Logiciel de cybersécurité français : NIS 2, qualifications ANSSI et comment choisir
Publié le 2026-10-15 · mis à jour le 2026-10-15
En bref : la directive NIS 2 n’est pas encore transposée en droit français, mais le sujet pèse déjà sur les achats. Le vrai travail de l’acheteur est de distinguer ce qui est certifié ou qualifié par l’ANSSI de ce qui est seulement affiché sur un site, et un produit d’un hébergement. Voici l’état du texte, les repères pour lire un label, et les éditeurs de cybersécurité français déjà vérifiés dans le catalogue.
Où en est NIS 2 en France ?
La directive européenne NIS 2 devait être transposée par chaque État membre avant le 17 octobre 2024. En France, c’est le projet de loi Résilience qui doit la transposer. D’après la Banque des Territoires, qui rapporte l’audition du directeur général de l’ANSSI par la commission des affaires économiques du Sénat le 8 juillet 2026, le texte n’avait pas encore été examiné : la ministre du Numérique espérait une discussion « en septembre » sans pouvoir la garantir. Le même jour, la Commission européenne a saisi la Cour de justice de l’Union européenne d’un recours contre la France, avec l’Irlande, l’Espagne et les Pays-Bas, pour défaut de transposition.
Le changement d’échelle explique l’enjeu. L’ANSSI indique ne pouvoir aujourd’hui imposer des règles qu’à environ 300 opérateurs d’importance vitale ; NIS 2 élargirait le champ à environ 20 000 entités, dont 1 500 collectivités. En attendant, l’agence a publié le 17 mars 2026 un référentiel de cybersécurité (ReCyF) présenté comme « par défaut non-obligatoire ».
Ce que cela change pour un achat aujourd’hui : aucune obligation nouvelle de NIS 2 ne s’impose encore par la loi française, mais un donneur d’ordre peut déjà l’exiger dans un contrat ou un appel d’offres. Mieux vaut choisir un outil qui documente sa conformité que découvrir l’exigence au moment de la signature. Cette page sera mise à jour à l’adoption du texte.
À retenir
- NIS 2 n’était pas transposée en France en juillet 2026 ; la Commission européenne a saisi la CJUE le 8 juillet 2026. Vérifier l’état du texte avant de décider.
- Le champ passerait d’environ 300 opérateurs à environ 20 000 entités, selon le directeur général de l’ANSSI.
- Une certification CSPN se vérifie sur le certificat : version évaluée, configuration, date, validité de trois ans.
- SecNumCloud qualifie un hébergement, jamais le logiciel qui y tourne.
Lire une certification ou une qualification sans se tromper
Trois mentions reviennent sur les sites d’éditeurs, et elles ne disent pas la même chose.
La CSPN (certification de sécurité de premier niveau) évalue un produit. Chaque certificat de l’ANSSI précise qu’il s’applique uniquement à une version donnée dans sa configuration évaluée, et qu’il est valable trois ans à compter de la signature. Une mention « certifié CSPN » qui ne cite ni version ni date mérite une vérification.
SecNumCloud qualifie un fournisseur de cloud, donc l’endroit où le service est hébergé. Un éditeur dont le service tourne chez un hébergeur qualifié ne peut pas en déduire que son produit est qualifié. Le catalogue le signale fiche par fiche : par exemple, Sekoia.io propose une région d’hébergement sur une infrastructure OVHcloud qualifiée SecNumCloud, tandis qu’Oodrive (catégorie stockage et partage) propose un cloud privé qualifié SecNumCloud pour des documents sensibles. Pour le cadre général, voir le guide sur le cloud souverain et SecNumCloud.
Un visa ou une qualification de produit est une reconnaissance distincte, que quelques éditeurs mettent en avant : HarfangLab revendique un visa de sécurité de l’ANSSI, Gatewatcher propose en option un système de détection qualifié ANSSI destiné aux opérateurs d’importance vitale, Wallix un produit certifié CSPN. À l’inverse, la fiche du gestionnaire de mots de passe UpSignOn note qu’une certification ANSSI annoncée comme imminente en 2022 n’a laissé aucune preuve publique de certification CSPN : le catalogue consigne ce qui est démontré, pas ce qui est annoncé.
Ce que montre le catalogue sur 40 éditeurs de cybersécurité
Sur les 40 outils rattachés à la catégorie, la transparence est inégale :
- Hébergement des données : 10 éditeurs l’indiquent en France, 6 dans l’Union européenne, 2 sont déployés sur site chez le client, et 22 ne le communiquent pas.
- Tarifs : 6 affichent un prix public, les 34 autres fonctionnent sur devis ou sans indication.
