La réponse en 30 secondes
Tous les comparatifs « Stormshield vs Fortinet » se terminent par la même ligne : « certifié ANSSI ✅ / ✗ ». Cette ligne est à la fois vraie, incomplète et trompeuse — pour trois raisons différentes, et chacune se vérifie en quelques minutes.
Le visa français existe bel et bien, mais il porte sur une version précise du logiciel, qui n'est pas forcément celle qu'on vous installera, et il a une date de fin. Quant à la croix en face de Fortinet, elle ne signifie pas « non certifié » : elle signifie « pas dans ce registre-là ». Dans le registre international, Fortinet détient un certificat plus récent et valable plus longtemps que celui de Stormshield.
Seule ligne de la rubrique « Pare-feu » du catalogue ANSSI : Stormshield Network Security. Aucun autre éditeur au monde n'y figure.
Branches SNS publiées par Stormshield au 3 septembre 2026 : 4.3 « QS », 4.8 « LTSB » et 5.1. Une seule des trois est qualifiée.
Prix publié en euros par l'un ou l'autre des deux éditeurs. Tout tableau chiffré sur ce duel s'appuie donc sur des tiers.
Le tableau que tout le monde recopie
Un dirigeant de PME qui cherche à remplacer son pare-feu tombe, en quelques clics, sur une dizaine de comparatifs bâtis sur le même gabarit. Débit, nombre d'utilisateurs, prix indicatif, et une dernière ligne présentée comme l'argument qui tranche : la certification. Stormshield est français et « certifié ANSSI », Fortinet est américain et ne l'est pas. Le lecteur en conclut naturellement que l'un est validé par l'État et l'autre non.
C'est une lecture raisonnable, et elle est fausse sur trois points distincts. Ces trois points ne se corrigent pas en changeant un chiffre : ils se corrigent en allant lire les documents que le tableau résume. Ils sont publics, gratuits, et presque personne ne les ouvre.
Ce que dit exactement le catalogue de l'ANSSI
L'ANSSI publie un document unique qui recense les produits certifiés, qualifiés et agréés : un PDF de 134 pages, librement téléchargeable, mis à jour le 1er septembre 2026 dans l'édition consultée pour cet article. C'est la seule source qui fasse foi. Tout le reste — page produit, plaquette de revendeur, comparatif de blog — n'en est qu'un résumé.
Ce catalogue est organisé en quinze rubriques de qualification. La dixième s'intitule « Pare-feu ». Elle contient une seule ligne :
| Fournisseur | Produit | Version | Niveau | Début | Fin |
|---|---|---|---|---|---|
| Stormshield | Stormshield Network Security | 4.3.x | Standard (agrément DR) | 13/02/2025 | 22/03/2027 |
C'est tout. Pas une deuxième ligne, pas un deuxième éditeur. Ce n'est donc pas un match Stormshield contre Fortinet : c'est Stormshield contre l'ensemble du marché mondial du pare-feu, et Stormshield est seul dans la case. La mention « DR » signifie que le produit est agréé pour traiter des informations portant la mention Diffusion Restreinte — un besoin réel, mais qui concerne une minorité d'organisations.
On pourrait soupçonner un défaut de lecture du document. Il n'y en a pas, et le catalogue lui-même fournit la preuve : la rubrique voisine « Clients VPN » porte la mention explicite « Aucun produit qualifié ou agréé à ce jour ». Le catalogue signale donc ses rubriques vides. Une rubrique qui contient une ligne en contient bien une.
Reste le comptage brut, celui qui alimente les tableaux : sur les 134 pages, « Fortinet » et « FortiGate » comptent zéro occurrence, et « Stormshield » vingt-trois. Ces vingt-trois occurrences sont l'objet d'une section plus bas, car elles ne disent pas ce qu'on leur fait dire.
La version qualifiée n'est pas forcément celle qu'on vous installe
Le visa ANSSI porte sur « Stormshield Network Security 4.3.x ». Une qualification s'applique toujours à une version évaluée, pas à une marque : c'est le principe même de l'exercice, puisque c'est un code précis qui a été soumis à l'évaluateur.
Or la documentation technique publiée par Stormshield elle-même, consultée le 3 septembre 2026, présente trois branches en parallèle. L'éditeur les nomme, dans son propre sommaire de notes de version : « SNS V4.3 QS », « SNS V4.8 LTSB » et, dans une arborescence distincte, « SNS v5.1 ». Sur sa page de cycle de vie, Stormshield précise que LTSB désigne la Long-Term Support Branch, celle qui bénéficie du soin de maintenance le plus attentif.
