Solution de simulation phishing souveraine : pourquoi ça compte

Quand une entreprise lance une campagne de simulation phishing, elle collecte des données que la plupart des dirigeants sous-estiment : qui a cliqué, qui a saisi ses identifiants, qui a signalé le mail, qui n’a rien fait. En croisant ces résultats avec les départements, les niveaux hiérarchiques et l’ancienneté, on obtient une cartographie comportementale précise de la vulnérabilité humaine de l’organisation.

Ces données sont sensibles. Pas au sens vague du terme — sensibles au sens juridique, réglementaire, stratégique. Et la question de savoir où elles sont stockées, par qui, et sous quelle juridiction, n’est pas une coquetterie souverainiste : c’est un enjeu concret de conformité et de sécurité.

Cet article examine pourquoi le choix d’une solution cybersécurité française (ou à minima européenne) pour la simulation phishing n’est pas un réflexe protectionniste, mais une décision technique et juridique argumentée. Nous aborderons le cadre réglementaire (RGPD, CLOUD Act, Schrems II), les qualifications françaises (SecNumCloud, label France Cybersecurity), les limites pratiques des solutions américaines pour les PME françaises, et le panorama des alternatives souveraines en 2026.

Les données de simulation phishing : un cas particulier

Ce que révèle une campagne de simulation

Une campagne de simulation phishing ne se résume pas à un taux de clic agrégé. Les plateformes modernes collectent, pour chaque collaborateur :

L’ouverture de l’email (timestamp, device, localisation IP)
Le clic sur le lien (temps de réaction, navigateur utilisé)
La saisie d’identifiants sur la landing page (avec ou sans identifiants réels)
Le signalement (ou l’absence de signalement) via le bouton de report intégré
Le parcours post-clic : a-t-il complété le micro-learning de remédiation, en combien de temps, avec quel score

En cumulant ces données sur plusieurs campagnes mensuelles, on obtient un profil de risque individuel : Marie du service comptabilité clique systématiquement sur les scénarios de type « facture fournisseur », Jean-Pierre de la direction ne signale jamais les emails suspects, l’équipe commerciale a un taux de clic 3 fois supérieur à la moyenne.

La qualification juridique sous le RGPD

Ces données sont des données personnelles au sens de l’article 4 du RGPD : elles se rapportent à des personnes physiques identifiées (les salariés). Mais elles vont plus loin. L’article 22 du RGPD encadre spécifiquement les décisions individuelles automatisées, y compris le profilage. Une plateforme de simulation qui attribue automatiquement un score de risque à chaque employé et déclenche des parcours de formation différenciés selon ce score effectue, de fait, un profilage comportemental.

L’article 35 du RGPD impose une analyse d’impact relative à la protection des données (AIPD) lorsqu’un traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ». La CNIL classe explicitement la « surveillance systématique des employés » et le « profilage à grande échelle » parmi les traitements nécessitant une AIPD (liste publiée en application de l’article 35.4, mise à jour en 2024).

Concrètement : les données de simulation phishing ne sont pas des données anodines. Elles se situent dans une zone grise entre données professionnelles classiques et profilage comportemental. Et cette qualification a des conséquences directes sur le choix du prestataire qui les héberge et les traite.

Pour approfondir les obligations RGPD liées à la sensibilisation phishing, consultez notre page conformité RGPD.

Le problème juridique : CLOUD Act, FISA 702 et Schrems II

L’extraterritorialité du droit américain

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), promulgué en mars 2018, autorise les autorités fédérales américaines (FBI, DOJ, NSA) à exiger d’un fournisseur de services américain la production de données stockées à l’étranger. Le texte est sans ambiguïté : il s’applique indépendamment de la localisation physique des serveurs.

En parallèle, la section 702 du FISA (Foreign Intelligence Surveillance Act), renouvelée en avril 2024 pour quatre ans, autorise la NSA à collecter les communications de personnes non américaines stockées chez des fournisseurs de services électroniques américains, sans mandat individuel et sans notification aux personnes concernées.

La combinaison de ces deux textes signifie qu’un fournisseur SaaS de droit américain — même s’il héberge vos données à Dublin, Francfort ou Amsterdam — peut être contraint de transmettre ces données aux autorités américaines, en toute légalité au regard du droit américain, et en violation du RGPD au regard du droit européen.

