EASM européen, sous droit UE : ce que la souveraineté
change vraiment

Deux plateformes EASM peuvent rendre le même service technique et diverger sur un point qu'on examine souvent trop tard : où atterrit la donnée qu'elles produisent sur vous, et sous quelle loi. Cette donnée, l'inventaire de vos actifs exposés et de leurs failles classées par exploitabilité, compte parmi les plus sensibles que votre système d'information génère. La confier, c'est déjà choisir une juridiction, avant même de choisir un fournisseur.

Le mot souverain est devenu un argument de plaquette, collé sur des offres qui ne partagent ni le même hébergement, ni le même droit applicable, ni la même chaîne de sous-traitance. Il recouvre en réalité trois questions distinctes qu'on peut poser une par une. Si l'outil lui-même est encore neuf pour vous, commencez par notre guide de l'EASM et de son fonctionnement, qui pose le vocabulaire avant qu'on ne parle juridiction.

La donnée qu'une plateforme EASM concentre sur vous

Un scanner de vulnérabilités classique regarde une machine que vous lui désignez. Un EASM part de trois fois rien, un nom de domaine, une marque, un ASN, et reconstitue seul tout ce que vous exposez, du point de vue de l'attaquant. Le résultat dépasse la liste de serveurs. Il tient en deux volets, et c'est leur combinaison qui pèse : l'inventaire complet des actifs exposés (chaque sous-domaine, chaque IP, chaque service, y compris le shadow IT que votre CMDB ignore) et les faiblesses priorisées (pour chaque actif, les CVE corrélées, les versions vulnérables, triées par exploitabilité).

Corrélés et hiérarchisés, ces deux volets forment un mode opératoire déjà priorisé : par où entrer, dans quel ordre, sur quel actif. Si cette base de données fuite, ou si un tiers y accède par une porte légale que vous n'aviez pas vue venir, vous n'avez pas perdu "des données". Vous avez remis à quelqu'un la notice de piratage de votre organisation. C'est ce qui justifie de regarder la question de la juridiction avant celle du prix.

"Datacenter en Europe" ne dit rien de la juridiction

Le réflexe commercial, quand vous soulevez la souveraineté : "Rassurez-vous, nos serveurs sont dans un datacenter en Irlande, en Allemagne, à Paris." C'est vrai, et ça ne règle que la première couche. La localisation physique des serveurs et la juridiction applicable sont deux choses distinctes. Ce qui décide, c'est le droit dont relève l'entité qui opère ces serveurs, pas le pays du rack.

Le CLOUD Act américain (2018) le dit sans détour : un fournisseur soumis au droit des États-Unis doit livrer aux autorités américaines les données qu'il détient, quel que soit l'endroit du monde où elles sont stockées. Une filiale européenne d'un groupe américain reste, via sa maison-mère, dans le champ de cette obligation. Le FISA 702 va dans le même sens côté renseignement, en autorisant la collecte auprès des fournisseurs de communications électroniques de droit américain. Un datacenter à Francfort n'éteint ni l'un ni l'autre : ces textes visent l'éditeur, pas le rack.

Ce n'est pas un fantasme juridique. En 2020, la Cour de justice de l'Union européenne a invalidé le Privacy Shield dans l'arrêt dit Schrems II, au motif que les programmes de surveillance américains ne garantissaient pas un niveau de protection équivalent à celui du droit européen. Un successeur est arrivé depuis, l'EU-US Data Privacy Framework adopté en juillet 2023. Mais ce cadre ne touche pas à l'extraterritorialité du CLOUD Act sur un éditeur de droit américain. La CNIL et l'ANSSI raisonnent dans cette logique : pour les données vraiment sensibles, la géographie ne dit pas tout, encore faut-il savoir qui peut être contraint d'y accéder, et selon quelle loi.

C'est exactement le critère qui départage les outils quand on les met côte à côte. Deux des plateformes les plus citées, Intruder (britannique) et Detectify (suédoise), illustrent bien que le débat ne se résume pas à "US contre UE" : un éditeur hors Union, même allié proche, applique son propre droit à vos données d'exposition, et le Royaume-Uni n'est plus dans l'UE depuis 2020.

RGPD, NIS2 : ce que le droit européen impose déjà

La souveraineté glisse peu à peu du registre de l'opinion vers celui de la conformité. Le RGPD encadre déjà les transferts de données hors UE et impose de documenter qui accède à quoi. Mais c'est surtout la directive NIS2 qui rebat les cartes pour des milliers d'organisations. Son article 21 impose des mesures de gestion des risques proportionnées, ce qui suppose en pratique de connaître et de gérer ses actifs exposés. Le lien entre les deux sujets est développé dans notre article sur l'EASM et la conformité NIS2.

NIS2 vous demande donc de gérer le risque sur votre surface exposée, un EASM le fait, et il concentre au passage la donnée la plus sensible que vous puissiez produire. La confier à un éditeur soumis à une loi extra-européenne revient à réinjecter du risque là où vous vouliez en retirer. Choisir un EASM sous droit européen ne relève pas du patriotisme économique : c'est éviter ce retour de bâton, et garder la maîtrise contractuelle de la donnée quand un régulateur, un assureur ou un client grand compte demandera qui y a accès.

