SSE sous label souverain : le piège que cette ETI industrielle a failli ne pas voir

Le contrat était signé. L'audit a tout changé.

Une ETI industrielle de 800 salariés, implantée sur trois sites en Europe centrale et de l'Ouest, avec une activité en sous-traitance pour des donneurs d'ordre du secteur défense civil. Pas une structure naïve. Un DSI expérimenté, une équipe sécurité interne réduite mais compétente, et une vraie volonté affichée depuis deux ans de réduire l'exposition aux acteurs américains.

En 2024, l'entreprise avait déployé ce qu'elle pensait être une solution SSE — Secure Service Edge — souveraine. Le fournisseur, un intégrateur européen de taille intermédiaire, vendait une plateforme présentée comme "hébergée en Europe", avec des références solides et un discours commercial aligné sur les attentes du marché B2B européen post-Schrems II.

Deux ans plus tard, lors d'un audit de conformité préparatoire à un renouvellement de contrat avec un donneur d'ordre soumis à des exigences sectorielles strictes, la réalité technique est remontée à la surface. Et elle était moins flatteuse que l'argumentaire commercial.

Ce que « hébergé en Europe » ne veut pas toujours dire

Le premier signal d'alerte est apparu lors de l'analyse des flux de traitement. L'équipe en charge de l'audit a constaté que la couche d'inspection du trafic — le cœur fonctionnel d'un SSE — s'appuyait en réalité sur des modules tiers dont les éditeurs étaient américains. Pas l'hébergement : les modules logiciels eux-mêmes, avec des mécanismes de télémétrie actifs envoyant des métadonnées vers des endpoints hors UE.

L'hébergement était bien en Europe. Les données au repos, aussi. Mais le traitement en transit, la politique d'inspection du trafic chiffré, les mises à jour des signatures de menace : tout cela transitait par une dépendance fonctionnelle à une infrastructure de renseignement sur les menaces opérée depuis les États-Unis.

C'est ici que la notion de "SSE souverain" se fragmente. Un SSE n'est pas un simple proxy ou un pare-feu de périmètre. C'est une architecture qui combine inspection TLS, Zero Trust Network Access, CASB et parfois SD-WAN. Chacun de ces composants peut cacher une dépendance tierce. Et dans les offres commerciales actuelles, la grande majorité des solutions qui circulent sur le marché européen — y compris celles vendues par des intégrateurs locaux — reposent sur des briques technologiques dont les éditeurs originaux sont américains ou, dans une moindre mesure, israéliens.

Ce n'est pas un jugement moral sur ces acteurs. C'est un constat structurel qui a des implications juridiques, opérationnelles et stratégiques précises pour une ETI soumise à des obligations de confidentialité industrielle.

Ce que le DSI a réellement perdu — et ce qu'il a récupéré

La découverte n'a pas déclenché de crise immédiate. Aucune fuite, aucun incident de sécurité documenté. Mais elle a mis le DSI dans une position délicate vis-à-vis de son donneur d'ordre, qui exigeait une traçabilité complète de la chaîne de traitement des données techniques.

La perte concrète : plusieurs mois de travail pour requalifier l'architecture, justifier les écarts auprès du client industriel, et relancer un appel d'offres ciblé. Sans compter l'impact sur la crédibilité interne de la fonction SI, qui avait elle-même porté le projet comme un exemple de maturité souverainiste.

La récupération, elle, a été plus instructive. En reconstruisant le cahier des charges, l'équipe a appliqué une grille d'analyse qu'elle n'avait pas utilisée lors du premier achat : pas seulement "où sont hébergées les données", mais "qui contrôle le code d'inspection, où sont opérés les flux de threat intelligence, et sous quelle juridiction tombe l'éditeur des composants critiques".

Cette grille a radicalement réduit le champ des candidats. Elle a aussi permis d'identifier deux acteurs européens — l'un français, l'autre néerlandais — dont les offres SSE étaient moins matures fonctionnellement sur certains points, mais dont la chaîne de dépendance était documentée, auditée, et compatible avec les exigences du donneur d'ordre.

