L’origine de vos outils cyber devient un critère de choix pour vos clients
Selon le Verizon DBIR 2026, 48 % des violations de données impliquent un tiers, en hausse de 60 % sur un an. Pour un MSP, le risque fournisseur entre dans l’évaluation de la chaîne de dépendance de ses clients. Et la souveraineté numérique de votre client s’arrête exactement là où commence la vôtre.
1. Ce que l’article de notre partenaire Heimdal établit, et où il s’arrête
Notre partenaire éditeur Heimdal, basé au Danemark, a publié une analyse sur l’avantage européen en cybersécurité : quand les alliances bougent, la juridiction dont dépend un éditeur devient un critère de sécurité. Le CLOUD Act de 2018 permet aux autorités américaines de réclamer des données détenues par un prestataire soumis à leur juridiction, y compris hébergées ailleurs.
Le raisonnement est solide, mais le pays du siège ne suffit pas à trancher l’exposition. Un éditeur européen peut avoir une maison mère ou une filiale américaine, des sous-traitants soumis au droit américain, ou une infrastructure adossée à un hyperscaler non européen. La bonne question d’avant-vente n’est pas « êtes-vous européen », c’est « qui sont vos sous-traitants ».
48 %des violations impliquent un tiers, en hausse de 60 % sur un an (Verizon DBIR 2026). Dans cette chaîne, la souveraineté numérique de vos clients porte un nom : le vôtre.
Dans son Threat Landscape 2025, l’ENISA relève que les risques liés à la chaîne d’approvisionnement représentent 10,6 % des catégories de menaces observées, et que les campagnes de cyberespionnage comptent pour 7,2 % des incidents visant l’Union.
2. Souveraineté numérique : le renversement que peu de MSP ont vu venir
On croit que la souveraineté numérique se décide le jour où l’on choisit un éditeur. En réalité, elle se joue le jour où un client vous demande de la prouver. Ce jour-là, ce n’est pas la plaquette de l’éditeur qu’on vous réclame, c’est votre inventaire.
Méfiez-vous de l’idée reçue selon laquelle les MSP ne seraient concernés qu’indirectement. Selon leur taille, leurs services et les modalités de la transposition française, certains relèvent directement de NIS2 : les fournisseurs de services gérés et de sécurité gérés figurent parmi les catégories visées. Les autres le seront indirectement, quand leurs clients régulés répercuteront leurs exigences fournisseurs dans les contrats.
La France passe d’environ 500 entités régulées à près de 15 000. Toutes ne vous adresseront pas le même questionnaire, les exigences dépendant du secteur, du risque et de votre rôle. Mais la probabilité qu’on vous en adresse un augmente chaque année.
Le secteur financier a déjà basculé. Depuis janvier 2025, DORA impose aux entités financières un registre de leurs accords sur les services TIC, sous-traitants inclus. Si vous gérez le parc d’un courtier ou d’une fintech, vous y figurez déjà.
3. Six questions pour savoir où vous en êtes
Six questions de souveraineté numérique proches de celles que les entités régulées adressent à leurs prestataires IT.
1. Pouvez-vous produire en 48 h la liste des éditeurs de votre stack ?
2. Connaissez-vous, pour chacun, le pays du siège et celui d’hébergement ?
3. Savez-vous lesquels dépendent d’un sous-traitant non européen ?
4. Vos contrats prévoient-ils une notification si un fournisseur change d’actionnariat ?
5. Avez-vous un plan de réversibilité écrit si un éditeur devenait indisponible ?
6. Facturez-vous cette revue de conformité fournisseurs à vos clients ?
0 / 6 réponses solides
Répondez aux six questions pour obtenir votre verdict.
4. Souveraineté numérique : quatre dimensions à examiner
Quand une PME dit « je veux du souverain », elle pense à l’hébergement : la dimension la plus visible, et la moins suffisante prise isolément. Ces quatre axes ne forment pas une échelle officielle, c’est la grille que nous utilisons chez Watsoft pour instruire un dossier de souveraineté numérique. Ils ne se remplacent pas.
Deux nuances à poser au client. La maîtrise des clés réduit fortement la capacité d’un fournisseur à livrer des données lisibles, mais son efficacité dépend de l’architecture du service, du modèle de gestion des clés et des accès possibles pendant le traitement.
