Scality CVE : souveraineté européenne en cybersécurité | Payload Website Template

# Autorité CVE : quand un acteur européen s'invite dans un club que l'Amérique pensait réserver

En 2026, Scality rejoint le cercle restreint des CNA — les autorités habilitées à émettre des CVE. Un événement discret, presque technique. Mais derrière l'acronyme, une question structurelle que nos DSI évitent soigneusement : qui contrôle, en Europe, les canaux par lesquels transitent les alertes de sécurité qui gouvernent nos décisions d'infrastructure ?

Ce que signifie vraiment être CNA — et pourquoi ça n'est pas anodin

Le programme CVE — *Common Vulnerabilities and Exposures* — est géré par la MITRE Corporation, entité américaine financée historiquement par le Département de la Sécurité intérieure des États-Unis. Chaque identifiant CVE attribué à une vulnérabilité logicielle est, à la base, une décision qui passe par une infrastructure de gouvernance américaine.

Les CNA (*CVE Numbering Authorities*) sont les organisations habilitées à émettre ces identifiants dans leur périmètre de responsabilité : leurs propres produits, leur écosystème, parfois un domaine thématique. Microsoft est CNA. AWS est CNA. Google est CNA. Jusqu'ici, la liste reflétait assez fidèlement la cartographie du pouvoir logiciel mondial — avec une surreprésentation américaine que peu de professionnels européens avaient pris la peine de questionner.

Scality, éditeur européen spécialisé dans le stockage objet à l'échelle, devient donc CNA. Ce n'est pas une posture marketing. C'est une entrée dans un mécanisme de gouvernance de la sécurité mondiale. Et c'est précisément là que l'analyse doit commencer — pas là où elle s'arrête habituellement.

Comparatif : trois postures face à la chaîne CVE

Pour mesurer ce que ce statut change concrètement, comparons trois approches que peuvent adopter les organisations face au système CVE : la dépendance passive, le relais certifié (CNA), et la gouvernance autonome partielle. Scality illustre la deuxième. Regardons les trois avec un œil critique.

Approche 1 — La dépendance passive : consommer les CVE sans les produire

Ce que c'est. La majorité des éditeurs et des équipes de sécurité européennes se contentent de *consommer* les CVE : elles les ingèrent via des scanners de vulnérabilités, des SIEM, des flux de threat intelligence — souvent eux-mêmes fournis par des acteurs américains. La chaîne est entière : de la production de l'identifiant à l'outil qui l'interprète, le DSI européen est en bout de chaîne, récepteur passif.

Architecture. Flux entrant depuis MITRE ou NVD (*National Vulnerability Database*, NIST), agrégé par un scanner commercial dont le moteur de corrélation est opéré aux États-Unis. Les délais de publication, les priorités d'attribution, les périmètres couverts : aucune de ces décisions n'appartient à l'organisation européenne.

Gouvernance. Nulle, par définition. L'organisation suit. Elle ne choisit ni le rythme, ni le périmètre, ni les critères de sévérité. En cas de tension géopolitique — suspension de financement, réorientation de priorités, embargo de données — elle est exposée sans recours immédiat. Ce n'est pas une hypothèse : en 2025, le financement fédéral américain du programme CVE a été brièvement menacé, provoquant une onde de choc dans les équipes de sécurité mondiales.

Verrouillage technologique. Maximal. Les outils de remédiation, les bases de données de patch management, les workflows SOC sont tous construits autour de l'identifiant CVE comme référence universelle. Changer de référentiel est théoriquement possible — pratiquement, c'est refondre l'outillage de sécurité opérationnelle.

Approche 2 — Le statut CNA : entrer dans la gouvernance, pas en sortir

Ce que c'est. C'est la posture que Scality vient d'adopter. L'organisation est habilitée à émettre des CVE pour son périmètre propre — ses produits, ses composants. Elle ne dépend plus d'un tiers pour qualifier et publier les vulnérabilités qui la concernent directement.

Architecture. Le CNA opère un processus interne de réception des rapports de vulnérabilités (*disclosure*), d'analyse, d'attribution d'identifiant et de publication coordonnée. Il reste dans l'écosystème MITRE — il ne s'en affranchit pas — mais il devient un nœud actif plutôt qu'un nœud passif.

Gouvernance. Partielle mais réelle. Sur son périmètre, l'éditeur contrôle le calendrier de divulgation, le niveau de détail publié, la coordination avec les parties affectées. C'est un pouvoir limité mais concret : un éditeur américain dominant ne peut plus retarder ou minimiser une CVE sur un composant Scality pour des raisons qui lui seraient propres.

