EASM souverain : pourquoi le choix de l'éditeur compte autant que la technologie

1. La surface d'attaque externe, angle mort persistant des DSI français

En 2024, l'ANSSI a traité 4 386 événements de sécurité, soit une hausse de 15 % par rapport à l'année précédente, dont 1 361 incidents confirmés. Derrière ce chiffre, une constante que l'agence documente depuis plusieurs années : les attaquants entrent presque toujours par les mêmes portes. Les vulnérabilités affectant les équipements de bordure de système d'information ont représenté plus de la moitié des opérations de cyberdéfense menées par l'ANSSI sur l'exercice. Ce n'est pas une tendance récente, c'est une réalité structurelle.

Les équipements réseau exposés, les services web non inventoriés, les sous-domaines oubliés après une migration, les APIs laissées sans authentification à l'issue d'un projet abandonné : ce sont les cibles privilégiées de l'attaquant opportuniste. Et c'est précisément ce périmètre que l'EASM a vocation à documenter et surveiller en continu.

1.1 Un glissement tactique révélateur

En 2025, l'ANSSI révèle un double visage inquiétant : les chiffres globaux affichent une stabilité apparente avec 1 366 incidents confirmés, mais les exfiltrations de données sont en nette augmentation, 196 cas recensés contre 130 en 2024. Ce glissement tactique a une traduction concrète pour les équipes sécurité : les attaquants s'installent, observent, cartographient. Ils le font souvent depuis des actifs que la DSI ne surveille pas, parce qu'elle ignore qu'ils existent encore.

1.2 Un marché en forte croissance, dominé par des acteurs non-européens

Le marché mondial de l'EASM est projeté pour passer de 1,55 milliard de dollars en 2024 à 6,55 milliards en 2029, soit un CAGR de 33,5 % selon Frost & Sullivan. Cette croissance traduit une prise de conscience collective que la défense périmétrique traditionnelle ne suffit plus face à l'expansion numérique des organisations.

Gartner estime que d'ici 2026, seulement 20 % des entreprises disposeront d'une visibilité à 95 % ou plus sur leurs actifs numériques, contre moins de 1 % en 2022. L'écart est considérable, et il illustre l'immaturité actuelle : la grande majorité des organisations naviguent encore avec un angle mort massif sur leur propre périmètre externe.

Le problème structurel de ce marché, pour les organisations françaises, est sa composition : les acteurs dominants sont presque tous américains. Ce n'est pas un jugement sur leur qualité technique. C'est un constat qui a des implications légales, opérationnelles et stratégiques concrètes, que les sections suivantes détaillent.

2. Ce que collecte réellement un outil EASM, et pourquoi c'est sensible

Comprendre pourquoi le choix de l'éditeur est stratégique exige de comprendre ce qu'un outil EASM fait réellement, et la nature exacte des données qu'il manipule. Un outil EASM ne se contente pas de scanner des ports ouverts. Il opère une reconnaissance permanente et exhaustive de votre empreinte numérique externe, en adoptant le point de vue d'un attaquant. La distinction est fondamentale.

2.1 La cartographie technique complète de vos actifs exposés

Un outil EASM collecte et agrège en continu l'ensemble des éléments constituant votre périmètre numérique visible depuis internet. Cela comprend tous vos domaines et sous-domaines actifs, y compris les actifs oubliés ou orphelins. Vos plages d'adresses IP, vos certificats TLS et leur état d'expiration. Vos serveurs web, passerelles API, balanceurs de charge et CDN. Les technologies détectées avec leurs numéros de version précis, qu'il s'agisse de CMS, de frameworks applicatifs ou de serveurs web.

Ce dernier point est particulièrement sensible : connaître qu'une organisation utilise une version précise d'un logiciel en production permet à un attaquant de cibler directement les CVE connues pour cette version, avant même que la DSI n'ait eu le temps d'appliquer le correctif.

2.2 Vos dépendances tiers exposées

L'EASM ne s'arrête pas à votre propre infrastructure. Il documente également vos dépendances tiers visibles depuis l'extérieur : les services SaaS que vous utilisez et qui exposent des points d'entrée, vos prestataires cloud et leur configuration, les intégrations tierces avec des interfaces accessibles. En 2024, selon le Verizon DBIR, 15 % des violations ont impliqué un tiers comme vecteur initial d'attaque. La cartographie de ces dépendances est donc une information d'une valeur stratégique considérable.

2.3 Le shadow IT et les actifs orphelins

C'est souvent la découverte la plus révélatrice pour les équipes sécurité. L'EASM détecte les services déployés sans validation de la DSI : instances cloud créées par des équipes métiers, outils SaaS utilisés sans inventaire central, environnements de développement jamais désactivés après la fin d'un projet. En 2025, 35 % des incidents de sécurité en entreprise impliquaient un outil non autorisé par la DSI. Ces actifs sont les cibles les plus faciles pour un attaquant, précisément parce qu'ils bénéficient rarement des cycles de supervision et de patching.

