« Nos RSSI ont signé des contrats qu'ils ne peuvent plus relire sans sueur froide »

# « Nos RSSI ont signé des contrats qu'ils ne peuvent plus relire sans sueur froide »

*En 2026, la cybersécurité des entreprises européennes reste largement sous influence américaine. Outils de détection, EDR, SIEM, gestion des identités : la chaîne critique est trustée par des acteurs soumis au Cloud Act et à l'extraterritorialité du droit américain. Un DSI d'une ETI industrielle européenne — qui a préféré rester anonyme — accepte de parler sans filtre. Il a entamé depuis dix-huit mois une démarche de requalification de son outillage sécurité. Rencontre.*

RiffLab Media : Commençons cash. En 2026, est-ce qu'un RSSI d'une PME ou ETI européenne peut honnêtement dire qu'il maîtrise sa gouvernance cyber ?

Honnêtement ? Non. Et la plupart le savent, mais peu le disent à voix haute en dehors des cercles fermés. Ce qu'on appelle « gouvernance cyber » dans beaucoup d'entreprises, c'est en réalité une accumulation de licences d'acteurs américains, liées entre elles par des intégrations propriétaires, avec des clauses contractuelles que même nos juristes ont du mal à interpréter complètement. Quand je dis que nos RSSI ont signé des contrats qu'ils ne peuvent plus relire sans sueur froide, ce n'est pas une métaphore. Les conditions d'accès aux données de télémétrie sécurité, les clauses de sous-traitance vers des data centers hors UE, les droits de rétention après résiliation… tout ça a été avalé en bloc à l'époque où « ça marchait » et où personne ne posait de questions.

La gouvernance, c'est censé être la capacité à décider, à auditer, à corriger. Si vous ne savez pas où vos logs de sécurité dorment la nuit, vous ne gouvernez rien. Vous gérez une apparence.

On a beaucoup entendu parler de « souveraineté numérique » ces dernières années, notamment depuis les débats autour du RGPD et du Data Act. Est-ce que les RSSI s'en sont réellement emparés, ou c'est encore un discours de DSI pour les comités de direction ?

C'est une vraie question et elle dérange. Pendant longtemps, « souveraineté numérique » dans nos réunions, ça voulait dire : on va mettre un drapeau européen sur un slide et on continue comme avant. Ce que j'observe depuis environ deux ans, c'est une bifurcation nette entre deux profils d'entreprises.

Il y a celles — majoritaires — où le RSSI a un budget contraint, une direction qui ne veut pas entendre parler de refonte, et qui reconduit ses contrats américains parce que c'est le chemin de moindre résistance. Et il y a une minorité, souvent dans des secteurs exposés — industrie de défense civile, santé, infrastructures critiques — où la prise de conscience est réelle et débouche sur des actes concrets : appels d'offres qui incluent des critères de localisation des données, refus de certains outils dont le modèle de télémétrie est opaque, vrai travail juridique sur les contrats.

Le problème, c'est que cette minorité est encore trop minoritaire pour peser sur les tarifs et la dynamique de marché. Les acteurs européens alternatifs ont du mal à monter en volumétrie faute d'une base clients suffisante pour investir massivement en R&D. C'est un cercle vicieux.

Justement, parlons des alternatives européennes. Sans dresser un catalogue, est-ce qu'il existe aujourd'hui des solutions crédibles en dehors de l'offre dominante américaine sur les briques critiques — détection, identité, réponse à incident ?

Oui, elles existent. Et c'est important de le dire sans naïveté : elles ne sont pas toutes à parité fonctionnelle sur tous les critères. Mais certaines sont très solides sur des périmètres précis, et c'est là qu'une stratégie intelligente peut se construire.

Prenons la détection et réponse. Des acteurs comme Sekoia.io ont construit une plateforme CTI et XDR qui tient la route face aux mastodontes américains sur la qualité des flux de threat intelligence orientée menaces européennes — notamment les groupes qui ciblent spécifiquement notre tissu industriel. Ce n'est pas un gadget. C'est une différence structurelle : un acteur qui comprend le contexte réglementaire DORA, NIS2, qui peut être audité selon des référentiels français et européens, c'est une variable qui compte dans une gouvernance sérieuse.

