Bitdefender vs Microsoft Defender : quel EDR pour une PME française ?

La question arrive presque toujours dans les mêmes termes : « on nous propose Bitdefender à tant par poste, mais notre prestataire dit que Microsoft Defender est déjà inclus dans nos licences — on paie deux fois ? » Le comparatif qui circule répond en deux colonnes. À gauche, Bitdefender GravityZone, éditeur spécialiste, certifié par un laboratoire indépendant en 2026. À droite, Microsoft Defender, gratuit puisque compris dans l'abonnement bureautique, et crédité de 100 % de couverture aux évaluations MITRE ATT&CK. Verdict : match nul, choisissez selon votre budget.

Ce tableau a un défaut qu'aucun de ses lecteurs ne peut deviner : les deux badges qu'il oppose ont été obtenus par deux produits qu'une PME de vingt-cinq postes n'achètera ni l'un ni l'autre. La certification 2026 porte sur GravityZone Business Security Enterprise, le haut de gamme. Le score MITRE porte sur Microsoft Defender XDR, la suite d'entreprise. Les produits réellement en jeu à ce niveau de budget — GravityZone Small Business Security et Microsoft Defender for Business — n'apparaissent ni dans l'un ni dans l'autre de ces résultats.

Cet article ne vous propose pas un tableau de plus. Il vous propose cinq vérifications que vous pouvez refaire vous-même en une heure, sur des sources publiques et nominatives : deux pages tarifaires du même éditeur qui affichent deux prix différents pour le même produit, un rapport de laboratoire, une page de documentation officielle, et un catalogue de l'État français dans lequel ni l'un ni l'autre des deux candidats n'apparaît. Tous les relevés ci-dessous ont été effectués le 28 août 2026.

L'argument massue du camp Microsoft est réel : Microsoft Defender for Business est effectivement compris dans Microsoft 365 Business Premium, sans supplément. Il existe aussi en licence autonome, à 2,60 € HT par utilisateur et par mois, engagement annuel, dans la limite de 300 utilisateurs et de cinq appareils par utilisateur. Un module distinct au même tarif, 2,60 € HT par licence et par mois, couvre les serveurs Windows et Linux — détail qui échappe à beaucoup de budgets, puisqu'un serveur de fichiers ne consomme pas une licence utilisateur.

Le raisonnement « c'est inclus, donc c'est gratuit » suppose que vous connaissiez le prix du contenant. Et c'est là que la vérification devient intéressante. Microsoft publie deux prix différents pour Microsoft 365 Business Premium sur deux de ses propres pages, le même jour :

• sur la page de tarification des solutions de sécurité pour PME, l'offre est présentée à 19,06 € HT par utilisateur et par mois, avec la mention que Microsoft 365 Copilot est « disponible en tant que module complémentaire » ;
• sur la page commerciale principale des offres Microsoft 365 Business, il n'existe plus de ligne « Business Premium » seule. L'intitulé exact est « Microsoft 365 Business Premium et Microsoft 365 Copilot Business », à 27,73 € HT par utilisateur et par mois.

Il ne s'agit pas d'une erreur, et il ne faut pas la présenter comme telle. Depuis le 1^er juillet 2026, Microsoft a rendu permanentes des références qui associent Copilot aux suites Business, jusque-là proposées en promotion. La documentation officielle de licensing précise que la mise à jour tarifaire ne s'applique qu'aux références qu'elle énumère, et Business Premium n'y figure pas : le tarif de la formule sans Copilot n'a pas bougé. Les deux références coexistent donc légitimement.

Mais du point de vue de l'acheteur, la conséquence est concrète : la page qui vous dit que l'EDR est inclus n'est plus la page qui vous vend l'abonnement. Un dirigeant qui part de la page produit paie 27,73 € ; celui qui part de la page sécurité vise 19,06 €. Écart : 8,67 € HT par utilisateur et par mois, soit 45 % de plus pour un périmètre de sécurité rigoureusement identique.

Sur une PME de vingt-cinq collaborateurs, en tarif public hors taxes et sur douze mois :

Deux enseignements sortent de ce tableau, et aucun des deux ne figure dans les comparatifs Bitdefender contre Microsoft.

