Secteur
Cybersécurité pour les éditeurs de logiciels et le SaaS
Menace dominante
Comptes d'administration, chaîne logicielle
Textes
LPM (signalement des failles), CRA, NIS2
Le contexte
Votre produit est la surface d'attaque de vos clients
Un SaaS concentre les données de centaines de clients ; un logiciel installé s'exécute dans leurs systèmes d'information. Une seule faille, un seul compte d'administration volé ou une seule dépendance piégée, et l'incident se propage à toute votre base. Les fonctions d'IA ajoutent une surface nouvelle.
01/06/2024
obligation de signaler à l'ANSSI les vulnérabilités significatives de vos produits[5]
11/12/2027
application complète du Cyber Resilience Act[6]
21 %
des assistances aux entreprises concernent un compte piraté (2025)[1]
Les menaces
Ce qui vise votre secteur
- 01
Les comptes d'administration et de support
Le piratage de compte est la première menace pour les entreprises en 2025 (21 % des demandes d'assistance, +52 %). Chez un éditeur, un compte de support ou d'administration de la plateforme donne accès aux données de tous les clients.[1]
- 02
Les failles applicatives exploitées en masse
L'exploitation de vulnérabilités reste en 2025 l'un des principaux vecteurs de compromission relevés par l'ANSSI. Côté applicatif, le contrôle d'accès défaillant reste en tête de l'OWASP Top 10 2025, devant les défauts de configuration.[2, 3]
- 03
La chaîne d'approvisionnement logicielle
Dépendances open source compromises, pipeline CI/CD mal protégé, secrets dans le code : l'OWASP a fait entrer les défaillances de la chaîne d'approvisionnement logicielle à la troisième place de son Top 10 2025.[3]
- 04
Les fonctions d'IA
Une fonction d'IA connectée à vos données ou à des outils peut être détournée par injection de prompt, première entrée de l'OWASP Top 10 pour les applications LLM (édition 2025).[4]
Les obligations
Ce que la réglementation vous demande
État des textes au . Votre situation exacte dépend de votre activité et de votre taille : nous la vérifions avec vous.
- En vigueur
Signaler les vulnérabilités à l'ANSSI (LPM)
Depuis le 1er juin 2024, un éditeur dont le produit est fourni en France doit notifier à l'ANSSI toute vulnérabilité significative de ce produit, ou tout incident sur son propre système susceptible de l'affecter, puis en informer les utilisateurs (article L. 2321-4-1 du code de la défense).
- En vigueur
Cyber Resilience Act
Pour les logiciels et produits comportant des éléments numériques mis sur le marché européen : signalement des vulnérabilités activement exploitées depuis le 11 septembre 2026, exigences complètes (sécurité dès la conception, gestion des vulnérabilités, mises à jour) le 11 décembre 2027. Un SaaS pur relève plutôt de NIS2 ; un traitement à distance indispensable au fonctionnement d'un produit entre dans le champ du CRA.
- Loi en discussion
NIS2 pour le cloud et les services gérés
Les fournisseurs de services d'informatique en nuage, de centres de données et de services gérés, y compris de sécurité, relèvent de l'annexe I de la directive. La loi française de transposition n'est pas encore votée.
- Selon votre situation
DORA, si vos clients sont des entités financières
Vos contrats devront intégrer les exigences de l'article 30 de DORA : niveaux de service, localisation des données, droits d'audit, notification des incidents, assistance en cas de sortie.
Pour décider
Ce que vos clients grands comptes vont vous demander
Et comment y répondre sans y passer six mois :
- Un rapport de pentest récent sur votre application et vos API, avec la preuve des corrections (contre-test).
- Une certification ISO 27001, ou à défaut un plan de sécurité documenté et des réponses précises à leurs questionnaires. Pour les clients américains, un rapport SOC 2 est parfois demandé : il relève d'un cabinet d'audit habilité, pas de nous.
- Un processus de gestion des vulnérabilités : adresse de signalement (fichier security.txt), délais de correction, information des clients. C'est aussi ce qu'exigent la LPM et le CRA.
- Pour des données de santé, un hébergeur certifié HDS ; pour certains marchés publics sensibles, un cloud qualifié SecNumCloud.
- Pour vos fonctions d'IA, un pentest dédié sur la base de l'OWASP Top 10 LLM.
Par où commencer
Les prestations que nous conseillons
Prix publics, hors taxes. Le nom et le CV de l'intervenant figurent dans la proposition, avant signature.
Questions fréquentes
Les questions des éditeurs
À quelle fréquence tester notre SaaS ?
Au moins une fois par an et à chaque évolution majeure (nouvelle authentification, nouvelle API, changement d'architecture). Entre deux tests, un contre-test vérifie les corrections.
Un pentest suffit-il pour obtenir ISO 27001 ?
Non. ISO 27001 certifie un système de management (risques, mesures, amélioration continue). Le pentest en est une mesure parmi d'autres, utile comme preuve lors de l'audit.
Faut-il signaler à l'ANSSI une faille trouvée lors d'un pentest ?
Si elle est significative et touche un produit déjà fourni à des utilisateurs, l'article L. 2321-4-1 du code de la défense prévoit une notification à l'ANSSI et l'information des utilisateurs. Nous vous aidons à qualifier la faille et à organiser la notification.
Testez-vous aussi nos fonctions d'IA ?
Oui : notre pentest IA et LLM couvre l'injection de prompt directe et indirecte, la fuite de données par le contexte et les permissions des agents, sur la base de l'OWASP Top 10 pour les applications LLM.
Sources (6)Afficher
- [1]Cybermalveillance.gouv.fr, rapport d'activité 2025 (mars 2026)
- [2]ANSSI, Panorama de la cybermenace 2025 (mars 2026)
- [3]OWASP Top 10:2025 (2025)
- [4]OWASP Top 10 for LLM Applications 2025 (2025)
- [5]Article L. 2321-4-1 du code de la défense, Légifrance (2023)
- [6]Commission européenne, Cyber Resilience Act (règlement (UE) 2024/2847) (2024)
Nos pôles utiles à votre secteur
Chaque pôle regroupe des prestations à prix publics.
Parlons de votre situation.
Décrivez votre besoin : la proposition indique le périmètre, le prix et le nom de l'intervenant.
Ou appelez le 02 43 25 99 59 (lun.-ven. 9 h-18 h), ou réservez un appel de 20 min (nouvel onglet).