Sécurité en continu : les ETI européennes ont-elles besoin de la Silicon Valley pour se défendre ?

Audit ponctuel ou surveillance continue : de quoi parle-t-on ?

Pendant longtemps, la sécurité informatique d'une PME ou d'une ETI (Entreprise de Taille Intermédiaire) reposait sur un principe simple : faire appel à un prestataire une ou deux fois par an pour réaliser un audit de sécurité. Ce prestataire teste les défenses du système d'information (SI), rédige un rapport, et repart. L'entreprise applique ensuite les correctifs… jusqu'au prochain audit.

Ce modèle a vécu. En 2026, la menace évolue en temps réel. Les attaquants n'attendent pas le prochain rendez-vous annuel. La réponse du marché, c'est la sécurité continue : des outils qui surveillent le SI en permanence, détectent les anomalies au fil de l'eau, et alertent dès qu'un comportement suspect apparaît. On parle de solutions CSPM (Cloud Security Posture Management, soit la gestion continue de la posture de sécurité dans le cloud) ou de plateformes de détection et réponse managées.

Le problème ? Les acteurs qui ont imposé ce standard sont majoritairement américains. Et leurs outils s'intègrent naturellement — parfois exclusivement — dans des écosystèmes cloud qu'ils contrôlent eux-mêmes.

Quels verrouillages pour les ETI européennes ?

Lorsqu'une ETI adopte une solution de sécurité continue proposée par un acteur américain dominant, elle ne souscrit pas seulement à un outil. Elle transfère une partie de ses logs (journaux d'événements de sécurité) et de ses métadonnées réseau vers des infrastructures soumises au droit américain — notamment le CLOUD Act, qui autorise les autorités américaines à exiger l'accès à des données hébergées par des entreprises américaines, y compris hors des États-Unis.

C'est un paradoxe concret : pour mieux se protéger, l'ETI expose ses données les plus sensibles — les traces de son activité réseau — à une juridiction étrangère.

Le second verrouillage est contractuel et technique. Ces plateformes sont conçues pour fonctionner avec les environnements cloud de leurs éditeurs. Migrer vers une alternative impose souvent de réarchitecturer une partie du SI. Le coût de sortie devient prohibitif au fil du temps.

Des alternatives européennes existent et montent en maturité. Des acteurs comme Sekoia.io (France) ou Tehtris (France également) proposent des plateformes de détection et réponse pensées dès la conception pour répondre aux exigences du RGPD (Règlement Général sur la Protection des Données) et hébergées sur sol européen. La certification SecNumCloud de l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) constitue en France un repère utile pour identifier les offres présentant des garanties de souveraineté sérieuses.

Le message pour les DSI et RSSI d'ETI est simple : la sécurité continue est désormais incontournable. Mais le choix de l'outil n'est pas neutre. Confier la surveillance permanente de son SI à un acteur américain, c'est accepter une dépendance durable sur ce qui constitue le cœur de la donnée opérationnelle de l'entreprise. En 2026, des alternatives souveraines existent — les ignorer n'est plus une option technique, c'est un choix politique.