Le premier : le surcoût du bundle Copilot, 2 601 € par an, coûte à lui seul 3,3 fois le prix de l'EDR qu'il est censé rendre gratuit (780 € par an en licence autonome). Argumenter que « Defender ne coûte rien puisqu'il est inclus » revient à faire financer un module d'IA générative par une ligne budgétaire sécurité.

Le second tient à une coïncidence arithmétique qui fait un excellent étalon de mesure. Business Basic coûte 6,07 € et Defender for Business autonome 2,60 € : une PME qui a besoin de la messagerie et de l'EDR, et de rien d'autre, s'équipe pour 8,67 € par utilisateur et par mois — exactement le montant que le bundle Copilot ajoute à Business Premium. Le même euro achète soit la totalité d'un socle messagerie plus EDR, soit l'option Copilot. Formulé ainsi, l'arbitrage se pose enfin dans les bons termes.

Notez au passage la ligne « EEE sans Teams » : c'est la conséquence du dégroupage tarifaire imposé dans l'Espace économique européen, qui rend fausse en Europe une bonne partie des grilles américaines. Nous l'avons détaillée dans notre comparatif Microsoft Teams vs Slack, et son effet sur le coût global de la suite dans Google Workspace vs Microsoft 365.

Refaites l'exercice côté Bitdefender et vous obtenez un résultat d'une autre nature. Sur les pages produit de GravityZone — Small Business Security comme Business Security Premium — l'emplacement du prix est occupé par un gabarit non substitué. Le code de la page contient littéralement le marqueur {PRICE_DISCOUNTED}, accompagné des libellés « Prix public : », « Réduction », « TVA non incluse » et « Offre à durée limitée » — cette dernière sans aucune date d'expiration. Le montant, lui, est chargé dynamiquement et n'est pas rendu dans la page servie.

Autrement dit : Bitdefender ne publie aucun tarif en euros opposable pour sa gamme professionnelle. Tout prix en euros que vous lirez dans un comparatif français vient d'un revendeur, d'un distributeur ou d'un agrégateur — pas de l'éditeur. Ce n'est pas une accusation : c'est un modèle de vente indirecte parfaitement banal dans la sécurité. Mais cela a trois conséquences pratiques que le tableau à deux colonnes efface.

• La comparaison de prix n'est pas symétrique. Vous confrontez un tarif public opposable, celui de Microsoft, à un prix négocié qui varie selon le partenaire, le volume et la durée. Les deux chiffres n'ont pas le même statut.
• La remise affichée n'a pas de référence vérifiable. Un pourcentage de réduction sur un prix public que l'éditeur ne publie pas ne se contrôle pas.
• Le renouvellement est l'angle mort. Sur un modèle indirect, le prix de la deuxième année se négocie avec le revendeur. Faites écrire la formule de reconduction dans la proposition initiale, pas au moment du renouvellement.

La demande à formuler tient en une phrase, et elle est plus efficace qu'une négociation : demandez le devis en coût total sur trois ans, tarif de reconduction inclus, pour les deux solutions. C'est le seul terrain sur lequel les deux offres deviennent comparables.

C'est le point le plus important de cet article, et le plus facile à vérifier.

Côté Bitdefender. Le test mis en avant est l'EDR Detection Validation Certification Test 2026 d'AV-Comparatives, publié le 13 mai 2026 : un scénario d'attaque persistante avancée en quatorze étapes, de la compromission initiale jusqu'à l'impact au niveau du domaine. Neuf produits y sont certifiés. Le produit Bitdefender qui figure sur cette liste s'appelle exactement GravityZone Business Security Enterprise — la formule haute de la gamme. Ce n'est pas GravityZone Small Business Security, celle que l'on propose à une PME de vingt-cinq postes.

L'écart entre les deux n'est pas cosmétique. La page produit de Small Business Security annonce trois modules : protection contre les menaces avancées, atténuation des rançongiciels et protection contre les attaques sans fichier. Le sigle EDR n'y figure pas, et les deux modules complémentaires proposés relèvent du contrôle d'accès web et de la défense réseau, pas de la détection et réponse sur poste. Les capacités d'investigation — analyse d'incident, visualisation de la chaîne d'attaque, bac à sable — apparaissent à partir des formules supérieures. Acheter l'entrée de gamme en croyant acheter la certification revient à acheter un antivirus en payant pour un EDR.