Sur la gestion des identités, le marché européen est plus fragmenté, c'est vrai. Mais là aussi, des solutions existent qui permettent de ne pas confier la brique IAM — pourtant absolument critique — à un acteur soumis à la juridiction américaine.

Le vrai sujet, c'est l'intégration. Longtemps, l'argument massue des acteurs américains était : « Tout s'intègre chez nous. » Aujourd'hui, avec l'évolution des standards ouverts, cet argument s'érode. On peut construire une architecture cohérente sans monolithisme américain. Ça demande plus d'efforts au départ. Ça en vaut la peine.

NIS2 est entrée en vigueur. DORA aussi pour le secteur financier. Est-ce que ces réglementations européennes ont réellement changé la donne pour les RSSI, ou c'est encore de la conformité-papier ?

Elles ont changé quelque chose d'important : elles ont mis la tête du RSSI — et celle du dirigeant — dans la boucle de responsabilité. Quand vous pouvez être personnellement mis en cause, vous commencez à poser des questions différentes à vos prestataires.

Mais soyons lucides : NIS2 n'impose pas de localisation européenne des solutions. Elle impose des exigences de sécurité, de notification, de continuité. On peut théoriquement les satisfaire avec des outils américains. Le RSSI qui coche les cases NIS2 avec une stack entièrement hébergée hors UE n'est pas en infraction directe — il est juste exposé à un risque souverain que la réglementation ne nomme pas encore explicitement.

Ce que je vois dans mon réseau, c'est que NIS2 a ouvert des conversations. Les RSSI reviennent dans les comités de direction avec des questions sur la localisation des données de sécurité — parce que c'est maintenant une question auditable. C'est un levier. Mais un levier n'est pas une politique.

Vous avez entamé une démarche de requalification de votre outillage sécurité. Qu'est-ce qui vous a le plus surpris dans ce processus ?

Deux choses. La première : la résistance interne. Pas de la direction — elle a suivi quand on a posé les enjeux correctement. Mais de nos propres équipes techniques. Les ingénieurs sécurité sont formés sur des certifications, des outils, des interfaces qui sont à plus de quatre-vingt pour cent américains. Demander à quelqu'un de changer son outil de détection, c'est lui demander de remettre en question des années de pratique. Le changement humain est au moins aussi difficile que le changement technologique.

La deuxième surprise : la qualité des acteurs européens avec lesquels j'ai eu des conversations techniques approfondies. J'attendais des solutions à convaincre. J'ai parfois trouvé des interlocuteurs qui posaient les meilleures questions. Des gens qui comprennent NIS2, DORA, les spécificités du tissu industriel européen — pas des commerciaux qui placarderont un label « souverain » sur un produit construit sur une infrastructure tierce.

Dernière question — et elle est directe. En 2026, les ETI européennes qui n'ont pas encore bougé : elles ont encore combien de temps avant que leur dépendance aux acteurs américains devienne un risque opérationnel inacceptable ?

Je ne vais pas donner un chiffre. Ce serait mentir. Mais je vais dire ceci : l'extraterritorialité du droit américain n'est pas une hypothèse théorique. Les tensions commerciales et géopolitiques de ces dernières années ont montré que des leviers peuvent s'actionner très vite, sur des secteurs ou des entreprises qui ne s'y attendaient pas. Une ETI qui a externalisé sa détection, sa réponse à incident et sa gestion des identités vers des acteurs américains, c'est une ETI dont le système nerveux sécuritaire peut théoriquement être affecté par une décision prise à Washington — pas à Bruxelles, pas à Paris, pas à Berlin.

Ce n'est pas une position idéologique. C'est une analyse de risque. Et c'est exactement le langage qu'un RSSI doit parler à son comité de direction. Le temps qu'il reste ? Celui qu'on choisit d'utiliser — ou de perdre.