rend la souveraineté cyber non négociable

On ne peut pas analyser la montée en puissance des acteurs européens de la cyber-IA sans examiner le contexte réglementaire qui, en 2026, les rend objectivement plus pertinents qu'ils ne l'étaient deux ans auparavant.

NIS2 a considérablement élargi le périmètre des entités soumises à des obligations de cybersécurité. Là où NIS1 ne concernait qu'un périmètre restreint d'opérateurs de services essentiels, NIS2 touche des milliers d'entreprises supplémentaires dans des secteurs aussi variés que la santé, les transports, la gestion des déchets ou les services numériques. Ces entités doivent désormais documenter leurs mesures de sécurité, notifier les incidents significatifs, et surtout — point souvent sous-estimé — évaluer les risques liés à leurs fournisseurs et prestataires. Un éditeur de solution de sécurité soumis au CLOUD Act est, dans cette grille de lecture, un risque de chaîne d'approvisionnement à part entière.

DORA (Digital Operational Resilience Act), entré en application pour le secteur financier en janvier 2025, va encore plus loin. Il impose aux établissements financiers européens — banques, assureurs, sociétés de gestion — de qualifier contractuellement leurs prestataires de services TIC critiques, d'effectuer des tests de résilience, et de s'assurer que les données critiques peuvent être récupérées et auditées en cas d'incident. Faire reposer son SOC sur une plateforme américaine dont les données peuvent être saisies par une autorité étrangère devient, dans ce cadre, un risque opérationnel et réglementaire documenté.

Le RGPD, enfin, reste le socle. Les logs de sécurité contiennent fréquemment des données à caractère personnel : adresses IP, identifiants utilisateurs, métadonnées de connexion. Leur traitement par un acteur soumis à une juridiction tierce soulève des questions de transfert de données hors UE que le cadre actuel — même après l'accord EU-US Data Privacy Framework — ne résout pas de manière définitive, comme plusieurs décisions de la CJUE l'ont rappelé.

Dans ce triptyque réglementaire, un acteur comme Neverhack offre une réponse qui n'est pas seulement commerciale : elle est structurellement alignée avec ce que le droit européen exige désormais.

Les angles morts qu'il serait malhonnête de ne pas mentionner

L'analyse serait incomplète — et intellectuellement malhonnête — si elle ne pointait pas les limites réelles de l'écosystème cyber-IA européen en 2026.

La question de la maturité des modèles. Les plateformes de cybersécurité à composante IA reposent sur des modèles entraînés sur des volumes massifs de données de menaces. Les acteurs américains disposent, du fait de leur antériorité et de leur déploiement mondial, de bases de données d'apprentissage considérablement plus larges. Un acteur européen en phase de croissance accélérée comme Neverhack doit construire cette base de connaissance, et les 11 millions levés — utiles — ne comblent pas en quelques mois un écart accumulé sur une décennie. C'est une réalité que les RSSI doivent intégrer dans leur évaluation.

La question de l'intégration dans les SI existants. La majorité des PME et ETI européennes ont déjà déployé des outils dont certains sont américains. La migration vers une stack souveraine n'est pas un projet de quelques semaines : elle implique des phases de coexistence, de duplication de détection, de formation des équipes. Le risque d'une fenêtre de vulnérabilité pendant la transition est réel et doit être planifié.

La question du financement long terme. 11 millions d'euros est un signal positif, mais le marché de la cyber-IA est capitalistiquement intensif. Les acteurs américains dominants bénéficient de valorisations et de capacités d'investissement en R&D sans commune mesure avec ce que peut mobiliser l'écosystème européen à court terme. La pérennité d'un acteur comme Neverhack dépendra de sa capacité à atteindre une taille critique suffisante avant que les consolidations de marché ne réduisent les espaces disponibles.

Ces limites ne invalident pas le mouvement : elles invitent simplement à une évaluation lucide plutôt qu'à un enthousiasme de façade.

Ce que les DSI et RSSI européens devraient en retenir concrètement

Au-delà de l'événement de levée de fonds, ce que la trajectoire de Neverhack illustre, c'est une bifurcation progressive du marché de la cybersécurité en Europe. D'un côté, des organisations qui continuent à sous-traiter leur détection et réponse aux incidents à des acteurs américains en assumant — souvent implicitement — les risques réglementaires et politiques associés. De l'autre, des organisations qui intègrent le critère de souveraineté dans leur cartographie des risques et commencent à construire une architecture de sécurité dont elles maîtrisent la chaîne juridique de bout en bout.

Cette bifurcation n'est pas idéologique. Elle est pragmatique. Dans un contexte de tensions géopolitiques persistantes entre l'Europe et les États-Unis — notamment sur les questions de régulation numérique, de taxation des plateformes, et de réciprocité en matière d'accès aux données — parier sur la stabilité indéfinie des conditions d'accès aux outils américains relève d'une forme de naïveté stratégique.

Pour un DSI ou un RSSI qui prépare son schéma directeur de sécurité pour les deux à trois prochaines années, plusieurs questions méritent d'être posées explicitement :

• Quels composants de mon dispositif de sécurité actuel sont hébergés ou régis par des entités soumises au CLOUD Act ?
• Mon analyse d'impact NIS2 ou DORA a-t-elle documenté ce risque de chaîne d'approvisionnement ?
• Existe-t-il aujourd'hui des alternatives européennes matures pour ces composants — et si non, quel est le calendrier réaliste pour en disposer ?

Ces questions ne trouvent pas toutes une réponse satisfaisante aujourd'hui. Mais elles en trouvent davantage qu'il y a trois ans. C'est précisément ce que signifie le fait que la cyber-IA souveraine européenne cesse, progressivement, d'être une promesse.

*Cet article a été rédigé sur la base d'informations publiques disponibles au moment de sa publication. RiffLab Media n'entretient aucune relation commerciale avec les acteurs cités.*