Il faut être juste avec l'éditeur : le fait qu'il maintienne une branche dédiée, étiquetée « QS », est précisément ce qui permet à un client soumis à une contrainte réglementaire de faire tourner la version qualifiée. C'est une bonne pratique, pas une dissimulation, et Stormshield est transparent sur ce point.
Le problème n'est donc pas chez l'éditeur, il est dans le tableau. Le comparatif écrit « certifié ANSSI » en face de la marque, alors que le visa est attaché à une branche logicielle. Si votre prestataire vous livre un boîtier en 4.8 ou en 5.1 — ce qui peut être le choix le plus raisonnable techniquement — vous exploitez bien un matériel Stormshield, mais vous ne faites pas tourner la version qualifiée. Le badge sur lequel vous avez fondé votre décision ne couvre alors pas votre installation.
D'ailleurs, la page « produits certifiés et qualifiés » publiée par Stormshield mentionne la « Qualification Standard » de l'ANSSI et la certification Critères Communs EAL4+ sans indiquer le moindre numéro de version ni la moindre date de fin. Ce n'est pas un reproche : une page commerciale n'a pas vocation à tenir un registre. Mais c'est cette page-là que les comparatifs recopient, et non le catalogue.
La croix en face de Fortinet est fausse
C'est le point le plus important de cet article, et le plus facile à vérifier. La certification de sécurité des produits informatiques ne se joue pas uniquement en France. Il existe un registre international, le portail Common Criteria, qui publie la liste des produits certifiés et leurs dates de validité.
Fortinet y figure abondamment. Voici les entrées relevées le 3 septembre 2026, dates telles que publiées par le portail :
| Produit | Éditeur | Niveau | Validité |
|---|---|---|---|
| FortiOS 7.2, version 7.2.8 | Fortinet | EAL4+ (ALC_FLR.3) | 17/02/2026 → 17/02/2031 |
| UTM / NG-Firewall Suite 4.3.12.2 | Stormshield | EAL4+ (ANSSI-CC-2023/62) | 28/12/2023 → 28/12/2028 |
| FortiOS 6.4.9 et FortiOS 7.0.7 | Fortinet | EAL4+ (ALC_FLR.3) | 14/08/2023 → 14/08/2028 |
| FortiGate NGFW avec FortiOS 6.2.7 | Fortinet | EAL4+ | 15/10/2021 → 15/10/2026 |
Le résultat est l'inverse de ce que suggère le tableau habituel : le certificat Critères Communs de Fortinet est plus récent que celui de Stormshield et court quatre ans de plus. Le portail liste par ailleurs FortiGate/FortiOS 7.2, FortiSandbox 4.4, FortiSwitch 7.6, FortiManager et FortiAnalyzer sous des profils de protection dédiés aux équipements réseau.
Il ne faut pas non plus surinterpréter dans l'autre sens. Certification et qualification sont deux instruments différents. La certification atteste qu'un produit a passé une évaluation selon un référentiel ; la qualification française est une recommandation de l'ANSSI pour un usage donné, et c'est elle — pas la certification — qui est attendue dans certains contextes réglementés, notamment lorsqu'un agrément Diffusion Restreinte est requis. Sur ce terrain-là, Stormshield est effectivement seul.
La formulation honnête de la ligne du comparatif serait donc : « Stormshield : qualifié par l'ANSSI, sur la version 4.3.x, jusqu'au 22/03/2027 — Fortinet : certifié Critères Communs EAL4+ sur FortiOS 7.2.8 jusqu'en 2031, non qualifié par l'ANSSI. » Elle ne tient pas dans une case de tableau, et c'est exactement le problème.
Un badge a une date de fin
Sur les vingt-trois occurrences de « Stormshield » dans le catalogue, plusieurs correspondent à des certificats déjà expirés. Ils restent listés, avec leur date de fin, parce qu'un catalogue tient un historique. Mais un comparatif qui compte les mentions sans lire les dates transforme un passé en présent.
Échelle constante de 55 pixels par an sur toute la frise : la longueur de chaque barre est proportionnelle à sa durée de validité.