- Version gratuite ou open source : 7 outils, dont CrowdSec, Filigran (OpenCTI), GitGuardian et StrangeBee (TheHive, édition Community).
- Conformité déclarée : 18 fiches mentionnent le RGPD, 22 ne mentionnent aucune conformité vérifiée.
- Nationalité de l’éditeur : 39 éditeurs sont français ; Odaseva est classé franco-étranger (entité française, opérations à San Francisco), un cas que le catalogue ne masque pas.
Le déficit d’information sur l’hébergement est le point le plus utile à retenir : près d’un éditeur sur deux ne le précise pas, alors que c’est la première question d’un responsable conformité.
Les éditeurs français par fonction
Détecter et répondre aux attaques
| Outil | Positionnement | Tarif |
|---|---|---|
| Tehtris | Plateforme XDR/EDR française, éditée à Paris, reprise par le fonds Jolt Capital après un redressement judiciaire en 2026 (les faits) | Non communiqué |
| HarfangLab | EDR/EPP/ASM avec moteurs IA propriétaires, visa de sécurité ANSSI revendiqué | Non communiqué |
| Sekoia.io | Plateforme SOC SaaS : SIEM, renseignement sur la menace, agents IA ; hébergement France ou SecNumCloud au choix | Non communiqué |
| Nucleon Security | EDR cloud native, approche Zero Trust | Non communiqué |
| Gatewatcher | Détection et réponse réseau (NDR), sondes déployées chez le client | Non communiqué |
| Qevlar AI | Agents IA autonomes qui enquêtent sur les alertes d’un SOC | Non communiqué |
| StrangeBee | TheHive : gestion collaborative des incidents, édition Community gratuite | Gratuit (Community) |
| Mindflow | Automatisation no-code (SOAR) pour équipes IT et cybersécurité | Sur devis |
Surveiller l’exposition et la menace
| Outil | Positionnement | Tarif |
|---|---|---|
| Patrowl | Gestion continue de la surface d’attaque exposée et pentest automatisé ; pentesteurs avec expertise PASSI mise en avant | Non communiqué |
| CybelAngel | Renseignement sur la menace externe et détection de fuites de données | Sur devis |
| Board of Cyber | Notation cyber continue et non intrusive d’une organisation et de ses tiers | Non communiqué |
| Filigran | Suite open source OpenCTI et OpenAEV : exploitation du renseignement et simulation d’attaques | 0 € (open source) |
| CrowdSec | Détection et blocage d’adresses IP malveillantes, alimenté par des signaux mutualisés | 0 € |
| GitGuardian | Détection des secrets exposés dans le code (clés API, mots de passe) | Non communiqué, version gratuite |
| SitinCloud | Sécurité des ERP : tests d’intrusion dédiés et renseignement sur la menace | Non communiqué |
Gérer les identités, les accès et les certificats
| Outil | Positionnement | Tarif |
|---|---|---|
| Wallix | Gestion des accès à privilèges (PAM) et des identités, produit phare certifié CSPN | Sur devis |
| Memority | Gouvernance des identités et des accès (IAM) | Sur devis |
| Corma | Gouvernance des accès et des licences logicielles, détection du Shadow IT | 3 €/mois par utilisateur, version gratuite |
| Evertrust | PKI et gestion du cycle de vie des certificats numériques | Sur devis |
| ShareID | Vérification d’identité et authentification forte, conforme eIDAS 2.0 | Non communiqué |
| Certigna | Autorité de certification : certificats d’identité, SSL, cachets | Dès 40 € |
Former les équipes et sécuriser la messagerie
| Outil | Positionnement | Tarif |
|---|---|---|
| Mailinblack | Filtrage anti-phishing et anti-spam, sensibilisation ; éditeur marseillais | Sur devis |
| Conscio Technologies | Sensiwave : sensibilisation et tests de phishing, plus de 150 modules | Sur devis |
| Hucency | Cybersécurité centrée sur le facteur humain (ex-Avant de Cliquer) | Sur devis |
| LePhish | Simulation de phishing, plus de 30 scénarios localisés ; essai gratuit de 30 jours | Sur devis |
| Secuserve | Messagerie sécurisée : chiffrement d’e-mails, filtrage anti-spam | Non communiqué |
Chiffrer et protéger les données
Cosmian (gestion de clés, chiffrement post-quantique, calcul confidentiel), Zama (chiffrement homomorphe open source), KeeeX (preuves d’intégrité injectées dans les fichiers), Beemo Technologie (sauvegarde hybride hébergée en France) et Odaseva (protection des données Salesforce) couvrent des besoins plus ciblés. Des outils plus proches de la lutte antifraude ou de la modération complètent la catégorie : DataDome (protection anti-bots), Bodyguard.ai (modération de contenu), Pradeo (sécurité mobile) et Egerie (pilotage du risque et de la conformité, dont NIS 2 et DORA).