Côté Microsoft. Ouvrez la page officielle « Top scoring in industry tests » de la documentation Microsoft. Deux constats s'y imposent. D'abord, les résultats MITRE ATT&CK qui y sont revendiqués portent sur Microsoft Defender XDR, la suite qui agrège Defender for Endpoint, Defender for Office 365, Defender for Identity, Entra ID Protection et Defender for Cloud Apps. L'expression « Defender for Business » n'apparaît nulle part sur cette page. Ensuite, et c'est plus gênant : cette page a été mise à jour le 17 juillet 2026, mais le test indépendant le plus récent qu'elle cite date de 2021 — le Business Security Test d'AV-Comparatives d'août-novembre 2021, à 99,8 %, et les rapports AV-TEST de novembre-décembre 2021. Une page de preuve rafraîchie en 2026 dont la preuve la plus fraîche a cinq ans ne dit rien du produit d'aujourd'hui.

Une précaution d'interprétation, qui vaut d'être dite. Microsoft ne figure pas dans la liste des neuf produits certifiés par AV-Comparatives en 2026. Il serait très tentant d'en conclure un échec : ce serait une faute de raisonnement. Le laboratoire précise explicitement que seuls les produits certifiés sont publiés, les autres participants recevant un retour détaillé sans publication. L'absence d'un nom peut donc signifier aussi bien la non-participation que la non-certification, et le rapport ne permet pas de trancher. Cette liste est un registre de certification, pas un classement : l'absence d'un nom n'y mesure rien. Méfiez-vous de tout comparatif qui en tire une conclusion.

L'ANSSI publie chaque mois un catalogue des produits certifiés, qualifiés et agréés. C'est un document public, téléchargeable, et c'est la référence opposable en France dès qu'un cahier des charges exige un produit visé par l'État. Nous avons ouvert l'édition d'août 2026, mise à jour le 25 août 2026 à 10 h 36, et cherché nos deux candidats dans l'intégralité du document.

Bitdefender : zéro occurrence. Microsoft : zéro occurrence. Ni en produits certifiés selon les Critères communs, ni en produits certifiés CSPN, ni en produits qualifiés. Le constat vaut d'ailleurs pour l'ensemble des grands noms anglo-saxons de la détection sur poste : CrowdStrike, SentinelOne, Sophos et Trend Micro sont également absents du catalogue.

Deux éditeurs seulement portent un visa de sécurité sur ce périmètre, et ce sont deux français :

• HarfangLab EDR version 3, certifié CSPN dans la catégorie « détection d'intrusions », certificat ANSSI-CSPN-2024-07, valide du 22 août 2024 au 22 août 2027 — et, au chapitre des produits qualifiés, rubrique « systèmes de détection », HarfangLab EDR 3.X au niveau de qualification élémentaire. La qualification est un cran au-dessus de la certification : elle vaut recommandation de l'État.
• Stormshield, présent à plusieurs entrées, dont une certification en catégorie « détection » valide du 13 novembre 2023 au 13 novembre 2026.

Que faire de cette information ? Surtout pas un argument d'achat automatique : l'absence de visa ANSSI n'est ni un défaut de sécurité ni une non-conformité. La très grande majorité des PME françaises n'a aucune obligation d'employer un produit certifié, et Bitdefender comme Microsoft protègent efficacement des parcs entiers.

En revanche, cette information devient décisive dans un cas précis, et de plus en plus fréquent : celui du ruissellement contractuel. Lorsqu'un donneur d'ordre public, ou un opérateur soumis à des exigences de sécurité renforcées, répercute ses obligations sur ses fournisseurs, la clause tombe dans le cahier des charges du sous-traitant. Si vous vendez à l'État, à un opérateur d'importance vitale, à un grand groupe régulé ou à leurs prestataires de rang un, la question « votre EDR est-il visé par l'ANSSI ? » peut arriver dans un questionnaire fournisseur. Le jour où elle arrive, elle ne se négocie pas : elle se répond par oui ou par non. Anticiper ce point une fois, au moment du choix, coûte infiniment moins cher que de remplacer un parc en cours d'appel d'offres.

Microsoft commercialise trois niveaux : Defender for Business, réservé aux organisations de moins de 300 utilisateurs, puis Defender for Endpoint Plan 1 et Plan 2. Le point à retenir est contre-intuitif et joue en faveur de Microsoft : le moteur de détection est le même. Defender for Business remonte les mêmes alertes sur les attaques avancées que le Plan 2, avec les mêmes analyses cloud et le même renseignement sur les menaces. Ce n'est pas une version dégradée de la protection.