L’arrêt Schrems II et ses conséquences

Le 16 juillet 2020, la Cour de justice de l’Union européenne (CJUE) a invalidé le Privacy Shield dans l’arrêt Schrems II (affaire C-311/18). Le raisonnement de la Cour est limpide : les programmes de surveillance américains (en particulier FISA 702 et l’Executive Order 12333) ne respectent pas les exigences du droit de l’UE en matière de proportionnalité, et les personnes concernées dans l’UE ne disposent pas de voie de recours effective.

En juillet 2023, le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework, ou DPF) est entré en vigueur, basé sur l’Executive Order 14086 signé par Joe Biden en octobre 2022. Ce nouveau cadre crée un mécanisme de recours (la Data Protection Review Court) et introduit des exigences de proportionnalité pour les agences de renseignement américaines.

Le DPF permet-il de clore le débat ? Les avis sont partagés :

La Commission européenne considère le DPF adéquat (décision d’adéquation du 10 juillet 2023).
Max Schrems et noyb ont annoncé un probable recours devant la CJUE, arguant que l’EO 14086 est un acte exécutif révocable, pas une loi, et que le mécanisme de recours ne satisfait pas aux exigences d’un tribunal indépendant au sens de l’article 47 de la Charte des droits fondamentaux de l’UE.
Le Comité européen de la protection des données (EDPB) a noté dans son avis 5/2023 que « des préoccupations subsistent » concernant la collecte en vrac et la définition de la proportionnalité.
Le Parlement européen a adopté en mai 2023 une résolution estimant que le DPF « ne crée pas une équivalence substantielle du niveau de protection ».

L’instabilité de ce cadre juridique est un facteur de risque concret. Toute entreprise qui s’appuie sur le DPF pour justifier un transfert de données vers un prestataire américain s’expose à une invalidation similaire à celle du Privacy Shield — avec les mêmes conséquences : illégalité rétroactive des transferts, obligation de suspension, et exposition aux sanctions de la CNIL.

Application aux données de simulation phishing

Revenons à notre cas spécifique. Quand une PME française utilise un outil de simulation phishing de droit américain (KnowBe4, Proofpoint SAT, Cofense), les données suivantes transitent vers ou sont accessibles par l’éditeur :

Les noms et adresses email de tous les collaborateurs
Leurs résultats individuels de simulation (taux de clic, taux de saisie d’identifiants)
Leurs scores de risque et profils comportementaux
L’organigramme implicite de l’entreprise (qui est dans quel département, quel est son niveau hiérarchique)

Ces données, en cas de réquisition CLOUD Act ou FISA 702, fourniraient à une agence de renseignement étrangère une carte de vulnérabilité humaine de l’organisation : quels employés sont susceptibles de cliquer sur un phishing, dans quels départements, avec quels types de scénarios. Pour une entreprise travaillant dans la défense, l’énergie, les télécoms ou le secteur public, cette information est une mine d’or pour un service de renseignement.

Pour une comparaison détaillée avec le leader américain du marché, consultez notre comparatif KnowBe4.

Les qualifications et labels français

SecNumCloud : le référentiel ANSSI

La qualification SecNumCloud, délivrée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information), certifie qu’un prestataire de cloud respecte un niveau élevé de sécurité technique et organisationnelle. La version 3.2 du référentiel, publiée en mars 2022, inclut une exigence de souveraineté : le prestataire qualifié ne doit pas être soumis à des législations extra-européennes (lecture directe : le CLOUD Act).

Qui est concerné ? La doctrine « Cloud au centre » de l’État français (circulaire du Premier ministre du 31 mai 2023, mise à jour en 2024) impose l’hébergement sur des solutions qualifiées SecNumCloud pour :

Les administrations publiques (traitant des données sensibles)
Les opérateurs d’importance vitale (OIV)
Les opérateurs de services numériques couverts par NIS2
Les entités traitant des données de santé (en combinaison avec la certification HDS)

Les prestataires qualifiés SecNumCloud en 2026 incluent OVHcloud, Outscale (Dassault Systèmes), NumSpot, et Scaleway (pour certains périmètres). Aucun hyperscaler américain (AWS, Azure, GCP) n’est qualifié SecNumCloud en propre — les offres « souveraines » type Bleu (Orange + Capgemini sous licence Microsoft) ou S3NS (Thales + Google) sont en cours de qualification.

