SSE dénaturé : quand les DSI européennes financent leur propre dépendance

# SSE dénaturé : quand les DSI européennes financent leur propre dépendance

*En 2026, le marché du Secure Service Edge s'est consolidé autour d'une poignée d'acteurs américains. Ce que les éditeurs présentent comme une simplification architecturale ressemble, de l'intérieur des DSI européennes, à une recomposition du contrôle sur les flux réseaux — et sur les budgets qui vont avec.*

Le SSE, promesse tenue ou architecture capturée ?

Au tournant des années 2020, le concept de Secure Service Edge — convergence du CASB, du SWG et du ZTNA dans une plateforme unifiée — a émergé comme la réponse logique à l'éclatement des périmètres réseaux. Les entreprises avaient massivement migré vers le cloud, leurs collaborateurs travaillaient depuis n'importe où, et les architectures VPN traditionnelles montraient leurs limites en termes de performance comme de sécurité. Le SSE, porté par ses promoteurs analytiques comme Gartner, promettait une convergence rationnelle : moins de produits, moins de silos, une visibilité unifiée.

Six ans plus tard, la promesse technique est en grande partie tenue. Les plateformes SSE des acteurs dominants — essentiellement américains — délivrent effectivement ce qu'elles annoncent : inspection du trafic en temps réel, application des politiques de sécurité au plus près de l'utilisateur, réduction de la latence via des points de présence distribués. Sur le plan fonctionnel, difficile de nier la cohérence de ces offres.

Mais une question s'est progressivement imposée dans les DSI européennes, souvent formulée à voix basse lors des comités de direction : à quel prix, au sens propre comme au sens stratégique, cette commodité est-elle achetée ? Et surtout — qui détient réellement le contrôle lorsqu'on délègue l'inspection de l'intégralité de ses flux réseaux à une plateforme dont les serveurs, les ingénieurs et les obligations légales se trouvent sous juridiction américaine ?

L'économie réelle du SSE : ce que les contrats ne disent pas d'emblée

La structure tarifaire des offres SSE dominantes mérite une analyse attentive, car elle opère selon une logique que les DSI découvrent souvent après la signature — jamais avant.

Le modèle dominant est celui du tarif par utilisateur et par mois, avec une grille qui s'étoffe au fur et à mesure que l'entreprise active des modules supplémentaires. L'entrée dans l'écosystème se fait généralement sur une base fonctionnelle restreinte, suffisamment attractive pour justifier la migration. Puis viennent les modules complémentaires : la protection des données (DLP), l'analyse comportementale, la détection des menaces avancées, la gestion des identités. Chaque module représente un abonnement additionnel, une intégration plus profonde dans la plateforme, un pas supplémentaire vers une dépendance dont il devient coûteux de s'extraire.

Ce mécanisme n'est pas propre au SSE — c'est la logique générale du SaaS à expansion nette. Mais dans le contexte de la sécurité réseau, il revêt une dimension particulière : les données inspectées par la plateforme sont, par définition, l'ensemble des flux de l'entreprise. Contrats fournisseurs, échanges RH, données clients, communications internes — tout transite par les nœuds d'inspection de l'opérateur SSE. La question de la localisation de ces données, de leur traitement analytique éventuel, de leur soumission au droit américain via le Cloud Act, n'est pas théorique. Elle est structurelle.

Pour les entreprises européennes opérant dans des secteurs réglementés — finance, santé, défense, infrastructures critiques — cette réalité n'est pas simplement un inconfort juridique. C'est un risque de conformité quantifiable, que les équipes compliance commencent à faire remonter aux COMEX avec une acuité croissante en 2026.

Sur le plan budgétaire pur, plusieurs DSI d'ETI françaises et allemandes consultées par RiffLab Media au cours des douze derniers mois font état d'une inflation significative de leur poste sécurité réseau depuis la migration vers des plateformes SSE consolidées. Le phénomène n'est pas lié à la croissance de leur parc utilisateurs, mais à la revalorisation tarifaire des licences et à l'activation progressive de modules qui, dans l'ancienne architecture, relevaient de solutions distinctes et potentiellement open source.

Le Cloud Act dans la chaîne d'inspection : un angle mort budgétaire et stratégique

Il faut dire clairement ce que le débat technique tend à euphémiser : une plateforme SSE opérée par un acteur soumis au droit américain est, en vertu du Cloud Act de 2018, potentiellement accessible aux autorités fédérales américaines sur simple injonction, sans recours préalable à la coopération judiciaire internationale et sans obligation d'en informer le client.

Cette réalité juridique n'est pas une hypothèse d'école. Elle a des implications concrètes pour les entreprises européennes dans plusieurs cas de figure : litiges commerciaux avec des acteurs américains, enquêtes sectorielles, situations de tension géopolitique. En 2026, alors que le découplage technologique entre les États-Unis et l'Europe s'accélère sur plusieurs fronts, la question n'est plus de savoir si ces risques sont réels — ils le sont — mais de comprendre pourquoi si peu d'entreprises les intègrent dans leur calcul économique.

Une partie de la réponse tient à la structure des décisions d'achat. Les plateformes SSE sont souvent évaluées sur des critères techniques et opérationnels — facilité de déploiement, richesse fonctionnelle, support, références sectorielles. La dimension juridictionnelle est rarement formalisée dans les grilles d'évaluation, sauf dans les appels d'offres publics où les exigences de souveraineté sont explicites. Pour les ETI du secteur privé, ce gap analytique est réel et coûteux à long terme.