Parmi les entrées Stormshield expirées figurent la suite logicielle Firewall en version 3,3 (EAL3+, échue le 9 juillet 2025), StormShield Endpoint Security de l'époque SkyRecon (échue en juin 2022) et Stormshield Data Security (échue en septembre 2021). Une entrée plus ancienne, sous le nom NETASQ, concerne un « Pare-Feu industriel Stormshield Networks Security » certifié en 2016 et explicitement noté « Non maintenu » dans le catalogue.
Aucune de ces mentions ne dit quoi que ce soit de mauvais sur les produits actuels. Elles disent seulement ceci : le nombre de fois qu'une marque apparaît dans le catalogue ne mesure rien. Seules comptent les lignes vivantes, avec leur version et leur date de fin. C'est une vérification de dix minutes, et elle change la conclusion.
Ni l'un ni l'autre ne publie de prix
Troisième vérification, et elle est expéditive. Les pages produits des deux éditeurs répondent normalement — la page « nos produits » de Stormshield, la fiche du boîtier SN-S-Series-220, la page d'accueil française de Fortinet et sa page pare-feu nouvelle génération. Aucune n'affiche le moindre montant en euros, et aucune ne contient de prix dans ses données structurées.
Ce n'est pas un oubli : le marché du pare-feu d'entreprise est intégralement indirect. Les boîtiers se vendent par des revendeurs et des intégrateurs, avec des remises négociées au dossier. Il n'existe donc pas de prix catalogue à comparer.
Conséquence pratique, la même qu'en matière de sauvegarde ou de filtrage de messagerie : tout comparatif affichant « Stormshield : X € / Fortinet : Y € » donne deux chiffres dont aucun ne vient des éditeurs. Ils proviennent de grilles de revendeurs, souvent anciennes, et se durcissent par recopie d'un site à l'autre. La seule méthode fiable reste deux devis sur un périmètre rigoureusement identique.
À exiger dans les deux devis
- Le prix du boîtier et celui des abonnements de sécurité, séparément.
- La durée d'engagement et le prix du renouvellement à l'échéance.
- La version de firmware livrée à l'installation.
- Les dates de fin de commercialisation et de fin de vie du modèle proposé.
Ce qui fait réellement le coût de sortie
- La base de règles, qui ne se transfère pas d'un éditeur à l'autre et se réécrit.
- Le contrat de support adossé au matériel, qui se renouvelle avec lui.
- Le cycle produit de l'éditeur : fin de vente, fin de renouvellement, fin de vie.
- La compétence de votre prestataire, rarement double.
Alors, lequel choisir ?
La question de départ est mal posée. Elle ne devient tranchable qu'après une question préalable, à laquelle vous seul pouvez répondre : avez-vous une obligation qui nomme la qualification ?
Si vous répondez oui — vous fournissez la défense, vous traitez des informations sensibles, un donneur d'ordre l'exige — la discussion s'arrête là : un seul produit remplit la rubrique, et il faut alors veiller à la version livrée et à l'échéance de mars 2027.
Si vous répondez non, et c'est le cas de la très grande majorité des PME, alors la ligne « certification » ne devrait pas peser dans votre arbitrage. Les critères qui décideront réellement de la qualité de votre protection sont ailleurs : la compétence de l'intégrateur qui configurera la base de règles, la rapidité du support dans votre langue, le coût du renouvellement à trois ans, et la date de fin de vie du modèle qu'on vous propose. Un pare-feu excellent mal configuré protège moins bien qu'un pare-feu correct bien configuré — et cela, aucun badge ne le mesure.
Pour situer ces choix dans un plan d'ensemble plutôt que produit par produit, l'audit de sécurité informatique est le point de départ logique, et les mesures de cybersécurité rendues obligatoires par NIS2 décrivent ce qui sera attendu de vous. La question de l'architecture, elle, se traite dans le dossier sur la sécurité du cloud hybride et le Zero Trust.
Où en est vraiment la transposition de NIS2
Beaucoup d'argumentaires commerciaux s'appuient sur l'urgence réglementaire pour pousser un renouvellement de pare-feu. Voici l'état du texte au 3 septembre 2026, relevé dans le dossier législatif du Sénat.
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé au Sénat le 15 octobre 2024, avec engagement de la procédure accélérée. Le Sénat l'a adopté en séance publique les 11 et 12 mars 2025. Le texte a été transmis à l'Assemblée nationale le 13 mars 2025, où un rapport a été déposé au nom de la commission spéciale le 10 septembre 2025.
