NIS 2 : trois approches de stack souveraine pour ne pas payer sa conformité à prix américain

# NIS 2 : trois approches de stack souveraine pour ne pas payer sa conformité à prix américain

En 2026, la directive NIS 2 n'est plus une option. Elle s'impose à quelque 15 000 entreprises européennes — ETI, opérateurs de services essentiels, sous-traitants de la chaîne critique. Pour les DSI et RSSI concernés, la pression est réelle : documenter, sécuriser, notifier, auditer. Mais il y a une question que beaucoup évitent encore de poser à voix haute : *à qui profite concrètement cette mise en conformité, sur le plan budgétaire ?*

La réponse est inconfortable. Dans la majorité des SI européens actuels, la réponse est : aux acteurs américains. Microsoft, avec sa suite Defender et ses offres de conformité intégrées à M365, capte une part croissante des budgets NIS 2 au nom de la « simplicité ». AWS propose des architectures de logging et de détection qui s'intègrent — naturellement — à ses propres services. La conformité devient ainsi un levier de lock-in supplémentaire, habillé en service rendu.

Je pense que les DSI européens ont une opportunité rare ici. NIS 2 oblige à reconstruire ou à auditer l'architecture de sécurité. C'est précisément le bon moment pour ne pas reconstruire *chez l'acteur dominant américain*. Il faut regarder les alternatives sérieusement, techniquement, sans naïveté mais sans capitulation non plus.

Voici un comparatif de trois approches pour bâtir un stack de conformité NIS 2 souverain. Pas un catalogue. Trois logiques différentes, avec leurs forces et leurs tensions budgétaires réelles.

Les trois approches en un coup d'œil

| Critère | Approche A — Open source souverain mutualisé | Approche B — Éditeur européen certifié | Approche C — Cloud souverain managé |

|---|---|---|---|

| Architecture | Briques open source auto-hébergées sur infra EU | Suite intégrée d'un éditeur qualifié ANSSI/BSI | Services managés sur cloud certifié HDS/SecNumCloud |

| Intégration SI | Complexe, nécessite compétences internes | Natif avec connecteurs standards | API-first, intégration via orchestrateur |

| Gouvernance des données | Totale — données sur site ou hébergeur contractualisé EU | Contractuelle — dépend du siège et des CGU de l'éditeur | Contractuelle + cadre réglementaire EU renforcé |

| Risque tarifaire | Faible à moyen (coût humain dominant) | Moyen (risque de hausse à renouvellement) | Moyen à élevé (effet hyperscaler si périmètre s'élargit) |

Approche A — L'open source souverain mutualisé

Ce que c'est

Construire son stack NIS 2 à partir de briques open source — SIEM, gestion des vulnérabilités, détection d'intrusion, journalisation — hébergées sur des infrastructures contractuellement européennes. Des solutions comme Wazuh pour la détection, OpenCTI pour la threat intelligence ou TheHive pour la réponse à incident représentent cette famille d'outils.

Architecture

L'architecture est modulaire par nature. Chaque brique adresse un périmètre fonctionnel NIS 2 : supervision des événements, gestion des incidents, cartographie des actifs. La cohérence de l'ensemble repose sur des pipelines de données internes — souvent Kafka ou des équivalents — et sur une équipe capable de les opérer. C'est là le vrai sujet : cette approche n'est pas *gratuite*, elle déplace le coût vers la ressource humaine.

Intégration

L'intégration est le point de friction principal. Dans un SI hétérogène — et la plupart des ETI européennes ont des SI hétérogènes — connecter des briques open source à des applications métier existantes demande du temps d'intégration et des compétences SIEM que peu d'équipes internes possèdent. La mutualisation entre plusieurs ETI d'un même secteur, via des GIE ou des groupements professionnels, est une piste sérieuse qui commence à émerger en France et en Allemagne.

Gouvernance et budget

C'est l'approche où la gouvernance des données est la plus claire : vous savez où elles sont, parce que vous décidez où elles vont. Sur le plan budgétaire, le risque tarifaire externe est quasi nul — personne ne peut vous augmenter unilatéralement. Mais le coût total de possession est souvent sous-estimé en phase de décision : intégration initiale, formation, mise à jour continue, astreinte. Il faut être honnête là-dessus. Cette approche convient aux organisations qui ont — ou veulent construire — une vraie équipe sécurité interne.