Le label France Cybersecurity

Créé par l’Alliance pour la Confiance Numérique (ACN) avec le soutien de l’ANSSI et du ministère de l’Économie, le label France Cybersecurity identifie les solutions de cybersécurité françaises répondant à des critères de qualité. Moins exigeant que SecNumCloud (c’est un label, pas une qualification étatique), il signale néanmoins qu’un éditeur est de droit français, avec un siège en France et une chaîne de développement maîtrisée.

La certification HDS (Hébergeurs de Données de Santé)

Pour les entreprises du secteur santé (cliniques, laboratoires, mutuelles, prestataires), la certification HDS impose que les données de santé soient hébergées par un prestataire certifié. Les résultats d’une simulation phishing ne sont pas, en soi, des données de santé. Mais si la simulation cible les employés d’un établissement de santé et que les résultats sont croisés avec des informations relatives aux patients (organigramme des soignants, accès aux systèmes d’information hospitaliers), la frontière devient floue. Le principe de précaution pousse les DSI hospitaliers à exiger un hébergement HDS pour l’ensemble de leur stack de cybersécurité.

Les limites pratiques des solutions américaines pour les PME françaises

Au-delà du cadre juridique, l’utilisation d’une solution de simulation phishing américaine par une PME française pose des problèmes concrets qui relèvent de l’opérationnel quotidien.

Le contenu francophone : quantité versus qualité

KnowBe4 revendique plus de 25 000 templates de phishing et 1 300 modules de formation. Mais seuls 486 contenus sont disponibles en français (France) — soit moins de 2 % du catalogue. Ces traductions, réalisées par un prestataire externe, souffrent de trois défauts récurrents documentés dans les avis G2 :

Le décalage temporel. Les nouveaux scénarios (deepfake audio, vishing, QR code phishing) sont créés en anglais et traduits avec un retard de plusieurs mois. Pendant ce temps, vos campagnes utilisent des templates obsolètes qui ne reflètent pas les menaces réelles.

L’inadéquation culturelle. Un template de phishing imitant un avis de l’IRS (le fisc américain), une notification UPS ou un email de Bank of America est inutile pour tester un salarié français. Les scénarios pertinents en France impliquent la DGFIP, Chronopost, la Banque Postale, Ameli, les Impôts — des contextes que les éditeurs américains n’ont aucune raison de maîtriser.

Les erreurs linguistiques. Les traductions automatiques ou externalisées produisent des formulations correctes grammaticalement mais artificielles pour un locuteur natif. Or, l’un des indices que les employés apprennent à repérer dans un phishing est précisément la qualité linguistique douteuse. Si les templates de simulation sont déjà mal rédigés, l’exercice perd sa valeur pédagogique.

Pour une analyse détaillée de ce comparatif, consultez notre article KnowBe4 vs solutions françaises pour les PME.

Le support et la relation client

Une PME de 80 salariés avec un responsable IT à mi-temps n’a pas les mêmes besoins de support qu’un grand groupe américain avec une équipe SOC de 20 personnes. Or, les plateformes américaines structurent leur support autour de leur clientèle principale : les entreprises anglophones de plus de 500 employés.

Les conséquences pour une PME française : un support en anglais (ou un support francophone limité aux heures ouvrées US, décalé de 6 à 9 heures), une documentation technique non traduite, des webinaires et mises à jour produit annoncés en anglais, et une communauté d’utilisateurs quasi exclusivement anglophone. Quand un problème technique surgit un mardi matin à 9h à Lyon, l’équipe support est à 3h du matin à Clearwater, en Floride.

La complexité disproportionnée

Les grands éditeurs américains conçoivent leurs plateformes pour des organisations de 1 000 à 50 000 employés. Cette architecture se traduit par une interface surdimensionnée pour une PME : quatre niveaux tarifaires aux périmètres opaques, des dizaines de modules optionnels, un onboarding de plusieurs semaines, et un paramétrage initial qui nécessite un interlocuteur technique à temps plein.

Pour une PME de 50 personnes, la valeur d’un outil de simulation tient à sa simplicité de déploiement et d’utilisation au quotidien. Un outil puissant mais inutilisé est pire qu’un outil simple mais adopté.