2.4 Les vulnérabilités, mauvaises configurations et données de threat intelligence

L'EASM identifie les services exposés sans authentification, les ports ouverts inutilement, les configurations TLS obsolètes, les credentials exposés dans des dépôts publics, les fichiers de configuration accessibles. Il intègre également des données de threat intelligence : mentions de vos domaines sur des forums d'attaquants, credentials compromis liés à vos actifs, indicateurs de compromission ciblant spécifiquement votre organisation.

3. Cloud Act et FISA Section 702 : le risque que vos fournisseurs ne peuvent pas effacer

Ce sujet est souvent traité avec légèreté dans les conversations commerciales. Il mérite d'être posé avec précision, sans recourir aux formulations vagues qui l'entourent habituellement.

3.1 Le Cloud Act : la localisation des données ne suffit pas

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act, 2018) permet aux autorités américaines, FBI, NSA, DOJ, d'exiger l'accès aux données stockées par des entreprises américaines, quel que soit le pays où ces données sont physiquement hébergées. L'élément déterminant n'est pas le lieu de stockage, mais la notion de contrôle : si une entité américaine, qu'il s'agisse d'une maison mère ou d'une direction, a la capacité juridique d'accéder aux données ou d'influencer une filiale étrangère, elle est tenue de les fournir sur demande des autorités américaines.

Stocker vos données EASM dans un datacenter français hébergé chez un prestataire américain ne vous protège pas du Cloud Act. Cette réalité est documentée, connue des autorités françaises et européennes, et régulièrement rappelée dans les avis de l'ANSSI et de la CNIL.

3.2 La section 702 du FISA : la collecte sans mandat

La section 702 du FISA (Foreign Intelligence Surveillance Act) est encore plus étendue. Elle autorise les agences de renseignement américaines à collecter, utiliser et partager des données de personnes non américaines stockées sur des serveurs gérés par des fournisseurs de services domiciliés aux États-Unis, sans encadrement judiciaire préalable, sans mandat. Les entreprises européennes et les administrations publiques, dont les données sont massivement stockées dans des clouds américains, tombent intégralement sous le coup de cette loi.

3.3 Les implications concrètes selon votre profil

Les conséquences varient selon la nature de votre organisation, mais elles sont concrètes dans tous les cas.

4. NIS2, DORA, RGPD : quand la réglementation change l'équation

Le cadre réglementaire français et européen s'est considérablement durci depuis 2022. Et il converge vers une exigence commune : la maîtrise documentée du risque lié aux prestataires et aux outils numériques. Ce mouvement transforme le choix d'une solution EASM d'une décision technique en une décision de conformité.

4.1 NIS2 et la loi Résilience française

La directive NIS2 représente un changement de paradigme structurel par rapport à NIS1 : il ne s'agit plus de protéger ~500 infrastructures critiques, mais d'assurer la résilience de quelque 15 000 entités qualifiées d'essentielles ou d'importantes. Cette extension massive du périmètre concerne désormais des organisations de taille moyenne dans des secteurs aussi variés que les transports, la distribution d'eau, les services numériques ou les infrastructures hospitalières.

En France, la transposition s'effectue via le projet de loi Résilience. Adopté en première lecture au Sénat le 15 octobre 2024, validé par la commission spéciale de l'Assemblée nationale à l'unanimité en septembre 2025, ce texte n'était toujours pas inscrit à l'ordre du jour de l'Assemblée nationale en mars 2026. La date désormais évoquée est juillet 2026, ce qui expose la France à un risque d'amende de l'Union européenne pour retard de transposition. Ce délai législatif ne modifie pas la réalité opérationnelle : NIS2 est applicable en droit européen depuis octobre 2024, et ses obligations en matière de gestion des risques liés aux prestataires sont explicites.

4.2 DORA pour le secteur financier

Le règlement DORA (Digital Operational Resilience Act), entré en application en janvier 2025, s'applique à l'ensemble du secteur financier européen : banques, assurances, sociétés d'investissement, gestionnaires d'actifs, prestataires de paiement. Il impose des exigences détaillées sur la résilience opérationnelle numérique et, spécifiquement, sur la maîtrise des risques liés aux prestataires tiers de services TIC (technologies de l'information et de la communication).

Pour les RSSI du secteur financier, le choix d'une solution EASM n'est donc plus seulement un choix technique : il doit s'inscrire dans un cadre de gestion des risques tiers formalisé, documenté et auditable. L'extraterritorialité des données confiées à un prestataire étranger constitue un risque tiers que DORA oblige à traiter et à documenter.

4.3 RGPD et la sécurité des données collectées par l'EASM

Un outil EASM collecte des données sur votre infrastructure, mais pas exclusivement. Il peut également relever des informations liées à des personnes physiques : adresses email institutionnelles présentes dans des fuites de données, identifiants dans des registres publics, données exposées via des APIs mal configurées. Ces éléments entrent dans le périmètre du RGPD.

La CNIL a enregistré 5 629 violations de données personnelles en 2024, soit +20 % par rapport à 2023. Choisir un outil EASM dont les données sont potentiellement accessibles à des autorités étrangères sans votre consentement constitue une exposition RGPD supplémentaire que vos équipes juridiques ne peuvent pas ignorer.