Les erreurs fréquentes à éviter
Prendre « hébergé sur un cloud SecNumCloud » pour « produit qualifié ». Ce sont deux qualifications distinctes, l’une concerne le fournisseur de cloud, l’autre le logiciel.
Accepter une mention CSPN sans consulter le certificat. Version évaluée, configuration et date de signature décident de ce que la certification couvre réellement.
Comparer des tarifs qui n’existent pas. Sur 34 outils sur 40, aucune grille publique : demandez le périmètre exact (nombre de postes, de sources, d’utilisateurs) avant de comparer deux devis.
Ignorer l’hébergement faute de le trouver. Quand un éditeur ne le communique pas, la fiche l’indique « non communiqué » : posez la question par écrit avant la signature.
Attendre la loi pour s’équiper. Même sans obligation française à ce jour, un donneur d’ordre peut déjà exiger des garanties de sécurité de ses prestataires.
Pour comparer les 40 éditeurs fiche par fiche, hébergement, tarifs et points de vigilance à l’appui, direction la catégorie Cybersécurité.
Questions fréquentes
La directive NIS 2 s'applique-t-elle déjà aux entreprises françaises ?
Pas encore en droit français, d'après les sources consultées le 15 octobre 2026. La directive devait être transposée avant le 17 octobre 2024. En France, le projet de loi Résilience, qui la transpose, n'était toujours pas adopté en juillet 2026, et la Commission européenne a saisi la Cour de justice de l'Union européenne le 8 juillet 2026 contre la France pour défaut de transposition. Vérifiez l'état du texte sur Légifrance avant toute décision, car il peut avoir avancé depuis.
Combien d'entreprises seront concernées par NIS 2 en France ?
Selon Vincent Strubel, directeur général de l'ANSSI, auditionné par le Sénat le 8 juillet 2026, l'agence ne peut aujourd'hui imposer des règles qu'à environ 300 opérateurs d'importance vitale, et NIS 2 élargirait ce champ à environ 20 000 entités, dont 1 500 collectivités. D'autres sources citent environ 15 000 entités : l'ordre de grandeur est de plusieurs dizaines de fois le périmètre actuel.
Que signifie CSPN pour un logiciel de cybersécurité ?
La certification de sécurité de premier niveau (CSPN) est délivrée par l'ANSSI à l'issue d'une évaluation menée par un laboratoire agréé. Le certificat ne vaut que pour la version précise du produit, dans la configuration évaluée, et reste valable trois ans à compter de sa signature. Une mention « certifié CSPN » sur un site doit donc se vérifier sur le certificat lui-même : numéro, version évaluée, date.
Un logiciel hébergé sur un cloud SecNumCloud est-il lui-même qualifié ?
Non. SecNumCloud est une qualification de l'offre d'hébergement cloud, pas du logiciel qui tourne dessus. Un éditeur peut héberger son service sur une infrastructure qualifiée SecNumCloud sans que son produit ait reçu la moindre certification de l'ANSSI. La fiche de chaque outil du catalogue distingue les deux cas.
Quelle différence entre EDR, XDR, SIEM et SOC ?
Un EDR surveille et protège les postes et serveurs. Un XDR étend cette détection à d'autres sources (réseau, messagerie, cloud). Un SIEM centralise et corrèle les journaux de tous les systèmes. Un SOC est l'équipe, interne ou externalisée, qui exploite ces outils pour traiter les alertes. Plusieurs éditeurs français vendent le logiciel seul, d'autres la plateforme et l'équipe qui la surveille.
Les outils de cybersécurité français affichent-ils leurs prix ?
Rarement. Sur les 40 outils de la catégorie, 6 seulement affichent un tarif public, et 7 proposent une version gratuite ou open source (CrowdSec, Filigran, GitGuardian, Corma, KeeeX, Zama, StrangeBee). Les 34 autres fonctionnent sur devis ou n'indiquent aucun prix : prévoir une démonstration avant de pouvoir comparer deux offres.
Sources : La directive NIS 2 (ANSSI) (consulté le 2026-10-15) · Retard de NIS 2 : l'Anssi en attente de ses pouvoirs de gendarme (Banque des Territoires, 9 juillet 2026) (consulté le 2026-10-15) · Directive (UE) 2022/2555 dite NIS 2 (EUR-Lex) (consulté le 2026-10-15) · Exemple de certificat ANSSI CSPN : durée de validité, version et configuration évaluées (ANSSI) (consulté le 2026-10-15)