L'autre partie de la réponse est plus inconfortable : les équipes IT ont parfois intérêt, du point de vue de leur charge opérationnelle immédiate, à la simplification que procurent ces plateformes. La délégation de la complexité est un bénéfice réel à court terme. C'est précisément ce que les fournisseurs américains ont compris et optimisé : vendre la réduction de la charge cognitive aux équipes techniques, pendant que la valeur — données, dépendance, marges — s'accumule de leur côté.

Ce que l'écosystème européen peut opposer — et à quelles conditions

L'objectif ici n'est pas de tracer un tableau idyllique d'un marché européen du SSE qui n'existe pas encore sous sa forme mature. Il est d'identifier ce qui se construit, à quelle vitesse, et ce que les DSI peuvent raisonnablement arbitrer aujourd'hui.

Plusieurs acteurs européens — notamment dans l'espace franco-allemand et dans les pays nordiques — ont développé des briques fonctionnelles qui adressent des composantes du SSE : sécurité des accès, filtrage web, inspection des flux, gestion des identités. Certains opérateurs télécoms européens intègrent désormais des fonctions de sécurité réseau managée qui s'inscrivent dans une logique de proximité juridictionnelle et de localisation des données. Ce marché est fragmenté, moins mature sur le plan de l'intégration native, mais il existe et il progresse.

Prenons l'exemple de Cato Networks — acteur israélien, donc ni américain ni strictement européen, mais dont les engagements contractuels et l'architecture multi-tenant sont souvent cités par des DSI européennes comme offrant davantage de flexibilité sur la localisation des données que ses concurrents directs. Sa présence croissante sur le marché européen illustre le fait que la demande de souveraineté relative existe et que des acteurs hors GAFAM savent la capturer commercialement. Ce n'est pas une solution souveraine européenne, mais c'est un signal que l'argument souverainiste a une valeur marchande réelle.

Plus significatif pour les acteurs institutionnels : Thales, à travers sa division cybersécurité, a renforcé ses offres autour du réseau sécurisé et de la protection des flux dans des architectures hybrides. La montée en puissance de son portefeuille de sécurité réseau managée, destinée en priorité aux entreprises des secteurs réglementés et aux ETI de la BITD (Base Industrielle et Technologique de Défense), dessine une alternative crédible — moins universelle, mais juridiquement plus robuste pour les cas d'usage sensibles.

La question que doivent se poser les DSI n'est pas binaire. Elle n'est pas : « SSE américain ou rien ». Elle est : quelle portion de mes flux est stratégiquement sensible, et pour cette portion, quel niveau de maîtrise juridictionnelle suis-je prêt à payer pour maintenir ? Cette segmentation du parc par niveau de sensibilité permet d'éviter le faux dilemme entre performance et souveraineté — et de construire une architecture hybride où les flux critiques sont traités dans un périmètre maîtrisé, et les flux moins sensibles peuvent bénéficier des performances des plateformes mondiales.

Recommandations budgétaires pour reprendre la main sans rupture architecturale

Face à cette réalité, plusieurs leviers concrets méritent d'être intégrés dans les cycles budgétaires IT des prochaines années.

Cartographier les flux avant de les inspecter. Avant tout renouvellement de contrat SSE, une cartographie des flux par niveau de sensibilité s'impose. Elle permet d'identifier ce qui peut légitimement transiter par une plateforme américaine (flux génériques, navigation internet des postes non sensibles) et ce qui ne le peut pas (échanges avec des partenaires industriels, données contractuelles, flux RH dans certains périmètres). Cette cartographie a une valeur budgétaire directe : elle évite de payer pour une inspection globalisée quand une inspection ciblée suffit.

Négocier les clauses de portabilité et de réversibilité dès l'entrée. Le coût réel du lock-in SSE n'est visible qu'au moment de la sortie. Les DSI qui ont négocié des clauses de portabilité des configurations, des engagements sur les formats d'export des politiques de sécurité, et des durées contractuelles plus courtes disposent d'un levier de renégociation que les autres n'ont pas. C'est une variable budgétaire de moyen terme, souvent négligée au moment où le projet est présenté sous l'angle de la simplification.

Intégrer le risque Cloud Act dans les analyses de risque formelles. Pour les entreprises des secteurs réglementés, cette intégration n'est plus optionnelle. Pour les ETI du secteur privé, elle le devient progressivement à mesure que les régulateurs européens — NIS2 en tête — renforcent les exigences de maîtrise de la chaîne de sécurité. Un risque formalisé dans la cartographie des risques du RSSI a une traduction budgétaire : il justifie l'investissement dans une alternative souveraine, même plus coûteuse à court terme.

Suivre les consortiums européens sur le SASE souverain. Plusieurs initiatives, soutenues par des fonds européens dans le cadre d'IPCEI Cybersécurité et de Gaia-X, travaillent à des briques d'interopérabilité qui permettraient à terme aux opérateurs de sécurité européens de proposer des stacks SSE certifiées et souveraines. Ces initiatives avancent lentement, mais elles avancent. Les DSI qui les suivent activement — et qui participent à leurs groupes de travail utilisateurs — se positionnent pour être en mesure de basculer dès que les offres atteindront la maturité opérationnelle.

*Le SSE n'est pas une mauvaise architecture. C'est une architecture dont les acteurs dominants sont américains, dont les modèles économiques sont conçus pour maximiser la dépendance, et dont les implications juridictionnelles sont réelles. Pour les DSI européennes, la lucidité sur ces trois points n'est pas un luxe intellectuel — c'est un prérequis budgétaire et stratégique.*