Ce que ça ne règle pas — et c'est là que le ton critique s'impose. Le statut CNA ne change pas la gouvernance globale du programme. MITRE reste l'autorité racine. Le financement reste américain dans son architecture fondatrice. Et surtout : le CNA de Scality ne couvre que les produits Scality. La dépendance systémique des DSI européens à des CVE émis par des acteurs américains pour des logiciels américains — qui composent l'essentiel de leurs SI — reste entière. Ce n'est pas un reproche fait à Scality. C'est un constat que ses clients doivent intégrer : devenir client d'un CNA européen ne rend pas souverain.

Verrouillage technologique. Allégé sur un segment précis. Le risque de manipulation ou de rétention d'information sur les vulnérabilités propres à Scality RING ou à ses interfaces S3 est réduit. C'est mesurable. C'est utile. C'est insuffisant à l'échelle d'un SI hybride.

Approche 3 — La gouvernance autonome partielle : l'hypothèse ENISA/EU-CVE

Ce que c'est. C'est le chantier qui n'a pas encore abouti — et dont l'absence en 2026 reste une anomalie politique. L'idée : que l'Europe se dote d'une infrastructure de qualification des vulnérabilités qui ne soit pas structurellement dépendante d'une décision de financement à Washington. L'ENISA a posé des jalons. La directive NIS2 a créé des obligations de reporting. Mais un référentiel européen d'identifiants de vulnérabilités — un EU-CVE, en quelque sorte — n'existe pas.

Architecture hypothétique. Un système distribué entre les CSIRT nationaux européens, coordonné par l'ENISA, avec des CNA européens comme Scality jouant le rôle de nœuds de qualification sectorielle. L'interopérabilité avec MITRE serait maintenue pour éviter la fragmentation mondiale — mais la dépendance gouvernante serait rompue.

Gouvernance. C'est précisément ce que cette architecture permettrait : une résilience institutionnelle. Si le programme CVE américain est suspendu, perturbé, ou réorienté sous pression politique, l'Europe aurait un filet de sécurité opérationnel.

Verrouillage technologique. Potentiellement très réduit — à condition que l'outillage SOC européen soit mis à jour pour ingérer les deux référentiels. Ce qui représente un chantier d'intégration non trivial.

Ce que ça révèle sur l'état actuel. L'absence de cette troisième voie en 2026 n'est pas un oubli technique. C'est un choix politique — ou plutôt, une série de non-décisions. La question que les RSSI devraient poser à leurs autorités de tutelle : pourquoi l'Europe finance-t-elle NIS2, DORA, et le Cyber Resilience Act sans financer l'infrastructure de données qui les rend opérables de manière autonome ?

Tableau comparatif

|---|---|---|---|

La vraie question que personne ne pose

Scality CNA, c'est une bonne nouvelle. Qu'un éditeur européen de stockage objet — technologie critique pour tout SI qui se veut souverain — entre dans la chaîne de gouvernance de la sécurité mondiale, c'est un signal positif et concret.

Mais posons la question qui dérange : combien d'éditeurs européens auraient les moyens, la maturité de processus et la volumétrie produit suffisante pour justifier un statut CNA ? La liste est courte. Et pendant ce temps, les CVE qui affectent les composants dominants de nos SI — systèmes de messagerie, plateformes de collaboration, hyperviseurs, bases de données — sont émis, qualifiés et parfois retenus par des CNA dont le siège social est à Seattle, à Mountain View ou à Redmond.

Le statut CNA de Scality desserre un verrou sur un segment. Il ne change pas la topologie du problème. Et si nos DSI s'en satisfont, c'est peut-être parce qu'ils n'ont jamais cartographié, précisément, combien de CVE critiques pour leur SI transitent par des canaux qu'ils ne contrôlent pas.

Ce serait un exercice inconfortable. C'est exactement pour ça qu'il faudrait le faire.

*L'entrée de Scality dans le programme CNA mérite d'être saluée — et contextualisée. Elle montre qu'un acteur européen peut peser dans la gouvernance mondiale de la cybersécurité. Elle montre aussi, en creux, l'étendue du chemin qu'il reste à parcourir pour que cette gouvernance soit réellement européenne.*

Autorité CVE : quand un acteur européen s'invite dans un club que l'Amérique pensait réserver