Le vrai problème de marché : l'offre souveraine existe, mais elle se vend mal

Ce retour terrain pointe un dysfonctionnement qui dépasse le cas de cette ETI. Le marché SSE européen souffre d'un écart structurel entre la demande souverainiste — réelle, en croissance, portée par NIS2, les exigences sectorielles et la pression des donneurs d'ordre — et la lisibilité de l'offre souveraine.

Les acteurs européens qui construisent des solutions SSE sans dépendance critique aux éditeurs américains peinent à se rendre visibles. Non pas parce que leurs produits sont inférieurs sur tous les plans, mais parce que les cycles de vente dans ce segment passent encore largement par des intégrateurs dont les habitudes commerciales et les certifications sont alignées sur les offres dominantes américaines.

L'acteur américain dominant dans ce segment — qui agrège aujourd'hui des capacités SSE, SASE et Zero Trust sous une plateforme unifiée commercialisée à grande échelle — n'a pas besoin de convaincre : il est déjà dans les référentiels des intégrateurs, dans les benchmarks des analystes, dans les formations des équipes sécurité. La bataille n'est pas technologique au premier chef. Elle est écosystémique.

Pour qu'un DSI d'ETI choisisse un acteur européen moins connu sur un composant aussi critique que l'inspection du trafic réseau, il faut que la preuve de valeur soit documentée, que les certifications sectorielles soient présentes, et que le niveau de support soit crédible. Ce n'est pas systématiquement le cas aujourd'hui. Mais la trajectoire s'améliore.

Ce que ce cas change pour les prochains appels d'offres

Trois conclusions transférables, sans liste à rallonge.

Première conclusion : la souveraineté d'un SSE ne se lit pas dans l'adresse IP des datacenters. Elle se lit dans la carte des dépendances logicielles et dans la juridiction des éditeurs des composants d'inspection. Un DSI qui ne pose pas ces questions en phase de qualification passe à côté du risque réel.

Deuxième conclusion : les exigences des donneurs d'ordre industriels sont en train de devenir le vecteur de transformation le plus efficace du marché. Pas les réglementations seules — elles sont souvent trop lentes ou trop génériques — mais la pression contractuelle directe, qui force les ETI à documenter leur chaîne de traitement avec une précision qu'elles n'avaient pas à atteindre il y a cinq ans. C'est inconfortable. C'est aussi ce qui pousse concrètement vers des choix plus souverains.

Troisième conclusion : l'offre européenne en SSE existe. Elle n'est pas encore homogène, elle n'est pas encore aussi bien distribuée, et elle demande un effort de qualification plus important côté acheteur. Mais elle progresse. Et le différentiel fonctionnel avec les offres dominantes américaines se réduit sur les cas d'usage courants des ETI industrielles — qui n'ont pas besoin de la surface de fonctionnalités d'un opérateur télécom pour sécuriser leurs accès distants et leurs flux inter-sites.

Ce que le DSI a dit en sortant de l'audit

Une phrase résume l'enseignement de cette situation : *"On a acheté une étiquette, pas une architecture."*

C'est le piège central du moment sur le segment SSE. Le marché est en train de se normaliser autour d'un vocabulaire souverainiste — cloud de confiance, données en Europe, conformité RGPD — que les acteurs américains et leurs revendeurs européens ont parfaitement intégré dans leurs argumentaires sans nécessairement modifier leur architecture sous-jacente.

La bonne nouvelle : ce type d'audit, mené sérieusement, permet de faire le tri. La mauvaise : il arrive souvent trop tard, après la signature, après le déploiement, parfois après l'incident. Le déplacer en amont — en faire une étape standard de la qualification fournisseur, au même titre que la vérification financière ou la revue des SLA — est probablement la mesure la plus immédiatement actionnable que peut prendre un DSI d'ETI industrielle en 2026.

L'Europe a les acteurs pour construire un contrôle réseau réellement souverain. Elle a encore du travail pour que ces acteurs soient le choix évident — et pas seulement le choix militant.