Approche B — L'éditeur européen certifié

Ce que c'est

Faire confiance à un éditeur de logiciel européen — qualifié ANSSI, certifié BSI ou équivalent selon le pays — qui propose une suite intégrée couvrant tout ou partie des exigences NIS 2 : gestion des risques, notification d'incidents, continuité d'activité, sécurité des accès. Des acteurs comme Tehtris en France, ou des éditeurs de GRC européens spécialisés, occupent ce segment.

Architecture

La force de cette approche est l'intégration native. Les modules parlent entre eux. Les rapports de conformité sont générés dans un format auditable. Pour un RSSI qui doit rendre des comptes à sa direction et potentiellement à une autorité de supervision, c'est un avantage réel : la traçabilité est by design, pas à construire soi-même.

Intégration

Les éditeurs européens sérieux proposent des connecteurs standards — SIEM, Active Directory, outils ITSM — mais la profondeur d'intégration reste variable. La question à poser en phase d'évaluation : l'éditeur maintient-il activement ses connecteurs, ou vous laisse-t-il gérer les incompatibilités version après version ? C'est un critère discriminant que les appels d'offres NIS 2 commencent à formaliser.

Gouvernance et budget

La gouvernance est contractuelle. Le siège social de l'éditeur est en Europe, les CGU sont soumises au droit européen — c'est mieux que la situation par défaut avec un acteur américain soumis au Cloud Act. Mais attention : *européen* ne signifie pas automatiquement *souverain* sur toute la chaîne. Il faut auditer les dépendances d'infrastructure : sur quel cloud l'éditeur héberge-t-il lui-même ses services ? Si la réponse est AWS ou Azure, la souveraineté est partielle.

Sur le budget, le risque réel est le renouvellement de licence. Les éditeurs européens de sécurité ont, comme tous les éditeurs, des cycles de tarification. La dépendance fonctionnelle crée un effet de lock-in plus doux que chez les GAFAM, mais bien réel après trois ans d'usage.

Approche C — Le cloud souverain managé

Ce que c'est

Déléguer l'opération du stack de conformité à un prestataire de cloud certifié SecNumCloud ou HDS — donc soumis à la réglementation européenne, sans passerelle vers une juridiction étrangère. Scaleway ou 3DS Outscale représentent cette famille, avec des offres de services managés construits sur leurs infrastructures qualifiées.

Architecture

L'architecture est celle du cloud, avec ses avantages — élasticité, redondance, mise à jour continue — mais hébergée dans un périmètre juridique maîtrisé. Pour NIS 2, c'est particulièrement pertinent sur les exigences de continuité d'activité et de journalisation à long terme : la scalabilité du cloud résout des problèmes que l'auto-hébergement pose souvent en pratique.

Intégration

L'approche API-first de ces plateformes facilite l'intégration avec des outils existants, à condition que l'orchestration soit gérée côté client ou via un intégrateur. C'est une approche adaptée aux ETI qui veulent externaliser l'infrastructure sans externaliser la stratégie de sécurité.

Gouvernance et budget

La gouvernance est la plus formellement encadrée des trois approches : les certifications SecNumCloud imposent des contraintes précises sur la localisation, l'accès et la chaîne de sous-traitance. C'est un argument solide face à un auditeur NIS 2.

Mais le risque budgétaire est réel et il faut le nommer : si votre périmètre de services managés s'élargit progressivement — parce que c'est pratique, parce que les équipes gagnent en confort — vous reproduisez la dynamique hyperscaler, simplement avec un acteur européen. La discipline budgétaire doit être explicite dès la contractualisation : périmètre défini, revue annuelle, clause de réversibilité. Sans ça, le cloud souverain peut devenir aussi captatif que les autres.

Ce que je retiens de cette comparaison

Il n'existe pas de stack NIS 2 parfait. Ce qui existe, ce sont des arbitrages — entre autonomie opérationnelle et agilité, entre coût humain et coût logiciel, entre souveraineté totale et souveraineté contractuelle.

Ce que je refuse, en revanche, c'est de voir des DSI européens traiter la conformité NIS 2 comme un projet *technique* géré dans le tunnel de vente d'un acteur américain. Ce serait utiliser une obligation réglementaire européenne pour renforcer une dépendance que précisément cette réglementation invite à questionner.

NIS 2 est une contrainte. C'est aussi — si on choisit bien — un levier pour reconstruire un SI dont vous contrôlez les clés. Il faut s'en saisir maintenant, avant que les contrats soient signés et les architectures figées pour cinq ans.