Le panorama des solutions souveraines en 2026

Le marché français et européen de la simulation phishing s’est considérablement structuré depuis 2020. Voici un état des lieux factuel des principales alternatives à dominante souveraine.

nophi.sh : simulation + détection, hébergement français

nophi.sh est une plateforme de simulation phishing conçue spécifiquement pour les PME françaises de 25 à 250 salariés. Les données sont hébergées en France, sans transfert hors UE. La plateforme combine simulation de phishing et détection de phishing réel — un différenciateur technique par rapport aux outils qui se limitent à la simulation. Le contenu est nativement francophone, avec des scénarios contextualisés au marché français (Chronopost, DGFIP, Ameli, fournisseurs d’énergie). Déploiement en quelques minutes via Microsoft 365 ou Google Workspace.

Consultez les fonctionnalités détaillées ou lancez un test gratuit de sécurité email pour évaluer votre exposition.

Avant de Cliquer : l’acteur historique français

Avant de Cliquer est l’un des pionniers français de la sensibilisation par simulation phishing. Fondée à Rouen, l’entreprise est certifiée Qualiopi (formation professionnelle) et propose un catalogue de scénarios francophones nativement conçus pour le marché français. Le positionnement est plus orienté formation que technologie : la plateforme est utilisée par de nombreuses collectivités territoriales et ETI françaises. Point de vigilance : l’interface et les fonctionnalités d’automatisation sont moins avancées que celles des acteurs plus récents.

Mailinblack Cyber Coach (ex-Phishing Coach)

Mailinblack, éditeur marseillais historiquement positionné sur la protection email (filtrage anti-spam et anti-phishing), a développé Cyber Coach comme module complémentaire de sensibilisation. L’avantage : l’intégration native avec la brique de filtrage Mailinblack, ce qui permet de combiner protection technique et sensibilisation dans une seule interface. L’inconvénient : Cyber Coach est un module additionnel, pas un produit autonome. Il n’est pas conçu pour être utilisé indépendamment de la solution de filtrage.

Mantra / Cyber Guru : le franco-italien

Mantra, startup française fondée en 2020 par Gaspard Droz et Guillaume Charhon, a été acquise par Cyber Guru (Rome) en mars 2025. La technologie Smart Banners (bandeaux d’alerte injectés en temps réel dans les emails suspects) reste un différenciateur technique. L’entité combinée revendique 1 000+ organisations et 1,5 million d’utilisateurs. Depuis l’acquisition, la question de la souveraineté est plus nuancée : la maison-mère est italienne (donc européenne et non soumise au CLOUD Act), mais le centre de décision a migré hors de France.

SoSafe : le champion européen

SoSafe, fondé en 2018 à Cologne (Allemagne), s’est converti en Societas Europaea (SE) début 2025. L’entreprise revendique 5 000+ organisations clientes, un ARR de 53,7 millions de dollars en 2024, et un positionnement résolument pan-européen. SoSafe est un acteur sérieux avec un produit mature, mais son positionnement tarifaire et fonctionnel cible les ETI et les grands groupes (500+ employés). Pour une PME française de 50 personnes, le dimensionnement peut être excessif.

Souveraineté ne signifie pas qualité — et inversement

Il serait malhonnête de prétendre que toute solution française est mécaniquement supérieure à toute solution américaine. La souveraineté est un critère parmi d’autres, et certainement pas un blanc-seing.

Les critères qui comptent, souveraineté incluse

Une grille d’évaluation complète d’un outil de simulation phishing pour une PME française devrait inclure :

Qualité et pertinence des scénarios de phishing — les templates sont-ils réalistes, contextualisés au marché français, mis à jour régulièrement ?
Capacité de détection — la plateforme détecte-t-elle les vrais phishings en plus de simuler des faux ?
Reporting exploitable — les rapports sont-ils utilisables par un dirigeant non technique, exportables pour un auditeur ?
Simplicité de déploiement — peut-on lancer une première campagne en moins d’une heure ?
Contenu francophone natif — pas traduit, mais conçu en français dès l’origine ?
Souveraineté des données — hébergement France/UE, éditeur de droit français/européen, pas de transfert hors UE, pas de soumission au CLOUD Act ?
Conformité RGPD documentée — DPA disponible, sous-traitants transparents, AIPD réalisable ?
Support en français — réactif, compétent, dans le même fuseau horaire ?
Prix adapté aux PME — facturation claire, sans add-ons cachés, sans engagement disproportionné ?
Intégration technique — Microsoft 365, Google Workspace, SSO, API ?

La souveraineté intervient aux points 6, 7 et 8. Elle est nécessaire mais pas suffisante. Une solution française qui obtiendrait 10/10 en souveraineté mais 2/10 en qualité des scénarios serait un mauvais choix.