"Souverain" : ce que le mot garantit, et ce qu'il ne garantit pas

En France, un mot a un sens précis pour ce sujet, et ce n'est pas "souverain" employé seul. Le référentiel SecNumCloud de l'ANSSI formalise des critères d'immunité aux lois extra-européennes, d'hébergement et d'opération dans l'Union, et de contrôle du capital de l'éditeur. Une offre qualifiée SecNumCloud a fait vérifier ces points par un tiers accrédité ; une offre qui se dit seulement "souveraine" ne s'est engagée sur rien de vérifiable. Des hébergeurs qualifiés comme OVHcloud, Scaleway ou 3DS Outscale s'y conforment, mais la qualification porte sur une offre précise, pas sur une entreprise en bloc.

À l'échelle européenne, le schéma de certification cloud EUCS est encore en discussion, et son niveau le plus élevé pourrait ou non reprendre les critères d'immunité juridique de SecNumCloud, selon l'issue des arbitrages. Autrement dit, la brique qui rendrait le mot "souverain" opposable à l'échelle de l'Union n'existe pas encore de façon stabilisée. En attendant, le seul cadre national qui vérifie réellement l'immunité aux lois extra-européennes reste SecNumCloud, et il ne concerne qu'une poignée d'offres. Prudence, donc, devant une plateforme qui vend la souveraineté comme un acquis plutôt que comme une liste de garanties écrites.

Autant l'écrire clairement plutôt que d'en faire un argument creux : l'EASM own2pwn n'est pas qualifié SecNumCloud. Ce qu'on peut affirmer sans marketing tient en trois points vérifiables. L'outil est édité par une société française, THE HIVE, une SASU de droit français, donc hors du champ direct du CLOUD Act. Les données et les traitements sont hébergés dans l'Union européenne, en Allemagne, et non chez un hyperscaler de droit américain. Et le droit applicable au contrat est celui d'un État membre. C'est "sous droit UE", pas "souverain qualifié", et la nuance est honnête.

Les critères à exiger par contrat, chez n'importe quel fournisseur

Puisque le mot ne veut plus rien dire tout seul, il faut le remplacer par une grille écrite, opposable, que vous posez au fournisseur avant de signer. Voici ce qui sépare une vraie garantie d'un habillage :

• Éditeur et maison-mère de droit européen : la société qui opère l'outil, et l'entité qui la contrôle, relèvent du droit d'un État membre. C'est le critère qui neutralise le CLOUD Act, celui que la localisation des serveurs ne remplace pas.
• Hébergement et traitements dans l'UE : les données, les traitements et les sauvegardes restent sur des infrastructures situées dans l'Union. Pas juste le front-end : tout le pipeline, y compris les logs et les scans stockés.
• Chaîne de sous-traitance nommée : pas de brique d'IA, de stockage ou de monitoring déléguée en douce à un service extra-européen. La liste des sous-traitants et leurs régions doit figurer au contrat, car la fuite se fait souvent par un maillon, pas par l'éditeur principal.
• Transparence écrite sur la localisation : l'éditeur nomme ses hébergeurs, ses régions, ses sous-traitants, et l'inscrit dans le contrat. "Vos données sont en sécurité" sans nom d'hébergeur reste un slogan.
• Scans non-intrusifs compatibles production : la juridiction ne sert à rien si l'outil casse ce qu'il observe. Un EASM sérieux cartographie et corrèle sans marteler vos services, pour tourner en continu sur du vrai trafic.

Ces critères se comparent d'un outil à l'autre, et c'est exactement l'objet de notre comparatif des plateformes EASM du marché, qui met les offres face à leur grille de critères plutôt qu'à leur plaquette.

Réversibilité : sortir sans laisser la carte derrière soi

Un critère revient rarement dans les argumentaires souveraineté, alors qu'il conditionne tout le reste : que devient la donnée le jour où vous partez ? Une carte de surface d'attaque n'a pas de raison de survivre à la fin du contrat sur les serveurs de l'éditeur. Le contrat doit donc prévoir trois choses. La portabilité, c'est-à-dire l'export de vos actifs et de vos findings dans un format ouvert, exploitable ailleurs. L'effacement à la résiliation, avec un délai borné et, pour les organisations qui l'exigent, une attestation de suppression. Et la durée de conservation des logs et des sauvegardes, qui prolonge silencieusement la vie de la donnée bien au-delà de la fin d'abonnement si personne ne l'a écrite.

Les entités financières connaissent déjà cette logique : le règlement DORA impose de tenir un registre des prestataires informatiques avec, pour chacun, la localisation des données et le plan de sortie prévu. Rien n'empêche une organisation hors secteur financier de reprendre la même discipline pour un outil qui concentre autant d'informations sensibles. Un fournisseur qui refuse d'écrire ces clauses vous dit quelque chose d'utile avant même la signature.

La vraie question n'est pas de savoir si un fournisseur écrit "souverain" sur sa page d'accueil, mais s'il accepte de mettre par écrit qui peut être contraint d'accéder au plan de vos faiblesses. Pour voir ce que donne cette approche sur votre propre périmètre, la plateforme EASM own2pwn cartographie votre surface d'attaque à partir d'un simple nom de domaine, sous droit européen, sans laisser le plan de vos faiblesses sortir de l'Union.

Questions fréquentes sur l'EASM et la souveraineté