Et un service auto-hébergé n’est pas automatiquement souverain : il peut rester dépendant d’un éditeur étranger, d’une licence distante ou de mises à jour propriétaires. L’auto-hébergement déplace la dépendance, il ne la supprime pas.
5. Ce que la souveraineté numérique change dans votre compte d’exploitation
Chaque outil supplémentaire ajoute une entrée au registre fournisseurs de vos clients régulés. Six outils de sécurité, ce sont six dossiers à instruire et six juridictions à justifier. La consolidation devient alors un argument administratif, plus seulement technique.
Appels d’offres
Les grilles fournisseurs des ETI et des collectivités intègrent déjà une rubrique juridiction. Une réponse imprécise fragilise une candidature.
Temps non facturé
Sans inventaire centralisé, répondre à ces questionnaires mobilise plusieurs heures, voire plusieurs jours par client.
Marge par client
Moins d’éditeurs pour la même couverture, c’est moins de contrats, de consoles et de support interne.
Revenu récurrent
La cartographie de souveraineté numérique et sa revue annuelle sont un livrable facturable, comme un test de restauration.
6. Souveraineté numérique : réduire le nombre de dépendances à documenter
Heimdal est un éditeur fondé en 2014, dont le siège est à Copenhague, au Danemark. Sa plateforme regroupe en une console l’antivirus nouvelle génération, l’EDR, le patch management, le filtrage DNS, le PAM et la sécurité e-mail. Huit modules au total.
Ce que cela change : une plateforme européenne unifiée réduit le nombre d’entités à instruire et rend vos dépendances plus faciles à documenter. Elle ne ramène pas le dossier à une ligne, puisque le registre demandera aussi les services utilisés, les lieux de traitement et les fonctions supportées.
La limite à assumer : une plateforme unifiée crée une dépendance à un éditeur unique, à écrire dans votre plan de réversibilité plutôt qu’à découvrir en audit. D’autres briques du catalogue Watsoft couvrent les autres dimensions, chacune avec son profil de dépendance à vérifier.
À noter : Heimdal indique que son programme de sécurité est aligné sur les normes ISAE 3000 SOC 2 Type I et II, avec des audits réguliers. C’est une déclaration de l’éditeur : demandez le rapport avant de le citer dans un dossier de souveraineté numérique. Source : Heimdal Security.
7. Souveraineté numérique : votre plan en quatre semaines
- Semaine 1, l’inventaire. Listez chaque éditeur en production, avec pays du siège, pays d’hébergement et sous-traitants connus. Un tableur suffit.
- Semaine 2, l’arbitrage. Classez chaque brique selon les quatre dimensions et repérez les doublons fonctionnels. C’est là que la consolidation se justifie, chiffres à l’appui.
- Semaine 3, le packaging. Transformez le livrable en forfait annuel de souveraineté numérique : cartographie, analyse de juridiction par brique, plan de réversibilité et revue annuelle.
- Semaine 4, la vente. Ne vous limitez pas au mot « souveraineté » : partez de la demande concrète que leur adressera leur donneur d’ordre.
8. Ce qu’il faut retenir
Heimdal a raison sur le fond : la juridiction d’un éditeur est un critère de sécurité. Mais pour un MSP, la souveraineté numérique n’est pas seulement un critère d’achat, c’est un livrable. Vos clients régulés ne vous demanderont pas si vos outils sont européens, ils vous demanderont de le démontrer, brique par brique. Autant préparer la réponse avant qu’on la réclame, et la facturer.
Faites le point sur votre stack avec Watsoft
Nos équipes accompagnent au quotidien les MSP dans la structuration de leur offre. Si la souveraineté numérique arrive dans vos appels d’offres, parlons de votre cartographie de fournisseurs.
Échanger avec un expert Watsoft Tester Heimdal 30 joursOu joignez l’équipe au 05 56 15 01 01, msp@watsoft.com.
Heimdal, une plateforme européenne unifiée
Éditeur danois basé à Copenhague, Heimdal couvre la sécurité endpoint en une console, avec huit modules activables à la carte.