Ce qui manque n'est pas la détection, c'est l'investigation : pas de chasse avancée en langage de requête, pas de règles de détection personnalisées, pas de regroupement d'appareils par politique fine, pas d'accès programmatique aux données brutes, et un portail volontairement simplifié.

Or c'est exactement le terrain sur lequel la réglementation française va se déplacer. La loi dite de résilience, qui transpose la directive NIS2, a été adoptée par le Sénat en séance publique les 11 et 12 mars 2025, et son examen à l'Assemblée nationale a été repoussé à la rentrée parlementaire de septembre 2026. L'ANSSI en est l'autorité de référence, avec la plateforme MonEspaceNIS2 pour l'auto-évaluation, et a présenté le 17 mars 2026 la version de travail de son référentiel de mesures. Les obligations qui se profilent portent moins sur le fait de détecter que sur la capacité à analyser un incident et à le notifier dans les délais. Sans capacité de chasse ni accès aux données brutes, cette analyse se sous-traite — ce qui est une décision légitime, à condition d'être prise consciemment et budgétée.

Nous détaillons ces obligations dans notre guide NIS2 et cybersécurité PME, le détail des mesures techniques dans les dix mesures de cybersécurité obligatoires, et la démarche d'auto-évaluation dans notre checklist de conformité NIS2 en dix étapes.

Voici ce que donne la comparaison quand on prend soin de mettre en regard des produits de même niveau, et quand on distingue ce qui est vérifiable de ce qui est déclaratif.

La ligne « siège et hébergement » mérite une nuance que peu de comparatifs prennent la peine de poser. Bitdefender est un éditeur de l'Union européenne, et son contrat de traitement prévoit un hébergement en Roumanie, en Irlande ou dans d'autres États membres. C'est un avantage réel de gouvernance des données, à ne pas transformer en argument de souveraineté absolue : le critère se documente au contrat, il ne se déduit pas du drapeau.

Vous êtes déjà en Microsoft 365 Business Premium, moins de 300 postes, sans exigence client particulière. Activez Defender for Business et n'achetez rien d'autre. L'erreur la plus coûteuse ici n'est pas de choisir le mauvais produit, c'est de payer un second EDR par méconnaissance de ce que la licence contient déjà. Vérifiez surtout deux points souvent oubliés : que la fonctionnalité est réellement déployée et non simplement licenciée, et que vos serveurs sont couverts par le module dédié.

Vous êtes en Microsoft 365 Business Standard ou Basic. Ne montez pas en Business Premium pour la sécurité sans avoir chiffré l'alternative : Defender for Business en licence autonome à 2,60 € coûte quatre fois moins cher que l'écart entre les deux suites. Vous ne montez en Business Premium que si vous voulez aussi la gestion des appareils et la protection de l'information — pas pour l'EDR seul.

Vous avez un parc hétérogène, des postes hors domaine, du Mac, du Linux, ou plus de 300 utilisateurs. C'est le terrain naturel de Bitdefender, dont la gamme est continue et ne bute sur aucun plafond. Exigez alors explicitement une formule qui comprend les capacités d'investigation : c'est le seul moyen d'acheter réellement ce que la certification 2026 a mesuré.

Vous vendez à l'État, à un opérateur régulé ou à leurs sous-traitants de rang un. Posez la question du visa ANSSI avant de comparer les prix. Ni Bitdefender ni Microsoft n'y répondront par l'affirmative, et l'arbitrage se déplace alors vers les deux éditeurs français du catalogue. C'est le seul scénario où le choix ne se joue pas entre nos deux candidats.

Dans tous les cas. Un EDR ne remplace ni une sauvegarde testée ni une politique de restauration. La question qui décide de la survie d'une PME après un rançongiciel n'est pas la qualité de la détection mais le délai de remise en service — sujet que nous traitons dans notre méthode de construction d'un plan de sauvegarde, et dans les mesures de fond rassemblées dans notre guide des dix mesures essentielles. Pour établir l'état réel de votre parc avant tout achat, la démarche est décrite dans notre audit de sécurité informatique PME, et les ordres de grandeur du risque dans les chiffres de la cybersécurité des PME françaises.