Le piège du « French-washing »

Certains éditeurs se positionnent comme « solutions françaises » sur la base d’un siège social en France, tout en sous-traitant le développement, l’hébergement ou le support à des entités hors UE. D’autres utilisent des composants cloud américains (AWS, Azure) qui, bien que localisés en Europe, restent opérés par des entreprises de droit américain.

Pour vérifier la réalité de la souveraineté d’une solution, quatre questions concrètes : (1) Où est le siège social et quelle est la structure capitalistique ? Un éditeur racheté par un fonds américain perd une partie de sa souveraineté. (2) L’hébergeur est-il soumis au CLOUD Act ? OVHcloud, Scaleway, Outscale : non. AWS, Azure, GCP : oui (même avec des serveurs en Europe). (3) Le DPA liste-t-il des sous-traitants hors UE ? (4) Le périmètre de traitement est-il documenté de manière transparente ?

Le secteur public et les OIV : des exigences renforcées

La doctrine « Cloud au centre »

Depuis la circulaire de 2021, renforcée en 2023 et 2024, l’État français impose aux administrations de recourir à des solutions cloud qualifiées SecNumCloud pour le traitement des données sensibles. Cette doctrine s’étend progressivement aux collectivités territoriales et aux établissements publics.

Pour un éditeur de sensibilisation phishing, cela signifie que les marchés publics exigent de plus en plus un hébergement SecNumCloud ou, à défaut, un hébergement sur des infrastructures françaises certifiées ISO 27001. Une PME qui travaille avec le secteur public (fournisseur, sous-traitant, partenaire) a intérêt à démontrer que sa propre chaîne d’outils respecte des standards équivalents.

NIS2 et la chaîne d’approvisionnement

La directive NIS2, transposée en droit français, impose aux entités couvertes (opérateurs de services numériques, fournisseurs de services numériques, entités des secteurs essentiels et importants) d’évaluer la sécurité de leur chaîne d’approvisionnement numérique. L’article 21 exige une « prise en compte de la cybersécurité des prestataires et fournisseurs directs ».

En pratique, une entreprise couverte par NIS2 qui utilise un outil de simulation phishing doit documenter :

Où sont hébergées les données
Quelles juridictions s’appliquent au prestataire
Quels mécanismes de transfert de données sont utilisés
Quel est le niveau de sécurité du prestataire (certifications, audits)

Un prestataire français hébergé en France simplifie radicalement cette documentation. Un prestataire américain hébergé en Irlande via AWS, soumis au CLOUD Act, avec des sous-traitants répartis sur trois continents, la complexifie considérablement — et expose l’entité à un risque de non-conformité en cas de contrôle.

Pour comprendre les obligations NIS2 en détail, consultez notre page NIS2.

Ce que disent les régulateurs

La CNIL et les transferts hors UE

La CNIL a rendu plusieurs décisions et recommandations sur les transferts de données vers les États-Unis post-Schrems II. En février 2022, elle a mis en demeure un gestionnaire de site web pour l’utilisation de Google Analytics, estimant que les données transférées aux États-Unis n’étaient pas suffisamment protégées — malgré les clauses contractuelles types (CCT) et les mesures supplémentaires invoquées par Google.

Si la CNIL considère que le transfert de données de navigation web (des données relativement peu sensibles) pose problème, la question se pose avec une acuité nettement supérieure pour des données de profilage comportemental en cybersécurité.

En 2024, la CNIL a prononcé 87 sanctions pour un total de 55,2 millions d’euros. Le défaut de sécurité des données personnelles figure parmi les trois premiers motifs de sanction. Le choix d’un prestataire soumis à des lois extraterritoriales pourrait être considéré comme un manquement à l’obligation de sécurité de l’article 32 du RGPD, s’il est démontré qu’il expose les données à un risque d’accès non autorisé.

L’ANSSI et la souveraineté numérique

L’ANSSI, dans son panorama de la cybermenace 2025, souligne que « la maîtrise de la chaîne de confiance numérique passe par la capacité des organisations à connaître et contrôler l’ensemble des maillons de leur infrastructure ». Cette position, sans nommer explicitement les éditeurs américains, milite clairement pour une approche souveraine des outils qui traitent des données sensibles.