5. SecNumCloud et labels souverains : le bouclier juridique qui existe déjà

La réponse française à ces risques extraterritoriaux existe. Ce n'est pas une promesse à venir ni un projet en cours d'élaboration : c'est la qualification SecNumCloud de l'ANSSI, opérationnelle depuis 2016 et dont la version 3.2 constitue aujourd'hui la référence en matière de souveraineté numérique.

5.1 Ce que garantit SecNumCloud 3.2

Dans sa version la plus récente, le référentiel SecNumCloud impose l'application exclusive du droit européen au fournisseur qualifié et exclut structurellement toute loi extraterritoriale américaine. SecNumCloud fait donc obstacle au Cloud Act et à la loi FISA en leur empêchant de s'appliquer, non pas par une promesse contractuelle, mais par une contrainte juridique et organisationnelle vérifiée et auditée par l'ANSSI.

Cette qualification va bien au-delà d'une certification technique. Elle porte sur le contrôle effectif des opérations et des données : structure capitalistique, nationalité des personnes ayant accès aux données, localisation des sauvegardes, procédures en cas de demande d'une autorité étrangère. Un éditeur qualifié SecNumCloud ne peut pas, structurellement, transmettre vos données à une autorité non-européenne sans votre accord explicite.

5.2 Les questions à poser à tout éditeur EASM

Pour les organisations qui ne seraient pas encore dans le périmètre de SecNumCloud, d'autres indicateurs permettent d'évaluer la souveraineté réelle d'un éditeur. Ces questions doivent être posées explicitement, à l'écrit, et les réponses doivent être contractuellement garanties :

• L'entité juridique de l'éditeur est-elle française ou européenne, sans lien de contrôle capitalistique avec un acteur américain ?
• Les données collectées sont-elles hébergées exclusivement en France ou dans l'Union européenne ?
• Le contrat exclut-il explicitement toute soumission à des lois extraterritoriales non-européennes ?
• L'éditeur peut-il fournir une analyse juridique formelle sur sa non-soumission au Cloud Act et au FISA Section 702 ?
• Quelles sont les procédures en place en cas de demande d'une autorité étrangère ?

Un éditeur français indépendant, hébergeant ses données en France, répond structurellement à ces critères sans avoir à construire des montages juridiques complexes pour contourner des contraintes légales auxquelles il n'est tout simplement pas soumis.

5.3 Beareye : une réponse souveraine pour le marché français

La plateforme Beareye, développée par BEAROPS, opère depuis une infrastructure 100 % française, sous droit français. Ses clients bénéficient des garanties d'immunité extraterritoriale que les éditeurs américains ne peuvent pas offrir, combinées aux capacités techniques requises pour une gestion moderne de la surface d'attaque externe : découverte automatisée des actifs, priorisation par exploitabilité réelle, intégration avec les modules VMDR, CAASM et TPRM.

6. Six critères concrets pour choisir votre solution EASM en 2026

Évaluer une solution EASM en 2026 demande de dépasser la comparaison des fonctionnalités techniques pour intégrer des dimensions légales, opérationnelles et stratégiques. La souveraineté est l'un des six critères, pas le seul. Voici le cadre d'évaluation que nous recommandons.

6.1 La dimension opérationnelle : ce que le comparatif technique ne capture pas

Le choix d'un éditeur EASM comporte une dimension opérationnelle quotidienne que les benchmarks techniques passent souvent sous silence.

Le support en français, dans votre fuseau horaire. Une cyberattaque n'attend pas. Quand votre outil EASM remonte un incident critique un vendredi soir, vous avez besoin d'un interlocuteur joignable, compétent et qui comprend immédiatement le contexte réglementaire. Un SLA de quatre heures avec un éditeur américain peut signifier que le ticket sera traité quand votre équipe reprend le travail le lundi matin.

La compréhension du contexte réglementaire français. NIS2, DORA, RGPD, SecNumCloud, les recommandations spécifiques de l'ANSSI : ces référentiels ont des subtilités que seul un acteur opérant depuis la France maîtrise en profondeur. Les cycles de reporting, la qualification des incidents selon les catégories françaises, les obligations de notification à la CNIL : un éditeur local vous accompagnera naturellement sur ces sujets, là où un éditeur américain vous laissera seul face à ces spécificités.

La flexibilité contractuelle et la pérennité de la relation. Les PME et ETI françaises ont des besoins qui ne s'inscrivent pas toujours dans les cases des contrats standardisés des grands éditeurs américains. Un éditeur souverain de taille humaine offre généralement une capacité d'adaptation contractuelle et de co-construction qui n'existe pas chez les acteurs globaux dont vous n'êtes pas parmi les premiers clients. Il y a également un enjeu de maîtrise du risque de dépendance : les changements tarifaires, les acquisitions, les décisions de fin de vie d'un produit chez un grand éditeur américain sont des facteurs sur lesquels vous n'avez aucun levier. Une relation avec un éditeur français souverain maintient une capacité d'influence et de négociation réelle.