CNAPP souverain : la sécurité cloud éditée en France
Cyvex est une plateforme CNAPP agentless — CSPM, CWPP et CIEM corrélés dans un graphe de sécurité — éditée par un acteur européen indépendant. Vos données restent en Union européenne, hors du droit extraterritorial américain.
Le problème : une sécurité cloud dépendante
Les plateformes CNAPP les plus déployées sont éditées par des entreprises américaines. Or un CNAPP dispose d’un accès en lecture à l’ensemble de votre infrastructure : inventaire des ressources, configurations, identités, vulnérabilités et chemins d’attaque. C’est la cartographie la plus sensible de votre système d’information — celle qu’un attaquant rêverait d’obtenir.
Le CLOUD Act (2018) et l’article 702 du FISA permettent aux autorités américaines de contraindre une entreprise soumise à leur juridiction à communiquer des données, y compris lorsqu’elles sont stockées hors des États-Unis. Confier la cartographie de sécurité de votre cloud à un outil soumis à ces lois, c’est exposer votre posture à une juridiction étrangère — un angle mort rarement évalué lors du choix d’un CNAPP.
La question est devenue plus aiguë encore en mars 2026, avec la finalisation du rachat de Wiz par Google pour près de 32 milliards de dollars. Le principal CNAPP jusque-là indépendant appartient désormais à un hyperscaler américain, qui est aussi l’un des trois grands fournisseurs cloud que cet outil est censé auditer en toute neutralité. La consolidation du marché repose frontalement la question de la souveraineté de l’outillage lui-même.
Qu’est-ce qu’un CNAPP souverain ?
La souveraineté numérique est un enjeu majeur en France et en Europe. La doctrine « Cloud au centre » (2023) impose aux administrations le recours à des offres qualifiées SecNumCloud pour héberger leurs données les plus sensibles. Ce référentiel de l’ANSSI, qui compte environ 360 exigences, est présenté comme « le seul marqueur reconnu par la CNIL pour matérialiser un cloud souverain » et protège notamment contre les législations extraterritoriales. En mars 2026, l’ANSSI et son homologue allemand, le BSI, ont publié une déclaration commune sur des critères harmonisés de souveraineté cloud franco-allemands, signe que le sujet structure désormais la politique européenne.
Une nuance essentielle, souvent brouillée par le marketing
SecNumCloud qualifie l’hébergeur, le fournisseur d’infrastructure cloud — pas les outils de sécurité qui s’exécutent au-dessus. Un CNAPP souverain n’est donc pas « un CNAPP SecNumCloud » : cette expression n’a pas de sens au regard du référentiel. En 2026, seule une poignée d’hébergeurs sont qualifiés (Outscale, OVHcloud, Oodrive, NumSpot, Cloud Temple…), et cette qualification porte sur leur infrastructure, non sur les logiciels tiers.
Pour un outil de sécurité, la souveraineté se joue donc ailleurs, sur trois critères concrets : un éditeur européen indépendant, non contrôlé par un hyperscaler ou une maison mère extra-européenne ; des données maîtrisées en Union européenne, hébergées et traitées dans l’UE ; et une indépendance vis-à-vis des lois extraterritoriales américaines. C’est précisément cette couche que Cyvex adresse — en complément, et non en remplacement, d’un hébergement souverain que vous choisissez par ailleurs.
Pour la distinction entre les briques CSPM, CWPP, CIEM et CNAPP, consultez notre article dédié, et pour un comparatif orienté marché, nos alternatives à Wiz.
L’approche Cyvex
CYVEX SAS est une startup française fondée en avril 2025, 100 % dédiée à la sécurité du cloud et basée à Paris. Nous éditons une plateforme CNAPP conçue pour offrir le meilleur niveau de protection tout en respectant une démarche de souveraineté numérique alignée avec la doctrine « Cloud au centre ».
Éditeur français indépendant
CYVEX SAS, société française établie à Paris, sans maison mère ni actionnaire de contrôle extra-européen. Une indépendance vis-à-vis des hyperscalers américains.
Agentless
Analyse via les API cloud en lecture seule, sans agent à déployer sur vos workloads. Un accès minimal, réversible, et une empreinte réduite sur votre infrastructure.
Graphe de sécurité
CSPM, CWPP et CIEM corrélés dans un même graphe pour révéler les chemins d’attaque et les combinaisons toxiques que les outils en silo ne voient pas.