L’EDPB et les mesures supplémentaires

Le Comité européen de la protection des données (EDPB) a publié ses recommandations 01/2020 (version 2.0, juin 2021) sur les mesures supplémentaires pour les transferts hors UE. Toute entreprise transférant des données vers un prestataire américain doit cartographier les transferts, évaluer si le droit du pays tiers offre une protection suffisante, et adopter des mesures compensatoires. Pour des données de profilage comportemental en cybersécurité, cette évaluation est nettement plus exigeante que pour des données classiques de type CRM.

Un argument de compétitivité, pas de protectionnisme

Le signal envoyé aux clients et partenaires

Dans les secteurs réglementés (santé, finance, défense, énergie), le choix d’outils souverains devient un argument commercial. Quand une PME répond à un appel d’offres auprès d’un donneur d’ordre public ou d’une grande entreprise française, démontrer que sa propre chaîne d’outils de cybersécurité est hébergée en France et conforme au RGPD sans transferts hors UE constitue un facteur de différenciation.

C’est particulièrement vrai pour les sous-traitants d’OIV et d’OSE (opérateurs de services numériques) au sens de NIS2, qui doivent eux-mêmes justifier de la conformité de leur chaîne d’approvisionnement.

Le coût réel de la non-souveraineté

Le coût de la non-souveraineté n’est pas seulement juridique (risque d’amende CNIL, risque d’invalidation du mécanisme de transfert). Il est aussi opérationnel :

Temps perdu en documentation de conformité : justifier un transfert hors UE via des CCT et des mesures supplémentaires requiert une analyse juridique conséquente (et donc un budget juridique associé).
Risque de migration forcée : si le DPF est invalidé (comme l’a été le Privacy Shield), les entreprises devront migrer en urgence vers des solutions conformes — une opération coûteuse et perturbante.
Perte de confiance : dans un contexte où les violations de données font la une de la presse, communiquer que les données de simulation phishing de ses salariés sont hébergées aux États-Unis (ou accessibles par un prestataire soumis au CLOUD Act) envoie un signal négatif au CSE, aux salariés, et aux partenaires.

Checklist : évaluer la souveraineté d’une solution de simulation phishing

Pour conclure sur le volet pratique, voici une grille de vérification en 10 points que tout responsable IT ou DPO peut appliquer lors de l’évaluation d’un outil de simulation phishing :

Critère	Souverain	Non souverain
Siège social de l’éditeur	France ou UE	États-Unis ou pays tiers
Structure capitalistique	Indépendante ou fonds UE	Filiale ou fonds US
Hébergement des données	France (ou UE, hébergeur non soumis au CLOUD Act)	AWS/Azure/GCP (même en Europe)
DPA conforme RGPD	Oui, sans transfert hors UE	Transfert hors UE via CCT ou DPF
Sous-traitants	Tous en UE	Sous-traitants US (analytics, monitoring)
Qualification/label	SecNumCloud, France Cybersecurity, ISO 27001	Certifications US (SOC 2, FedRAMP)
Contenu francophone	Natif, conçu en français	Traduit depuis l’anglais
Support	En français, fuseau CET	En anglais, fuseau US
Scénarios localisés	DGFIP, Chronopost, Ameli, CPF	IRS, UPS, Bank of America
Risque juridique	Faible (droit UE uniforme)	Élevé (conflit RGPD / CLOUD Act)

Conclusion : la souveraineté comme critère de sélection rationnel

Le choix d’une solution de simulation phishing souveraine n’est pas une posture politique. C’est une décision qui s’appuie sur des faits juridiques (CLOUD Act, FISA 702, Schrems II), des exigences réglementaires (RGPD articles 32, 35, 44-49, NIS2 article 21), et des contraintes opérationnelles concrètes (contenu francophone, support, simplicité).

La nuance est que la souveraineté n’est qu’un critère parmi dix. Un bon outil souverain vaut mieux qu’un mauvais outil américain — mais un bon outil américain vaut mieux qu’un mauvais outil souverain. Le choix doit se faire sur la combinaison souveraineté + qualité, pas sur la souveraineté seule.

Pour les PME françaises de 25 à 250 salariés, cette combinaison existe désormais. Le marché a mûri. Il est possible de trouver des solutions françaises qui offrent à la fois la conformité réglementaire, l’hébergement souverain, le contenu francophone natif, et la qualité technique attendue d’une plateforme moderne.

Votre solution actuelle est-elle souveraine ? Testez gratuitement la sécurité email de votre entreprise et recevez un diagnostic complet incluant la conformité RGPD de votre configuration.