À ce jour, le texte n'a pas été adopté en séance publique à l'Assemblée nationale, aucune commission mixte paritaire ne s'est réunie et la loi n'est pas promulguée. La rentrée parlementaire peut faire évoluer cette situation à tout moment : vérifiez la date de publication de tout contenu qui vous parlerait d'une obligation déjà en vigueur.
Cela ne signifie pas qu'il faille attendre. Les mesures attendues sont connues et relèvent pour l'essentiel de bonnes pratiques que rien n'empêche d'appliquer dès maintenant. Cela signifie seulement qu'aucun commercial n'est fondé, aujourd'hui, à vous vendre un boîtier au motif que la loi vous y obligerait déjà.
Ce que ce comparatif ne dit pas
Par honnêteté, voici les limites explicites de ce qui précède.
Aucun test de performance n'a été conduit. Cet article ne compare ni les débits, ni les taux de détection, ni la qualité des moteurs d'inspection des deux produits. Il ne dit pas lequel protège le mieux : il dit ce que les documents officiels attestent, et ce qu'ils n'attestent pas.
Aucune affirmation de droit n'est faite ici. Savoir si votre organisation est soumise à une obligation de recourir à un produit qualifié relève de votre analyse réglementaire, pas d'un article de blog. Les questions de souveraineté des données et de droit applicable sont traitées séparément dans le comparatif OVHcloud contre AWS.
Les dates citées sont celles publiées au 3 septembre 2026 par le catalogue de l'ANSSI, le portail Common Criteria, la documentation technique de Stormshield et le dossier législatif du Sénat. Un catalogue se met à jour, parfois d'un jour à l'autre. Avant de vous appuyer sur l'une de ces échéances dans une décision d'achat, rouvrez la source.
Ce cluster comparatif porte sur les outils qui protègent la PME. Les autres face-à-face publiés cette semaine : Bitdefender contre Microsoft Defender pour la protection des postes, 1Password contre Bitwarden pour les mots de passe, Veeam contre Acronis pour la sauvegarde et Vade contre Mailinblack pour la messagerie. La vue d'ensemble se trouve dans le guide complet de la cybersécurité en entreprise.
Questions fréquentes
Stormshield est-il vraiment certifié par l'ANSSI ?
Oui, et il est même le seul produit inscrit dans la rubrique « Pare-feu » du catalogue des produits qualifiés. Mais la qualification porte sur la version 4.3.x de Stormshield Network Security, au niveau Standard, du 13 février 2025 au 22 mars 2027. Elle ne porte ni sur la marque en général, ni sur les autres branches logicielles diffusées par l'éditeur.
Fortinet est-il un produit non certifié ?
Non. Fortinet n'apparaît pas dans le catalogue de l'ANSSI, mais figure au portail international Common Criteria, notamment avec FortiOS 7.2.8 certifié EAL4+ du 17 février 2026 au 17 février 2031. La distinction n'est pas « certifié ou non » : c'est une différence d'autorité et d'instrument, la qualification française étant une recommandation d'usage que Fortinet ne détient pas.
Comment savoir si le boîtier qu'on me propose est en version qualifiée ?
En le demandant par écrit à votre intégrateur, avant la commande. Stormshield publie trois branches en parallèle et n'en qualifie qu'une : la 4.3, qu'il étiquette « QS » dans sa propre documentation. Faites porter la mention de la version de firmware livrée sur le devis, et non sur une conversation.
Quel est le prix d'un pare-feu Stormshield ou Fortinet pour une PME ?
Aucun des deux éditeurs ne publie de prix en euros, ni sur ses pages produits ni dans leurs données structurées. Le marché est entièrement indirect. Tout tableau chiffré que vous trouverez s'appuie sur des grilles de revendeurs. La seule démarche fiable consiste à demander deux devis sur un périmètre identique, en séparant le matériel des abonnements et en faisant chiffrer le renouvellement.
La loi NIS2 m'oblige-t-elle déjà à changer de pare-feu ?
Non. Au 3 septembre 2026, le projet de loi de transposition, adopté par le Sénat le 12 mars 2025 et transmis à l'Assemblée nationale le 13 mars 2025, n'a pas été adopté en séance publique à l'Assemblée et n'est pas promulgué. Aucune obligation d'achat n'en découle à ce jour, ce qui n'empêche évidemment pas d'anticiper les mesures attendues.