Données maîtrisées en UE
Les données que nous traitons restent en Union européenne, hors de portée des législations extraterritoriales américaines (CLOUD Act, FISA 702).
Conforme au RGPD
Traitement des données soumis au droit français et européen. Un cadre juridique qui sécurise vos obligations de conformité et celles de vos clients.
Multicloud neutre
Une couverture AWS, Azure et GCP menée par un tiers neutre, sans conflit d’intérêt avec un fournisseur cloud que nous auditons.
Cette approche s’adresse en particulier aux secteurs régulés, pour lesquels la maîtrise de la donnée et la conformité sont des exigences structurantes. Nous accompagnons ces enjeux avec nos services de conformité cloud et notre lecture des cadres réglementaires comme NIS2 ou DORA.
Comparatif de souveraineté
Une lecture factuelle, critère par critère, entre un CNAPP édité par un hyperscaler américain et Cyvex, éditeur français. Il ne s’agit pas de juger les capacités techniques, mais la maîtrise de la donnée et l’exposition juridique.
| Critère de souveraineté | CNAPP édité par un hyperscaler US | Cyvex (éditeur français) |
|---|---|---|
| Siège de l’éditeur | États-Unis (ou filiale d’un groupe américain) | France — CYVEX SAS, Paris |
| Localisation des données | Variable, souvent hors UE ou réplication mondiale | Union européenne |
| Exposition au CLOUD Act / FISA 702 | Oui — soumis au droit extraterritorial américain | Non — droit français et européen |
| Neutralité multicloud | Discutable si l’éditeur est aussi un fournisseur cloud | Tiers neutre vis-à-vis d’AWS, Azure et GCP |
| Conformité RGPD | Possible, mais sous réserve des transferts hors UE | Conçue nativement, traitement en UE |
Comparaison indicative portant sur la dimension souveraineté ; les capacités fonctionnelles varient selon les produits et les configurations retenues.
Questions fréquentes
Un CNAPP peut-il être qualifié SecNumCloud ?
Non, au sens strict. La qualification SecNumCloud (référentiel de l’ANSSI, environ 360 exigences) s’applique aux hébergeurs et fournisseurs de services cloud, pas aux outils de sécurité qui s’exécutent au-dessus. Un CNAPP n’est donc jamais « SecNumCloud » en tant que tel. La bonne question à poser à un éditeur de CNAPP n’est pas « êtes-vous SecNumCloud ? » mais « où sont hébergées et traitées mes données, à quel droit êtes-vous soumis, et pouvez-vous vous déployer sur une infrastructure qualifiée ? ».
Cyvex est-il qualifié SecNumCloud ?
Non, et aucun éditeur de CNAPP ne l’est, car SecNumCloud vise les hébergeurs et non les outils de sécurité. Cyvex est un éditeur français indépendant : les données que nous traitons restent en Union européenne, nous sommes soumis au droit français et européen (RGPD) et non aux législations extraterritoriales américaines. C’est cette couche — la souveraineté de l’outillage de sécurité — que nous adressons, en complément d’un hébergement souverain que vous choisissez par ailleurs.
Pourquoi la souveraineté compte-t-elle pour un outil de sécurité ?
Un CNAPP dispose d’un accès en lecture à l’ensemble de votre infrastructure cloud : inventaire des ressources, configurations, identités, vulnérabilités, chemins d’attaque. C’est la cartographie la plus sensible de votre système d’information. Confier cette cartographie à un outil édité par une entreprise soumise au CLOUD Act ou au FISA 702 revient à exposer votre posture de sécurité à une juridiction étrangère. Choisir un éditeur européen indépendant garantit que ces informations restent en UE et hors de portée du droit extraterritorial américain.
Cyvex est-il une alternative à Wiz ?
Oui. Cyvex couvre les mêmes fonctions qu’un CNAPP de référence — CSPM, CWPP et CIEM corrélés dans un graphe de sécurité, sans agent — avec deux différences déterminantes : nous sommes un éditeur français indépendant, et vos données restent en Union européenne. Depuis le rachat de Wiz par Google finalisé en mars 2026, le principal CNAPP indépendant appartient à un hyperscaler américain ; Cyvex propose une alternative européenne neutre vis-à-vis des fournisseurs cloud.
Reprenez la main sur la souveraineté de votre sécurité cloud
Demandez une démo personnalisée : nous cartographions vos chemins d’attaque prioritaires sur le périmètre de votre choix, sans agent à déployer, avec des données qui restent en Union européenne.
Demander une démo